Filtro Corretos para BGP

[gamineiro]

Blza. Acima eu coloquei um regra para apenas um link. RO a procura para dois links,pois vou ativar em breve outra operadora e queria já esta com isso em maos para ativar as duas operadoras 100%

Olá Vitor. O principal filtro que você deve criar quando se tem mais de um upstream, é um filtro de SAÍDA, que descarta todas as rotas que NÃO são suas, prevenindo que você receba rotas da operadora A e as envie para a operadora B. Caso isso aconteça, a sua sessão com a operadora provavelmente irá cair, pois por segurança sempre configuramos na sessão com o cliente um limite de prefixos que ele poderá enviar. Caso esse limite seja ultrapassado, a sessão é desconectada.

Se você ativar o segundo link com a operadora 2, vai precisar receber full routing das duas.
Não sei se é isso que você pretende, mas acho bizarro, e deve até causar problemas, receber apenas rota default das duas operadoras por BGP

Olá TsouzaR. Na verdade não precisa de full routing. Mesmo você com dois ou mais upstreams, pode desonerar o seu roteador ficando apenas com uma rota default para uma das operadoras (ou mais de uma rota default, caso use ECMP), não exite problema algum e é uma prática corriqueira em provedores que tem roteadores de pequeno porte

Usamos full routing quando somos trânsito para algum cliente e este desejar receber uma tabela completa. Simplifica também o controle minucioso do upload, pois com o ajuste dos filtros você pode direcionar o upload para um determinado destino, selecionando por qual parceiro eBGP você quer "sair".

Caso você não tenha clientes AS, eu ficaria apenas na default mesmo, ou no máximo tabela parcial + default.

Sempre vejo o pessoal falando de descarte do seu próprio bloco vindo da Internet. Gostaria de iniciar uma discussão aqui do porquê desse filtro, e vamos debater algo que seja boa prática.

Olá Uesley, tudo certo? Existe um cenário, onde atendemos uma cidade que não tem ligação fisica com o nosso backbone, então contratei dois parceiros eBGP para que eu pudesse anunciar alguns blocos nossos nesta cidade. Por padrão, o BGP não receberia as rotas que contivessem o meu próprio número de AS no AS-PATH do prefixo.

Para resolver o problema, no RouterOS, você deve usar a opção "AllowAS In" na configuração do Peer, informando quantos prefixos com o seu próprio numero de AS no AS-PATH você deseja receber.

No meu cenário, são apenas 2 prefixos, então setei o valor 2 neste parâmetro e os meus dois prefixos anunciados lá na outra cidade, chegaram no meu backbone principal. Agora, quem garante que alguém anuncie um outro pedaço da minha rede por ai, e o BGP decida instalar essa rota na FIB e deixar os prefixos verdadeiros de fora? Neste caso, uso o filtro na entrada do peer permitindo os blocos que anuncio na outra cidade, e descarto todo o resto dos meus blocos. Digamos que o meu bloco seja 172.16.0.0/20, e eu anuncie na cidade remota o bloco 172.16.0.0/22 e seus sub-blocos.

/routing filter
add action=accept chain=IN_PEER_A comment="Aceita prefixos da cidade X recebidos via upstreams" prefix=172.16.0.0/22 prefix-length=22-24
add action=discard chain=IN_PEER_A comment="Descarta prefixos do AS recebidos via upstreams" prefix=172.16.0.0/20 prefix-length=20-32

Talvez tenha ficado um pouco confuso, mas fiquem à vontade para discutirmos.

Abraço
Gabriel Mineiro

[TsouzaR]

Olá TsouzaR. Na verdade não precisa de full routing. Mesmo você com dois ou mais upstreams, pode desonerar o seu roteador ficando apenas com uma rota default para uma das operadoras (ou mais de uma rota default, caso use ECMP), não exite problema algum e é uma prática corriqueira em provedores que tem roteadores de pequeno porte

Usamos full routing quando somos trânsito para algum cliente e este desejar receber uma tabela completa. Simplifica também o controle minucioso do upload, pois com o ajuste dos filtros você pode direcionar o upload para um determinado destino, selecionando por qual parceiro eBGP você quer "sair".

Caso você não tenha clientes AS, eu ficaria apenas na default mesmo, ou no máximo tabela parcial + default.

Olá @gamineiro.

Sem full routing, nem mesmo o tráfego do próprio provedor vai sair sempre pelo melhor caminho (com uma rota default o tráfego vai ser forçado por um upstream, mesmo que ele seja o pior caminho para o destino em específico). Com ECMP isso apenas fica aleatório: uma hora sai pelo melhor caminho, na outra, pelo pior.

Em MikroTik há um detalhe com o ECMP, onde o cache da tabela de rotas é refeita a cada 10 minutos para evitar ataques DoS (com 2 upstreams, há 50% de chance de o gateway para um determinado destino mudar quando isso ocorre), e até mesmo outros sistemas devem ter algo semelhante (se não tiver, já é uma chance a mais de tomar um ataque do tipo na borda, segundo a MK). Imagine a cada 10 minutos ocorrerem problemas em toda a rede do provedor com bancos, jogos e outras aplicações?

Além disso, vamos supor que um dos upstreams sofra algum problema de conectividade com um datacenter, ou um problema geral com rotas internacionais. Não vai conseguir desviar o tráfego para o outro upstream que está normal sem receber full routing.

Eu acho besteira ter a possibilidade de receber a tabela completa e não o fazer. Banda terá, mas e toda a redundância e estabilidade possível, vai jogar fora sem motivo?

Se não tiver equipamento que suporte isso, aí não tem jeito, é rota default mesmo, mas no caso do autor do tópico, ele tem uma CCR1036 dando sopa. Conheço provedor com 4 upstreams + PTT-SP, e mais de 10 sessões de clientes de trânsito em cada CCR1036, além do OSPF, cada uma roteando de 1Gbps a 4Gbps tranquilamente (total de aproximadamente 10Gbps, incluindo outras muitas CCR1036 geograficamente distantes, com trânsitos diferentes), sem problemas nem gargalos. Claro que quase sempre há um processador em 100%, mas não prejudica nada, pois todos os outros estão trabalhando também com cargas de 10% a 40% equilibradamente.

[gamineiro]

Exato. Por isso me referi à pequenos provedores. Não são muitos que fazem um debug e alteram os filtros de UP quando necessário. Também no RouterOS o fantasma da rota presa pode incomodar.
Do mais, você está corretíssimo.

Abraço
Gabriel Mineiro