Exemplos: Configuração do MSDP

Antes de começar:

• Configure as interfaces do roteador.

• Configure um protocolo de gateway interior ou roteamento estático. Consulte a biblioteca de protocolos de roteamento do Junos OS para dispositivos de roteamento.

• Habilite o PIM. Veja a visão geral do PIM.

Você pode configurar o MSDP nos seguintes tipos de instâncias:

• Encaminhamento

• Sem encaminhamento

• Roteador virtual

• VPLS

• VRF

O principal uso do MSDP em uma instância de roteamento é oferecer suporte a quaisquer RPscast na rede, o que permite configurar RPs redundantes. O endereçamento de RP Anycast requer suporte msDP para sincronizar as fontes ativas entre RPs.

Este exemplo inclui as seguintes configurações de MSDP.

• chave de autenticação — Por padrão, os roteadores multicast aceitam e processam quaisquer mensagens MSDP devidamente formatadas a partir do endereço peer configurado. Esse comportamento padrão pode violar as políticas de segurança em muitas organizações porque as mensagens MSDP por definição vêm de outro domínio de roteamento além do controle das práticas de segurança da organização do roteador multicast.

  O roteador pode autenticar mensagens MSDP usando a opção de assinatura TCP message digest 5 (MD5) para sessões de peering do MSDP. Essa autenticação oferece proteção contra pacotes falsificados que estão sendo introduzidos em uma sessão de peering do MSDP. Duas organizações que implementam a autenticação do MSDP devem decidir sobre uma chave legível pelo ser humano para ambos os pares. Essa chave está incluída na computação de assinatura MD5 para cada segmento MSDP enviado entre os dois pares.

  Você configura uma chave de autenticação MSDP por peer, seja o peer MSDP definido em um grupo ou individualmente. Se você configurar diferentes chaves de autenticação para o mesmo peer um em um grupo e um individualmente, a chave individual é usada.

  A chave de peer pode ser uma corda de texto de até 16 letras e dígitos de comprimento. As strings podem incluir quaisquer caracteres ASCII, com exceção de (,), e [. Se você incluir espaços em uma chave de autenticação MSDP, coloque todos os caracteres entre aspas (" ").

  Adicionar, remover ou alterar uma chave de autenticação MSDP em uma sessão de peering reinicia a sessão MSDP existente e estabelece uma nova sessão entre os pares MSDP afetados. Essa rescisão imediata da sessão evita retransmissões excessivas e eventuais intervalos de sessão devido a chaves incompatíveis.

• importação e exportação — Todos os protocolos de roteamento usam a tabela de roteamento para armazenar as rotas que aprendem e determinar quais rotas anunciam em seus pacotes de protocolo. A política de roteamento permite que você controle quais roteamentos os protocolos de roteamento armazenam e recuperam da tabela de roteamento.

  Você pode configurar a política de roteamento globalmente, para um grupo ou para um peer individual. Este exemplo mostra como configurar a política para um peer individual.

  Se você configurar a política de roteamento no nível de grupo, cada peer em um grupo herda a política de roteamento do grupo.

  A declaração de importação aplica políticas às mensagens ativas de origem que estão sendo importadas para o cache ativo de origem do MSDP. A declaração de exportação aplica políticas às mensagens ativas de origem que estão sendo exportadas do cache ativo de origem para o MSDP. Se você especificar mais de uma política, elas serão avaliadas na ordem especificada, do primeiro ao último, e a primeira política de correspondência é aplicada à rota. Se não for encontrada correspondência para a política de importação, o MSDP compartilha com a tabela de roteamento apenas as rotas que foram aprendidas com os roteadores MSDP. Se não for encontrada correspondência para a política de exportação, a política de exportação MSDP padrão é aplicada às entradas no cache ativo de origem. Veja a Tabela 1 para uma lista de condições de jogo.

  Tabela 1: Condições de correspondência do filtro de mensagem ativo de origem do MSDP

  Condição da partida	Partidas em
  interface	Interfaces ou interfaces de roteador especificadas por nome ou endereço IP
  vizinho	Endereço vizinho (o endereço fonte no cabeçalho IP da mensagem de origem ativa)
  filtro de rota	Endereço de grupo multicast incorporado na mensagem de origem ativa
  filtro de endereço fonte	Endereço de origem multicast incorporado na mensagem de origem ativa

• Endereço local — identifica o endereço do roteador que você está configurando como um roteador MSDP (o roteador local). Quando você configura o MSDP, a declaração de endereço local é necessária. O roteador também deve ser um ponto de encontro de modo esparso (PIM) independente de protocolo (RP).

• peer — um roteador MSDP deve saber quais roteadores são seus pares. Você define explicitamente as relações entre pares configurando os roteadores vizinhos que são os pares MSDP do roteador local. Após a criação de relações entre pares, os pares do MSDP trocam mensagens para anunciar fontes multicast ativas. Você deve configurar pelo menos um peer para que o MSDP funcione. Quando você configura o MSDP, a declaração de peer é necessária. O roteador também deve ser um ponto de encontro de modo esparso (PIM) independente de protocolo (RP).

  Você pode organizar os pares do MSDP em grupos. Cada grupo deve conter pelo menos um peer. Organizar pares em grupos é útil se você quiser bloquear fontes de alguns pares e aceitá-las de outros, ou definir opções de rastreamento em um grupo e não em outros. Este exemplo mostra como configurar os pares MSDP em grupos. Se você configurar os pares MSDP em um grupo, cada peer em um grupo herda todas as opções de nível de grupo.

• Procedimento
• Resultados

Para verificar a configuração, execute os seguintes comandos:

• mostrar VPN-100 de instância msdp

• mostrar VPN-100 msdp ativa de origem

• mostrar instância de uso multicast VPN-100

• tabela de rotas de exibição VPN-100.inet.4

Antes de começar:

• Configure as interfaces do roteador.

• Configure um protocolo de gateway interior ou roteamento estático. Consulte a biblioteca de protocolos de roteamento do Junos OS para dispositivos de roteamento.

• Habilite o modo esparso de PIM. Veja a visão geral do PIM.

• Configure o roteador como um RP de modo esparso DE PIM. Veja configuração de RPs PIM locais.

Um roteador interessado em mensagens MSDP, como um RP, pode ter que processar um grande número de mensagens MSDP, especialmente mensagens ativas de origem, chegando de outros roteadores. Devido à necessidade potencial de um roteador examinar, processar e criar tabelas de estado para muitos pacotes MSDP, existe a possibilidade de um ataque de negação de serviço (DoS) baseado em MSDP em um roteador que executa o MSDP. Para minimizar essa possibilidade, você pode configurar o roteador para limitar o número de mensagens ativas de origem que o roteador aceita. Além disso, você pode configurar um limiar para aplicar a detecção antecipada aleatória (RED) para soltar algumas, mas não todas as mensagens de origem ativa do MSDP.

Por padrão, o roteador aceita 25.000 mensagens ativas de origem antes de ignorar o restante. O limite pode ser de 1 a 1.000.000. O limite é aplicado tanto ao número de mensagens quanto ao número de pares de MSDP.

Por padrão, o roteador aceita 24.000 mensagens ativas de origem antes de aplicar o perfil RED para evitar um possível ataque DoS. Esse número também pode variar de 1 a 1.000.000. As próximas 1000 mensagens são exibidas pelo perfil RED e pelas mensagens aceitas processadas. Se você configurar nenhum perfil de queda (como este exemplo não faz), o RED ainda está em vigor e funciona como o mecanismo principal para gerenciar o congestionamento. No perfil de queda RED padrão, quando o nível de preenchimento da fila de pacotes é de 0%, a probabilidade de queda é de 0%. Quando o nível de preenchimento é de 100%, a probabilidade de queda é de 100%.

Nota:

O roteador ignora mensagens ativas de origem com pacotes TCP encapsulados. O Multicast não usa TCP; segmentos dentro de mensagens ativas de origem são provavelmente o resultado da atividade do worm.

O número configurado para o limiar deve ser menor do que o número configurado para o número máximo de fontes MSDP ativas.

Você pode configurar um limite de fonte ativo globalmente, para um grupo ou para um peer. Se os limites de origem ativa estiverem configurados em vários níveis da hierarquia (como mostrado neste exemplo), todos serão aplicados.

Você pode configurar um limite de fonte ativo para uma faixa de endereço, bem como para um peer específico. Um limite de origem ativa por fonte usa um prefixo IP e um comprimento de prefixo em vez de um endereço específico. Você pode configurar mais de um limite de fonte ativa por fonte. A correspondência mais longa determina o limite.

Os limites de origem ativa por fonte podem ser combinados com limites ativos de origem no nível de hierarquia entre pares, grupos e globais (instâncias). Os limites por fonte são aplicados antes de qualquer outro tipo de limite de fonte ativo. Os limites são testados na seguinte ordem:

• Por fonte

• Por peer ou grupo

• Por instância

Uma mensagem de origem ativa deve "passar" todos os limites estabelecidos antes de ser aceito. Por exemplo, se uma fonte estiver configurada com um limite de fonte ativa de 10.000 grupos multicast ativos e a instância for configurada com um limite de 5000(e não houver outras fontes ou limites configurados), apenas 5.000 mensagens de origem ativa são aceitas dessa fonte.

Grupos de malha MSDP são grupos de pares configurados em uma topologia de malha completa que limita a inundação de mensagens ativas de origem aos pares vizinhos. Todos os membros do grupo de malha devem ter uma conexão peer com todos os outros membros do grupo de malha. Quando uma mensagem de origem ativa é recebida de um membro do grupo mesh, a mensagem ativa de origem é sempre aceita, mas não é inundada para outros membros do mesmo grupo de malha. No entanto, a mensagem ativa de origem é inundada para pares de grupos não-malha ou membros de outros grupos de malha. Por padrão, as regras padrão de inundação se aplicam se o grupo de malha não for especificado.

CUIDADO:

Ao configurar grupos de malha MSDP, você deve configurar todos os membros da mesma maneira. Se você não configurar uma malha completa, podem ocorrer inundações excessivas de mensagens ativas de origem.

Um aplicativo comum para grupos de malha MSDP é o desvio de verificação de caminho reverso (peer-RPF). Por exemplo, se houver dois pares MSDP dentro de um sistema autônomo (AS), e apenas um deles tiver uma sessão de MSDP externa para outro AS, o peer interno do MSDP frequentemente rejeita as mensagens de origem ativas recebidas transmitidas pelo peer com o link externo. A rejeição ocorre porque o peer MSDP externo deve ser acessível pelo peer interno do MSDP até o próximo salto em direção à fonte em outro AS, e essa condição de próximo salto não é certa. Para evitar rejeições, configure um grupo de malha MSDP no peer interno do MSDP para que ele sempre aceite mensagens ativas de origem.

Nota:

Uma maneira alternativa de ignorar a verificação peer-RPF é configurar um peer padrão. Em redes com apenas um peer MSDP, especialmente redes stub, a mensagem de origem ativa sempre precisa ser aceita. Um peer padrão MSDP é um peer MSDP do qual todas as mensagens ativas de origem são aceitas sem realizar a verificação peer-RPF. Você pode estabelecer um peer padrão no nível peer ou de grupo, incluindo a declaração de peer padrão .

A Tabela 2 explica como as inundações são tratadas por pares neste exemplo. .

Tabela 2: Explicação sobre a inundação de mensagens ativas na origem

Mensagem de origem ativa recebida de	Mensagem ativa de origem inundada para	Mensagem ativa de origem não inundada para
Peer 21	Peer 11, Peer 12, Peer 13, Peer 31, Peer 32	Peer 22
Peer 11	Peer 21, Peer 22, Peer 31, Peer 32	Peer 12, Peer 13
Peer 31	Peer 21, Peer 22, Peer 11, Peer 12, Peer 13, Peer 32	–

A Figura 3 ilustra a inundação de mensagens ativas entre diferentes grupos de malha e pares dentro do mesmo grupo de malha.

Este exemplo inclui as seguintes configurações:

• limite de fonte ativa no máximo 10000 — aplica um limite de 10.000 fontes ativas a todos os outros pares.

• desabilitação de encapsulamento de dados — Em um roteador RP usando MSDP, desativa o encapsulamento padrão de dados multicast recebidos em mensagens de registro MSDP dentro de mensagens ativas de origem MSDP.

  O encapsulamento de dados do MSDP diz respeito principalmente a fontes de tráfego multicast. Fontes que enviam apenas um pacote a cada poucos minutos têm problemas com o tempo limite das relações de estado entre fontes e seus grupos multicast (S,G). Os roteadores perdem dados enquanto tentam restabelecer tabelas de estado (S,G). Como resultado, as mensagens de registro multicast contêm dados, e esse encapsulamento de dados em mensagens de origem ativa do MSDP pode ser ativado ou desativado através da configuração.

  Por padrão, o encapsulamento de dados do MSDP está habilitado. Um RP em execução MSDP leva os pacotes de dados que chegam na mensagem de registro da fonte e encapsula os dados dentro de uma mensagem ativa de origem MSDP.

  No entanto, o encapsulamento de dados cria tanto uma entrada de cache de encaminhamento multicast na tabela inet.1 (esta também é a tabela de encaminhamento) quanto uma entrada de tabela de roteamento na tabela inet.4 . Sem o encapsulamento de dados, o MSDP cria apenas uma entrada de tabela de roteamento na tabela inet.4 . Em algumas circunstâncias, como a presença de worms da Internet ou outras formas de ataque DoS, a tabela de encaminhamento do roteador pode se encher com essas entradas. Para evitar que a tabela de encaminhamento seja preenchido com entradas MSDP, você pode configurar o roteador para não usar o encapsulamento de dados MSDP. No entanto, se você desativar o encapsulamento de dados, o roteador ignora e descarta os dados encapsulados. Sem o encapsulamento de dados, aplicativos multicast com fontes estouradas com intervalos de transmissão superiores a cerca de 3 minutos podem não funcionar bem.

• grupo MSDP-group endereço local 10.1.2.3 — Especifica o endereço do roteador local (este roteador).

• grupo MSDP-group mode mesh-group — Especifica que todos os pares pertencentes ao grupo do grupo MSDP são membros do grupo de malha.

• grupo MSDP-group peer 10.10.10.10 — evita o envio de mensagens ativas de origem para o peer vizinho 10.10.10.10.

• grupo MSDP-group peer 10.10.10.10 active-source-limit máximo 7500 — aplica um limite de 7500 fontes ativas ao MSDP peer 10.10.10.10 no grupo MSDP-group.

• peer 10.0.0.1 active-source-limit máximo 5000 threshold 4000 — aplica um threshhold de 4000 fontes ativas e um limite de 5000 fontes ativas para o MSDP peer 10.0.0.1.

• fonte 10.1.0.0/16 active-source-limit máximo 500 — aplica um limite de 500 fontes ativas a qualquer fonte na rede 10.1.0/16.

• Procedimento
• Resultados

Para verificar a configuração, execute os seguintes comandos:

• mostrar msdp ativo de origem

• mostrar estatísticas do msdp