Exemples : Configuration de MSDP

Avant de commencer :

• Configurez les interfaces des routeurs.

• Configurez un protocole de passerelle intérieure ou un routage statique. Voir la bibliothèque des protocoles de routage Junos OS pour les périphériques de routage.

• Activez PIM. Reportez-vous à la section Présentation de PIM.

Vous pouvez configurer MSDP dans les types d’instances suivants :

• Transfert

• Pas de transfert

• Routeur virtuel

• Le VPLS

• VRF (Anglais seulement)

MSDP est principalement utilisé dans une instance de routage pour prendre en charge les RP anycast sur le réseau, ce qui vous permet de configurer des RP redondants. L’adressage RP Anycast nécessite la prise en charge MSDP pour synchroniser les sources actives entre les RP.

Cet exemple inclut les paramètres MSDP suivants.

• authentication-key : par défaut, les routeurs multicast acceptent et traitent tous les messages MSDP correctement formatés à partir de l’adresse homologue configurée. Ce comportement par défaut peut enfreindre les stratégies de sécurité dans de nombreuses organisations, car les messages MSDP proviennent par définition d'un autre domaine de routage qui échappe au contrôle des pratiques de sécurité de l'organisation du routeur multicast.

  Le routeur peut authentifier les messages MSDP à l’aide de l’option de signature TCP Message Digest 5 (MD5) pour les sessions d’appairage MSDP. Cette authentification fournit une protection contre l’introduction de paquets usurpés dans une session d’appairage MSDP. Deux organisations mettant en uvre l’authentification MSDP doivent décider d’une clé lisible par l’homme sur leurs deux homologues. Cette clé est incluse dans le calcul de la signature MD5 pour chaque segment MSDP envoyé entre les deux homologues.

  Vous configurez une clé d’authentification MSDP par pair, que l’homologue MSDP soit défini dans un groupe ou individuellement. Si vous configurez des clés d’authentification différentes pour le même homologue, l’une dans un groupe et l’autre individuellement, la clé individuelle est utilisée.

  La clé homologue peut être une chaîne de texte comportant jusqu’à 16 lettres et chiffres. Les chaînes peuvent inclure n’importe quel caractère ASCII, à l’exception de (,), &, et [. Si vous incluez des espaces dans une clé d’authentification MSDP, placez tous les caractères entre guillemets ( » « ).

  L’ajout, la suppression ou la modification d’une clé d’authentification MSDP dans une session d’appairage réinitialise la session MSDP existante et établit une nouvelle session entre les homologues MSDP concernés. Cet arrêt immédiat de la session permet d’éviter les retransmissions excessives et les éventuels délais d’expiration de la session dus à des clés incompatibles.

• import and export : tous les protocoles de routage utilisent la table de routage pour stocker les routes qu’ils apprennent et pour déterminer les routes qu’ils annoncent dans leurs paquets de protocoles. La stratégie de routage vous permet de contrôler les routes que les protocoles de routage stockent dans la table de routage et récupèrent à partir de celle-ci.

  Vous pouvez configurer une stratégie de routage globalement, pour un groupe ou pour un homologue individuel. Cet exemple montre comment configurer la stratégie pour un homologue individuel.

  Si vous configurez la stratégie de routage au niveau du groupe, chaque homologue d'un groupe hérite de la stratégie de routage du groupe.

  L’instruction import applique des stratégies aux messages actifs à la source importés dans le cache source actif à partir de MSDP. L’instruction export applique des stratégies aux messages actifs de la source exportés du cache actif de la source vers MSDP. Si vous spécifiez plusieurs stratégies, elles sont évaluées dans l’ordre spécifié, de la première à la dernière, et la première stratégie correspondante est appliquée à l’itinéraire. Si aucune correspondance n’est trouvée pour la stratégie d’importation, MSDP partage avec la table de routage uniquement les routes qui ont été apprises à partir des routeurs MSDP. Si aucune correspondance n’est trouvée pour la stratégie d’exportation, la stratégie d’exportation MSDP par défaut est appliquée aux entrées du cache source actif. Voir le tableau 1 pour une liste des conditions de correspondance.

  Tableau 1 : conditions de correspondance du filtre de message source actif MSDP

  Condition de correspondance	Allumettes activées
  interface	Interface(s) de routeur spécifiée(s) par nom ou adresse IP
  voisin	Adresse voisine (l’adresse source dans l’en-tête IP du message source-actif)
  filtre_route	Adresse de groupe multicast incorporée dans le message source-actif
  filtre_adresse_source	Adresse de la source multicast incorporée dans le message source-active

• local-address : identifie l’adresse du routeur que vous configurez en tant que routeur MSDP (le routeur local). Lorsque vous configurez MSDP, l’instruction local-address est requise. Le routeur doit également être un point de rendez-vous en mode clairsemé (RP) PIM (Protocol Independent Multicast).

• peer : un routeur MSDP doit savoir quels routeurs sont ses homologues. Vous définissez explicitement les relations d’homologue en configurant les routeurs voisins qui sont les homologues MSDP du routeur local. Une fois les relations d’homologue établies, les homologues MSDP échangent des messages pour annoncer les sources de multidiffusion actives. Vous devez configurer au moins un homologue pour que MSDP fonctionne. Lorsque vous configurez MSDP, l’instruction homologue est requise. Le routeur doit également être un point de rendez-vous en mode clairsemé (RP) PIM (Protocol Independent Multicast).

  Vous pouvez regrouper les homologues MSDP. Chaque groupe doit contenir au moins un pair. L’organisation des pairs en groupes est utile si vous souhaitez bloquer les sources de certains pairs et les accepter d’autres, ou définir des options de suivi sur un groupe et pas sur d’autres. Cet exemple montre comment configurer les homologues MSDP dans des groupes. Si vous configurez des homologues MSDP dans un groupe, chaque homologue d’un groupe hérite de toutes les options au niveau du groupe.

• Procédure
• Résultats

Pour vérifier la configuration, exécutez les commandes suivantes :

• show msdp instance VPN-100

• show msdp source-active VPN-100

• show instance d’utilisation multicast VPN-100

• show table de routage VPN-100.inet.4

Avant de commencer :

• Configurez les interfaces des routeurs.

• Configurez un protocole de passerelle intérieure ou un routage statique. Voir la bibliothèque des protocoles de routage Junos OS pour les périphériques de routage.

• Activez le mode clairsemé PIM. Reportez-vous à la section Présentation de PIM.

• Configurez le routeur en tant que RP PIM en mode clairsemé. Reportez-vous à la section Configuration des RP PIM locaux.

Un routeur intéressé par les messages MSDP, tel qu’un RP, peut être amené à traiter un grand nombre de messages MSDP, en particulier les messages actifs à la source, provenant d’autres routeurs. Étant donné qu’un routeur peut avoir besoin d’examiner, de traiter et de créer des tables d’état pour de nombreux paquets MSDP, il est possible qu’une attaque par déni de service (DoS) basée sur MSDP soit lancée sur un routeur exécutant MSDP. Pour minimiser cette possibilité, vous pouvez configurer le routeur pour limiter le nombre de messages actifs de la source qu’il accepte. En outre, vous pouvez configurer un seuil pour l’application de la détection précoce aléatoire (RED) afin d’abandonner certains messages source actifs MSDP, mais pas tous.

Par défaut, le routeur accepte 25 000 messages actifs de la source avant d’ignorer le reste. La limite peut être comprise entre 1 et 1 000 000. La limite s’applique à la fois au nombre de messages et au nombre d’homologues MSDP.

Par défaut, le routeur accepte 24 000 messages source-actifs avant d’appliquer le profil RED pour éviter une éventuelle attaque par déni de service. Ce nombre peut également être compris entre 1 et 1 000 000. Les 1000 messages suivants sont filtrés par le profil RED et les messages acceptés sont traités. Si vous ne configurez aucun profil d’interruption (ce qui n’est pas le cas dans cet exemple), RED est toujours en vigueur et fonctionne comme le principal mécanisme de gestion de l’encombrement. Dans le profil d’abandon RED par défaut, lorsque le niveau de remplissage de la file d’attente de paquets est de 0 %, la probabilité d’abandon est de 0 %. Lorsque le niveau de remplissage est de 100 %, la probabilité d’abandon est de 100 %.

Note:

Le routeur ignore les messages actifs à la source contenant des paquets TCP encapsulés. La multidiffusion n’utilise pas TCP ; Les segments à l’intérieur des messages actifs à la source sont très probablement le résultat de l’activité des vers.

Le nombre configuré pour le seuil doit être inférieur au nombre configuré pour le nombre maximal de sources MSDP actives.

Vous pouvez configurer une limite de sources actives globalement, pour un groupe ou pour un pair. Si des limites de sources actives sont configurées à plusieurs niveaux de la hiérarchie (comme illustré dans cet exemple), elles sont toutes appliquées.

Vous pouvez configurer une limite de source active pour une plage d’adresses ainsi que pour un homologue spécifique. Une limite de source active par source utilise un préfixe IP et une longueur de préfixe au lieu d’une adresse spécifique. Vous pouvez configurer plus d’une limite de sources actives par source. La correspondance la plus longue détermine la limite.

Les limites de sources actives par source peuvent être combinées avec les limites de sources actives au niveau de la hiérarchie des pairs, des groupes et des instances globales. Les limites par source sont appliquées avant tout autre type de limite de source active. Les limites sont testées dans l’ordre suivant :

• Par source

• Par pair ou par groupe

• Par instance

Un message source actif doit « dépasser » toutes les limites établies avant d’être accepté. Par exemple, si une source est configurée avec une limite de source active de 10 000 groupes multicast actifs et que l’instance est configurée avec une limite de 5 000 (et qu’aucune autre source ou limite n’est configurée), seuls 5 000 messages source actifs sont acceptés à partir de cette source.

Les groupes de maillage MSDP sont des groupes d’homologues configurés dans une topologie à maillage complet qui limite l’inondation de messages actifs à la source vers des homologues voisins. Chaque membre d’un groupe de maillage doit avoir une connexion homologue avec tous les autres membres d’un groupe de maillage. Lorsqu’un message source actif est reçu d’un membre d’un groupe de maillage, le message source actif est toujours accepté, mais n’est pas envoyé aux autres membres du même groupe de maillage. Toutefois, le message source-actif est inondé vers des homologues de groupes non maillés ou des membres d’autres groupes de maillage. Par défaut, les règles de flooding standard s’appliquent si mesh-group n’est pas spécifié.

PRUDENCE:

Lors de la configuration des groupes de maillage MSDP, vous devez configurer tous les membres de la même manière. Si vous ne configurez pas un maillage complet, un flooding excessif de messages actifs à la source peut se produire.

Une application courante pour les groupes de maillage MSDP est le contournement de vérification peer-reverse-path-forwarding (peer-RPF). Par exemple, s’il y a deux homologues MSDP à l’intérieur d’un système autonome (AS) et qu’un seul d’entre eux a une session MSDP externe vers un autre AS, l’homologue MSDP interne rejette souvent les messages entrants actifs de la source relayés par l’homologue avec le lien externe. Le rejet se produit parce que l’homologue MSDP externe doit être accessible par l’homologue MSDP interne via le saut suivant vers la source dans un autre AS, et cette condition de saut suivant n’est pas certaine. Pour éviter les rejets, configurez un groupe de maillage MSDP sur l’homologue MSDP interne afin qu’il accepte toujours les messages actifs de la source.

Note:

Une autre façon de contourner la vérification pair-RPF consiste à configurer un homologue par défaut. Dans les réseaux avec un seul homologue MSDP, en particulier les réseaux stub, le message source actif doit toujours être accepté. Un homologue MSDP par défaut est un homologue MSDP à partir duquel tous les messages actifs à la source sont acceptés sans effectuer la vérification RPF de l’homologue. Vous pouvez établir un homologue par défaut au niveau de l’homologue ou du groupe en incluant l’instruction default-peer .

Dans cet exemple, le tableau 2 explique comment les inondations sont gérées par les pairs. .

Tableau 2 : Explication de l’inondation de messages source-actif

Message actif-source reçu de	Message actif source inondé vers	Le message source-actif n’est pas inondé
Peer 21	Pair 11, Peer 12, Peer 13, Peer 31, Peer 32	Peer 22
Pair 11	Peer 21, Peer 22, Peer 31, Peer 32	Pair 12, Peer 13
Peer 31	Pair 21, Peer 22, Peer 11, Peer 12, Peer 13, Peer 32	–

La figure 3 illustre le flooding de messages source-actif entre différents groupes de maillage et homologues au sein d’un même groupe de maillage.

Cet exemple inclut les paramètres suivants :

• active-source-limit maximum 10000 : applique une limite de 10 000 sources actives à tous les autres homologues.

• data-encapsulation disable : sur un routeur RP utilisant MSDP, désactive l’encapsulation par défaut des données multicast reçues dans les messages d’enregistrement MSDP à l’intérieur des messages actifs source MSDP.

  L’encapsulation des données MSDP concerne principalement les sources en rafale de trafic multicast. Les sources qui n’envoient qu’un seul paquet toutes les quelques minutes ont des problèmes avec le délai d’expiration des relations d’état entre les sources et leurs groupes de multidiffusion (S,G). Les routeurs perdent des données lorsqu’ils tentent de rétablir des tables d’état (S,G). Par conséquent, les messages de registre multicast contiennent des données, et cette encapsulation des données dans les messages MSDP actifs sur la source peut être activée ou désactivée via la configuration.

  Par défaut, l’encapsulation des données MSDP est activée. Un RP exécutant MSDP prend les paquets de données arrivant dans le message d'enregistrement de la source et encapsule les données à l'intérieur d'un message MSDP actif à la source.

  Toutefois, l’encapsulation de données crée à la fois une entrée de cache de transfert multicast dans la table inet.1 (également appelée table de transfert) et une entrée de table de routage dans la table inet.4 . Sans encapsulation des données, MSDP crée uniquement une entrée de table de routage dans la table inet.4 . Dans certaines circonstances, telles que la présence de vers Internet ou d'autres formes d'attaque DoS, la table de transfert du routeur peut se remplir de ces entrées. Pour éviter que la table de transfert ne se remplisse d’entrées MSDP, vous pouvez configurer le routeur pour qu’il n’utilise pas l’encapsulation de données MSDP. Toutefois, si vous désactivez l’encapsulation des données, le routeur ignore et ignore les données encapsulées. Sans encapsulation des données, les applications multicast avec des sources en rafale ayant des intervalles de transmission supérieurs à environ 3 minutes peuvent ne pas fonctionner correctement.

• group MSDP-group local-address 10.1.2.3 : spécifie l’adresse du routeur local (ce routeur).

• group MSDP-group mode mesh-group : spécifie que tous les homologues appartenant au groupe MSDP-group sont membres d’un groupe de maillage.

• group MSDP-group peer 10.10.10.10 : empêche l’envoi de messages actifs à la source vers l’homologue voisin 10.10.10.10.

• group MSDP-group peer 10.10.10.10 active-source-limit maximum 7500 : applique une limite de 7500 sources actives à l’homologue MSDP 10.10.10.10 dans le groupe MSDP-group.

• peer 10.0.0.1 active-source-limit maximum 5000 threshold 4000 : applique une limite de 4000 sources actives et une limite de 5000 sources actives à l’homologue MSDP 10.0.0.1.

• source 10.1.0.0/16 active-source-limit maximum 500 : applique une limite de 500 sources actives à n’importe quelle source sur le réseau 10.1.0.0/16.

• Procédure
• Résultats

Pour vérifier la configuration, exécutez les commandes suivantes :

• show msdp source-active

• Afficher les statistiques MSDP