Publicité conditionnelle permettant l’installation conditionnelle des préfixes Cas d’utilisation
Les réseaux sont généralement subdivisés en unités plus petites et plus faciles à gérer appelées systèmes autonomes (AS). Lorsque BGP est utilisé par les routeurs pour former des relations d’appairage dans le même AS, il est appelé BGP interne (IBGP). Lorsque BGP est utilisé par les routeurs pour former des relations d’appairage dans différents AS, il est appelé BGP externe (EBGP).
Après avoir effectué des vérifications de intégrité du routage, un routeur BGP accepte les routes reçues de ses pairs et les installe dans la table de routage. Par défaut, tous les routeurs des sessions IBGP et EBGP suivent les règles de publicité BGP standard. Alors qu’un routeur d’une session IBGP annonce uniquement les routes apprises de ses pairs directs, un routeur d’une session EBGP annonce tous les routes apprises de ses pairs directs et indirects (pairs de pairs). Ainsi, dans un réseau typique configuré avec EBGP, un routeur ajoute tous les routes reçues d’un homologue EBGP à sa table de routage et annonce la quasi-totalité des routes à tous les pairs EBGP.
Un fournisseur de services échangeant des routes BGP avec des clients et des pairs sur Internet est exposé à des menaces malveillantes et involontaires qui peuvent compromettre le bon routage du trafic, ainsi que le fonctionnement des routeurs.
Cela présente plusieurs inconvénients :
Non-aggregated route advertisements— Un client peut annoncer par erreur tous ses préfixes au FAI plutôt qu’un agrégat de son espace d’adressage. Compte tenu de la taille de la table de routage Internet, cela doit être soigneusement contrôlé. Un routeur de périphérie peut également n’avoir besoin que d’un routage par défaut vers Internet et recevoir plutôt l’ensemble de la table de routage BGP de son homologue en amont.
BGP route manipulation— Si un administrateur malveillant modifie le contenu de la table de routage BGP, il peut empêcher le trafic d’atteindre sa destination prévue.
BGP route hijacking— Un administrateur non autorisé d’un pair BGP peut annoncer de manière malveillante les préfixes d’un réseau pour tenter de rediriger le trafic destiné au réseau victime vers le réseau de l’administrateur afin soit d’accéder au contenu du trafic, soit de bloquer les services en ligne de la victime.
BGP denial of service (DoS)— Si un administrateur malveillant envoie un trafic BGP inattendu ou indésirable vers un routeur pour tenter d’utiliser toutes les ressources BGP disponibles du routeur, cela peut compromettre la capacité du routeur à traiter des informations de route BGP valides.
L’installation conditionnelle des préfixes peut être utilisée pour résoudre tous les problèmes précédemment cités. Si un client a besoin d’accéder à des réseaux distants, il est possible d’installer un routage spécifique dans la table de routage du routeur connecté au réseau distant. Cela ne se produit pas dans un réseau EBGP typique. L’installation conditionnelle des préfixes devient donc essentielle.
Les AS sont non seulement liés par des relations physiques, mais aussi par des relations commerciales ou organisationnelles. Un AS peut fournir des services à une autre organisation, ou agir comme une AS de transit entre deux autres AS. Ces systèmes d’accès de transit sont liés par des accords contractuels entre les parties qui comprennent des paramètres sur la façon de se connecter entre elles et, surtout, le type et la quantité de trafic qu’ils transportent les uns pour les autres. Par conséquent, pour des raisons juridiques et financières, les fournisseurs de services doivent mettre en œuvre des stratégies qui contrôlent la façon dont les routes BGP sont échangées avec les voisins, quelles routes sont acceptées de ces voisins et comment ces routes affectent le trafic entre les systèmes d’accès.
Il existe de nombreuses options différentes pour filtrer les routes reçues d’un homologue BGP afin d’appliquer des stratégies inter-AS et d’atténuer les risques de réception de routes potentiellement dangereuses. Le filtrage de routage traditionnel examine les attributs d’une route et accepte ou rejette la route en fonction de ces attributs. Une stratégie ou un filtre peut examiner le contenu de l’AS-Path, la valeur du saut suivant, une valeur de communauté, une liste de préfixes, la famille d’adresses du routage, etc.
Dans certains cas, la « condition d’acceptation » standard de la correspondance d’une valeur d’attribut particulière ne suffit pas. Le fournisseur de services peut avoir besoin d’utiliser une autre condition en dehors du routage lui-même, par exemple, une autre route dans la table de routage. Par exemple, il peut être souhaitable d’installer un routage par défaut reçu d’un homologue en amont, uniquement s’il peut être vérifié que cet homologue est accessible à d’autres réseaux plus en amont. Cette installation de routage conditionnelle évite d’installer un routage par défaut utilisé pour envoyer du trafic vers ce pair, alors que celui-ci a peut-être perdu ses routes en amont, ce qui conduit à un trafic noir. Pour ce faire, le routeur peut être configuré pour rechercher la présence d’un routage particulier dans la table de routage et, sur la base de ces connaissances, accepter ou rejeter un autre préfixe.
Exemple : La configuration d’une stratégie de routage pour une publicité conditionnelle permettant l’installation conditionnelle de préfixes dans une table de routage explique comment l’installation conditionnelle des préfixes peut être configurée et vérifiée.