Publication conditionnelle Activation de l’installation conditionnelle de préfixes Cas d’utilisation
Les réseaux sont généralement subdivisés en unités plus petites et plus faciles à gérer, appelées systèmes autonomes (AS). Lorsque BGP est utilisé par les routeurs pour établir des relations d’homologue dans le même AS, on parle de BGP interne (IBGP). Lorsque BGP est utilisé par les routeurs pour établir des relations d’homologue dans différents AS, on parle de BGP externe (EBGP).
Après avoir effectué les vérifications d’intégrité de route, un routeur BGP accepte les routes reçues de ses homologues et les installe dans la table de routage. Par défaut, tous les routeurs des sessions IBGP et EBGP suivent les règles de publication BGP standard. Alors qu’un routeur dans une session IBGP annonce uniquement les routes apprises de ses homologues directs, un routeur dans une session EBGP annonce toutes les routes apprises de ses homologues directs et indirects (pairs de pairs). Par conséquent, dans un réseau classique configuré avec EBGP, un routeur ajoute toutes les routes reçues d’un pair EBGP dans sa table de routage et annonce presque toutes les routes à tous les homologues EBGP.
Un fournisseur de services qui échange des routes BGP avec des clients et des pairs sur Internet est exposé au risque de faire face à des menaces malveillantes et involontaires pouvant compromettre le bon routage du trafic, ainsi que le fonctionnement des routeurs.
Cela présente plusieurs inconvénients :
Non-aggregated route advertisementsUn client pourrait annoncer par erreur tous ses préfixes au FAI plutôt qu’un agrégat de son espace d’adressage. Compte tenu de la taille de la table de routage Internet, cela doit être soigneusement contrôlé. Un routeur de périphérie peut également n’avoir besoin que d’une route par défaut vers Internet et recevoir à la place l’intégralité de la table de routage BGP de son homologue en amont.
BGP route manipulationSi un administrateur malveillant modifie le contenu de la table de routage BGP, il peut empêcher le trafic d’atteindre sa destination prévue.
BGP route hijacking—Un administrateur malveillant d’un pair BGP pourrait annoncer de manière malveillante les préfixes d’un réseau dans le but de réacheminer le trafic destiné au réseau victime vers le réseau de l’administrateur afin d’accéder au contenu du trafic ou de bloquer les services en ligne de la victime.
BGP denial of service (DoS): si un administrateur malveillant envoie du trafic BGP inattendu ou indésirable à un routeur dans le but d’utiliser toutes les ressources BGP disponibles du routeur, cela peut nuire à la capacité du routeur à traiter les informations de routage BGP valides.
L’installation conditionnelle de préfixes peut être utilisée pour résoudre tous les problèmes mentionnés précédemment. Si un client a besoin d’accéder à des réseaux distants, il est possible d’installer une route spécifique dans la table de routage du routeur connecté au réseau distant. Cela ne se produit pas dans un réseau EBGP typique et, par conséquent, l’installation conditionnelle des préfixes devient essentielle.
Les AS ne sont pas seulement liés par des relations physiques, mais aussi par des relations d’affaires ou d’autres relations organisationnelles. Un AS peut fournir des services à une autre organisation, ou agir comme un AS de transit entre deux autres AS. Ces AS de transit sont liés par des accords contractuels entre les parties qui incluent des paramètres sur la façon de se connecter les uns aux autres et, surtout, le type et la quantité de trafic qu’ils transportent les uns pour les autres. Par conséquent, pour des raisons juridiques et financières, les fournisseurs de services doivent implémenter des stratégies qui contrôlent la façon dont les routes BGP sont échangées avec les voisins, celles qui sont acceptées par ces voisins et la manière dont ces routes affectent le trafic entre les AS.
Il existe de nombreuses options différentes pour filtrer les routes reçues d’un pair BGP homologue afin d’appliquer des stratégies inter-OS et d’atténuer les risques de réception de routes potentiellement dangereuses. Le filtrage de route conventionnel examine les attributs d’une route et accepte ou rejette la route en fonction de ces attributs. Une stratégie ou un filtre peut examiner le contenu de l’AS-Path, la valeur du tronçon suivant, une valeur de communauté, une liste de préfixes, la famille d’adresses de l’itinéraire, etc.
Dans certains cas, la « condition d’acceptation » standard consistant à faire correspondre une valeur d’attribut particulière n’est pas suffisante. Le fournisseur de services peut avoir besoin d’utiliser une autre condition en dehors de l’itinéraire lui-même, par exemple, un autre itinéraire dans la table de routage. À titre d’exemple, il peut être souhaitable d’installer une route par défaut reçue d’un homologue en amont, uniquement s’il peut être vérifié que cet homologue a une accessibilité à d’autres réseaux plus en amont. Cette installation de route conditionnelle évite d’installer une route par défaut qui est utilisée pour envoyer du trafic vers cet homologue, lorsque celui-ci peut avoir perdu ses routes en amont, ce qui entraîne un trafic bloqué. Pour ce faire, le routeur peut être configuré pour rechercher la présence d’un itinéraire particulier dans la table de routage et, en fonction de ces connaissances, accepter ou rejeter un autre préfixe.
Exemple : La configuration d’une stratégie de routage pour la publication conditionnelle L’activation de l’installation conditionnelle des préfixes dans une table de routage explique comment l’installation conditionnelle des préfixes peut être configurée et vérifiée.