Ejemplos: configuración de MSDP

Antes de empezar:

• Configure las interfaces del enrutador.

• Configure un protocolo de puerta de enlace interior o un enrutamiento estático. Consulte la biblioteca de protocolos de enrutamiento de Junos OS para dispositivos de enrutamiento.

• Habilite PIM. Consulte Descripción general de PIM.

Puede configurar MSDP en los siguientes tipos de instancias:

• Expedición

• Sin reenvío

• Enrutador virtual

• VPLS

• VRF (en inglés)

El uso principal de MSDP en una instancia de enrutamiento es admitir cualquier RP de difusión en la red, lo que permite configurar RP redundantes. El direccionamiento de RP de cualquier difusión requiere compatibilidad con MSDP para sincronizar los orígenes activos entre los RP.

Este ejemplo incluye la siguiente configuración de MSDP.

• authentication-key: de forma predeterminada, los enrutadores de multidifusión aceptan y procesan cualquier mensaje MSDP con formato correcto desde la dirección del mismo nivel configurada. Este comportamiento predeterminado puede infringir las directivas de seguridad de muchas organizaciones, ya que los mensajes MSDP, por definición, proceden de otro dominio de enrutamiento que escapa al control de las prácticas de seguridad de la organización del enrutador de multidifusión.

  El enrutador puede autenticar mensajes MSDP mediante la opción de firma TCP message digest 5 (MD5) para sesiones de emparejamiento MSDP. Esta autenticación proporciona protección contra la introducción de paquetes falsificados en una sesión de emparejamiento MSDP. Dos organizaciones que implementan la autenticación MSDP deben decidir sobre una clave legible por humanos en ambos pares. Esta clave se incluye en el cálculo de la firma MD5 para cada segmento MSDP enviado entre los dos pares.

  Puede configurar una clave de autenticación MSDP por par, tanto si el interlocutor MSDP se define en un grupo como individualmente. Si configura diferentes claves de autenticación para el mismo par, una en un grupo y otra individualmente, se utilizará la clave individual.

  La clave par puede ser una cadena de texto de hasta 16 letras y dígitos. Las cadenas pueden incluir cualquier carácter ASCII con la excepción de (,), &, y [. Si incluye espacios en una clave de autenticación MSDP, escriba todos los caracteres entre comillas (" ").

  Al agregar, quitar o cambiar una clave de autenticación MSDP en una sesión de emparejamiento se restablece la sesión de MSDP existente y se establece una nueva sesión entre los pares de MSDP afectados. Esta finalización inmediata de la sesión evita retransmisiones excesivas y eventuales tiempos de espera de sesión debido a claves no coincidentes.

• importar y exportar: todos los protocolos de enrutamiento utilizan la tabla de enrutamiento para almacenar las rutas que aprenden y para determinar qué rutas anuncian en sus paquetes de protocolo. La directiva de enrutamiento le permite controlar qué rutas almacenan y recuperan de la tabla de enrutamiento los protocolos de enrutamiento.

  Puede configurar la directiva de enrutamiento globalmente, para un grupo o para un par individual. En este ejemplo se muestra cómo configurar la directiva para un elemento del mismo nivel individual.

  Si configura la directiva de enrutamiento en el nivel de grupo, cada par de un grupo hereda la directiva de enrutamiento del grupo.

  La instrucción import aplica directivas a los mensajes activos de origen que se importan a la caché activa de origen desde MSDP. La instrucción export aplica directivas a los mensajes activos de origen que se exportan desde la caché activa de origen a MSDP. Si especifica más de una directiva, se evalúan en el orden especificado, del primero al último, y la primera política coincidente se aplica a la ruta. Si no se encuentra ninguna coincidencia para la directiva de importación, MSDP comparte con la tabla de enrutamiento sólo las rutas que se aprendieron de los enrutadores MSDP. Si no se encuentra ninguna coincidencia para la directiva de exportación, se aplica la directiva de exportación MSDP predeterminada a las entradas de la caché activa en origen. Consulte la Tabla 1 para obtener una lista de las condiciones de coincidencia.

  Tabla 1: Condiciones de coincidencia del filtro de mensajes activo de origen de MSDP

  Condición de coincidencia	Partidos activados
  interfaz	Interfaz o interfaces de enrutador especificadas por nombre o dirección IP
  vecino	Dirección del vecino (la dirección de origen en el encabezado IP del mensaje activo de origen)
  route-filter	Dirección de grupo de multidifusión incrustada en el mensaje activo de origen
  fuente-dirección-filtro	Dirección de origen de multidifusión incrustada en el mensaje activo de origen

• local-address: identifica la dirección del enrutador que está configurando como enrutador MSDP (el enrutador local). Cuando configure MSDP, se requiere la instrucción de dirección local . El enrutador también debe ser un punto de encuentro en modo disperso (RP) de multidifusión independiente del protocolo (PIM).

• par: un enrutador MSDP debe saber qué enrutadores son sus pares. Las relaciones del mismo nivel se definen explícitamente configurando los enrutadores vecinos que son los pares MSDP del enrutador local. Después de establecer las relaciones pares, los pares MSDP intercambian mensajes para anunciar orígenes de multidifusión activos. Debe configurar al menos un par para que MSDP funcione. Al configurar MSDP, se requiere la instrucción del mismo nivel . El enrutador también debe ser un punto de encuentro en modo disperso (RP) de multidifusión independiente del protocolo (PIM).

  Puede organizar los pares de MSDP en grupos. Cada grupo debe contener al menos un par. Organizar los pares en grupos es útil si desea bloquear orígenes de algunos pares y aceptarlos de otros, o establecer opciones de seguimiento en un grupo y no en otros. En este ejemplo se muestra cómo configurar los pares MSDP en grupos. Si configura pares MSDP en un grupo, cada par de un grupo hereda todas las opciones de nivel de grupo.

• Procedimiento
• Resultados

Para comprobar la configuración, ejecute los siguientes comandos:

• mostrar instancia de msdp VPN-100

• mostrar VPN-100 activo de origen MSDP

• mostrar instancia de uso de multidifusión VPN-100

• mostrar tabla de rutas VPN-100.inet.4

Antes de empezar:

• Configure las interfaces del enrutador.

• Configure un protocolo de puerta de enlace interior o un enrutamiento estático. Consulte la biblioteca de protocolos de enrutamiento de Junos OS para dispositivos de enrutamiento.

• Habilite el modo disperso PIM. Consulte Descripción general de PIM.

• Configure el enrutador como un RP de modo disperso PIM. Consulte Configuración de RP de PIM locales.

Un enrutador interesado en mensajes MSDP, como un RP, podría tener que procesar un gran número de mensajes MSDP, especialmente mensajes activos de origen, que llegan de otros enrutadores. Debido a la necesidad potencial de un enrutador para examinar, procesar y crear tablas de estado para muchos paquetes MSDP, existe la posibilidad de un ataque de denegación de servicio (DoS) basado en MSDP en un enrutador que ejecuta MSDP. Para minimizar esta posibilidad, puede configurar el enrutador para limitar el número de mensajes activos de origen que acepta el enrutador. Además, puede configurar un umbral para aplicar la detección temprana aleatoria (RED) para eliminar algunos pero no todos los mensajes de origen activo de MSDP.

De forma predeterminada, el enrutador acepta 25.000 mensajes activos de origen antes de ignorar el resto. El límite puede ser de 1 a 1.000.000. El límite se aplica tanto al número de mensajes como al número de pares MSDP.

De forma predeterminada, el router acepta 24.000 mensajes activos de origen antes de aplicar el perfil RED para evitar un posible ataque DoS. Este número también puede variar de 1 a 1,000,000. Los siguientes 1000 mensajes son examinados por el perfil RED y los mensajes aceptados procesados. Si no configura perfiles de caída (como no lo hace este ejemplo), RED sigue vigente y funciona como el mecanismo principal para administrar la congestión. En el perfil de colocación RED predeterminado, cuando el nivel de llenado de la cola de paquetes es del 0 por ciento, la probabilidad de caída es del 0 por ciento. Cuando el nivel de llenado es del 100 por ciento, la probabilidad de caída es del 100 por ciento.

Nota:

El enrutador ignora los mensajes activos de origen con paquetes TCP encapsulados. La multidifusión no utiliza TCP; Los segmentos dentro de los mensajes activos de origen son probablemente el resultado de la actividad del gusano.

El número configurado para el umbral debe ser menor que el número configurado para el número máximo de orígenes MSDP activos.

Puede configurar un límite de origen activo globalmente, para un grupo o para un par. Si se configuran límites de origen activo en varios niveles de la jerarquía (como se muestra en este ejemplo), se aplican todos.

Puede configurar un límite de origen activo para un intervalo de direcciones, así como para un par específico. Un límite de origen activo por origen utiliza un prefijo IP y una longitud de prefijo en lugar de una dirección específica. Puede configurar más de un límite de origen activo por origen. El partido más largo determina el límite.

Los límites de origen activo por origen se pueden combinar con límites de origen activo a nivel de jerarquía del mismo nivel, de grupo y global (instancia). Los límites por fuente se aplican antes que cualquier otro tipo de límite de fuente activa. Los límites se prueban en el siguiente orden:

• Por fuente

• Por par o grupo

• Por instancia

Un mensaje de origen activo debe "pasar" todos los límites establecidos antes de ser aceptado. Por ejemplo, si un origen está configurado con un límite de origen activo de 10.000 grupos de multidifusión activos y la instancia está configurada con un límite de 5000 (y no hay otros orígenes o límites configurados), sólo se aceptan 5000 mensajes de origen activo de este origen.

Los grupos de malla MSDP son grupos de elementos del mismo nivel configurados en una topología de malla completa que limita la inundación de mensajes activos de origen a los pares vecinos. Cada miembro del grupo de malla debe tener una conexión par con todos los demás miembros del grupo de malla. Cuando se recibe un mensaje activo de origen de un miembro del grupo de malla, el mensaje activo de origen siempre se acepta, pero no se inunda a otros miembros del mismo grupo de malla. Sin embargo, el mensaje de origen activo se inunda a los pares del grupo que no son de malla o a los miembros de otros grupos de malla. De forma predeterminada, se aplican reglas de inundación estándar si no se especifica el grupo de malla .

CAUTELA:

Al configurar grupos de malla MSDP, debe configurar todos los miembros de la misma manera. Si no configura una malla completa, puede producirse una inundación excesiva de mensajes activos en origen.

Una aplicación común para los grupos de malla MSDP es la omisión de comprobación del reenvío de ruta inversa del par (RPF del mismo nivel). Por ejemplo, si hay dos pares MSDP dentro de un sistema autónomo (AS) y solo uno de ellos tiene una sesión MSDP externa a otro AS, el par MSDP interno suele rechazar los mensajes activos de origen entrantes retransmitidos por el par con el vínculo externo. El rechazo se produce porque el par MSDP externo debe ser accesible por el par MSDP interno a través del siguiente salto hacia el origen en otro AS, y esta condición del siguiente salto no es segura. Para evitar rechazos, configure un grupo de malla MSDP en el par MSDP interno para que siempre acepte mensajes activos en origen.

Nota:

Una forma alternativa de omitir la comprobación del par RPF es configurar un par predeterminado. En redes con un solo par MSDP, especialmente las redes de código auxiliar, el mensaje de origen activo siempre debe aceptarse. Un par predeterminado de MSDP es un par MSDP desde el que se aceptan todos los mensajes activos de origen sin realizar la comprobación del RPF del mismo nivel. Puede establecer un par predeterminado en el nivel del mismo nivel o de grupo incluyendo la instrucción default-peer .

La Tabla 2 explica cómo las inundaciones son manejadas por pares en este ejemplo. .

Tabla 2: Explicación de la inundación de mensajes de origen activo

Mensaje activo de origen recibido de	Mensaje activo de origen inundado a	Mensaje activo de origen no inundado a
Par 21	Par 11, Par 12, Par 13, Par 31, Par 32	Par 22
Par 11	Par 21, Par 22, Par 31, Par 32	Par 12, Par 13
Par 31	Par 21, Par 22, Par 11, Par 12, Par 13, Par 32	–

La figura 3 ilustra la inundación de mensajes activos de origen entre diferentes grupos de malla y pares dentro del mismo grupo de malla.

En este ejemplo se incluye la siguiente configuración:

• active-source-limit máximo 10000: aplica un límite de 10.000 fuentes activas a todas las demás pares.

• desactivación de encapsulación de datos: en un enrutador RP que utiliza MSDP, deshabilita la encapsulación predeterminada de los datos de multidifusión recibidos en los mensajes de registro MSDP dentro de los mensajes activos de origen de MSDP.

  La encapsulación de datos MSDP se refiere principalmente a fuentes ráfagas de tráfico de multidifusión. Las fuentes que envían sólo un paquete cada pocos minutos tienen problemas con el tiempo de espera de las relaciones de estado entre las fuentes y sus grupos de multidifusión (S,G). Los enrutadores pierden datos mientras intentan restablecer las tablas de estado (S,G). Como resultado, los mensajes de registro de multidifusión contienen datos, y esta encapsulación de datos en mensajes activos de origen MSDP se puede activar o desactivar mediante la configuración.

  De forma predeterminada, la encapsulación de datos MSDP está habilitada. Un RP que ejecuta MSDP toma los paquetes de datos que llegan al mensaje de registro del origen y encapsula los datos dentro de un mensaje activo de origen MSDP.

  Sin embargo, la encapsulación de datos crea una entrada de caché de reenvío de multidifusión en la tabla inet.1 (esta también es la tabla de reenvío) y una entrada de tabla de enrutamiento en la tabla inet.4 . Sin encapsulación de datos, MSDP crea sólo una entrada de tabla de enrutamiento en la tabla inet.4 . En algunas circunstancias, como la presencia de gusanos de Internet u otras formas de ataque DoS, la tabla de reenvío del router podría llenarse con estas entradas. Para evitar que la tabla de reenvío se llene con entradas MSDP, puede configurar el enrutador para que no utilice la encapsulación de datos MSDP. Sin embargo, si deshabilita la encapsulación de datos, el enrutador ignora y descarta los datos encapsulados. Sin encapsulación de datos, es posible que las aplicaciones de multidifusión con fuentes de ráfaga con intervalos de transmisión superiores a unos 3 minutos no funcionen bien.

• group MSDP-group-local-address 10.1.2.3: especifica la dirección del enrutador local (este enrutador).

• group MSDP-group mode mesh-group: especifica que todos los elementos del mismo nivel que pertenecen al grupo MSDP-group son miembros del grupo de malla.

• group MSDP-group peer 10.10.10.10: impide el envío de mensajes activos de origen al par vecino 10.10.10.10.

• group MSDP-group peer 10.10.10.10 active-source-limit maximum 7500: aplica un límite de 7500 fuentes activas al par MSDP 10.10.10.10 del grupo MSDP-group.

• par 10.0.0.1 límite de fuente activa máximo 5000 umbral 4000: aplica un límite de 4000 fuentes activas y un límite de 5000 fuentes activas al par MSDP 10.0.0.1.

• source 10.1.0.0/16 active-source-limit máximo 500: aplica un límite de 500 fuentes activas a cualquier fuente de la red 10.1.0.0/16.

• Procedimiento
• Resultados

Para comprobar la configuración, ejecute los siguientes comandos:

• Mostrar MSDP de origen activo

• Mostrar estadísticas de MSDP