Phân chia ngang iBGP

Một phần của tài liệu Nghiên cứu các vấn đề bảo mật trên giao thức BGP (Trang 42 - 47)

Thiết bị cùng cấp iBGP không chuyển tiếp thông tin định tuyến đã hiểu đƣợc từ một thiết bị cùng cấp iBGP tới thiết bị cùng cấp iBGP khác đƣợc gọi là phân chia ngang iBGP. iBGP có quy tắc này để ngăn chặn vòng lặp định tuyến do cơ chế phòng ngừa vòng lặp đƣợc cung cấp bởi thuộc tính AS_Path không làm việc trong iBGP. Các tuyến iBGP đang đƣợc trao đổi giữa các bộ định tuyến trong hệ thống tự

trị đơn lẻ, do đó số AS không đƣợc thêm vào phía trƣớc thuộc tính AS_Path. Nhƣng điều này có thể dẫn đến thông tin không chính xác, một phần thông tin ở các bộ định tuyến khác nhau có thể dẫn đến lỗ đen hoặc vòng lặp định tuyến . Ví dụ: giả sử ghép cặp nhƣ sau:

- Bộ định tuyến A và B là iBGP cùng cấp.

- Bộ định tuyến A và C là iBGP cùng cấp.

- Nhƣng bộ định tuyến B & C không cùng cấp iBGP.

Khi bộ định tuyến B hiểu các tuyến bên ngoài từ ISP-1 thì sau đó nó sẽ quảng cáo các tuyến này đến bộ định tuyến A. Do bộ định tuyến C đang nhận đƣợc các tuyến bên ngoài từ ISP-2 nên nó sẽ quảng cáo các tuyến này tới bộ định tuyến A. Nhƣng bộ định tuyến A không chuyển tiếp thông tin hiểu đƣợc từ B tới C và từ C tới B do quy tắc phân chia ngang. Vì vậy bộ định tuyến C không có thông tin về địa chỉ mạng 170.1.2.0/24- 170.1.4.0/24 và bộ định tuyến B không biết đƣợc thông tin về các địa chỉ mạng 180.1.1.0/24- 180.1.3.0/24. Điều này đƣợc thể hiện ở đầu ra của bộ định tuyến B trong hình 14 dƣới đây.

Tƣơng tự nhƣ vậy, bộ định tuyến C hiểu đƣợc một phần thông tin, nhƣ đƣợc thể hiện trong bảng định tuyến của nó trong Hình 15 dƣới đây.

Hình 15. Bảng định tuyến của C (có các tuyến đã đƣợc hiểu)

Tƣơng tự nhƣ vậy, nếu chỉ B & C là iBGP cùng cấp, B có thông tin định tuyến đƣợc hiểu từ ISP-1 về 170.1.2.0/24- 170.1.4.0/24 thì nó sẽ chuyển tiếp thông tin định tuyến này đến bộ định tuyến C và bộ định tuyến C có thông tin định tuyến đƣợc hiểu từ ISP-2 về 180.1.1.0/24 - 180.1.4.0/24 nó sẽ chuyển tiếp thông tin định tuyến này tới bộ định tuyến B.

Bây giờ giả sử các gói tin vào mạng 170.1.2.0/24 đến bộ định tuyến C từ ISP-2 hoặc xuất phát từ bên trong bộ định tuyến C. Bộ định tuyến C sẽ tìm trong bảng định tuyến của nó để định tuyến các gói tin tới đích.

Bảng này yêu cầu C tiếp cận 170.1.3.0 lƣu lƣợng sẽ đƣợc chuyển tiếp tới next-hop 170.1.1.10/24 (địa chỉ IP của thiết bị cùng cấp eBGP). Bây giờ bộ định tuyến C tìm trong bảng định tuyến của nó một lần nữa để xác định đƣờng dẫn tới 170.1.1.10/24 (bộ định tuyến B).

Kết quả tìm kiếm xác định 170.1.1.5 (bộ định tuyến A) là next-hop đƣợc kết nối trực tiếp và lƣu lƣợng lúc này đƣợc chuyển tiếp tới bộ định tuyến A. Bây giờ bộ định tuyến A sẽ xem bảng định tuyến của mình cho để định tuyến lƣu lƣợng tới 170.1.3.0/24. Bảng định tuyến của bộ định tuyến A nhƣ trong hình 16 dƣới đây không có các thông tin có thể tiếp cận tới 170.1.3.0/24 vì nó không có quan hệ cùng cấp iBGP với bộ định tuyến B.

một số tuyến mặc định, điều này có thể dẫn đến các vòng lặp định tuyến. Thử nghiệm kết nối đầu ra trong hình 17 chứng minh điều này.

Hình 17. Thử nghiệm kết nối (ping và trace route) từ bộ định tuyến C

iBGP có quy tắc đồng bộ để ngăn chặn vấn đề này, quy định này là không bao giờ xem xét một tuyến đƣợc hiểu thông qua iBGP cùng cấp trừ khi tuyến đó đƣợc hiểu thông qua giao thức IGP nghĩa là giao thức EIGRP hay OSPF. Do đó, nếu đồng bộ hóa bị vô hiệu trên bộ định tuyến C, bộ định tuyến C sẽ sử dụng tuyến tới 170.1.2.0 ngay từ đầu.

Nói cách khác quy tắc này có nghĩa là tất cả các tuyến BGP đƣợc phân phối lại trong IGP, để tất cả các bộ định tuyến bên trong tổ chức có thông tin phù hợp và tránh đƣợc vòng lặp định tuyến và lỗ đen.

Nhƣng phân phối lại các tuyến BGP vào IGP là không khả thi, một giải pháp thay thế là full mesh (cấu hình dạng mắt lƣới) kết nối iBGP tức là tất cả các bộ định tuyến nội bộ ghép cặp với tất cả các bộ định tuyến nội bộ khác, vì vậy kết nối iBGP độc lập đƣợc thành lập giữa tất cả các bộ định tuyến nội bộ và thông tin đƣợc truyền đạt tới tất cả và chúng ta có thể vô hiệu hóa quy tắc đồng bộ hóa trong trƣờng hợp

này. Nhƣng phƣơng pháp full mesh iBGP rất khó để cấu hình và duy trì bởi các bộ định tuyến.

Một phần của tài liệu Nghiên cứu các vấn đề bảo mật trên giao thức BGP (Trang 42 - 47)

Tải bản đầy đủ (PDF)

(114 trang)