Лабораторная работа №10: BGP Route Limiting (ограничение числа префиксов)

Создана 30.10.2026
Отредактирована 31.10.2026

Цель работы: Научиться защищать сеть от переполнения BGP-таблицы с помощью механизма maximum-prefix .

1. Теория: Зачем ограничивать количество префиксов?

🔴 Проблема: «толстые пальцы» и атаки

В 2008 году Pakistan Telecom случайно анонсировал префиксы YouTube, что привело к глобальному сбою. Подобные инциденты (fat-finger) происходят регулярно, когда из-за ошибки конфигурации или сбоя ПО маршрутизатор начинает анонсировать тысячи лишних маршрутов.

Последствия для вашей сети:

Переполнение BGP-таблицы → нехватка RAM/CPU.

Потеря легитимных маршрутов.

Полный отказ маршрутизатора.

✅ Решение: maximum-prefix

Механизм maximum-prefix позволяет задать лимит на количество префиксов, принимаемых от конкретного соседа.

Что происходит при превышении:

1. По умолчанию: BGP-сессия с этим соседом разрывается (переходит в Idle). Сосед «наказан» за то, что прислал слишком много.

2. warning-only : Сессия не разрывается, но в лог пишется предупреждение. Полезно для мониторинга.

3. restart : Сессия разрывается, но через заданное время (в минутах) автоматически восстанавливается.

Порог предупреждения ( threshold ): Можно указать процент от лимита, при достижении которого в лог начнут сыпаться предупреждения (по умолчанию 75%). Например, при лимите 100 и пороге 80% предупреждение появится после 80 префиксов.

2. Топология

Используем упрощённую схему из двух маршрутизаторов, чтобы сфокусироваться на механизме.

Топология лабораторной работы №9: R1 и три провайдера (R2, R3, R4) с Peer Group

Рис. 1. Топология лабораторной работы №10: ограничение числа префиксов от R2

📋 Роли в топологии

Маршрутизатор	AS	Роль
R1	65001	Ваш пограничный маршрутизатор (применяет лимит)
R2	65002	Внешний провайдер (источник префиксов)

3. Сценарий

Задача: Настроить на R1 ограничение так, чтобы от R2 принималось не более 5 префиксов. Если R2 пришлёт 6-й — сессия должна разорваться.

Условие: R1 и R2 уже настроены (IP-адреса, eBGP-сессия Established).

4. Шаг 0: Диагностика перед настройкой

На R1:

R1#show bgp ipv4 unicast summary

Ожидаемый результат: Сосед 10.0.0.2 (R2) в состоянии Established. Количество полученных префиксов ( PfxRcd ) — 1 (сейчас R2 анонсирует только свой Loopback).

5. Шаг 1: Настройка maximum-prefix на R1

На R1:

R1#configure terminal
R1(config)#router bgp 65001
R1(config-router)#neighbor 10.0.0.2 maximum-prefix 5
R1(config-router)#end
R1#copy running-config startup-config

Что мы сделали:

Установили лимит 5 префиксов для соседа 10.0.0.2 (R2).

Если R2 пришлёт 6-й префикс — BGP-сессия разорвётся (по умолчанию).

Пояснение: Мы не используем warning-only , поэтому сессия будет разорвана. Это «жёсткая» защита.

6. Шаг 2: Проверка конфигурации

На R1:

R1#show running-config | section router bgp

Ожидаемый результат (фрагмент):

neighbor 10.0.0.2 remote-as 65002 neighbor 10.0.0.2 maximum-prefix 5

На R1 (детали соседа):

R1#show bgp ipv4 unicast neighbors 10.0.0.2 | include prefix

Ожидаемый результат:

Maximum allowed prefixes: 5

7. Шаг 3: Проверка работы (симуляция превышения)

Задача: Сымитировать ситуацию, когда R2 присылает больше 5 префиксов.

На R2 (создаём лишние Loopback-интерфейсы):

R2#configure terminal
R2(config)#interface loopback 10
R2(config-if)#ip address 10.10.10.1 255.255.255.0
R2(config-if)#exit
R2(config)#interface loopback 11
R2(config-if)#ip address 10.11.11.1 255.255.255.0
R2(config-if)#exit
R2(config)#interface loopback 12
R2(config-if)#ip address 10.12.12.1 255.255.255.0
R2(config-if)#exit
R2(config)#interface loopback 13
R2(config-if)#ip address 10.13.13.1 255.255.255.0
R2(config-if)#exit
R2(config)#interface loopback 14
R2(config-if)#ip address 10.14.14.1 255.255.255.0
R2(config-if)#exit

R2(config)#router bgp 65002
R2(config-router)#network 10.10.10.0 mask 255.255.255.0
R2(config-router)#network 10.11.11.0 mask 255.255.255.0
R2(config-router)#network 10.12.12.0 mask 255.255.255.0
R2(config-router)#network 10.13.13.0 mask 255.255.255.0
R2(config-router)#network 10.14.14.0 mask 255.255.255.0
R2(config-router)#end

Что произойдёт: R2 начнёт анонсировать 6 префиксов (свой Loopback + 5 новых). R1 получит 6-й префикс, превысит лимит maximum-prefix 5 и разорвёт сессию.

На R1 (проверка):

R1#show bgp ipv4 unicast summary

Ожидаемый результат:

Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd 10.0.0.2 4 65002 15 15 0 0 0 00:00:05 Idle

Пояснение: Сессия с R2 перешла в состояние Idle (или Active). Up/Down сбросился на несколько секунд. Защита сработала.

В логах R1 (если включён bgp log-neighbor-changes ):

%BGP-3-NOTIFICATION: sent to neighbor 10.0.0.2 6/6 (max prefix exceeded) 0 bytes %BGP-5-ADJCHANGE: neighbor 10.0.0.2 Down BGP Notification sent

Заголовок H2

text

Параметр	Описание
Text	Text
Text	Text

Страница в разработке