网络安全BGP线路是什么意思最全BG [复制链接]

BGP线路是什么意思？最全BGP路由协议技术详解

一、BGP的基本概念

自治系统AS（AutonomousSystem）

AS是指在一个实体管辖下的拥有相同选路策略的IP网络。BGP网络中的每个AS都被分配一个唯一的AS号，用于区分不同的AS。AS号分为2字节AS号和4字节AS号，其中2字节AS号的范围为1至，4字节AS号的范围为1至。支持4字节AS号的设备能够与持2字节AS号的设备兼容。

BGP分类

如图所示，BGP按照运行方式分为EBGP（External/ExteriorBGP）和IBGP（Internal/InteriorBGP）。

EBGP：运行于不同AS之间的BGP称为EBGP。为了防止AS间产生环路，当BGP设备接收EBGP对等体发送的路由时，会将带有本地AS号的路由丢弃。

IBGP：运行于同一AS内部的BGP称为IBGP。为了防止AS内产生环路，BGP设备不将从IBGP对等体学到的路由通告给其他IBGP对等体，并与所有IBGP对等体建立全连接。为了解决IBGP对等体的连接数量太多的问题，BGP设计了路由反射器和BGP联盟。

说明：

如果在AS内一台BGP设备收到EBGP邻居发送的路由后，需要通过另一台BGP设备将该路由传输给其他AS，则推荐使用IBGP。

BGP报文交互中的角色

BGP报文交互中分为Speaker和Peer两种角色。

Speaker：发送BGP报文的设备称为BGP发言者（Speaker），它接收或产生新的报文信息，并发布（Advertise）给其它BGPSpeaker。

Peer：相互交换报文的Speaker之间互称对等体（Peer）。若干相关的对等体可以构成对等体组（PeerGroup）。

BGP的路由器号（RouterID）

BGP的RouterID是一个用于标识BGP设备的32位的值，通常是IPv4地址的形式，在BGP会话建立时发送的Open报文中携带。对等体之间建立BGP会话时，每个BGP设备都必须有唯一的RouterID，否则对等体之间不能建立BGP连接。

BGP的RouterID在BGP网络中必须是唯一的，可以采用手动配置，也可以让BGP自己在设备上选取。缺省情况下，BGP选择设备上的Loopback接口的IPv4地址作为BGP的RouterID。如果设备上没有配置Loopback接口，系统会选择接口中最大的IPv4地址作为BGP的RouterID。一旦选出RouterID，除非发生接口地址删除等事件，否则即使配置了更大的地址，也保持原来的RouterID。

二、BGP工作原理

BGP对等体的建立、更新和删除等交互过程主要有5种报文、6种状态机和5个原则。

BGP的报文

BGP对等体间通过以下5种报文进行交互，其中Keepalive报文为周期性发送，其余报文为触发式发送：

Open报文：用于建立BGP对等体连接。

Update报文：用于在对等体之间交换路由信息。

Notification报文：用于中断BGP连接。

Keepalive报文：用于保持BGP连接。

Route-refresh报文：用于在改变路由策略后请求对等体重新发送路由信息。只有支持路由刷新（Route-refresh）能力的BGP设备会发送和响应此报文。

BGP状态机

如图所示，BGP对等体的交互过程中存在6种状态机：空闲状态（Idle）、连接状态（Connect）、活跃（Active）、Open报文已发送（OpenSent）、Open报文已确认（OpenConfirm）和连接已建立（Established）。在BGP对等体建立的过程中，通常可见的3个状态是：Idle、Active和Established。

1、Idle状态是BGP初始状态。在Idle状态下，BGP拒绝邻居发送的连接请求。只有在收到本设备的Start事件后，BGP才开始尝试和其它BGP对等体进行TCP连接，并转至Connect状态。

说明：

Start事件是由一个操作者配置一个BGP过程，或者重置一个已经存在的过程或者路由器软件重置BGP过程引起的。

任何状态中收到Notification报文或TCP拆链通知等Error事件后，BGP都会转至Idle状态。

2、在Connect状态下，BGP启动连接重传定时器（ConnectRetry），等待TCP完成连接。

如果TCP连接成功，那么BGP向对等体发送Open报文，并转至OpenSent状态；

如果TCP连接失败，那么BGP转至Active状态；

如果连接重传定时器超时，BGP仍没有收到BGP对等体的响应，那么BGP继续尝试和其它BGP对等体进行TCP连接，停留在Connect状态。

3、在Active状态下，BGP总是在试图建立TCP连接。

如果TCP连接成功，那么BGP向对等体发送Open报文，关闭连接重传定时器，并转至OpenSent状态；

如果TCP连接失败，那么BGP停留在Active状态；

如果连接重传定时器超时，BGP仍没有收到BGP对等体的响应，那么BGP转至Connect状态。

4、在OpenSent状态下，BGP等待对等体的Open报文，并对收到的Open报文中的AS号、版本号、认证码等进行检查。

如果收到的Open报文正确，那么BGP发送Keepalive报文，并转至OpenConfirm状态；

如果发现收到的Open报文有错误，那么BGP发送Notification报文给对等体，并转至Idle状态。

5、在OpenConfirm状态下，BGP等待Keepalive或Notification报文。如果收到Keepalive报文，则转至Established状态，如果收到Notification报文，则转至Idle状态。

6、在Established状态下，BGP可以和对等体交换Update、Keepalive、Route-refresh报文和Notification报文。

如果收到正确的Update或Keepalive报文，那么BGP就认为对端处于正常运行状态，将保持BGP连接。

如果收到错误的Update或Keepalive报文，那么BGP发送Notification报文通知对端，并转至Idle状态。

Route-refresh报文不会改变BGP状态。

如果收到Notification报文，那么BGP转至Idle状态。

如果收到TCP拆链通知，那么BGP断开连接，转至Idle状态。

BGP对等体之间的交互原则

BGP设备将最优路由加入BGP路由表，形成BGP路由。BGP设备与对等体建立邻居关系后，采取以下交互原则：

1、从IBGP对等体获得的BGP路由，BGP设备只发布给它的EBGP对等体。

2、从EBGP对等体获得的BGP路由，BGP设备发布给它所有EBGP和IBGP对等体。

3、当存在多条到达同一目的地址的有效路由时，BGP设备只将最优路由发布给对等体。

4、路由更新时，BGP设备只发送更新的BGP路由。

5、所有对等体发送的路由，BGP设备都会接收。

三、BGP与IGP交互

BGP与IGP在设备中使用不同的路由表，为了实现不同AS间相互通讯，BGP需要与IGP进行交互，即BGP路由表和IGP路由表相互引入。

BGP引入IGP路由

BGP协议本身不发现路由，因此需要将其他路由引入到BGP路由表，实现AS间的路由互通。当一个AS需要将路由发布给其他AS时，AS边缘路由器会在BGP路由表中引入IGP的路由。为了更好的规划网络，BGP在引入IGP的路由时，可以使用路由策略进行路由过滤和路由属性设置，也可以设置MED值指导EBGP对等体判断流量进入AS时选路。

BGP引入路由时支持Import和Network两种方式：

1、Import方式是按协议类型，将RIP路由、OSPF路由、ISIS路由等协议的路由引入到BGP路由表中。为了保证引入的IGP路由的有效性，Import方式还可以引入静态路由和直连路由。

2、Network方式是逐条将IP路由表中已经存在的路由引入到BGP路由表中，比Import方式更精确。

IGP引入BGP路由

当一个AS需要引入其他AS的路由时，AS边缘路由器会在IGP路由表中引入BGP的路由。为了避免大量BGP路由对AS内设备造成影响，当IGP引入BGP路由时，可以使用路由策略，进行路由过滤和路由属性设置。

应用：

如图所示，某公司海外市场部所在区域AS部署OSPF网络，国内研发部所在区域AS部署ISIS网络，AS与AS通过部署BGP实现互通。公司希望海外市场部可以向研发部发送文件，而国内研发部不能向海外市场部发送文件。

IGP引入BGP示意图

为了实现公司的要求，必须让AS中设备知道AS的路由，而AS中设备不知道AS的路由。先在RouterC上部署BGP引入ISIS路由，使RouterC的BGP路由表中存在AS的路由，并把路由发布给RouterB。再在RouterB上部署OSPF引入BGP路由，实现AS内设备知道AS的路由，而AS的设备不知道AS的路由。

四、BGP安全性

BGP使用认证和GTSM（GeneralizedTTLSecurityMechanism）两个方法保证BGP对等体间的交互安全。

BGP认证

BGP认证分为MD5认证和Keychain认证，对BGP对等体关系进行认证是提高安全性的有效手段。MD5认证只能为TCP连接设置认证密码，而Keychain认证除了可以为TCP连接设置认证密码外，还可以对BGP协议报文进行认证。

BGPGTSM

BGPGTSM检测IP报文头中的TTL（time-to-live）值是否在一个预先设置好的特定范围内，并对不符合TTL值范围的报文进行允许通过或丢弃的操作，从而实现了保护IP层以上业务，增强系统安全性的目的。

例如将IBGP对等体的报文的TTL的范围设为至。当攻击者模拟合法的BGP协议报文，对设备不断的发送报文进行攻击时，TTL值必然小于。如果没有使能BGPGTSM功能，设备收到这些报文后，发现是发送给本机的报文，会直接上送控制层面处理。这时将会因为控制层面处理大量攻击报文，导致设备CPU占用率高，系统异常繁忙。如果使能BGPGTSM功能，系统会对所有BGP报文的TTL值进行检查。丢弃TTL值小于的攻击报文，从而避免了网络攻击报文占用CPU。

五、BGP的路由优选规则和负载分担

在BGP路由表中，到达同一目的地可能存在多条路由。此时BGP会选择其中一条路由作为最佳路由，并只把此路由发送给其对等体。BGP为了选出最佳路由，会根据BGP的路由优选规则依次比较这些路由的BGP属性。

BGP属性

路由属性是对路由的特定描述，所有的BGP路由属性都可以分为以下4类

1、公认必须遵循（Well-knownmandatory）：所有BGP设备都可以识别此类属性，且必须存在于Update报文中。如果缺少这类属性，路由信息就会出错。

2、公认任意（Well-knowndiscretionary）：所有BGP设备都可以识别此类属性，但不要求必须存在于Update报文中，即就算缺少这类属性，路由信息也不会出错。

3、可选过渡（Optionaltransitive）：BGP设备可以不识别此类属性，如果BGP设备不识别此类属性，但它仍然会接收这类属性，并通告给其他对等体。

4、可选非过渡（Optionalnon-transitive）：BGP设备可以不识别此类属性，如果BGP设备不识别此类属性，则会被忽略该属性，且不会通告给其他对等体。

下面介绍几种常用的BGP路由属性：

1、Origin属性

Origin属性用来定义路径信息的来源，标记一条路由是怎么成为BGP路由的。它有以下3种类型：

IGP：具有最高的优先级。通过network命令注入到BGP路由表的路由，其Origin属性为IGP。

EGP：优先级次之。通过EGP得到的路由信息，其Origin属性为EGP。

In