2.BGP-Flowspec-验证

# FlowsPec验证

## 本文目录

1. **概要**
   1. **关于 Flowspec 的验证**
2. **验证的基本设置**
   1. **基本设置的内容**
   2. **初始设置**
3. **初始状态确认**
   1. **连通性确认**
4. **R1 发布过滤设置**
   1. **在 R1 上添加过滤设置**
   2. **R4 的状态确认（验证启用）**
   3. **连通性确认（验证启用）**
   4. **在 R4 上禁用验证**
   5. **R4 的状态确认（验证禁用）**
   6. **连通性确认（验证禁用）**
5. **R2 发布过滤设置**
   1. **在 R2 上添加过滤设置**
   2. **R4 的状态确认**
   3. **连通性确认**

## 概要

### 关于FlowsPec验证

FlowsPec是一项方便的功能，可让您使用BGP在路由器上远程过滤，但存在一个问题。

例如，假设组织1连接到ISP1提供了某种服务，如下所示。
在这种情况下，如果您与BGP公开沟通A过滤设置，该设置将原定为组织1的流量从ISP2到ISP1，则组织1将无法提供服务。

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E6%A6%82%E8%A6%81_1___-1024x355.png)

如上所述，在FlowsPEC中有一个称为验证的功能，因此一个组织无法任意降低注定另一个组织的流量。

验证确定是否使用从EBGP邻居学到的过滤设置。验证不适用于过滤从IBGP邻居学到的设置。

当您学习如何配置过滤以将流量从EBGP邻居降低到特定目的地时，路由器会比较以下并仅在匹配时才使用该过滤配置：

* 下一个为Flowspec的路线跳跃
* 在路由表上的最佳路径上的下一个跳跃与FlowsPec规则的DEST匹配

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E6%A6%82%E8%A6%81_2-1024x572.png)

当组织2宣传过滤设置以删除针对组织1的流量（如下所示）时，PE1路由器将确定所学的过滤设置是无效的，并且不会使用，因为上述两个值是不同的。

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E6%A6%82%E8%A6%81_3-1024x571.png)

## 基本验证设置

### 基本设置内容

Make R1属于100，R2属于200，R4属于400。
在R1-R4之间建立一个EBGP邻居，并启用IPv4 FlowsPec。
在R2-R4之间建立EBGP邻居，并启用IPv4 Unicast和IPv4 FlowsPec。
在R2中，我们将在BGP中提升10.4.4.0/24。
在R4中，我们将在BGP中背诵10.3.3.0/24。

在宣传过滤设置时，请检查行为，从R1，R2删除目的地为10.4.4.2/32的流量。

（iOS-XR用于R1和R2，可促进过滤设置，iOS-XE用于R3和R4，以及R3和R4。

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_1____-1024x322.png)

### 初期设定

配置R1

```

interface GigabitEthernet0/0/0/0
 ipv4 address 10.1.1.1 255.255.255.0
!
router bgp 100
 bgp router-id 1.1.1.1
 bgp unsafe-ebgp-policy
 address-family ipv4 flowspec
 !
 neighbor 10.1.1.4
  remote-as 400
  address-family ipv4 flowspec
    
```

R2设置

```

interface Loopback0
 ipv4 address 10.4.4.2 255.255.255.0
!
interface GigabitEthernet0/0/0/0
 ipv4 address 10.2.2.2 255.255.255.0
!
router bgp 200
 bgp router-id 2.2.2.2
 bgp unsafe-ebgp-policy
 address-family ipv4 unicast
  network 10.4.4.0/24
 !
 address-family ipv4 flowspec
 !
 neighbor 10.2.2.4
  remote-as 400
  address-family ipv4 unicast
  !
  address-family ipv4 flowspec
    
```

R3设置

```

interface GigabitEthernet2
 ip address 10.3.3.3 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 10.3.3.4
    
```

R4设置

```

flowspec
 address-family ipv4
  local-install interface-all
!
interface GigabitEthernet2
 ip address 10.1.1.4 255.255.255.0
!
interface GigabitEthernet3
 ip address 10.2.2.4 255.255.255.0
!
interface GigabitEthernet4
 ip address 10.3.3.4 255.255.255.0
!
router bgp 400
 bgp router-id 4.4.4.4
 no bgp default ipv4-unicast
 neighbor 10.1.1.1 remote-as 100
 neighbor 10.2.2.2 remote-as 200
 !
 address-family ipv4
  network 10.3.3.0 mask 255.255.255.0
  neighbor 10.2.2.2 activate
 exit-address-family
 !
 address-family ipv4 flowspec
  neighbor 10.1.1.1 activate
  neighbor 10.2.2.2 activate
 exit-address-family
    
```

## 初始状态检查

### 沟通检查

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_2____-1024x380.png)

由于R1和R2都没有宣传过滤设置，因此PING从R3到R2到10.4.4.2成功。

** r3（ios-xe）

```

R3#ping 10.4.4.2 source 10.3.3.3
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.4.4.2, timeout is 2 seconds:
Packet sent with a source address of 10.3.3.3
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 42/45/52 ms
    
```

## 在R1中宣传过滤设置

### 将过滤设置添加到R1

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_6____-1024x343.png)

宣传过滤设置，该设置将使原定为10.4.4.2/32的流量从R1降低到R4。

** r1（ios-xr）**

```

class-map type traffic match-all CLASS_MAP
 match destination-address ipv4 10.4.4.2 255.255.255.255
 end-class-map
!
policy-map type pbr POLICY_MAP
 class type traffic CLASS_MAP
  drop
 !
 class type traffic class-default
 !
 end-policy-map
!
flowspec
 address-family ipv4
  service-policy type pbr POLICY_MAP
    
```

### 检查R4的状态（启用验证）

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_7____-1024x343.png)

您可以看到R4通过BGP学习从R1学习过滤设置。
但是，以下值不同，因此您可以看到验证失败：

* 下一个为Flowspec的路线跳跃
* 在路由表上的最佳路径上的下一个跳跃与FlowsPec规则的DEST匹配

** r4（ios-xe）

```

R4#show bgp ipv4 flowspec detail
BGP routing table entry for Dest:10.4.4.2/32, version 3
  Paths: (1 available, no best path)
  Not advertised to any peer
  Refresh Epoch 1
  100, (FS invalid: originator)
    0.0.0.0 from 10.1.1.1 (1.1.1.1)
      Origin IGP, localpref 100, valid, external
      Extended Community: FLOWSPEC Traffic-rate:100,0
      rx pathid: 0, tx pathid: 0
      Updated on Jun 23 2020 16:50:10 UTC
    
```

验证失败了，因此我们可以看到R4没有使用通过BGP学习的过滤设置。

** r4（ios-xe）

```

R4#show flowspec ipv4 internal
    
```

### 通信检查（启用验证）

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_8_____-1024x380.png)

由于验证失败，R4无法使用从R1中学到的过滤设置，因此我们可以看到从R3到R2到10.4.4.2的PING成功。

** r3（ios-xe）

```

### 在R4中禁用验证

在R4中禁用验证，以便可以使用从R1中学到的过滤设置。
从特定的BGP邻居学习过滤设置时，请禁用验证，请使用**邻居 `<address>`设置验证off **命令。

** r4（ios-xe）

```

router bgp 400
 address-family ipv4 flowspec
  neighbor 10.1.1.1 validation off
    
```

### 检查R4的状态（禁用验证）

您可以看到表明验证失败的错误已经消失。

** r4（ios-xe）

```

R4#show bgp ipv4 flowspec detail
BGP routing table entry for Dest:10.4.4.2/32, version 3
  Paths: (1 available, no best path)
  Not advertised to any peer
  Refresh Epoch 1
  100
    0.0.0.0 from 10.1.1.1 (1.1.1.1)
      Origin IGP, localpref 100, valid, external, best
      Extended Community: FLOWSPEC Traffic-rate:100,0
      rx pathid: 0, tx pathid: 0x0
      Updated on Jun 23 2020 16:53:46 UTC
    
```

验证是禁用的，因此您可以看到R4使用通过BGP学习的过滤设置。

** r4（ios-xe）

```

R4#show flowspec ipv4 internal
AFI: IPv4
  Flow           :Dest:10.4.4.2/32
    Actions      :Traffic-rate: 0 bps  (bgp.1)
      Client Version: 0
      Unsupported:    FALSE
      RT:
        VRF Name Cfg:   0x00
        RT Cfg:         0x00
        RT Registered:  0x00
        RT Resolved:    0x00
    Class handles:
      Handle [0]:        700000000093c6c1
    Class Handle Version:     1
    Sequence:                 1024
    Synced:                   FALSE
    Match Unsupported:        None
    Ref Count:                1
    Last Error:               0x0:Unknown error 0
    Last Batch:               5
    Statistics                        (packets/bytes)
      Matched             :                   5/570
      Dropped             :                   5/570
    
```

### 通信检查（禁用验证）

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_9____-1024x383.png)

由于验证是禁用的，因此我们可以根据从R1学到的过滤设置将R4从R3降低到R2。

** r3（ios-xe）

```

R3#ping 10.4.4.2 source 10.3.3.3
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.4.4.2, timeout is 2 seconds:
Packet sent with a source address of 10.3.3.3
.....
Success rate is 0 percent (0/5)
    
```

## 在R2中宣传过滤设置

### 将过滤设置添加到R2

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_3____-1024x343.png)

宣传过滤设置，该设置将从R2降低到R2的流量，将其删除。

** r2（ios-xr）**

```

### 检查R4的状态

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_4____-1024x343.png)

您可以看到R4通过BGP学习从R2学习过滤设置。
这次，我们可以确认没有错误表示验证失败的错误，因为以下值匹配为10.2.2.2.2。

* 下一个为Flowspec的路线跳跃
* 在路由表上的最佳路径上的下一个跳跃与FlowsPec规则的DEST匹配

** r4（ios-xe）

```

R4#show bgp ipv4 flowspec detail
BGP routing table entry for Dest:10.4.4.2/32, version 2
  Paths: (1 available, best #1, table IPv4-Flowspec-BGP-Table)
  Advertised to update-groups:
     7
  Refresh Epoch 1
  200
    0.0.0.0 from 10.2.2.2 (2.2.2.2)
      Origin IGP, localpref 100, valid, external, best
      Extended Community: FLOWSPEC Traffic-rate:200,0
      rx pathid: 0, tx pathid: 0x0
      Updated on Jun 23 2020 16:45:38 UTC
    
```

通过成功验证，我们可以看到R4使用通过BGP学习的过滤设置。

** r4（ios-xe）

```

R4#show flowspec ipv4 internal
AFI: IPv4
  Flow           :Dest:10.4.4.2/32
    Actions      :Traffic-rate: 0 bps  (bgp.1)
      Client Version: 0
      Unsupported:    FALSE
      RT:
        VRF Name Cfg:   0x00
        RT Cfg:         0x00
        RT Registered:  0x00
        RT Resolved:    0x00
    Class handles:
      Handle [0]:        7000000000703231
    Class Handle Version:     1
    Sequence:                 1024
    Synced:                   FALSE
    Match Unsupported:        None
    Ref Count:                1
    Last Error:               0x0:Unknown error 0
    Last Batch:               3
    Statistics                        (packets/bytes)
      Matched             :                   0/0
      Dropped             :                   0/0
    
```

### 沟通检查

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_5____-1024x383.png)

基于从R2学到的过滤设置，可以证实R4已将ICMP Echos从R3降至R2降至10.4.4.2。

** r3（ios-xe）

```

# FlowsPec验证

## 本文目录

## 概要

### 关于FlowsPec验证

FlowsPec是一项方便的功能，可让您使用BGP在路由器上远程过滤，但存在一个问题。

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E6%A6%82%E8%A6%81_1___-1024x355.png)

如上所述，在FlowsPEC中有一个称为验证的功能，因此一个组织无法任意降低注定另一个组织的流量。

验证确定是否使用从EBGP邻居学到的过滤设置。验证不适用于过滤从IBGP邻居学到的设置。

当您学习如何配置过滤以将流量从EBGP邻居降低到特定目的地时，路由器会比较以下并仅在匹配时才使用该过滤配置：

* 下一个为Flowspec的路线跳跃
* 在路由表上的最佳路径上的下一个跳跃与FlowsPec规则的DEST匹配

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E6%A6%82%E8%A6%81_2-1024x572.png)

当组织2宣传过滤设置以删除针对组织1的流量（如下所示）时，PE1路由器将确定所学的过滤设置是无效的，并且不会使用，因为上述两个值是不同的。

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E6%A6%82%E8%A6%81_3-1024x571.png)

## 基本验证设置

### 基本设置内容

在宣传过滤设置时，请检查行为，从R1，R2删除目的地为10.4.4.2/32的流量。

（iOS-XR用于R1和R2，可促进过滤设置，iOS-XE用于R3和R4，以及R3和R4。

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_1____-1024x322.png)

### 初期设定

配置R1

```

R2设置

```

R3设置

```

interface GigabitEthernet2
 ip address 10.3.3.3 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 10.3.3.4
    
```

R4设置

```

## 初始状态检查

### 沟通检查

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_2____-1024x380.png)

由于R1和R2都没有宣传过滤设置，因此PING从R3到R2到10.4.4.2成功。

** r3（ios-xe）

```

## 在R1中宣传过滤设置

### 将过滤设置添加到R1

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_6____-1024x343.png)

宣传过滤设置，该设置将使原定为10.4.4.2/32的流量从R1降低到R4。

** r1（ios-xr）**

```

### 检查R4的状态（启用验证）

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_7____-1024x343.png)

您可以看到R4通过BGP学习从R1学习过滤设置。
但是，以下值不同，因此您可以看到验证失败：

* 下一个为Flowspec的路线跳跃
* 在路由表上的最佳路径上的下一个跳跃与FlowsPec规则的DEST匹配

** r4（ios-xe）

```

验证失败了，因此我们可以看到R4没有使用通过BGP学习的过滤设置。

** r4（ios-xe）

```

R4#show flowspec ipv4 internal
    
```

### 通信检查（启用验证）

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_8_____-1024x380.png)

由于验证失败，R4无法使用从R1中学到的过滤设置，因此我们可以看到从R3到R2到10.4.4.2的PING成功。

** r3（ios-xe）

```

### 在R4中禁用验证

在R4中禁用验证，以便可以使用从R1中学到的过滤设置。
从特定的BGP邻居学习过滤设置时，请禁用验证，请使用**邻居 `<address>`设置验证off **命令。

** r4（ios-xe）

```

router bgp 400
 address-family ipv4 flowspec
  neighbor 10.1.1.1 validation off
    
```

### 检查R4的状态（禁用验证）

您可以看到表明验证失败的错误已经消失。

** r4（ios-xe）

```

验证是禁用的，因此您可以看到R4使用通过BGP学习的过滤设置。

** r4（ios-xe）

```

### 通信检查（禁用验证）

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_9____-1024x383.png)

由于验证是禁用的，因此我们可以根据从R1学到的过滤设置将R4从R3降低到R2。

** r3（ios-xe）

```

## 在R2中宣传过滤设置

### 将过滤设置添加到R2

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_3____-1024x343.png)

宣传过滤设置，该设置将从R2降低到R2的流量，将其删除。

** r2（ios-xr）**

```

### 检查R4的状态

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_4____-1024x343.png)

您可以看到R4通过BGP学习从R2学习过滤设置。
这次，我们可以确认没有错误表示验证失败的错误，因为以下值匹配为10.2.2.2.2。

* 下一个为Flowspec的路线跳跃
* 在路由表上的最佳路径上的下一个跳跃与FlowsPec规则的DEST匹配

** r4（ios-xe）

```

通过成功验证，我们可以看到R4使用通过BGP学习的过滤设置。

** r4（ios-xe）

```

R4#show flowspec ipv4 internal
AFI: IPv4
  Flow           :Dest:10.4.4.2/32
    Actions      :Traffic-rate: 0 bps  (bgp.1)
      Client Version: 0
      Unsupported:    FALSE
      RT:
        VRF Name Cfg:   0x00
        RT Cfg:         0x00
        RT Registered:  0x00
        RT Resolved:    0x00
    Class handles:
      Handle [0]:        7000000000703231
    Class Handle Version:     1
    Sequence:                 1024
    Synced:                   FALSE
    Match Unsupported:        None
    Ref Count:                1
    Last Error:               0x0:Unknown error 0
    Last Batch:               3
    Statistics                        (packets/bytes)
      Matched             :                   0/0
      Dropped             :                   0/0
    
```

### 沟通检查

![](http://y-network.jp/wp-content/uploads/2020/06/Flowspec_Validation_%E8%A7%A3%E8%AA%AC_5____-1024x383.png)

基于从R2学到的过滤设置，可以证实R4已将ICMP Echos从R3降至R2降至10.4.4.2。

** r3（ios-xe）

```

End

本文标题： 2.BGP-Flowspec-验证

本文链接： https://www.server7.top/archives/2-Flowspec-%E9%AA%8C%E8%AF%81.html

除非另有说明，本作品采用知识共享署名-非商业性使用-相同方式共享 4.0 国际许可协议。