Feiltoleranse for campus med Nettsamling 3-4 november 2010 Håvard Eidnes UNINETT

Transkript

1 Feiltoleranse for campus med Nettsamling 3-4 november 2010 Håvard Eidnes UNINETT

2 Feiltoleranse mot campus med BGP Hva beskytter dette mot? Er det hele bildet? Hva må til av utstyr? Hvordan kan det konfigureres? 2

3 Hva må til av utstyr? Dobbelt sett med rutere i begge ender: 3

4 Hva beskytter vi? Link-utfall på en av forbindelsene mellom Campus og UNINETT: 4

5 Hva beskytter vi? Ruter-utfall i en av endene, f.eks. planlagt arbeid: 5

6 Hva beskyttes ikke? Lokalt utfall av en VLAN-interface (trenger typisk OSPF, dvs. en IGP): 6

7 Ekstern vs. intern ruting Ekstern ruting (EGP): BGP Path-vektor ruting-protokoll Velutviklede policy- og filter-mekanismer Tilstandsfull (kjører over TCP), minimal unødig «chit-chat» Ikke veldig rask til å håndtere interne endringer (ikke spesielt velegnet som IGP) 7 Intern ruting (IGP): OSPF og IS-IS Link-state ruting-protokoller Rask reaksjon på endringer Filtrering av ruting-info omtrent umulig Periodiske oppdateringer, periodiske hallomeldinger Hver til sitt bruk

8 Kort om BGP Deler nettet opp i autonome systemer (sammenhengende uavhengig administrerte nett) Kan virke overveldende: 8

9 Hvordan skal dette konfigureres? Vi bruker BGP for kobling mellom UNINETT og Campus Gir nødvendig skille mellom ulike administrative domener Vi aggregerer ruter så mye vi kan (men bare adresserom som er tildelt campus) 9 I UNINETT setter vi på prefiks-filtre (som må oppdateres ved endringer) I UNINETT gjør vi ingen preferering av sammenkobling 1 eller 2: Kan kjøre med begge i samtidig bruk Kan kjøre med ren primær / sekundær

10 Vi kan forenkle BGP-oppsettet på Campus: BGP brukes til å formidle «disse rutene kan nås via meg» UNINETT er eneste nabo til Campus, så skal implementere samme ruting-politikk Vi bruker default-rute, så liten rutingtabell (oversiktlig og billig) 10 Gjenværende kompleksitet: Originering og aggregering av ruter Preferering av primærvei

11 Aggregering av ruting-info Som sagt, vi vil aggregere mest mulig F.eks. Tildelt /22 Lokale subnett: /24, /24 og /23 Ønsker å annonsere /22 11

12 Aggregering av ruting-info BGP vil bare originere ruter der det finnes en eksakt match som en IGP-rute Dette løses på følgende vis: ip route Null0 router bgp <n> network mask Dette virker fordi lengste matchende prefiks alltid vinner(), dvs. subnett-ruter tar forrang så lenge de finnes.

13 Originering av ruting-info For ruter som allerede finnes med eksakt match enten direkte tilkoblet eller som IGPrute: router bgp <n> network mask

14 Preferering av primærvei Prioritering av innkommende ruter kan gjøres ved å justere «local preference» i BGP Nedprioritering av utgående ruter kan gjøres ved å justere «MED» (metrikk) route-map uninett-main-in permit 10 set local-pref 110 route-map uninett-backup-out permit 10 set metric +300 router bgp <n> neighbor <a.b.c.d> route-map uninett-main-in in 14 Evt. kan man bruke begge aktivt («la vær»)

15 Hvor må man konfigurere BGP? På fysiske interfacer (rutede interfacer på Cisco 65xx) for sammenkobling med UNINETT Må også ha en intern BGP-sesjon mellom de to kjerneruterne, da mellom Loopback0-interfacer, for at de skal velge konsistent: 15

16 Intern feiltoleranse? Trenger også en måte å håndtere intern feiltoleranse. Flere muligheter: Cisco 65xx og VSS to bokser ser ut som en For oss andre: lag-3 ruting-protokoller nødvendige Trenger et rent lag-3 link-nett internt (uten servere og annet tjafs) for intern BGP (ibgp) og en lag-3 IGP Ja, og bruker VRRP / HSRP ut på lag-2 aksesslaget 16

17 Intern feiltoleranse med VSS VSS forenkler lag-3 konfigurering, selv om fysikken vil se lik ut som før 17

18 Intern feiltoleranse med OSPF Trenger å snakke OSPF (typisk) mellom lag-3 boksene, for å beskytte mot «lokalt subnett-utfall» Bruker det samme lag-3 link-nettet som for BGP: 18

19 Intern feiltoleranse med OSPF, IPv4 Eksempel på konfigurasjon på grense-ruter: router ospf 1 network a.b.c.d area redistribute connected redistribute static default-information originate 19

20 Intern feiltoleranse med OSPF, IPv6 Eksempel på konfigurasjon av OSPFv3 for IPv6 på grense-ruter: ipv6 router ospf 6 redistribute connected redistribute static default-information originate interface Vlan<n> ipv6 ospf 6 area 0 20

21 Andre punkter ved konfig-valg Beskytter BGP TCP-sesjonene med MD5: neighbor a.b.c.d password <blah> Som tidligere nevnt: maksimal aggregering av ruting-informasjon 21 Konfigurerer flere adressefamilier: IPv4 unicast IPv4 multicast IPv6 unicast Konfigurasjon for disse er konseptuell lik

22 Mer komplett konfig-eksempel router bgp <asn> bgp log-neighbor-changes neighbor <other-loopback0> remote-as <asn> neighbor <other-loopback0> update-source Loopback0 neighbor <other-loopback0> password <password> neighbor <uninett-neighbor> remote-as 224 neighbor <uninett-neighbor> password <password> address-family ipv4 unicast no synchronization no auto-summary neighbor <other-loopback0> activate neighbor <other-loopback0> soft-reconfiguration inbound neighbor <uninett-neighbor> activate neighbor <uninett-neighbor> soft-reconfiguration inbound neighbor <uninett-neighbor> route-map uninett-main-in in neighbor <uninett-neighbor> route-map uninett-main-out out network a.b.c.0 mask network a.b.d.0 mask exit-address-family ip route a.b.d null0 22

23 Mer komplett konfig-eksempel, forts. route-map uninett-main-in in set local-preference 110 route-map uninett-main-out permit 10 set metric 0 23

24 Tillegg av IPv4 multicast konfig router bgp <asn> address-family ipv4 multicast neighbor <other-loopback0> activate neighbor <uninett-neighbor> activate neighbor <uninett-neighbor> route-map uninett-main-in in neighbor <uninett-neighbor> route-map uninett-main-out out network a.b.c.0 mask network a.b.d.0 mask exit-address-family 24

25 Tillegg av IPv6 unicast konfig router bgp <asn> neighbor <other-loopback0-v6> remote-as <asn> neighbor <other-loopback0-v6> password <password> neighbor <uninett-neighbor-v6> remote-as 224 neighbor <uninett-neighbor-v6> password <password> address-family ipv6 unicast no synchronization neighbor <other-loopback0-v6> activate neighbor <other-loopback0-v6> soft-reconfiguration inbound neighbor <uninett-neighbor-v6> activate neighbor <uninett-neighbor-v6> soft-reconfiguration inbound neighbor <uninett-neighbor-v6> route-map uninett-main-in in neighbor <uninett-neighbor-v6> route-map uninett-main-out out network 2001:700:xxxx::/48 exit-address-family ipv6 route 2001:700:xxxx::/48 Null0 25

26 Kommandoer for visning av status grm-core-1-gw#show ip bgp summary BGP router identifier , local AS number BGP table version is 1778, main routing table version network entries using 4797 bytes of memory 69 path entries using 3588 bytes of memory 25/10 BGP path/bestpath attribute entries using 4000 bytes of memory 2 BGP AS-PATH entries using 48 bytes of memory 0 BGP route-map cache entries using 0 bytes of memory 0 BGP filter-list cache entries using 0 bytes of memory BGP using total bytes of memory 16 received paths for inbound soft reconfiguration BGP activity 200/94 prefixes, / paths, scan interval 60 secs 26 Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd w4d w4d 16 grm-core-1-gw#

27 Kommandoer for visning av status grm-core-1-gw#show ip bgp neighbor received-routes BGP table version is 1778, local router ID is Status codes: s suppressed, d damped, h history, * valid, > best, i - internal, r RIB-failure, S Stale Origin codes: i - IGP, e - EGP,? - incomplete Network Next Hop Metric LocPrf Weight Path * i * / i * i * i * / i * i * i * i * i * i * i * / i * i * i * / i * / i 27 Network Next Hop Metric LocPrf Weight Path Total number of prefixes 16 grm-core-1-gw#

28 Kommandoer for visning av status grm-core-1-gw#show ip route Routing entry for /16 Known via "bgp 64536", distance 20, metric 17 Tag 224, type external Last update from w0d ago Routing Descriptor Blocks: * , from , 2w0d ago Route metric is 17, traffic share count is 1 AS Hops 1 Route tag 224 MPLS label: none 28 grm-core-1-gw#

29 Kommandoer for visning av status grm-core-1-gw#show ip bgp BGP routing table entry for /16, version 1764 Paths: (2 available, best #1, table Default-IP-Routing-Table) Advertised to update-groups: from ( ) Origin IGP, metric 17, localpref 110, valid, external, best 224, (received-only) from ( ) Origin IGP, metric 17, localpref 100, valid, external grm-core-1-gw# 29 grm-core-2-gw#show ip bgp BGP routing table entry for /16, version 1989 Paths: (3 available, best #1, table Default-IP-Routing-Table) Not advertised to any peer 224, (received & used) from ( ) Origin IGP, metric 17, localpref 110, valid, internal, best from ( ) Origin IGP, localpref 100, valid, external 224, (received-only) from ( ) Origin IGP, localpref 100, valid, external grm-core-2-gw#

30 Tilsvarende for IPv4 multicast: grm-core-2-gw#show ip mbgp BGP routing table entry for /16, version 2562 Paths: (3 available, best #1, table Default-MBGP-Routing-Table) Not advertised to any peer 224, (received & used) from ( ) Origin IGP, metric 17, localpref 110, valid, internal, best from ( ) Origin IGP, localpref 100, valid, external 224, (received-only) from ( ) Origin IGP, localpref 100, valid, external grm-core-2-gw# 30

31 Tilsvarende for IPv6: grm-core-2-gw#show bgp ipv6 unicast summary BGP router identifier , local AS number BGP table version is , main routing table version network entries using 1833 bytes of memory 36 path entries using 2736 bytes of memory 30/4 BGP path/bestpath attribute entries using 4800 bytes of memory 2 BGP AS-PATH entries using 48 bytes of memory 0 BGP route-map cache entries using 0 bytes of memory 0 BGP filter-list cache entries using 0 bytes of memory BGP using 9417 total bytes of memory 12 received paths for inbound soft reconfiguration BGP activity 310/204 prefixes, 1444/1213 paths, scan interval 60 secs 31 Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd 2001:700:0:206:: w4d :700:1501:: w4d 12 grm-core-2-gw#

32 Helt til slutt Kontakt for konfigureringsbistand og/eller planlegging av oppsett 32