Конфигурирование BGP на Juniper MX

Приветствую, читатель!

В прошлой статье я обмолвился, что, возможно, опишу конфигурацию присутствующих в решении маршрутизаторов Juniper MX204. Близится конец года, и напоследок я решил написать небольшую статью на эту тему.

Предыстория задачи

Для тех, кто не читал прошлую статью, я коротко расскажу, о чём там был разговор. Итак, мне нужно было создать сетевую связность между двумя локациями через транспортную инфраструктуру, представленную на схеме ниже:

По ряду причин, которые я описал в прошлой статье, для решения задачи в локации №2 я выбрал связку из двух виртуальных машин OPNsense и установил пакет FRRouting, который выполняет динамическую маршрутизацию, в частности, мне был нужен BGP. В локации №1 задачу динамической маршрутизации решают два Juniper MX204, и я поведаю, как они настроены.

Настройка Juniper

Как и для FRR, я хочу не просто поднять BGP-сессии, но и управлять их параметрами, такими как:

• контроль префиксов, которые будут добавлены в таблицу маршрутов;

• выбор приоритетного соседа для приёма и отправки трафика.

Конфигурация в JunOS является структурированной, как JSON, а потому команды применяются в зависимости от вашего текущего положения, я буду показывать команды от «корня». И, дабы не усложнять, я буду приводить примеры команд и конфигураций без использования logical-system и vpn-instance.

eBGP

Для начала настроим группу для eBGP для MX204-01:

set protocols bgp group DC-eBGP type external set protocols bgp group DC-eBGP hold-time 30 set protocols bgp group DC-eBGP log-updown set protocols bgp group DC-eBGP local-as 650000 set protocols bgp group DC-eBGP neighbor 192.168.0.2 description MX204-01-to-M09-CLF-01 set protocols bgp group DC-eBGP neighbor 192.168.0.2 local-address 192.168.0.1 set protocols bgp group DC-eBGP neighbor 192.168.0.2 peer-as 42000001

Полученную конфигурацию можно посмотреть командой show protocols bgp:

group DC-eBGP {     type external;     hold-time 30;     log-updown;     local-as 650000;     neighbor 192.168.0.2 {         description MX204-01-to-M09-CLF-01;         local-address 192.168.0.1;         peer-as 42000001;     } }

Теперь настроим сессию eBGP на MX204-02:

set protocols bgp group DC-eBGP type external set protocols bgp group DC-eBGP hold-time 30 set protocols bgp group DC-eBGP log-updown set protocols bgp group DC-eBGP local-as 650000 set protocols bgp group DC-eBGP neighbor 192.168.1.2 description MX204-02-to-M09-CLF-02 set protocols bgp group DC-eBGP neighbor 192.168.1.2 local-address 192.168.1.1 set protocols bgp group DC-eBGP neighbor 192.168.1.2 peer-as 42000002

И той же командой смотрим результат:

group DC-eBGP {     type external;     hold-time 15;     log-updown;     local-as 650000;     neighbor 192.168.1.2 {         description MX204-02-to-M09-CLF-02;         local-address 192.168.1.1;         peer-as 42000002;     } }

Быстренько пробежимся по использованным параметрам для группы:

• type — указываем, какой является группа — внешней или внутренней (eBGP/iBGP);

• hold-time — указываем максимальную продолжительность жизни маршрутов, после чего сосед и полученные от него маршруты считаются недоступными;

• local-as — номер нашей автономной системы;

• neighbor — IP-адрес соседа, с которым устанавливаем сессию, их в группе может быть несколько.

Всё, что указано на первом уровне вложения group (type, hold-time и т.д.) применяется ко всем в группе.

В персональных настройках соседа обязательно указываются параметры:

• local-address — локальный IP-адрес для маршрутизатора , от имени которого строится сессия;

• peer-as — номер автономной системы соседа.

В JunOS реализовано очень гибкое управление BGP, и тут я описал лишь те параметры, которые понадобились мне; для решения вашей задачи советую обратиться к документации.

Теперь настроим политики импорта и экспорта маршрутов. У меня они основаны на соответствии списку префиксов, создадим его на обоих маршрутизаторах:

set policy-options prefix-list prefix_IP_out 192.168.200.0/24 set policy-options prefix-list prefix_IP_out 192.168.210.0/24 set policy-options prefix-list prefix_IP_out 192.168.220.0/24

Создадим политику для MX204-01:

set policy-options policy-statement DC-eBGP-OUT term 1 from prefix-list prefix_IP_out set policy-options policy-statement DC-eBGP-OUT term 1 then accept set policy-options policy-statement DC-eBGP-OUT term 2 then reject

Вывести результат можно командой show policy-options policy-statement DC-eBGP-OUT:

term 1 {     from {         prefix-list prefix_IP_out;     }     then {         accept;     } } term 2 {     then reject; }

На MX204-02:

set policy-options policy-statement DC-eBGP-OUT term 1 from prefix-list prefix_IP_out set policy-options policy-statement DC-eBGP-OUT term 1 then as-path-prepend "650000 650000" set policy-options policy-statement DC-eBGP-OUT term 1 then accept set policy-options policy-statement DC-eBGP-OUT term 2 then reject

term 1 {     from {         prefix-list prefix_IP_out;     }     then {         as-path-prepend "650000 650000";         accept;     } } term 2 {     then reject; }

term — это, по сути, шаг с условиями, на совпадение с которыми проверяется трафик. У меня они пронумерованы, но это ничего не значит, название может быть любым, порядок проверки условий идёт сверху вниз, как в ACL. Чтобы новый term проверялся не последним, а в определённом месте политики, используется команда insert term ИМЯ before|after term ИМЯ.

Если условие в term будет True, то выполнится действие в then. В term 1 для MX204-01 префикс анонсируется соседу без дополнительных манипуляций, а в term 1 для MX204-02 атрибут as-path передаваемого префикса будет увеличен на две автономные системы командой as-path-prepend "650000 650000", т.е. сосед получит информацию, что для этого префикса as-path равен 650000 650000 650000. Таким образом, я рассчитываю, что сосед будет отправлять трафик в MX204-01, так как MX204-02 для него будет «дальше». Если условие в term 1 будет False, то проверка перейдёт в term 2 и выполнится действие reject.

Почему я рассчитываю на такое поведение, а не уверен в нём, описано в прошлой статье.

С экспортом маршрутов разобрались, переходим к их импорту в таблицу маршрутизации, и начнём опять с создания списка префиксов на обоих MX204:

set policy-options prefix-list prefix_IP_in 10.0.200.0/24 set policy-options prefix-list prefix_IP_in 10.0.210.0/24 set policy-options prefix-list prefix_IP_in 10.0.220.0/24

Создадим политику на MX204-01:

set policy-options policy-statement DC-eBGP-IN term 1 from prefix-list prefix_IP_in set policy-options policy-statement DC-eBGP-IN term 1 then local-preference 200 set policy-options policy-statement DC-eBGP-IN term 1 then accept set policy-options policy-statement DC-eBGP-IN term 2 then reject

term 1 {     from {         prefix-list prefix_IP_in;     }     then {         local-preference 200;         accept;     } } term 2 {     then reject; }

Повторим для MX204-02, но поменяем значение local-preference:

set policy-options policy-statement DC-eBGP-IN term 1 from prefix-list prefix_IP_in set policy-options policy-statement DC-eBGP-IN term 1 then local-preference 100 set policy-options policy-statement DC-eBGP-IN term 1 then accept set policy-options policy-statement DC-eBGP-IN term 2 then reject

term 1 {     from {         prefix-list prefix_IP_in;     }     then {         local-preference 100;         accept;     } } term 2 {     then reject; }

Логика такая же, как и при анонсировании, но тут подпадая под условие мы меняем атрибут local-preference. Опять же, если условие в term 1 не выполняется, то выполнится reject в term 2.

Я знаю, что в этой архитектуре выставление local-preference не несёт фактической пользы, но хотелось показать, как эту манипуляцию выполнять, потому что это зачастую необходимо.

Теперь добавим созданные нами политики в конфигурацию eBGP на MX204-01:

set protocols bgp group DC-eBGP neighbor 192.168.0.2 import DC-eBGP-IN set protocols bgp group DC-eBGP neighbor 192.168.0.2 export DC-eBGP-OUT

На MX204-02:

set protocols bgp group DC-eBGP neighbor 192.168.1.2 import DC-eBGP-IN set protocols bgp group DC-eBGP neighbor 192.168.1.2 export DC-eBGP-OUT

iBGP

Настало время организовать iBGP-связь между нашими MX204, чтобы получить отказоустойчивую схему. Создадим базовую конфигурацию iBGP на MX204-01:

set protocols bgp group DC-iBGP type internal set protocols bgp group DC-iBGP log-updown set protocols bgp group DC-iBGP local-as 650000 set protocols bgp group DC-iBGP neighbor 192.168.255.254 description MX204-02 set protocols bgp group DC-iBGP neighbor 192.168.255.254 local-address 192.168.255.253 set protocols bgp group DC-iBGP neighbor 192.168.255.254 peer-as 650000

group DC-iBGP {     type internal;     log-updown;     local-as 650000;     neighbor 192.168.255.254 {         description MX204-02;         local-address 192.168.255.253;         peer-as 650000;     } }

На MX204-02:

set protocols bgp group DC-iBGP type internal set protocols bgp group DC-iBGP log-updown set protocols bgp group DC-iBGP local-as 650000 set protocols bgp group DC-iBGP neighbor 192.168.255.253 description MX204-01 set protocols bgp group DC-iBGP neighbor 192.168.255.253 local-address 192.168.255.254 set protocols bgp group DC-iBGP neighbor 192.168.255.253 peer-as 650000

group DC-iBGP {     type internal;     log-updown;     local-as 650000;     neighbor 192.168.255.253 {         description MX204-01;         local-address 192.168.255.254;         peer-as 650000;     } }

Политика экспорта маршрутов соседу по iBGP также основана на списке префиксов и одинакова для обоих MX204:

set policy-options policy-statement DC-iBGP-OUT term 1 from prefix-list prefix_IP_out set policy-options policy-statement DC-iBGP-OUT term 1 then reject set policy-options policy-statement DC-iBGP-OUT term next-hop-self then next-hop self

term 1 {     from {         prefix-list prefix_IP_out;     }     then reject; } term next-hop-self {     then {         next-hop self;     } }

В term 1 мы сверяемся с тем же списком префиксов, который используется при анонсировании в eBGP, но здесь запрещаем анонсировать их соседу, всё остальное попадает в term next-hop-self, который меняет значение атрибута next-hop в анонсе на локальный IP маршрутизатора.

Политика импорта в iBGP почти одинакова для обоих MX204, начнём с MX204-01:

set policy-options policy-statement DC-iBGP-IN term 1 from protocol bgp set policy-options policy-statement DC-iBGP-IN term 1 from next-hop 192.168.255.254 ### 192.168.255.253 для MX204-02 set policy-options policy-statement DC-iBGP-IN term 1 then local-preference 50 set policy-options policy-statement DC-iBGP-IN term 1 then accept set policy-options policy-statement DC-iBGP-IN term 2 then reject

term 1 {     from {         protocol bgp;         next-hop 192.168.255.254;     }     then {         local-preference 50;         accept;     } } term 2 {     then reject; }

На MX204-02:

set policy-options policy-statement DC-iBGP-IN term 1 from protocol bgp set policy-options policy-statement DC-iBGP-IN term 1 from next-hop 192.168.255.253 set policy-options policy-statement DC-iBGP-IN term 1 then local-preference 50 set policy-options policy-statement DC-iBGP-IN term 1 then accept set policy-options policy-statement DC-iBGP-IN term 2 then reject

term 1 {     from {         protocol bgp;         next-hop 192.168.255.253;     }     then {         local-preference 50;         accept;     } } term 2 {     then reject; }

В term 1 импортируем только те анонсы, которые были «изучены» по BGP и имеют в атрибуте next-hop IP-адрес нашего iBGP-соседа, затем присваиваем им пониженный local-preference, чтобы трафик пошёл по этому пути только при исчезновении маршрута в локальной сессии eBGP. Всё остальное попадает в reject.

Напоследок добавим политики импорта и экспорта в ранее созданную группу iBGP, по традиции начинаем с MX204-01:

set protocols bgp group DC-iBGP neighbor 192.168.255.254 import DC-iBGP-IN set protocols bgp group DC-iBGP neighbor 192.168.255.254 export DC-iBGP-OUT

На MX204-02:

set protocols bgp group DC-iBGP neighbor 192.168.255.253 import DC-iBGP-IN set protocols bgp group DC-iBGP neighbor 192.168.255.253 export DC-iBGP-OUT

Итоговая конфигурация BGP на MX204-01 выглядит так:

group DC-eBGP {     type external;     hold-time 30;     log-updown;     local-as 650000;     neighbor 192.168.0.2 {         description MX204-01-to-M09-CLF-01;         local-address 192.168.0.1;         import DC-eBGP-IN;         export DC-eBGP-OUT;         peer-as 42000001;     } } group DC-iBGP {     type internal;     log-updown;     local-as 650000;     neighbor 192.168.255.254 {         description MX204-02;         local-address 192.168.255.253;         import DC-iBGP-IN;         export DC-iBGP-OUT;         peer-as 650000;     } }

На MX204-02:

group DC-eBGP {     type external;     hold-time 15;     log-updown;     local-as 650000;     neighbor 192.168.1.2 {         description MX204-02-to-M09-CLF-02;         local-address 192.168.1.1;         import DC-eBGP-IN;         export DC-eBGP-OUT;         peer-as 42000002;     } } group DC-iBGP {     type internal;     log-updown;     local-as 650000;     neighbor 192.168.255.253 {         description MX204-01;         local-address 192.168.255.254;         import DC-iBGP-IN;         export DC-iBGP-OUT;         peer-as 650000;     } }

Послесловие

Задача получилась интересной, и я получил хороший опыт при её решении. К сожалению, многое осталось за рамками, но очень рассчитываю, что кому-нибудь статья будет полезна! В этом году я прощаюсь с тобой, читатель, и надеюсь, что мы снова встретимся в новом году на бескрайних полях Хабра!

Live long and prosper!