{"id":354487,"date":"2024-05-20T22:49:23","date_gmt":"2024-05-20T22:49:23","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=354487"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=354487","title":{"rendered":"Loose uRPF \u2013 \u0437\u0430\u0447\u0435\u043c \u043e\u043d \u043d\u0443\u0436\u0435\u043d?<\/span>"},"content":{"rendered":"
<\/div>\n
\n
\n
\n
\n

\u0412 \u0421\u0435\u0442\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u0442\u0430\u0442\u0435\u0439, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0438\u0445 Unicast Reverse Path Forwarding (uRPF) \u0438 \u0434\u0432\u0430 \u0435\u0433\u043e \u0440\u0435\u0436\u0438\u043c\u0430: strict \u0438 loose. \u041a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0430\u0432\u0442\u043e\u0440\u044b \u0434\u0435\u043b\u0430\u044e\u0442 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0430\u043a\u0446\u0435\u043d\u0442 \u043d\u0430 \u0440\u0430\u0437\u043d\u0438\u0446\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0434\u0432\u0443\u0445 \u0440\u0435\u0436\u0438\u043c\u043e\u0432; \u043e\u0434\u043d\u0430\u043a\u043e \u043f\u0440\u0438\u0447\u0438\u043d\u0430 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u044f<\/em> \u0434\u0432\u0443\u0445 \u0440\u0430\u0437\u043d\u044b\u0445 \u0440\u0435\u0436\u0438\u043c\u043e\u0432 \u043e\u0431\u044b\u0447\u043d\u043e \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u0437\u0430 \u0440\u0430\u043c\u043a\u0430\u043c\u0438 \u043e\u0431\u0441\u0443\u0436\u0434\u0435\u043d\u0438\u044f, \u043f\u043e \u043a\u0440\u0430\u0439\u043d\u0435\u0439 \u043c\u0435\u0440\u0435 \u043f\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c \u043f\u043e\u0438\u0441\u043a\u0430 \u0432 Google \u043f\u043e \u0441\u043b\u043e\u0432\u0430\u043c \u201cloose vs strict uRPF\u201d. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0431\u044b \u0445\u043e\u0442\u0435\u043b \u0438\u0441\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u044d\u0442\u0443 \u0434\u043e\u0441\u0430\u0434\u043d\u0443\u044e \u043e\u043f\u043b\u043e\u0448\u043d\u043e\u0441\u0442\u044c \u0438 \u044f\u0432\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043e\u043f\u0438\u0441\u0430\u0442\u044c \u0441\u0432\u044f\u0437\u044c loose uRPF \u0441 \u043f\u043e\u043a\u0430 \u0435\u0449\u0451 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u043d\u0430\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439.<\/p>\n

<\/figure>\n

\u041f\u0435\u0440\u0435\u0434 \u0442\u0435\u043c, \u043a\u0430\u043a \u043e\u0431\u0441\u0443\u0436\u0434\u0430\u0442\u044c, \u0447\u0435\u043c \u0436\u0435 \u0438\u043c\u0435\u043d\u043d\u043e \u043e\u0442\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f \u0434\u0432\u0430 \u0440\u0435\u0436\u0438\u043c\u0430 \u0438 \u043f\u043e\u0447\u0435\u043c\u0443, \u0441\u0442\u043e\u0438\u0442 \u0432 \u043e\u0431\u0449\u0438\u0445 \u0447\u0435\u0440\u0442\u0430\u0445 \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u0442\u044c \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438-\u043f\u0440\u0430\u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044f. RPF \u0440\u043e\u0434\u043e\u043c \u0438\u0437 \u043c\u0438\u0440\u0430 multicast, \u0433\u0434\u0435 \u043e\u043d\u0430 \u043f\u0440\u0435\u0434\u043e\u0442\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u043f\u0435\u0442\u0435\u043b\u044c \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 data plane: \u043e\u043d\u0430 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430 IP \u043f\u0430\u043a\u0435\u0442\u0430 \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 RIB; \u0435\u0441\u043b\u0438 \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u043f\u0430\u043a\u0435\u0442\u0430 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u0435\u0442 \u0441 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0438\u043c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u043c \u0432 \u0441\u0442\u043e\u0440\u043e\u043d\u0443 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430 \u043f\u0430\u043a\u0435\u0442\u0430, \u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u043f\u0440\u043e\u0439\u0434\u0435\u043d\u0430 \u0438 \u043f\u0430\u043a\u0435\u0442 \u043c\u043e\u0436\u043d\u043e \u0441\u043b\u0430\u0442\u044c \u0434\u0430\u043b\u044c\u0448\u0435; \u0432 \u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0430 \u043f\u0435\u0442\u043b\u044f, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u0430\u043a\u0435\u0442 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043e\u0442\u0431\u0440\u043e\u0441\u0438\u0442\u044c. Unicast RPF \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u0442\u043e\u0439 \u0436\u0435 \u0438\u0434\u0435\u0435 \u2013 \u043e\u043d\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0447\u0442\u043e unicast \u043f\u0430\u043a\u0435\u0442 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u0441 \u0432\u0435\u0440\u043d\u043e\u0433\u043e \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f. Strict uRPF \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u0430\u043a \u0436\u0435, \u043a\u0430\u043a \u0435\u0451 \u0432\u0438\u0437\u0430\u0432\u0438 \u0438\u0437 \u043c\u0438\u0440\u0430 multicast; loose uRPF \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f: \u0434\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043b\u0438\u0448\u044c \u043d\u0430\u043b\u0438\u0447\u0438\u044f \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0430, \u0441\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u0435 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u043d\u0435\u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e. \u0412\u043f\u0440\u043e\u0447\u0435\u043c, \u0438\u0437 \u044d\u0442\u043e\u0433\u043e \u043a\u0440\u0430\u0442\u043a\u043e\u0433\u043e \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u0435\u0441\u0442\u044c \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435<\/a>: \u0435\u0441\u043b\u0438 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0434\u043e \u0430\u0434\u0440\u0435\u0441\u0430 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u044f \u2013 Null0, \u0442\u043e \u0442\u0430\u043a\u043e\u0439 \u043f\u0430\u043a\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043e\u0442\u0431\u0440\u043e\u0441\u0438\u0442\u044c. Cisco, \u043f\u043e\u043c\u0438\u043c\u043e \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f loose uRPF, \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u0435\u0442 \u0438 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u0435\u0451 \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f:<\/p>\n

\n

To provide ISPs with a DDoS resistance tool on the ISP-to-ISP edge of a network, Unicast RPF was modified from its original strict mode implementation to check the source addresses of each ingress packet without regard for the specific interface on which it was received. This modification is known as \u201cloose mode.\u201d<\/em><\/p>\n

\u0412\u043e\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u0440\u0435\u0432\u043e\u0434: \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c ISP \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0431\u043e\u0440\u044c\u0431\u044b \u0441 DDoS \u043d\u0430 \u0433\u0440\u0430\u043d\u0438\u0446\u0435 \u0438\u0445 \u0441\u0435\u0442\u0438, \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f Unicast RPF \u0431\u044b\u043b\u0430 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0430 \u0442\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u0430\u0434\u0440\u0435\u0441 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043f\u0430\u043a\u0435\u0442\u0430 \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e \u043e\u0442 \u0442\u043e\u0433\u043e, \u0447\u0435\u0440\u0435\u0437 \u043a\u0430\u043a\u043e\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u044d\u0442\u043e\u0442 \u043f\u0430\u043a\u0435\u0442 \u0431\u044b\u043b \u043f\u043e\u043b\u0443\u0447\u0435\u043d. \u042d\u0442\u0430 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u0430 \u043a\u0430\u043a \u201cloose mode\u201d.<\/em><\/p>\n

Security Configuration Guide: Unicast Reverse Path Forwarding, Cisco IOS XE 17 (Cisco ASR 920 Routers)<\/em><\/strong><\/p>\n<\/blockquote>\n

\u0417\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 DDoS \u043d\u0430 \u0433\u0440\u0430\u043d\u0438\u0446\u0435 ISP \u2013 \u0437\u0432\u0443\u0447\u0438\u0442 \u0437\u043d\u0430\u043a\u043e\u043c\u043e, \u043d\u0435 \u043f\u0440\u0430\u0432\u0434\u0430 \u043b\u0438? \u042d\u0442\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0437\u0430\u0434\u0430\u0447\u0430 Remotely Triggered Blackhole (RTBH). Destination-based RTBH \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 BGP community, \u0442\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0438\u0437\u0432\u0435\u0449\u0430\u044f \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430 \u043e\u0431 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0430\u0434\u0440\u0435\u0441\u0435 \u0438\u043b\u0438 \u0441\u0435\u0442\u0438, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440 \u043c\u043e\u0433 \u0437\u0430\u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u043f\u0440\u0438 \u0442\u0430\u043a\u043e\u043c \u043f\u043e\u0434\u0445\u043e\u0434\u0435 \u043f\u043e\u0434 \u0440\u0430\u0437\u0434\u0430\u0447\u0443 \u043f\u043e\u043f\u0430\u0434\u0451\u0442 \u0438 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a. \u0411\u044b\u043b\u043e \u0431\u044b \u043d\u0435\u0434\u0443\u0440\u043d\u043e \u0438\u043c\u0435\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 IP \u0430\u0434\u0440\u0435\u0441\u0430 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e \u0432\u043c\u0435\u0441\u0442\u043e \u0430\u0434\u0440\u0435\u0441\u0430 \u0436\u0435\u0440\u0442\u0432\u044b, \u043d\u0435 \u0442\u0430\u043a \u043b\u0438? \u0418\u043c\u0435\u043d\u043d\u043e \u0442\u0443\u0442 \u043d\u0430 \u0441\u0446\u0435\u043d\u0443 \u0438 \u0432\u044b\u0445\u043e\u0434\u0438\u0442 source-based RTBH: \u0435\u0441\u043b\u0438 \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c loose uRPF \u043a \u0441\u0445\u0435\u043c\u0435 destination-based RTBH, \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u043e\u043c\u0435\u0442\u0438\u0442\u044c IP \u0430\u0434\u0440\u0435\u0441 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430 c \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0442\u0435\u0445 \u0436\u0435 BGP community, \u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a \u0432 \u043d\u0435\u0431\u044b\u0442\u0438\u0435. \u041d\u0430 \u043f\u0440\u043e\u0441\u0442\u043e\u0440\u0430\u0445 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0430 \u0435\u0441\u0442\u044c \u043d\u0435\u043f\u043b\u043e\u0445\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043f\u0440\u043e RTBH<\/a>, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0430\u044f \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 IOS XR.<\/p>\n

Disclaimer: \u0434\u0430\u043b\u0435\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 \u043e\u0442\u043a\u0440\u043e\u0432\u0435\u043d\u0438\u0439, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432 \u0441\u043b\u0443\u0447\u0430\u0435, \u0435\u0441\u043b\u0438 \u0447\u0438\u0442\u0430\u0442\u0435\u043b\u044c \u0443\u0436\u0435 \u043f\u0440\u043e\u043d\u0438\u043a\u0441\u044f \u0438\u0434\u0435\u0435\u0439, \u043e\u043d \u043c\u043e\u0436\u0435\u0442 \u0441\u043f\u043e\u043a\u043e\u0439\u043d\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043e\u0441\u0442\u0430\u0432\u0448\u0438\u0439\u0441\u044f \u0442\u0435\u043a\u0441\u0442.<\/p>\n

\u041f\u043e\u0441\u0442\u0440\u043e\u0438\u043c \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0442\u043e\u043f\u043e\u043b\u043e\u0433\u0438\u044e \u0434\u043b\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f loose uRPF \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 RTBH:<\/p>\n

<\/figure>\n

\u0421\u0435\u0442\u044c ISP \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0438\u0437 2 PE-\u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u043e\u0432, \u043d\u0430\u0445\u043e\u0434\u044f\u0449\u0438\u0445\u0441\u044f \u0432 \u043e\u0434\u043d\u043e\u0439 BGP AS. CE1 \u0438 CE2 \u2013 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u044b \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0435 eBGP \u0434\u043b\u044f \u043e\u0431\u043c\u0435\u043d\u0430 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u0441 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u043c. \u0412\u0430\u0436\u043d\u043e\u0435 \u0437\u0430\u043c\u0435\u0447\u0430\u043d\u0438\u0435: IOS XE \u0442\u0440\u0435\u0431\u0443\u0435\u0442, \u0447\u0442\u043e\u0431\u044b eBGP \u0441\u043e\u0441\u0435\u0434 \u0438 next-hop \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u043e\u0442 \u043d\u0435\u0433\u043e \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u043e\u0432 \u0431\u044b\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u0447\u0435\u0440\u0435\u0437 \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435 \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441; \u0432 \u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u044b \u0441\u0447\u0438\u0442\u0430\u044e\u0442\u0441\u044f inaccessible. \u0412\u043f\u0440\u043e\u0447\u0435\u043c, \u043e\u0431\u043e\u0439\u0442\u0438 \u044d\u0442\u0443 \u0434\u043e\u0441\u0430\u0434\u043d\u0443\u044e \u043f\u043e\u043c\u0435\u0445\u0443 \u043d\u0435\u0441\u043b\u043e\u0436\u043d\u043e \u2013 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u044b disable-connected-check<\/em> \u043d\u0430 PE, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u044e\u0449\u0435\u043c \u043f\u043e\u0434\u043c\u0435\u043d\u0443 next-hop. \u041d\u0438\u0436\u0435 \u0431\u0430\u0437\u043e\u0432\u044b\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0430\u0434\u0440\u0435\u0441\u0430\u0446\u0438\u0438 \u0438 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438:<\/p>\n

CE1#show run | section interface|router|ip route interface Loopback0  ip address 3.3.3.3 255.255.255.255 interface FastEthernet0\/0  ip address 192.168.13.3 255.255.255.0 router bgp 3  bgp router-id 3.3.3.3  no bgp default ipv4-unicast   neighbor 192.168.13.1 remote-as 12  address-family ipv4   network 3.3.3.3 mask 255.255.255.255   neighbor 192.168.13.1 activate   neighbor 192.168.13.1 send-community both<\/code><\/pre>\n
CE2#show run | section interface|router interface Loopback0  ip address 4.4.4.4 255.255.255.255 interface FastEthernet0\/0  ip address 192.168.24.4 255.255.255.0 router bgp 4  bgp router-id 4.4.4.4  no bgp default ipv4-unicast  neighbor 192.168.24.2 remote-as 12  address-family ipv4   network 4.4.4.4 mask 255.255.255.255   neighbor 192.168.24.2 activate   neighbor 192.168.24.2 send-community both<\/code><\/pre>\n
PE1#show run | section interface|router     interface Loopback0  ip address 1.1.1.1 255.255.255.255  ip ospf 1 area 0 interface FastEthernet0\/0  ip address 192.168.13.1 255.255.255.0 interface FastEthernet1\/0  ip address 192.168.12.1 255.255.255.0  ip ospf 1 area 0 router ospf 1  router-id 1.1.1.1 router bgp 12  bgp router-id 1.1.1.1  no bgp default ipv4-unicast  neighbor 2.2.2.2 remote-as 12  neighbor 2.2.2.2 update-source Loopback0  neighbor 192.168.13.3 remote-as 3  neighbor 192.168.13.3 disable-connected-check  !  address-family ipv4   redistribute connected   neighbor 2.2.2.2 activate   neighbor 2.2.2.2 send-community both   neighbor 192.168.13.3 activate   neighbor 192.168.13.3 send-community both<\/code><\/pre>\n
PE2#show run | section interface|router interface Loopback0  ip address 2.2.2.2 255.255.255.255  ip ospf 1 area 0 interface FastEthernet0\/0  ip address 192.168.24.2 255.255.255.0 interface FastEthernet0\/1  ip address 192.168.25.2 255.255.255.0 interface FastEthernet1\/0  ip address 192.168.12.2 255.255.255.0  ip ospf 1 area 0 router ospf 1  router-id 2.2.2.2 router bgp 12  bgp router-id 2.2.2.2  no bgp default ipv4-unicast  neighbor 1.1.1.1 remote-as 12  neighbor 1.1.1.1 update-source Loopback0  neighbor 192.168.24.4 remote-as 4  neighbor 192.168.25.5 remote-as 5  !  address-family ipv4   redistribute connected   neighbor 1.1.1.1 activate   neighbor 1.1.1.1 send-community   neighbor 192.168.24.4 activate   neighbor 192.168.24.4 send-community both   neighbor 192.168.25.5 activate   neighbor 192.168.25.5 send-community both<\/code><\/pre>\n
Attacker#show run | section interface|router interface Loopback0  ip address 5.5.5.5 255.255.255.255 interface FastEthernet0\/1  ip address 192.168.25.5 255.255.255.0 router bgp 5  bgp router-id 5.5.5.5  no bgp default ipv4-unicast  neighbor 192.168.25.2 remote-as 12  address-family ipv4   network 5.5.5.5 mask 255.255.255.255   neighbor 192.168.25.2 activate   neighbor 192.168.25.2 send-community both<\/code><\/pre>\n
\u0412\u043d\u0430\u0447\u0430\u043b\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u043c destination-based RTBH. \u041f\u0443\u0441\u0442\u044c BGP community 12:666 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043c\u0430\u0440\u043a\u0435\u0440\u043e\u043c \u0434\u043b\u044f \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043e\u0442\u0431\u0440\u043e\u0441\u0438\u0442\u044c \u0447\u0435\u0440\u0435\u0437 Null0.<\/p>\n
PE1#show run | s ip route|ip community|ip bgp|route-map|router bgp router bgp 12  address-family ipv4   neighbor 192.168.13.3 route-map RTBH in ip bgp-community new-format ip community-list standard RTBH permit 12:666 ip route 10.0.0.0 255.255.255.255 Null0 route-map RTBH permit 10  match community RTBH  set local-preference 200  set ip next-hop 10.0.0.0 route-map RTBH permit 20<\/code><\/pre>\n
PE2#show run | s ip route|ip community|ip bgp|route-map|router bgp router bgp 12  address-family ipv4   neighbor 192.168.24.4 route-map RTBH in   neighbor 192.168.25.5 route-map RTBH in ip bgp-community new-format ip community-list standard RTBH permit 12:666 ip route 10.0.0.0 255.255.255.255 Null0 route-map RTBH permit 10  match community RTBH  set local-preference 200  set ip next-hop 10.0.0.0 route-map RTBH permit 20<\/code><\/pre>\n
\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043d\u0430\u0447\u0430\u043b DDoS \u0430\u0442\u0430\u043a\u0443 \u043d\u0430 \u043c\u0430\u0440\u0448\u0440\u0443\u0442 \u0437\u0430 CE1 \u2013 3.3.3.3\/32:<\/p>\n
Attacker#ping 3.3.3.3 source loopback0 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds: Packet sent with a source address of 5.5.5.5  !!!!! Success rate is 100 percent (5\/5), round-trip min\/avg\/max = 40\/48\/52 ms<\/code><\/pre>\n
\u0427\u0442\u043e\u0431\u044b \u0437\u0430\u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a \u043d\u0430 \u0433\u0440\u0430\u043d\u0438\u0446\u0435 \u0441\u0432\u043e\u0435\u0433\u043e \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430, CE1 \u0434\u043e\u043b\u0436\u0435\u043d \u0430\u043d\u043e\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043c\u0430\u0440\u0448\u0440\u0443\u0442 3.3.3.3\/32, \u043f\u0440\u0438\u043a\u0440\u0435\u043f\u0438\u0432 \u043a \u043d\u0435\u043c\u0443 community 12:666.<\/p>\n
CE1#show run | section route-map|router bgp router bgp 3  address-family ipv4   network 3.3.3.3 mask 255.255.255.255 route-map RTBH route-map RTBH permit 10  set community 12:666<\/code><\/pre>\n
\u0410\u0442\u0430\u043a\u0430 \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0444\u0438\u043b\u044c\u0442\u0440\u0443 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 data plane:   <\/p>\n
Attacker#ping 3.3.3.3 source loopback0 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds: Packet sent with a source address of 5.5.5.5  UUUUU Success rate is 0 percent (0\/5)<\/code><\/pre>\n
\u0412\u0430\u0436\u043d\u0430\u044f \u043e\u0442\u043b\u0438\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0447\u0435\u0440\u0442\u0430 RTBH \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a \u043c\u043e\u0436\u043d\u043e \u043e\u0442\u0431\u0440\u043e\u0441\u0438\u0442\u044c \u0441\u0440\u0430\u0437\u0443 \u043d\u0430 \u0433\u0440\u0430\u043d\u0438\u0446\u0435 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430, \u0447\u0442\u043e \u0443\u043c\u0435\u043d\u044c\u0448\u0430\u0435\u0442 \u0432\u043e\u0437\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u043d\u0430 \u0441\u0435\u0442\u044c \u0441\u0430\u043c\u043e\u0433\u043e ISP.<\/p>\n
PE2#show ip bgp 3.3.3.3\/32 BGP routing table entry for 3.3.3.3\/32, version 27 Paths: (1 available, best #1, table default)   Advertised to update-groups:      3            Refresh Epoch 2   3     10.0.0.0 from 1.1.1.1 (1.1.1.1)       Origin IGP, metric 0, localpref 200, valid, internal, best       Community: 12:666 PE2# PE2#show ip cef 3.3.3.3\/32 det 3.3.3.3\/32, epoch 0, flags rib only nolabel, rib defined all labels   recursive via 10.0.0.0     attached to Null0<\/code><\/pre>\n
\u0412\u043f\u0440\u043e\u0447\u0435\u043c, \u0435\u0441\u0442\u044c \u0438 \u043d\u0435\u0433\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u043f\u043e\u0431\u043e\u0447\u043d\u044b\u0439 \u044d\u0444\u0444\u0435\u043a\u0442 \u2013 CE2 \u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u0442\u0435\u0440\u044f\u043b \u0441\u0432\u044f\u0437\u043d\u043e\u0441\u0442\u044c:<\/p>\n
CE2#ping 3.3.3.3 source loopback 0 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds: Packet sent with a source address of 4.4.4.4  UUUUU Success rate is 0 percent (0\/5)<\/code><\/pre>\n
Destination-based RTBH \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0432 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f\u0445, \u043a\u043e\u0433\u0434\u0430 \u043d\u0443\u0436\u043d\u043e \u0432 \u0441\u0436\u0430\u0442\u044b\u0435 \u0441\u0440\u043e\u043a\u0438 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0442\u044c \u0443\u0449\u0435\u0440\u0431 \u043e\u0442 DDoS \u0430\u0442\u0430\u043a\u0438 \u0438\u043b\u0438 \u0432\u044b\u0438\u0433\u0440\u0430\u0442\u044c \u0432\u0440\u0435\u043c\u044f, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0435 \u0430\u0442\u0430\u043a\u0438. \u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u043c, \u0447\u0442\u043e CE1 \u0443\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u0435\u043d IP \u0430\u0434\u0440\u0435\u0441 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e \u2013 5.5.5.5\/32. \u0421\u0430\u043c\u043e\u0435 \u0432\u0440\u0435\u043c\u044f, \u0447\u0442\u043e\u0431\u044b \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u044c source-based RTBH, \u0434\u043e\u0431\u0430\u0432\u0438\u0432 \u0432 \u0441\u0445\u0435\u043c\u0443 loose uRPF!<\/p>\n
PE1#show run int f0\/0 interface FastEthernet0\/0  ip verify unicast source reachable-via any<\/code><\/pre>\n
PE2#show run int f0\/0   interface FastEthernet0\/0  ip verify unicast source reachable-via any PE2#show run int f0\/1 interface FastEthernet0\/1  ip verify unicast source reachable-via any<\/code><\/pre>\n
\u0421\u0435\u0442\u044c ISP \u0433\u043e\u0442\u043e\u0432\u0430, \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c \u0430\u043d\u043e\u043d\u0441\u044b \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u043e\u0432 \u043d\u0430 CE1, \u0447\u0442\u043e\u0431\u044b \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c source-based RTBH:<\/p>\n
CE1#show run | s ip route|router bgp router bgp 3  address-family ipv4   network 3.3.3.3 mask 255.255.255.255   network 5.5.5.5 mask 255.255.255.255 route-map RTBH ip route 5.5.5.5 255.255.255.255 Null0<\/code><\/pre>\n
ISP \u043e\u0442\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u0442 \u0442\u0440\u0430\u0444\u0438\u043a \u043e\u0442 IP \u0430\u0434\u0440\u0435\u0441\u0430 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e \u043d\u0430 \u0431\u043b\u0438\u0436\u0430\u0439\u0448\u0435\u043c \u043a \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0443 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u0435:<\/p>\n
PE2#show ip bgp 5.5.5.5\/32 BGP routing table entry for 5.5.5.5\/32, version 29 Paths: (2 available, best #1, table default)   Advertised to update-groups:      3            Refresh Epoch 3   3     10.0.0.0 from 1.1.1.1 (1.1.1.1)       Origin IGP, metric 0, localpref 200, valid, internal, best       Community: 12:666   Refresh Epoch 4   5     192.168.25.5 from 192.168.25.5 (5.5.5.5)       Origin IGP, metric 0, localpref 100, valid, external PE2# PE2#show ip cef 5.5.5.5\/32 det 5.5.5.5\/32, epoch 0, flags rib only nolabel, rib defined all labels   recursive via 10.0.0.0     attached to Null0<\/code><\/pre>\n
\u041e\u0434\u043d\u0430\u043a\u043e \u0432 \u044d\u0442\u043e\u0442 \u0440\u0430\u0437 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d \u0442\u043e\u043b\u044c\u043a\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a, \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0435 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0432\u0441\u0451 \u0435\u0449\u0451 \u0430\u043a\u0442\u0438\u0432\u043d\u044b:<\/p>\n
CE2#ping 3.3.3.3 so lo 0 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds: Packet sent with a source address of 4.4.4.4  !!!!! Success rate is 100 percent (5\/5), round-trip min\/avg\/max = 44\/53\/72 ms<\/code><\/pre>\n
Attacker#ping 3.3.3.3 source loopback0 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds: Packet sent with a source address of 5.5.5.5  ..... Success rate is 0 percent (0\/5)<\/code><\/pre>\n
\u0412 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440 \u0432\u0440\u044f\u0434 \u043b\u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u0442 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0443 \u043d\u0430\u0441\u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0432\u043e\u0431\u043e\u0434\u043d\u043e \u0430\u043d\u043e\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u044b; \u0431\u043e\u043b\u0435\u0435 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e ISP \u0431\u0443\u0434\u0435\u0442 \u0444\u0438\u043b\u044c\u0442\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u043c\u044b\u0435 \u0438\u043c \u043f\u0440\u0435\u0444\u0438\u043a\u0441\u044b \u0438\u043b\u0438 \u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0432\u044b\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440 \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 RTBH \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0439. \u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435, \u0438\u0434\u0435\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c loose uRPF \u0432 \u0441\u0432\u044f\u0437\u043a\u0435 \u0441\u043e \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u043e\u043c \u0447\u0435\u0440\u0435\u0437 Null0 \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u043d\u0435\u0438\u0437\u043c\u0435\u043d\u043d\u043e\u0439, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044f \u043d\u0430\u0434\u0435\u044e\u0441\u044c, \u0447\u0442\u043e \u043c\u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043c\u043e\u0441\u0442\u0438\u043a \u043c\u0435\u0436\u0434\u0443 \u0440\u0435\u0436\u0438\u043c\u0430\u043c\u0438 uRPF \u0438 \u0442\u0438\u043f\u043e\u0432\u044b\u043c\u0438 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f\u043c\u0438 \u0438\u0445 \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f.<\/p>\n
\u0421\u043f\u0430\u0441\u0438\u0431\u043e \u0437\u0430 \u0440\u0435\u0446\u0435\u043d\u0437\u0438\u044e: \u0410\u043d\u0430\u0441\u0442\u0430\u0441\u0438\u0438 \u041a\u0443\u0440\u0430\u043b\u0451\u0432\u043e\u0439<\/strong>  <\/p>\n
\u041a\u0430\u043d\u0430\u043b \u0432 \u0422\u0435\u043b\u0435\u0433\u0440\u0430\u043c\u0435: https:\/\/t.me\/networking_it_ru<\/a>  <\/p>\n<\/p>\n<\/div>\n<\/div>\n<\/div>\n
<\/div>\n

 \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438  https:\/\/habr.com\/ru\/articles\/760086\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"
<\/div>\n
\n
\n
\n
\n
\u0412 \u0421\u0435\u0442\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u0442\u0430\u0442\u0435\u0439, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0438\u0445 Unicast Reverse Path Forwarding (uRPF) \u0438 \u0434\u0432\u0430 \u0435\u0433\u043e \u0440\u0435\u0436\u0438\u043c\u0430: strict \u0438 loose. \u041a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0430\u0432\u0442\u043e\u0440\u044b \u0434\u0435\u043b\u0430\u044e\u0442 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0430\u043a\u0446\u0435\u043d\u0442 \u043d\u0430 \u0440\u0430\u0437\u043d\u0438\u0446\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0434\u0432\u0443\u0445 \u0440\u0435\u0436\u0438\u043c\u043e\u0432; \u043e\u0434\u043d\u0430\u043a\u043e \u043f\u0440\u0438\u0447\u0438\u043d\u0430 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u044f<\/em> \u0434\u0432\u0443\u0445 \u0440\u0430\u0437\u043d\u044b\u0445 \u0440\u0435\u0436\u0438\u043c\u043e\u0432 \u043e\u0431\u044b\u0447\u043d\u043e \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u0437\u0430 \u0440\u0430\u043c\u043a\u0430\u043c\u0438 \u043e\u0431\u0441\u0443\u0436\u0434\u0435\u043d\u0438\u044f, \u043f\u043e \u043a\u0440\u0430\u0439\u043d\u0435\u0439 \u043c\u0435\u0440\u0435 \u043f\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c \u043f\u043e\u0438\u0441\u043a\u0430 \u0432 Google \u043f\u043e \u0441\u043b\u043e\u0432\u0430\u043c \u201cloose vs strict uRPF\u201d. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0431\u044b \u0445\u043e\u0442\u0435\u043b \u0438\u0441\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u044d\u0442\u0443 \u0434\u043e\u0441\u0430\u0434\u043d\u0443\u044e \u043e\u043f\u043b\u043e\u0448\u043d\u043e\u0441\u0442\u044c \u0438 \u044f\u0432\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043e\u043f\u0438\u0441\u0430\u0442\u044c \u0441\u0432\u044f\u0437\u044c loose uRPF \u0441 \u043f\u043e\u043a\u0430 \u0435\u0449\u0451 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u043d\u0430\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439.<\/p>\n
<\/figure>\n
\u041f\u0435\u0440\u0435\u0434 \u0442\u0435\u043c, \u043a\u0430\u043a \u043e\u0431\u0441\u0443\u0436\u0434\u0430\u0442\u044c, \u0447\u0435\u043c \u0436\u0435 \u0438\u043c\u0435\u043d\u043d\u043e \u043e\u0442\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f \u0434\u0432\u0430 \u0440\u0435\u0436\u0438\u043c\u0430 \u0438 \u043f\u043e\u0447\u0435\u043c\u0443, \u0441\u0442\u043e\u0438\u0442 \u0432 \u043e\u0431\u0449\u0438\u0445 \u0447\u0435\u0440\u0442\u0430\u0445 \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u0442\u044c \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438-\u043f\u0440\u0430\u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044f. RPF \u0440\u043e\u0434\u043e\u043c \u0438\u0437 \u043c\u0438\u0440\u0430 multicast, \u0433\u0434\u0435 \u043e\u043d\u0430 \u043f\u0440\u0435\u0434\u043e\u0442\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u043f\u0435\u0442\u0435\u043b\u044c \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 data plane: \u043e\u043d\u0430 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430 IP \u043f\u0430\u043a\u0435\u0442\u0430 \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 RIB; \u0435\u0441\u043b\u0438 \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u043f\u0430\u043a\u0435\u0442\u0430 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u0435\u0442 \u0441 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0438\u043c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u043c \u0432 \u0441\u0442\u043e\u0440\u043e\u043d\u0443 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430 \u043f\u0430\u043a\u0435\u0442\u0430, \u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u043f\u0440\u043e\u0439\u0434\u0435\u043d\u0430 \u0438 \u043f\u0430\u043a\u0435\u0442 \u043c\u043e\u0436\u043d\u043e \u0441\u043b\u0430\u0442\u044c \u0434\u0430\u043b\u044c\u0448\u0435; \u0432 \u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0430 \u043f\u0435\u0442\u043b\u044f, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u0430\u043a\u0435\u0442 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043e\u0442\u0431\u0440\u043e\u0441\u0438\u0442\u044c. Unicast RPF \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u0442\u043e\u0439 \u0436\u0435 \u0438\u0434\u0435\u0435 \u2013 \u043e\u043d\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0447\u0442\u043e unicast \u043f\u0430\u043a\u0435\u0442 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u0441 \u0432\u0435\u0440\u043d\u043e\u0433\u043e \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f. Strict uRPF \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u0430\u043a \u0436\u0435, \u043a\u0430\u043a \u0435\u0451 \u0432\u0438\u0437\u0430\u0432\u0438 \u0438\u0437 \u043c\u0438\u0440\u0430 multicast; loose uRPF \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f: \u0434\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043b\u0438\u0448\u044c \u043d\u0430\u043b\u0438\u0447\u0438\u044f \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0430, \u0441\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u0435 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u043d\u0435\u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e. \u0412\u043f\u0440\u043e\u0447\u0435\u043c, \u0438\u0437 \u044d\u0442\u043e\u0433\u043e \u043a\u0440\u0430\u0442\u043a\u043e\u0433\u043e \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u0435\u0441\u0442\u044c \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435<\/a>: \u0435\u0441\u043b\u0438 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0434\u043e \u0430\u0434\u0440\u0435\u0441\u0430 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u044f \u2013 Null0, \u0442\u043e \u0442\u0430\u043a\u043e\u0439 \u043f\u0430\u043a\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043e\u0442\u0431\u0440\u043e\u0441\u0438\u0442\u044c. Cisco, \u043f\u043e\u043c\u0438\u043c\u043e \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f loose uRPF, \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u0435\u0442 \u0438 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u0435\u0451 \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f:<\/p>\n
\n
To provide ISPs with a DDoS resistance tool on the ISP-to-ISP edge of a network, Unicast RPF was modified from its original strict mode implementation to check the source addresses of each ingress packet without regard for the specific interface on which it was received. This modification is known as \u201cloose mode.\u201d<\/em><\/p>\n
\u0412\u043e\u043b\u044c\u043d\u044b\u0439 \u043f\u0435\u0440\u0435\u0432\u043e\u0434: \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c ISP \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0431\u043e\u0440\u044c\u0431\u044b \u0441 DDoS \u043d\u0430 \u0433\u0440\u0430\u043d\u0438\u0446\u0435 \u0438\u0445 \u0441\u0435\u0442\u0438, \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f Unicast RPF \u0431\u044b\u043b\u0430 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0430 \u0442\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u0430\u0434\u0440\u0435\u0441 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043f\u0430\u043a\u0435\u0442\u0430 \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e \u043e\u0442 \u0442\u043e\u0433\u043e, \u0447\u0435\u0440\u0435\u0437 \u043a\u0430\u043a\u043e\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u044d\u0442\u043e\u0442 \u043f\u0430\u043a\u0435\u0442 \u0431\u044b\u043b \u043f\u043e\u043b\u0443\u0447\u0435\u043d. \u042d\u0442\u0430 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u0430 \u043a\u0430\u043a \u201cloose mode\u201d.<\/em><\/p>\n
Security Configuration Guide: Unicast Reverse Path Forwarding, Cisco IOS XE 17 (Cisco ASR 920 Routers)<\/em><\/strong><\/p>\n<\/blockquote>\n
\u0417\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 DDoS \u043d\u0430 \u0433\u0440\u0430\u043d\u0438\u0446\u0435 ISP \u2013 \u0437\u0432\u0443\u0447\u0438\u0442 \u0437\u043d\u0430\u043a\u043e\u043c\u043e, \u043d\u0435 \u043f\u0440\u0430\u0432\u0434\u0430 \u043b\u0438? \u042d\u0442\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0437\u0430\u0434\u0430\u0447\u0430 Remotely Triggered Blackhole (RTBH). Destination-based RTBH \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 BGP community, \u0442\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0438\u0437\u0432\u0435\u0449\u0430\u044f \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430 \u043e\u0431 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0430\u0434\u0440\u0435\u0441\u0435 \u0438\u043b\u0438 \u0441\u0435\u0442\u0438, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440 \u043c\u043e\u0433 \u0437\u0430\u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u043f\u0440\u0438 \u0442\u0430\u043a\u043e\u043c \u043f\u043e\u0434\u0445\u043e\u0434\u0435 \u043f\u043e\u0434 \u0440\u0430\u0437\u0434\u0430\u0447\u0443 \u043f\u043e\u043f\u0430\u0434\u0451\u0442 \u0438 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a. \u0411\u044b\u043b\u043e \u0431\u044b \u043d\u0435\u0434\u0443\u0440\u043d\u043e \u0438\u043c\u0435\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 IP \u0430\u0434\u0440\u0435\u0441\u0430 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e \u0432\u043c\u0435\u0441\u0442\u043e \u0430\u0434\u0440\u0435\u0441\u0430 \u0436\u0435\u0440\u0442\u0432\u044b, \u043d\u0435 \u0442\u0430\u043a \u043b\u0438? \u0418\u043c\u0435\u043d\u043d\u043e \u0442\u0443\u0442 \u043d\u0430 \u0441\u0446\u0435\u043d\u0443 \u0438 \u0432\u044b\u0445\u043e\u0434\u0438\u0442 source-based RTBH: \u0435\u0441\u043b\u0438 \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c loose uRPF \u043a \u0441\u0445\u0435\u043c\u0435 destination-based RTBH, \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u043e\u043c\u0435\u0442\u0438\u0442\u044c IP \u0430\u0434\u0440\u0435\u0441 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430 c \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0442\u0435\u0445 \u0436\u0435 BGP community, \u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a \u0432 \u043d\u0435\u0431\u044b\u0442\u0438\u0435. \u041d\u0430 \u043f\u0440\u043e\u0441\u0442\u043e\u0440\u0430\u0445 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0430 \u0435\u0441\u0442\u044c \u043d\u0435\u043f\u043b\u043e\u0445\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043f\u0440\u043e RTBH<\/a>, \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0449\u0430\u044f \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 IOS XR.<\/p>\n
Disclaimer: \u0434\u0430\u043b\u0435\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 \u043e\u0442\u043a\u0440\u043e\u0432\u0435\u043d\u0438\u0439, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432 \u0441\u043b\u0443\u0447\u0430\u0435, \u0435\u0441\u043b\u0438 \u0447\u0438\u0442\u0430\u0442\u0435\u043b\u044c \u0443\u0436\u0435 \u043f\u0440\u043e\u043d\u0438\u043a\u0441\u044f \u0438\u0434\u0435\u0435\u0439, \u043e\u043d \u043c\u043e\u0436\u0435\u0442 \u0441\u043f\u043e\u043a\u043e\u0439\u043d\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043e\u0441\u0442\u0430\u0432\u0448\u0438\u0439\u0441\u044f \u0442\u0435\u043a\u0441\u0442.<\/p>\n
\u041f\u043e\u0441\u0442\u0440\u043e\u0438\u043c \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0442\u043e\u043f\u043e\u043b\u043e\u0433\u0438\u044e \u0434\u043b\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f loose uRPF \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 RTBH:<\/p>\n
<\/figure>\n
\u0421\u0435\u0442\u044c ISP \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0438\u0437 2 PE-\u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u043e\u0432, \u043d\u0430\u0445\u043e\u0434\u044f\u0449\u0438\u0445\u0441\u044f \u0432 \u043e\u0434\u043d\u043e\u0439 BGP AS. CE1 \u0438 CE2 \u2013 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u044b \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0435 eBGP \u0434\u043b\u044f \u043e\u0431\u043c\u0435\u043d\u0430 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u0441 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u043c. \u0412\u0430\u0436\u043d\u043e\u0435 \u0437\u0430\u043c\u0435\u0447\u0430\u043d\u0438\u0435: IOS XE \u0442\u0440\u0435\u0431\u0443\u0435\u0442, \u0447\u0442\u043e\u0431\u044b eBGP \u0441\u043e\u0441\u0435\u0434 \u0438 next-hop \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u043e\u0442 \u043d\u0435\u0433\u043e \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u043e\u0432 \u0431\u044b\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u0447\u0435\u0440\u0435\u0437 \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435 \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441; \u0432 \u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u044b \u0441\u0447\u0438\u0442\u0430\u044e\u0442\u0441\u044f inaccessible. \u0412\u043f\u0440\u043e\u0447\u0435\u043c, \u043e\u0431\u043e\u0439\u0442\u0438 \u044d\u0442\u0443 \u0434\u043e\u0441\u0430\u0434\u043d\u0443\u044e \u043f\u043e\u043c\u0435\u0445\u0443 \u043d\u0435\u0441\u043b\u043e\u0436\u043d\u043e \u2013 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u044b disable-connected-check<\/em> \u043d\u0430 PE, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u044e\u0449\u0435\u043c \u043f\u043e\u0434\u043c\u0435\u043d\u0443 next-hop. \u041d\u0438\u0436\u0435 \u0431\u0430\u0437\u043e\u0432\u044b\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0430\u0434\u0440\u0435\u0441\u0430\u0446\u0438\u0438 \u0438 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438:<\/p>\n
CE1#show run | section interface|router|ip route interface Loopback0  ip address 3.3.3.3 255.255.255.255 interface FastEthernet0\/0  ip address 192.168.13.3 255.255.255.0 router bgp 3  bgp router-id 3.3.3.3  no bgp default ipv4-unicast   neighbor 192.168.13.1 remote-as 12  address-family ipv4   network 3.3.3.3 mask 255.255.255.255   neighbor 192.168.13.1 activate   neighbor 192.168.13.1 send-community both<\/code><\/pre>\n
CE2#show run | section interface|router interface Loopback0  ip address 4.4.4.4 255.255.255.255 interface FastEthernet0\/0  ip address 192.168.24.4 255.255.255.0 router bgp 4  bgp router-id 4.4.4.4  no bgp default ipv4-unicast  neighbor 192.168.24.2 remote-as 12  address-family ipv4   network 4.4.4.4 mask 255.255.255.255   neighbor 192.168.24.2 activate   neighbor 192.168.24.2 send-community both<\/code><\/pre>\n
PE1#show run | section interface|router     interface Loopback0  ip address 1.1.1.1 255.255.255.255  ip ospf 1 area 0 interface FastEthernet0\/0  ip address 192.168.13.1 255.255.255.0 interface FastEthernet1\/0  ip address 192.168.12.1 255.255.255.0  ip ospf 1 area 0 router ospf 1  router-id 1.1.1.1 router bgp 12  bgp router-id 1.1.1.1  no bgp default ipv4-unicast  neighbor 2.2.2.2 remote-as 12  neighbor 2.2.2.2 update-source Loopback0  neighbor 192.168.13.3 remote-as 3  neighbor 192.168.13.3 disable-connected-check  !  address-family ipv4   redistribute connected   neighbor 2.2.2.2 activate   neighbor 2.2.2.2 send-community both   neighbor 192.168.13.3 activate   neighbor 192.168.13.3 send-community both<\/code><\/pre>\n
PE2#show run | section interface|router interface Loopback0  ip address 2.2.2.2 255.255.255.255  ip ospf 1 area 0 interface FastEthernet0\/0  ip address 192.168.24.2 255.255.255.0 interface FastEthernet0\/1  ip address 192.168.25.2 255.255.255.0 interface FastEthernet1\/0  ip address 192.168.12.2 255.255.255.0  ip ospf 1 area 0 router ospf 1  router-id 2.2.2.2 router bgp 12  bgp router-id 2.2.2.2  no bgp default ipv4-unicast  neighbor 1.1.1.1 remote-as 12  neighbor 1.1.1.1 update-source Loopback0  neighbor 192.168.24.4 remote-as 4  neighbor 192.168.25.5 remote-as 5  !  address-family ipv4   redistribute connected   neighbor 1.1.1.1 activate   neighbor 1.1.1.1 send-community   neighbor 192.168.24.4 activate   neighbor 192.168.24.4 send-community both   neighbor 192.168.25.5 activate   neighbor 192.168.25.5 send-community both<\/code><\/pre>\n
Attacker#show run | section interface|router interface Loopback0  ip address 5.5.5.5 255.255.255.255 interface FastEthernet0\/1  ip address 192.168.25.5 255.255.255.0 router bgp 5  bgp router-id 5.5.5.5  no bgp default ipv4-unicast  neighbor 192.168.25.2 remote-as 12  address-family ipv4   network 5.5.5.5 mask 255.255.255.255   neighbor 192.168.25.2 activate   neighbor 192.168.25.2 send-community both<\/code><\/pre>\n
\u0412\u043d\u0430\u0447\u0430\u043b\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u043c destination-based RTBH. \u041f\u0443\u0441\u0442\u044c BGP community 12:666 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043c\u0430\u0440\u043a\u0435\u0440\u043e\u043c \u0434\u043b\u044f \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043e\u0442\u0431\u0440\u043e\u0441\u0438\u0442\u044c \u0447\u0435\u0440\u0435\u0437 Null0.<\/p>\n
PE1#show run | s ip route|ip community|ip bgp|route-map|router bgp router bgp 12  address-family ipv4   neighbor 192.168.13.3 route-map RTBH in ip bgp-community new-format ip community-list standard RTBH permit 12:666 ip route 10.0.0.0 255.255.255.255 Null0 route-map RTBH permit 10  match community RTBH  set local-preference 200  set ip next-hop 10.0.0.0 route-map RTBH permit 20<\/code><\/pre>\n
PE2#show run | s ip route|ip community|ip bgp|route-map|router bgp router bgp 12  address-family ipv4   neighbor 192.168.24.4 route-map RTBH in   neighbor 192.168.25.5 route-map RTBH in ip bgp-community new-format ip community-list standard RTBH permit 12:666 ip route 10.0.0.0 255.255.255.255 Null0 route-map RTBH permit 10  match community RTBH  set local-preference 200  set ip next-hop 10.0.0.0 route-map RTBH permit 20<\/code><\/pre>\n
\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043d\u0430\u0447\u0430\u043b DDoS \u0430\u0442\u0430\u043a\u0443 \u043d\u0430 \u043c\u0430\u0440\u0448\u0440\u0443\u0442 \u0437\u0430 CE1 \u2013 3.3.3.3\/32:<\/p>\n
Attacker#ping 3.3.3.3 source loopback0 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds: Packet sent with a source address of 5.5.5.5  !!!!! Success rate is 100 percent (5\/5), round-trip min\/avg\/max = 40\/48\/52 ms<\/code><\/pre>\n
\u0427\u0442\u043e\u0431\u044b \u0437\u0430\u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a \u043d\u0430 \u0433\u0440\u0430\u043d\u0438\u0446\u0435 \u0441\u0432\u043e\u0435\u0433\u043e \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430, CE1 \u0434\u043e\u043b\u0436\u0435\u043d \u0430\u043d\u043e\u043d\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043c\u0430\u0440\u0448\u0440\u0443\u0442 3.3.3.3\/32, \u043f\u0440\u0438\u043a\u0440\u0435\u043f\u0438\u0432 \u043a \u043d\u0435\u043c\u0443 community 12:666.<\/p>\n
CE1#show run | section route-map|router bgp router bgp 3  address-family ipv4   network 3.3.3.3 mask 255.255.255.255 route-map RTBH route-map RTBH permit 10  set community 12:666<\/code><\/pre>\n
\u0410\u0442\u0430\u043a\u0430 \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0444\u0438\u043b\u044c\u0442\u0440\u0443 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 data plane:   <\/p>\n
Attacker#ping 3.3.3.3 source loopback0 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds: Packet sent with a source address of 5.5.5.5  UUUUU Success rate is 0 percent (0\/5)<\/code><\/pre>\n
\u0412\u0430\u0436\u043d\u0430\u044f \u043e\u0442\u043b\u0438\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0447\u0435\u0440\u0442\u0430 RTBH \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a \u043c\u043e\u0436\u043d\u043e \u043e\u0442\u0431\u0440\u043e\u0441\u0438\u0442\u044c \u0441\u0440\u0430\u0437\u0443 \u043d\u0430 \u0433\u0440\u0430\u043d\u0438\u0446\u0435 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430, \u0447\u0442\u043e \u0443\u043c\u0435\u043d\u044c\u0448\u0430\u0435\u0442 \u0432\u043e\u0437\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u043d\u0430 \u0441\u0435\u0442\u044c \u0441\u0430\u043c\u043e\u0433\u043e ISP.<\/p>\n
PE2#show ip bgp 3.3.3.3\/32 BGP routing table entry for 3.3.3.3\/32, version 27 Paths: (1 available, best #1, table default)   Advertised to update-groups:      3            Refresh Epoch 2   3     10.0.0.0 from 1.1.1.1 (1.1.1.1)       Origin IGP, metric 0, localpref 200, valid, internal, best       Community: 12:666 PE2# PE2#show ip cef 3.3.3.3\/32 det 3.3.3.3\/32, epoch 0, flags rib only nolabel, rib defined all labels   recursive via 10.0.0.0     attached to Null0<\/code><\/pre>\n
\u0412\u043f\u0440\u043e\u0447\u0435\u043c, \u0435\u0441\u0442\u044c \u0438 \u043d\u0435\u0433\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u043f\u043e\u0431\u043e\u0447\u043d\u044b\u0439 \u044d\u0444\u0444\u0435\u043a\u0442 \u2013 CE2 \u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u0442\u0435\u0440\u044f\u043b \u0441\u0432\u044f\u0437\u043d\u043e\u0441\u0442\u044c:<\/p>\n
CE2#ping 3.3.3.3 source loopback 0 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds: Packet sent with a source address of 4.4.4.4  UUUUU Success rate is 0 percent (0\/5)<\/code><\/pre>\n
Destination-based RTBH \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0432 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f\u0445, \u043a\u043e\u0433\u0434\u0430 \u043d\u0443\u0436\u043d\u043e \u0432 \u0441\u0436\u0430\u0442\u044b\u0435 \u0441\u0440\u043e\u043a\u0438 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0442\u044c \u0443\u0449\u0435\u0440\u0431 \u043e\u0442 DDoS \u0430\u0442\u0430\u043a\u0438 \u0438\u043b\u0438 \u0432\u044b\u0438\u0433\u0440\u0430\u0442\u044c \u0432\u0440\u0435\u043c\u044f, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0435 \u0430\u0442\u0430\u043a\u0438. \u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u043c, \u0447\u0442\u043e CE1 \u0443\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u0435\u043d IP \u0430\u0434\u0440\u0435\u0441 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e \u2013 5.5.5.5\/32. \u0421\u0430\u043c\u043e\u0435 \u0432\u0440\u0435\u043c\u044f, \u0447\u0442\u043e\u0431\u044b \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u044c source-based RTBH, \u0434\u043e\u0431\u0430\u0432\u0438\u0432 \u0432 \u0441\u0445\u0435\u043c\u0443 loose uRPF!<\/p>\n
PE1#show run int f0\/0 interface FastEthernet0\/0  ip verify unicast source reachable-via any<\/code><\/pre>\n
PE2#show run int f0\/0   interface FastEthernet0\/0  ip verify unicast source reachable-via any PE2#show run int f0\/1 interface<\/code><\/pre>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-354487","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/354487","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=354487"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/354487\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=354487"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=354487"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=354487"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}