Дибров М.В. Маршрутизаторы

Подождите немного. Документ загружается.

Пример 18.3 – Синтаксис команды ip access-list

(config)# ip access-list {standard | extended}access-list-name

(config)# no ip access-list {standard | extended}access-list-name

Пример 18.4 – Синтаксис команды permit

(config-std-nacl)# [sequence-number] permit source [source-wildcard]

(config-std-nacl)# no sequence-number

(config-std-nacl)# no permit source [source-wildcard]

Пример 18.5 – Синтаксис команды deny

(config-std-nacl)# [sequence-number] deny source [source-wildcard]

(config-std-nacl)# no sequence-number

(config-std-nacl)# no deny source [source-wildcard]

Описание параметров команды ip access-list приводиться в таблице 18.3.

Таблица 18.3 – Параметры команды passive-interface

Параметр Описание

standard Стандартный тип именованного

списка доступа.

extended Расширенный тип именованного

списка доступа. (Не применяется для

фильтрации маршрутных обновлений)

access-list-name Имя списка доступа.

Описание параметров команд permit и deny приводиться в таблице 18.4.

Таблица 18.4 – Параметры команд permit и deny

Параметр Описание

sequence-number Последовательный номер правила в

списке доступа.

source IP адрес сети, с которой производится

сравнение.

source-wildcard Обратная маска сети, с которой произ-

водится сравнение.

Еще одной удобной особенностью именованных списков доступа, являет-

ся возможность редактирования списков доступа, с возможностью добавления

301

нового правила в указанное место списка или удаления конкретного правила

при помощи параметра sequence-number.

Необходимо обратить особое внимание при работе как с нумерованны-

ми, так и с именованными списками доступа на тот факт, что по алгоритму

работы в каждом списоке доступа в неявной форме указано правило deny

0.0.0.0 0.0.0.0, которое запрещает все, что не было разрешено в явном виде.

Это связано с тем, что первоначально правила доступа применялись для

фильтрации трафика проходящего через маршрутизатор, и такое правило

было полезным с точки зрения обеспечения безопасности и удобства админи-

стрирования.

18.2.2 Фильтрация сетей получателей по длине префикса

Длина префикса сети получателя это важный его компонент. Иногда

единственным отличием между двумя сетями получателями является длина

их сетевого префикса, поэтому возможность сравнивания длин сетевых пре-

фиксов должна присутствовать в механизмах фильтрации маршрутной ин-

формации (Рисунок 18.8).

R1 R2

10. 1.0.0/ 2 6

10. 1.0.0/ 2 4

10. 1.0.0/ 2 8

≤

/24

1 0.1. 0.0/24

Рисунок 18.8 – Фильтрация маршрутной информации по

длине префикса сети получателя

Как мы обсуждали в предыдущем пункте, стандартные списки доступа

IP, применяемые в качестве маршрутных фильтров, не позволяют производить

сравнение длин сетевых префиксов сетей получателей. Следовательно, должен

существовать какой-то другой способ установления соответствия между длина-

ми сетевых префиксов.

Для этого были, разработаны списки префиксов IP. Они представляют со-

бой логические выражения, которые могут устанавливать соответствие с ука-

занными начальными наборами битов в сетевых префиксах IP и длинами этих

сетевых префиксов. Подобно спискам доступа, списки префиксов IP состоят из

одного или нескольких выражений, каждое из которых определяет критерий со-

ответствия. Как и правила списков доступа, выражения списков префиксов воз-

вращают результат permit или deny. Однако, в отличие от выражений нумеро-

ванных списков доступа, выражения списков префиксов имеют порядковые но-

мера, что позволяет удалять или добавлять в нужное место отдельные выраже-

302

ния списка, не затрагивая весь список целиком, подобно тому как это делается в

именованных списках доступа.

Списки префиксов IP могут использоваться только как маршрутные

фильтры.

Настройка списка префиксов IP, осуществляется последовательным до-

бавлением в конфигурацию маршрутизатора правил списка префиксов, исполь-

зуя команду ip prefix-list. Синтаксис команды приводится в примере 18.6.

Пример 18.6 – Синтаксис команды ip prefix-list

(config)# ip prefix-list {list-name | list-number} [seq number] {deny net-

work/length | permit network/length} [ge ge-length] [le le-length]

(config)# no ip prefix-list {list-name | list-number} [seq number] {deny net-

work/length | permit network/length} [ge ge-length] [le le-length]

Описание параметров команды ip prefix-list приводиться в таблице 18.5.

Таблица 18.5 – Параметры команды ip prefix-list

Параметр Описание

list-name Имя списка префиксов, к которому

принадлежит выражение.

list-number Номер списка префиксов, к которому

принадлежит выражение.

seq number Последовательный номер выражения в

списке префиксов.

deny Отбросить сеть получатель при поло-

жительном выполнении условия опи-

санного в выражении.

network/length Указывает начальные биты, которые

будут сравниваться с соответствующи-

ми начальными битами сетевых пре-

фиксов из маршрутных обновлений.

permit Пропустить сеть получатель при поло-

жительном выполнении условия опи-

санного в выражении.

ge ge-length Максимальная длина сетевого префик-

са сети получателя.

le le-length Минимальная длина сетевого префик-

са сети получателя.

Правила, которые использует маршрутизатор при сравнении сетевых пре-

фиксов из маршрутного обновления со списком префиксов IP таковы:

303

1. Маршрутизатор рассматривает список префиксов как упорядоченный

список. Маршрутизатор сначала сравнивает сетевые префиксы с выражениями

с меньшим seq number, а затем – с большим. Первое сравнение производится

с выражением с наименьшим номером.

2. Маршрутизатор ищет лишь первое совпадение. При нахождении совпа-

дения просмотр списка префиксов прекращается. После этого результат, ука-

занный в строчке выражения по которому было получено совпадение, возвра-

щается в качестве результата сравнения сетевого префикса со всем списком

префиксов.

3. При сравнении сетевого префикса с выражением из списка маршрути-

затор сначала проверяет, является ли длина сетевого префикса, назовем ее L,

большей или равной параметру length указанному в строчке выражения. Если

это так, то маршрутизатор сравнивает первые length бит сети получателя с пер-

выми length битами параметра network Если все биты равны используются

следующие правила:

– Если не указаны ни ge ge-length ни le le-length, выражение дает совпа-

дение только в том случае, если длина сетевого префикса сети получателя

равна параметру length, т.е. L = length;

– Если указано только ge ge-length, то L ≥ ge-length;

– Если указано только le le-length, то L ≥ le-length;

– Если указанны оба параметра, то le-length ≥ L ≥ ge-length.

4. В конце каждого списка префиксов имеется неявное выражение deny

0.0.0.0/0 le 32, которое соответствует любому сетевому префиксу, который не

совпал ни с одним из явных выражений.

18.2.3 Использование списков доступа и списков префиксов при фильтра-

ции маршрутной информации

После настройки списка, по которому будет производиться фильтрация

маршрутной информации, необходимо связать этот список с процессом

маршрутизации и указать параметры ее обработки.

Для связи списка доступа или списков префиксов с процессом маршру-

тизации применяются команды distribute-list in и distribute-list out, в зависимо-

сти от направления распространения маршрутной информации. Синтаксис

команды distribute-list in представлен в примере 18.7.

Пример 18.7 – Синтаксис команды distribute-list in

(config-router)# distribute-list [access-list-number | name | prefix-list

{list-name | list-number}] | [route-map map-tag] in [interface-type |inter-

face-number]

(config)# no distribute-list [access-list-number | name| prefix-list {list-

name | list-number}]] | [route-map map-tag] in [interface-type interface-num-

ber]

304

Описание параметров команды приводиться в таблице 18.6.

Таблица 18.6 – Параметры команды distribute-list in

Параметр Описание

access-list-number Номер списка доступа, который будет

применяться для фильтрации входяще-

го маршрутного обновления.

name Имя списка доступа, который будет

применяться для фильтрации входяще-

го маршрутного обновления.

list-name Имя списка префиксов, который будет

применяться для фильтрации входяще-

го маршрутного обновления.

list-number Номер списка префиксов, который бу-

дет применяться для фильтрации вхо-

дящего маршрутного обновления.

route-map map-tag Имя используемой маршрутной карты

при фильтрации маршрутных обновле-

ний. Параметр применяется только для

протокола OSPF.

interface-type interface-number Тип и номер интерфейса маршрутиза-

тора, к которому применяется правило

фильтрации. Если параметр не указан

правило фильтрации применяется ко

всем интерфейсам маршрутизатора, на

которых запущен соответствующий

протокол маршрутизации.

Синтаксис команды distribute-list out представлен в примере 18.8.

Пример 18.8 – Синтаксис команды distribute-list out

(config-router)# distribute-list {access-list-number | access-list-name | pre-

fix-list {list-name | list-number}]} out [interface-name | routing-process |

as-number]

(config)# no distribute-list {access-list-number | access-list-name | prefix-

list {list-name | list-number}]} out [interface-name | routing-process | as-

number]

Описание параметров команды приводиться в таблице 18.7.

305

Таблица 18.7 – Параметры команды distribute-list out

Параметр Описание

access-list-number Номер списка доступа, который будет

применяться для фильтрации входяще-

го маршрутного обновления.

Name Имя списка доступа, который будет

применяться для фильтрации входяще-

го маршрутного обновления.

list-name Имя списка префиксов, который будет

применяться для фильтрации входяще-

го маршрутного обновления.

list-number Номер списка префиксов, который бу-

дет применяться для фильтрации вхо-

дящего маршрутного обновления.

interface- name Интерфейс маршрутизатора, к которо-

му применяется правило фильтрации.

Если параметр не указан правило

фильтрации применяется ко всем ин-

терфейсам маршрутизатора, на кото-

рых запущен соответствующий прото-

кол маршрутизации.

routing-process Процесс маршрутизации, в который

осуществляется фильтрация перерас-

пределяемой маршрутной информа-

ции.

as-number Номер автономной системы протокола

маршрутизации. Параметр применяет-

ся только с протоколом EIGRP.

На рисунке 18.9 приводится пример использования списка доступа для

фильтрации исходящих маршрутных обновлений.

Маршрутизатор R2 является пограничным маршрутизатором сетей

172.16.0.0/16 и 192.168.1.0/24, кроме этого он получает от маршрутизатора R1

маршрутную информацию о сети 10.0.0.0/8.

Необходимо, чтобы маршрутизатор R3 получал от маршрутизатора R2

маршрутную информацию только о подсетях принадлежащих сети

172.16.0.0/16. Для этого используется правило доступа, которое производит

фильтрацию маршрутных обновлений, поступающих маршрутизатору R3, при

котором, маршрутизатор R3 получает маршрутную информацию обо всех под-

сетях сети 172.16.0.0/16, а подсети сети 10.0.0.0/8 остаются ему, неизвестны.

306

10.0.0.0/8 172.16.0.0/16

R1 R2

r2#

router eigrp 200

network 172.16.0.0

network 192.168.1.0

distribute-list 1 out Serial 0

access-list 1 permit 172.16.0.0 0.0.255.255

192.168.1.0/24

Рисунок 18.9 – Фильтрация исходящих маршрутных обновлений

На рисунке 18.10 приводится пример использования списка доступа для

фильтрации входящих маршрутных обновлений.

10.0.0.0/8 172.16.0.0/16

R1 R2

r2#

router eigrp 200

network 172.16.0.0

distribute-list 1 in Serial 0

access-list 1 permit 172.16.0.0 0.0.255.255

172.16.0.0/28

r2# show ip route

.. .. ..

172.16.0.0/28 is subnetted, 3 subnets

O 172.16.0.32 [110/60] via 172.16.0.18, 00:10:35, Serial1

C 172.16.0.16 is directly connected, Serial1

C 172.16.0.0 is directly connected, Serial0

r3# show ip route

.. .. ..

172.16.0.0/28 is subnetted, 3 subnets

O 172.16.0.32 is directly connected, Serial2

C 172.16.0.16 is directly connected, Serial1

C 172.16.0.0 [110/60] via 172.16.0.18, 00:10:35, Serial1

10.0.0.0/8 is variably subnetted, 30 subnets, 2 masks

O 10.89.2.80/28 [110/101] via 172.16.0.18, 00:09:45, Serial1

O 10.89.1.80/28 [110/101] via 172.16.0.2, 00:10:35, Serial1

O 10.89.2.64/28 [110/101] via 172.16.0.18, 00:09:47, Serial1

O 10.89.1.64/28 [110/101] via 172.16.0.2, 00:10:36, Serial1

Рисунок 18.10 – Фильтрация входящих маршрутных обновлений

На маршрутизаторе R2 используется входящий фильтр маршрутных об-

новлений, который пропускает только подсети сети 172.16.0.0/16. Следователь-

но, вывод таблицы маршрутизации содержит только данные подсети.

Тем не менее, таблица маршрутизации маршрутизатора R3 содержит

маршруты ко всем сетям получателям.

Как говорилось ранее, это происходит потому, что маршрутные фильтры

в протоколе OSPF не влияют на топологические таблицы, строящиеся маршру-

307

тизаторами., а затрагивают только таблицы маршрутизации. Поскольку на

маршрутизаторе не определены ни какие маршрутные фильтры, он не произво-

дит фильтрацию информации о сетях получателях в процессе построения та-

блицы маршрутизации протоколом OSPF.

Списки префиксов чаще всего применяются для фильтрации маршрут-

ных обновлений поступающих, например, с уровня распределения на уровень

ядра или от удаленного подразделения в головной офис.

В этом случае они применяются для фильтрации маршрутов до частных

сетей получателей, и пропускания только суммарных маршрутов.

На рисунке 18.11 приводится пример использования списка префиксов

для фильтрации входящих маршрутных обновлений.

Центральный офис

172.16.0.0/16

172 .16.14.0/27

172.16.14.32/27

172.16.14.64/27

172.16.13.0/24

172.16.12.0/24

172 .16.14.228 /30

r1#

router eigrp 200

network 172.16.0.0

distribute-list prefix SUMMARY in serial 0

ip prefix-list SUMMARY seq 5 permit 172.16.12.0/22

172.16.12.0/22

Рисунок 18.11 – Фильтрация списком префиксов

входящих маршрутных обновлений

18.3 Фильтрация маршрутной информации в процессе перераспределе-

ния маршрутной информации

При перераспределении маршрутной информации между протоколами

маршрутизации происходит перераспределение всей таблицы маршрутизации

из протокола источника в протокол назначения.

В случаях если необходимо контролировать процесс перераспределения

маршрутной информации и ограничивать вид и количество перераспределяе-

мых сетей получателей применяется команда distribute-list out указанием про-

цесса маршрутизации, в который будет производиться перераспределение

маршрутной информации.

Использование фильтрации маршрутной информации при ее перераспре-

делении между протоколами маршрутизации, также позволяет избежать воз-

никновения маршрутных петель в случае обратного перераспределения сетей

получателей в их изначальный домен маршрутизации.

308

Пример настройки фильтров перераспределяемой маршрутной информа-

ции приводится на рисунке 18.12.

RIP

192.168.1.0/24

EIGRP

172.16.0.0/16

r1#

router eigrp 200

network 172.16.0.0

network 192.168.1.0

distribute-list 1 rip

router rip

network 172.16.0.0

network 192.168.1.0

distribute-list 2 eigrp

access-list 1 permit 192.168.1.0 0.0.0.255

access-list 2 permit 172.16.0.0 0.0.255.255

Рисунок 18.12 – Фильтрация перераспределяемой

маршрутной информации

Из рисунка видно, что при двухстороннем перераспределении маршрут-

ной информации из протокола EIGRP в протокол RIP, использованы два списка

доступа, которые описывают только собственные сети обоих доменов маршру-

тизации.

309

19 Маршрутные карты

19.1 Понятие маршрутных карт

Рассмотренные ранее методы контроля перераспределения маршрутной

информации при помощи списков доступа или списков префикса, позволяли

проводить выбор, относительно того следует или не следует производить пере-

распределение маршрутной информации. Однако критерии выбора маршрутов

ограничивались лишь IP адресом сети получателя или длинной префикса сети,

когда у любого маршрута есть гораздо больше параметров, по которым требу-

ется производить выбор. К таким параметрам, например, относятся:

– Тип маршрута;

– Метрика маршрута;

– Выходной интерфейс маршрутизатора;

– IP адрес маршрутизатора заявившего маршрут.

Еще одним серьезным ограничением рассмотренных ранее методов

фильтрации маршрутной информации является то, что существует только два

возможных действия, это пропустить маршрут на перераспределение или его

отбросить. В рассмотренных ранее механизмах нельзя применять различные

действия к различным группам маршрутов, в зависимости от того, какое из

списка правил было выполнено.

Для снятия описанных ограничений был разработан еще один способ

фильтрации маршрутной информации в процессе перераспределения, базирую-

щийся на использовании специальных логических выражений, называемых

маршрутными картами (route maps).

Маршрутная карта – это логическое выражение, состоящее из одного или

нескольких выражений, каждое из которых может содержать ноль, одно или

несколько условий совпадения и ноль, одно или несколько предопределенных

действий. Как и именованные списки доступа или выражения списков префик-

сов, выражения маршрутных карт имеют порядковые номера. При перераспре-

делении сети получателя в протокол маршрутизации маршрутизатор проверяет

соответствие условиям совпадения выражениям, указанным в маршрутной кар-

те в порядке возрастания номеров выражений. Маршрутизатор обнаруживает

соответствие сети получателя и выражения маршрутной карты только в том

случае, если все условия совпадения в данном выражении соблюдаются. Если

совпадение обнаружено, маршрутизатор перераспределяет данную сеть получа-

тель в соответствии с действиями определенными в выражении. Если не обна-

руживается совпадения ни с одним выражением, сеть получатель не перерас-

пределяется.

Подобно выражениям списков доступа и списков префиксов, выражения

маршрутных карт могут возвращать значения permit или deny. Если сеть полу-

чатель соответствует выражению deny маршрутной карты, сеть получатель не

310