info Поднятие BGP на Summit x480. Пошаговая инструкция с описанием возможных «граблей»

Процесс настройки

1) Сначала прошиваем железку до нужной версии, я настраивал на 12.6.2.10. Подробности опускаю, делается всё элементарно.

2) Инсталлируем лицензию «CORE»
Если вам нужно уместить более 260000 маршрутов, нужно перевести железку в режим l3-only

configure forwarding external-tables l3-only
и вдогонку configure iproute reserved-entries max slot all


После чего обязательно нужна полная перезагрузка

3) Настройка vlan-интерфейсов

create vlan «Internal_BGP»
configure vlan Internal_BGP tag 10

create vlan «My_peer1»
configure vlan My_peer1 tag 11

create vlan «Sample_IX»
configure vlan Sample_IX tag 12

create vlan «Upstream_Internet»
configure vlan Upstream_Internet tag 14

configure ports 1 display-string My_peer
configure ports 29 display-string Trunk_Upstreams
configure ports 30 display-string Trunk_Internal
configure vlan Default add ports 24 untagged

configure vlan My_peer1 add ports 1 tagged
configure vlan Upstream_Internet add ports 29 tagged
configure vlan Sample_IX add ports 29 tagged
configure vlan Internal_BGP add ports 30 tagged


# Управление железкой, форвардинг здесь не нужен
configure vlan Default ipaddress 192.168.1.2 255.255.255.0

# назначаем IP адреса на vlan-интерфейсы роутера и ОБЯЗАТЕЛЬНО включаем ipforwarding!!! Иначе сессия установится и даже маршруты получите,
# но все полученные через этот влан маршруты будут «недостижимы» и не попадут в таблицу маршрутизации.
# Я так накололся при смене подсети. Менял IP и не заметил что при удалении IP-адреса автоматически сносится и ipforwarding.
# Потом новый IP назначил, но ipforwarding не сделал. И не мог никак понять почему маршруты от пира не принимаются.

configure vlan Upstream_Internet ipaddress 192.168.13.1 255.255.255.252
enable ipforwarding vlan Upstream_Internet

configure vlan Sample_IX ipaddress 192.168.12.1 255.255.255.0
configure vlan Sample_IX add secondary-ipaddress 192.168.13.1 255.255.255.0
enable ipforwarding vlan Sample_IX

configure vlan My_peer1 ipaddress 192.168.11.1 255.255.255.252

enable ipforwarding vlan My_peer1

configure vlan Internal_BGP ipaddress 192.168.10.1 255.255.255.252
enable ipforwarding vlan Internal_BGP


# Указываем какие влан-интерфейсы будем мониторить по snmp, без этого снять счётчики не получится
# А чтобы снять эти данные по SNMP надо в mib-browser'е покопаться.

configure ports 29 monitor vlan Upstream_Internet
configure ports 29 monitor vlan Sample_IX


4) Настройка BGP

# Конфигурация BGP
# Привожу в том порядке в котором лучше вводить команды
# В конфиге оно не очень удобно — перемешано между собой.
# кроме этого наследуемые от peer-group настройки так же дублируются и для neighbor, отчего конфиг «распухает»

configure bgp AS-number 65510
configure bgp routerid 192.168.13.1
configure bgp local-preference 102
enable bgp community format AS-number:number
# Включаем BGP
enable bgp


## Подключение к IX с двумя Route Servers
##
create bgp peer-group sample-ix
configure bgp peer-group sample-ix remote-AS-number 65512
configure bgp peer-group sample-ix send-community extended
configure bgp peer-group sample-ix route-policy in ix-in
configure bgp peer-group sample-ix route-policy out mypref-out


## Первый PS
create bgp neighbor 192.168.12.100 peer-group sample-ix
configure bgp neighbor 192.168.12.100 description «sample-ix RS 1»
enable bgp neighbor 192.168.12.100 soft-in-reset
disable bgp neighbor 192.168.12.100 capability ipv4-multicast
enable bgp neighbor 192.168.12.100


## Второй RS
create bgp neighbor 192.168.13.100 peer-group sample-ix
configure bgp neighbor 192.168.13.100 description «sample-ix RS 2»
enable bgp neighbor 192.168.13.100 soft-in-reset
disable bgp neighbor 192.168.13.100 capability ipv4-multicast
enable bgp neighbor 192.168.13.100


## Наш пир которого мы пропускаем во внешку
create bgp neighbor 192.168.11.2 remote-AS-number 65511
configure bgp neighbor 192.168.11.2 description «Sample peer N1»
configure bgp neighbor 192.168.11.2 route-policy in peer1-in
configure bgp neighbor 192.168.11.2 route-policy out peer1-out
enable bgp neighbor 192.168.11.2 soft-in-reset
disable bgp neighbor 192.168.11.2 capability ipv4-multicast
enable bgp neighbor 192.168.11.2


## Внутренний пир iBGP
create bgp neighbor 192.168.10.2 remote-AS-number 65510
configure bgp neighbor 192.168.10.2 description «IBGP Router»
configure bgp neighbor 192.168.10.2 send-community extended
configure bgp neighbor 192.168.10.2 next-hop-self
configure bgp neighbor 192.168.10.2 route-policy out ibgp-out
enable bgp neighbor 192.168.10.2 soft-in-reset
disable bgp neighbor 192.168.10.2 capability ipv4-multicast
enable bgp neighbor 192.168.10.2


## Наш апстрим
create bgp neighbor 192.168.14.2 remote-AS-number 65514
configure bgp neighbor 192.168.14.2 description «Internet peer»
configure bgp neighbor 192.168.14.2 send-community extended
configure bgp neighbor 192.168.14.2 route-policy in upstream-in
configure bgp neighbor 192.168.14.2 route-policy out upstream-out
enable bgp neighbor 192.168.14.2 soft-in-reset
disable bgp neighbor 192.168.14.2 capability ipv4-multicast
enable bgp neighbor 192.168.14.2


5) ROUTE-POLICY Самая сложная и важная часть и не совсем автоматизирована. Собственно работа для хирурга

Примеры route-policy

Policy: upstream-in
entry bogus-rej {
if match any {
nlri 10.0.0.0/8 ;
nlri 192.168.0.0/16 ;
nlri 172.16.0.0/12 ;
}
then {
deny ;
}
}
entry own-as {
if match all {
as-path «^65514*$» ;
}
then {
local-preference 200 ;
permit ;
}
}
entry russia-opg {
if match any {
as-path «^65514 .*20485 .*» ;
as-path «^65514 .*12389 .*» ;
as-path «^65514 .*3216 .*» ;
as-path «^65514 .*8359 .*» ;
as-path «^65514 .*31133 .*» ;
}
then {
local-preference 99 ;
permit ;
}
}
entry other-as {
if match all {
}
then {
local-preference 102 ;
permit ;
}
}



Policy: mypref-out
@description «export my AS prefixes»
entry my-pref {
if match any {
nlri 192.168.0.0/23 exact ;
nlri 192.168.2.0/23 exact ;
}
then {
permit ;
}
}
@description «export my AS-SET prefixes»
entry asset-pref {
if match any {
as-path «^65511*$» ;
as-path «^65512*$» ;
as-path «^65513*$» ;
}
then {
permit ;
}
}
@description «deny other prefixes»
entry final-deny {
if match all {
}
then {
deny ;
}
}


В конструкциях подобных
as-path «^65514 .*20485 .*»

очень важно после номера AS вставлять пробел, иначе будет ругаться на всё что угодно, но только не на это. С проверкой синтаксиса тут засада, особенно это напрягает вначале, а потом уже редактировать по образу и подобию не так сложно.

Как делать полиси?
команда

содается полиси-файл так

edit policy upstream-in

открывается редактор, по сути урезанный vi
я привык к vim ,так что никаких неудобств не ощутил в этом смысле

После редактирования, проверка полиси

check policy upstream-in

и потом применяем в нужном месте конфига (смотрите выше)
или же если полиси уже «в деле» — тогда обновить так

refresh policy upstream-in

Не помешает ещё и сделать пиру например так
configure bgp neighbor 192.168.14.2 soft-reset in