單元8：使用BGP路由實現域間路由選擇（2）《高級路由技術》(理論篇）主講教師：XXX技術背景從技術角度講，Internet這樣遍布全世界龐大的網絡，需要一種機制確保信息從世界一端可靠傳輸到另一端，這個機制就是BGP（BorderGatewayProtocol，邊界網關協議）。在Internet中使用唯一進行自治系統間路由協議就是BGP，BGP構成整個Internet的核心網絡，有人把BGP稱為“BGP是Internet的心臟”。學習目標了解BGP協議的工作范圍了解BGP協議的工作原理掌握BGP協議的基本配置

建立IBGP、EBGP對等體，引入與傳遞路由BGP概述邊界網關協議（BGP）運行于TCP上自治系統（AS）路由協議，是唯一能處理不相關路由域間多路連接協議。如：中國電信、中國聯通、中國移動運營商，通過BGP協議來實現多線互聯。為了便于管理規模不斷擴大的網絡，將網絡劃分為不同的AS（AutonomousSystem自治系統）不同AS通過AS號區分，AS號取值范圍1－65535，其中64512－65535是私有AS號IANA機構負責AS號的分發中國電信163AS號：4134中國電信CN2AS號：4809中國網通AS號：9929中國聯通AS號：9800中國教育網骨干網AS號：4538什么是AS？AS64512AS64514AS64513BGP特征BGP是外部路由協議，在AS之間傳遞路由信息。BGP是一種增強型、距離矢量路由協議。可靠路由更新機制豐富Metric度量方法設計上避免環路發生為路由附帶豐富屬性，豐富路由過濾和路由策略。支持CIDR（無類別域間選路）。AS之間連接使用直連鏈路，或通過運營商，建立VPN邏輯連接AS之間可能是不同組織機構，使用IGP協議，傳遞路由信息將會有安全風險AS之間傳遞路由AS200AS100OSPFR1R2R3WANR4R5OSPF直接傳遞OSPFLSA存在暴露網絡結構的風險在AS之間傳遞路由，使用BGP協議（邊界網關路由協議BorderGatewayProtocol）相較IGP協議，BGP協議有以下優勢：BGP基于TCP工作（端口號179），只要建立TCP連接，就可以建立BGP鄰居關系；BGP能夠承載上萬條路由，而IGP僅能上千條；BGP路由器只傳遞路由，不會露AS內拓撲信息，更加安全；支持MPLS/VPN協議，傳遞客戶VPN路由AS之間傳遞路由使用BGPAS200AS100OSPFBGPpeerBGPpeerR1R2R3R4WANBGP是距離矢量路由協議，鄰居之間直接傳路由，每條BGP路由都攜帶多種屬性使用這些屬性配置路由策略，實現靈活路由選路，這是IGP協議無法做到BGP的特征AS200AS100OSPFBGPpeerBGPpeerR1R2R3R4WANBGP路由網絡號：192.168.10.0/24路徑屬性1：AS-PATH路徑屬性2：Origin路徑屬性3：next-hop路徑屬性N：……BGP協議在企業中應用場景大型企業內部，存在多個分支，每個分支屬于一個AS，通過BGP在不同分支之間傳遞路由企業與運營商之間運行BGP協議，企業與運營商之間互相傳遞路由BGP應用場景AS100AS300AS200BGPpeerBGPpeerBGPpeerBGP路由術語自治系統（AS）：同一個管理機構管理、使用統一選路策略路由器集合。自治系統內部路由協議：IGP自治系統之間路由協議：EGPAS65001AS65000BGPRIPv1/v2OSPFISISBGP角色Speaker發送BGP報文設備，稱為BGP發言者（Speaker），它接收或產生新報文信息，并發布（Advertise）給其它BGPSpeaker。Peer相互交換報文Speaker之間，互稱對等體（Peer）。若干相關對等體構成對等體組（PeerGroup）。BGP報文交互中分為Speaker和Peer兩種角色對等體－Peer兩臺路由器交換BGP路由，建立TCP連接后，它們之間關系就是對等關系或鄰居關系。BGP鄰居分為：IBGP和EBGPAS65000NeighborsAS65500NeighborsIBGP與EBGPIBGP

運行于AS內部的路由協議，主要有:RIP,OSPF及ISIS。

IGP著重于發現和計算路由。EBGP

運行于AS之間路由協議，通常都是指BGP。

BGP著重于控制路由傳播和選擇最優路由。BGP協議報文以單播的形式發送，BGP共有5種，其中路由是承載在Update報文中BGP的協議報文LinkLayerHeaderIPTCPBGPProtocolPacketFrameChecksumBGP

ProtocolHeaderBGP

PacketIP協議號為6端口號為179報文類型作用發送規則Open用于建立鄰居關系，協商各項參數通過TCP建立BGP連接，發送open報文Update用于發送路由更新連接建立后，有路由更新時，發送UPDATE報文Notification用于報告BGP錯誤當BGP運行中發現錯誤時，發送NOTIFICATION通告Keepalive用于維持鄰居關系定時發送KEEPALIVE報文以保持BGP鄰居關系的有效性Route-refresh為保證網絡穩定，觸發更新路由的機制當路由策略發生變化時，觸發請求鄰居重新通告路由BGP的有限狀態機Peer狀態名稱發送報文動作Idle嘗試建立TCP連接開始準備TCP的連接并監視遠程peer啟動TCP連接，啟用BGP時，要準備足夠的資源Connect發TCP包正在進行TCP連接，等待完成中，認證都是在TCP建立期間完成的。如果TCP連接不上則進入Active狀態，反復嘗試連接。Active發TCP包TCP連接沒建立成功，反復嘗試TCP連接。OpenSent發Open包TCP連接建立已經成功，開始發送Open包，Open包攜帶參數協商對等體的建立。OpenConfirm發Keepalive包參數、能力特性協商成功，自己開始發送Keepalive包，等待對方的Keepalive包。Established發Update包已經收到對方的Keepalive包，雙方能力特性一致，開始使用Update通告路由信息。BGP的有限狀態機ActiveOpen-sentOpen-confirmEstablishedConnectConnect-RetrytimerexpiryTCPconnectionfailsConnect-RetrytimerexpiryStartOthersTCPconnectionfailsErrorErrorErrorKeepAlivetimerexpiryKeepAlivepacketreceived1.KeepAlivetimerexpiry2.Updatereceived3.KeepAlivereceivedCorrectOPENpacketreceivedTCPconnectionsetupTCPconnectionsetupOthersIdle運行BGP的路由器被稱為BGPSpeaker或者BGP路由器兩臺BGP路由器之間建立的關系叫BGP對等體（Peer）也叫BGP鄰居，對等體之間交換BGP路由表BGP的Peer分為兩種：EBGP和IBGPBGP對等體AS200AS100OSPFBGPEBGPpeerBGPIBGPpeerR1BGPspeakerR2R3BGPspeakerR4BGPspeakerWANEBGPPeer：位于不同AS的路由器之間的BGP鄰居關系互為EBGPPeer的路由器彼此所屬的AS號不同EBGPPeer一般基于直連接口建立Neighbor命令所指定的鄰居IP地址要可達，TCP連接要能夠正確建立EBGP的路由管理距離為20，因為AS之間BGP比IGP更優BGP對等體AS200AS100OSPFBGPEBGPpeerR1R2R3BGPspeakerR4BGPspeakerWANIBGPPeer：同屬一個AS的路由器之間建立的BGP鄰居關系互為IBGPPeer的BGP路由器屬于同一個ASIBGPPeer一般基于Loopback接口建立，Peer之間可以跨越路由器，只要TCP連接要能夠正確建立IBGP的路由管理距離為200，因此AS內部IGP更優BGP對等體AS200AS100OSPFBGPIBGPpeerR1BGPspeakerR2R3BGPspeakerR4WANBGP鄰居表：包含了此臺BGP路由器所有的鄰居，以及他們之間的狀態；BGP默認每隔60秒發送一次BGP/TCP存活消息，保持時間為180秒BGP的鄰居表BGPIBGPpeerR1BGPspeakerR2R3R1#shipbgpsummaryBGProuteridentifier1.1.1.1,localASnumber123BGPVRF(GlobalVRF)RouteDistinguisher:(none)BGPtableversionis10BGPAS-PATHentries0BGPCommunityentries0BGPPrefixentries(Maximum-prefix:4294967295)NeighborVASMsgRcvdMsgSentTblVerInQOutQUp/DownState/PfxRcd3.3.3.341232210000:00:100R1的BGP鄰居表：對端peer的更新地址BGP版本號對端AS路由更新或撤銷時TblVer數字增加，類似路由更新State是bgpsession的的狀態，如果達到established就顯示收到的路由的數目，否則就是active之類的狀態每臺BGP路由器獨立維護一張BGP路由表，包含了本地導入以及從BGP

peer學習所有BGP路由；BGP路由表中可用、最優的路由（標記為*>）將會加載到全局IP路由表中；BGP路由表BGPIBGPpeerR1BGPspeakerR2R3R1#shipbgpBGPtableversionis5,localrouterIDis1.1.1.1Statuscodes:ssuppressed,ddamped,hhistory,*valid,>best,i-internal,SStale,b-backupentry,fFilterOrigincodes:i-IGP,e-EGP,?-incompleteNetworkNextHopMetricLocPrfWeightPath*>1.1.1.1/320.0.0.0032768i*>i3.3.3.3/323.3.3.301000i*i4.4.4.4/3210.1.34.401000400iR1的BGP路由表：此條BGP路由的路由屬性，后續課程詳細介紹statuscodes*代表此路由可用>代表此路由是最優的，最優的路由一定是可用的路由i代表此路由是通過IBGP學習的，如果空的代表從EBGP學習到或者本地引入的目標網絡號BGP本身不會自動產生路由，必須要將IGP的路由引入到BGP路由表中。引入的方式有2種：BGP路由的生成引入方式引入條件適用場景Network宣告必須是IP路由表的IGP路由條目，且必須存在一條命令僅能引入一條路由，適用于路由數量較少的場景Redistribute重分布IGP路由數量較多，且地址段不連續不便于聚合的場景，動態從其他路由協議引入路由，并且可以結合route-map來配置更豐富的路由策略BGP使用update報文將路由條目發送給BGPpeerBGP傳遞路由規則：僅把BGP路由表中可用、且最優（*>）路由，傳遞給BGPpeer從EBGPpeer獲得路由，發送給所有BGP

peer（包括EBGP和IBGP）從IBGP獲得路由，默認會通告給它的EBGPpeer（如果BGP同步開啟則需要再判定）BGP路由的傳遞EBGPpeerEBGP/IBGPpeer路由通告IBGPpeerEBGPpeer路由通告BGP作為一種D-V距離矢量路由協議，通過水平分割，防止AS內部的環路從IBGP獲得的路由，不向它的IBGP

peer通告，以此來防止循環的發生IBGP在路由通告時，也不會改變路由的下一跳，進一步防止循環發生BGP在AS內部的環路避免機制AS300AS100AS200EBGPpeerEBGPpeer路由更新IBGPpeerBGP同時還采用AS-Path屬性，來防止AS之間環路EBGP向對等體通告路由時，附加上自己AS號存放在AS－path屬性字段，收到EBGP對等體Update報文時，檢查AS－path，如果發現自己的AS號，則丟棄該路由，EBGP是依靠路由經過的AS路徑，來發現循環的BGP在AS之間的環路避免機制EBGPpeerEBGPpeerAS100R1A網絡R4AS400R3AS300R2AS200EBGPpeerEBGPpeerA網絡的路由AS-PATH：100A網絡的路由AS-PATH：100,300A網絡的路由AS-PATH：100,300,400A網絡的路由AS-PATH：100,300,400,200由于在AS內部，可以跨越設備，建立IBGP對等體，因此會出現一些路徑上設備未運行BGP。BGP路由黑洞EBGPpeerEBGPpeerIBGPpeer非BGProuter非BGProuterAS200AS100OSPFR1A網絡R2R3R4R5R6AS300這些設備由于未運行BGP，不會收到BGP傳遞來路由信息當有數據包經過這些設備時，因為沒有相關路由信息，數據包將會被丟棄BGP的路由黑洞非BGProuter非BGProuterAS200AS100OSPFR1R2R3R4R5R6AS300BGPUpdateBGPUpdateBGPUpdate數據包目的地A網絡A網絡數據包目的地A網絡R3、R4不知道A網絡的路由，因此數據包被丟棄。R3、R4成為了黑洞BGP協議為了防止路由黑洞問題，引入了同步機制從IBGP對等體學習到的路由在成為最佳路由并向EBGP對等體通告之前必須被IGP學習到BGP同步默認關閉，如果開啟則不會產生路由黑洞問題，但同時這些路由將無法正常使用避免路由黑洞問題的方法——BGP同步非BGProuter非BGProuterAS200AS100OSPFR1R2R3R4R5R6AS300BGPUpdateBGPUpdateBGPUpdateA網絡R5如果開啟BGP同步，那么雖然R5從IBGP鄰居R2收到A網絡的BGP路由，但因為IGP路由表中無此路由，BGP路由表與IGP路由表不同步，因此R5不會把這條BGP路由發給EBGP鄰居R6要想既不產生路由黑洞問題，又要使得這些路由可用，可采用以下方式：路由重分布：把BGP的路由重發布到AS內的IGPIBGP全互聯：在穿越路徑上IBGP啟用全連接，確保所有BGP路由過路設備都知道使用MPLS：使用MPLS的轉發機制解決穿越AS問題解決路由黑洞問題的方法EBGPpeerEBGPpeerIBGPpeer非BGProuter非BGProuterAS200AS100OSPFR1在R2與R5上將BGP路由重分布到OSPF中，讓R3、R4也能學習到這些路由，就不會有路由黑洞R2R3R4R5R6AS300R2、R3、R4、R5全部建立IBGP鄰居EBGPpeerEBGPpeerIBGPpeerAS200AS100OSPFR1R2R3R4R5R6AS300按照以下步驟配置BGP協議：第1步：設備基本參數配置，AS內配置IGP確保內部網絡連通性；第2步：啟動BGP進程第3步：建立BGP對等體第4步：通告BGP路由第5步：（可選）其他配置，路由策略、路由反射器等BGP配置步驟OSPFR1R2R3R4AS400AS123EBGPpeerIBGPpeer10.1.34.010.1.12.010.1.34.0Lo:4.4.4.4Lo:3.3.3.3Lo:1.1.1.1配置IGP路由解決peer對等體的源和目標IP之間連通性，確保peer之間TCP連通性（179）第1步：設備基本參數配置OSPFR1R2R3R4AS400AS123EBGPpeerIBGPpeer10.1.34.010.1.12.010.1.23.0Lo:4.4.4.4Lo:3.3.3.3Lo:1.1.1.1interfaceGigabitEthernet0/0ipaddress10.1.12.1255.255.255.0routerospf1router-id1.1.1.1network10.1.12.10.0.0.0area0R1的基礎配置interfaceGigabitEthernet0/0ipaddress10.1.12.2255.255.255.0interfaceGigabitEthernet0/2ipaddress10.1.23.2255.255.255.0routerospf1router-id2.2.2.2network10.1.12.20.0.0.0area0network10.1.23.20.0.0.0area0R2的基礎配置interfaceGigabitEthernet0/5ipaddress10.1.23.3255.255.255.0routerospf1router-id3.3.3.3network10.1.23.30.0.0.0area0R3的基礎配置在BGP路由器上啟動BGP進程，一臺路由器上只能配置一個BGP實例僅執行命令routerbgp不能在路由器上激活BGP，必須至少執行一個子命令才能在路由器上激活BGP進程手工設置BGPRouterID第2步：啟動BGP進程Router(config)#routerbgpas-numberRouter(config-router)#

bgprouter-idip-address指定BGP鄰居及激活BGP會話BGP鄰居都需手工指定，不能像IGP那樣通過協議自動發現建立鄰居時的指定的PeerIP地址必須路由可達，本端默認使用報文出接口IP地址作為更新源本地的更新源IP地址必須與PeerIP地址相同，不相同，則BGP鄰居無法正常建立對端AS號決定了與鄰居建立的是EBGP會話還是IBGP會話第3步：建立BGP對等體Router(config-router)#neighbor

{peer-address|peer-group-name}remote-as

as-number在同指定BGP對等體建立BGP連接時，可以啟用TCPMD5認證，并設置密碼啟用身份驗證后，將對通過對等體之間的TCP連接傳輸的所有數據等進行驗證認證都是在TCP建立連接的時候完成的BGP的驗證功能Router(config-router)#neighbor{peer-address|peer-group-name}password[|0|7]string通過宣告network的方式引入路由如果指定mask，則僅當IP路由表中有與完全匹配的條目時才會引入成功如果不指定mask，只通告主類網絡號，則僅當IP路由表中至少有一個子網，才會將該主類網絡作為一條BGP路由引入，但不會引入該主類網絡之下的其他子網通過重分布的方式引入路由第4步：通告BGP路由Router(config-router)#network

network-number[mask

mask][route-map

map-tag][backdoor]Router(config-router)#redistribute

protocol-type[route-map

map-tag][metric

metric-value]BGP基本配置案例OSPFR1R2R3R4AS400AS123EBGPpeerIBGPpeer10.1.34.010.1.12.010.1.23.0Lo:4.4.4.4Lo:3.3.3.3Lo:1.1.1.1routerbgp123bgprouter-id1.1.1.1neighbor10.1.23.3remote-as123network1.1.1.1mask255.255.255.255R1的BGP配置routerbgp123bgprouter-id3.3.3.3neighbor10.1.12.1remote-as123neighbor10.1.34.4remote-as400network3.3.3.3mask255.255.255.255R3的BGP配置routerbgp400bgprouter-id4.4.4.4neighbor10.1.34.3remote-as123network4.4.4.4mask255.255.255.255R4的BGP配置查看BGP的鄰居R1上查看BGP鄰居R3是IBGP鄰居，并且從對端收到2條路由查看BGP的狀態R1#shipbgpsumBGProuteridentifier1.1.1.1,localASnumber123BGPVRF(GlobalVRF)RouteDistinguisher:(none)BGPtableversionis32BGPAS-PATHentries0BGPCommunityentries3BGPPrefixentries(Maximum-prefix:4294967295)NeighborVASMsgRcvdMsgSentTblVerInQOutQUp/DownState/PfxRcd10.1.23.34123212020000:15:072Totalnumberofneighbors1router#showipbgpsummary查看BGP路由表R1上查看BGP的路由表1.1.1.1/32的路由是本地生成的，因此就是最優的3.3.3.3/32是R3的路由，作為IBGP傳遞來的，滿足條件因此最優4.4.4.4/32是R3從EBGP鄰居學習來的，但無“>”標記，不是最優的，因為其下一跳不可達查看BGP的狀態R1#shipbgpBGPtableversionis3,localrouterIDis1.1.1.1Statuscodes:ssuppressed,ddamped,hhistory,*valid,>best,i-internal,SStale,b-backupentry,fFilterOrigincodes:i-IGP,e-EGP,?-incompleteNetworkNextHopMetricLocPrfWeightPath*>1.1.1.1/320.0.0.0032768i*>i3.3.3.3/3210.1.23.301000i*i4.4.4.4/3210.1.34.401000400irouter#showipbgpBGP是AS-by-AS的路由協議，而不是router-by-router的路由協議在BGP中，next-hop并不意味著是下一臺路由器，而是到達下一個AS的IP地址EBGP中，默認next-hop為發送更新的鄰居路由器的IP地址IBGP中，從EBGP傳來的next-hop屬性在IBGP中保持不變的被傳遞BGP的next-hop不可達問題OSPFR1R2R3R4AS400AS123EBGPpeerIBGPpeer10.1.34.010.1.12.010.1.23.0Lo:4.4.4.4Lo:3.3.3.3Lo:1.1.1.1Route4.4.4.0NEXT_HOP=10.1.34.4Route4.4.4.0NEXT_HOP=10.1.34.4R1不知道如何去往10.1.34.4，這個地址未被通告到AS123的IGP里，因此路由不可達，因此不是最優有兩種辦法解決next-hop不可達的問題第1種辦法就是把10.1.34.0這個網絡宣告到AS123的IGP路由中這樣4.4.4.0/24這條路由就會在R1的BGP路由表成為最優路由但這種方法并不建議，因為會使得AS之間的鏈路暴露在AS內部，有一定安全風險BGP的next-hopR3(config)#routerospf1R3(config-router)#network10.1.34.30.0.0.0area0R1#shipbgpBGPtableversionis3,localrouterIDis1.1.1.1Statuscodes:ssuppressed,ddamped,hhistory,*valid,>best,i-internal,SStale,b-backupentry,fFilterOrigincodes:i-IGP,e-EGP,?-incompleteNetworkNextHopMetricLocPrfWeightPath*>1.1.1.1/320.0.0.0032768i*>i3.3.3.3/3210.1.23.301000i*>i4.4.4.4/3210.1.34.401000400i有兩種辦法解決next-hop不可達的問題第2種辦法就是在R3上配置next-hop-self，使得向R1發送的路由的下一跳的屬性都改為R3自己這樣R1上4.4.4.0/24這條路由的next-hop就是R3的10.1.23.3，下一跳可達，成為最優路由BGP的next-hoprouterbgp123neighbor10.1.12.1remote-as123neighbor10.1.12.1next-hop-selfRouter(config-router)#neighbor{peer-address|peer-group-name}next-hop-selfR1#shipbgpBGPtableversionis3,localrouterIDis1.1.1.1Statuscodes:ssuppressed,ddamped,hhistory,*valid,>best,i-internal,SStale,b-backupentry,fFilterOrigincodes:i-IGP,e-EGP,?-incompleteNetworkNextHopMetricLocPrfWeightPath*>1.1.1.1/320.0.0.0032768i*>i3.3.3.3/3210.1.23.301000i*>i4.4.4.4/3210.1.23.301000400i查看具體BGP路由信息，可以看到這條BGP路由的所有BGP屬性查看BGP的狀態R1#shipbgp4.4.4.4BGProutingtableentryfor4.4.4.4/32Paths:(1available,best#1,tableDefault-IP-Routing-Table)Notadvertisedtoanypeer40010.1.23.3(metric2)from10.1.23.3(3.3.3.3)OriginIGP,metric0,localpref100,valid,internal,bestLastupdate:ThuJul821:40:072021下一跳地址BGP鄰居的更新源地址BGP鄰居的router-id查看IP路由表，4.4.4.0/24作為BGP路由表中最優的路由，出現在R1的IP路由表中查看BGP的狀態R1#shiprouteCodes:C-connected,S-static,R-RIP,B-BGPO-OSPF,IA-OSPFinterareaN1-OSPFNSSAexternaltype1,N2-OSPFNSSAexternaltype2E1-OSPFexternaltype1,E2-OSPFexternaltype2i-IS-IS,su-IS-ISsummary,L1-IS-ISlevel-1,L2-IS-ISlevel-2ia-IS-ISinterarea,*-candidatedefaultGatewayoflastresortisnosetC1.1.1.1/32islocalhost.O2.2.2.2/32[110/1]via10.1.12.2,05:07:11,GigabitEthernet0/0O3.3.3.3/32[110/2]via10.1.12.2,05:06:22,GigabitEthernet0/0B4.4.4.4/32[200/0]via10.1.23.3,00:09:26C10.1.12.0/24isdirectlyconnected,GigabitEthernet0/0C10.1.12.1/32islocalhost.O10.1.23.0/24[110/2]via10.1.12.2,05:07:11,GigabitEthernet0/0C192.168.1.0/24isdirectlyconnected,VLAN1C1