Политики в мультикасте
Используя policy, можно
- более эффективно использовать полосу
- исключить различные проблемы в сети (не большое кол-во state в сети (S,G)), благодаря указанию конкретных групп, конкретных источников;
- можно предотвратить DoS атак.
IGMP join
- можно указать через policy группу (route-filter) и источник (source-address) на которые нельзя подписываться.
set policy-options policy-statement block-igmp term 1 from route-filter 235.4.5.6/32 exact set policy-options policy-statement block-igmp term 1 from source-address 10.66.66.2 exact set policy-options policy-statement block-igmp term 1 then reject set protocols igmp interface ge-0/0/0.0 group-policy block-igmp
- можно ограничить кол-во подписок на интерфейсе.
set protocols igmp interface ge-0/0/0.0 group-limit 100
- каждый join считается как отдельная подписка: (*,g), (s,g) - 2 разных подписки
- каждый join на разные источники для одной и той же группы - 2 разные подписки: (s1,g), (s2,g).
- если закоммитить число групп, которое по факту меньше числа уже изученных групп, то все записи сотрутся и хостам придется переподписаться.
Policy for PIM-SM
Соседство
фильтруем нежелательных соседей.
talisker# show | compare
[edit protocols pim]
+ interface ge-0/0/0.70 {
+ neighbor-policy no-macduff;
+ }
[edit policy-options]
+ policy-statement no-macduff {
+ term 1 {
+ from {
+ route-filter 192.168.86.14/32 exact;
+ }
+ then reject;
show pim statistics | find "Hello drop"
Hello dropped on neighbor policy 4
Если пришел пакет от роутера с адресом, описанном в policy, такой пакет будет отброшен. Если соседство уже было установлено до создания policy, то соседство будет сохраняться до истечения holdtime.
Для указания соседей в policy лучше использовать /32 - linknet адрес, не lo, потому что пакеты идут hop by hop, используя только p2p адреса.
Join/prune
фильтруем вх/исх сообщения
Есть несколько параметров по которым можно отстроить policy: neighbor, interface, route-filter, source-route-filter.
- neighbor: прописываем физический интерфейсный адрес, т.к. join передается от хопа к хопу.
- interface: вх логический интерфейс.
- route-filter: multicast group
- source-route-filter: source address (если исползуем ASM, то адрес RP).
Пример для фильтрации входящих join:
mortlach# top show | compare
[edit protocols pim]
+ import no-join;
[edit]
+ policy-options {
+ policy-statement no-join {
+ term 1 {
+ from {
+ route-filter 235.4.5.6/32 exact;
+ source-address-filter 10.66.66.2/32 exact;
+ }
+ then reject;
Для исходящих join/prune все тоже самое, только
set protocols pim export ...
Диагностика:
mortlach> show pim statistics | match "Rx Join/Prunes filtered" Rx Joins/Prunes filtered 12
Register
фильтруем исх сообщения от source DR / вх сообщения на RP. Работает только для ASM, т.к. в SSM получатели уже знают информацию об источниках.
Пример для source RP:
oban# top show | compare
[edit protocols pim rp]
+ rp-register-policy no-register;
[edit]
+ policy-options {
+ policy-statement no-register {
+ term 1 {
+ from {
+ route-filter 235.4.5.6/32 exact;
+ source-address-filter 10.66.66.2/32 exact;
+ }
+ then reject;
Пример для source DR аналогичен по конфигурации, только
set protocols pim rp dr-register-policy no-register
В результате такой фильтрации source DR не будет слать к RP трафик от источника 10.66.66.2 с группой 235.4.5.6. Поэтому при использовании ASM получатели не смогут получать трафик от этого источника, а при использовании SSM получатели его все-равно получат.
Для диагностики:
show pim statistics | match "Rx register msgs filtering drop" Rx Register msgs filtering drop 3
BSR messages
Обычно используется, чтобы BSR из разных доменов не распространяли информацию о своих RP.
set policy-options policy-statement block-bsr-import term 1 from interface ge-0/0/0.0 set policy-options policy-statement block-bsr-import term 1 then reject set policy-options policy-statement block-bsr-export term 1 from interface ge-0/0/0.0 set policy-options policy-statement block-bsr-export term 1 then reject set protocols pim rp bootstrap-import block-bsr-import set protocols pim rp bootstrap-export block-bsr-export
show pim statistics interface ge-0/0/0.0 | match "V2 Bootstrap"
Еще один метод не распространять информацию об RP в другой домен - настроить PIMv1 на интерфейсе (т.к. BSR работает только с v2).
MSDP SA messages
- SA import
Для policy используются следующие критерии: neighbor, interface, route-filter (группа), source-address-filter (источник).
При применении policy проходят только явно разрешенные SA сообщения, для этого обязательно включить accept-all.
set policy-option policy-statement block-SA-imort term 1 from neighbor 192.168.1.2 interface ge-0/0/0.0 route-filter 224.7.7.7/32 exact source-address-filter 10.0.107.2/32 exact set policy-option policy-statement block-SA-imort term 1 then reject set policy-option policy-statement block-SA-imort term accept-all then accept all set protocols msdp group AS65009 peer 192.168.1.2 import block-SA-import show msdp source-active detail | mat Filtered
- SA export
Все тоже самое как и для import, только:
set protocols msdp group AS65009 peer 192.168.1.2 export block-SA-export
- SA limit
- Дефолтное ограничение - 25000. Можно ставить 1-1млн.
- Лимит можно ставить глобально, на группу, на пира. Применятся ВСЕ, а не более специфичные.
- Лимит можно ставить и для конкретной группы источников. При этом для пира стоит общее ограничение и для конкретной группы - применятся оба ограничения.
set protocols msdp active-source-limit maximum 10000 threshold 8000 set protocols msdp group AS65009 peer 192.168.100.10 source 10.1.0.0/16 active-source-limit 500 set protocols msdp group AS65009 peer 192.168.100.10 active-source-limit 10000 threshold 8000
Multicast traffic
Описано в RFC 2365, называется Administrative scoping (административные ограничения).
В основном используется для непрохождения трафика между доменам. Админу нужно задать огрничение для домена - с помощью пограничных интерфейсов.
В Junos 2 метода:
- Named scoping
Каждая группа должна быть именована. Один интерфейс может принадлежать нескольким группам.
set routing-options multicast scope auto-rp-deiscovery prefix 224.0.1.40/32 set routing-options multicast scope auto-rp-deiscovery interface ge-0/0/0.0 set routing-options multicast scope scoped-range prefix 239.0.0.0/8 set routing-options multicast scope scoped-range interface ge-0/0/0.0 show multicast scope
В примере показано как контролировать auto-RP трафик между доменами, чтобы не использовать RP другого домена.
- Scope policies
Более гибкий подход. Используя разные термы можно делать выборку по разным интерфейсам, тогда как в named-scope это займет кучу конфига.
Named scope и scoping policy - взаимоисключающие. При этом в named группа - 239.192/16 автоматически добавляется на интерфейсе, а при использовании scoping policy - автоматически не добавляется, нужно писать ручками.
set policy-option policy-stetment mcast-scope term 1 from interface ge-0/0/0.0 set policy-option policy-stetment mcast-scope term 1 from route-filter 239.0.0.0/8 orlonger set policy-option policy-stetment mcast-scope term 1 from route-filter 224.0.1.40/32 exact set policy-option policy-stetment mcast-scope term 1 from route-filter 224.0.1.39/32 exact set policy-option policy-stetment mcast-scope term 1 then reject set routing-options multicast scope-policy mcast-scope
Известные административные ограничения:
- site-local: 239.255/16
- organization-local: 239.192/14 - private use in network.
- unassigned: 239/10, 239.64/10, 239.128/10
- link-local: 224/24
© Наталия Бобкова 2014—2022