2.0.0 BGP高级特性-ASFilter、CommunityFilter、ORF、对等组

Peer Group

BGP对等体组

在网络中出现多台设备配置相近的情况下，使用对等体组可以极大的减少配置命令的输入。

与端口组类似，通过创建一个组，然后将成员添加入其中，可以对组中的成员进行统一的管理。

案例配置1

在这里插入图片描述

以AR2为例，配置IBGP组，将AR6、AR5添加入组中统一管理配置：

# BGP进程中创建IBGP组
[AR2]bgp 100
[AR2-bgp]router-id 2.2.2.2
[AR2-bgp]group IBGP internal 
# 将IBGP成员添加入组中
[AR2-bgp]peer 10.1.26.6 group IBGP
[AR2-bgp]peer 10.1.25.5 group IBGP

此时查看BGP配置，可以看到部分命令自动补全：

bgp 100
 router-id 2.2.2.2
 group IBGP internal
 peer 10.1.25.5 as-number 100 
 peer 10.1.25.5 group IBGP 
 peer 10.1.26.6 as-number 100 
 peer 10.1.26.6 group IBGP 
 #
 ipv4-family unicast
  undo synchronization
  peer IBGP enable
  peer 10.1.25.5 enable
  peer 10.1.25.5 group IBGP 
  peer 10.1.26.6 enable
  peer 10.1.26.6 group IBGP

以AR2为例，配置EBGP组，将AR1添加入组中统一管理配置：

# 将EBGP成员添加入组中，并指定该组属于哪个AS。
# 下次再有该AS的EBGP邻居需要接入，直接添加入组中即可。
[AR2-bgp]peer 10.1.26.6 group IBGP# EBGP组也是同样的
[AR2]bgp 100
[AR2-bgp]router-id 2.2.2.2
[AR2-bgp]group EBGP_200 external 
[AR2-bgp]peer EBGP_200 as-number 200

# 将EBGP成员 AR1添加入组中
[AR2-bgp]peer 10.1.12.1 group EBGP_200

Community Filter

Community团体属性是BGP的私有属性属于可选过渡的属性，在BGP对等体之间传播，且不受AS的限制。

利用团体属性可以使多个AS中的某一组BGP设备共享相同的策略，从而简化路由策略的应用和降低维护管理的难度。

BGP设备在发布路由时，新增或者改变路由的团体属性。

个人注解：团体值，类似Tag，因为Tag只能在IGP协议中使用，BGP中没有Tag字段，但有团体属性。

公认团体属性

在所有的BGP路由中，都存在着默认的团体属性，以下是默认的公认团体属性。

团体属性名称	团体属性号	说明
Internet	0（0x00000000）	设备在收到具有此属性的路由后，可以向任何BGP对等体发送该路由。缺省情况下，所有的路由都属于Internet团体。
No_Advertise	4294967042（0xFFFFFF02）	设备收到具有此属性的路由后，将不向任何BGP对等体发送该路由。
No_Export	4294967041（0xFFFFFF01）	设备收到具有此属性的路由后，将不向AS外发送该路由。
No_Export_Subconfed	4294967043（0xFFFFFF03）	设备收到具有此属性的路由后，将不向AS外发送该路由。如果使用了联盟，也不向联盟内其他子AS发布此路由。

个人注解：Internet默认，No_Advertise不通告给任何对等体（收到路由后就自己使用），No_Export不外扩（只在自己的AS内传播），NO_Export_Subconfed（不外传的同时也不向内传）。

团体属性格式

一个Community属性值的长度为32 bit，可使用两种形式呈现：

1、十进制整数格式。

2、AA：NN格式，其中AA表示AS号，NN是自定义编号。

于路由策略中修改团体属性时，可以看到可选参数：
[AR6-route-policy]apply community ?
  INTEGER<0-4294967295>  Specify community number
  STRING<3-11>           Specify aa<0-65535>:nn<0-65535>
  
  internet               Internet(well-known community attributes)
  no-advertise           Do not advertise to any peer (well-known community     
                         attributes)
  no-export              Do not export to external peers(well-known community   
                         attributes)
  no-export-subconfed    Do not send outside a sub-confederation(well-known     
                         community attributes)
  none                   No community attribute

案例配置2

以下就做个简单的案例，AR5、AR6都学习到AR9的Loop100路由并引入到IBGP中。

AR2此时会学习到去往AR9环回口开销为2与开销为20的BGP路由，但对于AR2来说，还想进一步的区分这些路由就得借助其它手段。

为了方便，可以在AR6、AR5上配置路由策略，将路由引入BGP时打上规定好的Community团体属性，使得AR2可以快速分辩。

在这里插入图片描述

查看路未配置团体属性前的由明细信息

默认的Community属性 Internet 不显示出来。

<AR2>dis bgp routing-table 192.168.100.0

 BGP local router ID : 2.2.2.2
 Local AS number : 100
 Paths:   2 available, 1 best, 1 select
 BGP routing table entry information of 192.168.100.0/24:
 From: 10.1.26.6 (6.6.6.6)
 Route Duration: 00h05m48s  
 Relay IP Nexthop: 0.0.0.0
 Relay IP Out-Interface: GigabitEthernet0/0/0
 Original nexthop: 10.1.26.6
 Qos information : 0x0
 AS-path Nil, origin incomplete, MED 2, localpref 100, pref-val 0, valid, internal, best, select, active, pre 255
 Not advertised to any peer yet

 BGP routing table entry information of 192.168.100.0/24:
 From: 10.1.25.5 (5.5.5.5)
 Route Duration: 00h05m55s  
 Relay IP Nexthop: 0.0.0.0
 Relay IP Out-Interface: GigabitEthernet0/0/2
 Original nexthop: 10.1.25.5
 Qos information : 0x0
 AS-path Nil, origin incomplete, MED 20, localpref 100, pref-val 0, valid, internal, pre 255, not preferred for MED
 Not advertised to any peer yet

配置命令

（1）创建路由策略，添加团体属性。

[AR6]route-policy Community_ospf_100-1 permit node 10
[AR6-route-policy]apply community 100:1

[AR5]route-policy Community_isis_100-2 permit node 10
[AR5-route-policy]apply community 100:2

（2）将策略应用于OSPF/ISIS路由引入上，并给制定邻居激活团体属性。

[AR6]bgp 100
[AR6-bgp]import ospf 1 route-policy Community_ospf_100-1 
[AR6-bgp]peer 10.1.26.2 advertise-community

[AR5]bgp 100
[AR5-bgp]import isis 1 route-policy Community_isis_100-2
[AR5-bgp]peer 10.1.26.2 advertise-community

完成操作之后再查看路由明细，可以看到 Community：<CC:NN>。

<AR2>dis bgp routing-table 192.168.100.0

 BGP local router ID : 2.2.2.2
 Local AS number : 100
 Paths:   2 available, 1 best, 1 select
 BGP routing table entry information of 192.168.100.0/24:
 From: 10.1.26.6 (6.6.6.6)
 Route Duration: 00h13m40s  
 Relay IP Nexthop: 0.0.0.0
 Relay IP Out-Interface: GigabitEthernet0/0/0
 Original nexthop: 10.1.26.6
 Qos information : 0x0
 Community:<100:1>
 AS-path Nil, origin incomplete, MED 2, localpref 100, pref-val 0, valid, intern
al, best, select, active, pre 255
 Not advertised to any peer yet

 BGP routing table entry information of 192.168.100.0/24:
 From: 10.1.25.5 (5.5.5.5)
 Route Duration: 00h13m17s  
 Relay IP Nexthop: 0.0.0.0
 Relay IP Out-Interface: GigabitEthernet0/0/2
 Original nexthop: 10.1.25.5
 Qos information : 0x0
 Community:<100:2>
 AS-path Nil, origin incomplete, MED 20, localpref 100, pref-val 0, valid, inter
nal, pre 255, not preferred for MED
 Not advertised to any peer yet

团体属性过滤

以上介绍的是如何设置团体属性，而团体属性过滤 Community-Filter则是像ACL一样，用于匹配团体属性。

与ACL一样Community-Filter也有标准（Basic，序号1~99）和高级（Advanced，序号100-199）。

[AR1]ip community-filter ?
  INTEGER<1-99>     Community-filter number (basic)
  INTEGER<100-199>  Community-filter number (advanced)
  advanced          Advanced community-filter
  basic             Basic community-filter
  
# 可使用序号创建
ip community-filter 1 permit ......

# 可使用名称创建
ip community-filter basic XXXX permit ......

案例配置3

为了突出团体属性的作用，提出图中的要求，禁止将ISIS路由发布给AR1。
默认情况下所有活动且最优的BGP路由会发布给EBGP邻居，故可以在AR1邻居上配置一个Export的Community-Filter路由策略将ISIS的团体路由给剔除掉。
目前常接触标准的Community-Filter，故以此为主进行配置。

在这里插入图片描述

由于是自己乱画的拓扑并不能直观的看出结果，所以先将AR2-AR6之间的线先断掉，这样网络中只有ISIS的路由了。此时可以看到默认情况下AR1是可以收到ISIS路由的。

在这里插入图片描述

开始配置过滤ISIS团体属性路由操作：

（1）于AR2上创建团体属性过滤

[AR2]ip community-filter basic Filter_ISIS_Community permit 100:2

（2）创建路由策略，匹配团体属性并设置相应动作。

先把匹配上团体属性的路由先deny掉，再permit放行其它路由。

[AR2]route-policy Filter_ISIS_Community deny node 10
[AR2-route-policy]if-match community-filter Filter_ISIS_Community
[AR2-route-policy]quit

[AR2]route-policy Filter_ISIS_Community permit node 20
[AR2-route-policy]quit

（3）将路由策略绑定到EBGP邻居AR1上

[AR2]bgp 100
[AR2-bgp]peer 10.1.12.1 route-policy Filter_ISIS_Community export

最后在AR2再查看BGP路由信息，可以发现没有从AR1上学习到关于ISIS的路由了。

AS_Path Filter

随着网络越来越大，BGP网络中可能会与多个AS互联且业务路由可能与本地相隔多个AS网络。

AS_Path-Filter（AS路径过滤），是将BGP中的AS_Path属性作为匹配条件的过滤器，利用BGP路由携带的AS_Path列表对路由进行过滤。

若网络中某台路由器不希望接收某些AS的路由时，可以利用AS_PathFilter对携带这些AS号的路由进行过滤，从而实现拒绝某些路由。
与其它过滤功能不一样的是，AS路径过滤采用正则表达式匹配。为此对于匹配的范围和灵活程度有了极大的提升。

关于正则表达式的介绍，在此仅使用到简单基础的几个。

^ 1 # 匹配以1开头的AS路径，如100，1111，100 200等。

2$ # 匹配以2为结尾的AS路径，如12，100 102等。

.* # 匹配所有

100 # 直接填写数字，则是匹配所有存在100的AS路径，如100、100 200、300 100 200。

[100] # 方括号内填写数字，表示只匹配AS路径为100。

配置命令

创建AS路径过滤时，与ACL相似以序号或名称创建。

[AR2]ip as-path-filter ?
  INTEGER<1-256>  Specify an access-list number
  STRING<1-51>    Specify an as-path-filter name

创建一个匹配经过100 200的AS路径路由

[AR2]ip as-path-filter 1 deny "100 200"

AS路径过滤可以创建多个，默认按照从上至下匹配

# 先放行100 200的，再放行200 300，最后.*拒绝所有
ip as-path-filter 1 permit "100 200"
ip as-path-filter 1 permit "200 300"
[AR2]ip as-path-filter 1 deny .*

案例配置4

如图，AR1与AR3将环回口发布入BGP中，默认情况下AR2可以学习到AR1、AR3的环回口路由。
要求实现过滤来源自AS200的路由（但不过滤AS300的）。

在这里插入图片描述

默认情况下，AR2的BGP路由表信息。
此时可以从Path/Ogn中查看到该路由的AS-Path信息。

[AR2]dis bgp routing-table 
 Total Number of Routes: 4
      Network            NextHop        MED        LocPrf    PrefVal Path/Ogn
 *>   192.168.1.0        10.1.12.1       0                     0      200i
 *>   192.168.3.0        10.1.12.1                             0      200 300i

（1）创建AS路径过滤，只匹配源自AS200的路由（只匹配AS200，不匹配AS 200 300）。

^200$的意思是：匹配开头为200的，结尾也为200的，也就是只匹配AS200。

[AR2]ip as-path-filter 1 permit ^200$

（2）创建路由策略

[AR2]route-policy Filter_AS200_AS-path deny node 10
[AR2-route-policy]if-match as-path-filter 1
[AR2-route-policy]quit

[AR2]route-policy Filter_AS200_AS-path permit node 20
[AR2-route-policy]quit

（3）绑定路由策略

因为路由是从AR1进入到AR2中，故绑定的方向为Import。

[AR2-bgp]peer 10.1.12.1 route-policy Filter_AS200_AS-path import

虽然前面有添加了Export的策略，但方向不冲突就不会出现命令覆盖。

peer 10.1.12.1 route-policy Filter_ISIS_Community export

peer 10.1.12.1 route-policy Filter_AS200_AS-path import

如果方向相同，只能绑定一个策略的话，就需要再创建一个新策略，将两个策略进行合并在一起。

配置完成之后，再查看AR1的BGP路由表信息

[AR2]dis bgp routing-table 
 Total Number of Routes: 7
      Network            NextHop        MED        LocPrf    PrefVal Path/Ogn
 *>   192.168.3.0        10.1.12.1                             0      200 300i

ORF

Outbound Route Filtering 输出路由过滤

能将本端设备配置的出口路由策略通过路由刷新报文发送给BGP邻居。

BGP邻居根据本端的出口策略，在路由发送时对路由进行过滤，只发送本端需要的路由。这样不仅避免了本端设备接收大量无用的路由，降低了本端设备的CPU使用率，还有效减少了BGP邻居的配置工作，降低了链路带宽的占用率。

个人注解：通过ORF实现对端发送指定的路由过来，避免发送过多无用的路由。

主要应用于本端设备希望BGP邻居只发送需要的路由，而BGP邻居又不愿意针对不同设备维护不同的出口策略时，可以运用BGP ORF特性（简读：邻居单独为了某个设备创建策略）。

案例配置5

要求AR1通过ORF技术实现只接收来自AR3的192.168.31.0/24路由。

在这里插入图片描述

查看目前AR1的BGP路由情况

<AR1>dis bgp routing-table 

 Total Number of Routes: 6
      Network            NextHop        MED        LocPrf    PrefVal Path/Ogn
 *>   192.168.3.0        10.1.13.3       0                     0      300i
 *>   192.168.31.0       10.1.13.3       0                     0      300i

（1）由于ORF采用前缀列表进行过滤路由，故第一步创建前缀列表。

# 例如：匹配192.168.31.0/24的路由
[AR1]ip ip-prefix 1 permit 192.168.31.0 24

（2）创建ORF，使允许向该邻居发送ORF报文，绑定前缀列表（序号1）

[AR1]bgp 200
[AR1-bgp]peer 10.1.13.3 ip-prefix 1 import 
[AR1-bgp]peer 10.1.13.3 capability-advertise orf ip-prefix send

peer 邻居 capability-advertise orf ip-prefix 动作

有三种主要动作：both 双向、send 发送、receive 接收。

给邻居绑定前缀列表之后，需要指定该邻居的ORF动作，如send发送本端的前缀列表策略给对端。

而对端需要具备receive接收才能完成这个ORF功能。

疑惑：都已经绑定了前缀策略了，如果我不配置ORF是什么现象？

绑定策略之后，的确只能接收到指定的路由。

但对端其中是发送了一堆路由过来，而是只是从中过滤出所需的路由，非常占用链路带宽。

此时AR1的BGP路由表：

<AR1>dis bgp routing-table
 Total Number of Routes: 5
      Network            NextHop        MED        LocPrf    PrefVal Path/Ogn
 *>   192.168.31.0       10.1.13.3       0                     0      300

但此时AR3所通告给AR1的路由有：

<AR3>display bgp routing-table peer 10.1.13.1 advertised-routes 

 Total Number of Routes: 2
      Network            NextHop        MED        LocPrf    PrefVal Path/Ogn

 *>   192.168.3.0        10.1.13.3       0                     0      300i
 *>   192.168.31.0       10.1.13.3       0                     0      300i

为了减少AR3通告大量无用的路由，故需要开启ORF功能进行辅助

（3）邻居路由器上配置接收ORF报文。

[AR3]bgp 300
[AR3-bgp]peer 10.1.13.1 capability-advertise orf ip-prefix receive

此时再查看AR3通告给AR1的路由，发现只通告AR1所需的路由了。

<AR3>display bgp routing-table peer 10.1.13.1 advertised-routes 

 Total Number of Routes: 2
      Network            NextHop        MED        LocPrf    PrefVal Path/Ogn
 *>   192.168.31.0       10.1.13.3       0                     0      300i