Для изоляции трафика между логическими сегментами в крупных сетях с общей инфраструктурой применяется технология виртуальной маршрутизации (Virtual Routing and Forwarding, VRF). С помощью виртуальных маршрутизаторов можно создавать независимые группы интерфейсов, благодаря чему трафик из одной группы не попадет в другую.
Каждый виртуальный маршрутизатор имеет свою собственную таблицу маршрутизации, которая может содержать запись о маршрутах, заданных статически или полученных с помощью протоколов динамической маршрутизации.
В разных виртуальных маршрутизаторах допускается использовать одинаковые IP-сети (IP overlapping).
Интерфейсы, не вошедшие ни в один из виртуальных маршрутизаторов, автоматически назначены на виртуальный маршрутизатор, созданный в системе по умолчанию.
Виртуальные маршрутизаторы имеют следующие ограничения:
Ряд сервисов может быть использован только в виртуальном маршрутизаторе, созданном по умолчанию:
WCCP;
ICAP;
DNS;
авторизация;
любой сетевой трафик, генерируемый самим устройством: проверка лицензии, скачивание обновлений, отправка журналов, отправка почтовых сообщений, SMS-сообщений, SNMP-трапов и т. п.;
подключение UserGate МС к UserGate NGFW возможно только в случае, если порт UserGate NGFW находится в виртуальном маршрутизаторе, созданном по умолчанию.
Действие правил NAT, DNAT, Port forwarding распространяется на все виртуальные маршрутизаторы.
Зоны являются глобальными — параметры зоны и принадлежность интерфейсов к зонам распространяются на все виртуальные маршрутизаторы.
ПримечаниеВиртуальный маршрутизатор, созданный по умолчанию, необходим для корректной работы UserGate NGFW. Он используется для проверки лицензии, получения обновлений, работы DNS-служб.
Создание виртуального маршрутизатора
Чтобы создать новый виртуальный маршрутизатор:
1. В разделе Настройки ➜ Сеть ➜ Виртуальные маршрутизаторы нажмите Добавить и задайте имя и описание нового виртуального маршрутизатора. Если настроен кластер, укажите имя узла, на котором создается этот виртуальный маршрутизатор.
ПримечаниеИмя виртуального маршрутизатора должно содержать минимум три символа. Могут использоваться только строчные буквы латинского алфавита или цифры; в середине и конце имени допускается использование символов «_» и «-». В качестве имени виртуального маршрутизатора нельзя использовать зарезервированные термины (prelocal, local, main, default, unspec) или префиксы (port, gre, egress, ingress, tun, tap, erspan, ppp, bond, bridge, pimreg, mgmt).
2. На вкладке Интерфейсы укажите интерфейсы, которые должны принадлежать новому виртуальному маршрутизатору. Интерфейсы, относящиеся к другим виртуальным маршрутизаторам, не могут быть добавлены. Любой из интерфейсов может принадлежать только одному виртуальному маршрутизатору. Допускается использовать интерфейсы всех типов — физические, виртуальные (VLAN), bond-интерфейсы, VPN-интерфейсы и другие.
Дополнительно для нового виртуального маршрутизатора вы можете настроить параметры статической и динамической маршрутизации:
1. Статические маршруты (кроме маршрута по умолчанию). Подробнее о статических маршрутах — в разделе «Статические маршруты». Маршрут по умолчанию добавляется в разделе Настройки ➜ Сеть ➜ Шлюзы. Подробнее о настройке шлюзов — в разделе «Настройка шлюзов».
2. Динамические маршруты, получаемые с помощью протокола маршрутизации OSPF. Подробнее — в разделе «OSPF».
3. Динамические маршруты, получаемые с помощью протокола маршрутизации BGP. Подробнее — в разделе «BGP».
4. Динамические маршруты, получаемые с помощью протокола маршрутизации RIP. Подробнее — в разделе «RIP».
5. Мультикастинг. Подробнее — в разделе «Мультикастинг».
Статические маршруты
С помощью статических маршрутов вы можете указать путь в сеть, доступную за определенным маршрутизатором. Маршрут применяется локально на том узле кластера и в том виртуальном маршрутизаторе, где он создается.
Для добавления статического маршрута:
1. В разделе Настройки ➜ Сеть ➜ Виртуальные маршрутизаторы выберите виртуальный маршрутизатор.
2. В свойствах виртуального маршрутизатора в выпадающем списке выберите Статические маршруты и нажмите Добавить. Укажите название маршрута. Опционально можно добавить описание маршрута.
3. Выберите тип маршрута:
Unicast — стандартный тип маршрута. Отправляет трафик на адреса назначения через заданный шлюз.
Blackhole — трафик отбрасывается без информирования источника о том, что данные не достигли адресата.
Unreachable — трафик отбрасывается. Источнику отправляется ICMP-сообщение host unreachable (тип 3, код 1).
Prohibit — трафик отбрасывается. Источнику отправляется ICMP-сообщение host unreachable (тип 3, код 13).
4. Укажите адрес назначения — подсеть, на которую будет указывать маршрут, например 172.16.20.0/24.
5. Задайте IP-адрес шлюза, через который указанная подсеть будет доступна. Этот IP-адрес должен быть доступен с устройства.
6. Выберите интерфейс, через который будет добавлен маршрут. Если оставить значение Автоматически, UserGate NGFW сам определит интерфейс, исходя из параметров IP-адресации сетевых интерфейсов.
7. Задайте метрику маршрута. Если маршрутов в сеть несколько, то чем меньше значение метрики, тем выше приоритет маршрута.
Протоколы динамической маршрутизации
Протоколы динамической маршрутизации используются для передачи информации о том, какие сети в настоящее время подключены к каждому из маршрутизаторов. UserGate NGFW обновляет таблицу маршрутизации в соответствии с информацией, которую он получает от соседних маршрутизаторов.
Динамическая маршрутизация не меняет способов, с помощью которых ядро системы осуществляет маршрутизацию на IP-уровне. Ядро так же просматривает свою таблицу маршрутизации, отыскивая маршруты к узлам, маршруты к сетям и маршруты по умолчанию. Меняется только способ помещения информации в таблицу маршрутизации: маршруты добавляются и удаляются не вручную, а динамически.
ПримечаниеЕсли в системе настроены статические шлюзы, то маршруты по умолчанию, полученные от протоколов динамической маршрутизации, игнорируются.
UserGate NGFW поддерживает работу следующих динамических протоколов маршрутизации: OSPF, BGP, RIP.
OSPF
OSPF (Open Shortest Path First) — протокол динамической маршрутизации, основанный на технологии отслеживания состояния канала (link-state) и использующий для нахождения кратчайшего пути алгоритм Дейкстры.
Протокол OSPF распространяет информацию о доступных маршрутах между маршрутизаторами одной автономной системы (АС).
ПримечаниеМаршруты добавляются только в том виртуальном маршрутизаторе, в котором настроен протокол OSPF.
ПримечаниеПри работе протокола OSPF в кластере отказоустойчивости в режиме «активный — пассивный» метрики на резервных узлах для всех интерфейсов, списков перераспределения маршрутов и карт маршрутов (route map), применимых к этим спискам перераспределения, увеличиваются вдвое. Таким образом устанавливается приоритет мастер-узла в маршрутизации трафика.
Для настройки параметров OSPF в UserGate NGFW:
1. В разделе Настройки ➜ Сеть ➜ Виртуальные маршрутизаторы выберите виртуальный маршрутизатор.
2. В свойствах виртуального маршрутизатора в выпадающем списке выберите OSPF.
3. Для начала настройки параметров OSPF установите флажок Включено и укажите идентификатор маршрутизатора. Идентификатор должен быть уникальным и задан в формате IPv4. Для удобства он может совпадать с одним из IP-адресов интерфейсов UserGate NGFW, относящихся к выбранному виртуальному маршрутизатору.
4. Настройте параметры интерфейсов, на которых будет работать OSPF.
Параметр
Описание
Включено
Включение или отключение использования интерфейса
Интерфейс
Выбор одного из существующих в системе интерфейсов, на котором будет работать OSPF. Для выбора доступны только интерфейсы, входящие в выбранный виртуальный маршрутизатор
Тип сети
Тип сети для оптимизации процесса установления соседства. Доступны следующие параметры:
Не установлен;
Broadcast;
Point-to-point;
Point-to-multipoint
Пассивный режим
Включение или отключение пассивного режима работы интерфейса, при котором через интерфейс запрещается пересылать пакеты обновления протокола маршрутизации
Стоимость
Стоимость (cost) канала интерфейса. Значение передается в объявлениях о состоянии (Link-State Advertisement, LSA) соседним маршрутизаторам и используется ими для вычисления кратчайшего маршрута. Значение по умолчанию — 1
Приоритет
Целое число от 0 до 255. Чем выше значение, тем больше вероятность того, что маршрутизатор станет назначенным (Designated Router, DR) в сети и будет рассылать LSA. Значение 0 исключает маршрутизатор из процедуры выбора DR. Значение по умолчанию — 1
Интервал hello
Интервал в секундах, через который маршрутизатор посылает hello-пакеты. Этот интервал должен быть одинаковым на всех маршрутизаторах в автономной системе. Значение по умолчанию — 10 секунд
Интервал dead
Время в секундах, по истечении которого соседний маршрутизатор считается неактивным. Время исчисляется c момента приема последнего hello-пакета от соседнего маршрутизатора. Значение по умолчанию — 40 секунд
Интервал повторения
Устанавливает интервал повторной отправки пакета LSA. Значение по умолчанию — 5 секунд
Задержка передачи
Устанавливает время, требуемое для доставки соседним маршрутизаторам обновления состояния каналов (link state). Значение по умолчанию — 1 секунда
Профиль BFD
Определяет значения параметров протокола BFD для мониторинга OSPF. Это позволяет соответствующим событиям подключения сеанса BFD мгновенно обновлять статус интерфейса OSPF.
Включает требование аутентификации каждого принимаемого маршрутизатором OSPF-сообщения. Аутентификация обычно используется для предотвращения внедрения ложного маршрута от нелегитимных маршрутизаторов
Тип аутентификации
Возможные значения:
Plain — передача ключа в открытом виде для аутентификации маршрутизаторов. Необходимо указать значение поля Ключ.
Digest — использование хеш-суммы MD5 для ключа аутентификации OSPF-пакетов. Необходимо указать Ключ и MD5 key ID. Для корректной работы эти параметры должны быть идентичными на всех маршрутизаторах.
Значение параметра Ключ может содержать только буквы латинского алфавита, цифры и символ подчеркивания. Максимальное количество символов — 16
5. Настройте параметры областей OSPF.
Параметр
Описание
Включено
Включает или отключает использование области
Имя
Имя области
Стоимость
Стоимость (cost) маршрута по умолчанию, анонсируемая в тупиковую область (stub area). Значение по умолчанию — 1.
Если тупиковая область подключена к нескольким пограничным маршрутизаторам области (Area Border Router, ABR), администратор может назначать разные стоимости маршрута по умолчанию для каждого ABR. Это позволяет управлять исходящим из области трафиком, направляя его через предпочтительный шлюз
Идентификатор области
Идентификатор области (area ID) может быть указан в десятичном формате или в формате записи IP-адреса. Для установления соседства OSPF идентификатор области должен совпадать на соседних маршрутизаторах
Тип аутентификации
Возможные значения:
Нет — не требовать аутентификацию OSPF-пакетов.
Plain — передача ключа в открытом виде для аутентификации OSPF-пакетов. Используется ключ, заданный в параметрах интерфейсов.
Digest — использование MD5 хеш-суммы для ключа аутентификации OSPF-пакетов. Используется ключ, заданный в параметрах интерфейсов.
Аутентификация на уровне интерфейсов имеет приоритет над аутентификацией на уровне области
Тип области
Доступные типы областей:
Нормальная — обычная область, которая создается по умолчанию. Эта область принимает обновления каналов, суммарные маршруты и внешние маршруты.
Тупиковая (stub) — тупиковая область не принимает информацию о внешних маршрутах для автономной системы, но принимает маршруты из других областей. Если маршрутизаторам из тупиковой области необходимо передавать информацию за границу автономной системы, они используют маршрут по умолчанию. В тупиковой области не может находиться пограничный маршрутизатор автономной системы (Autonomous System Boundary Router, ASBR).
NSSA — Not-so-stubby area. NSSA-область определяет дополнительный тип LSA — LSA type 7. В NSSA-области может находиться ASBR
Не суммировать
Запрещает добавление суммированных маршрутов в тупиковые типы областей
Интерфейсы
Интерфейсы OSPF, на которых будет доступна эта область
Виртуальные линки
Специальное соединение, которое позволяет соединять части областей или присоединить область через другую магистральную область. Настраивается между двумя ABR.
Позволяет маршрутизаторам передать пакеты OSPF через виртуальные ссылки, инкапсулируя их в IP-пакеты. Этот механизм используется как временное решение в случае выхода из строя основных соединений.
Укажите идентификаторы маршрутизаторов, которые доступны через такую область
6. Карты маршрутов (route map, доступны в версии 7.3.0 и выше) позволяют фильтровать маршруты при перераспределении и изменять различные атрибуты выбранных маршрутов. На вкладке Routemaps указаны глобальные параметры для создания карты маршрутов.
Параметр
Описание
Название
Название карты маршрутов. Не может содержать символы кириллицы
Действие
Устанавливает действие для этой карты маршрутов. Возможные значения:
Разрешить — разрешает прохождение данных, отвечающих условиям карты маршрутов.
Запретить — запрещает прохождение данных, не отвечающих условиям карты маршрутов
Сравнивать по
Условия применения карты маршрутов. Возможные значения:
IP. Если выбрано это условие, на вкладке IP-адреса надо добавьте все необходимые IP-адреса для этого условия с возможностью указать le (less or equal) и ge (greater or equal). Например:
10.0.0.0/8 — только сеть 10.0.0.0/8.
10.0.0.0/8::11 — маршруты с первым октетом, равным 10, и префиксом от 8 до 11.
10.0.0.0/8:11:13 — маршруты с первым октетом, равным 10, и префиксом от 11 до 13.
AS-путь. Если выбрано это условие, то в закладке AS-путь добавьте все необходимые для него номера автономных сетей. Допускается указывать регулярные выражения формата POSIX 1003.2, а также дополнительный символ подчеркивания «_», который может интерпретироваться как:
пробел;
запятая;
начало строки;
конец строки;
AS set delimiter { and };
AS confederation delimiter ( and ).
Community. Если выбрано это условие, на вкладке Community добавьте все необходимых для него BGP-community
Установить next hop
Установить для отфильтрованных маршрутов IP-адрес для next hop
Установить вес
Установить вес для отфильтрованных маршрутов
Установить метрику
Установить метрику для отфильтрованных маршрутов
Установить предпочтение
Установить предпочтение для отфильтрованных маршрутов
Установить AS-prepend
Установить значение AS-prepend — список автономных систем, добавляемых для этого маршрута
Установить community
Установить (заменить) значение BGP-community для отфильтрованных маршрутов на указанное
Добавлять community
Установить значение BGP-community для отфильтрованных маршрутов
7. Если необходимо, на вкладке Route redistribution настройте перераспределения анонсируемых маршрутов (доступно в версии 7.3.0 и выше) из других протоколов в OSPF. Укажите следующие параметры:
Connected (маршруты в непосредственно подключенные к NGFW сети);
RIP;
BGP.
Укажите для каждого выбранного протокола OSPF-метрику (0–16777214).
При необходимости фильтрации анонсируемых маршрутов из других протоколов, укажите для каждого выбранного протокола список route map.
Параметр Всегда отправлять маршрут по умолчанию позволяет анонсировать маршрут 0.0.0.0/0 даже при отсутствии его в таблице маршрутизации.
BGP
BGP (Border Gateway Protocol) — это динамический протокол внешней маршрутизации класса Exterior Gateway Protocol (EGP). На сегодняшний день это основной протокол динамической маршрутизации, обеспечивающий работу интернета.
BGP предназначен для обмена информацией о достижимости подсетей между автономными системами (АС) — группами маршрутизаторов, находящихся под единым техническим и административным управлением. Если внутри автономной системы маршрутизаторы обмениваются маршрутной информацией с помощью протоколов внутридоменной маршрутизации (interior gateway protocol, IGP), то для передачи данных в другие АС используется междоменная маршрутизация на базе BGP.
Передаваемая маршрутная информация содержит список автономных систем, через которые можно достичь той или иной подсети. Выбор оптимального маршрута осуществляется на основе настраиваемых правил и политик, принятых в конкретной сети.
Маршруты, полученные по BGP, добавляются в таблицу маршрутизации виртуального маршрутизатора, в котором работает данный экземпляр BGP.
Для настройки BGP в UserGate NGFW:
1. В разделе Настройки ➜ Сеть ➜ Виртуальные маршрутизаторы выберите виртуальный маршрутизатор.
2. В свойствах виртуального маршрутизатора в выпадающем списке выберите BGP.
3. Для начала настройки параметров BGP установите флажок Включено и укажите идентификатор маршрутизатора в формате IP-адреса. Обычно в качестве идентификатора указывается IP-адрес, назначенный одному из сетевых интерфейсов UserGate NGFW, относящихся к выбранному виртуальному маршрутизатору.
4. Укажите номер автономной системы. Автономная система — это группа сетей и маршрутизаторов, управляемых одним или несколькими операторами, имеющими единую политику маршрутизации. Номер автономной системы указывает на принадлежность маршрутизатора к этой системе.
5. Укажите, какие маршруты будут передаваться в другие BGP-маршрутизаторы в порядке перераспределения (redistribution):
connected — маршруты в сети, непосредственно подключенные к этому узлу;
kernel — статические маршруты, добавленные администратором для выбранного виртуального маршрутизатора;
ospf — маршруты, полученные по протоколу OSPF.
6. Если необходимо разрешить использование нескольких равнозначных маршрутов одновременно, установите флажок Multiple path.
7. При необходимости активируйте механизм BGP Graceful Restart (GR) — доступен в версии 7.5.1 и выше. Механизм позволяет перезапустить процесс BGP на маршрутизаторе без мгновенного прерывания маршрутизации. Если режим GR согласован с соседними устройствами, массового удаления маршрутов и потери трафика во время перезапуска не происходит.
Согласование режима Graceful Restart выполняется непосредственно в момент установления BGP-сессии между соседними устройствами.
Чтобы настроить механизм BGP GR:
На вкладке BGP-маршрутизатор включите механизм Graceful Restart.
Настройте параметры работы механизма.
Параметр
Описание
Включен Graceful Restart
Включение и отключение работы механизма BGP Graceful Restart на виртуальном маршрутизаторе.
При активации параметра механизм применяется ко всем BGP-соседям по умолчанию. Механизм можно отключить для любого BGP-соседа в параметрах соответствующего соседа
Время хранения устаревших маршрутов в FIB
Время, в течение которого перезапускающийся маршрутизатор будет продолжать физически пересылать пакеты, используя старую информацию о маршрутах в таблице пересылки (Forwarding Information Base, FIB), пока BGP-процесс еще не восстановился.
Возможные значения: 0–4095 сек
Время хранения устаревших маршрутов в RIB
Время, в течение которого принимающий узел будет хранить маршруты, помеченные как устаревшие (stale), в своей таблице маршрутизации (Routing Information Base, RIB).
Возможные значения: 0–3600 сек
Время ожидания BGP-соседа
Время (restart time), в течение которого принимающий узел ожидает восстановления BGP-сессии от перезапускающегося соседа.
Возможные значения: 0–4095 сек
Время отсрочки выбора лучшего маршрута
Время, в течение которого перезапускающийся узел откладывает выполнение процедуры выбора лучшего маршрута (Best Path Selection), ожидая восстановления информации от всех соседей. Параметр позволяет уменьшить количество перерасчетов маршрутов.
Возможные значения: 0–3600 сек
Поддержка сообщения Notification
Параметр определяет, применять ли механизм Graceful Restart после аварийного завершения BGP-сессии и получения сообщения Notification.
Позволяет сохранить маршрутизацию даже после возникновения определенных типов ошибок, если обе стороны поддерживают такую функцию
Пересылать пакеты во время рестарта BGP
При включенном параметре перезапускающийся узел информирует соседей о возможности продолжать пересылку трафика, используя существующую таблицу FIB, пока BGP-процесс перезапускается
8. На вкладке Сети добавьте сети, относящиеся к выбранной автономной системе, которые необходимо анонсировать по BGP.
ПримечаниеЕсли на вкладке «Сети» добавить сети, которых нет в таблице маршрутизации, они не будут анонсироваться.
9. На вкладке Routemaps нажмите Добавить и настройте параметры карты маршрутов (route map) для фильтрации получаемых маршрутов. Карта маршрутов позволяет фильтровать маршруты при перераспределении и изменять различные атрибуты маршрутов.
Параметр
Описание
Название
Название карты маршрутов (не может содержать символы кириллицы)
Действие
Устанавливает действие для этого route map:
Разрешить — разрешает обработку маршрутов, отвечающих условиям карты маршрутов.
Запретить — запрещает обработку маршрутов, не отвечающих условиям карты маршрутов
Сравнивать по
Условия применения route map:
IP. Если выбрано это условие, на вкладке IP-адреса добавьте все необходимые для него IP-адреса.
AS-путь. Если выбрано это условие, на вкладке AS-путь добавьте все необходимые для него номера автономных сетей. Допускается указывать регулярные выражения формата POSIX 1003.2, а также дополнительный символ подчеркивания «_», который может интерпретироваться как:
пробел;
запятая;
начало строки;
конец строки;
разделители AS set — { };
разделители AS confederation — ( ).
Community. Если выбрано это условие, на вкладке Community добавьте строки всех необходимых для него BGP-community
Установить next hop
Позволяет установить для отфильтрованных маршрутов IP-адрес для next hop
Установить вес
Позволяет установить вес для отфильтрованных маршрутов
Установить метрику
Позволяет установить метрику для отфильтрованных маршрутов
Установить предпочтение
Позволяет установить предпочтение для отфильтрованных маршрутов
Установить AS-prepend
Принудительное добавление собственного номера АС в начало пути анонсируемого маршрута. Используется как техника влияния на выбор пути
Установить сommunity
Позволяет заменить содержимое атрибута community для отфильтрованных маршрутов на указанное значение
Добавлять community
Позволяет добавить к содержимому атрибута community для отфильтрованных маршрутов значение, указанное в параметре Установить cmmunity
10. На вкладке Фильтры нажмите Добавить и настройте параметры фильтрации при перераспределении маршрутов.
Параметр
Описание
Название
Название фильтра
Действие
Устанавливает действие для фильтра:
Разрешить — разрешает прохождение данных, отвечающих условиям фильтра.
Запретить — запрещает прохождение данных, не отвечающих условиям фильтра
Фильтровать по
Условия применения фильтра:
IP. Если выбрано это условие, на вкладке IP-адреса добавьте IP-адреса для этого условия. Адреса могут быть указаны в следующих форматах:
10.0.0.0/8 — только сеть 10.0.0.0/8.
10.0.0.0/8::11 — маршруты, у которых первый октет равен 10, а префикс — от 8 до 11.
10.0.0.0/8:11:13 — маршруты, у которых первый октет равен 10, а префикс от 11 до 13.
AS-путь. Если выбрано это условие, на вкладке AS-путь добавьте номера автономных систем для этого условия
11. На вкладке BGP-соседи нажмите Добавить и настройте параметры маршрутизаторов, относящихся к соседней АС.
Параметр
Описание
Вкладка Общие
Включено
Включение или отключение использования BGP-соседа
Host
IP-адрес BGP-соседа
Описание
Произвольное описание BGP-соседа
Удаленная ASN
Номер автономной системы, к которой относится BGP-сосед
Вес
Вес маршрутов, получаемых от этого BGP-соседа
TTL
Максимальное количество переходов (hop), разрешенное до этого BGP-соседа
Профиль BFD
Позволяет настроить с помощью профиля BFD мониторинг BGP для возможности более быстрого обнаружения неисправностей соединений.
Allowas-in (allow autonomous system in) — параметр, который разрешает маршрутизатору принимать BGP-маршруты, даже если в пути (AS-Path) этих маршрутов присутствует номер его собственной автономной системы (AS).
По умолчанию такие маршруты отбрасываются механизмом предотвращения петель.
Примеры сценариев, когда маршрут может содержать собственную локальную АС:
резервирование через сеть одного провайдера;
объединение нескольких офисов с одной АС.
Параметр Cnt устанавливает максимально допустимое количество вхождений своей АС в пути
Альтернативный номер локальной АС
Функция добавления альтернативного номера АС виртуального маршрутизатора для анонсирования выбранному внешнему BGP-соседу. Доступна в версии 7.5.1 и выше.
Альтернативный номер АС будет добавляться в начало пути анонсируемого маршрута перед реальным номером АС.
Функция имеет две дополнительные опции:
Не добавлять альтернативный номер локальной АС — альтернативный номер АС настроен на локальном маршрутизаторе, но он не будет добавляться в начало AS Path при формировании анонсируемых этому соседу маршрутов.
Заменить на альтернативный номер локальной АС — альтернативный номер АС заменит реальный номер АС при формировании анонсируемых этому соседу маршрутов
Удалять приватные номера АС в исходящих обновлениях
Функция удаления номеров частных АС из атрибута AS-Path перед тем, как анонсировать маршрут внешнему BGP-соседу. Доступна в версии 7.5.1 и выше.
При включении функции из списка автономных систем в атрибуте AS-Path удаляются только последовательные номера частных АС, находящиеся в конце AS-Path, непосредственно перед локальным АС. Если в пути встречается публичный номер АС, удаление прекращается.
Функция имеет две дополнительные опции:
Удалять приватные номера АС из смешанных AS-Path — если в анонсируемом маршруте путь состоит одновременно из частных и публичных номеров АС, при включении опции из атрибута AS-Path будут удалены все номера частных АС.
Заменять приватные номера АС номером локальной АС — при включении опции номера частных АС в атрибуте AS-Path будут заменены на номер локальной АС виртуального маршрутизатора
Анонсировать себя в качестве next-hop для BGP
Позволяет заменять значение next-hop на собственный IP-адрес
Multihop для eBPGP
Разрешает устанавливать BGP-сессию с внешним соседом, путь до которого больше одного перехода (hop)
Route reflector client
Указывает, является ли этот BGP-сосед клиентом Route reflector
Soft reconfiguration
Позволяет использовать функцию обновления маршрутной информации от BGP-соседа без полного разрыва сессии
Default originate
Активирует анонсирование BGP-соседу маршрута по умолчанию
Send community
Разрешает передавать этому BGP-соседу атрибут BGP Community вместе с анонсируемыми маршрутами
Выключен Graceful Restart
Отключает механизм плавного восстановления BGP-соединения для конкретного соседа, даже если в параметрах BGP виртуального маршрутизатора эта функция включена. Параметр доступен в версии 7.5.1 и выше
Вкладка Аутентификация
Аутентификация
Включение механизма аутентификации для BGP-соседа и назначение пароля
Вкладка Фильтры BGP-соседей
Фильтры BGP-соседей
Выбор ранее созданных при настройке BGP фильтров для ограничения информации о маршрутах, получаемых от BGP-соседа или маршрутов, анонсируемых BGP-соседу
Вкладка Routemaps
Routemaps
Выбор ранее созданных при настройке BGP карт маршрутов (route maps) для управления таблицами маршрутов и указания условий, при выполнении которых маршруты передаются между доменами
Важно!Согласно требованиям RFC-8212 для каждого внешнего BGP-соседа необходимо указать входящие и исходящие фильтры. Без входящих фильтров маршрутизатор не будет принимать маршруты от BGP-соседа. При отсутствии исходящих фильтров маршрутизатор не будет анонсировать маршруты для BGP-соседа.
Если интерфейс UserGate NGFW, через который устанавливается BGP-соединение с соседом, имеет несколько IP-адресов и отсутствует правило NAT, принудительно задающее адрес источника для этого BGP-соединения, то в настройках BGP-соседа необходимо указать основной (primary) IP-адрес интерфейса. Основным считается IP-адрес, который расположен первым в списке адресов интерфейса.
RIP (Routing Information Protocol) — протокол дистанционно-векторной маршрутизации, который использует параметр hop (переход) в качестве метрики маршрутизации.
Маршруты добавляются только в тот виртуальный маршрутизатор, в котором настроен протокол RIP.
Для настройки RIP в UserGate NGFW:
1. В разделе Настройки ➜ Сеть ➜ Виртуальные маршрутизаторы выберите виртуальный маршрутизатор.
2. В свойствах виртуального маршрутизатора в выпадающем списке выберите RIP и установите флажок Включено.
3. Настройте параметры протокола RIP:
Версия RIP — определяет версию протокола RIP. Как правило используется версия 2.
Метрика по умолчанию — целочисленное значение в интервале от 1 до 15. Обычно значение метрики по умолчанию равно 1.
Административное расстояние — стоимость маршрутов, полученных с помощью протокола RIP. Значение по умолчанию для протокола RIP — 120. Используется для выбора маршрутов при наличии нескольких способов получения маршрутов (OSPF, BGP, статические).
Отправлять себя в качестве маршрута по умолчанию — оповещать другие маршрутизаторы о том, что этот маршрутизатор имеет маршрут по умолчанию.
4. Маршрутизатор RIP будет отправлять обновления маршрутной информации только с интерфейсов, для которых заданы сети RIP. На вкладке Сети RIP укажите как минимум одну сеть для корректной работы протокола. При настройке сетей RIP администратор может указать сеть в виде CIDR, например 192.168.1.0/24, либо указать сетевой интерфейс, с которого будут отправляться обновления.
5. На вкладке Интерфейсы добавьте интерфейсы, на которых будет работать RIP.
Параметр
Описание
Интерфейс
Выберите интерфейс, который будет использоваться для работы протокола RIP. Для выбора доступны только те интерфейсы, которые входят в выбранный виртуальный маршрутизатор
Посылать версию
Версия протокола RIP, с которой будет работать маршрутизатор при отправке сообщений
Принимать версию
Версия протокола RIP, в соответствии с которой маршрутизатор будет принимать сообщения
Пароль
Строка для авторизации, которая будет отправляться и приниматься в пакетах RIP. Все маршрутизаторы, участвующие в обмене информации по протоколу RIP, должны иметь одинаковый пароль
Split horizon
Метод предотвращения петель маршрутизации, при котором маршрутизатор не распространяет информацию о сети через интерфейс, на который пришло обновление
Poison reverse
Метод предотвращения петель маршрутизации, при котором маршрутизатор устанавливает стоимость маршрута, равную 16, и отсылает маршрут соседу, от которого его получил
Пассивный режим
Устанавливает режим работы интерфейса, при котором он принимает обновления RIP, но не отсылает их
6. Параметры редистрибуции маршрутов позволяют указать, какие из маршрутов необходимо отправлять соседям. Вы можете задать для редистрибуции маршруты, полученные через протоколы динамической маршрутизации OSPF, BGP, а также статические маршруты в непосредственно подключенные к UserGate NGFW сети (connected) или маршруты, добавленные администратором в разделе Маршруты (kernel).
Мультикастинг
Технология IP-мультикастинга позволяет существенно сократить передаваемый объем трафика, доставляя единый поток информации одновременно множеству потребителей. Применение этой технологии особенно эффективно для доставки голосового и видеотрафика. Традиционные методы доставки трафика — это юникаст (доставка от точки к точке) и бродкаст (широковещательная посылка трафика). Мультикаст-метод позволяет доставить трафик группе узлов (мультикаст-группа). Узлы (получатели), которые хотят получать этот трафик, должны присоединиться к соответствующей мультикаст-группе. Для присоединения узлов к мультикаст-группе используется протокол Internet Group Management Protocol (IGMP). Мультикаст-группа идентифицируется с помощью группового адреса. Для мультикастовых адресов выделена подсеть класса D со следующим диапазоном адресов для трансляций: 224.0.0.0 — 239.255.255.255.
Маршрутизаторы должны обеспечить эффективную доставку трафика от источника трансляции к получателям. Для достижения этой цели используется протокол Protocol Independent Multicast (PIM).
Маршрутизаторы в мультикастинговой среде могут иметь следующие роли:
First Hop Router (FHR). FHR находится ближе всего к источнику трансляции и отвечает за регистрацию источника трансляции в сети.
Rendezvous Point (RP). RP является каталогом доступных мультикаст-источников для режима Any Source Multicast (ASM).
Last Hop Router (LHR). LHR находится ближе всего к получателю мультикаст-трансляции. Клиенты (получатели мультикаст-трафика) в локальных сетях, подключенных к LHR, используют протокол IGMP для регистрации себя в необходимой мультикаст-группе посредством отправки сообщений IGMP membership report.
UserGate NGFW поддерживает работу только в качестве LHR для локальных сетей, подключенных к нему. Для регистрации клиентов (получателей мультикаст-трафика) поддерживаются протоколы IGMPv2 и IGMPv3.
Для взаимодействия с другими мультикаст-маршрутизаторами UserGate NGFW может использовать только режим работы PIM Sparse Mode (PIM-SM). Это режим, в котором мультикаст-трафик отсылается только на те приемники, которые его явно запросили. Приемники должны периодически подтверждать необходимость получать мультикаст-трафик.
UserGate NGFW поддерживает режимы работы Source Specific Multicast (SSM) и Any Source Multicast (ASM).
Режим работы SSM используется, когда приемник трафика явно указывает известный ему адрес источника трансляции. В таком режиме используется следующая адресация:
rtp://<src_ip>@<group_address>:<port>, где src_ip — адрес источника трансляции, group_address — мультикастовый групповой адрес, port — порт. Например, rtp://10.10.10.10@239.0.0.5:4344
В режиме работы ASM приемник трансляции указывает мультикаст-группу, от которой он будет получать трансляцию. Для работы режима необходимо наличие маршрутизатора с ролью RP. RP определяет источник трансляции для группы приемника. Далее источник и приемник выбирают лучший сетевой путь для пересылки мультикаст-трафика. В этом режиме используется следующая адресация:
rtp://@<group_address>:<port>, где group_address — мультикастовый групповой адрес, port — порт. Например, rtp://@239.0.0.5:4344
Для настройки работы UserGate NGFW в качестве LHR мультикаст-маршрутизатора:
1. В разделе Настройки ➜ Сеть ➜ Виртуальные маршрутизаторы выберите виртуальный маршрутизатор.
2. В свойствах виртуального маршрутизатора в выпадающем списке выберите Мультикаст-маршрутизатор и установите флажок Включено.
3. Настройте общие параметры мультикастинга:
Использовать ECMP — распределение трафика по нескольким маршрутам по технологии Equal Cost Multi Path (ECMP). Требуется наличие нескольких маршрутов до необходимого сетевого узла. Если эта опция отключена, то весь трафик на определенный узел назначения будет пересылаться только через один из маршрутизаторов (next hop).
Использовать ECMP rebalance — если при включенной опции один из интерфейсов, через который отсылался трафик, отключился, все существующие потоки будут перераспределены между оставшимися маршрутами (next hop). При отключенной опции перераспределяются только те потоки, которые передавались через отключенный интерфейс.
JOIN/PRUNE интервал — интервал в секундах для отправки сообщений PIM JOIN и PIM PRUNE для управления потоком мультикаст-трафика.
Интервал register suppress — таймер в секундах, который временно запрещает маршрутизатору-источнику инкапсулировать мультикаст-трафик в пакеты PIM Register.
Keep-alive-таймер — интервал в секундах (31–60 000), через который маршрутизатор будет посылать сообщения keepalive соседям. Это же значение интервала используется маршрутизатором для принятия решения о недоступности соседа.
4. На вкладке Интерфейсы настройте параметры интерфейсов, на которых будет работать мультикастинг.
Параметр
Описание
Включено
Включение или отключение использования интерфейса для мультикастинга
Интерфейс
Интерфейс, который будет использоваться для работы мультикастинга. Для выбора доступны только те интерфейсы, которые входят в выбранный виртуальный маршрутизатор
Интервал отправки HELLO-сообщений
Интервал отправки PIM HELLO-сообщений в секундах (1–180). PIM Hello-сообщения отправляются периодически со всех интерфейсов, для которых включена поддержка мультикастинга. С помощью этих сообщений маршрутизатор узнает о соседних маршрутизаторах, поддерживающих мультикастинг
Приоритет выбора DR
Приоритет при выборе маршрутизатора-источника (Designated router, DR) — значение от 1 до 4294967295, с помощью которого администратор может управлять процессом выбора DR для локальной сети
Принимать IGMP
Принимать сообщения IGMP report и IGMP query на этом интерфейсе
Использовать IGMPv2
Использовать IGMPv2, по умолчанию используется IGMPv3
Профиль BFD
Определяет значения параметров протокола BFD для мониторинга. Позволяет соответствующим событиям подключения сеанса BFD мгновенно обновлять статус интерфейса.
5. На вкладке Rendezvous points укажите адреса RP для режима ASM.
Параметр
Описание
Включено
Включение или отключение RP
Название
Название RP
IP-адрес
IP-адрес RP
Разрешенные группы ASM
Список разрешенных групповых адресов для отправки any source multicast (ASM) с данного RP. Любые сети из диапазона 224.0.0.0/4. Если ничего не задано, ограничений нет
6. Если необходимо, на вкладке Разрешенные группы SSM установите необходимые ограничения на доступные мультикаст-группы для режима SSM. Укажите список разрешенных групповых адресов для SSM. Могут быть указаны любые сети из диапазона 232.0.0.0/8. Если ничего не задано, ограничений нет.
7. Если необходимо, на вкладке Исключения из SPT укажите список IPv4 мультикаст-групп, исключенных из переключения на Shortest Path Tree (SPT).
