Особенности фильтрации маршрутов - История изменений

imported>Artem: /* Особенности использования extended ACL в distribute-list и route-map */

2014-05-17T11:07:25Z

‎Особенности использования extended ACL в distribute-list и route-map

imported>Artem в 17:46, 3 мая 2014

2014-05-03T17:46:47Z

imported>Artem в 17:46, 3 мая 2014

2014-05-03T17:46:19Z

imported>Artem в 17:46, 3 мая 2014

2014-05-03T17:46:03Z

imported>Artem в 16:51, 3 мая 2014

2014-05-03T16:51:09Z

imported>Artem в 16:34, 3 мая 2014

2014-05-03T16:34:43Z

imported>Artem в 16:22, 3 мая 2014

2014-05-03T16:22:16Z

imported>Artem в 16:22, 3 мая 2014

2014-05-03T16:22:03Z

imported>Artem: Новая страница: « ==Ссылки== [http://blog.internetworkexpert.com/2008/01/04/using-extended-access-lists-in-a-distribute-list/ Using Extended Access-Lists In A Distribute...»

2014-05-03T16:20:40Z

Новая страница: « ==Ссылки== [http://blog.internetworkexpert.com/2008/01/04/using-extended-access-lists-in-a-distribute-list/ Using Extended Access-Lists In A Distribute...»

Новая страница

==Ссылки==

[http://blog.internetworkexpert.com/2008/01/04/using-extended-access-lists-in-a-distribute-list/ Using Extended Access-Lists In A Distribute-List]

@@ Строка 18: / Строка 18: @@
   route-map OSPF_TO_RIP permit 10
-   match ip address 100
+   match ip address 101
+  !
   router rip
@@ Строка 94: / Строка 94: @@
 *for redistribution betwen 2 IGPs
 *for a “distribute-list ROUTE_MAP in” for BGP
 ==Ссылки==
 [http://blog.internetworkexpert.com/2008/01/04/using-extended-access-lists-in-a-distribute-list/ Using Extended Access-Lists In A Distribute-List]

← Предыдущая		Версия 17:46, 3 мая 2014
Строка 1:		Строка 1:
−	==Особенности использования extended ACL в distribute-list==	+	==Особенности использования extended ACL в distribute-list и route-map==
	Возможно использование extended access-list c distribute-list, однако, синтаксис может немного смутить, так как он отличается от использования в других местах (например, фильтрации пакетов). Когда extended ACL используется в distribute-list для BGP он работает в точности как prefix-list. Это значит, что вы можете искать совпадения как по адресу, так и по префиксу маски. Другими словами, если у вас есть префиксы 10.0.0.0/8 и 10.0.0.0/16 в можете задать правило, что не просто сеть должна быть 10.0.0.0, но и маска иметь определённый вид. Для prefix-list это выглядело бы, например, так		Возможно использование extended access-list c distribute-list, однако, синтаксис может немного смутить, так как он отличается от использования в других местах (например, фильтрации пакетов). Когда extended ACL используется в distribute-list для BGP он работает в точности как prefix-list. Это значит, что вы можете искать совпадения как по адресу, так и по префиксу маски. Другими словами, если у вас есть префиксы 10.0.0.0/8 и 10.0.0.0/16 в можете задать правило, что не просто сеть должна быть 10.0.0.0, но и маска иметь определённый вид. Для prefix-list это выглядело бы, например, так

@@ Строка 85: / Строка 85: @@
 **destination
 *2. Аналогично префикс листу
-*address
+**address
-*mask
+**mask
 *3. От кого и что
 **Проверяем, кто анонсировал

← Предыдущая		Версия 17:46, 3 мая 2014
Строка 80:		Строка 80:
	The disadvantage of this application however is that we cannot distinguish prefixes based on their netmask. For example we could not say that we want to receive prefix 172.16.0.0/16 from only R1 and prefix 172.16.0.0/24 only from R2. For this implementation in IGP we would use a prefix-list that is called from a distribute-list with the “distribute-list prefix” syntax under the routing process.		The disadvantage of this application however is that we cannot distinguish prefixes based on their netmask. For example we could not say that we want to receive prefix 172.16.0.0/16 from only R1 and prefix 172.16.0.0/24 only from R2. For this implementation in IGP we would use a prefix-list that is called from a distribute-list with the “distribute-list prefix” syntax under the routing process.

		+	Итак, подводя итог можно сказать следующее:
		+	*1. Нормальная интерпретация ACL:
		+	**source
		+	**destination
		+	*2. Аналогично префикс листу
		+	*address
		+	*mask
		+	*3. От кого и что
		+	**Проверяем, кто анонсировал
		+	**Что за сеть
		+
		+	Интерпретация №2 используется в route-map:
		+	*for redistribution betwen 2 IGPs
		+	*for a “distribute-list ROUTE_MAP in” for BGP

@@ Строка 15: / Строка 15: @@
 выражение означает, что адрес должен начинаться с “192.168”, а маска быть /24. Т.е. совпали сети 192.168.0.0/24, 192.168.100.0/24, 192.168.200.0/24, etc.
-This extended access-list syntax can also be used in a route-map for redistribution filtering in both IGP and BGP. For example if we took the previous access-list 101 and matched it in a route-map as follows:
+ route-map OSPF_TO_RIP permit 10
-route-map OSPF_TO_RIP permit 10
+Результатом будет перераспределение маршрутов из OSPF в RIP, но только тех, что вида 192.168.X.X/24.
- match ip address 100
+При использовании extended access-list в distribute-list в IGP может возникнуть путаницу из-за того, что синтаксис ACL меняется. В предыдущем примере нормальное поле “source” в ACL представляло network address, а “destination” - subnet mask. В IGP distribute-list “source” поле в ACL совпадает с адресом источника обновления (update source of the route), а “destination” - network address. Такое использование ACL позволяет нам контролировать сети, которые мы получаем, но, что более важно, что мы может контролировать и от кого мы их получаем. Приведу в пример топологию:
 R1, R2, and R3 share an Ethernet network 123.0.0.0/8 that is running RIP. Both R1 and R2 are advertising the identical prefixes 10.0.0.0/8 and 20.0.0.0/8 to R3. Their configurations are as follows:
-R1#show ip int brief | exclude unassigned
+ R1#show ip int brief | exclude unassigned
-−
-Interface                  IP-Address      OK? Method Status Protocol
+ Interface                  IP-Address      OK? Method Status Protocol
-FastEthernet0/0            123.0.0.1       YES manual up     up
+ FastEthernet0/0            123.0.0.1       YES manual up     up
-Loopback0                  10.0.0.1        YES manual up     up
+ Loopback0                  10.0.0.1        YES manual up     up
-Loopback1                  20.0.0.2        YES manual up     up
+ Loopback1                  20.0.0.2        YES manual up     up
-Interface                  IP-Address      OK? Method Status Protocol
+ R1#show run | begin router rip
-FastEthernet0/0            123.0.0.2       YES manual up     up
+ router rip
-Loopback0                  10.0.0.1        YES manual up     up
+  version 2
-Loopback1                  20.0.0.2        YES manual up     up
+  network 10.0.0.0
-R2#sh run | begin router rip
+ R2# show ip int brief | exclude unassigned
-router rip
-  version 2
+  Interface                  IP-Address      OK? Method Status Protocol
-  network 10.0.0.0
+  FastEthernet0/0            123.0.0.2       YES manual up     up
-  network 20.0.0.0
+  Loopback0                  10.0.0.1        YES manual up     up
-  network 123.0.0.0
+  Loopback1                  20.0.0.2        YES manual up     up
-R3#show ip route rip
+ R2#sh run | begin router rip
-R    20.0.0.0/8 [120/1] via 123.0.0.2, 00:00:00, Ethernet0/0
+ router rip
-                [120/1] via 123.0.0.1, 00:00:00, Ethernet0/0
+  version 2
-R    10.0.0.0/8 [120/1] via 123.0.0.2, 00:00:00, Ethernet0/0
+    network 10.0.0.0
-                [120/1] via 123.0.0.1, 00:00:00, Ethernet0/0
+  network 20.0.0.0
-From this output we can see that R3 has the two prefixes installed twice, once from R1 and once from R2. Now let’s suppose that prefix 10.0.0.0/8 we only want to receive from R1, while prefix 20.0.0.0/8 we only want to receive from R2. We can accomplish this with an extended access-list as follows:
+ R3#show ip route rip
-R3#conf t
+Из этого вывода видно, что у R3 оба префикса присутствуют дважды, по одной записи для R1 и R2. Теперь представим, что мы хотим получать префикс 10.0.0.0/8 только от R1, а 20.0.0.0/8 от R2. Делаем следующую конфигурацию ACL
-R3(config)#access-list 100 permit ip host 123.0.0.1 host 10.0.0.0
+ R3#conf t
-R3(config)#access-list 100 permit ip host 123.0.0.2 host 20.0.0.0
+ Enter configuration commands, one per line.  End with CNTL/Z.
 R3(config)#router rip
-R3(config-router)#distribute-list 100 in Ethernet0/0
+ R3(config)#access-list 100 permit ip host 123.0.0.1 host 10.0.0.0
-R3(config-router)#end
+ R3(config)#access-list 100 permit ip host 123.0.0.2 host 20.0.0.0
-R3#clear ip route *
+ R3(config)#router rip
-R3#show ip route rip
+ R3(config-router)#distribute-list 100 in Ethernet0/0
-R    20.0.0.0/8 [120/1] via 123.0.0.2, 00:00:00, Ethernet0/0
+ R3(config-router)#end
-R    10.0.0.0/8 [120/1] via 123.0.0.1, 00:00:00, Ethernet0/0
+ R3#clear ip route *
-We can see now R3 only has one entry for each prefix, with the 10.0.0.0/8 coming only from R1 and the 20.0.0.0/8 coming only from R2. The disadvantage of this application however is that we cannot distinguish prefixes based on their netmask. For example we could not say that we want to receive prefix 172.16.0.0/16 from only R1 and prefix 172.16.0.0/24 only from R2. For this implementation in IGP we would use a prefix-list that is called from a distribute-list with the “distribute-list prefix” syntax under the routing process.
+Теперь видно, что R3 имеет по одной записи для каждого из префиксов так, как нужно по условию задачи.

@@ Строка 1: / Строка 1: @@
 ==Особенности использования extended ACL в distribute-list==
-Using an extended access-list with a distribute-list is supported, however the syntax can be a little confusing because it means different things for different applications. When using an extended ACL for a distribute-list in BGP it acts like a prefix-list. This means that you can match on both the address of the prefix and the subnet mask. In other words if you have prefixes 10.0.0.0/8 and 10.0.0.0/16 you can distinguish between them by saying not only must the address be 10.0.0.0 but the subnet mask must be /8. In prefix-list syntax this is very straightforward, as to match this prefix we would use the following:
+Если использовать extended access-list в BGP, следует обратить внимание, что синтаксис листа меняется с совпадения пары '''source''' и '''destination''' (ip access-list NUM permit ip <source> <source mask> <dst> <dst mask>) на совпадение адреса и маски маршрута. Аналогичный ext ACL для префикса выше выглядел бы так
-ip prefix-list PREFIX1 permit 10.0.0.0/8
+ access-list 100 permit ip host 10.0.0.0 host 255.0.0.0
-When using an extended access-list in BGP the syntax of the list changes in that we are not matching source and destination pairs, but instead are matching the address and netmask. In extended ACL syntax the above prefix-list would read:
+Данное выражение означает буквально следующее: сеть должна быть в точности 10.0.0.0,  маска в точности 255.0.0.0.
-access-list 100 permit ip host 10.0.0.0 host 255.0.0.0
+ access-list 101 permit ip 192.168.0.0 0.0.255.255 host 255.255.255.0
 This extended access-list syntax can also be used in a route-map for redistribution filtering in both IGP and BGP. For example if we took the previous access-list 101 and matched it in a route-map as follows:

← Предыдущая		Версия 16:22, 3 мая 2014
Строка 1:		Строка 1:
−	==Особенности использования extended ACL в distribute-list	+	==Особенности использования extended ACL в distribute-list==