Auteur Sujet: 13 octobre 2021: OVH totalement inaccessible en IPv4 (ok en IPv6)  (Lu 13950 fois)

0 Membres et 2 Invités sur ce sujet

Hugues

  • AS2027 MilkyWan
  • Modérateur
  • *
  • Messages: 12 440
  • Lyon (69) / St-Bernard (01)
    • Twitter
13 octobre 2021: OVH totalement inaccessible en IPv4 (ok en IPv6)
« Réponse #60 le: 14 octobre 2021 à 18:00:49 »
OSPF pour les routes internes, BGP pour les routes avec les AS externes. C'est juste un backbone MPLS classique en fait. Rien de crade

Heu non, tu mets pas toutes tes routes internes dans ton OSPF, personne de censé ne fait ça. Tu imagines la gueule d'un ospf avec 10000+ routes ?
Non, tu mets uniquement les loopbacks de tes routeurs, et encore, tu fais des Area et tu agrège en bordure. Moins un OSPF a de routes et de chemins dans la même aire, plus il est rapide en cas de coupure.
Et dans tous les cas, même avec les routes "internes" redistribuées, tu ne les apprends pas depuis BGP. Donc aucune raison d'avoir un "redistribute bgp" actif sur ospf.


Et oui une route default mal poussée peut te planter un réseau car diffusée à l'ensemble des routeurs via les RR (route reflector). La question que je me pose est : existe t-il des mécanismes à mettre en place au niveau des RR afin d'éviter qu'une route default puisse être poussée avec une telle priorité ? Je pense que oui, et qu'ils n'ont pas été mis en place.
Rien à voir avec les RR, une default apprise en BGP a été redistribuée dans OSPF, elle a donc été préférée.

Le vrai truc inquiétant, c'est l'Area0 propagée partout dans le monde.

thenico

  • Expert.
  • Abonné OVH
  • *
  • Messages: 1 009
  • FTTH >500 Mb/s (13)
13 octobre 2021: OVH totalement inaccessible en IPv4 (ok en IPv6)
« Réponse #61 le: 14 octobre 2021 à 18:43:28 »
Redistribué BGP dans OSPF est une pratique à risque.
Une erreur de route-map et ton réseau tombe avec une longue procédure de recuperation.

Mais bon, les mauvaises pratiques chez OVH, c'est historique

Tarkok

  • Abonné Orange Fibre
  • *
  • Messages: 209
  • Dunkerque (59)
13 octobre 2021: OVH totalement inaccessible en IPv4 (ok en IPv6)
« Réponse #62 le: 14 octobre 2021 à 18:52:49 »
Quand je parlais des routes internes, je parlais pas des routes interne au routeur mais des routes internes à l'AS. Je sais pas si on s'est bien compris à ce niveau.

Le truc c'est qu'avec MPLS tu as un réseau IP qui encapsule un autre réseau (qui peut être IP, ou on peut même encapsuler des trames Ethernet en IP, ça fait les offres Lan to Lan des opérateurs).

Ils peuvent très bien décider dans leur construction MPLS de caser leur trafic Internet dans un réseau MPLS (je pars de cette hypothèse parce que sinon j'arrive pas à expliquer l'incident). ça donnerait donc des routeurs qui communiquent entre eux sur un réseau étanche d'Internet, qui se partagent des routes vers tous les autres routeurs du backbone en OSPF en mode "any-to-any". Au dessus de ça on a un MPLS Internet, des routes partagés en BGP (via des RR on espère !).

OSPF en mode "any-to-any" permettant ainsi de ne pas configurer des tables de routage statiques sur l'ensemble des routeurs du réseau pour joindre les RR.

En gros là on a :

Les routes externes qui sont annoncés via BGP, les routes internes (ce qu'ils appellent OVHcloud IGP) via OSPF - avec donc un nombre de route OSPF environ inférieur ou égale dans le pire des cas au nombre de routeur du backbone, c'est à dire sensiblement moins que 10 000.

Un peer BGP (un transitaire) qui leur balance une full view.

Une route-map qui n'a pas le nom attendu dans sa définition et de ce fait qui n'est appliquée.

Le comportement par défaut sur un peer OSPF serait donc de balancer toute la table de routage à son voisin ? Je me trompe ? A priori non, merci @thenico pour le lien !

Mais sur un gros réseau MPLS, pour les raisons vu plus haut, on peut difficilement faire mieux que de de l'OSPF. Reste plus qu'à régler la max-lsa limits, comme le recommande l'article envoyé par @thenico. A priori la feature est dispo sur Cisco ou Juniper.

thenico

  • Expert.
  • Abonné OVH
  • *
  • Messages: 1 009
  • FTTH >500 Mb/s (13)
13 octobre 2021: OVH totalement inaccessible en IPv4 (ok en IPv6)
« Réponse #63 le: 14 octobre 2021 à 18:58:09 »
On peut faire de l'IS-IS à la place d'OSPF.

Tarkok

  • Abonné Orange Fibre
  • *
  • Messages: 209
  • Dunkerque (59)
13 octobre 2021: OVH totalement inaccessible en IPv4 (ok en IPv6)
« Réponse #64 le: 14 octobre 2021 à 19:02:57 »
Un peu les memes problématiques qu'en OSPF si je comprends bien le mécanisme, à part que la conf par défaut de Cisco semble être plus adaptée à un réseau grande échelle. Je sais pas si Juniper propose un mécanisme similaire et si ils l'appliquent également par défaut.

Hugues

  • AS2027 MilkyWan
  • Modérateur
  • *
  • Messages: 12 440
  • Lyon (69) / St-Bernard (01)
    • Twitter
13 octobre 2021: OVH totalement inaccessible en IPv4 (ok en IPv6)
« Réponse #65 le: 14 octobre 2021 à 23:47:23 »
Quand je parlais des routes internes, je parlais pas des routes interne au routeur mais des routes internes à l'AS. Je sais pas si on s'est bien compris à ce niveau.
Heu, ben ouais, ça ne change rien.

Le truc c'est qu'avec MPLS tu as un réseau IP qui encapsule un autre réseau (qui peut être IP, ou on peut même encapsuler des trames Ethernet en IP, ça fait les offres Lan to Lan des opérateurs).
Oui, certes ?


Ils peuvent très bien décider dans leur construction MPLS de caser leur trafic Internet dans un réseau MPLS (je pars de cette hypothèse parce que sinon j'arrive pas à expliquer l'incident). ça donnerait donc des routeurs qui communiquent entre eux sur un réseau étanche d'Internet, qui se partagent des routes vers tous les autres routeurs du backbone en OSPF en mode "any-to-any". Au dessus de ça on a un MPLS Internet, des routes partagés en BGP (via des RR on espère !).

OSPF en mode "any-to-any" permettant ainsi de ne pas configurer des tables de routage statiques sur l'ensemble des routeurs du réseau pour joindre les RR.

C'est exactement ce que je te dis en fait...

Tes sessions BGP avec tes RR, tu les montes via des routes apprises en OSPF. Mais sur cet OSPF, tu ne mets *que* les ip de loopback de tes routeurs, et les IP de tes RR. Tu ne repartages PAS toutes les routes de ton AS, ça, tu le fais en iBGP.


Les routes externes qui sont annoncés via BGP, les routes internes (ce qu'ils appellent OVHcloud IGP) via OSPF - avec donc un nombre de route OSPF environ inférieur ou égale dans le pire des cas au nombre de routeur du backbone, c'est à dire sensiblement moins que 10 000
Ben non, tu mélanges tout, les routes internes ce n'est pas l'IGP, les routes internes c'est tous les préfixes internes à l'AS, donc le préfixe de la kimsufi de kévin, du public cloud d'Airbus, etc.

Dans ton IGP, tu ne mets que les loopbacks et les interfaces que tu autorises explicitement.

Le comportement par défaut sur un peer OSPF serait donc de balancer toute la table de routage à son voisin ? Je me trompe ? A priori non, merci @thenico pour le lien !
Non, le comportement par défaut c'est de n'annoncer que ce qui a été explicitement configuré.
Si tu active un "redistribute static, connected, bgp ou autre" ça rebalancera de la merde, pour ça qu'on ne l'active JAMAIS sans une route-map qui contrôle ce qui est annoncé, notamment.

Bref, je crois que tu te fourvoies sur ce qu'on met dans un IGP. iBGP n'est pas un IGP, OSPF est un IGP qui n'a pas vocation à accueillir autre chose que des loopbacks et des préfixes d'interco.


Hugues

  • AS2027 MilkyWan
  • Modérateur
  • *
  • Messages: 12 440
  • Lyon (69) / St-Bernard (01)
    • Twitter
13 octobre 2021: OVH totalement inaccessible en IPv4 (ok en IPv6)
« Réponse #66 le: 14 octobre 2021 à 23:52:11 »
Mais sur un gros réseau MPLS, pour les raisons vu plus haut, on peut difficilement faire mieux que de de l'OSPF.
Mais c'est très bien OSPF, juste, pas pour faire ton routage interne, juste pour annoncer tes loopbacks et monter de l'iBGP (et eventuellement du MPLS) par dessus ;)

Symbol

  • AS52075 Wifirst
  • Expert
  • *
  • Messages: 349
13 octobre 2021: OVH totalement inaccessible en IPv4 (ok en IPv6)
« Réponse #67 le: 15 octobre 2021 à 04:12:08 »
Mais c'est très bien OSPF, juste, pas pour faire ton routage interne, juste pour annoncer tes loopbacks et monter de l'iBGP
J'approuve ce message (enfin «très bien» va un peu loin, quand même  :P )

Tu imagines la gueule d'un ospf avec 10000+ routes ?
À vrai dire OSPF est plus scalable qu'on ne pense... Mais bon la première quote reste vraie.

Le vrai truc inquiétant, c'est l'Area0 propagée partout dans le monde.
Pas ok.
Sur des déploiements type Tier1 internationaux, ISIS Level2 only (donc mono-aire mondiale) est classique. J'attire ton attention sur la migration d'ATDN (Tier1 de l'époque) d'OSPF vers ISIS en 2003, décrite lors du NANOG29:
https://archive.nanog.org/meetings/nanog29/presentations/gill.pdf
«Found out we didn’t need areas» «is-type level-2-only»

C'est ancien, certes, mais ça reste d'actualité.

Bon OSPF a été réimplémenté depuis que les gros tier1 ont tous migré (ou démarré) en ISIS, il reste probablement moins scalable mais les CPU des routeurs ont aussi migré vers du x86 depuis le temps.
Bref, l'aire backbone unique internationale n'est pas choquante.

Hugues

  • AS2027 MilkyWan
  • Modérateur
  • *
  • Messages: 12 440
  • Lyon (69) / St-Bernard (01)
    • Twitter
13 octobre 2021: OVH totalement inaccessible en IPv4 (ok en IPv6)
« Réponse #68 le: 15 octobre 2021 à 08:16:21 »
Ok ! C'est un peu contre intuitif, vu les risques que ça représente en cas de loupé, mais c'est vrai que tout mettre dans l'Area0 c'est confortable et KISS :)