Auteur Sujet: AS public sur prefixes de collectes  (Lu 4762 fois)

0 Membres et 1 Invité sur ce sujet

guigui

  • Expert
  • *
  • Messages: 56
AS public sur prefixes de collectes
« le: 01 avril 2015 à 10:56:25 »
Hello,

Je viens à vous afin de comprendre une chose qui m'étonne.

Exemple:
Je prends Numéricable et Bouygues.
Sur les routes de l'internet (sur notre session à Lyonix avec Bouygues) j'apprends des routes avec une origine AS21502/Numéricable :
 
Network          Next Hop            Metric LocPrf Weight Path
*> 5.49.71.0/24     77.95.71.112             0    200      0 5410 21502 i
*> 5.49.73.0/24     77.95.71.112             0    200      0 5410 21502 i
*> 5.49.76.0/24     77.95.71.112             0    200      0 5410 21502 i
*> 5.49.99.0/24     77.95.71.112             0    200      0 5410 21502 i
*> 5.49.113.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.134.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.156.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.157.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.161.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.173.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.176.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.185.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.187.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.189.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.191.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.195.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.216.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.221.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 5.49.231.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 89.92.24.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 89.92.41.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 89.92.42.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 89.92.93.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 89.92.118.0/24   77.95.71.112             0    200      0 5410 21502 i
*> 89.92.123.0/24   77.95.71.112             0    200      0 5410 21502 i
*> 89.92.135.0/24   77.95.71.112             0    200      0 5410 21502 i
*> 89.92.142.0/24   77.95.71.112             0    200      0 5410 21502 i
*> 89.92.189.0/24   77.95.71.112             0    200      0 5410 21502 i
*> 89.92.190.0/24   77.95.71.112             0    200      0 5410 21502 i
*> 89.92.204.0/23   77.95.71.112             0    200      0 5410 21502 i
*> 89.92.232.0/23   77.95.71.112             0    200      0 5410 21502 i
*> 89.92.240.0/23   77.95.71.112             0    200      0 5410 21502 i
*> 89.92.248.0/23   77.95.71.112             0    200      0 5410 21502 i
*> 89.92.252.0/23   77.95.71.112             0    200      0 5410 21502 i
*> 89.93.48.0/23    77.95.71.112             0    200      0 5410 21502 i
*> 89.93.50.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 89.93.60.0/24    77.95.71.112             0    200      0 5410 21502 i
*> 89.93.84.0/23    77.95.71.112             0    200      0 5410 21502 i
*> 89.93.88.0/22    77.95.71.112             0    200      0 5410 21502 i
*> 89.93.200.0/23   77.95.71.112             0    200      0 5410 21502 i
*> 89.93.227.0/24   77.95.71.112             0    200      0 5410 21502 i
*> 89.93.242.0/24   77.95.71.112             0    200      0 5410 21502 i
*> 89.93.243.0/24   77.95.71.112             0    200      0 5410 21502 i
*> 128.79.215.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 128.79.216.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 128.79.220.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 128.79.223.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 128.79.231.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 128.79.244.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 128.79.246.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.182.2.0/24   77.95.71.112             0    200      0 5410 21502 i
*> 176.182.18.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.182.19.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.182.21.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.182.36.0/23  77.95.71.112             0    200      0 5410 21502 i
*> 176.182.43.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.182.93.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.182.94.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.182.95.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.182.97.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.182.104.0/24 77.95.71.112             0    200      0 5410 21502 i
*> 176.182.111.0/24 77.95.71.112             0    200      0 5410 21502 i
*> 176.182.152.0/24 77.95.71.112             0    200      0 5410 21502 i
*> 176.182.158.0/24 77.95.71.112             0    200      0 5410 21502 i
*> 176.182.206.0/23 77.95.71.112             0    200      0 5410 21502 i
*> 176.182.221.0/24 77.95.71.112             0    200      0 5410 21502 i
*> 176.182.246.0/23 77.95.71.112             0    200      0 5410 21502 i
*> 176.183.17.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.183.34.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.183.49.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.183.52.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.183.63.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.183.67.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.183.68.0/24  77.95.71.112             0    200      0 5410 21502 i
*> 176.183.88.0/23  77.95.71.112             0    200      0 5410 21502 i
*> 176.183.126.0/24 77.95.71.112             0    200      0 5410 21502 i
*> 176.183.157.0/24 77.95.71.112             0    200      0 5410 21502 i
*> 176.183.200.0/24 77.95.71.112             0    200      0 5410 21502 i
*> 176.183.234.0/24 77.95.71.112             0    200      0 5410 21502 i

Ces prefixes correspondent aux abonnés Bytel (du réseau Bouygues) sur le réseau Numericable qui ont des adresses IP Bytel.
Ce sont donc des clients Bouygues avec des IP Bouygues mais qui traversent le réseau Numericable vu que c'est de la collecte.

Ma question est pourquoi l'origine de ces annonces est AS21502 ? Pourquoi ne pas avoir monté une session pour la collecte en AS privé afin de faire un "remove-private-as" pour supprimer ainsi l'AS de la collecte dans l'AS Path vu sur internet ?
Que peut engendrer ces annonces avec une origine qui n'est pas normalement celle définie dans les objets route du RIPE ?
Cela doit peut mettre la pagaille au niveau RPKI/ROA ?
Ainsi que pour les personnes qui filtrent strictement les annonces sur l'as-path et les objets route ?

J'ai dans quelques temps moi aussi une session BGP à monter avec un opérateur d'infrastructure avec son AS public.
Je ne sais pas si l'opérateur va m'annoncer le subnet entier que je vais lui fournir (subnet de mes abonnés sur les plaques de cet opérateur) ou s'il va nous annoncer seulement les /32 de nos abonnés.
Des annonces en /32 à travers notre session me permettrai d'avoir plus spécifiques dans mon IGP et de créer ainsi une route du superblock null0 afin de l'annoncer à mes transitaires et peers.
Mais si cela n'est pas le cas, il va donc falloir que j'annonce mon préfixe sur l'internet ayant pour origine l'AS de cet opérateur, ce qui me dérange fortement  :-[

Comment faites vous ?
Y a-t-il un moyen de faire un remove d'un AS public dans l'AS_PATH ?

Merci d'avance pour vos réponses  ;D

vivien

  • Administrateur
  • *
  • Messages: 47 292
    • Twitter LaFibre.info
AS public sur prefixes de collectes
« Réponse #1 le: 01 avril 2015 à 12:31:25 »
Pour donner un exemple précis (IP prise au hasard dans une des plages annoncées) :

# mtr -rwc100 128.79.231.2
Start: Wed Apr  1 12:23:40 2015
HOST: lafibre.info                        Loss%   Snt   Last   Avg  Best  Wrst StDev
  1.|-- portevlan.adeli.biz                0.0%   100    0.3   1.8   0.2  66.9   7.4
  2.|-- bouyguestel.peers.lyonix.net       0.0%   100   18.0  14.1  12.9  20.5   1.7
  3.|-- la10.bsr01-lyo.net.bbox.fr         5.0%   100   16.1  15.5  12.9  31.9   3.5
  4.|-- ? ?                               100.0   100
  5.|-- ? ?                               100.0   100
  6.|-- 213-245-253-83.rev.numericable.fr  0.0%   100    1.7   1.8   1.7   1.9   0.0
  7.|-- 128-79-231-2.hfc.dyn.abo.bbox.fr   0.0%   100   21.7  22.2  19.4  31.6   3.1


Sans les nom de domaines :
# mtr -nrwc100 128.79.231.2
Start: Wed Apr  1 12:25:27 2015
HOST: lafibre.info     Loss%   Snt   Last   Avg  Best  Wrst StDev
  1.|-- 46.227.16.1     0.0%   100    0.3   1.9   0.2  90.5  10.0
  2.|-- 77.95.71.112    0.0%   100   14.4  13.5  12.9  17.1   0.8
  3.|-- 212.194.171.18 16.0%   100   13.3  14.0  13.0  21.2   1.3
  4.|-- ? ?            100.0   100
  5.|-- ? ?            100.0   100
  6.|-- 213.245.253.83  0.0%   100    1.7   1.8   1.7   2.0   0.0
  7.|-- 128.79.231.2    0.0%   100   19.8  22.5  19.3  78.1   7.2


Saut 1 : AS43142 - Routeur Adeli
Saut 2 : AS199422 - Lyon-IX (le retour du ping passe par Paris)
Saut 3 : AS5410 - Routeur Bouygues Telecom sur Lyon (le retour du ping passe par Paris)
Saut 4 : ?
Saut 5 : ?
Saut 6 : AS6678 - Routeur Numericable (le retour de ce ping se fait visiblement par le peering Numericable sur Lyon)
Saut 7 : AS5410 - IP publique d'un client Bbox fibre (le retour du ping passe par Paris)

cali

  • Officiel Ukrainian Resilient Data Network
  • Fédération FDN
  • *
  • Messages: 2 401
    • Ukrainian Resilient Data Network
AS public sur prefixes de collectes
« Réponse #2 le: 01 avril 2015 à 15:02:59 »
Il y avait la même chose pour Darty.

vivien

  • Administrateur
  • *
  • Messages: 47 292
    • Twitter LaFibre.info
AS public sur prefixes de collectes
« Réponse #3 le: 01 avril 2015 à 15:55:46 »
Darty n'avait pas d'AS, seul le reverse-DNS est personnalisés.

Les clients DartyBox THD sont tous des clients 100% Numericable aussi bien au niveau du matériel que des services proposées.
La seule différence c'est le reverse-DNS.

Les clients DartyBox ADSL eux sont des clients 100% Completel, comme les clients Numericable ADSL.

cali

  • Officiel Ukrainian Resilient Data Network
  • Fédération FDN
  • *
  • Messages: 2 401
    • Ukrainian Resilient Data Network
AS public sur prefixes de collectes
« Réponse #4 le: 01 avril 2015 à 16:24:32 »
Ca explique alors.

Peut-être qu'auparavant c'était numericable qui annonçait les préfixes Bouygues pour les clients cable pour des raisons techniques ?

Apparement non.

petrus

  • Expert AS206155
  • Expert
  • *
  • Messages: 1 065
AS public sur prefixes de collectes
« Réponse #5 le: 01 avril 2015 à 17:03:00 »
Bon c'est con, mais je reçois pas Bouygues sur Lyonix, donc je peux pas comparer là, mais sur les aggrégats (5.48.0.0/14 par exemple), je vois bien 5410 en originator.

> show route 5.49.156.0

5.48.0.0/14        *[BGP/170] 7w0d 11:36:48, from 193.251.xx.xx
                      AS path: 5410 I, validation-state: unverified
                    > to 193.252.xx.xx via ae44.0


Apparement c'est pas aisé de virer un as public du path. Donc soit collecter en L2, soit en effet en as privé et "remove private-as".

Et en effet pour rpki/roa, le jour où ça sera utilisé, ça pourra être embetant, en attendant...

Sinon Darty c'est de la marque blanche, pas de la collecte, d'où les IP NC.

Boris de Bouygues Telecom

  • AS5410 Expert Bouygues Telecom
  • Abonné Bbox fibre
  • *
  • Messages: 2 763
  • Technopôle de Bouygues Telecom sur Meudon (92)
AS public sur prefixes de collectes
« Réponse #6 le: 02 avril 2015 à 10:41:15 »
Les /24 plus précis des clients de Lyon ne sont envoyé que sur Lyon-IX. il y a aussi beaucoup de /25, mais ils sont filtrés.

Le principe est différent pour le peering sur Lyon avec Orange (trafic symétrique) : Chacun annonce l'intégralité de ses préfixes sur Paris et sur Lyon et chacun sort au plus proche, IGP (Interior Gateway Protocol) détermine la route.

Synack

  • AS16080 Rentabiliweb Telecom
  • Expert
  • *
  • Messages: 689
AS public sur prefixes de collectes
« Réponse #7 le: 03 avril 2015 à 17:52:09 »
Hello,

Pour moi la raison est : Le premier routeur BGP qui gère les IPs appartient à Numericable et donc le premier AS dans l'AS path est celui de Numericable. C'est un peu comme les AS privés sur du routeur edge qu'on ne retirerait pas, il serait visible à la fin de l'AS path quelque soit l'IP portée.

Les routeurs ne tiennent pas compte des records quand ils forgent l'AS path, ils prennent celui qu'ils reçoivent et ajoutent leur AS en tête en passant l'info. S'il est vide, c'est l'AS du routeur qui constitue l'AS path, pas l'AS de l'IP.

Donc pour moi les clients Bouygues avec les IPs Bouygues sont portés par un routeur ayant l'AS Numericable, qui envoie ensuite au réseau Bouygues derrière. C'est pas terrible parce qu'effectivement avec des mécanismes de protection, ces préfixes pourraient être bloqués vu que le dernier AS ne correspond pas à l'annonce au RIPE.

Dans l'idéal Numericable aurait pu mettre un AS privé sur ces routeurs là pour simplifier les choses (mais si c'est de l'historique, changer l'AS d'un routeur c'est lourd). Un autre choix, qui évite de changer l'AS du routeur, c'est de prepend l'AS de Bouygues sur le network configuré (ajouter artificiellement l'AS Bouygues en bout d'as-path). Le problème éventuel c'est que Bouygues refuse d'apprendre un préfixe dont son propre AS est originaire (en gros en eBGP en général par défaut on refuse d'apprendre un préfixe dont l'AS d'origine est soi même). Accepter des préfixes de son AS via un autre AS a des effets de bord potentiels parfois, ça demande des précautions.

Sinon gommer un AS public dans l'as-path, j'ai jamais vu de commande le permettant, c'est probablement pas compliqué avec un soft de routage opensource qu'on modifierait, mais sur des routeurs hardware j'ai pas vu de telle fonction (mais je suis curieux d'avoir l'info si ça existe).

Pour moi c'est là où les opérateurs ont un intérêt à avoir un AS core backbone et un AS pour les IPs clientes. Ca aurait permis par exemple d'avoir AS-BOUYGTEL - AS-NC - AS-BOUYGTEL-USERS en demandant à NC de prepend l'AS client sur les préfixes configurés.


De toute façon globalement c'est toujours une bonne idée d'avoir un AS de coeur de réseau et des AS "clients" pour les activités (AS publics ou privés), perso je préfère avoir un AS privé pour un routeur BGP edge que l'AS de coeur, ça permet de mieux segmenter les choses, d'avoir une meilleure visibilité interne (notamment savoir très vite de quel site vient une IP anycast sur le réseau avec l'as-path interne), de mieux sécuriser l'apprentissage des routes également ou de pouvoir ajouter un transit juste pour une activité, etc, etc.

En tout cas là c'est pas super propre, j'imagine que Bouygues considère que même si les préfixes sont filtrés par un mécanisme de protection, au pire ça passera par Paris pour ces quelques opérateurs réticents à accepter les routes pas propres.

BadMax

  • Client Free adsl
  • Expert
  • *
  • Messages: 3 480
  • Malissard (26)
AS public sur prefixes de collectes
« Réponse #8 le: 03 avril 2015 à 18:55:16 »
Citer
Sinon gommer un AS public dans l'as-path, j'ai jamais vu de commande le permettant, c'est probablement pas compliqué avec un soft de routage opensource qu'on modifierait, mais sur des routeurs hardware j'ai pas vu de telle fonction (mais je suis curieux d'avoir l'info si ça existe).

J'ai cherché sur IOS, pas trouvé. La prochaine où j'ai un IOS-XR sous la main je vérifierai mais je n'y crois pas non plus.

Par contre, un Palo Alto sait le faire avec des Reg Exp : https://live.paloaltonetworks.com/docs/DOC-5977
Donc ça doit aussi exister ailleurs.

Boris de Bouygues Telecom

  • AS5410 Expert Bouygues Telecom
  • Abonné Bbox fibre
  • *
  • Messages: 2 763
  • Technopôle de Bouygues Telecom sur Meudon (92)
AS public sur prefixes de collectes
« Réponse #9 le: 03 avril 2015 à 18:59:09 »
Je vais être franc : Cela ne concerne que Lyon-IX et le trafic reçus sur Lyon-IX est quasi null. C'est plus un test pour tester le peering en région et comprendre ce qu'il faut modifier.

Pour les agrégats (5.48.0.0/14 par exemple), comme le dit Petrus, c'est 5410 en originator.

Les agrégats sont également annoncés sur Lyon-IX, mais avec du prepend pour éviter des effets de bord potentiels.

A terme l'objectif est d'annoncer toutes nos plages IP sur Lyon-IX sans prepend, mais cela nécessite d'être sur que en cas de panne de lien France-IX ou Equini-IX ce ne soit pas un chemin de back-up, car cela entraînerait une dégradation de la QoS. Il faut donc exclure des peer sur le route serveur... (en cas d'incident, le back-up, c'est les transitaires)

Synack

  • AS16080 Rentabiliweb Telecom
  • Expert
  • *
  • Messages: 689
AS public sur prefixes de collectes
« Réponse #10 le: 03 avril 2015 à 23:32:27 »
J'ai cherché sur IOS, pas trouvé. La prochaine où j'ai un IOS-XR sous la main je vérifierai mais je n'y crois pas non plus.

Par contre, un Palo Alto sait le faire avec des Reg Exp : https://live.paloaltonetworks.com/docs/DOC-5977
Donc ça doit aussi exister ailleurs.

Je n'ai pas vu non plus sur IOS-XR de mon côté (possible que je sois passé à côté ceci dit).