Недавно в интернетах вызвала бурное обсуждение информация, что The Pirate Bay захостился в Северной Корее и это якобы подтверждалось трассировкой и таблицами BGP. Довольно скоро появилось опровержение (1, 2) с подробным техническим разбором. Изначально я хотел перевести статью по ссылке, но решил написать свою, с исследованием ситуации.
Читать полностью »
Рубрика «BGP» - 9
Что же всё-таки случилось с TPB
2013-03-07 в 16:08, admin, рубрики: BGP, The Pirate Bay, информационная безопасность, КНДР, коммунизм, маршрутизация, Сетевые технологии, Телекомы, файлообмен, метки: BGP, The Pirate Bay, КНДР, коммунизм, маршрутизация, файлообменУправление трафиком в сети хостинг-провайдера
2013-02-19 в 15:37, admin, рубрики: BGP, Cisco, juniper, MPLS, Сетевые технологии, Телекомы, метки: BGP, Cisco, juniper, MPLSВ сети любого большого content/eyeball провайдера возникает необходимость управления трафиком. И чем больше сеть, тем острее эта необходимость ощущается. В этой статье я попытаюсь описать основной принцип управления трафиком в сети компании, непосредственное отношение к которой я имею. Сразу оговорюсь, что в этой статье упоминается множество торговых марок, терминов и «жаргона». Здесь не будет ни примеров конфигурации роутеров, ни описания этих самых терминов.
Мы привыкли считать, что транспортная MPLS-сеть необходима, в основном, для applications, которых существует множество: L3VPN, L2VPN/VPLS, и т.д. О Traffic Enigineer'инге в сетях MPLS вспоминают или от «хорошей» жизни, или, скорее, теоретически.
Также принято считать, что backup capacity — это роскошь и, как правило, кариеры/транспортники биллят за backup-порт также, как за обычный. Назревает резонный вопрос: зачем покупать капасити, которые будет просто простаивать и, возможно, несколько раз в месяц на короткое время использоваться? Но, с другой стороны, говорить о том, что «backup'ы для трусов» тоже нельзя, backup'ная емкость должна быть. Как же быть? Об этом и пойдет речь в статье.
Использование BGP при наличии двух каналов в Интернет для выборочного анонсирования
2012-09-06 в 6:30, admin, рубрики: BGP, Cisco, метки: BGP, CiscoИспользование BGP при наличии двух каналов в Интернет для выборочного анонсирования
Вводные данные
При наличии двух собственных подсетей /24, столкнулся с необходимостью стандартной работы BGP, и погуглив, обнаружил минимальное количество информации по этой теме. На просторах рунета, в основном рассматриваются случаи, когда имеется одна сетка /24, и 2 провайдера, один из которых используется, как резервный. Да даже и этот случай рассмотрен некорректно, либо разрознено, нормально встретил описания только на англоязычных ресурсах.
Сразу же оговорюсь — рассматриваемые фичи CiscoOS: EXIST-MAP и NON-EXIST-MAP не поддерживаются UNIX-аналогами (типа Quagga).
В данной статье я рассмотрю два примера конфигов, исходя из следующих данных.
- У нас есть два канала: основной рабочий и резервный. Оба провайдера анонсируют нам дефолт. Использование обоих каналов для нас нежелательно. Мы, в свою очередь, будем анонсировать им свои подсети, но если жив основной канал — анонс наших префиксов в резервный канал мы принудительно запретим, и будем анонсировать, только в случае падения рабочего канала
- У нас есть два рабочих канала. И нам необходимо, чтобы через первый канал всегда работала (анонсировалась) наша первая подсеть, а через второй канал — наша вторая подсеть. Оба провайдера при этом анонсируют нам дефолты. В случае, если падает один из каналов — мы переносим анонс с этого канала, на оставшийся в живых. При возобновлении работы упавшего канала — возвращаем анонсы в начальный вид — по одной подсети через каждого провайдера
Теория:
Читать полностью »
Архитектура сети на базе Cisco для оперативного включения защиты от DDoS
2012-04-09 в 3:37, admin, рубрики: BGP, Cisco, ddos, информационная безопасность, метки: BGP, Cisco, ddos Дано:
• Крупная корпоративная сеть на базе разнообразных железок Cisco с развернутым MPLS/VPN.
• PI блок адресов /22, в котором есть незанятая сеть /24, BGP пиринг с провайдерами.
• Несколько доступных из интернета ресурсов, падение которых несет либо репутационные, либо прямые финансовые потери. Соответственно, есть риск атаки на них, а каналы в интернет хоть и широкие, но вовсе не резиновые. В нормальной ситуации трафик от/до этих ресурсов копеечный, несколько мегабит.
• Некий очень ленивый сетевик, который не хочет, чтобы его будили посреди ночи из-за каких-то там атак.
Требуется подготовить сеть к тому, чтобы при атаке трафик мгновенно перемаршрутизировало через одну из компаний, предоставляющих защиту от DDoS.
Читать полностью »