HCIP——BGP协议
目录
一.什么是BGP？
二.IGP和EGP
三.BGP的特点
四.BGP的数据包
五.BGP的工作过程
BGP的六种状态机
六.BGP的路由黑洞问题
七.BGP的防环机制——水平分割
八.BGP的宣告问题
九.BGP的自动汇总
十.BGP的安全特性
十一.BGP的选路规则
一.什么是BGP？
1.BGP（Border Gateway Protocol）边界网关路由协议。无类别路径矢量EGP协议，EGP协议中最流行的技术；工作于AS之间；专门用于解决AS之间路由共享问题；取代的是重发布基础。
本身不产生路由，而是转发本地路由表中来自其他协议生成的路由条目；（所以Bgp不生产路由，只是路由的搬运工。）
AS之间正常存在大量的BGP邻居关系，且BGP协议不会计算最佳路径；因此在BGP协议中管理员需要进行策略来干涉选路;2.什么是AS
划分AS的原因：
1.网络半径-----igp协议的工作半径有限
2.管理半径-----不同网络存在不同的设计，实施，维护，组织，不同组织的网络不会相互管理；
AS—自治系统 标准AS编号 16位二进制 0-65535
其中1-64511公有 64512----65535 私有
扩展AS编号 32位二进制
路径矢量（一个AS为一跳）— 距离矢量（一个路由器为一跳）
在下列地址可以查看到AS编号的所属者：
https://www.cidr-report.org
其中：
4134 是 中国电信的编号
9929 是 中国联通（中国网通）
二.IGP和EGP
1.EGP是外部网关协议——BGP
主要追求：1.可控性强（管理员可以方便进行策略干涉选路）
2.可靠性（BGP协议设备间需要交互大量的路由条目，但又不能选择周期更新来占用链路资源，故只能进行触发更新；且BGP协议工作环境中为节约成本，必然出现非直连需要建立邻居关系—单播邻居）--- 基于TCP工作 -三次握手四次断开 4种可靠传输机制 -- TCP只能基于单播工作。
3.AS-BY-AS 以一个AS为一跳；
2.IGP是内部网关路由协议——RIP、OSPF、EIGRP
主要追求：1.无环（选路佳）2.收敛快 3.占用资源少
邻居---直连 因为BGP协议中存在非直连邻居的需求，故BGP邻居称为毗邻关系；
EBGP邻居关系 ---- 外部BGP邻居关系，建邻的两台设备处于不同的AS中
IBGP邻居关系 ---- 内部BGP邻居关系，建邻的两台设备处于相同的AS中
三.BGP的特点
- 无类别路径矢量 -----距离矢量的升级版---AS--BY--AS
- 使用单播更新来发送所有信息；基于TCP 179端口工作
- 增量更新--仅触发无周期
- 具有丰富的属性来取代IGP中度量进行选路----多个参数控制协议
- 可以在进项和出项对流量实施强大的策略--可控性
- 默认不被用于负载均衡-----通过各种选路规则仅仅产生一条最佳路径
- BGP支持认证和聚合（汇总）
四.BGP的数据包
BGP报文有5种数据包
基于TCP的179端口工作；故BGP协议中所有的数据包均需要在tcp会话建立后，基于TCP的会话来进行传输及可靠性的保障；
Open消息：是TCP连接建立后发送的第一个消息，用于建立BGP对等体之间的连接关系。对等体在接收到Open消息并协商成功后，将发送Keepalive消息确认并保持连接的有效性。确认后，对等体间可以进行Update、Notification、Keepalive和Route-Refresh消息的交换。
Update消息：用于在对等体之间交换路由信息。Update消息可以发布多条属性相同的可达路由信息，也可以撤销多条不可达路由信息。
Keepalive消息：BGP会周期性的向对等体发出Keepalive消息，用来保持连接的有效性。
Notification消息：当BGP检测到错误状态时，就向对等体发出Notification消息，之后BGP连接会立即中断。
Route-Refresh消息：通过OPEN消息告知BGP peer本地支持路由刷新能力（Route-Refresh capability）。
五.BGP的工作过程
1、配置完成后，邻居间单播TCP三次握手，目标端口179，建立TCP的会话；之后所有的BGP协议数据包基于该会话进行传输；
会话建立后，邻居间正常收发一次open报文建立BGP的邻居关系，生成邻居表；
BGP协议的open报文中将携带本地的RID—生成方式和OSPF一致；仅需要本地及本地所有邻居唯一即可；
邻居关系建立后，默认每1min，使用keeplive周期保活邻居关系（周期保活TCP会话）
2、邻居关系建立后，管理员选择性将本地路由表中通过任意来源获取的路由条目，向BGP协议中进行宣告；使用updata数据包进行邻居间路由共享；之后生成BGP表；--- 装载本地发出及接收到的所有路由条目；
默认将最优路径加载于路由表中（最优-仅仅基于BGP的选路规则，不一定为最佳路径；BGP默认不支持负载均衡）
3、收敛完成，仅keeplive周期保活即可；
4、若出现错误信息，邻居间将使用Notification报文进行报错操作
5、结构突变
1）新增 --- 本地使用updata向本地所有邻居告知，前提该路由不被已经发出的聚合路由包含
2）断开 --- 本地使用updata向本地所有邻居告知，前提该路由不被已经发出的聚合路由包含
只有到聚合条目中包含的所有明细路由均在本地失效，才告知邻居删除聚合条目
3）无法沟通 --- hold time为3min，连续3次未收到邻居的keeplive；断开邻居关系、TCP会话，删除从该邻居处学习到的所有路由；
BGP的六种状态机
BGP有限状态机共有六种状态，分别是Idle、Connect、Active、OpenSent、OpenConfirm和Established。
①Idle状态是BGP初始状态。在Idle状态下，BGP拒绝邻居发送的连接请求。只有在收到本设备的Start事件后，BGP才开始尝试和其它BGP对等体进行TCP连接，并转至Connect状态。
Start事件是由一个操作者配置一个BGP过程，或者重置一个已经存在的过程或者路由器软件重置BGP过程引起的。
任何状态中收到Notification报文或TCP拆除链路通知等Error事件后，BGP都会转至Idle状态。
②在Connect状态下，BGP启动连接重传定时器（Connect Retry，缺省为32秒），等待TCP完成连接。如果TCP连接成功，那么BGP向对等体发送Open报文，并转至OpenSent状态；
如果TCP连接失败，那么BGP转至Active状态；
如果连接重传定时器超时，BGP仍没有收到BGP对等体的响应，那么BGP继续尝试和其它BGP对等体进行TCP连接，停留在Connect状态。
如果发生其他事件（由系统或者操作人员启动的），则退回到Idle状态。
③在Active状态下，BGP总是在试图建立TCP连接。
如果TCP连接成功，那么BGP向对等体发送Open报文，关闭连接重传定时器，并转至OpenSent状态；
如果TCP连接失败，那么BGP停留在Active状态；
如果连接重传定时器超时，BGP仍没有收到BGP对等体的响应，那么BGP转至Connect状态。
④在OpenSent状态下，BGP等待对等体的Open报文，并对收到的Open报文中的AS号、版本号、认证码等进行检查。如果收到的Open报文正确，那么BGP发送Keepalive报文，并转至OpenConfirm状态；
如果发现收到的Open报文有错误，那么BGP发送Notification报文给对等体，并转至Idle状态。
⑤在OpenConfirm状态下，BGP等待Keepalive或Notification报文。如果收到Keepalive报文，则转至Established状态，如果收到Notification报文，则转至Idle状态。
⑥在Established状态下，BGP可以和对等体交换Update、Keepalive、Route-refresh报文和Notification报文。如果收到正确的Update或Keepalive报文，那么BGP就认为对端处于正常运行状态，将保持BGP连接。
如果收到错误的Update或Keepalive报文，那么BGP发送Notification报文通知对端，并转至Idle状态。
Route-refresh报文不会改变BGP状态。 如果收到Notification报文，那么BGP转至Idle状态。
如果收到TCP拆链通知，那么BGP断开连接，转至Idle状态。
六.BGP的路由黑洞问题
非直连建邻到达控制层面路由条目可传递，递归计算路由可达；
而实际数据层面流量在经过没有运行BGP协议的路由器时无法通过，最终有去无回
解决办法：
- 物理、逻辑拓扑全连 -- 物理链路直连、或者
- 邻居关系全连 – 网络中所有设备运行BGP
- BGP重发布到IGP（LAB）
- MPLS 多协议标签交换--- 推荐做法
七.BGP的防环机制——水平分割
1、EBGP水平分割—解决EBGP环路；
依赖了BGP路由条目中的一种属性来进行防环；AS-PASH路径属性；
BGP协议在传递路由条目的过程中，将记录所有经过的AS的编号；
EBGP水平分割—接收到的路由条目中，若存在本地的AS号将拒绝该条目进入；
2、IBGP水平分割—解决IBGP环路由中的一种机制
本地从一个IBGP邻居处学习到的路由条目，不得传递给本地的其他IBGP邻居；
AS-BY-AS在一个AS内部条目传递的过程中，默认不会修改任何的属性；
由于BGP可以非直连建立邻居关系，故在一个AS内部，可以通过与多台运行BGP协议的路由器建立BGP邻居关系，来稳定关系网络；因此在一个AS内部运行BGP协议的设备，正常均存在EBGP邻居（均同时连接其他AS）
在IBGP水平分割的限制下，虽然避免了IBGP的环路产生，但同时也使得AS内部为了能够传递路由条目，必须两两间建立IBGP邻居关系，邻居关系成指数上升，配置量巨大；
后期可以依赖打破水平分割的机制来解决---联邦、路由反射器
八.BGP的宣告问题
- 在BGP协议中每台运行BGP的设备上，宣告本地直连路由
- 在BGP协议中运行BGP协议的设备来宣告，通过IGP学习到的，未运行BGP协议设备产生的路由；
在BGP协议中宣告本地路由表中路由条目时，将携带本地到达这些目标的IGP度量值；传递到BGP邻居处；其他AS设备便于选择离目标最近的EBGP邻居；
若一台BGP设备，通过IBGP邻居学习到一条路由，存在度量值；同时本地需要将这些路由传输给本地其他的EBGP邻居时，只能将度量取消，按0进行传输；导致选路参考值不优；
故，建议在一个AS中若需要BGP设备宣告某条路由，那么该AS内所有运行BGP协议的设备均宣告；--便于其他AS的BGP设备判断自己的EBGP邻居，那台离目标更近；
九.BGP的自动汇总
当代的路由器设备，默认就关闭了BGP的自动汇总功能;
自动汇总规则与正常BGP协议邻居共享的路由，或在BGP协议通过network宣告命令产生的路由条目无关；
仅针对从IGP重发布到BGP的路由条目；
BGP中的宣告可以理解为是逐条的重发布IGP路由到BGP；
BGP中中将IGP重发布到BGP，可以理解为是批量的将IGP路由宣告到BGP 协议；
但两种操作产生的路由条目其起源属性不同，宣告优于重发布；
在开启了自动汇总的前提下，重发布进入的路由将不携带子网掩码，按主类掩码进入；不携带本地到达目标的度量值，度量为0；若关闭自动汇总，进入路由将正常携带掩码，且携带度量；此时和宣告路由仅起源属性不同；故建议不要开启自动汇总；
既然在一个AS中建议所有运行BGP协议的设备均宣告相同路由，那么若进行重发布配置，也建议所有运行BGP协议的设备均进行重发布；
十.BGP的安全特性
MD5：BGP使用TCP作为传输层协议，为提高BGP的安全性，可以在建立TCP连接时进行MD5认证。但BGP的MD5认证并不能对BGP报文认证，它只是为TCP连接设置MD5认证密码，由TCP完成认证。如果认证失败，则不建立TCP连接。
GTSM（Generalized TTL Security Mechanism 即通用TTL安全保护机制）：使能BGP的GTSM策略后，接口板对所有BGP报文的TTL值进行检查。根据实际组网的需要，对于不符合TTL值范围的报文，GTSM可以设置为通过或丢弃。配置GTSM缺省动作为丢弃时，可以根据网络拓扑选择合适的TTL有限值范围，不符合TTL值范围的报文会被接口板直接丢弃，这样就避免了网络攻击者模拟的“合法”BGP报文占用CPU。该功能与EBGP多跳互斥。
限制从对等体接收的路由数量，防止资源耗尽性攻击。
AS_Path长度保护。通过在入口和出口两个方向对AS_Path的长度进行限定，直接丢弃AS_Path超限的报文。
十一.BGP的选路规则
二、BGP选路规则
比较前提，多条BGP路由目标相同，且均可优(下一跳可达、同步关闭)，具有相同的优先级（管理距离）
1.优选Preference_Value值最高的路由（私有属性，仅本地有效）。
不传递 权限最高属性 可以干涉EBGP/IBGP选路
2.优选本地优先级（Local_Preference）最高的路由。
IBGP邻居关系间传递 只能，最常干涉IBGP关系的选路
3.优选手动聚合>自动聚合>network>import>从对等体学到的。
4.优选AS_Path短的路由。
EBGP/IBGP关系均可被干涉，但只能在EBGP邻居间修改；
5起源类型IGP>EGP>Incomplete。
起源属性 i优于e优于？； 可在控制层面任意接口修改；
6.对于来自同一AS的路由，优选MED值小的。
默认为0，宣告或重发布（关闭自动汇总）路由时携带本地到达目标的cost
最常用于干涉EBGP选路的属性
优选从EBGP学来的路由（EBGP>IBGP）。
优选AS内部IGP的Metric最小的路由。
优选Cluster_List最短的路由。
优选Orginator_ID最小的路由。
优选Router_ID最小的路由器发布的路由。
优选具有较小IP地址的邻居学来的路由。