BGP Blackholing
Border Gateway Protocol (BGP) Blackholing дава възможност на участниците в Public Peering да инструктират BIX.BG да блокира трафик към определен префикс (IP адрес или мрежа), като сигнализацията е чрез BGP4 анонс през вече изградените сесии с Route Servers (RS).
Спирането на трафика още в мрежата на BIX.BG разтоварва мрежата на участника и позволява нормалното функциониране на неатакуваните и неблокирани мрежови ресурси.
Имплементация:
Блокирането се реализира на packet forwarding layer, в резултат на което BGP Blackholing функционира без значение дали участниците ползват Route Servers или изграждат частни BGP сесии.
Блокирането е на изход към порта или портовете на участника, който е направил съответния BGP Blackholing анонс. Поради това няма никакъв риск некоректен анонс от един участник да доведе до блокиране на трафик към друг участник без значение дали съгласно RIR/RPKI този анонс е валиден.
Блокирането касае само Public Peering и не се отразява на P2P Private VLAN и другите услуги.
Няма специфично заложен лимит на BGP Blackholing анонсите, които Route Servers ще приемат. От гледна точка на бройката те се третират като останалите анонси. Не е препоръчително да има много на брой подобни анонси, защото може да се достигне max-prefix лимита настроен в Route Servers, което ще доведе до отпадане на BGP сесиите.
Получените Blackholing анонси не се преанонсират към другите участници, което води до следните ползи:
- Функционирането на BGP Blackholing не зависи от това дали другите участници приемат анонси по-малки от /24 (обичайната практика за IPv4 е да не ги приемат).
- BGP Blackholing анонсите не увеличават обичайния брой на получените префикси от участниците, което потенциално може да доведе до достигане на заложените лимити за max-prefix при тях и пълно отпадане на BGP сесиите им.
Активиране:
За да блокирате трафик към даден префикс, трябва да го маркирате с BGP Community 65535:666, като ограниченията за дължините на префиксите са:
- IPv4: /25 и по-големи (до /32);
- IPv6: /49 и по-големи (до /128).
Достатъчен е анонс само към единия Route Server като анонси, които не отговарят на горните условия, ще бъдат игнорирани.