配置BGP的GTSM功能示例

配置BGP的GTSM功能示例
BGP网络中使用BGP GTSM功能可保障路由器免受CPU利用类型的攻击。

组网需求
网上的“有效报文”攻击导致设备有限资源（如CPU）的过载和消耗。例如，攻击者模拟真实的BGP协议报文，对一台路由器不断地发送报文，路由器收到这些报文后，发现是发送给本机的报文，转发层面则直接上送控制层面由BGP协议处理，而不加辨别其“合法性”，这样导致路由器因为处理这些“合法”报文，系统异常繁忙，CPU占用率高。

GTSM功能通过检查IP报文头中的TTL值是否在一个预先定义好的范围内，可以有效保护设备免受CPU利用型攻击。

如图5-2所示，DeviceA属于AS10，DeviceB、DeviceC、DeviceD属于AS20。在下面的网络中运行BGP协议，并使用BGP GTSM功能保障DeviceB免受CPU利用类型的攻击。

图5-2 配置BGP GTSM功能组网图
说明：
本例中interface1，interface2分别代表GE1/0/0，GE2/0/0。

配置注意事项
在配置过程中，需注意以下事项：
GTSM功能需要在BGP连接的两端同时使能.

BGP连接的两端对等体必须配置相同的valid-ttl-hops值。

配置思路
采用如下的思路配置BGP的GTSM功能：

在AS20的路由器DeviceB、DeviceC、DeviceD上配置OSPF协议实现互通。

在DeviceA和DeviceB之间建立EBGP连接，在DeviceB、DeviceC和DeviceD之间使用Loopback接口建立IBGP全连接。

在DeviceA、DeviceB、DeviceC和DeviceD上配置GTSM功能。

数据准备
为完成此配置例，需准备如下的数据：

DeviceA、DeviceB、DeviceC、DeviceD的Router ID，所在的AS号。

DeviceA和DeviceB之间、DeviceB和DeviceC之间、DeviceC和DeviceD之间、DeviceB和DeviceD之间的有效TTL跳数值。

操作步骤
配置各接口的IP地址（略）
配置OSPF（略）
配置IBGP全连接

配置DeviceB。

[~DeviceB] bgp 20
[*DeviceB-bgp] router-id 2.2.2.9
[*DeviceB-bgp] peer 3.3.3.9 as-number 20
[*DeviceB-bgp] peer 3.3.3.9 connect-interface LoopBack0
[*DeviceB-bgp] peer 3.3.3.9 next-hop-local
[*DeviceB-bgp] peer 4.4.4.9 as-number 20
[*DeviceB-bgp] peer 4.4.4.9 connect-interface LoopBack0
[*DeviceB-bgp] peer 4.4.4.9 next-hop-local
[*DeviceB-bgp] commit

配置DeviceC。

[~DeviceC] bgp 20
[*DeviceC-bgp] router-id 3.3.3.9
[*DeviceC-bgp] peer 2.2.2.9 as-number 20
[*DeviceC-bgp] peer 2.2.2.9 connect-interface LoopBack0
[*DeviceC-bgp] peer 4.4.4.9 as-number 20
[*DeviceC-bgp] peer 4.4.4.9 connect-interface LoopBack0
[*DeviceC-bgp] commit

配置DeviceD。

[~DeviceD] bgp 20
[*DeviceD-bgp] router-id 4.4.4.9
[*DeviceD-bgp] peer 2.2.2.9 as-number 20
[*DeviceD-bgp] peer 2.2.2.9 connect-interface LoopBack0
[*DeviceD-bgp] peer 3.3.3.9 as-number 20
[*DeviceD-bgp] peer 3.3.3.9 connect-interface LoopBack0
[*DeviceD-bgp] commit
配置EBGP连接

配置DeviceA。

[~DeviceA] bgp 10
[*DeviceA-bgp] router-id 1.1.1.9
[*DeviceA-bgp] peer 10.1.1.2 as-number 20
[*DeviceA-bgp] commit

配置DeviceB。

[*DeviceB-bgp] peer 10.1.1.1 as-number 10
[*DeviceB-bgp] commit

查看对等体的连接状态。

display bgp peer
BGP local router ID : 2.2.2.9
Local AS number : 20
Total number of peers : 3 Peers in established state : 3

Peer V AS MsgRcvd MsgSent OutQ Up/Down State PrefRcv

3.3.3.9 4 20 8 7 0 00:05:06 Established 0
4.4.4.9 4 20 8 10 0 00:05:33 Established 0
10.1.1.1 4 10 7 7 0 00:04:09 Established 0
可以看出，DeviceB到其他路由器的BGP连接均已建立。

在DeviceA和DeviceB之间配置GTSM功能。由于两台路由器直连，因此TTL到达对方的有效范围是[255, 255]。所以此处的valid-ttl-hops值取1。

在DeviceA上配置GTSM功能。

[~DeviceA] bgp 10
[*DeviceA-bgp] peer 10.1.1.2 valid-ttl-hops 1
[*DeviceA-bgp] commit

在DeviceB上配置EBGP连接的GTSM功能。

[~DeviceB] bgp 20
[*DeviceB-bgp] peer 10.1.1.1 valid-ttl-hops 1
[*DeviceB-bgp] commit

查看GTSM功能配置情况。

display bgp peer 10.1.1.1 verbose
BGP Peer is 10.1.1.1, remote AS 10
Type: EBGP link
BGP versio