MCR Routenfilterung

Dieses Thema beschreibt die Routenfilterung für Megaport Cloud Router (MCR). Routenfilterung bietet eine selektive Steuerung darüber, welche Netzwerke zwischen Border-Gateway-Protocol-(BGP)-Nachbarroutern bekannt gemacht werden. Route-Filter werden konfiguriert, um den Routing-Pfad zu beeinflussen, Redundanz zu verwalten und die Sicherheit zu verbessern.

Dieses Thema enthält die folgenden Abschnitte:

MCR peering

Übersicht zur Routenfilterung

Routenfilterung ermöglicht die Kontrolle über die Installation und Weitergabe von MCR-Routen, typischerweise zwischen zwei oder mehreren Netzwerken. Die Netzwerke können lokal (on-premises) oder bei einem Cloud Service Provider (CSP) liegen.
Sie können Route-Filter verwenden, um:

Routen zwischen Virtual Cross Connects (VXCs) weiterzugeben oder die Weitergabe zu verhindern.
Einen BGP-Präfixfilter zu erstellen, der eine Gruppe von IPv4- oder IPv6-CIDR-Blöcken als Einheit verwaltet.
Bestimmte Routen auf bestimmten Verbindungen zu erlauben oder zu blockieren.

Standardmäßige Peering-Routen-Ankündigungen

MCR verwendet Border Gateway Protocol (BGP)Border Gateway Protocol (BGP) ist ein standardisiertes Routing-Protokoll, das Routen- und Erreichbarkeitsinformationen zwischen Autonomen Systemen (AS) im Internet austauscht.
, um Informationen zur Erreichbarkeit von Netzwerken mit benachbarten BGP-Systemen auszutauschen, die als Nachbarn oder Peers bezeichnet werden. MCR arbeitet in MulticloudDie Nutzung mehrerer Cloud-Computing-Services in einer einzigen heterogenen Architektur. Zum Beispiel könnte ein Unternehmen mehrere Cloud-Provider für Infrastruktur-Services (IaaS) und Software-Services (SaaS) nutzen. Eines der zentralen Wertversprechen von Megaport ist die Ermöglichung von Multicloud-Konnektivität.
-Architekturen, die mit verschiedenen Kombinationen von Peering-Typen verbunden sind. Zusätzlich zur privaten Peering-Konnektivität kann der MCR mit öffentlichen Peering-Typen wie AWS, Azure, Oracle und anderen Cloud-Anbietern verbunden sein.

BGP kommuniziert zwischen zwei Nachbarn über eine standardmäßige TCP-Verbindung. Standardmäßig tauschen sich die BGP-Nachbarn nach dem Aufbau der Verbindung Routing-Informationen aus. Die Verbindung zwischen den Nachbarn wird als BGP-Verbindung oder BGP-Session bezeichnet.

MCR peering

Ohne Route-Filter kündigt Megaport Routen an BGP-Verbindungen basierend auf diesen Peering-Typen an:

Peering-Typ	Angekündigte Routen	Angekündigt an
Non-cloud	Routen vom BGP-Peer hinter einem Port.	Non-cloud, private cloud, public cloud
Private cloud	Routen von AWS Private, Azure Private Peer und Google Cloud Platform.	Non-cloud, private cloud
Public cloud	Routen von AWS Public, Azure MS Peer, Salesforce und anderen Cloud-Anbietern.	Non-cloud

Als Beispiel: Eine von einer Public-Cloud-BGP-Verbindung empfangene Route wird nicht an eine Private-Cloud-BGP-Verbindung weitergegeben.

Sie können das Ankündigungsverhalten basierend auf dem Peering-Typ nicht überschreiben oder steuern.

Routenfilterung ändert diese bestehende Peer-Typ-Richtlinie nicht, bietet jedoch feinere Steuerungsmöglichkeiten, wenn Sie bestimmte Routen oder Präfixe filtern müssen, die sonst zwischen BGP-Nachbarn ausgetauscht würden. Route-Filter sind optional. Mit Route-Filtern können Sie keine Routen ankündigen, die bereits aufgrund des Peering-Typs herausgefiltert werden.

Details zur standardmäßigen Routen-Ankündigung finden Sie unter MCR Routenankündigung.

Auswahl eines Filtertyps

Sie können einen Route-Filter festlegen, um zu definieren, welche Routenankündigungen der MCR von BGP-Nachbarn zulässt oder ablehnt. Sie können Routen nach BGP-Verbindung oder nach Präfix filtern. Die Routenfilterung unterstützt IPv4- und/oder IPv6-Routen für jedes Format. Die beiden Filtertypen sind:

BGP-Peer-Filter – Ein All-or-Nothing-Filter, der den Routenaustausch zwischen BGP-Nachbarn erlaubt oder verbietet. Beispielsweise sei ein Netzwerk mit den BGP-Nachbarn A, B und C gegeben. A und B dürfen Routen austauschen, nicht jedoch mit C, während alle Nachbarn Routen mit der Zentrale austauschen können. BGP-Peer-Filter bieten eine einfache Möglichkeit, Routen zwischen Nachbarn zu filtern, um solche Anforderungen zu erfüllen.
BGP-Präfix-Filter – Ein erweiterter Filter, der spezifische Routen mittels Präfixen (IP-Adressen oder Adressbereiche) erlaubt oder ablehnt, um einzelne Nachbarn zu identifizieren. Sie können denselben Präfixfilter auf mehr als einen BGP-Nachbarn anwenden, was redundante manuelle Präfixeinträge überflüssig macht. Sie können für jeden Präfix in der Liste eine Permit- oder Deny-Aktion angeben und unterschiedliche Listen für Import- oder Export-Richtungen anwenden.

Bevor Sie beginnen

Bevor Sie einen Route-Filter konfigurieren, planen Sie die Implementierung, indem Sie Ihre Anforderungen ermitteln. Erstellen Sie dann einen Route-Filter basierend auf diesen Anforderungen.

Bereitstellungsüberlegungen

Sie müssen ein MCR erstellen, wie unter Erstellen eines MCR beschrieben.
Sie können Route-Filter vor oder nach der Konfiguration von BGP einrichten, da Route-Filter für vorhandene oder neue BGP-Verbindungen gelten.
Möglicherweise möchten Sie den BGP-Routenaustausch deaktivieren, wenn Sie mehrere BGP-Sitzungen über Ihre Virtual Cross Connects (VXCs) hinzufügen, bevor sie Routing-Informationen austauschen und Route-Filter angewendet werden. Nachdem Sie die Konfiguration abgeschlossen haben, können Sie die jeweiligen BGP-Sitzungen wieder aktivieren. Weitere Informationen: Konfigurieren eines MCR.

Wichtig

Die Routenfilterung des MCR unterstützt und stützt sich auf den BGP Route Refresh-Mechanismus, um Routen mittels eines Soft-Resets zu aktualisieren, wenn Filter die Routen ändern. Wenn Route Refresh nicht auf allen aktiven BGP-Verbindungen aktiviert ist, müssen Sie die Verbindung im Megaport Portal herunterfahren und wieder aktivieren, um Routen zu aktualisieren. Wenn Sie die Option BGP Shut Down aktiviert haben, werden die Routen beim Deaktivieren der BGP Shut Down-Option (also beim erneuten Aktivieren von BGP) aktualisiert.

Filtern nach BGP-Peer

Standardmäßig erlaubt der MCR alle Routen, sofern sie nicht bereits durch die Peer-Typ-Richtlinie gefiltert sind (siehe Standardmäßige Peering-Routen-Ankündigungen).

Sie können für jedes Paar von BGP-Verbindungen, die auf dem MCR konfiguriert sind, eine Richtlinie zur Feinabstimmung des Routings konfigurieren. Die BGP-Paarungen sind unidirektional, das heißt, jedes Paar von BGP-Verbindungen hat zwei Richtlinien — eine für A nach B und eine andere für B nach A.

Eine BGP-Peer-Filter-Richtlinie kann eine der drei Aktionen haben:

Default – Befolgt die Standardrichtlinie, die durch den Quell-Peering-Typ der BGP-Verbindung definiert ist.
Permit – Erlaubt, dass Routen, die von Nachbar A empfangen wurden, an Nachbar B angekündigt werden.
Deny – Verhindert, dass Routen, die von Nachbar A empfangen wurden, an Nachbar B angekündigt werden.

Beispiel für einen BGP-Peer-Filter

Die BGP-Verbindungen A, B und C sind mit demselben MCR verbunden.

Verbindung A hat eine globale Permit-Richtlinie. Um Routen in Richtung Verbindung B zu filtern, kann die A→B-Richtlinie auf Deny gesetzt werden, ohne die an C angekündigten Routen zu beeinflussen.

Verbindung C hat eine globale Deny-Richtlinie. Um Routen nur an A zu erlauben, kann die C→A-Richtlinie auf Permit gesetzt werden. Wenn später ein neuer BGP-Peer hinzugefügt wird, folgen die Routen von C der globalen Richtlinie und werden nicht automatisch an den neuen Peer angekündigt.

Erstellen eines BGP-Peer-Filters

Ein BGP-Peer-Filter begrenzt die Anzahl der Routen, die an BGP-Nachbarn angekündigt oder von ihnen empfangen werden.

So erstellen Sie einen BGP-Peer-Filter

Wählen Sie das VXC aus, das an das MCR angeschlossen ist, und wählen Sie A-End.
Klicken Sie neben der BGP-Verbindung auf Edit.
Wählen Sie die Registerkarte Filters.
Unter BGP Peer Filter wählen Sie aus, ob die über diese BGP-Verbindung empfangenen Routen standardmäßig oder ausnahmsweise an BGP-Peers weitergegeben werden sollen.
Wählen Sie im Aktions-Dropdown eine Aktion für den BGP-Peer aus.
Klicken Sie auf Update.
Klicken Sie auf Save.

Das MCR Looking Glass zeigt die Routen an, die nach dem Anwenden der Route-Filter empfangen oder gesendet wurden. Weitere Informationen: Anzeigen des Traffic-Routings über MCR Looking Glass.

Filtern nach BGP-Präfix

Ein Präfix ist das Zielnetzwerk einer Route. Ein IP-Netzwerk ist eine Gruppe von IP-Adressen. Die Netzwerkadresse ist das Präfix.
Beispiel:

IPv4-Adresse: 192.0.2.1
IPv4-Netzwerkpräfix: 192.0.2.0/24 (umfasst 192.0.2.0–192.0.2.255)

Ein Präfixfilter ist eine benannte Liste von IP-Netzwerken. Jeder Eintrag besteht aus einem IPv4- oder IPv6-CIDR-Präfix oder einem Bereich von Präfixen, den Sie definieren und verwalten. Ein CIDR-Bereich ermöglicht es, mehrere Netzwerke mit einem einzigen Routing-Eintrag zu filtern.

Ein Präfixfilter kann auf eine BGP-Verbindung angewendet werden, um selektiv zu bestimmen, welche Routen von Nachbarroutern angekündigt oder empfangen werden. Sie können auch eine Liste erstellen mit Routen, die nicht angekündigt oder empfangen werden sollen, wobei alle anderen Routen zugelassen werden. Wenn Sie einen Präfixfilter definieren, akzeptiert der MCR nur Routen, die mit den Präfixangaben übereinstimmen. Dieser Filtertyp ist in Umgebungen mit einer großen Anzahl von Präfixen und Peers nützlich. Sie können denselben Präfixfilter auf mehr als einen BGP-Peer anwenden, um manuelle Arbeit zu reduzieren und Fehler zu vermeiden.

Ein Präfixfilter enthält:

Eine Liste von IPv4- oder IPv6-Präfixen (z. B. 10.0.0.0/16) und einen zugehörigen Namen.
Eine Match-Bedingung. Sie können exakte Übereinstimmungen mit spezifischen Routen angeben oder weniger präzise Übereinstimmungen basierend auf der Präfixlänge verwenden.
Eine Aktion, die ausgeführt wird, wenn sowohl das Präfix als auch die Match-Bedingung zutreffen (z. B. Permit).

In einem Präfixfilter werden Regeln von oben nach unten evaluiert. Die Auswertung endet bei der ersten Übereinstimmung. Für Routen, die keinem Eintrag entsprechen, wird implizit verweigert (implicit deny).

Aktionen für Präfixlisten

Eingehende Präfixfilterung mit Permit-Aktion – MCR wendet die Präfixliste auf eingehende BGP-Routenankündigungen des Nachbarn an. Routen, die nicht mit den Präfixen in dieser Liste übereinstimmen, werden frühzeitig verweigert und vom MCR nie verwendet.
Eingehende Präfixfilterung mit Deny-Aktion – MCR wendet die Präfixliste auf eingehende BGP-Routenankündigungen des Nachbarn an. Routen, die mit den Präfixen in dieser Liste übereinstimmen, werden blockiert. Alle anderen Präfixe werden in die Routing-Tabelle des MCR aufgenommen.
Ausgehende Präfixfilterung mit Permit-Aktion – MCR wendet die Präfixliste auf ausgehende Routen an. Routen, die mit der Präfixliste übereinstimmen, werden dem BGP-Nachbar angekündigt; alle anderen Routen werden gefiltert.
Ausgehende Präfixfilterung mit Deny-Aktion – MCR wendet die Präfixliste auf ausgehende Routen an. Routen, die mit der Präfixliste übereinstimmen, werden gegenüber dem BGP-Nachbar blockiert; alle anderen Routen werden angekündigt.

Erstellen eines BGP-Präfixfilters

Jeder MCR kann bis zu 50 Präfixfilter verwalten. Jeder Präfixfilter kann bis zu 200 Präfixeinträge enthalten.
Jeder Präfixfilter ist unabhängig; pro BGP-Nachbar kann immer nur eine Liste angewendet werden.

So erstellen Sie eine Präfixliste

Öffnen Sie die Services-Seite des Megaport Portal und wählen Sie ein MCR aus.
Das MCR muss den Status Live haben, bevor Sie einen Präfixfilter erstellen können.
Die Detailseite des MCR wird angezeigt.
Unter MCR Configuration wählen Sie die Registerkarte Prefix Filter Lists.
Klicken Sie auf New List.
Geben Sie einen eindeutigen beschreibenden Namen zur Identifikation des Filters ein. Die minimale Beschreibungslänge liegt zwischen 1 und 100 Zeichen.
Dieser Präfixname erscheint in der Dropdown-Liste der Präfixlisten unter dem Filters-Abschnitt der BGP-Konfigurationsregisterkarte.

Hinweis

Präfixfilter können nicht zwischen MCRs geteilt werden. Sie müssen Präfixfilter für jedes MCR neu erstellen.
Wählen Sie entweder IPv4- oder IPv6-Format.
Die Präfixe müssen dasselbe Adressformat verwenden. Eine Warnung erscheint, wenn Sie versuchen, die beiden Formate in derselben Liste zu mischen.
Wählen Sie eine Position für die Regel.
Die Regelposition ist kritisch, da die Auswertung bei der ersten Übereinstimmung stoppt und der Rest der Liste ignoriert wird. Wenn keine Bedingungen zutreffen, wendet der MCR ein implizites Deny an.
Wählen Sie die Aktion für den Filter: Match oder Don’t Match.
Geben Sie die Präfix-Subnetze in CIDR-Notation ein. Für IPv4 verwenden Sie a.b.c.d/x, wobei a.b.c.d das exakte Präfix ist und x die Präfixlänge angibt.

Hinweis

Dieses Feld akzeptiert auch die dotted-quad-Notation für die Subnetzmaske (z. B. 255.255.255.0 anstelle von /24).
Präfixe können nur exakte Übereinstimmungen sein oder Sie können die Anzahl der Bits in der Maske als Matching-Kriterium angeben. Wählen Sie die Kriterien für die Subnetzmaske:
- Exact – Beschränkt den Filter auf genau dieses Präfix. Kleinere Präfixe, die innerhalb dieses Präfixes liegen, werden nicht übereinstimmen.
- Min and Max – Geben Sie einen Bereich von Subnetzlängen an, um flexiblere Übereinstimmungen zu ermöglichen. Geben Sie an, wie viele Bits der Subnetzmaske der Filter abgleichen muss, beginnend mit dem höchstwertigen Bit an der linken Position der Adresse. Wenn Sie einen Subnetzmaskenbereich angeben, hat der Filter nun zwei Bedingungen: Die Route muss innerhalb der a.b.c.d/x-Grenze liegen und eine Maskenlänge zwischen Min und Max haben. Kürzere Präfixe matchen mehr Adressen, längere Präfixe weniger.
- Min – Die minimale Startpräfixlänge, die gematcht werden soll. Zulässige Werte: 0–32 (IPv4) oder 0–128 (IPv6). Min darf nicht größer als Max sein.
- Max – Die maximale Endpräfixlänge, die gematcht werden soll. Die Präfixlänge ist größer oder gleich Min. Zulässige Werte: 0–32 (IPv4) oder 0–128 (IPv6); Max darf nicht kleiner als Min sein.
Zum Beispiel: 10.0.0.0/8 Min 16 matcht 10.0.0.0/16, 10.0.1.0/24, 10.0.0.1/30, aber nicht 10.2.0.0/15.

Hinweis

Die Min- und Max-Werte beim MCR sind ähnlich den Cisco-Parametern ge und le, die mit dem CLI-Befehl ip prefix-list verwendet werden.

Bei Verwendung der Min- und Max-Werte müssen Sie diese Bedingung erfüllen:

Prefix length < Max <= Min
Klicken Sie auf Save.
Klicken Sie auf Next (Weiter).

Hinweis

Verwenden Sie einen CIDR-Rechner, um sicherzustellen, dass alle Angaben gültig und innerhalb des erlaubten Bereichs liegen.

Der nächste Schritt besteht darin, den Filter auf die BGP-Verbindung anzuwenden, wie unter Anwenden eines Präfixfilters auf eine BGP-Verbindung beschrieben.

Beispielhafte Filtereinträge

Exakte Übereinstimmung für 1.2.3.0/24 – stimmt exakt mit dem Präfix 1.2.3.0 und Subnetzmaske 255.255.255.0 überein
Match 192.2.3.0/24 min 32 – überprüft die ersten 24 Bits des Präfixes 192.2.3.0 mit einer Subnetzmaske von 32
Match 10.0.12.0/24 max 32 – matcht alle 10.0.12.x-Netzwerke, die eine Subnetzmaske kleiner oder gleich 32 haben

Erstellen eines Präfixfilters basierend auf einem vorhandenen Präfixfilter

Wenn Sie einen Filter erstellen möchten, der einem vorhandenen ähnlich ist, können Sie den bestehenden Filter als Basis verwenden. Das spart Zeit gegenüber der Neuanlage eines Filters.

So erstellen Sie einen Präfixfilter basierend auf einem vorhandenen Filter

Wählen Sie ein MCR.
Die Detailseite des MCR wird angezeigt.
Unter MCR Configuration wählen Sie die Registerkarte Prefix Filter Lists.
Klicken Sie auf Duplicate List.
Wählen Sie die Filterliste aus, auf der Sie die neue Liste basieren möchten.
Geben Sie einen eindeutigen, beschreibenden Namen zur Identifikation des Filters ein. Präfixnamen erscheinen in der Dropdown-Liste der Präfixe unter dem Filters-Tab für die BGP-Session.
Nehmen Sie alle Änderungen an Parametern vor, die für diesen Filter einzigartig sein sollen.
Klicken Sie auf Save.
Klicken Sie auf Next (Weiter).

Anwenden eines Präfixfilters auf eine BGP-Verbindung

Präfixfilter werden direkt auf dem MCR konfiguriert und dann an eine BGP-Verbindung gehängt.

So wenden Sie einen Präfixfilter an

Wählen Sie das VXC aus, das an das MCR angeschlossen ist, und wählen Sie A-End.
Klicken Sie neben der BGP-Verbindung auf Edit.
Wählen Sie die Registerkarte Filters.
Unter BGP Prefix Filter können Sie eine vordefinierte Präfixliste auf den BGP-Peer anwenden, um die Menge der Routen zu begrenzen, die vom Peer empfangen oder an den Peer angekündigt werden. Diese Optionen sind verfügbar:
- No Prefix Filter – Erlaubt alle Routen. Es werden keine Routen gefiltert.
- Permit List – Erlaubt nur Routen, die mit der Präfixliste übereinstimmen. Andere Routen werden gefiltert.
- Deny List – Erlaubt alle Routen außer denen, die mit der ausgewählten Präfixliste übereinstimmen.
Unter Import oder Export Prefix Filter wählen Sie den Filter aus der Dropdown-Liste:
- Import – MCR wendet die Präfixliste auf eingehende Ankündigungen des Nachbarn an.
- Export – MCR wendet die Präfixliste auf ausgehende Ankündigungen an den Nachbarn an.
Klicken Sie auf Update.
Klicken Sie auf Save.

Nachdem Sie den Filter angewendet haben, aktivieren Sie den Routenaustausch wieder, falls er deaktiviert ist. Weitere Informationen: Bearbeiten eines MCR.

Ein Präfixfilter kann an mehr als eine BGP-Session angehängt werden.

Pflege von Präfixfiltern

In einer Präfixfilter-Liste können Regeln hinzugefügt, gelöscht und neu geordnet werden.

Hinzufügen einer Regel zu einem bestehenden Präfixfilter

Jeder Präfixfilter kann bis zu 200 Regeln enthalten. Doppelte Regeln sind nicht zulässig.

So fügen Sie einer bestehenden Liste eine Regel hinzu

Wählen Sie ein MCR auf der Services-Seite.
Die Detailseite des MCR wird angezeigt.
Unter MCR Configuration wählen Sie die Registerkarte Prefix Filter Lists.
Wählen Sie eine Präfixliste aus der Dropdown-Liste Prefix Filter List.
Fügen Sie die Regel hinzu.
Klicken Sie auf Save.

Sie müssen Save klicken, um Regeländerungen anzuwenden. Das Wechseln zu einer anderen Liste ohne Speichern löst eine Warnung aus, dass die Änderungen verloren gehen.

Löschen einer Regel aus einem Präfixfilter

So löschen Sie eine Regel aus einer Liste

Wählen Sie ein MCR auf der Services-Seite.
Die Detailseite des MCR wird angezeigt.
Unter MCR Configuration wählen Sie die Registerkarte Prefix Filter Lists.
Wählen Sie eine Präfixliste aus der Dropdown-Liste Prefix Filter List.
Wählen Sie eine Regel aus.
Klicken Sie auf Delete.
Klicken Sie auf Save.

Neuordnen von Regeln in einer Präfixfilterliste

In einer Präfixfilterliste ist die Regelposition kritisch, weil Regeln nacheinander von oben nach unten ausgewertet werden. Die Auswertung stoppt bei der ersten Übereinstimmung.

So ändern Sie die Reihenfolge einer Regel

Ziehen Sie das Symbol in der Spalte Position an eine andere Stelle und lassen Sie es los.

Löschen einer Präfixfilterliste

Um eine Präfixfilterliste zu löschen, müssen Sie zuerst alle Ressourcen entfernen, die auf sie verweisen, z. B. VXCs. Wenn Sie versuchen, eine Liste zu löschen, die noch verwendet wird, zeigt ein Dialog die referenzierten Ressourcen an.

Hinweis

Alle Präfixlisten werden automatisch von einem MCR entfernt, wenn dieser terminiert wird.

So löschen Sie eine Präfixfilterliste

Wählen Sie ein MCR auf der Services-Seite.
Die Detailseite des MCR wird angezeigt.
Unter MCR Configuration wählen Sie die Registerkarte Prefix Filter Lists.
Wählen Sie eine Präfixliste aus der Dropdown-Liste Prefix Filter List.
Klicken Sie auf Delete List.
Klicken Sie auf Save.

Validieren von Routen nach dem Anwenden von Filtern

Das MCR Looking Glass zeigt die Routen an, die nach dem Anwenden der Route-Filter empfangen oder gesendet wurden.
Weitere Informationen: Anzeigen des Traffic-Routings über MCR Looking Glass.

So zeigen Sie die Routen nach dem Anwenden eines Route-Filters an

Wählen Sie Tools > MCR Looking Glass.
Wählen Sie ein MCR aus der MCR-Dropdown-Liste.
Klicken Sie neben dem VXC auf Neighbour Routes.
Wählen Sie neben Show die Registerkarte Advertised oder Received, um die Liste einzuschränken.