MCR Filtragem de Rotas

Este tópico descreve a filtragem de rotas do Megaport Cloud Router (MCR). A filtragem de rotas oferece controle seletivo sobre quais redes são descobertas entre roteadores vizinhos do Border Gateway Protocol (BGP). A filtragem de rotas é configurada para influenciar o caminho de roteamento e gerenciar redundância, ao mesmo tempo em que melhora a segurança.

Este tópico inclui estas seções:

Peering do MCR

Visão geral da filtragem de rotas

A filtragem de rotas fornece controle sobre a instalação e a propagação de rotas do MCR, normalmente entre duas ou mais redes. As redes podem ser on-premises ou de um Cloud Service Provider (CSP). Você pode usar a filtragem de rotas para:

Redistribuir ou impedir a redistribuição de rotas entre Virtual Cross Connects (VXCs).
Criar um filtro de prefixo BGP que inclua um conjunto de blocos CIDR IPv4 ou IPv6 para gerenciar como um grupo.
Permitir ou negar rotas específicas em conexões específicas.

Anúncios de rotas de Peering padrão

MCR usa Border Gateway Protocol (BGP)Border Gateway Protocol (BGP) é um protocolo de roteamento padronizado projetado para trocar informações de rotas e de alcançabilidade entre sistemas autônomos (AS) na internet.
para trocar informações de alcançabilidade de rede com sistemas BGP adjacentes, conhecidos como neighbors ou peers. MCR funciona em arquiteturas multicloudO uso de múltiplos serviços de computação em nuvem em uma única arquitetura heterogênea. Por exemplo, uma empresa pode usar vários provedores de nuvem para serviços de infraestrutura (IaaS) e de software (SaaS). Uma das principais propostas de valor da Megaport é viabilizar a conectividade multicloud.
que são conectadas usando diferentes combinações de tipos de Peering. Além da conectividade de Peering privado, o MCR pode se conectar a tipos de Peering público como AWS, Azure, Oracle e outros provedores de cloud (CSPs).

O BGP se comunica entre dois vizinhos usando uma conexão TCP padrão. Por padrão, quando os vizinhos BGP estão conectados, eles compartilham informações de roteamento entre si. A conexão entre os vizinhos é chamada de conexão ou sessão BGP.

Peering do MCR

Sem usar quaisquer filtros de rotas, a Megaport anuncia rotas para conexões BGP com base nestes tipos de Peering:

Tipo de Peering	Rotas Anunciadas	Anunciadas para
Não cloud	Rotas do peer do Border Gateway Protocol (BGP) atrás de uma Port.	Não cloud, cloud privada, cloud pública
Cloud privada	Rotas de AWS Private, Azure Private Peer e Google Cloud Platform.	Não cloud, cloud privada
Cloud pública	Rotas de AWS Public, Azure MS Peer, Salesforce e outros provedores de cloud.	Não cloud

Como exemplo, uma rota recebida de uma conexão BGP de Cloud pública não será anunciada para uma conexão BGP de Cloud privada.

Você não pode substituir ou controlar o anúncio de rotas por tipo de Peering.

A filtragem de rotas não altera essa política de tipo de peer existente, mas fornece um controle mais refinado quando você precisa filtrar rotas ou prefixos específicos que, de outra forma, seriam descobertos e trocados entre vizinhos BGP. Os filtros de rota são opcionais. Os filtros de rota não podem ser usados para anunciar rotas que já são filtradas com base no tipo de peer.

Para detalhes sobre o anúncio de rotas padrão, consulte Anúncio de Rotas do MCR.

Selecionando um tipo de filtro

Você pode definir um filtro de rotas para especificar quais anúncios de rotas o MCR permite ou nega de vizinhos BGP. Você pode filtrar rotas por conexão BGP ou por prefixo. A filtragem de rotas oferece suporte a rotas IPv4 e/ou IPv6 para cada formato. Os dois tipos de filtro são:

Filtro de peer BGP – Um filtro tudo ou nada que permite ou nega a troca de rotas entre vizinhos BGP. Por exemplo, considere um deployment de rede com vizinhos BGP A, B e C. A e B podem trocar rotas entre si, mas não com C, enquanto todos os vizinhos podem trocar rotas com a matriz. A filtragem por peer BGP fornece uma maneira simples e direta de filtrar rotas entre os vizinhos para atender a esses requisitos.
Filtro de prefixo BGP – Um filtro avançado que permite ou nega rotas específicas usando prefixos de rotas (endereços IP ou intervalos) para identificar vizinhos individuais. Você pode aplicar o mesmo filtro de prefixo a mais de um vizinho BGP, eliminando a necessidade de digitar entradas de prefixo manuais e redundantes. Você pode especificar uma ação de permitir ou negar para cada prefixo na lista de filtros. Você pode aplicar listas diferentes usando direções de importação ou exportação.

Antes de começar

Antes de configurar um filtro de rotas, planeje a implementação determinando seus requisitos. Em seguida, crie um filtro de rotas com base nesses requisitos.

Considerações de implantação

Você precisa criar um MCR, conforme descrito em Criando um MCR.
Você pode configurar filtros de rota antes ou depois de configurar BGP, pois os filtros de rota funcionam em conexões BGP existentes ou novas.
Talvez você queira desligar a troca de rotas BGP se planeja adicionar várias sessões BGP em seus Virtual Cross Connects (VXCs) antes de elas trocarem informações de rotas e os filtros serem aplicados. Quando terminar a configuração, você pode acessar as sessões BGP relevantes e habilitá-las. Para obter mais informações, consulte Configurando um MCR.

Importante

A filtragem de rotas do MCR oferece suporte e depende do mecanismo BGP Route Refresh para atualizar rotas usando um soft reset quando os filtros alteram o roteamento. Se o Route Refresh não estiver habilitado em todas as conexões BGP ativas, você precisará desligar e reabilitar a conexão no Megaport Portal para atualizar as rotas. Se você tiver habilitado a opção BGP Shut Down, as rotas serão atualizadas quando você desabilitar o BGP Shut Down; isto é, reabilitar o BGP.

Filtrando por peer BGP

Por padrão, o MCR permite todas as rotas, a menos que sejam filtradas pela política de tipo de peer, conforme descrito em Anúncios de rotas de Peering padrão.

Você pode configurar uma política para cada par de conexões BGP configuradas no MCR para ajustar o roteamento. Os pareamentos BGP são unidirecionais, o que significa que cada par de conexões BGP tem duas políticas - uma de A para B e outra de B para A.

Uma política de filtro de peer BGP tem três ações possíveis:

Default (Padrão) – Segue a política padrão definida pela conexão BGP do tipo de Peering de origem.
Permit (Permitir) – Permite que as rotas recebidas do vizinho A sejam anunciadas ao vizinho B.
Deny (Negar) – Impede que as rotas recebidas do vizinho A sejam anunciadas ao vizinho B.

Exemplo de filtro de peer BGP

As conexões BGP A, B e C estão conectadas ao mesmo MCR.

A conexão A tem uma política global de permitir. Para filtrar rotas em direção à conexão B, a política de A para B pode ser definida como Negar sem afetar quaisquer rotas anunciadas para C.

A conexão C tem uma política global de negar. Para permitir que as rotas sejam anunciadas apenas para A, a política de C para A pode ser definida como Permitir. Se um novo peer BGP for adicionado posteriormente, as rotas de C seguirão a política global e não serão anunciadas.

Criando um filtro de peer BGP

Um filtro de peer BGP limita o número de rotas que foram anunciadas ou recebidas de vizinhos BGP.

Para criar um filtro de peer BGP

Selecione o VXC conectado ao MCR e selecione A End.
Ao lado da conexão BGP, clique em Edit (Editar).
Selecione a guia Filters (Filtros).
Em BGP Peer Filter, selecione se as rotas recebidas por esta conexão BGP são anunciadas para peers BGP por padrão ou por exceção.
Selecione uma Action para o peer BGP na lista suspensa Action.
Clique em Update (Atualizar).
Clique em Save (Salvar).

O Looking Glass do MCR exibe as rotas recebidas ou enviadas após aplicar a filtragem de rotas. Para obter mais informações, consulte Visualizando o Roteamento de Tráfego por meio do Looking Glass do MCR.

Filtrando por prefixo BGP

Um prefixo é a rede de destino da rota. Uma rede IP é um grupo de endereços IP. O endereço de rede é o prefixo.
Por exemplo:

Endereço IPv4: 192.0.2.1
Prefixo de rede IPv4: 192.0.2.0/24 (inclui 192.0.2.0 - 192.0.2.255)

Um filtro de prefixo é uma lista nomeada de redes IP. Cada entrada consiste em um prefixo CIDR IPv4 ou IPv6 ou em um intervalo de prefixos que você define e gerencia. Um intervalo CIDR significa que você pode filtrar várias redes usando uma única entrada de roteamento.

Um filtro de prefixo pode ser aplicado a uma conexão BGP para identificar seletivamente as rotas a anunciar ou a receber de roteadores vizinhos. Você também pode criar uma lista de rotas para não anunciar ou receber, permitindo todo o restante. Ao definir um filtro de prefixo, o MCR aceita apenas rotas que correspondam às informações de prefixo. Esse tipo de filtro é útil em ambientes com uma grande lista de prefixos e peers para gerenciar. Você pode aplicar o mesmo filtro de prefixo a mais de um peer BGP, reduzindo o trabalho manual e eliminando possíveis erros.

Um filtro de prefixo contém:

Uma lista de prefixos IPv4 ou IPv6 (por exemplo, 10.0.0.0/16) e um nome associado à lista.
Uma condição de correspondência. Você pode especificar correspondências exatas com rotas específicas ou correspondências menos precisas com base no comprimento do prefixo.
Uma ação que é executada se o prefixo e a condição de correspondência forem ambos verdadeiros (por exemplo, Permitir).

Em um filtro de prefixo, as regras são avaliadas de cima para baixo. A avaliação para na primeira correspondência. Uma negação implícita é aplicada às rotas que não correspondem a nenhuma entrada da lista de prefixos.

Ações da lista de filtro de prefixo

Filtragem de prefixo de entrada usando uma ação de permissão – MCR aplica o filtro de prefixo aos anúncios de rotas BGP de entrada do vizinho. Rotas que não correspondem aos prefixos desta lista são negadas no ponto mais antecipado possível e nunca são usadas pelo MCR.
Filtragem de prefixo de entrada usando uma ação de negação – MCR aplica o filtro de prefixo aos anúncios de rotas BGP de entrada do vizinho. As rotas que correspondem aos prefixos desta lista são bloqueadas. Todos os outros prefixos podem entrar na tabela de roteamento do MCR.
Filtragem de prefixo de saída usando uma ação de permissão – MCR aplica o filtro de prefixo às rotas de saída. Rotas que correspondem à lista de prefixos são anunciadas para o vizinho BGP e todas as outras rotas são filtradas.
Filtragem de prefixo de saída usando uma ação de negação – MCR aplica o filtro de prefixo às rotas de saída. Rotas que correspondem à lista de prefixos são bloqueadas para o vizinho BGP e todas as outras rotas são anunciadas.

Criando um filtro de prefixo BGP

Cada MCR pode gerenciar até 50 filtros de prefixo. Cada filtro de prefixo pode conter até 200 entradas de prefixo. Cada filtro de prefixo é independente e você pode aplicar apenas uma lista por vizinho BGP por vez.

Para criar um filtro de prefixo

Na página Serviços do Megaport Portal, selecione um MCR.
O MCR deve estar com status Live antes que você possa criar um filtro de prefixo.
A página Detalhes do MCR é exibida.
Em Configuração do MCR, selecione a guia Prefix Filter Lists (Listas de filtro de prefixo).
Clique em New List (Nova lista).
Insira um nome descritivo único para identificar o filtro. O comprimento mínimo da descrição é de 1 a 100 caracteres.
Esse nome de prefixo aparecerá na lista suspensa de listas de prefixo na seção Filtros da guia de Configuração BGP.

Nota

Filtros de prefixo não podem ser compartilhados entre MCRs. Você deve recriar filtros de prefixo para cada MCR.
Selecione o formato IPv4 ou IPv6.
Os prefixos devem usar o mesmo formato de endereçamento. Um aviso aparece se você tentar misturar os dois formatos na mesma lista.
Selecione uma posição para a regra.
A posição da regra é crítica porque a avaliação para na primeira correspondência e o restante da lista é ignorado. Se nenhuma condição corresponder, o MCR aplica uma negação implícita.
Selecione a ação a ser tomada para o filtro: Corresponder ou Não corresponder.
Insira as sub-redes de prefixo na notação CIDR. Para IPv4, use a.b.c.d/x, em que a.b.c.d é o prefixo exato e x é o comprimento exato do prefixo.

Nota

Este campo também aceita uma notação dotted-quad para a máscara de sub-rede (por exemplo, 255.255.255.0 em vez de /24).
Os prefixos podem ser somente de correspondência exata ou você pode especificar o número de bits na máscara para usar como critério de correspondência. Selecione os critérios da máscara de sub-rede:
- Exact (Exato) – Limita o filtro apenas a este prefixo específico. Quaisquer prefixos menores contidos dentro do prefixo não são correspondidos.
- Min and Max (Mínimo e Máximo) – Especifique um intervalo de comprimentos de máscara de sub-rede a corresponder para mais flexibilidade. Especifique quantos bits da máscara de sub-rede o filtro precisa corresponder, começando pelo bit mais significativo na posição mais à esquerda do endereço. Ao especificar um intervalo de máscara de sub-rede, o filtro passa a ter duas condições para corresponder: a rota deve estar dentro do limite a.b.c.d/x e deve ter um comprimento de máscara entre os valores mínimo e máximo. Prefixos mais curtos correspondem a mais endereços, enquanto prefixos mais longos correspondem a menos.
- Min (Mínimo) – O comprimento de prefixo inicial mínimo a ser correspondido. Os valores válidos são de 0 a 32 (IPv4), ou de 0 a 128 (IPv6). O Min não deve ser maior do que ou igual ao valor de Max.
- Max (Máximo) – O comprimento de prefixo final máximo a ser correspondido. O comprimento do prefixo é maior ou igual ao valor de Min. Os valores válidos são de 0 a 32 (IPv4), ou de 0 a 128 (IPv6), mas o Max não deve ser menor do que o valor de Min.
Por exemplo, 10.0.0.0/8 Min 16 corresponde a 10.0.0.0/16, 10.0.1.0/24, 10.0.0.1/30, mas não corresponde a 10.2.0.0/15.

Nota

Os valores Min e Max em um MCR são semelhantes aos valores ge e le da Cisco usados com o comando de CLI ip prefix-list.

Ao usar os valores Min e Max, você deve satisfazer esta condição:

Prefix length < Max <= Min
Clique em Save (Salvar).
Clique em Next (Próximo).

Nota

Use uma calculadora CIDR para garantir que todos os dados sejam válidos e estejam dentro do intervalo.

A próxima etapa é aplicar o filtro à conexão BGP, conforme descrito em Aplicando um filtro de prefixo a uma conexão BGP.

Exemplos de entradas de filtro

Correspondência exata em 1.2.3.0/24 – corresponde exatamente ao prefixo 1.2.3.0 com uma máscara de sub-rede de 255.255.255.0
Correspondência 192.2.3.0/24 min 32 – verifica os primeiros 24 bits do prefixo 192.2.3.0 que têm uma máscara de sub-rede de 32
Correspondência 10.0.12.0/24 max 32 – corresponde a todas as redes 10.0.12.x que têm uma máscara de sub-rede menor ou igual a 32

Criando um filtro de prefixo com base em um filtro de prefixo existente

Se você quiser criar um filtro semelhante a um filtro existente, poderá usar o filtro existente como base para o novo. Isso economiza o tempo de criar um novo filtro do zero.

Para criar um filtro de prefixo com base em um filtro existente

Selecione um MCR.
A página Detalhes do MCR é exibida.
Em Configuração do MCR, selecione a guia Prefix Filter Lists (Listas de filtro de prefixo).
Clique em Duplicate List (Duplicar lista).
Selecione a lista de filtros na qual você deseja basear a nova lista.
Insira um nome descritivo único para identificar o filtro.
Os nomes de prefixo aparecerão na lista suspensa de prefixos na guia Filtros da sessão BGP.
Faça quaisquer alterações nos parâmetros exclusivos deste filtro.
Clique em Save (Salvar).
Clique em Next (Próximo).

Aplicando um filtro de prefixo a uma conexão BGP

Filtros de prefixo são configurados diretamente no MCR e, em seguida, anexados a uma conexão BGP.

Para aplicar um filtro de prefixo

Selecione o VXC anexado ao MCR e selecione A End.
Ao lado da conexão BGP, clique em Edit (Editar).
Selecione a guia Filters (Filtros).
Em Filtro de Prefixo BGP, você pode aplicar um filtro de prefixo predefinido ao peer BGP para limitar o conjunto de rotas que serão recebidas do, ou anunciadas para o peer. Essas opções estão disponíveis:
- No Prefix Filter (Sem filtro de prefixo) – Permite todas as rotas. Nenhuma rota será filtrada.
- Permit List (Lista de permissão) – Permite apenas rotas que correspondem à lista de prefixos. Outras rotas serão filtradas.
- Deny List (Lista de negação) – Permite todas as rotas, exceto aquelas que correspondem à lista de prefixos selecionada.
Em Filtro de Prefixo de Importação ou Exportação, selecione o filtro na lista suspensa.
- Import (Importar) – MCR aplica o filtro de prefixo a anúncios de entrada do vizinho.
- Export (Exportar) – MCR aplica o filtro de prefixo a anúncios de saída para o vizinho.
Clique em Update (Atualizar).
Clique em Save (Salvar).

Após aplicar o filtro, habilite novamente a troca de rotas se ela estiver desabilitada. Para obter mais informações, consulte Editando um MCR.

Um filtro de prefixo pode ser anexado a mais de uma sessão BGP.

Mantendo filtros de prefixo

Em uma lista de filtro de prefixo, as regras podem ser adicionadas, excluídas e reordenadas.

Adicionando uma regra a um filtro de prefixo existente

Cada filtro de prefixo pode conter até 200 regras. Regras duplicadas não são permitidas.

Para adicionar uma regra a um filtro existente

Selecione um MCR na página Serviços.
A página Detalhes do MCR é exibida.
Em Configuração do MCR, selecione a guia Prefix Filter Lists (Listas de filtro de prefixo).
Selecione uma lista de prefixos na lista suspensa Lista de Filtro de Prefixo.
Adicione a regra.
Clique em Save (Salvar).

Você deve clicar em Save (Salvar) para aplicar as alterações de regra. Alternar para outra lista sem salvar gera um aviso de que as alterações serão perdidas.

Excluindo uma regra de um filtro de prefixo

Para excluir uma regra de um filtro

Selecione um MCR na página Serviços.
A página Detalhes do MCR é exibida.
Em Configuração do MCR, selecione a guia Prefix Filter Lists (Listas de filtro de prefixo).
Selecione uma lista de prefixos na lista suspensa Lista de Filtro de Prefixo.
Selecione uma regra.
Clique em Delete (Excluir).
Clique em Save (Salvar).

Reordenando regras em um filtro de prefixo

Em uma lista de filtro de prefixo, a posição da regra é crítica porque as regras são avaliadas uma de cada vez, começando do topo da lista para baixo. A avaliação para na primeira correspondência.

Para reordenar a posição de uma regra

Arraste o ícone na coluna Posição para um local diferente e solte.

Excluindo uma lista de filtro de prefixo

Para excluir uma lista de filtro de prefixo, você deve primeiro remover quaisquer outros recursos que façam referência a ela, como VXCs. Se você tentar excluir uma lista de filtro de prefixo antes de remover seus recursos, uma caixa de diálogo listará os recursos em uso.

Nota

Todas as listas de prefixo são removidas automaticamente de um MCR quando ele é encerrado.

Para excluir um filtro de prefixo

Selecione um MCR na página Serviços.
A página Detalhes do MCR é exibida.
Em Configuração do MCR, selecione a guia Prefix Filter Lists (Listas de filtro de prefixo).
Selecione uma lista de prefixos na lista suspensa Lista de Filtro de Prefixo.
Clique em Delete List (Excluir lista).
Clique em Save (Salvar).

Validando rotas após aplicar filtros

O Looking Glass do MCR exibe as rotas recebidas ou enviadas após aplicar a filtragem de rotas. Para obter mais informações, consulte Visualizando o Roteamento de Tráfego por meio do Looking Glass do MCR.

Para visualizar as rotas após aplicar um filtro de rotas

Escolha Tools > MCR Looking Glass.
Selecione um MCR na lista suspensa MCR.
Ao lado do VXC, clique em Neighbour Routes (Rotas do vizinho).
Ao lado de Show, selecione as abas Advertised (Anunciadas) ou Received (Recebidas) para restringir a lista.