Verificação de encaminhamento de caminho reverso da Unicast para VPNs

Visão geral do Unicast RPF para switches

O Unicast RPF funciona como um filtro de ingresso que reduz o encaminhamento de pacotes IP que podem estar falsificando um endereço. Por padrão, o RPF unicast é desativado nas interfaces do switch. O switch oferece suporte apenas ao método de caminhos ativos para determinar o melhor caminho de retorno de volta a um endereço de origem unicast. O método de caminhos ativos analisa a melhor entrada de caminho reverso na tabela de encaminhamento. Ele não considera rotas alternativas especificadas usando métodos específicos do protocolo de roteamento ao determinar o melhor caminho de retorno.

Se a tabela de encaminhamento lista a interface de recebimento como a interface a ser usada para encaminhar o pacote de volta à sua fonte unicast, ela é a melhor interface de caminho de retorno.

Implementação do Unicast RPF

• Filtragem de pacotes RPF unicast
• Solicitações de Bootstrap Protocol (BOOTP) e DHCP
• Tratamento padrão de rotas

Quando habilitar o RPF unicast

Habilite o RPF unicast quando você quiser garantir que o tráfego que chega em uma interface de rede venha de uma fonte que reside em uma rede que a interface pode alcançar. Você pode habilitar RPF unicast em interfaces não confiáveis para filtrar pacotes falsificados. Por exemplo, um aplicativo comum para RPF unicast é ajudar a defender uma rede empresarial contra ataques DoS/DDoS provenientes da Internet.

Habilite o RPF unicast apenas em interfaces simétricas roteadas e, o mais perto possível, a origem do tráfego interrompe o tráfego falsificado antes que ele possa proliferar ou alcançar interfaces que não tenham RPF unicast habilitado. Como o RPF unicast é habilitado globalmente nos switches EX3200, EX4200 e EX4300, garanta que todas as interfaces sejam roteadas simetricamente antes de habilitar RPF unicast nesses switches, como mostrado na Figura 1. Habilitar RPF unicast em interfaces assimétricas resulta em pacotes de fontes legítimas sendo filtrados. Uma interface simétricamente roteada usa a mesma rota em ambas as direções entre a origem e o destino.

O Unicast RPF é habilitado globalmente em switches EX3200, EX4200 e EX4300 para, com esses dispositivos, ter certeza de que todas as interfaces são roteadas simétricamente antes de habilitar RPF unicast nesses switches. Habilitar RPF unicast em interfaces assimétricas resulta em pacotes de fontes legítimas sendo filtrados.

Figura 1: Interfaces simétricas roteadas

As interfaces de switch a seguir são mais propensas a serem roteadas simétricamente e, portanto, são candidatos a RPF unicast habilitando:

• A borda do provedor de serviços para um cliente

• A borda do cliente para um provedor de serviços

• Um único ponto de acesso fora da rede (geralmente no perímetro da rede)

• Uma rede terminal que tem apenas um link

Nos switches EX3200, EX4200 e EX4300, recomendamos que você habilite RPF unicast explicitamente em todas as interfaces ou apenas em uma interface. Para evitar possíveis confusões, não a habilite apenas em algumas interfaces:

• Habilitar RPF unicast explicitamente em apenas uma interface torna mais fácil se você optar por desabilitar no futuro, porque você deve desativar explicitamente RPF unicast em cada interface na qual você a habilitou explicitamente. Se você habilita explicitamente o RPF unicast em duas interfaces e o desativa em apenas uma interface, o RPF unicast ainda está implícito habilitado globalmente no switch. A desvantagem dessa abordagem é que o switch exibe a bandeira que indica que o RPF unicast é habilitado apenas em interfaces nas quais o RPF unicast está explicitamente habilitado, portanto, mesmo que o RPF unicast esteja habilitado em todas as interfaces, esse status não é exibido.

• Habilitar rPF unicast explicitamente em todas as interfaces torna mais fácil saber se o RPF unicast está habilitado no switch porque cada interface mostra o status correto. (Somente interfaces nas quais você habilita explicitamente o RPF unicast exibem a bandeira que indica que o RPF unicast está habilitado.) A desvantagem dessa abordagem é que, se você quiser desativar o RPF unicast, você deve desabilitar explicitamente em todas as interfaces. Se o RPF unicast for habilitado em qualquer interface, ele estará implícito em todas as interfaces.

Quando não habilitar o RPF unicast

Normalmente, você não habilitará RPF unicast se:

• As interfaces dos switches são multihomed.

• Interfaces de switch são interfaces confiáveis.

• O BGP está carregando prefixos e alguns desses prefixos não são anunciados ou não são aceitos pelo ISP sob sua política. (O efeito neste caso é o mesmo que filtrar uma interface usando uma lista de acesso incompleta.)

• As interfaces de switch enfrentam o núcleo da rede. As interfaces voltadas para o núcleo geralmente são roteadas assimétricamente.

Uma interface roteada assimétrica usa caminhos diferentes para enviar e receber pacotes entre a origem e o destino, conforme mostrado na Figura 2. Isso significa que, se uma interface receber um pacote, essa interface não corresponderá à entrada da tabela de encaminhamento como o melhor caminho de retorno de volta à fonte. Se a interface de recebimento não for o melhor caminho de retorno para a origem de um pacote, o RPF unicast faz com que o switch descarte o pacote mesmo que ele venha de uma fonte válida.

Figura 2: Interfaces roteadas assimétricas

Limitações da implementação de RPF unicast nos switches EX3200, EX4200 e EX4300

Nos switches EX3200, EX4200 e EX4300, o switch implementa RPF unicast globalmente. Você não pode habilitar RPF unicast por interface. O Unicast RPF é desativado globalmente por padrão.

• Quando você habilita o RPF unicast em qualquer interface, ele é ativado automaticamente em todas as interfaces de switch, incluindo grupos de agregação de enlace (LAGs), interfaces integradas de roteamento e ponte (IRB) e interfaces VLAN roteadas (RVIs).

• Quando você desativa RPF unicast na interface (ou interfaces) na qual habilita rPF unicast, ele é desativado automaticamente em todas as interfaces do switch.

Switches QFX, switches OCX e switches EX3200 e EX4200 não executam filtragem de RPF unicast em tráfego multicaminho de custo igual (ECMP). A verificação de RPF unicast examina apenas um caminho de retorno melhor para a fonte do pacote, mas o tráfego ECMP emprega um bloco de endereços que consiste em vários caminhos. O uso de RPF unicast para filtrar o tráfego de ECMP nesses switches pode resultar no descarte de pacotes que você deseja encaminhar porque o filtro RPF unicast não examina todo o bloco de endereçoS ECMP.