Ejemplos: Configuración de MSDP

Antes de comenzar:

• Configure las interfaces del enrutador.

• Configure un protocolo de puerta de enlace interior o enrutamiento estático. Consulte la biblioteca de protocolos de enrutamiento de Junos OS para dispositivos de enrutamiento.

• Habilite PIM. Consulte Descripción general de PIM.

Puede configurar MSDP en los siguientes tipos de instancias:

• Expedición

• Sin reenvío

• Enrutador virtual

• VPLS

• VRF

El uso principal de MSDP en una instancia de enrutamiento es admitir RPs de difusión en la red, lo que le permite configurar RPs redundantes. La direccionamiento rp de anycast requiere compatibilidad con MSDP para sincronizar las fuentes activas entre RPs.

En este ejemplo, se incluyen las siguientes opciones de configuración de MSDP.

• clave de autenticación: de forma predeterminada, los enrutadores de multidifusión aceptan y procesan cualquier mensaje MSDP formateado correctamente desde la dirección del par configurada. Este comportamiento predeterminado puede infringir las políticas de seguridad en muchas organizaciones, ya que los mensajes MSDP por definición provienen de otro dominio de enrutamiento más allá del control de las prácticas de seguridad de la organización del enrutador de multidifusión.

  El enrutador puede autenticar mensajes MSDP mediante la opción de firma de resumen de mensajes TCP 5 (MD5) para sesiones de emparejamiento MSDP. Esta autenticación proporciona protección contra paquetes suplantados que se introducen en una sesión de emparejamiento MSDP. Dos organizaciones que implementan la autenticación MSDP deben decidir sobre una clave legible para el hombre en ambos pares. Esta clave se incluye en el cálculo de firma MD5 para cada segmento MSDP enviado entre los dos pares.

  Configure una clave de autenticación MSDP por par, ya sea que el par MSDP esté definido en un grupo o individualmente. Si configura distintas claves de autenticación para el mismo par uno en un grupo y uno individualmente, se utiliza la clave individual.

  La clave par puede ser una cadena de texto de hasta 16 letras y dígitos de largo. Las cadenas pueden incluir cualquier carácter ASCII con la excepción de (,), &y [. Si incluye espacios en una clave de autenticación MSDP, incluya todos los caracteres entre comillas (" ").

  Agregar, eliminar o cambiar una clave de autenticación MSDP en una sesión de emparejamiento restablece la sesión MSDP existente y establece una nueva sesión entre los pares MSDP afectados. Esta terminación inmediata de la sesión evita retransmisiones excesivas y tiempos de espera de sesión eventuales debido a claves no coincidentes.

• importación y exportación: todos los protocolos de enrutamiento utilizan la tabla de enrutamiento para almacenar las rutas que aprenden y para determinar qué rutas anuncian en sus paquetes de protocolo. La política de enrutamiento le permite controlar qué rutas almacenan los protocolos de enrutamiento y recuperar de la tabla de enrutamiento.

  Puede configurar la política de enrutamiento globalmente, para un grupo o para un par individual. En este ejemplo, se muestra cómo configurar la política para un par individual.

  Si configura la política de enrutamiento en el nivel de grupo, cada par de un grupo hereda la política de enrutamiento del grupo.

  La instrucción import aplica políticas a los mensajes activos de origen que se importan a la caché activa de origen desde MSDP. La instrucción export aplica políticas a los mensajes activos de origen que se exportan desde la caché activa de origen a MSDP. Si especifica más de una política, se evalúan en el orden especificado, del primero al último, y la primera política de coincidencia se aplica a la ruta. Si no se encuentra ninguna coincidencia para la política de importación, MSDP comparte con la tabla de enrutamiento solo aquellas rutas aprendidas de enrutadores MSDP. Si no se encuentra ninguna coincidencia para la política de exportación, la política de exportación MSDP predeterminada se aplica a las entradas de la caché activa de origen. Consulte la Tabla 1 para obtener una lista de condiciones de coincidencia.

  Tabla 1: Condiciones de coincidencia del filtro de mensajes fuente-activo MSDP

  Condición de coincidencia	Coincidencias en
  Interfaz	Interfaz de enrutador o interfaces especificadas por nombre o dirección IP
  Vecino	Dirección de vecino (la dirección de origen en el encabezado IP del mensaje activo de origen)
  filtro de ruta	Dirección de grupo de multidifusión integrada en el mensaje activo de origen
  filtro de dirección de origen	Dirección de origen de multidifusión integrada en el mensaje activo de origen

• dirección local: identifica la dirección del enrutador que está configurando como enrutador MSDP (el enrutador local). Cuando configure MSDP, se requiere la instrucción de dirección local . El enrutador también debe ser un punto de encuentro de modo disperso (RP) de multidifusión independiente de protocolo (PIM).

• par: un enrutador MSDP debe saber qué enrutadores son sus pares. Las relaciones par se definen explícitamente mediante la configuración de los enrutadores vecinos que son los pares MSDP del enrutador local. Después de establecer relaciones par, los pares MSDP intercambian mensajes para anunciar fuentes de multidifusión activas. Debe configurar al menos un par para que MSDP funcione. Cuando configure MSDP, se requiere la instrucción par . El enrutador también debe ser un punto de encuentro de modo disperso (RP) de multidifusión independiente de protocolo (PIM).

  Puede organizar pares MSDP en grupos. Cada grupo debe contener al menos un par. Organizar pares en grupos es útil si desea bloquear fuentes de algunos pares y aceptarlas de otros, o establecer opciones de rastreo en un grupo y no en otros. En este ejemplo, se muestra cómo configurar los pares MSDP en grupos. Si configura pares MSDP en un grupo, cada par de un grupo hereda todas las opciones de nivel de grupo.

• Procedimiento
• Resultados

Para comprobar la configuración, ejecute los siguientes comandos:

• muestra la instancia de msdp VPN-100

• muestra la VPN-100 activa de origen msdp

• muestra la instancia de uso de multidifusión VPN-100

• muestra la tabla de rutas VPN-100.inet.4

Antes de comenzar:

• Configure las interfaces del enrutador.

• Configure un protocolo de puerta de enlace interior o enrutamiento estático. Consulte la biblioteca de protocolos de enrutamiento de Junos OS para dispositivos de enrutamiento.

• Habilite el modo limitado PIM. Consulte Descripción general de PIM.

• Configure el enrutador como un RP de modo disperso PIM. Consulte Configuración de LOS PIM locales.

Un enrutador interesado en mensajes MSDP, como un RP, puede tener que procesar una gran cantidad de mensajes MSDP, especialmente mensajes de origen activo, que llegan de otros enrutadores. Debido a la posible necesidad de que un enrutador examine, procese y cree tablas de estado para muchos paquetes MSDP, existe la posibilidad de un ataque de denegación de servicio (DoS) basado en MSDP en un enrutador que ejecute MSDP. Para minimizar esta posibilidad, puede configurar el enrutador para limitar la cantidad de mensajes activos de origen que acepta el enrutador. Además, puede configurar un umbral para aplicar detección temprana aleatoria (RED) para eliminar algunos mensajes de origen activos MSDP, pero no todos.

De forma predeterminada, el enrutador acepta 25 000 mensajes activos de origen antes de ignorar el resto. El límite puede ser de 1 a 1000 000. El límite se aplica tanto al número de mensajes como al número de pares MSDP.

De forma predeterminada, el enrutador acepta 24 000 mensajes activos de origen antes de aplicar el perfil RED para evitar un posible ataque DoS. Este número también puede oscilar entre 1 y 1000 000. El perfil RED y los mensajes aceptados procesan los siguientes 1000 mensajes. Si no configura perfiles de caída (como en este ejemplo no), RED sigue vigente y funciona como el mecanismo principal para administrar la congestión. En el perfil de caída RED predeterminado, cuando el nivel de relleno de la cola de paquetes es del 0 por ciento, la probabilidad de caída es del 0 por ciento. Cuando el nivel de relleno es del 100 por ciento, la probabilidad de caída es del 100 por ciento.

Nota:

El enrutador ignora los mensajes activos de origen con paquetes TCP encapsulados. La multidifusión no usa TCP; los segmentos dentro de los mensajes de origen activo son probablemente el resultado de la actividad del gusano.

El número configurado para el umbral debe ser menor que el número configurado para el número máximo de fuentes MSDP activas.

Puede configurar un límite de origen activo globalmente, para un grupo o para un par. Si los límites de origen activos se configuran en varios niveles de la jerarquía (como se muestra en este ejemplo), se aplican todos.

Puede configurar un límite de origen activo para un intervalo de direcciones, así como para un par específico. Un límite de origen activo por origen utiliza un prefijo IP y una longitud de prefijo en lugar de una dirección específica. Puede configurar más de un límite de origen activo por origen. La coincidencia más larga determina el límite.

Los límites de origen activo por origen se pueden combinar con límites de origen activo en el nivel de jerarquía par, grupo y global (instancia). Los límites por fuente se aplican antes de cualquier otro tipo de límite de origen activo. Los límites se prueban en el siguiente orden:

• Por fuente

• Por par o grupo

• Por instancia

Un mensaje de origen activo debe "pasar" todos los límites establecidos antes de ser aceptado. Por ejemplo, si un origen está configurado con un límite de origen activo de 10 000 grupos de multidifusión activos y la instancia está configurada con un límite de 5000 (y no hay otras fuentes o límites configurados), solo se aceptan 5000 mensajes de origen activos desde este origen.

Los grupos de malla MSDP son grupos de pares configurados en una topología de malla completa que limita la inundación de mensajes activos de origen a pares vecinos. Cada miembro del grupo de malla debe tener una conexión par con todos los demás miembros del grupo de malla. Cuando se recibe un mensaje activo de origen de un miembro de grupo de malla, el mensaje activo de origen siempre se acepta, pero no se inunda a otros miembros del mismo grupo de malla. Sin embargo, el mensaje activo de origen se inunda a pares de grupo no de malla o miembros de otros grupos de malla. De forma predeterminada, se aplican reglas de inundación estándar si no se especifica el grupo de malla .

PRECAUCIÓN:

Cuando configure grupos de malla MSDP, debe configurar todos los miembros de la misma manera. Si no configura una malla completa, puede producirse una inundación excesiva de mensajes activos de origen.

Una aplicación común para grupos de malla MSDP es la omisión de comprobación del peer-reverse-path-forwarding (peer-RPF). Por ejemplo, si hay dos pares MSDP dentro de un sistema autónomo (AS), y solo uno de ellos tiene una sesión MSDP externa a otro AS, el par MSDP interno a menudo rechaza los mensajes entrantes activos de origen retransmitido por el par con el vínculo externo. El rechazo se produce porque el par MSDP externo debe ser accesible por el par MSDP interno a través del salto siguiente hacia el origen en otro AS, y esta condición del salto siguiente no es cierta. Para evitar rechazos, configure un grupo de malla MSDP en el par MSDP interno para que siempre acepte mensajes de origen activo.

Nota:

Una forma alternativa de omitir la comprobación par-RPF es configurar un par predeterminado. En las redes con un solo par MSDP, especialmente las redes stub, el mensaje activo de origen siempre debe ser aceptado. Un par predeterminado MSDP es un par MSDP desde el cual se aceptan todos los mensajes activos de origen sin realizar la comprobación par-RPF. Puede establecer un par predeterminado en el nivel de par o grupo incluyendo la instrucción default-peer .

La tabla 2 explica cómo los pares manejan la inundación en este ejemplo. .

Tabla 2: Explicación de la inundación del mensaje activo de origen

Mensaje de origen activo recibido de	Mensaje activo de origen inundado a	Mensaje activo de origen no inundado a
Par 21	Par 11, Par 12, Par 13, Par 31, Par 32	Par 22
Par 11	Par 21, Par 22, Par 31, Par 32	Par 12, Par 13
Par 31	Par 21, Par 22, Par 11, Par 12, Par 13, Par 32	–

La Figura 3 ilustra la inundación de mensajes activos de origen entre diferentes grupos de malla y pares dentro del mismo grupo de malla.

En este ejemplo, se incluyen las siguientes opciones de configuración:

• límite de origen activo máximo 10000: aplica un límite de 10 000 fuentes activas a todos los demás pares.

• Deshabilitar la encapsulación de datos: en un enrutador RP que usa MSDP, deshabilita la encapsulación predeterminada de los datos de multidifusión recibidos en los mensajes de registro de MSDP dentro de los mensajes de origen activo de MSDP.

  La encapsulación de datos MSDP se refiere principalmente a fuentes ráfagas de tráfico multidifusión. Las fuentes que envían un solo paquete cada pocos minutos tienen problemas con el tiempo de espera de las relaciones de estado entre las fuentes y sus grupos de multidifusión (S,G). Los enrutadores pierden datos mientras intentan restablecer (S,G) las tablas de estado. Como resultado, los mensajes de registro de multidifusión contienen datos y esta encapsulación de datos en mensajes activos de origen MSDP se puede activar o desactivar mediante la configuración.

  De forma predeterminada, la encapsulación de datos MSDP está habilitada. Un RP que ejecuta MSDP toma los paquetes de datos que llegan al mensaje de registro del origen y encapsula los datos dentro de un mensaje de origen activo de MSDP.

  Sin embargo, la encapsulación de datos crea una entrada de caché de reenvío de multidifusión en la tabla inet.1 (esta también es la tabla de reenvío) y una entrada de tabla de enrutamiento en la tabla inet.4 . Sin encapsulación de datos, MSDP solo crea una entrada de tabla de enrutamiento en la tabla inet.4 . En algunas circunstancias, como la presencia de gusanos de Internet u otras formas de ataque DoS, la tabla de reenvío del enrutador podría llenarse con estas entradas. Para evitar que la tabla de reenvío se llene con entradas MSDP, puede configurar el enrutador para que no utilice la encapsulación de datos MSDP. Sin embargo, si deshabilita la encapsulación de datos, el enrutador ignora y descarta los datos encapsulados. Sin encapsulación de datos, es posible que las aplicaciones de multidifusión con fuentes ráfagas que tengan intervalos de transmisión superiores a unos 3 minutos no funcionen bien.

• grupo MSDP-grupo dirección local 10.1.2.3: especifica la dirección del enrutador local (este enrutador).

• grupo de malla de modo de grupo MSDP: especifica que todos los pares que pertenecen al grupo de MSDP son miembros del grupo de malla.

• par de grupo MSDP 10.10.10.10: evita el envío de mensajes activos de origen a par vecino 10.10.10.10.10.

• grupo MSDP-par 10.10.10.10 active-source-limit máximo 7500: aplica un límite de 7500 fuentes activas al par MSDP 10.10.10.10 en grupo MSDP-group.

• par 10.0.0.1 límite de fuente activa máximo 5000 umbral 4000: aplica una trilla de 4000 fuentes activas y un límite de 5000 fuentes activas al par MSDP 10.0.0.1.

• fuente 10.1.0.0/16 active-source-limit máximo 500: aplica un límite de 500 fuentes activas a cualquier fuente de la red 10.1.0.0/16.

• Procedimiento
• Resultados

Para comprobar la configuración, ejecute los siguientes comandos:

• muestra msdp de origen activo

• muestra estadísticas de msdp