BGP 세션·경로 속성·정책과 NEXT_HOP

01AS 사이의 정책을 경로에 담는 Path Vector

• Path Vector·정책BGP는 목적지 prefix와 AS_PATH 등 속성을 교환하는 Path Vector 프로토콜이다. 단순히 회선 속도가 가장 빠르거나 라우터 hop이 가장 적은 길만 고르는 것이 아니라 운영자가 정한 import·export 정책을 적용한다.

  • 서로 다른 AS 사이의 세션은 eBGP, 같은 AS 안에서 BGP 정보를 배포하는 세션은 iBGP다.
  • iBGP가 내부에서 동작한다고 OSPF 같은 IGP로 분류가 바뀌는 것은 아니다.
• AS_PATH·루프 방지일반적인 eBGP 광고에서는 자기 ASN을 AS_PATH에 추가하고 수신자는 자기 ASN이 경로에 이미 있으면 루프 가능성을 판단해 거부한다. 하지만 AS_PATH만으로 모든 경로 유출과 잘못된 광고를 막을 수는 없다.

  • 허용할 prefix, 길이, 관계에 맞는 export 정책이 필요하다.
  • IS-IS는 link-state IGP이며 BGP의 EGP 분류와 구별한다.

02TCP 연결에서 BGP Established까지

• OPEN 필드기본 OPEN은 버전·AS·Hold Time·BGP Identifier와 선택 매개변수·Capability를 담는다. 협상 Hold Time과 TCP 상태는 서로 다른 정보다.
• 전송 경로BGP는 TCP 179를 사용한다. 일반 직접 연결 eBGP의 TTL 1, loopback 세션의 update-source·multihop 조건은 실제 전송 경로에 맞아야 한다.
• 실패 분기Active는 연결 실패·재시도와 관련된 상태이며 정상 경로 교환 상태가 아니다. 모든 성공 세션이 Idle→Connect→Active를 반드시 거치는 직선 흐름은 아니다.

1. Connect에서 TCP 시도세션을 시작하면 피어까지 TCP 연결을 시도한다. 실패하면 재시도와 Active 관련 분기로 진행할 수 있다.
2. OPEN 전송·OpenSentTCP 연결이 성립하면 OPEN을 보낸다. 피어의 OPEN과 협상 매개변수를 검증한다.
3. KEEPALIVE·OpenConfirmOPEN이 유효하면 KEEPALIVE 교환으로 세션 성립을 이어 간다. OpenConfirm에서 필요한 확인을 기다린다.
4. Established세션이 성립하면 UPDATE로 경로를 주고받는다. TCP 연결 성공만으로 UPDATE 정책과 NEXT_HOP 도달성까지 정상인 것은 아니다.

03OPEN·UPDATE·KEEPALIVE·NOTIFICATION

• BGP 메시지기본 BGP 메시지는 Marker16바이트, Length2바이트, Type1바이트의 19바이트 공통 헤더로 시작한다.

  • OPEN은 세션 조건·Capability 협상, UPDATE는 철회 경로·Path Attributes·NLRI, KEEPALIVE는 연결 유지, NOTIFICATION은 오류 통지와 종료에 사용된다.
  • ROUTE-REFRESH 확장은 세션을 유지한 채 경로 재광고를 요청한다.
• 확장 기능·세션 유지TCP가 메시지의 바이트를 신뢰성 있게 전달해도 BGP 정책 오류를 막지는 못한다. UPDATE에 prefix가 들어왔다는 사실과 그 경로를 허용·best로선택·mainRIB에설치·다른이웃에광고했다는사실은각기다르다.

  • IPv4·IPv6 등 Address Family의 활성화와 Capability가 맞아야 해당 NLRI를 주고받을 수 있다.

05Adj-RIB-In·Loc-RIB·Adj-RIB-Out과 실제 전달

• 세 RIB개념적으로 Adj-RIB-In은 이웃에서 받은 정보, Loc-RIB는 BGP의 결정 과정으로 선택한 정보, Adj-RIB-Out은 이웃에게 광고할 정보를 표현한다.

  • 실제 장비가 정책 적용 전후 모든 경로를 동일한 형태로 항상 보관하는 것은 아니므로 received-routes 명령의 지원 조건을 구별한다.
  • Soft reconfiguration으로 원본을 보관하면 메모리를 더 사용할 수 있다.
• BGP best와 전달BGP best 경로도 다른 출처의 더 낮은 AD 경로 때문에 main RIB에 설치되지 않을 수 있다. NEXT_HOP에 대한 재귀 해석도 가능해야 한다.

  • 따라서 BGP table의 valid/best 표시, main routing table, forwarding table을 같은 것으로 읽지 않는다.
  • 세션은 Established인데 서비스가 실패하는 경우 이 분리가 특히 중요하다.

06주요 속성과 비교 방향

• LOCAL_PREF·AS_PATHLOCAL_PREF는 AS 내부의 출구 선호를 나타내며 큰 값이 우선이다. Cisco Weight는 로컬 장비에만 영향을 주는 비표준 값이며 다른 라우터에 전파되는 LOCAL_PREF와 다르다.

  • AS_PATH는 일반적으로 짧은 경로가 선호되지만 앞선 정책보다 항상 우선하지 않는다.
  • ORIGIN의 IGP/EGP/Incomplete는 경로 기원 속성이지 현재세션이iBGP/eBGP인지를뜻하지않는다.
• MED·구현별 선택MED는 인접 AS에 진입점 선호를 제안하는 값으로 일반적으로 작을수록 선호하며 비교 범위는 이웃 AS와 설정에 영향을 받는다. Community는 정책을 붙이기 위한 태그다.

  • Cisco 계열의 대표 흐름은 유효성·Weight·LOCAL_PREF·로컬생성·AS_PATH·ORIGIN·MED 등의 비교를 거치지만 정확한 모든 tie-break와 multipath는 플랫폼·설정별 조건이 있으므로 고정표 하나를 보편 표준으로 취급하지 않는다.

08iBGP NEXT_HOP과 Full Mesh 문제

• NEXT_HOPeBGP에서 배운 외부 경로를 iBGP로 전달할 때 NEXT_HOP이 외부 이웃 주소로 유지될 수 있다. 내부 라우터에 그 주소까지의 IGP 경로가 없으면 경로가 유효하게 선택되지 않는다.

  • 외부 next hop의 도달성을 IGP로 제공하거나 next-hop-self로 경계 라우터 자신을 다음 홉으로 제시하는 설계가 필요하다.
  • BGP세션이연결되는 IP와각prefix의 NEXT_HOP은반드시같지않다.
• iBGP Full Mesh일반 iBGP는 iBGP에서 받은 경로를 다른 일반 iBGP peer로 다시 전달하지 않는다. 이 규칙 때문에 n개의 speaker를 full mesh하면 n(n-1)/2 세션이 필요하다.

  • 실제 데이터가 모든 세션 선을 따라 이동하는 것이 아니라 제어 정보 배포 관계라는 점이 중요하다.
  • 데이터 전달 경로는 IGP와 NEXT_HOP 해석 등에 의해 결정된다.

09Route Reflector의 반사 규칙

• 반사 규칙RR은 client에게서 받은 선택 경로를 다른 client와 non-client에, non-client에게 받은 선택 경로를 client에 반사할 수 있다. 이를 통해 client 사이의 모든 직접 iBGP 세션을 줄인다.

  • ORIGINATOR_ID는 원 발신 speaker를, CLUSTER_LIST는 지나온 반사 클러스터를 기록해 반사 경로의 재유입을 검출하는 데 사용된다.
• 루프 방지 속성RR은 모든 경로를 무조건 모두에게 복제하는 허브가 아니다. best 선택·정책·client 관계에 따라 보이는 경로가 달라질 수 있고 path hiding과 비최적 경로가 생길 수 있다.

  • RR의 세션 중복화만 보지 않고 IGP topology·cluster ID·NEXT_HOP·실제 출구 선택을 함께 설계해야 한다.

10network는 RIB의 정확한 prefix를 기원한다

• 정확한 Prefix 기원IOS BGP의 network203.0.113.0 mask255.255.255.0은 main RIB에 정확히 203.0.113.0/24가 있을 때 BGP 기원 대상으로 만든다. /25두개가있거나/16요약만있다는것은정확한일치가아니다.

  • network명령그자체가도달가능한경로를새로만드는것도아니다.
  • aggregate-address와다른출처의redistribute는별도기능이다.
• 구성 예아래 실습은 AS64512의 R1과 AS64513의 R2가 192.0.2.0/30으로 연결되고 R1에 203.0.113.0/24 connected 경로가 이미 존재한다고 가정한다. 두 ASN은 사설 실습용이며 실제 인터넷 광고를 위한 절차가 아니다.

  • prefix-list로 내보낼 경로를 한 개로 제한하고 address family에서 이웃을 활성화한다.

ip prefix-list LAB-OUT seq 10 permit 203.0.113.0/24
router bgp 64512
 bgp router-id 192.0.2.1
 no bgp default ipv4-unicast
 neighbor 192.0.2.2 remote-as 64513
 address-family ipv4 unicast
  neighbor 192.0.2.2 activate
  neighbor 192.0.2.2 prefix-list LAB-OUT out
  network 203.0.113.0 mask 255.255.255.0
 exit-address-family
!
! R2에는 반대편192.0.2.1 remote-as64512를 구성

문서용 주소와 사설 AS의 격리실습 예. 정확한 connected 경로와 반대편 설정이 전제다.

11Prefix-list·Route-map·Maximum-prefix

• Prefix-list·Route-mapprefix-list의 단일 203.0.113.0/24 permit은 기본적으로 그정확한길이에일치한다. le/ge를붙이면허용할더구체적인길이범위를지정할수있다.

  • route-map은match와set을조합해허용경로에 LOCAL_PREF같은속성을부여한다.
  • 두정책의암시적deny를이해하지못하면 의도한 한 경로 조정 대신 모든 나머지 경로가 사라질 수 있다.
• Maximum-prefixmaximum-prefix는 이웃이 예상보다 많은 경로를 보내는 상황을 제한하지만 warning-only는 경고만 남긴다. 실제 세션 종료·재시작 동작은 설정과 플랫폼에 따라 다르다.

  • RPKI origin validation의 Valid·Invalid·NotFound는 prefix와허용originASN·최대길이관계를판단한다.
  • 전체 AS_PATH의진위나모든route leak을검증하지않으므로기존prefix·관계정책을대신할수없다.

12명령을 세 단계 진단으로 연결하기

• 세 단계 진단첫째 세션 단계는 peer 주소까지의 경로, TCP179, source 주소·AS·TTL·협상 조건을 본다. Summary의 State/PfxRcd가 숫자면 일반적으로 Established에서 받은 prefix 수를 뜻한다.

  • 둘째 경로 단계는 해당 prefix가 수신됐는지, 정책에 허용됐는지, NEXT_HOP이 도달 가능한지 본다.
  • 셋째 설치 단계는 best 경로가 main RIB·실제 forwarding에 반영됐는지 본다.
• Refresh·Clear정책 변경에 따른 Route Refresh나 soft clear는 TCP 세션을 유지하며 경로를 재평가하는 방법이다. hard clear는 전체 철회·재학습을 유발할 수 있어 조회 명령과 구분한다.

  • 예시 명령의 성공 여부는 실제 세션 상태·수신 경로·선택 경로·전달 결과를 연결해 판단한다.

show bgp ipv4 unicast summary
show bgp ipv4 unicast neighbors 192.0.2.2
show bgp ipv4 unicast 203.0.113.0/24
show bgp ipv4 unicast neighbors 192.0.2.2 advertised-routes
show ip route 203.0.113.0 255.255.255.0
show ip route 192.0.2.2

세션·BGP 경로·광고·mainRIB·NEXT_HOP을 구분하는 조회 예.