18.2 Фильтрация маршрутной информации, передаваемой между маршрутизаторами

Назначение пассивных интерфейсов маршрутизатора, удобно лишь в том случае если необходимо полностью запретить распространение служебной информации протоколов маршрутизации через выбранный интерфейс.

Если необходимо чтобы маршрутизаторы устанавливали соседские отношения и обменивались только частью маршрутной информации, необходимо применять другие способы фильтрации маршрутной информации.

Таким способом фильтрации маршрутной информации является сравнение содержащихся сетей получателей в маршрутных обновлениях с определенным условием (Рисунок 18.4).

R1R2

Рисунок 18.4 – Проверка условий при обмене маршрутной информацией

Если сеть получатель удовлетворяет условию, то над ней производится действие, указанное в условии, либо пропускается маршрутизатором, либо отбрасывается. Действительный смысл слова «отбрасывается» зависит от того, отправляется или принимается маршрутная информация.

Если маршрутная информация отправляется самим маршрутизатором, тогда оно должно содержать только те сети получатели которые удовлетворяют указанному условию. Сети получатели, не удовлетворяющие условию, удаляются из маршрутного объявления. Условие, которое налагается на сети получатели, объявляемые самим маршрутизатором, называются исходящим фильтром (outbound filter).

Если маршрутизатор получает маршрутное обновление, при обновлении таблицы маршрутизации, он рассматривает только те сети получатели, которые удовлетворяют условию. Точно так же сети получатели, не удовлетворяющие условию, отбрасываются. Условие, которое маршрутизатор налагает на сети получатели, содержащиеся в полученных маршрутных обновлениях, называется входящим фильтром (inbound filter).

Входящие и исходящие фильтры могут применяться как на конкретные интерфейсы маршрутизатора, так и ко всему процессу маршрутизации. Исходящие фильтры могут применяться только в дистанционно-векторных протоколах

296

маршрутизации. Они не могут использоваться для фильтрации внутренних маршрутов в протоколах маршрутизации по состоянию канала, поскольку эти протоколы в своей работе исходят из предпосылки, что все маршрутизаторы знают действительную топологию сети. Исходящая фильтрация не позволяет некоторым маршрутизаторам узнавать часть топологической информации сети, которая не удовлетворяет условиям исходящего фильтра.

Хотя входящие фильтры могут использоваться с обоими типами протоколов маршрутизации, их действие различается в зависимости от того, является ли протокол маршрутизации дистанционно-векторным либо это протокол маршрутизации по состоянию канала. В обоих случаях основная функция входящего фильтра заключается в том, чтобы маршрутизатор не вносил фильтра в таблицу маршрутизации маршруты до сетей получателей, не удовлетворяющих условиям фильтра. В случае с дистанционно векторными протоколами маршрутизации, сети получатели, не удовлетворяющие условиям входящего фильтра, не вносятся в таблицу маршрутизации. Как известно, если дистанционно векторный протокол маршрутизации, не может внести маршрут в таблицу маршрутизации он не может распространять его далее своим соседям.

В отличие от дистанционно-векторных протоколов маршрутизации, протоколы маршрутизации по состоянию канала, в независимости от того описаны или не описаны входящие фильтры, заносят в таблицу топологии все приходящие сети получатели. Однако если внесенная сеть получатель не удовлетворяет условиям настроенного фильтра, маршрут до этой сети получателя не будет внесен в таблицу маршрутизации, но по алгоритму работы протоколов маршрутизации данного типа, топологическая информация будет передана далее всем маршрутизаторам входящих в область маршрутизации.

Существуют два типа описания правил для фильтрации маршрутных обновлений:

–Фильтрация сетей получателей по IP адресу сети;

–Фильтрация сетей получателей по длине префикса.

18.2.1 Фильтрация сетей получателей по IP адресу сети

Наиболее легким способом фильтрации маршрутных обновлении по IP адресу сети получателя является применения стандартных списков доступа, которые будут применяться для фильтрации маршрутных обновлений.

Список доступа заданный на маршрутизаторе представляет, структуру, изображенную на рисунке 18.5, состоящую из одного или нескольких правил.

Каждое правило, представляет собой, описание IP адреса сети получателя с обратной маской сети (wildcard) и действие, которое нужно произвести, если сеть получатель удовлетворяет описанному правилу. Действий соответственно может быть два, это пропустить сеть получатель, или отбросить ее.

Как видно из рисунка 18.5 список доступа может состоять из множества строк, каждая из которых будет описывать свое правило.

297

Рисунок 18.5 – Внутренняя структура списка доступа

На рисунке 18.6 приводится алгоритм обработки маршрутизатором, маршрутных обновлений фильтром, содержащим список доступа, состоящий из нескольких строк.

298

Необходимо обратить особое внимание на то, что проверка поступившей в маршрутном обновлении информации производится до первого совпадения, и далее список правил не просматривается. Следовательно, с сетью получателем производится то действие, что было назначено при обнаружении соответствия первому совпавшему правилу. Исходя из этого, можно сформулировать принцип построения списка правил. Правила с описанием частных маршрутов должны быть занесены в список перед суммарными маршрутами.

В связи с тем, что при добавлении нового правила в стандартный список доступа производится в конец списка, изменение списка доступа необходимо производить с предварительным удалением ранее заданного списка, и последующим заполнением отредактированного списка.

Настройка списка доступа, осуществляется последовательным добавлением в конфигурацию маршрутизатора правил списка доступа, используя команду access-list. Синтаксис команды приводится в примере 18.2.

Пример 18.2 – Синтаксис команды access-list

(config)# access-list access-list-number {deny | permit} source [source-wild-

card]

(config)# no access-list access-list-number

Описание параметров команды access-list приводиться в таблице 18.2.

Таблица 18.2 – Параметры команды access-list

Обратная маска (wildcard mask) представляет собой 32 битовую величину, которая разделена на четыре октета, каждый из которых состоит из восьми битов. Если в какой-либо позиции маски стоит бит, равный нулю, то соответствующий бит адреса должен быть проверен. Если же в какой-либо пози-

299

ции бит, равен единице, то соответствующий бит адреса должен быть проигнорирован (Рисунок 18.7).

Рисунок 18.7 – Обработка маршрутизатором обратной маски

Инвертированная маска, как и маска подсети, тесно связана с IP адресом. В инвертированной маске используются нули и единицы, для того чтобы указать, как следует трактовать соответствующие биты IP адреса.

Инвертированная маска используется для указания одного или нескольких адресов, которые будут проверяться на соответствие условиям списка контроля доступа. Термин использование инвертированной маски (wildcard masking) обозначает процесс побитового сравнения и подстановки значений битов адреса.

Несмотря на то, что инвертированная маска списков контроля доступа и маска подсети представляют собой 32 битовые величины, выполняемые ими функции, значительно отличаются. Нули и единицы в маске подсети определяют сеть, подсеть и номер узла. Биты инвертированной маски указывают, будет ли проверяться соответствующий бит. Еще одним важным отличием обратной маски от маски подсети, показанным на рисунке 18.7, является то, что в обратной маске числа отличные от нуля не только начиная с правого октета, а в произвольном месте обратной маски.

Кроме нумерованных списков доступа, для фильтрации маршрутных обновлений IP протокола можно использовать именованные списки. Главным отличием таких списков от рассмотренных ранее, является возможность указания в качестве идентификатора списка доступа не номера, а символьного имени.

Создание именованного списка доступа осуществляется при помощи команды ip access-list. Синтаксис команды приводится в примере 18.3. Добавление проверяемых правил осуществляется при помощи команд permit и deny, синтаксис которых приводится в примерах 18.4 и 18.5.

300

Пример 18.3 – Синтаксис команды ip access-list

(config)# ip access-list {standard | extended}access-list-name (config)# no ip access-list {standard | extended}access-list-name

Пример 18.4 – Синтаксис команды permit

(config-std-nacl)# [sequence-number] permit source [source-wildcard] (config-std-nacl)# no sequence-number

(config-std-nacl)# no permit source [source-wildcard]

Пример 18.5 – Синтаксис команды deny

(config-std-nacl)# [sequence-number] deny source [source-wildcard] (config-std-nacl)# no sequence-number

(config-std-nacl)# no deny source [source-wildcard]

Описание параметров команды ip access-list приводиться в таблице 18.3.

Таблица 18.3 – Параметры команды passive-interface

Описание параметров команд permit и deny приводиться в таблице 18.4.

Таблица 18.4 – Параметры команд permit и deny

Еще одной удобной особенностью именованных списков доступа, является возможность редактирования списков доступа, с возможностью добавления

301