آموزش BGP: از اصول پایه تا کانفیگ پیشرفته و امنیت در BGP

مقدمه به پروتکل و آموزش BGP

پروتکل BGP (Border Gateway Protocol) یکی از پروتکل‌های مسیریابی قدرتمند و حیاتی در دنیای شبکه است که به طور خاص برای مسیریابی در سطح اینترنت طراحی شده است. این پروتکل به عنوان یک پروتکل مسیریابی بین‌المللی (Inter-domain) عمل می‌کند و به روترهای مختلف در شبکه‌های مستقل (Autonomous Systems) این امکان را می‌دهد که با یکدیگر تبادل اطلاعات مسیریابی انجام دهند.

مفاهیم ابتدایی BGP:

• Autonomous System (AS): یک مجموعه از دستگاه‌ها یا روترها که تحت کنترل یک سازمان یا واحد مشخص قرار دارند. هر AS یک شماره منحصر به فرد (ASN) دارد که توسط IANA اختصاص داده می‌شود.
• ASN (Autonomous System Number): یک شماره منحصر به فرد برای شناسایی هر شبکه مستقل (AS) در اینترنت. این شماره ممکن است 16 بیتی (ASN قدیمی) یا 32 بیتی باشد.
• Prefix: یک بازه از آدرس‌های IP که متعلق به یک شبکه است. این پیشوندها برای تعیین مسیرها و مسیریابی داده‌ها استفاده می‌شوند.
• Route: مسیر یا آدرسی که داده‌ها باید طی کنند تا به مقصد برسند.

BGP در واقع یک پروتکل “Path Vector” است که به روترها اجازه می‌دهد تا مسیرها را با یکدیگر به اشتراک بگذارند. برخلاف پروتکل‌هایی مانند RIP و OSPF که معمولاً برای مسیریابی در یک شبکه داخلی (داخل یک AS) استفاده می‌شوند، BGP برای مسیریابی بین شبکه‌های مستقل (بین ASها) کاربرد دارد. در ادامه همراه کانفیگ سرور باشید!

تاریخچه و توسعه BGP

پروتکل BGP برای اولین بار در سال 1989 توسط Yakov Rekhter و Tony Li ارائه شد. نسخه اول این پروتکل، BGP-1 بود که به سرعت با مشکلات مختلف مواجه شد و در سال 1991، BGP-2 منتشر شد. بعدها، نسخه‌های جدیدتری مانند BGP-3 و BGP-4 معرفی شدند. در حال حاضر، BGP-4 رایج‌ترین نسخه‌ای است که در اکثر شبکه‌ها استفاده می‌شود.

BGP-4 به‌ویژه برای پشتیبانی از Classless Inter-Domain Routing (CIDR) طراحی شد و از آن زمان تاکنون استاندارد اصلی برای مسیریابی بین AS‌ها در اینترنت بوده است.

ویژگی‌های کلیدی BGP

1. مسیریابی بین‌المللی (Inter-domain): برخلاف پروتکل‌های مسیریابی داخلی مانند OSPF یا RIP، BGP به طور خاص برای مسیریابی بین شبکه‌های مستقل طراحی شده است.
2. پشتیبانی از CIDR: BGP از CIDR برای مسیریابی استفاده می‌کند که این امکان را می‌دهد تا مسیریابی به شکلی دقیق‌تر و کاراتر انجام شود.
3. مسیریابی بر اساس مسیریابی (Path Vector): BGP مسیرها را به صورت دنباله‌ای از AS‌ها به نمایش می‌گذارد و هر مسیری دارای اطلاعات مربوط به مراحلی است که باید طی شود.
4. پشتیبانی از سیاست‌های مسیریابی: در BGP، مسیریابی می‌تواند تحت تأثیر سیاست‌ها و قواعد خاص قرار گیرد. این سیاست‌ها می‌توانند شامل محدودیت‌های مسیر، وزن‌ها و مسیرهای ترجیحی باشند.
5. مسیریابی چندگانه: BGP از چندین مسیر به یک مقصد پشتیبانی می‌کند و این امکان را می‌دهد که مسیرهای مختلف با توجه به سیاست‌های خاص مورد استفاده قرار گیرند.

نحوه عملکرد BGP

BGP از یک مدل مبتنی بر تبادل پیام برای ارسال و دریافت اطلاعات مسیریابی استفاده می‌کند. این پیام‌ها شامل اطلاعات مربوط به پیشوندها، مسیرها، و وضعیت ارتباطات بین AS‌ها می‌باشند.

• UPDATE: پیام اصلی BGP برای اطلاع‌رسانی به دیگر روترها در مورد تغییرات در جدول مسیریابی.
• OPEN: پیام ابتدایی برای ایجاد یک اتصال BGP.
• KEEPALIVE: پیام برای نگه‌داشتن ارتباط BGP فعال و پایدار.
• NOTIFICATION: پیام برای گزارش خطا یا وضعیت‌های خاص در ارتباط BGP.

روترهای BGP برای برقراری ارتباط با یکدیگر به یکدیگر TCP Port 179 متصل می‌شوند. پس از برقراری اتصال، روترها شروع به تبادل اطلاعات مسیریابی می‌کنند و جدولی از بهترین مسیرها را به روز می‌کنند.

انواع BGP

BGP به دو نوع تقسیم می‌شود:

1. Internal BGP (iBGP): زمانی که ارتباط بین روترهای داخل یک AS برقرار می‌شود.
2. External BGP (eBGP): زمانی که ارتباط بین روترهای دو AS مختلف برقرار می‌شود.

در iBGP، اطلاعات مسیریابی تنها بین روترهای یک AS به اشتراک گذاشته می‌شود، در حالی که در eBGP اطلاعات بین AS‌ها تبادل می‌شود.

ویژگی‌های پیشرفته BGP

در این بخش، به ویژگی‌های پیشرفته‌تر BGP و چگونگی پیکربندی و استفاده از آن در شبکه‌های پیچیده می‌پردازیم.

1. پشتیبانی از CIDR (Classless Inter-Domain Routing)

پروتکل BGP از CIDR پشتیبانی می‌کند که این امکان را می‌دهد که شبکه‌ها به جای استفاده از کلاس‌های IP قدیمی (A, B, C) به صورت دقیق‌تر و بهینه‌تری تقسیم شوند. CIDR اجازه می‌دهد تا پیشوندهای IP به جای داشتن یک طول ثابت (مانند 255.255.255.0)، با طول متغیر (مانند 192.168.0.0/22) بیان شوند.

این ویژگی باعث افزایش بهره‌وری از آدرس‌های IP می‌شود و به کاهش مشکلات کمبود آدرس کمک می‌کند. به همین دلیل، BGP در اینترنت امروزی به‌طور گسترده‌ای استفاده می‌شود.

2. Route Aggregation (تجمیع مسیر)

یکی از ویژگی‌های مهم BGP، توانایی تجمیع مسیرها است. وقتی که چندین پیشوند مشابه از یک AS به مقصد مشترکی برسند، می‌توان آن‌ها را به یک پیشوند تجمیع شده تبدیل کرد تا تعداد مسیرها کاهش یابد و مدیریت جدول مسیریابی ساده‌تر شود.

این امر باعث می‌شود که جدول مسیریابی در اینترنت به طور قابل توجهی کوچک‌تر شود. به عنوان مثال، اگر یک سازمان چندین پیشوند از 192.168.0.0/24 تا 192.168.255.0/24 داشته باشد، می‌توان آن‌ها را به یک پیشوند بزرگ‌تر مانند 192.168.0.0/16 تجمیع کرد.

3. Route Reflectors (بازتاب‌دهندگان مسیر)

در شبکه‌های بزرگ BGP که نیاز به تبادل اطلاعات مسیریابی بین تعداد زیادی روتر داخلی دارند، استفاده از Route Reflectors می‌تواند به کاهش پیچیدگی و تعداد اتصالات iBGP کمک کند.

در iBGP، اگر هر روتر بخواهد اطلاعات مسیریابی را با دیگر روترها به اشتراک بگذارد، باید ارتباط مستقیم با تمام روترهای دیگر برقرار کند. این کار در شبکه‌های بزرگ باعث می‌شود که تعداد زیادی ارتباط برقرار شود. به همین دلیل، Route Reflectorها به عنوان یک روتر مرکزی در نظر گرفته می‌شوند که اطلاعات مسیریابی را از سایر روترها دریافت کرده و آن‌ها را به دیگر روترهای داخلی بازتاب می‌دهد.

4. BGP Prefix Filtering (فیلتر کردن پیشوندها)

BGP این قابلیت را دارد که به شما اجازه دهد تا مسیرهایی که از AS‌های مختلف دریافت می‌کنید را فیلتر کنید. این امر به شما این امکان را می‌دهد که به دقت کنترل کنید که کدام مسیرها در جدول مسیریابی شما قرار بگیرند.

مثال:

ip prefix-list deny-list seq 5 deny 10.1.1.0/24
ip prefix-list deny-list seq 10 permit 0.0.0.0/0

در این مثال، شبکه 10.1.1.0/24 از جدول مسیریابی حذف می‌شود، در حالی که سایر پیشوندها مجاز هستند.

5. BGP Attributes (ویژگی‌های BGP)

یکی از ویژگی‌های برجسته BGP، استفاده از ویژگی‌های مختلف برای تعیین بهترین مسیر است. این ویژگی‌ها به روترها کمک می‌کنند تا مسیرهای مطلوب‌تر را بر اساس اولویت‌های مختلف انتخاب کنند.

برخی از مهم‌ترین ویژگی‌های BGP عبارتند از:

• AS Path: مسیری که از طریق آن داده‌ها از یک AS به AS دیگر منتقل می‌شوند.
• Next Hop: روتر بعدی که بسته‌ها باید به آن ارسال شوند تا به مقصد برسند.
• Local Preference: مشخص‌کننده مسیر ترجیحی برای ارسال ترافیک در iBGP. مسیر با مقدار بالاتر Local Preference انتخاب می‌شود.
• MED (Multi Exit Discriminator): در eBGP، MED به تعیین اولویت مسیرهای مختلف برای یک مقصد در یک AS کمک می‌کند.
• Communities: یک برچسب است که به مسیرها تعلق می‌گیرد و به مدیریت مسیرها بر اساس سیاست‌های خاص کمک می‌کند.

6. BGP Path Selection Process (فرآیند انتخاب مسیر در BGP)

هنگامی که چندین مسیر به یک مقصد وجود داشته باشد، BGP از یک مجموعه از قوانین خاص برای انتخاب بهترین مسیر استفاده می‌کند. این فرآیند به شرح زیر است:

1. چک کردن AS Path: مسیرهایی که شامل کمتری AS هستند، معمولاً اولویت بیشتری دارند.
2. چک کردن Local Preference: مسیرهایی با Local Preference بالاتر ترجیح داده می‌شوند.
3. چک کردن AS Path Prepending: در صورتی که مسیر به AS‌های بیشتری اشاره کند، احتمال انتخاب آن کمتر است.
4. چک کردن MED: مسیرهایی با MED پایین‌تر ترجیح داده می‌شوند.
5. چک کردن IGP Metric: مسیرهایی که از طریق یک IGP با هزینه کمتر به مقصد می‌رسند، انتخاب می‌شوند.

7. BGP Multihoming (چند پیوندی BGP)

در بسیاری از شبکه‌های بزرگ، ممکن است نیاز باشد که اتصال به چندین ISP برای افزایش قابلیت دسترسی و پایداری فراهم شود. در این صورت، BGP Multihoming به کار می‌آید تا بتوان چندین اتصال به اینترنت را بهینه‌سازی کرد.

BGP در چنین شرایطی به شما این امکان را می‌دهد که چندین مسیر را برای ارسال ترافیک به مقصد مشخص انتخاب کنید. این امکان باعث می‌شود که در صورت خرابی یکی از مسیرها، ترافیک به صورت خودکار از مسیر دیگری عبور کند.

نحوه پیکربندی BGP

در اینجا نمونه‌ای از نحوه پیکربندی BGP بر روی یک روتر سیسکو آورده شده است. این پیکربندی به شما نشان می‌دهد که چگونه یک AS با استفاده از BGP به یک شبکه دیگر متصل می‌شود.

پیکربندی پایه BGP (برای iBGP یا eBGP):

router bgp 65001
bgp log-neighbor-changes
neighbor 192.168.1.1 remote-as 65002
network 10.0.0.0 mask 255.255.255.0

توضیحات تنظیمات

🔹 router bgp 65001 → شماره AS (Autonomous System) که برای این روتر در نظر گرفته شده است.

🔹 bgp log-neighbor-changes → فعال کردن لاگ تغییرات همسایه‌ها، که در صورت قطع یا برقراری ارتباط با یک همسایه، پیام‌های لاگ ایجاد می‌کند.

🔹 neighbor 192.168.1.1 remote-as 65002 → تعریف یک همسایه BGP با آدرس 192.168.1.1 که در AS 65002 قرار دارد. این مقدار برای eBGP (ارتباط بین دو AS متفاوت) استفاده می‌شود.

🔹 network 10.0.0.0 mask 255.255.255.0 → شبکه‌ای که روتر قصد دارد از طریق BGP تبلیغ (advertise) کند، در اینجا 10.0.0.0/24.

در این مثال، شماره AS ما 65001 است و قصد داریم با یک روتر دیگر که شماره AS آن 65002 است ارتباط برقرار کنیم.

پیکربندی Route Reflector:

router bgp 65001
bgp log-neighbor-changes
neighbor 192.168.1.2 remote-as 65001
neighbor 192.168.1.2 route-reflector-client

در این پیکربندی، روتر 192.168.1.2 به عنوان Route Reflector عمل می‌کند و مسیرها را از دیگر روترها دریافت کرده و آن‌ها را به روترهای دیگر بازتاب می‌دهد.

مشکلات و چالش‌های BGP

اگرچه BGP یک پروتکل بسیار قدرتمند و پیچیده است، اما با چالش‌هایی نیز مواجه است:

1. پایداری و converging آهسته: BGP ممکن است زمانی طولانی‌ برای convergence (هماهنگ شدن وضعیت تمام روترها) نیاز داشته باشد.
2. Looping و Routing Loops: گاهی ممکن است در صورت پیکربندی نادرست، حلقه‌های مسیریابی ایجاد شود.
3. امنیت: BGP به صورت پیش‌فرض از اعتبارسنجی داده‌ها استفاده نمی‌کند و این ممکن است باعث آسیب‌پذیری‌هایی مانند BGP hijacking شود. استفاده از MD5 Authentication می‌تواند از حملات جلوگیری کند.

امنیت در BGP

یکی از بزرگترین نگرانی‌های مربوط به BGP، امنیت است. از آنجا که BGP به طور پیش‌فرض هیچ‌گونه مکانیزم امنیتی برای اعتبارسنجی داده‌ها ندارد، این پروتکل می‌تواند هدف حملات مختلفی قرار گیرد. در این بخش به چندین روش برای افزایش امنیت در BGP خواهیم پرداخت.

1. BGP Prefix Hijacking

BGP Prefix Hijacking زمانی اتفاق می‌افتد که یک مهاجم یا یک AS غیرمجاز، پیشوندهایی که متعلق به یک AS دیگر هستند را به عنوان مسیرهای خود معرفی کند. این کار ممکن است به تغییر مسیر ترافیک یا حتی استراق سمع اطلاعات حساس منجر شود.

برای جلوگیری از این مشکل، شما می‌توانید از Route Filtering و سیاست‌های مشخص برای فیلتر کردن پیشوندهای دریافتی استفاده کنید. همچنین، Prefix List و AS Path Filtering می‌تواند به کاهش احتمال این حمله کمک کند.

2. BGP Route Authentication (اعتبارسنجی مسیرهای BGP)

برای اعتبارسنجی مسیرهای BGP، می‌توان از BGP Authentication استفاده کرد. MD5 Authentication یکی از رایج‌ترین روش‌ها برای تأمین امنیت اتصال‌های BGP است. این مکانیسم اجازه می‌دهد تا روترها تنها در صورتی ارتباط برقرار کنند که یک کلید مشترک (Key) برای آن‌ها تنظیم شده باشد.

پیکربندی MD5 Authentication در BGP:

router bgp 65001
neighbor 192.168.1.1 password cisco12345   ! تعریف رمز عبور MD5 برای همسایه

در این مثال، هر ارتباط BGP با همسایه 192.168.1.1 تنها در صورتی برقرار می‌شود که کلمه عبور صحیح وارد شده باشد.

3. BGP Monitoring and Logging (نظارت و ثبت رویدادهای BGP)

یکی از بهترین روش‌ها برای شناسایی مشکلات امنیتی و نظارت بر وضعیت BGP، استفاده از نظارت و ثبت رویدادها است. با فعال کردن لاگ‌ها و نظارت بر وضعیت ارتباطات BGP، می‌توانید به سرعت متوجه مشکلات و تغییرات غیرمنتظره در مسیرهای مسیریابی شوید.

برای فعال کردن لاگ‌های BGP در روتر سیسکو، می‌توانید از دستور زیر استفاده کنید:

router bgp 65001
bgp log-neighbor-changes  ! لاگ تغییرات همسایگان را فعال می‌کند

4. BGP Communities برای کنترل بیشتر

یکی از قابلیت‌های دیگر BGP که می‌تواند به امنیت و کنترل مسیرها کمک کند، استفاده از BGP Communities است. Communities به روترها اجازه می‌دهند که مسیرهای خاص را بر اساس سیاست‌های از پیش تعیین‌شده گروه‌بندی کنند و به این ترتیب، مسیرهای نامطلوب را فیلتر کنند یا ویژگی‌های خاصی را برای آن‌ها اعمال کنند.

برای مثال، می‌توانید یک Community خاص را برای مسیرهایی که از منابع غیرمجاز می‌آیند، تنظیم کنید و سپس از فیلترهای مختلف برای جلوگیری از گسترش این مسیرها استفاده کنید.

5. Prefix Filtering و AS Path Filtering

فیلتر کردن پیشوندها و مسیرهای AS یکی دیگر از روش‌های موثر برای افزایش امنیت BGP است. این فیلترینگ می‌تواند به صورت دستی یا خودکار برای مسدود کردن مسیرهای غیرمجاز یا غیر منطقی به کار گرفته شود.

پیکربندی فیلتر کردن پیشوندها:

ip prefix-list filter-list seq 5 deny 10.1.1.0/24
ip prefix-list filter-list seq 10 permit 0.0.0.0/0

در این پیکربندی، شبکه 10.1.1.0/24 از فهرست مسیریابی حذف می‌شود و سایر پیشوندها مجاز هستند.

پیکربندی فیلتر کردن AS Path:

ip as-path access-list 10 permit ^65001$
router bgp 65001
neighbor 192.168.1.1 filter-list 10 in

در اینجا، فقط مسیرهایی که از AS شماره 65001 می‌آیند، به عنوان ورودی در نظر گرفته می‌شوند.

6. BGP TTL Security Check (چک امنیتی TTL)

یکی دیگر از تکنیک‌های امنیتی BGP، BGP TTL Security Check است. این روش به بررسی TTL بسته‌های BGP می‌پردازد تا اطمینان حاصل شود که بسته‌ها از یک منبع معتبر آمده‌اند و هیچ‌گونه حمله‌ای مانند Man-in-the-Middle رخ نداده باشد.

برای فعال کردن این ویژگی در روتر سیسکو، می‌توانید از دستور زیر استفاده کنید:

router bgp 65001
neighbor 192.168.1.1 ttl-security hops 1

در این پیکربندی، روتر فقط بسته‌هایی را که از نزدیک‌ترین همسایه (با TTL برابر 1) دریافت می‌کند، قبول می‌کند.

7. BGP Anti-Loop Mechanisms (مکانیزم‌های ضد حلقه BGP)

BGP به طور طبیعی در برابر حلقه‌های مسیریابی مقاوم است، اما در شرایط خاص ممکن است حلقه‌ها ایجاد شوند. برای جلوگیری از این مشکلات، روش‌هایی مانند AS Path Prepending و Route Reflectors استفاده می‌شوند.

AS Path Prepending به شما این امکان را می‌دهد که مسیرها را با اضافه کردن AS‌های بیشتر در انتهای مسیر به طولانی‌تر کنید، که باعث می‌شود روترهای دیگر این مسیرها را به عنوان مسیرهای نامطلوب شناسایی کنند.

پیکربندی AS Path Prepending:

router bgp 65001
neighbor 192.168.1.1 as-path prepend 65001 65001

در این مثال، مسیر به AS 65001 اضافه می‌شود تا طول مسیر بیشتر شود و احتمال انتخاب آن کمتر گردد.

مقایسه BGP با سایر پروتکل‌های مسیریابی

در این بخش، می‌خواهیم پروتکل BGP را با پروتکل‌های مسیریابی داخلی مانند OSPF و RIP مقایسه کنیم.

1. BGP vs OSPF

• نوع پروتکل:
  • BGP یک پروتکل Path Vector است که برای مسیریابی بین AS‌ها استفاده می‌شود.
  • OSPF یک پروتکل Link-State است که برای مسیریابی درون یک AS به کار می‌رود.
• مقیاس‌پذیری:
  • BGP برای مقیاس‌پذیری بالا و مسیریابی در مقیاس اینترنت طراحی شده است.
  • OSPF برای شبکه‌های داخلی با اندازه متوسط و بزرگ مناسب است.
• مدت زمان Convergence:
  • BGP دارای زمان Convergence نسبتا طولانی است.
  • OSPF سریع‌تر از BGP به وضعیت پایدار می‌رسد.

2. BGP vs RIP

• نوع پروتکل:
  • RIP یک پروتکل Distance Vector است که به طور خاص برای شبکه‌های کوچک و متوسط طراحی شده است.
  • BGP یک پروتکل Path Vector است که به طور معمول در شبکه‌های بزرگ و بین AS‌ها استفاده می‌شود.
• مقیاس‌پذیری:
  • RIP به خوبی برای شبکه‌های کوچک مناسب است و محدودیت‌هایی از نظر تعداد رویدادهای مسیریابی (حداکثر 15 هاپ) دارد.
  • BGP برای شبکه‌های بسیار بزرگ، مانند اینترنت طراحی شده است و مقیاس‌پذیری بالایی دارد.

جمع‌بندی

پروتکل BGP یکی از اجزای حیاتی زیرساخت اینترنت است که برای مسیریابی بین شبکه‌های مستقل (AS) استفاده می‌شود. این پروتکل ویژگی‌های پیچیده‌ای مانند پشتیبانی از CIDR، تجمیع مسیر، و استفاده از فیلترهای مختلف برای کنترل مسیرها دارد. با این حال، مشکلات امنیتی مانند BGP Prefix Hijacking و حملات Man-in-the-Middle می‌تواند تهدیدهایی برای شبکه‌ها باشد، که برای مقابله با این مشکلات باید از تکنیک‌های امنیتی مختلف مانند MD5 Authentication، فیلتر کردن پیشوندها و چک امنیتی TTL استفاده کرد.

با توجه به مقیاس‌پذیری بالا و انعطاف‌پذیری BGP، این پروتکل به انتخاب اول برای مسیریابی در سطح اینترنت تبدیل شده است، اما همچنان نیاز به پیکربندی دقیق و توجه به مسائل امنیتی دارد تا از حملات جلوگیری شود.