Отправьте /32 IP в Blackhole Community ISP через BGP

Привет, Нико, почему ты используешь /routing bgp peer resend-all?

Я бы не советовал перераспределять какие-либо маршруты. Создавайте статические "черные дыры" с помощью bgp-communities и добавляйте каждую сеть в раздел /routing bgp network с параметром synchronize=yes.

Привет, ZeroByte, я использую это для фильтра: chain=to_MYISP prefix=xxx.xx.xx.0/22 prefix-length=32 invert-match=no action=accept set-bgp-prepend-path=“” set-bgp-communities=1111:111. Также нашёл этот скрипт в интернете и пытаюсь его подправить, чтобы отправлять заблокированные DDoS-ом IP в blackhole:

:log info “BGP Blackhole updater starting”;
:local refresh;
:set refresh false;

Добавляем адреса в BGP сети:
:foreach address in=[/ip firewall address-list find list=ddosed disabled=no] do={
   :local id;
   :set id [/ip firewall address-list get $address address]
   :local rtExists;
   :set rtExists false;
   :foreach nets in=[/routing bgp network find network=“$id/32”] do={
       :set rtExists true;
       :put “$id уже есть в BGP сетях”;
   }
   :if ($rtExists = false) do={
       /routing bgp network add network=“$id/32” synchronize=no;
       :set refresh true;
       :put “$id добавлен в BGP сети”;
   }
}

Удаляем адреса из BGP сетей, которых нет в ACL:
:foreach route in=[/routing bgp network find synchronize=no] do={
   :local addr;
   :set addr [/routing bgp network get $route network]
   :local addrsize;
   :set addrsize [:len $addr]
   :set addr [
       :pick $addr 0 ($addrsize-3)
   ];
   :local aclExists;
   :set aclExists false;
   :foreach addrs in=[/ip firewall address-list find list=ddosed address=$addr disabled=no] do={
       :set aclExists true;
       :put “$addr всё ещё в ACL”;
   }
   :if ($aclExists = false) do={
       :local netid;
       :set netid [/routing bgp network find network=“$addr/32”]
       /routing bgp network remove $netid;
       :set refresh true;
       :put “$addr удалён из BGP сетей”;
   }
}

:if ($refresh = true) do={
   :log info “BGP Blackhole updater запустил resend-all для BGP пира”
   :put “Выполняется resend-all для BGP пира”
   /routing bgp peer resend-all
}

:log info “BGP Blackhole updater завершён”;

ZeroByte, спасибо за быстрый ответ и помощь. Вот мой маршрутизирующий фильтр:

/routing filter add action=discard chain=ospf-out prefix=xxx.xxx.xx.x/30 (IP интерфейса WAN) prefix-length=30-32 (я использую это для OSPF)  
add action=accept chain=to_MYISP prefix=xxx.xxx.xx.x/22 prefix-length=32 set-bgp-communities=1111:111 (и использую это, чтобы отправлять атакуемые IP-адреса моему провайдеру)

А вот мой BGP-инстанс и BGP-пиринг:

/routing bgp instance set default as=xxxx client-to-client-reflection=no out-filter=default redistribute-connected=yes  
/routing bgp peer add default-originate=if-installed hold-time=1m30s keepalive-time=10s name=wan out-filter=to_MYISP remote-address=xxx.xxx.xx.xx remote-as=xxx tcp-md5-key=xxxxxxxxx ttl=default update-source=wan

Это мои настройки. Для фильтрации в файрволе я использую правила Chupaka:

/ip firewall filter add action=jump chain=forward comment=Detect-Ddos connection-state=new in-interface=wan jump-target=detect-ddos  
add action=return chain=detect-ddos comment=DOS-Exceptions src-address-list=DOS-Exceptions  
add action=return chain=detect-ddos comment=Detect-Ddos dst-limit=50,256,src-and-dst-addresses/10s  
add action=add-dst-to-address-list address-list=ddosed address-list-timeout=1m chain=detect-ddos comment=Detect-Ddos  
add action=add-src-to-address-list address-list=ddoser address-list-timeout=1d chain=detect-ddos comment=Detect-Ddos  
add action=drop chain=forward comment=Detect-Ddos connection-state=new dst-address-list=ddosed src-address-list=ddoser

С помощью другого скрипта, который я отправлял тебе ранее, пытаюсь сделать что-то вроде — либо переделать под себя — чтобы автоматически добавлять атакуемые IP в сеть BGP с маской /32. Думаю, так можно будет лучше справляться с DDoS-атаками.

Также, если не сложно, проверь мои настройки BGP, может там что-то не так.

Большое спасибо!

Привет, zerobyte! Что именно ты хочешь отключить? Не понимаю, disable routing filter? Или disable default-originate=if-installed? У нас настроена BGP-сессия для интернета между upstream-провайдером и нашей системой. Провайдер дал мне blackhole community, чтобы отправлять атакуемый IP в их «черную дыру». Блок /22 взят из RIPE и назначен на мой AS-номер. Извини, у меня не так много опыта, и я стараюсь объяснить, спасибо за помощь еще раз.

Я настроил это так:

0 chain=ospf-out prefix=xxx.xxx.xx.xx/30 prefix-length=30-32 invert-match=no action=discard set-bgp-prepend-path=""

1 chain=to_MYISP prefix=xxx.xxx.xx0/22 prefix-length=32 invert-match=no action=accept set-bgp-prepend-path="" set-bgp-communities=1111:111

2 chain=to_MYISP prefix=xxx.xxx.x0/22 prefix-length=22-24 invert-match=no action=accept set-bgp-prepend-path=""

3 chain=to_MYISP invert-match=no action=discard set-bgp-prepend-path=""