http://mikrotik.moscow Новое в теме Запрос функции: BGP flowspec (RFC5575) форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 00:01:37 -0400 Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
+1 Крупные транспортные провайдеры в Швеции делают это.
13.10.2017 17:46:00, JimmyNyholm.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397789 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397789 Fri, 13 Oct 2017 17:46:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
+1. Это сейчас просто необходимо.
12.10.2017 11:11:00, Cha0s.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397788 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397788 Thu, 12 Oct 2017 11:11:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Более 100 RFC уже утверждены, у других провайдеров это реализовано, разные ISP и транзитные сети это поддерживают — нам это нужно, чтобы не отставать от отрасли. Сначала нужна поддержка нового NLRI, чтобы валидировать, принимать и передавать их. Затем — возможность создавать правила и реально влиять на поток трафика. Но это может появиться позже, гораздо позже, если понадобится больше времени, просто скажите. Вся эта куча API и других функций в MT делает возможным влияние снаружи, но нам нужно оборудование, которое сможет принимать и передавать новую информацию... Вот мои пять копеек.
30.07.2017 11:52:00, JimmyNyholm.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397787 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397787 Sun, 30 Jul 2017 11:52:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
+1 за flowspec. Между тем, flowspec уже является отраслевым стандартом.
16.01.2017 17:18:00, ecaps.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397786 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397786 Mon, 16 Jan 2017 17:18:00 -0500 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Я посмотрел на другую платформу для защиты от DDoS, которая требует BGP FlowSpec. Ещё один источник информации о BGP FlowSpec: https://www.youtube.com/watch?v=XBM5lgiPXGc
04.11.2016 11:32:00, Hammy.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397785 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397785 Fri, 04 Nov 2016 11:32:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
+1 По крайней мере, должна быть возможность отправлять flowspec к пирингам (то есть нет необходимости интерпретировать и применять правила локально). Я понимаю мнение Mikrotik, выраженное выше, но на данном этапе это неважно, всё уже принято, и единственный реальный выбор — поддержать это.
13.07.2016 08:05:00, smunaut.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397784 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397784 Wed, 13 Jul 2016 08:05:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Все больше клиентов спрашивают об этом, и нам приходится ставить либо Quagga, либо BIRD в качестве граничного маршрутизатора, поскольку MikroTik этого не поддерживает. Я бы предпочел поставить CCR, но не сможем, пока эта функция не будет реализована. Отсутствие этой возможности скажется на продажах CCR в тех сегментах, где нужен DDoS-защита, интегрированная с BGP — а этот рынок в 2016 году стремительно растёт. Вот отличный обзор BGP FlowSpec, который вышел всего неделю назад, там хорошо объясняют, почему эта технология сейчас так активно применяется. https://packetpushers.net/podcast/podcasts/pq-show-78-bgp-flowspec-dos-mitigation/
25.05.2016 19:16:00, StubArea51.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397783 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397783 Wed, 25 May 2016 19:16:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Больше вариантов — всегда лучше, и в общем-то лучше предпочитать «стандартные» решения вместо фирменных, даже если это оборудование Cisco (или другие ведущие бренды, продвигаемые и используемые). А универсальный, стандартизированный netflow (вместо копии Cisco) — вот куда стоит двигаться, на мой взгляд.
25.04.2016 21:59:00, Zorro.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397782 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397782 Mon, 25 Apr 2016 21:59:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Я согласен с NZ и понимаю обе точки зрения, но скажу, что никто не нагромоздил на BGP столько всего, сколько Cisco, и несмотря на огромное количество проприетарных и RFC-дополнений, BGP остаётся относительно стабильной реализацией. BGP — естественный выбор для расширения функционала, ведь он по сути является основой всех крупных сетей в мире. По мере того как SDN всё больше входит в нашу жизнь, BGP всё активнее используется как основа для многих SDN-решений и будет продолжать развиваться. Чтобы не отстать от постоянно меняющихся угроз и атак, нам нужны те же инструменты, что и у конкурирующих сетевых вендоров.
22.04.2016 14:21:00, StubArea51.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397781 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397781 Fri, 22 Apr 2016 14:21:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Я понимаю обе точки зрения. Но при отсутствии лучшего решения BGP Flowspec становится отраслевым стандартом. Если у Mikrotik есть возражения по поводу реализации или метода, они могут предложить свой вариант в виде RFC в IETF.
22.04.2016 08:34:00, nz_monkey.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397780 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397780 Fri, 22 Apr 2016 08:34:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Независимо от того, нравится вам Flowspec или нет, именно этим сейчас движется сообщество, так что либо присоединяйтесь, либо вас заменят.
17.11.2015 17:38:00, Hammy.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397779 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397779 Tue, 17 Nov 2015 17:38:00 -0500 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
+1 Juniper делает это с версии 7.3, и нет хороших альтернатив для предотвращения DDoS-атак. Cloudflare использует это, многие пользуются, если хочешь, чтобы твои «топовые» устройства действительно имели смысл, стоит серьёзно об этом задуматься.
17.10.2015 08:14:00, unixman.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397778 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397778 Sat, 17 Oct 2015 08:14:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Спасибо за запрос на добавление функции, однако есть несколько аргументов против реализации такой спецификации:

Общий довод в пользу новых возможностей BGP звучит так: раз BGP — это такая стабильная и широко используемая вещь, давайте добавим в неё всякую случайную ерунду. Но как только начинаешь что-то добавлять, реализация BGP перестаёт быть простой и стабильной, появляется куча новых вариантов сбоев.

Цитата из RFC: «Хотя проблему можно решить и другими способами, авторы считают, что это решение даёт существенное преимущество в виде постепенного добавления к уже существующим механизмам.»

Но всё равно это нужно настраивать на каждом BGP-соседе. Почему бы не сделать под капотом отдельный протокол, чтобы баги в этом не тянули вниз весь BGP?

NLRI в BGP предназначен для передачи адресных префиксов, которые, например, в случае VPNv6 — это 8 байт RD плюс 16 байт IPv6. Структуры данных, которые хорошо работают с такими короткими (до 24 байт) префиксами, обычно не подходят для хранения NLRI произвольной длины (в килобайтах), как предлагает этот RFC.

Правильным, по сути, было бы использовать NLRI как короткий идентификатор, а сопоставляющие потоки хранить в атрибутах. В RFC не объясняется, почему выбрали именно такой подход.

Если BGP-сосед, который распространяет flowspec, подвергается DOS-атаке, то flowspec удаляются у всех соседей. RFC не объясняет, как с этим бороться.

Нужны средства, чтобы администратор мог контролировать и ограничивать объём распределяемой информации. Существующие инструменты для этого непригодны.
09.07.2015 06:53:00, mrz.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397777 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397777 Thu, 09 Jul 2015 06:53:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Очень классно, плюс два!
08.07.2015 23:25:00, StubArea51.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397776 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397776 Wed, 08 Jul 2015 23:25:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
хочу!
08.07.2015 15:37:00, rekeds.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397775 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397775 Wed, 08 Jul 2015 15:37:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
голосую +1
20.04.2015 14:07:00, jmginer.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397774 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397774 Mon, 20 Apr 2015 14:07:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Хотите узнать больше о BGP FlowSpec?  
https://www.nanog.org/sites/default/files/wed.general.trafficdiversion.serodio.10.pdf  
https://www.nanog.org/sites/default/files/tuesday_general_ddos_ryburn_63.16.pdf  
https://conference.apnic.net/data/37/apricot-2014-wei-yin-scalable-ddos-mitigation-using-bgp-flowspec_1393312254.pdf  
http://www.slideshare.net/sfouant/an-introduction-to-bgp-flow-spec  
http://www.slideshare.net/Arbor_Networks/aol-flowspec-2015
21.04.2016 13:11:00, Hammy.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397773 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397773 Thu, 21 Apr 2016 13:11:00 -0400 RouterOS Запрос функции: BGP flowspec (RFC5575) RouterOS в форуме RouterOS.
Планируете внедрять это? Для тех, кто не в теме, вкратце — это использует BGP для распространения спецификаций фильтров. Очень полезно при атаках DDoS, позволяет отправлять «правила фаервола» (с фильтрацией по исходным и целевым адресам, протоколам, портам и т.д.) вашим BGP-пирами или транзитным провайдерам, чтобы они могли отбрасывать или ограничивать враждебный трафик. Отлично, и при этом не нужно мучить их NOC. Пока, насколько я знаю, поддерживает это только Juniper, но Cisco уже объявила, что работает над этим. В общем, не кажется таким уж сложным в реализации, спецификация довольно четкая.
05.11.2013 12:37:00, Bergante.]]> http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397772 http://mikrotik.moscow/forum/forum57/85570-zapros-funktsii_-bgp-flowspec-_rfc5575/message397772 Tue, 05 Nov 2013 12:37:00 -0500 RouterOS