BGP FlowSpec은 BGP peer간에 신속하게 filtering and policing 기능을 전파시켜 DDOS 공격을 방지하는 역할을 한다.
기존의 RTBH는 ddos공격을 대상의 주소의 next-hop 을 null/discard 로 전파하여 공격을 방지 하였다. 하지만 이럴 경우 공격 공격대상이 unreachable 상태에 빠지게 된다.
FlowSpec는 기존의 RTBH와는 다르게 null/discard 동작만이 아니라 source , destination, L4 parameter, packet parameter( length, fragmentation , etc, ) 등등 더 다양한 옵션을 사용 하여 ddos 공격에 대응 할 수 있다.
Juniper FlowSpec 동작
아래 그림과 같이 BGP peer를 통해 전달받은 flow를 validation 과정을 거쳐 match 되는 flow를 Local-RIB에 저장하고 firewall filter로 변환하여 각각에 PFE에 내려주면 모든 인터페이스에 해당 filter를 적용시킨다.
LAB TEST
망 구성도
[ R1 ] --------------------- [ R2 ]
1.1.1.1 192.168.0.0/24 2.2.2.2
R1
set logical-systems TEST_1 interfaces xe-1/2/0 unit 0 family inet address 10.10.10.1/24 set logical-systems TEST_1 interfaces lo0 unit 1 family inet address 1.1.1.1/32 set logical-systems TEST_1 protocols bgp group TEST type internal set logical-systems TEST_1 protocols bgp group TEST local-address 1.1.1.1 set logical-systems TEST_1 protocols bgp group TEST family inet unicast set logical-systems TEST_1 protocols bgp group TEST family inet flow no-validate TEST_default set logical-systems TEST_1 protocols bgp group TEST neighbor 2.2.2.2 set logical-systems TEST_1 policy-options policy-statement TEST_default term 10 then accept set logical-systems TEST_1 policy-options policy-statement TEST_default term 5 then reject set logical-systems TEST_1 routing-options static route 2.2.2.2/32 next-hop 10.10.10.2 set logical-systems TEST_1 routing-options autonomous-system 1234 |
R2
set interfaces xe-1/3/0 unit 0 family inet address 10.10.10.2/24 set interfaces lo0 unit 2 family inet address 2.2.2.2/32 set routing-options static route 1.1.1.1/32 next-hop 10.10.10.1 set routing-options autonomous-system 1234 set routing-options flow route TEST match protocol icmp set routing-options flow route TEST then discard set protocols bgp group TEST type internal set protocols bgp group TEST local-address 2.2.2.2 set protocols bgp group TEST family inet unicast set protocols bgp group TEST family inet flow no-validate TEST set protocols bgp group TEST cluster 2.2.2.2 set protocols bgp group TEST neighbor 1.1.1.1 set policy-options policy-statement TEST then accept |
-> R2 에서 icmp discard 하는 flow (TEST) 를 생성하여 R1 에게 전달함.
BGP를 통해 flow를 전달받은 R1은 수신한 flow 를 보고 firewall filter 를 생성하여 모든 인터페이스에 적용시킨다.
R1에서 R2로 ping을 시도하면 수신받은 flow 기반으로 생성한 firewall filter에 의하여 icmp packet이 Drop 된다.
R1 firewall filter ( R1에서 R2로 ping 시도 후 )
icraft@Mx960# run show firewall Filter: __default_bpdu_filter__ Filter: __flowspec_default_inet__ Counters: Name Bytes Packets *,*,proto=1 588 7 [edit] icraft@Mx960# |
수신받은 flow는 show route 명령어를 통해 확인가능 하다. 해당 flow는 inetflow.0 table에 저장된다.
R1 routing table
inetflow.0: 1 destinations, 1 routes (1 active, 0 holddown, 0 hidden) + = Active Route, - = Last Active, * = Both *,*,proto=1/term:1 *[Flow/5] 01:04:20 Fictitious [edit] icraft@Mx960# |
수신받을 flow 도 필터링이 가능하다. 아래와 같은 flow 를 생성 하고 라우팅 테이블을 확인해보면
R2
set routing-options flow route TEST match destination 100.100.0.0/16 set routing-options flow route TEST then accept icraft@Mx960:TEST_1# show protocols bgp group TEST { type internal; local-address 1.1.1.1; family inet { unicast; flow { no-validate TEST; } } neighbor 2.2.2.2; } |
R1
inetflow.0: 1 destinations, 1 routes (1 active, 0 holddown, 0 hidden) + = Active Route, - = Last Active, * = Both 100.100/16,*/term:N/A *[BGP/170] 00:02:49, localpref 100, from 2.2.2.2 AS path: I, validation-state: unverified Fictitious [edit] icraft@Mx960:TEST_1# # |
위와같이 R2로 부터 수신한 flow 가 table 에 등록되어 있는 것을 확인 가능하다.
이때 R1에 아래와 같은 정책을 적용한다.
R1
policy-statement TEST_reject { term 10 { from local-preference 100; then reject; } term 20 { then accept; } } icraft@Mx960:TEST_1# show protocols bgp group TEST { type internal; local-address 1.1.1.1; family inet { unicast; flow { no-validate TEST_reject; } } neighbor 2.2.2.2; } |
R1에서 보내준 flow는 bgp로 수신받은 flow 이기 때문에 preference 가 100이므로 해당 flow 가 reject 가 된다.
이 때 라우팅 테이블을 확인 해 보면
R1icraft@Mx960:TEST_1# run show route hidden inet.0: 4 destinations, 4 routes (4 active, 0 holddown, 0 hidden) inetflow.0: 1 destinations, 1 routes (0 active, 0 holddown, 1 hidden) + = Active Route, - = Last Active, * = Both 100.100/16,*/term:N/A [BGP ] 00:09:27, localpref 100, from 2.2.2.2 AS path: I, validation-state: unverified Fictitious [edit] icraft@Mx960:TEST_1# |
해당 루트가 hidden으로 빠진걸 볼 수 있다. validation에서 match 되지 않는 flow 는 hidden 으로 빠지는걸 확인 가능하다.