Polityka importu i eksportu w moim AS w DN42

Outbound: jeden dokładny prefiks

Ogłaszam fd14:e78e:db29::/48 i nic więcej. Na routerze ten /48 istnieje tylko jako statyczna trasa blackhole. redistribute=static na każdym połączeniu BGP ją pobiera, a filtr outbound przepuszcza dokładnie ten prefiks.

Wybrałem jawną regułę allow, bo jest tylko jeden prefiks do ogłoszenia. Każda inna trasa nie spełnia warunku, więc nie stanie się przypadkowym announcementem.

Inbound: tylko prefiksy wyglądające na DN42

Filtr inbound przyjmuje prefiks tylko wtedy, gdy leży w fd00::/8 i ma długość od /44 do /64, a resztę odrzuca. To sprawdzenie fd00::/8{44,64} z poradnika DN42 dla BIRD 2, zapisane jako reguła filtra RouterOS i używane na wszystkich trzech sesjach.

Nie ma VRF. Trasy DN42 trafiają do tablicy main obok moich zwykłych tras, więc to właśnie ten filtr pilnuje, żeby peer nie przekazał mi trasy domyślnej albo publicznego prefiksu.

BGP i oba filtry działają na samym RouterOS. Nie ma FRR ani BIRD i nie utrzymuję własnego looking glassa.

Zakres i braki

To side project do prowadzenia i testowania polityki BGP na prawdziwych sesjach w DN42. Nie jest siecią komercyjną ani kliencką. Dotychczasowa praca to peering oraz troubleshooting routingu i firewalla, w tym wcześniejsze problemy z widocznością, które wychodziły w looking glassach i traceroute.

Znane braki: wszystkie trzy sesje prowadzą do jednej sieci, przez jedno łącze i z jednego routera. Nie ma walidacji ROA/RPKI ani limitu prefiksów, a filtr inbound nie odrzuca bardziej szczegółowych prefiksów z mojego /48.