UTRS Registro e Configuracao - Histórico de revisão

Fernando.frediani: Ajuste de configuração no exemplo Huawei

2020-06-04T18:02:08Z

Ajuste de configuração no exemplo Huawei

Fernando.frediani: Ajustada configuração do FRR

2020-05-18T19:38:56Z

Ajustada configuração do FRR

Fernando.frediani em 00h51min de 18 de maio de 2020

2020-05-18T00:51:40Z

Fernando.frediani: Ajustada configuração para BIRD

2020-05-15T19:36:59Z

Ajustada configuração para BIRD

Fernando.frediani: Adicionada configuração para Huawei

2020-05-14T03:16:22Z

Adicionada configuração para Huawei

Fernando.frediani em 03h14min de 13 de maio de 2020

2020-05-13T03:14:28Z

Fernando.frediani: Ajustes no texto.

2020-05-13T00:20:15Z

Ajustes no texto.

Fernando.frediani: Ajustes no texto.

2020-05-13T00:10:45Z

Ajustes no texto.

Fernando.frediani: Ajustes pontuais no texto.

2020-05-12T23:21:49Z

Ajustes pontuais no texto.

Mostrar alterações

Fernando.frediani: Fernando.frediani moveu Registro e Configuracao do UTRS para UTRS Registro e Configuracao sem deixar um redirecionamento

2020-05-09T16:32:19Z

Fernando.frediani moveu Registro e Configuracao do UTRS para UTRS Registro e Configuracao sem deixar um redirecionamento

@@ Linha 327: / Linha 327: @@
 ip community-filter 5 index 20 permit no-export
 ip community-filter 6 index 10 permit <YOUR_ASN>:0
 route-policy BGPv4-Import-UTRS permit node 5
@@ Linha 340: / Linha 335: @@
 ip route-static 192.0.2.1 255.255.255.255 NULL0
 peer W.X.Y.Z as-number 64496
 peer W.X.Y.Z description CYMRU-UTRS

@@ Linha 354: / Linha 354: @@
 === Configuração FRR ===
 <pre>
 router bgp <your-asn>
   neighbor IP remote-as 64496
@@ Linha 375: / Linha 377: @@
   match ip address prefix-list 32-only
   set ip next-hop 192.0.2.1
-−
 route-map UTRS-OUT permit 10
   match community YOUR-BLACKHOLE-COMMUNITY

@@ Linha 350: / Linha 350: @@
 peer W.X.Y.Z advertise-community
 peer W.X.Y.Z advertise-ext-community
 </pre>

@@ Linha 354: / Linha 354: @@
 === Configuração BIRD ===
 <pre>
-filter bgp_in_utrs
+filter bgp_in_utrs {
+    if (64496,0) ~ bgp_community && net.len = 32 then {
-         if  (64496,0) ~ bgp_community && net ~ [ 0.0.0.0/0{32,32} ] then {
+        dest = RTD_BLACKHOLE;
-             bgp_community.add((<your-ibg-blackhole-community>));
+        accept;
-             dest = RTD_BLACKHOLE;
-             accept;
+    else reject;
-−
+}
- filter bgp_out_utrs
+filter bgp_out_utrs {
+    if  (xxxxx,666) ~ bgp_community && net.len = 32 && net_local() then {
-         if  (<your-ibg-blackhole-community>) ~ bgp_community && net ~ [ 0.0.0.0/0{32,32} ] then {
+        bgp_community = -empty-;
-             bgp_community.add((<your-asn>,0));
+        bgp_community.add((xxxxx,0));
-             bgp_community.add((65535,65281));
+        accept;
-             bgp_next_hop=192.0.2.1;
-             accept;
+    else reject;
-−
+}
- protocol bgp UTRS {
+protocol bgp UTRS_BL {
-         local <your-ip> as <your-asn>;
+    description "UTRS Blackhole Service";
-         neighbor <utrs-ip> as 64496;
+    ipv4 {
-         description "UTRS";
+     	import filter bgp_in_utrs;
-         multihop;
+       	export filter bgp_out_utrs;
-         import filter bgp_in_utrs;
+    };
-         export filter bgp_out_utrs;
+    multihop;
-         passive;
+    local <your-ip> as <your-asn>;
-         password "<md5_password>";
+    neighbor <utrs-ip> as 64496;
+    graceful restart;
 </pre>
 == Perguntas Frequentes (FAQ) ==

@@ Linha 320: / Linha 320: @@
+   }
 </pre>
 === Configuração BIRD ===
 <pre>

@@ Linha 5: / Linha 5: @@
 Uma vez estabelecida a sessão BGP com o UTRS, o participante se torna capaz de anunciar parte dos prefixos do seu AS para o URTS, que encaminhará os anúncios recebidos à todos os outros participantes (ISPs, Empresas de Hospedagem de Conteúdos, etc), que por sua vez, deixarão de enviar tráfego para o(s) IP(s) anunciados. Assim, caso algum cliente dos participantes (assinante de banda larga ou servidor de hospedagem, por exemplo) esteja gerando ataques contra o ASN vítima, este deixará de enviar esse tráfego aos IPs das vítimas, pois o tráfego será bloqueado na origem.
-Em outras palavras funciona como um blackhole distribuído, onde diversos backbones recebem os anúncios e instalam essas rotas evitando assim que qualquer tráfego originado ali não alcance o destino do ataque. Para mais informações consulte IETF [[rfc:3882/|RFC 3882]] Configuring BGP to Block Denial-of-Service Attacks
+Em outras palavras funciona como um '''blackhole distribuído''', onde diversos backbones recebem os anúncios e instalam essas rotas descartando assim que qualquer tráfego originado ali para que não alcance o destino do ataque. Para mais informações consulte IETF [[rfc:3882/|RFC 3882]] Configuring BGP to Block Denial-of-Service Attacks.
 Isso permite às organizações vítimas de ataque conseguirem reduzir de maneira significativa o tamanho do ataque através da colaboração de centenas de outros backbones que deixarão de enviar tráfego para o(s) IP(s) reportados para o serviço.
@@ Linha 432: / Linha 432: @@
 '''Autor''': Fernando Frediani

@@ Linha 1: / Linha 1: @@
 == Introdução ==
 [[Arquivo:Logo-UTRS.png|borda|direita|semmoldura|256x256px]]
-O [https://team-cymru.com/community-services/utrs/ U.T.R.S] (Unwanted Traffic Removal Service) é um serviço colaborativo provido de forma gratuita pelo [https://team-cymru.com/ Team Cymru] e que tem como objetivo auxiliar na mitigação de grandes ataques DDoS através do uso do protocolo BGP pelos participantes. Uma vez estabelecida a sessão BGP entre o participante e o UTRS o participante é capaz de realizar anúncios de partes dos prefixos de seu ASN para que esses anúncios sejam encaminhados à todos os outros participantes (ISPs, Empresas de Hospedagem de Conteúdos, etc) e esses deixem de enviar tráfego para o(s) IP(s) anunciados. Assim caso algum cliente de banda larga ou um servidor hospedado em quaisquer das organizações participantes que esteja originando ataques contra o ASN vítima, deixará de enviar esse tráfego que será bloqueado na origem não chegando à vítima.
+O [https://team-cymru.com/community-services/utrs/ U.T.R.S] (Unwanted Traffic Removal Service) é um serviço colaborativo provido de forma gratuita pelo [https://team-cymru.com/ Team Cymru] e que tem como objetivo auxiliar na mitigação de grandes ataques DDoS através do uso do protocolo BGP pelos participantes.
-Em outras palavras funciona como um blackhole distribuído onde diversos backbones recebem os anúncios e instalam essas rotas evitando assim que qualquer tráfego originado ali não alcance o destino do ataque.Para mais informações consulte IETF [[rfc:3882/|RFC 3882]] Configuring BGP to Block Denial-of-Service Attacks
+Uma vez estabelecida a sessão BGP com o UTRS, o participante se torna capaz de anunciar parte dos prefixos do seu AS para o URTS, que encaminhará os anúncios recebidos à todos os outros participantes (ISPs, Empresas de Hospedagem de Conteúdos, etc), que por sua vez, deixarão de enviar tráfego para o(s) IP(s) anunciados. Assim, caso algum cliente dos participantes (assinante de banda larga ou servidor de hospedagem, por exemplo) esteja gerando ataques contra o ASN vítima, este deixará de enviar esse tráfego aos IPs das vítimas, pois o tráfego será bloqueado na origem.
 Isso permite às organizações vítimas de ataque conseguirem reduzir de maneira significativa o tamanho do ataque através da colaboração de centenas de outros backbones que deixarão de enviar tráfego para o(s) IP(s) reportados para o serviço.