Site icon GalaxyData Community

route filter mikrotik ipv6

Eduard Yamaltdinov

IPv6 BGP Routing Filters Mikrotik RouterOS

/routing filter
add chain=ipv6-ebgp-relaxed action=reject prefix=3ffe::/16 prefix-length=0-128
add chain=ipv6-ebgp-relaxed action=reject prefix=2001:db8::/32 prefix-length=0-128
add chain=ipv6-ebgp-relaxed action=accept prefix=2001::/32
add chain=ipv6-ebgp-relaxed action=reject prefix=2001::/32 prefix-length=0-128
add chain=ipv6-ebgp-relaxed action=accept prefix=2002::/16
add chain=ipv6-ebgp-relaxed action=reject prefix=2002::/16 prefix-length=0-128
add chain=ipv6-ebgp-relaxed action=reject prefix=0000::/8 prefix-length=0-128
add chain=ipv6-ebgp-relaxed action=reject prefix=fe00::/9 prefix-length=0-128
add chain=ipv6-ebgp-relaxed action=reject prefix=ff00::/8 prefix-length=0-128
add chain=ipv6-ebgp-relaxed action=accept prefix=2000::/3 prefix-length=0-48
add chain=ipv6-ebgp-relaxed action=reject prefix=0::/0 prefix-length=0-128

Здесь представлена конфигурация правил фильтрации маршрутов протокола IPv6 на роутере с операционной системой Mikrotik RouterOS. Эти правила используются для обработки внешних маршрутов BGP (Border Gateway Protocol), полученных от соседних автономных систем (AS). Фильтры применяются последовательно сверху вниз, и первое совпадающее правило определяет судьбу маршрута.

Правила фильтра ipv6-ebgp-relaxed:

  1. Отказ (action=reject) маршрутов из адресного пространства 3ffe::/16. Это пространство зарезервировано IANA для экспериментальных целей и должно быть отклонено. 
    add chain=ipv6-ebgp-relaxed action=reject prefix=3ffe::/16 prefix-length=0-128
  2. Отказ маршрутов из диапазона 2001:db8::/32, также известного как резервированное адресное пространство документа RFC 3849 («Benchmarking Methodology for Network Interconnect Devices»). Такие маршруты предназначены исключительно для документации и тестирования, поэтому они отвергаются. 
    add chain=ipv6-ebgp-relaxed action=reject prefix=2001:db8::/32 prefix-length=0-128
  3. Принятие (action=accept) маршрутов из глобального публичного блока адресации 2001::/32. 
    add chain=ipv6-ebgp-relaxed action=accept prefix=2001::/32
  4. Однако сразу же следом идет отказ всех маршрутов из этого же блока — возможно, эта строка предназначена для предотвращения утечек более специфичных префиксов внутри сети: 
    add chain=ipv6-ebgp-relaxed action=reject prefix=2001::/32 prefix-length=0-128
  5. Далее принимаются маршруты из блокадресации 6to4 туннелей (2002::/16), используемых для перехода между сетями IPv4 и IPv6: 
    add chain=ipv6-ebgp-relaxed action=accept prefix=2002::/16
  6. Затем такие маршруты снова отвергаются, вероятно, чтобы предотвратить использование устаревших методов трансляции: 
    add chain=ipv6-ebgp-relaxed action=reject prefix=2002::/16 prefix-length=0-128
  7. Отклоняются специальные блоки IPv6, такие как:
    • 0000::/8: неопознанная сеть,
    • fe00::/9: локальные переходные каналы,
    • ff00::/8: многоадресные передачи.

    Например:

    add chain=ipv6-ebgp-relaxed action=reject prefix=0000::/8 prefix-length=0-128
  8. Принятие маршрутов из блоков глобальной унифицированной IP-адресации (2000::/3), причем ограниченно длиной префикса до /48 включительно: 
    add chain=ipv6-ebgp-relaxed action=accept prefix=2000::/3 prefix-length=0-48
  9. Наконец, отклоняется абсолютно весь трафик с нулевым маршрутом (0::/0), что предотвращает любые потенциальные проблемы с широковещательными или неопределенными адресами. 
    add chain=ipv6-ebgp-relaxed action=reject prefix=0::/0 prefix-length=0-128

Таким образом, цель конфигурации — обеспечить безопасность сети, защитив её от возможных угроз путем блокировки специальных адресных пространств и принятия только валидных публичных маршрутов. Этот набор фильтров является распространенной практикой защиты сетей от ошибок конфигурирования и злоупотреблений.

Exit mobile version