【网络安全】BGP线路是什么意思？最全BGP路由协议技术详解
一、BGP 的基本概念
自治系统AS（Autonomous System）
AS 是指在一个实体管辖下的拥有相同选路策略的 IP 网络。BGP 网络中的每个 AS 都被分配一个唯一的 AS 号，用于区分不同的 AS。AS 号分为 2 字节 AS 号和 4 字节 AS 号，其中 2 字节 AS 号的范围为 1 至 65535， 4 字节 AS 号的范围为 1 至 4294967295。支持 4 字节 AS 号的设备能够与持2 字节 AS 号的设备兼容。
BGP分类
如图所示，
EBGP：运行于不同
IBGP：运行于同一
说明：
如果在AS内一台BGP设备收到EBGP邻居发送的路由后，需要通过另一台BGP设备将该路由传输给其他AS，则推荐使用IBGP。
BGP报文交互中的角色
BGP 报文交互中分为 Speaker 和 Peer 两种角色。
Speaker：发送
Peer：相互交换报文的
BGP的路由器号（Router ID）
BGP 的 Router ID 是一个用于标识 BGP 设备的 32 位的值，通常是 IPv4 地址的形式，在 BGP 会话建立时发送的 Open 报文中携带。对等体之间建立 BGP 会话时，每个 BGP 设备都必须有唯一的Router ID，否则对等体之间不能建立 BGP 连接。
BGP 的 Router ID 在 BGP 网络中必须是唯一的，可以采用手动配置，也可以让 BGP 自己在设备上选取。缺省情况下， BGP 选择设备上的 Loopback 接口的 IPv4 地址作为 BGP 的 Router ID。如果设备上没有配置 Loopback 接口，系统会选择接口中最大的 IPv4 地址作为 BGP 的 Router ID。一旦选出 Router ID，除非发生接口地址删除等事件，否则即使配置了更大的地址，也保持原来的 Router ID。
二、BGP 工作原理
BGP 对等体的建立、更新和删除等交互过程主要有 5 种报文、 6 种状态机和 5 个原则。
BGP的报文
BGP 对等体间通过以下 5 种报文进行交互，其中 Keepalive 报文为周期性发送，其余报文为触发式发送：
Open 报文：用于建立 BGP 对等体连接。
Update 报文：用于在对等体之间交换路由信息。
Notification 报文：用于中断 BGP 连接。
Keepalive 报文：用于保持 BGP 连接。
Route-refresh 报文：用于在改变路由策略后请求对等体重新发送路由信息。只有支持路由刷新（Route-refresh）能力的 BGP 设备会发送和响应此报文。
BGP状态机
如图所示，
1、Idle 状态是 BGP 初始状态。在 Idle 状态下， BGP 拒绝邻居发送的连接请求。只有在收到本设备的 Start 事件后， BGP 才开始尝试和其它 BGP 对等体进行 TCP 连接，并转至 Connect状态。
说明：
Start 事件是由一个操作者配置一个 BGP 过程，或者重置一个已经存在的过程或者路由器软件重置 BGP 过程引起的。
任何状态中收到
2、在 Connect 状态下， BGP 启动连接重传定时器（Connect Retry），等待 TCP 完成连接。
如果
如果
如果连接重传定时器超时，
3、在 Active 状态下， BGP 总是在试图建立 TCP 连接。
如果
如果
如果连接重传定时器超时，
4、在 OpenSent 状态下， BGP 等待对等体的 Open 报文，并对收到的 Open 报文中的 AS 号、版本号、 认证码等进行检查。
如果收到的
如果发现收到的
5、在 OpenConfirm 状态下， BGP 等待 Keepalive 或 Notification 报文。如果收到 Keepalive 报文，则转至 Established 状态，如果收到 Notification 报文，则转至 Idle 状态。
6、在 Established 状态下， BGP 可以和对等体交换 Update、 Keepalive、 Route-refresh 报文和Notification 报文。
如果收到正确的
如果收到错误的
Route-refresh 报文不会改变 BGP 状态。
如果收到
如果收到
BGP对等体之间的交互原则
BGP 设备将最优路由加入 BGP 路由表，形成 BGP 路由。BGP 设备与对等体建立邻居关系后，采取以下交互原则：
1、从 IBGP 对等体获得的 BGP 路由， BGP 设备只发布给它的 EBGP 对等体。
2、从 EBGP 对等体获得的 BGP 路由， BGP 设备发布给它所有 EBGP 和 IBGP 对等体。
3、当存在多条到达同一目的地址的有效路由时， BGP 设备只将最优路由发布给对等体。
4、路由更新时， BGP 设备只发送更新的 BGP 路由。
5、所有对等体发送的路由， BGP 设备都会接收。
三、BGP 与 IGP 交互
BGP 与 IGP 在设备中使用不同的路由表，为了实现不同 AS 间相互通讯， BGP 需要与 IGP 进行交互，即 BGP 路由表和 IGP 路由表相互引入。
BGP引入IGP路由
BGP 协议本身不发现路由，因此需要将其他路由引入到 BGP 路由表，实现 AS 间的路由互通。当一个 AS 需要将路由发布给其他 AS 时， AS 边缘路由器会在 BGP 路由表中引入 IGP 的路由。为了更好的规划网络， BGP 在引入 IGP 的路由时，可以使用路由策略进行路由过滤和路由属性设置，也可以设置 MED 值指导 EBGP 对等体判断流量进入 AS 时选路。
BGP 引入路由时支持 Import 和 Network 两种方式：
1、 Import 方式是按协议类型，将 RIP 路由、 OSPF 路由、 ISIS 路由等协议的路由引入到 BGP 路由表中。为了保证引入的 IGP 路由的有效性， Import 方式还可以引入静态路由和直连路由。
2、Network 方式是逐条将 IP 路由表中已经存在的路由引入到 BGP 路由表中，比 Import 方式更精确。
IGP引入BGP路由
当一个
应用：
如图所示，某公司海外市场部所在区域
IGP引入BGP示意图
为了实现公司的要求，必须让
四、BGP 安全性
BGP 使用认证和 GTSM（Generalized TTL Security Mechanism）两个方法保证 BGP 对等体间的交互安全。
BGP认证
BGP 认证分为 MD5 认证和 Keychain认证，对 BGP 对等体关系进行认证是提高安全性的有效手段。MD5 认证只能为 TCP 连接设置认证密码，而 Keychain 认证除了可以为 TCP 连接设置认证密码外，还可以对 BGP 协议报文进行认证。
BGP GTSM
BGP GTSM 检测 IP 报文头中的 TTL（time-to-live）值是否在一个预先设置好的特定范围内，并对不符合 TTL 值范围的报文进行允许通过或丢弃的操作，从而实现了保护 IP 层以上业务，增强系统安全性的目的。
例如将
五、BGP 的路由优选规则和负载分担
在
BGP属性
路由属性是对路由的特定描述，所有的
1、公认必须遵循（Well-known mandatory）：所有 BGP 设备都可以识别此类属性，且必须存在于 Update 报文中。如果缺少这类属性，路由信息就会出错。
2、公认任意（Well-known discretionary）：所有 BGP 设备都可以识别此类属性，但不要求必须存在于 Update 报文中，即就算缺少这类属性，路由信息也不会出错。
3、可选过渡（Optional transitive）：BGP 设备可以不识别此类属性，如果 BGP 设备不识别此类属性，但它仍然会接收这类属性，并通告给其他对等体。
4、可选非过渡（Optional non-transitive）：BGP 设备可以不识别此类属性，如果 BGP 设备不识别此类属性，则会被忽略该属性，且不会通告给其他对等体。
下面介绍几种常用的
1、Origin 属性
Origin 属性用来定义路径信息的来源，标记一条路由是怎么成为 BGP 路由的。它有以下 3 种类型：
IGP：具有最高的优先级。通过
EGP：优先级次之。通过
Incomplete：优先级最低。通过其他方式学习到的路由信息。比如
2、AS_Path 属性
AS_Path 属性按矢量顺序记录了某条路由从本地到目的地址所要经过的所有 AS 编号。在接收路由时，设备如果发现 AS_Path 列表中有本 AS 号，则不接收该路由，从而避免了 AS 间的路由环路。
当
当
当
当
当
当
3、Next_Hop 属性
Next_Hop 属性记录了路由的下一跳信息。BGP 的下一跳属性和 IGP 的有所不同，不一定就是邻居设备的 IP 地址。通常情况下， Next_Hop 属性遵循下面的规则：
BGP Speaker 在向 EBGP 对等体发布某条路由时，会把该路由信息的下一跳属性设置为本地与对端建立 BGP 邻居关系的接口地址。
BGP Speaker 将本地始发路由发布给 IBGP 对等体时，会把该路由信息的下一跳属性设置为本地与对端建立 BGP 邻居关系的接口地址。
BGP Speaker 在向 IBGP 对等体发布从 EBGP 对等体学来的路由时，并不改变该路由信息的下一跳属性。
4、Local_Pref 属性
Local_Pref 属性表明路由器的 BGP 优先级，用于判断流量离开 AS 时的最佳路由。当 BGP 的设备通过不同的 IBGP 对等体得到目的地址相同但下一跳不同的多条路由时，将优先选择Local_Pref 属性值较高的路由。Local_Pref 属性仅在 IBGP 对等体之间有效，不通告给其他AS。Local_Pref 属性可以手动配置，如果路由没有配置 Local_Pref 属性， BGP 选路时将该路由的 Local_Pref 值按缺省值 100 来处理。
5、MED 属性
MED（Multi-Exit-Discriminator）属性用于判断流量进入 AS 时的最佳路由，当一个运行 BGP的设备通过不同的 EBGP 对等体得到目的地址相同但下一跳不同的多条路由时，在其它条件相同的情况下，将优先选择 MED 值较小者作为最佳路由。
MED 属性仅在相邻两个 AS 之间传递，收到此属性的 AS 一方不会再将其通告给任何其他第三方 AS。MED 属性可以手动配置，如果路由没有配置 MED 属性， BGP 选路时将该路由的MED 值按缺省值 0 来处理。
6、团体属性
团体属性（Community）用于标识具有相同特征的 BGP 路由，使路由策略的应用更加灵活，同时降低了维护管理的难度。
团体属性分为自定义团体属性和公认团体属性。公认团体属性如表所示。
7、Originator_ID 属性和 Cluster_List 属性
Originator_ID 属性和 Cluster_List 属性用于解决路由反射器场景中的环路问题，详细描述请参见路由反射器。
BGP选择路由的策略
当到达同一目的地存在多条路由时，
1、优选协议首选值（PrefVal）最高的路由。
协议首选值（PrefVal）是华为设备的特有属性，该属性仅在本地有效。
2、优选本地优先级（Local_Pref）最高的路由。
如果路由没有本地优先级，
3. 依次优选手动聚合路由、自动聚合路由、 network 命令引入的路由、 import-route 命令引入的路由、从对等体学习的路由。
4. 优选 AS 路径（AS_Path）最短的路由。
5. 依次优选 Origin 类型为 IGP、 EGP、 Incomplete 的路由。
6. 对于来自同一 AS 的路由，优选 MED（Multi Exit Discriminator）值最低的路由。
7. 依次优选 EBGP 路由、 IBGP 路由、 LocalCross 路由、 RemoteCross 路由。
PE上某个 VPN实例的 VPNv4路由的 ERT匹配其他 VPN实例的IRT后复制到该 VPN实例，称为 LocalCross；从远端 PE 学习到的 VPNv4 路由的 ERT 匹配某个 VPN 实例的 IRT 后复制到该 VPN 实例，称为 RemoteCross。
8．优选到 BGP 下一跳 IGP 度量值（metric）最小的路由。
说明：
在IGP中，对到达同一目的地址的不同路由， IGP根据本身的路由算法计算路由的度量值。
9. 优选 Cluster_List 最短的路由。
10. 优选 Router ID 最小的设备发布的路由。
说明：
如果路由携带Originator_ID属性，选路过程中将比较Originator_ID的大小（不再比较RouterID），并优选Originator_ID最小的路由。
11. 优选从具有最小 IP Address 的对等体学来的路由。
BGP负载分担
当到达同一目的地址存在多条等价路由时，可以通过
六、路由反射器
为保证
路由反射器相关角色
如图，在一个
路由反射器示意图
路由反射器：允许把从
客户机（Client）：与
非客户机（Non-Client）：既不是
始发者（Originator）：在
集群（Cluster）：路由反射器及其客户机的集合。Cluster_List 属性用于防止集群间产生路由环路。
路由反射器原理
同一集群内的客户机只需要与该集群的
RR 突破了“从 IBGP 对等体获得的 BGP 路由， BGP 设备只发布给它的 EBGP 对等体。”的限制，并采用独有的 Cluster_List 属性和 Originator_ID 属性防止路由环路。RR 向 IBGP 邻居发布路由规则如下：
1、从非客户机学到的路由，发布给所有客户机。
2、从客户机学到的路由，发布给所有非客户机和客户机（发起此路由的客户机除外）。
3、从 EBGP 对等体学到的路由，发布给所有的非客户机和客户机。
Cluster_List属性
路由反射器和它的客户机组成一个集群（Cluster），使用 AS 内唯一的 Cluster ID 作为标识。为了防止集群间产生路由环路，路由反射器使用 Cluster_List 属性，记录路由经过的所有集群的 ClusterID。
当一条路由第一次被
当
Originator_ID属性
Originator ID 由 RR 产生，使用的 Router ID 的值标识路由的始发者，用于防止集群内产生路由环路。
当一条路由第一次被
当设备接收到这条路由的时候，将比较收到的
备份路由反射器
为增加网络的可靠性，防止单点故障对网络造成影响，有时需要在一个集群中配置一个以上的
由于
如图，路由反射器
当客户机
RR1 和 RR2 在接收到该更新路由后，将本地 Cluster ID 添加到 Cluster List 前面，然后向其他的客户机（Client2、 Client3）反射，同时相互反射。
RR1 和 RR2 在接收到该反射路由后，检查 Cluster List，发现自己的 Cluster ID 已经包含在Cluster List 中。于是 RR1 和 RR2 丢弃该更新路由，从而避免了路由环路。
多集群路由反射器
一个
分级路由反射器
在实际的
同级路由反射器
如图，一个骨干网被分成多个集群。各集群的
七、BGP 联盟
解决
子
联盟示意图
如图所示，
路由反射器和联盟的比较
八、路由聚合
在大规模的网络中，
路由聚合是将多条路由合并的机制，它通过只向对等体发送聚合后的路由而不发送所有的具体路由的方法，减小路由表的规模。并且被聚合的路由如果发生路由振荡，也不再对网络造成影响，从而提高了网络的稳定性。
BGP 在 IPv4 网络中支持自动聚合和手动聚合两种方式，而 IPv6 网络中仅支持手动聚合方式：
自动聚合：对
手动聚合：对
为了避免路由聚合可能引起的路由环路，
九、路由衰减
当
路由振荡指路由表中添加一条路由后，该路由又被撤销的过程。当发生路由振荡时，设备就会向邻居发布路由更新，收到更新报文的设备需要重新计算路由并修改路由表。所以频繁的路由振荡会消耗大量的带宽资源和
路由衰减使用惩罚值（Penalty value）来衡量一条路由的稳定性，惩罚值越高说明路由越不稳定。
如图所示，路由每发生一次振荡，
路由衰减只对
十、BGP 与 BFD 联动
BGP 协议通过周期性的向对等体发送报文来实现邻居检测机制。但这种机制检测到故障所需时间比较长，超过 1 秒钟。当数据的传输速度达到 Gbit/s 级别时，这种机制的检测时间将导致大量数据丢失，无法满足网络高可靠性的需求。BGP 与 BFD（Bidirectional Forwarding Detection）联动可以利用 BFD 的毫秒级快速检测机制解决上述问题。
BGP与BFD联动组网图
如图所示，
十一、BGP Tracking
BGP Tracking 可以为 BGP 提供快速的链路故障检测， 加速 BGP 网络的收敛速度。当使能了 BGP Tracking 功能的 BGP 对等体之间的链路发生故障时， BGP Tracking 将快速感知到达邻居的路由的不可达，并由路由管理模块通知到 BGP，从而实现快速收敛。
与
应用
如图所示，
BGP Tracking组网图
说明：
如果IBGP邻居的建立依赖于IGP路由，应配置从BGP Tracking发现邻居不可达到BGP中断连接的时间间隔，使该时间间隔大于IGP路由收敛时间。否则，在闪断导致的IGP路由震荡恢复之前，可能BGP邻居关系就已经中断了，这样将导致不必要的BGP收敛。
十二、BGP Auto FRR
BGP Auto FRR（BGP Auto Fast ReRoute）是一种链路故障保护措施，应用于有主备链路的网络拓扑结构中，可以使 BGP 的两个邻居切换或者两个下一跳切换达到亚秒级的收敛速度。
BGP Auto FRR 对于从不同对等体学到的相同前缀的路由，利用最优路由作为主链路进行转发，并自动将次优路由作为备份链路。当主链路出现故障的时候，系统快速响应 BGP 路由不可达的通知，并将转发路径切换到备份链路上保证数据转发。在 BGP 收敛后， BGP Auto FRR 再将流量按 BGP选出的最佳路由指导转发。
应用
如图所示，
BGP Auto FRR示意图
在
十三、BGP GR 和 NSR
BGP 的平滑重启 GR（Graceful Restart）和不间断路由 NSR（Non-Stop Routing）作为高可靠性的解决方案，其根本目的都是为了保证用户业务在设备故障的时候不受影响或者影响最小。
BGP GR
BGP GR 技术保证了在设备重启或者主备倒换过程中转发层面能够继续指导数据的转发，同时控制层面邻居关系的重建以及路由计算等动作不会影响转发层面的功能，从而避免了路由震荡引发的业务中断，提高了整网的可靠性。
GR 相关概念：
GR Restarter：指由管理员触发或故障触发后，以 GR 方式重启的设备。
GR Helper：GR Restarter 的邻居，协助 GR Restarter 进行 GR 的设备。
GR Time：是 GR Helper 检测到 GR Restarter 重启或者主备倒换后，保持转发信息不删除的时间。
BGP GR的过程是：
1. 利用 BGP 的能力协商机制， GR Restarter 和 GR Helper 了解彼此的 GR 能力，建立有 GR 能力的会话。
2. 当 GR Helper 检查到 GR Restarter 重启或者主备倒换后，不删除和 GR Restarter 相关的路由和转发表项，也不通知其他邻居，而是等待重建 BGP 连接。
3. GR Restarter 在 GR Time 超时前与重启前的所有 GR Helper 新建立好邻居关系。
BGP NSR
NSR 是一种控制平面倒换而邻居不感知的可靠性技术，适用于设备具有主用主控板和备用主控板的场景。与 GR 相比， NSR 具有不需要邻居协助，不存在互通性问题的优点。
BGP线路服务器IP：
103.219.40.1
103.219.40.2
103.219.40.3
103.219.40.4
103.219.40.5
103.219.40.6
103.219.40.7
103.219.40.8
103.219.40.9
103.219.40.10
103.219.40.11
103.219.40.12
103.219.40.13
103.219.40.14
103.219.40.15
103.219.40.16
103.219.40.17
103.219.40.18
103.219.40.19
103.219.40.20
103.219.40.21
103.219.40.22
103.219.40.23
103.219.40.24
103.219.40.25
103.219.40.26
103.219.40.27
103.219.40.28
103.219.40.29
103.219.40.30
103.219.40.31
103.219.40.32
103.219.40.33
103.219.40.34
103.219.40.35
103.219.40.36
103.219.40.37
103.219.40.38
103.219.40.39
103.219.40.40
103.219.40.41
103.219.40.42
103.219.40.43
103.219.40.44
103.219.40.45
103.219.40.46
103.219.40.47
103.219.40.48
103.219.40.49
103.219.40.50
103.219.40.51
103.219.40.52
103.219.40.53
103.219.40.54
103.219.40.55
103.219.40.56
103.219.40.57
103.219.40.58
103.219.40.59
103.219.40.60
103.219.40.61
103.219.40.62
103.219.40.63
103.219.40.64
103.219.40.65
103.219.40.66
103.219.40.67
103.219.40.68
103.219.40.69
103.219.40.70
103.219.40.71
103.219.40.72
103.219.40.73
103.219.40.74
103.219.40.75
103.219.40.76
103.219.40.77
103.219.40.78
103.219.40.79
103.219.40.80
103.219.40.81
103.219.40.82
103.219.40.83
103.219.40.84
103.219.40.85
103.219.40.86
103.219.40.87
103.219.40.88
103.219.40.89
103.219.40.90
103.219.40.91
103.219.40.92
103.219.40.93
103.219.40.94
103.219.40.95
103.219.40.96
103.219.40.97
103.219.40.98
103.219.40.99
103.219.40.100
103.219.40.101
103.219.40.102
103.219.40.103
103.219.40.104
103.219.40.105
103.219.40.106
103.219.40.107
103.219.40.108
103.219.40.109
103.219.40.110
103.219.40.111
103.219.40.112
103.219.40.113
103.219.40.114
103.219.40.115
103.219.40.116
103.219.40.117
103.219.40.118
103.219.40.119
103.219.40.120
103.219.40.121
103.219.40.122
103.219.40.123
103.219.40.124
103.219.40.125
103.219.40.126
103.219.40.127
103.219.40.128
103.219.40.129
103.219.40.130
103.219.40.131
103.219.40.132
103.219.40.133
103.219.40.134
103.219.40.135
103.219.40.136
103.219.40.137
103.219.40.138
103.219.40.139
103.219.40.140
103.219.40.141
103.219.40.142
103.219.40.143
103.219.40.144
103.219.40.145
103.219.40.146
103.219.40.147
103.219.40.148
103.219.40.149
103.219.40.150
103.219.40.151
103.219.40.152
103.219.40.153
103.219.40.154
103.219.40.155
103.219.40.156
103.219.40.157
103.219.40.158
103.219.40.159
103.219.40.160
103.219.40.161
103.219.40.162
103.219.40.163
103.219.40.164
103.219.40.165
103.219.40.166
103.219.40.167
103.219.40.168
103.219.40.169
103.219.40.170
103.219.40.171
103.219.40.172
103.219.40.173
103.219.40.174
103.219.40.175
103.219.40.176
103.219.40.177
103.219.40.178
103.219.40.179
103.219.40.180
103.219.40.181
103.219.40.182
103.219.40.183
103.219.40.184
103.219.40.185
103.219.40.186
103.219.40.187
103.219.40.188
103.219.40.189
103.219.40.190
103.219.40.191
103.219.40.192
103.219.40.193
103.219.40.194
103.219.40.195
103.219.40.196
103.219.40.197
103.219.40.198
103.219.40.199
103.219.40.200
103.219.40.201
103.219.40.202
103.219.40.203
103.219.40.204
103.219.40.205
103.219.40.206
103.219.40.207
103.219.40.208
103.219.40.209
103.219.40.210
103.219.40.211
103.219.40.212
103.219.40.213
103.219.40.214
103.219.40.215
103.219.40.216
103.219.40.217
103.219.40.218
103.219.40.219
103.219.40.220
103.219.40.221
103.219.40.222
103.219.40.223
103.219.40.224
103.219.40.225
103.219.40.226
103.219.40.227
103.219.40.228
103.219.40.229
103.219.40.230
103.219.40.231
103.219.40.232
103.219.40.233
103.219.40.234
103.219.40.235
103.219.40.236
103.219.40.237
103.219.40.238
103.219.40.239
103.219.40.240
103.219.40.241
103.219.40.242
103.219.40.243
103.219.40.244
103.219.40.245
103.219.40.247
103.219.40.248
103.219.40.249
103.219.40.250
103.219.40.251
103.219.40.252
103.219.40.253
103.219.40.254
103.219.40.255