{"id":680,"date":"2021-02-15T15:33:25","date_gmt":"2021-02-15T15:33:25","guid":{"rendered":"https:\/\/pitcolombia.net\/?p=680"},"modified":"2023-10-31T14:04:09","modified_gmt":"2023-10-31T14:04:09","slug":"filtros-bgp-seguridad-e-ingenieria-de-trafico","status":"publish","type":"post","link":"https:\/\/pitcolombia.net\/?p=680","title":{"rendered":"Filtros BGP, seguridad e ingenier\u00eda de tr\u00e1fico"},"content":{"rendered":"\n

Introducci\u00f3n<\/h3>\n\n\n\n

Si bien es cierto que para levantar una sesi\u00f3n BGP es imprescindible definir la direcci\u00f3n IP y ASN remotos del Peer BGP con el cual queremos levantar la sesi\u00f3n, ser\u00eda un gran error suponer que con esto basta y podemos estar tranquilos. El no configurar correctamente los filtros para una sesi\u00f3n BGP involucra un gran riesgo de seguridad para nosotros y para otros, por lo que es crucial tomarse el tiempo de hacer e implementar al menos los filtros b\u00e1sicos.<\/p>\n\n\n\n

Adem\u00e1s, sin el uso de filtros BGP no podremos realizar ingenier\u00eda de tr\u00e1fico, que es una de las principales ventajas de este protocolo, y nos permite optimizar el tr\u00e1fico, reducir costos y mejorar la experiencia de los clientes. Por esto, es muy importante saber c\u00f3mo usar los filtros BGP para darnos mayor seguridad y control.<\/p>\n\n\n\n

Los filtros BGP aplican para direcciones IPv4 y direcciones IPv6.<\/p>\n\n\n\n

<\/p>\n\n\n\n

<\/path><\/svg><\/span><\/span>\n
\n

En este art\u00edculo nos vamos a enfocar en las sesiones BGP hacia nuestros proveedor(es) de IP transit y hacia un IX (Internet Exchange) como es el Per\u00fa IX (PIT Peru sac).<\/p>\n<\/div>\n<\/div>\n\n\n\n

<\/p>\n\n\n\n

En el mundo de los filtros BGP hay dos grandes grupos: los filtros IN (import) y los filtros OUT (export). El primero, los filtros IN (import) se aplican sobre los prefijos\/rutas que aprendemos desde un Peer BGP, es decir, influencian el tr\u00e1fico de subida desde nuestro router. Aunque esto pueda parecer contra-intuitivo la primera vista, no lo es cuando consideramos los flujos de los datos. Los filtros IN van a afectar nuestro tr\u00e1fico de SUBIDA hacia Internet. Por otro lado, los filtros OUT (export) se aplican sobre los prefijos que anunciamos a un Peer BGP, es decir, influencian el tr\u00e1fico de bajada a nuestro router.<\/p>\n\n\n\n

<\/path><\/path><\/g><\/svg><\/span><\/span>

Es importante mencionar que el orden o posici\u00f3n de los filtros es MUY importante, por lo que deberemos fijarnos cuales van primero y cuales despu\u00e9s, es decir, an\u00e1logo a como sucede en los filtros de firewall.<\/p><\/div><\/div>\n\n\n\n

<\/p>\n\n\n\n

Filtros IN (import)<\/h3>\n\n\n\n

En relaci\u00f3n a los filtros IN (import) los podemos dividir en dos subgrupos: filtros IN de seguridad y filtros IN de ingenier\u00eda de tr\u00e1fico.<\/p>\n\n\n\n

Los filtros IN de seguridad<\/strong> evitan que nuestro router agregue a la tabla de ruta ciertos prefijos que NO debemos recibir, como por ejemplo: a) Prefijos y ASNs Bogons y Martians,<\/a> b) nuestros propios prefijos IP, y en algunos casos filtrar la ruta por defecto si es que usamos un esquema DFZ.<\/p>\n\n\n\n

En el caso de los Bogons y Martians (que incluyen segmentos privados) es importante filtrarlos ya que \u00e9stos pueden afectar la seguridad de nuestra red y puede causar que ciertos servicios internos (con direcciones IP privadas) no funcionen correctamente si es que el Peer llegase a anunciarnos estos prefijos privados por la sesi\u00f3n BGP.<\/p>\n\n\n\n

Por otro lado debemos filtrar nuestros propios prefijos IP, esto es especialmente importante si tenemos m\u00faltiples proveedores o m\u00faltiples Routers de borde, para as\u00ed evitar que nuestro tr\u00e1fico interno se vaya por redes de terceros en vez de viajar por nuestros propios enlaces.<\/p>\n\n\n\n

En relaci\u00f3n a los filtros IN de ingenier\u00eda de tr\u00e1fico<\/strong> podemos filtrar, darle mayor o menor prioridad, determinados prefijos y\/o prefijos originados en un ASN en espec\u00edfico para as\u00ed optimizar nuestra rutas o en caso de problemas de rendimiento a un destino a trav\u00e9s de un proveedor en particular evitar que nuestro tr\u00e1fico de subida a ese destino salga v\u00eda ese proveedor. Estos filtros de ingenier\u00eda de tr\u00e1fico usualmente se combinan con modificaci\u00f3n del local preference y\/o comunidades BGP.<\/p>\n\n\n\n

Un ejemplo bastante com\u00fan es asignarle un mayor local preference a los prefijos aprendidos por un Internet Exchange y un menor local preference a los prefijos aprendidos por los Proveedores de IP transit, para as\u00ed asegurarnos que la mayor cantidad de tr\u00e1fico de subida vaya por el enlace al Internet Exchange en vez de v\u00eda IP transit.<\/p>\n\n\n\n

Los valores dependen de cada organizaci\u00f3n, pero algo bastante com\u00fan es aplicar los siguientes local preference por tipo de sesi\u00f3n:<\/p>\n\n\n\n

<\/p>\n\n\n\n

Tipo Peer BGP<\/strong><\/th>Local Preference<\/strong><\/th><\/tr>
Interno (si aplica iBGP)<\/td>500<\/td><\/tr>
Internet Exchange (ej: Per\u00fa IX (PIT Peru sac))<\/td>300<\/td><\/tr>
Proveedor IP transit preferido<\/td>200<\/td><\/tr>
Proveedor IP transit respaldo<\/td>100<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

<\/p>\n\n\n\n

Filtros OUT (export)<\/h3>\n\n\n\n

En relaci\u00f3n a los filtros OUT (export) tambi\u00e9n los podemos dividir en dos subgrupos: filtros OUT de seguridad y filtros OUT de ingenier\u00eda de tr\u00e1fico.<\/p>\n\n\n\n

Los filtros OUT de seguridad<\/strong> evitan que nuestro router anuncie a un Peer prefijos que NO debemos anunciarle, como por ejemplo en los casos de un route leaks o \u201chijacking accidental\u201d. Como regla general, s\u00f3lo debemos anunciar a otros peers los prefijos que nos pertenecen y\/o tenemos la autorizaci\u00f3n para darles tr\u00e1nsito, y NADA m\u00e1s, es decir, discard todo el resto.<\/p>\n\n\n\n

En relaci\u00f3n a los filtros OUT de ingenier\u00eda de tr\u00e1fico<\/strong> los podemos usar por ejemplo para enviar prefijos m\u00e1s espec\u00edficos a un peer para que tenga preferencia en el tr\u00e1fico de bajada vs otros, para prefijos con prepending mayor a un peer de menor preferencia, aplicar comunidad BGP a un prefijo para realizar blackholing o ingenier\u00eda de tr\u00e1fico m\u00e1s avanzada)<\/p>\n\n\n\n

Un ejemplo t\u00edpico de ingenier\u00eda de tr\u00e1fico para conseguir que la mayor parte del tr\u00e1fico sea servido desde el Per\u00fa IX en vez del proveedor de IP tr\u00e1nsito<\/strong> es el anuncio m\u00faltiple con desagragecaci\u00f3n de rutas, en este caso consiste en anunciarle un prefijo \/22 como 4 prefijos \/24 al Internet Exchange, anunciar ese mismo \/22 como 2 prefijos \/23 al Proveedor de IP Tr\u00e1nsito preferido y como 1 prefijo \/22 al Proveedor de IP Tr\u00e1nsito de respaldo. Con esto se consigue que la mayor cantidad de tr\u00e1fico pueda ser servido desde el Per\u00fa IX, que el resto se vaya por el proveedor de IP transit preferido y dejar el failover activo por el proveedor de IP transit de respaldo.<\/p>\n\n\n\n

Aplicaci\u00f3n de los filtros<\/h3>\n\n\n\n

Lo mencionado en este art\u00edculo sirve para cualquier marca y modelo de Router que tenga una implementaci\u00f3n de BGP est\u00e1ndar. Si quieres ver c\u00f3mo se aplica en la pr\u00e1ctica a tu router, hemos creado algunas gu\u00edas para equipos que m\u00e1s usan nuestros participantes, incluyendo: Mikrotik <\/a>, Huawei<\/a> y para Cisco<\/a>.<\/p>\n\n\n\n

Algunos art\u00edculos recomendados que les pueden servir:<\/p>\n\n\n\n

https:\/\/archive.nanog.org\/sites\/default\/files\/Snijders_Everyday_Practical_Bgp.pdf<\/a><\/p>\n\n\n\n

\nhttps:\/\/networklessons.com\/bgp\/bgp-prevent-transit-as\n<\/div><\/figure>\n","protected":false},"excerpt":{"rendered":"

Introducci\u00f3n Si bien es cierto que para levantar una sesi\u00f3n BGP es imprescindible definir la direcci\u00f3n IP y ASN remotos del Peer BGP con el cual queremos levantar la sesi\u00f3n, ser\u00eda un gran error suponer que con esto basta y podemos estar tranquilos. El no configurar correctamente los filtros para una sesi\u00f3n BGP involucra un […]<\/p>\n","protected":false},"author":7,"featured_media":5217,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_joinchat":[],"footnotes":""},"categories":[9],"tags":[],"class_list":["post-680","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog"],"yoast_head":"\nFiltros BGP, seguridad e ingenier\u00eda de tr\u00e1fico - PIT Colombia<\/title>\n<meta name=\"robots\" content=\"noindex, follow\" \/>\n<meta property=\"og:locale\" content=\"es_ES\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Filtros BGP, seguridad e ingenier\u00eda de tr\u00e1fico\" \/>\n<meta property=\"og:description\" content=\"Introducci\u00f3n Si bien es cierto que para levantar una sesi\u00f3n BGP es imprescindible definir la direcci\u00f3n IP y ASN remotos del Peer BGP con el cual queremos levantar la sesi\u00f3n, ser\u00eda un gran error suponer que con esto basta y podemos estar tranquilos. El no configurar correctamente los filtros para una sesi\u00f3n BGP involucra un […]\" \/>\n<meta property=\"og:url\" content=\"https:\/\/pitcolombia.net\/?p=680\" \/>\n<meta property=\"og:site_name\" content=\"PIT Colombia\" \/>\n<meta property=\"article:published_time\" content=\"2021-02-15T15:33:25+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2023-10-31T14:04:09+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/pitcolombia.net\/wp-content\/uploads\/2023\/10\/Filtros-BGP_-seguridad-e-ingenieria-de-trafico-scaled.webp\" \/>\n\t<meta property=\"og:image:width\" content=\"2560\" \/>\n\t<meta property=\"og:image:height\" content=\"670\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/webp\" \/>\n<meta name=\"author\" content=\"Salvador Bertenbreiter\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Escrito por\" \/>\n\t<meta name=\"twitter:data1\" content=\"Salvador Bertenbreiter\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tiempo de lectura\" \/>\n\t<meta name=\"twitter:data2\" content=\"5 minutos\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/pitcolombia.net\/?p=680#article\",\"isPartOf\":{\"@id\":\"https:\/\/pitcolombia.net\/?p=680\"},\"author\":{\"name\":\"Salvador Bertenbreiter\",\"@id\":\"https:\/\/pitcolombia.net\/#\/schema\/person\/c9c481e26608676717e5ca9dd820120b\"},\"headline\":\"Filtros BGP, seguridad e ingenier\u00eda de tr\u00e1fico\",\"datePublished\":\"2021-02-15T15:33:25+00:00\",\"dateModified\":\"2023-10-31T14:04:09+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/pitcolombia.net\/?p=680\"},\"wordCount\":1105,\"publisher\":{\"@id\":\"https:\/\/pitcolombia.net\/#organization\"},\"articleSection\":[\"Blog\"],\"inLanguage\":\"es-AR\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/pitcolombia.net\/?p=680\",\"url\":\"https:\/\/pitcolombia.net\/?p=680\",\"name\":\"Filtros BGP, seguridad e ingenier\u00eda de tr\u00e1fico - PIT Colombia\",\"isPartOf\":{\"@id\":\"https:\/\/pitcolombia.net\/#website\"},\"datePublished\":\"2021-02-15T15:33:25+00:00\",\"dateModified\":\"2023-10-31T14:04:09+00:00\",\"breadcrumb\":{\"@id\":\"https:\/\/pitcolombia.net\/?p=680#breadcrumb\"},\"inLanguage\":\"es-AR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/pitcolombia.net\/?p=680\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/pitcolombia.net\/?p=680#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Inicio\",\"item\":\"https:\/\/pitcolombia.net\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Filtros BGP, seguridad e ingenier\u00eda de tr\u00e1fico\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/pitcolombia.net\/#website\",\"url\":\"https:\/\/pitcolombia.net\/\",\"name\":\"PIT Colombia\",\"description\":\"el Internet Exchange Neutral de Colombia\",\"publisher\":{\"@id\":\"https:\/\/pitcolombia.net\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/pitcolombia.net\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"es-AR\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/pitcolombia.net\/#organization\",\"name\":\"PIT Colombia\",\"url\":\"https:\/\/pitcolombia.net\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"es-AR\",\"@id\":\"https:\/\/pitcolombia.net\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/pitcolombia.net\/wp-content\/uploads\/2023\/03\/LOGO_MENU-e1677818946974.webp\",\"contentUrl\":\"https:\/\/pitcolombia.net\/wp-content\/uploads\/2023\/03\/LOGO_MENU-e1677818946974.webp\",\"width\":596,\"height\":124,\"caption\":\"PIT Colombia\"},\"image\":{\"@id\":\"https:\/\/pitcolombia.net\/#\/schema\/logo\/image\/\"}},{\"@type\":\"Person\",\"@id\":\"https:\/\/pitcolombia.net\/#\/schema\/person\/c9c481e26608676717e5ca9dd820120b\",\"name\":\"Salvador Bertenbreiter\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"es-AR\",\"@id\":\"https:\/\/pitcolombia.net\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/a5123577ba2711d9f855bb2c2855a21896ef135cf286189e4194f7fac3cda17f?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/a5123577ba2711d9f855bb2c2855a21896ef135cf286189e4194f7fac3cda17f?s=96&d=mm&r=g\",\"caption\":\"Salvador Bertenbreiter\"},\"url\":\"https:\/\/pitcolombia.net\/?author=7\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Filtros BGP, seguridad e ingenier\u00eda de tr\u00e1fico - PIT Colombia","robots":{"index":"noindex","follow":"follow"},"og_locale":"es_ES","og_type":"article","og_title":"Filtros BGP, seguridad e ingenier\u00eda de tr\u00e1fico","og_description":"Introducci\u00f3n Si bien es cierto que para levantar una sesi\u00f3n BGP es imprescindible definir la direcci\u00f3n IP y ASN remotos del Peer BGP con el cual queremos levantar la sesi\u00f3n, ser\u00eda un gran error suponer que con esto basta y podemos estar tranquilos. El no configurar correctamente los filtros para una sesi\u00f3n BGP involucra un […]","og_url":"https:\/\/pitcolombia.net\/?p=680","og_site_name":"PIT Colombia","article_published_time":"2021-02-15T15:33:25+00:00","article_modified_time":"2023-10-31T14:04:09+00:00","og_image":[{"width":2560,"height":670,"url":"https:\/\/pitcolombia.net\/wp-content\/uploads\/2023\/10\/Filtros-BGP_-seguridad-e-ingenieria-de-trafico-scaled.webp","type":"image\/webp"}],"author":"Salvador Bertenbreiter","twitter_card":"summary_large_image","twitter_misc":{"Escrito por":"Salvador Bertenbreiter","Tiempo de lectura":"5 minutos"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/pitcolombia.net\/?p=680#article","isPartOf":{"@id":"https:\/\/pitcolombia.net\/?p=680"},"author":{"name":"Salvador Bertenbreiter","@id":"https:\/\/pitcolombia.net\/#\/schema\/person\/c9c481e26608676717e5ca9dd820120b"},"headline":"Filtros BGP, seguridad e ingenier\u00eda de tr\u00e1fico","datePublished":"2021-02-15T15:33:25+00:00","dateModified":"2023-10-31T14:04:09+00:00","mainEntityOfPage":{"@id":"https:\/\/pitcolombia.net\/?p=680"},"wordCount":1105,"publisher":{"@id":"https:\/\/pitcolombia.net\/#organization"},"articleSection":["Blog"],"inLanguage":"es-AR"},{"@type":"WebPage","@id":"https:\/\/pitcolombia.net\/?p=680","url":"https:\/\/pitcolombia.net\/?p=680","name":"Filtros BGP, seguridad e ingenier\u00eda de tr\u00e1fico - PIT Colombia","isPartOf":{"@id":"https:\/\/pitcolombia.net\/#website"},"datePublished":"2021-02-15T15:33:25+00:00","dateModified":"2023-10-31T14:04:09+00:00","breadcrumb":{"@id":"https:\/\/pitcolombia.net\/?p=680#breadcrumb"},"inLanguage":"es-AR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/pitcolombia.net\/?p=680"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/pitcolombia.net\/?p=680#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Inicio","item":"https:\/\/pitcolombia.net\/"},{"@type":"ListItem","position":2,"name":"Filtros BGP, seguridad e ingenier\u00eda de tr\u00e1fico"}]},{"@type":"WebSite","@id":"https:\/\/pitcolombia.net\/#website","url":"https:\/\/pitcolombia.net\/","name":"PIT Colombia","description":"el Internet Exchange Neutral de Colombia","publisher":{"@id":"https:\/\/pitcolombia.net\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/pitcolombia.net\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"es-AR"},{"@type":"Organization","@id":"https:\/\/pitcolombia.net\/#organization","name":"PIT Colombia","url":"https:\/\/pitcolombia.net\/","logo":{"@type":"ImageObject","inLanguage":"es-AR","@id":"https:\/\/pitcolombia.net\/#\/schema\/logo\/image\/","url":"https:\/\/pitcolombia.net\/wp-content\/uploads\/2023\/03\/LOGO_MENU-e1677818946974.webp","contentUrl":"https:\/\/pitcolombia.net\/wp-content\/uploads\/2023\/03\/LOGO_MENU-e1677818946974.webp","width":596,"height":124,"caption":"PIT Colombia"},"image":{"@id":"https:\/\/pitcolombia.net\/#\/schema\/logo\/image\/"}},{"@type":"Person","@id":"https:\/\/pitcolombia.net\/#\/schema\/person\/c9c481e26608676717e5ca9dd820120b","name":"Salvador Bertenbreiter","image":{"@type":"ImageObject","inLanguage":"es-AR","@id":"https:\/\/pitcolombia.net\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/a5123577ba2711d9f855bb2c2855a21896ef135cf286189e4194f7fac3cda17f?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/a5123577ba2711d9f855bb2c2855a21896ef135cf286189e4194f7fac3cda17f?s=96&d=mm&r=g","caption":"Salvador Bertenbreiter"},"url":"https:\/\/pitcolombia.net\/?author=7"}]}},"_links":{"self":[{"href":"https:\/\/pitcolombia.net\/index.php?rest_route=\/wp\/v2\/posts\/680","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/pitcolombia.net\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/pitcolombia.net\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/pitcolombia.net\/index.php?rest_route=\/wp\/v2\/users\/7"}],"replies":[{"embeddable":true,"href":"https:\/\/pitcolombia.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=680"}],"version-history":[{"count":2,"href":"https:\/\/pitcolombia.net\/index.php?rest_route=\/wp\/v2\/posts\/680\/revisions"}],"predecessor-version":[{"id":3340,"href":"https:\/\/pitcolombia.net\/index.php?rest_route=\/wp\/v2\/posts\/680\/revisions\/3340"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/pitcolombia.net\/index.php?rest_route=\/wp\/v2\/media\/5217"}],"wp:attachment":[{"href":"https:\/\/pitcolombia.net\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=680"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/pitcolombia.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=680"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/pitcolombia.net\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=680"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}