Dans les vidÃ©os prÃ©cÃ©dentes, nous avons vu comment AutoRP nous permet de mettre en place ce concept.
des candidats RP qui annoncent leur candidature et l'agent de cartographie
qui consiste Ã rassembler toutes ces candidatures et Ã n'en sÃ©lectionner qu'une seule pour chaque cas donnÃ©.
regrouper puis diffuser ces informations via des messages de dÃ©couverte.
Et c'est ce que tous les autres routeurs Ã©coutent, ces dÃ©couvertes
messages pour savoir quel RP a Ã©tÃ© Ã©lu.
Mais l'inconvÃ©nient de ce processus est que nous savons que, par dÃ©faut, les candidats RP,
si vous ne faites rien de particulier, si vous n'utilisez aucun accÃ¨s Ã ceci
ou quoi que ce soit d'autre, par dÃ©faut ils annonceront leur candidature pour l'ensemble du mandat
portÃ©e de classe D. Mais que se passe-t-il si vous commencez Ã devenir plus subtil et que vous commencez Ã dire
D'accord, eh bien, je veux seulement que tu sois un RP pour une certaine plage, comme dans mon
Dans l'exemple de laboratoire prÃ©cÃ©dent, j'ai dit que cela ne concernait que la plage 238, c'est tout.
Aucune autre portÃ©e de multidiffusion ne disposera d'un RP.
Que se passe-t-il alors si un flux multicast arrive dans l'un d'eux ?
et de ces autres gammes pour lesquelles il n'existe pas de RP.
Eh bien, dans ce cas prÃ©cis, puisque toutes vos interfaces sont clairsemÃ©es
Le mode dense, qui est indispensable au bon fonctionnement de ce systÃ¨me, et les autresâ¦
Les flux multicast seront saturÃ©s.
Vous pourriez donc penser : Â«Â VoilÃ un cas d'utilisation idÃ©al pour recrÃ©er un rÃ©seau.Â Â»
Une attaque, c'est Ã§a ? Il suffit d'ajouter un routeur au rÃ©seau et de le faire Ã©couter.
aux messages de dÃ©couverte entrants, jetez un coup d'Åil et dites : Â« Ah, d'accord, donc jeâ¦ Â»
On peut voir sur ce rÃ©seau en particulier qu'ils n'ont qu'un RP pour le 238
portÃ©e. Alors voilÃ ce que je vais faire pour foutre le bordel Ã tout le monde.
Je vais prÃ©senter un gÃ©nÃ©rateur de paquets qui envoie des tonnes de
Le trafic se dirige vers, je ne sais pas, peut-Ãªtre 227 point quelque chose.
Parce que je sais que Ã§a va Ãªtre inondÃ© via le mode dense.
Tous les routeurs vont recevoir Ã§a, Ã§a va Ãªtre inondÃ© partout.
Inondations sur chaque segment.
Si je gÃ©nÃ¨re suffisamment de trafic, je commencerai peut-Ãªtre Ã congestionner certains liens et peut-Ãªtre
Certains tampons et files d'attente de mÃ©moire vont tellement se remplir que je vais commencer Ã les supprimer.
Du trafic, et hÃ© hÃ© hÃ©, je peux vraiment faire du sale boulot ici.
Nous voulons donc Ã©viter que ce genre de chose se produise, n'est-ce pas ?
Câest lÃ que nous utiliserions ce quâon appelle un RP de dernier recours pour Ã©viter
empÃªcher cette personne malfaisante de faire cela.
VoilÃ donc le problÃ¨me potentiel dont on a parlÃ©.
Un RP de dernier recours est donc appelÃ© RP de synchronisation.
En gros, c'est un jeu de rÃ´le qui dit : Â« OK, on vaâ¦ Â»
J'ai ce R valide, j'ai ces RP ici.
Ce type roule Ã 238.
Ce type roule Ã 239.
Et le reste ?
Bon, en attendant ce troisiÃ¨me RP, nous l'appellerons le RP de synchronisation et il
Pour tout autre flux multicast entrant, il devra l'enregistrer.
avec lui. Et vraisemblablement, personne ne l'Ã©coute.
Personne n'est, vous savez, c'est-Ã -dire, si 226 arrive, eh bien, hÃ©, dans notre
Au sein de notre rÃ©seau et de notre entreprise, nous n'utilisons pas le 236.
Tous nos multicasts sont en 238 ou 239.
C'est pourquoi nous avons mis ces RP en ligne.
Donc, si quelque chose arrive en direction de 225, 226 ou 227, il n'y a pas de route.
Ãªtre les destinataires de cela.
Alors pourquoi ne pas simplement envoyer des paquets d'enregistrement Ã un RP et ils seront juste
Je suis tombÃ© lÃ , tout simplement.
Ils n'iront nulle part.
Ils ne seront pas inondÃ©s.
Ou vous pourriez penser : attendez une seconde.
Ãa va Ãªtre mauvais pour ce routeur, n'est-ce pas ?
Parce que si une attaque se produit rÃ©ellement et provoque une explosion du trafic, des tonnes de
des centaines, voire des milliers, de messages d'inscription commencent Ã lui parvenir.
Les groupes multicast, Ã§a ne va pas le tuer ?
Et alors, que comptons-nous faire ?
Eh bien, devinez quoi ?
Regardez ce dernier point.
Il pourrait s'agir d'un trou noir.
En d'autres termes, vous pourriez vous adresser Ã ces routeurs et direÂ : Â«Â OK, votre RPÂ Â».
La note est de 9,9,9,9 pour tout ce que vous n'apprenez pas via le RP automatique.
Mais en rÃ©alitÃ©, 9.9.9.9 n'existe pas.
Cela n'existe nulle part.
Donc mÃªme s'il existe un itinÃ©raire pour cela dans la table de routage, finalement ces
Les paquets d'enregistrement seront dÃ©versÃ©s sur un rÃ©seau local puis supprimÃ©s.
Ou peut-Ãªtre n'avez-vous tout simplement pas d'itinÃ©raire.
Et peut-Ãªtre que vous crÃ©ez votre RP de synchronisation et que vous dites : OK, voyons voir, dans mon rÃ©seau,
J'utilise le rÃ©seau 90 pour tout.
L'ensemble de mon entreprise est constituÃ© de diffÃ©rents sous-rÃ©seaux de 90.quelque chose.
Je vais donc configurer ma synchronisation RP sur 7.7.7.7.
Il n'y a mÃªme pas d'itinÃ©raire prÃ©vu.
Donc maintenant, si l'un de mes routeurs commence Ã Ãªtre la cible de ces attaques non autorisÃ©es
Pour le trafic multicast, ils se diront : Â« Oh, il faut que je l'enregistre. Â»
Oups. Je n'ai pas trouvÃ© comment accÃ©der Ã ce RP.
Je suis censÃ© l'enregistrer aussi, je suppose que je vais simplement rÃ©duire le trafic.
Et Ã§a va tout simplement mourir.
Il ne sera pas inondÃ©.
Et c'est toute l'idÃ©e derriÃ¨re tout Ã§a, cette idÃ©e d'un RP de dernier recours.
ou un RP synchronisÃ©. Alors, comment allons-nous procÃ©derÂ ?
C'est trÃ¨s simple. Il suffit de revenir Ã la configuration de la commande d'adresse RP statique.
Vous vous dites peut-Ãªtre : attendez une seconde.
Je sais comment fonctionne le routage.
Les itinÃ©raires statiques sont toujours privilÃ©giÃ©s par rapport aux itinÃ©raires dynamiques.
Cela ne va-t-il pas complÃ¨tement annuler le RP automatiqueÂ ?
Non, car dans ce cas prÃ©cis, c'est tout le contraire.
Lorsque les routeurs exÃ©cutent le protocole RP automatique, tout protocole RP qu'ils apprennent via une dÃ©couverte RP est dÃ©tectÃ©.
Le paquet provenant de l'agent de mappage est prioritaire sur celui-ci.
Oui. Donc, ce que nous sommes en train de faire ici, permettez-moi de revenir sur ce point,
Cela signifie : Â« D'accord, je vais configurer 1.1.1.1 comme mon RP. Â»
Ãa n'existe mÃªme plus.
Cette adresse IP ne figure mÃªme pas dans les tables de routage, nulle part.
C'est juste un trou noir.
Et je vais le dire, et je vais configurer cela sur chaque appareil.
routeur dans mon rÃ©seau.
Parce que je ne sais jamais d'oÃ¹ pourrait venir cette attaque surprise.
Ainsi, chaque routeur qui effectue un RP automatique est informÃ© de mon identitÃ© lÃ©gitime.
Les RP, et chaque routeur possÃ¨de cette commande, qui dit, ok, ce type 1.1
.1.1. Ne vous inscrivez pas auprÃ¨s de lui.
Ne lui parlez pas Ã ces deux adresses, car elles sont utilisÃ©es pour des communications automatiques.
RP. Il est donc exclu de ces plages de valeurs.
Mais il est inclus pour tout le reste, toute la gamme de classe D.
Et donc maintenant, si, par exemple, nous recevons dans un paquet de dÃ©couverte RP
de l'agent de cartographie.
Et il est indiquÃ© : Â« HÃ©, le RP Ã©lu est 90.0.0.1. Â»
Car aprÃ¨s tout, nous utilisons le rÃ©seau 90 dans notre entreprise.
Et il est le RP pour 224 000 / 4.
Ce que nous dirons, c'est que ceci est en conflit avec cela.
Mais la dÃ©couverte RP est prioritaire sur cela.
Ou si on le rÃ©duit un peu, disons quelque chose comme
VoilÃ . Notre RP Discover indique que 90,001 sera le RP pour 238,000.
8. D'accord, donc maintenant mon routeur sait que s'il obtient un jour une adhÃ©sion IGMP
rapport, qu'il devrait envoyer son Ã©toile, rejoindre, s'il obtient une adhÃ©sion Ã l'IGMP
rapport pour 238.anything, il devrait envoyer son PIM join Ã 90.001.
S'il reÃ§oit un jour un vÃ©ritable paquet multicast destinÃ© Ã 238.n'importe quoi,
Il devrait l'enregistrer auprÃ¨s de 90.001.
S'il reÃ§oit un paquet multicast destinÃ© Ã autre chose, comme 237.225, peu importe,
Il dira alors : Â« D'accord, je dois enregistrer ce paquet auprÃ¨s de 1.1.1.1. Â»
Et si 1.1.1.1 n'existe pas rÃ©ellement, alors ce n'est pas rÃ©el.
Et il n'a mÃªme pas de moyen d'y parvenir.
Il va simplement abandonner ce paquet multicast.
Et cela empÃªche qu'il soit inondÃ© en mode dense.
C'est ce que nous voulions dÃ¨s le dÃ©part.
VoilÃ comment configurer ce qu'on appelle un RP de dernier recours ou un
RP synchronisÃ©. On pourrait envisager une autre permutation ou option.
Vous pourriez dire : et si je voulais rÃ©ellement configurer statiquement ?
Un RP pour un groupe ?
Et je veux m'assurer que cela reste toujours la prioritÃ©.
Donc mÃªme si j'apprends l'existence d'un RP organisÃ© par ce mÃªme groupe via le RP automatique, je ne
Je souhaite que le RP automatique soit prioritaire.
Je souhaite que ma configuration statique soit prioritaire.
Eh bien, vous pouvez faire Ã§a.
Et c'est lÃ que vous utiliseriez le mot-clÃ© override.
Donc, comme dans ce cas prÃ©cis, nous disons : d'accord, je configure statiquement
2222. C'est un vrai RP.
Il est autorisÃ© Ã Ãªtre le RP pour ce groupe en particulier.
Et mÃªme si j'apprends l'existence de ce groupe grÃ¢ce au RP automatique, je vais l'ignorer.
Cela remplace le RP automatique.