1 00:00:08,140 --> 00:00:13,360 Итак, в предыдущих видеороликах мы видели, как с AutoRP у нас есть концепция 2 00:00:13,360 --> 00:00:18,340 кандидатов RP, которые объявляют о своей кандидатуре, и картографического агента 3 00:00:18,340 --> 00:00:22,220 который собирает все эти записи, выбирая только одну для любого заданного 4 00:00:22,220 --> 00:00:27,100 группу, а затем распространяя ее через сообщения обнаружения. 5 00:00:27,100 --> 00:00:29,520 И это то, что слушают все остальные маршрутизаторы, эти открытия 6 00:00:29,520 --> 00:00:33,280 сообщения, чтобы узнать, какой RP был избран. 7 00:00:33,280 --> 00:00:43,480 Но недостатком этого процесса является то, что мы знаем, что по умолчанию кандидаты от Республиканской партии, 8 00:00:43,480 --> 00:00:46,300 если вы не сделаете ничего особенного, если вы не воспользуетесь каким-либо доступом к этому 9 00:00:46,300 --> 00:00:49,460 или что угодно, по умолчанию они объявят свою кандидатуру на весь 10 00:00:49,460 --> 00:00:53,800 диапазон класса D. Но что, если вы начнете хитрить и начнете говорить 11 00:00:53,800 --> 00:00:57,300 окей, я хочу, чтобы ты был RP только для определенного диапазона, как в моем 12 00:00:57,300 --> 00:01:02,200 В лабораторном примере ранее я говорил только для диапазона 238, вот и все. 13 00:01:02,200 --> 00:01:05,100 Никакие другие диапазоны многоадресной рассылки не будут иметь RP. 14 00:01:05,100 --> 00:01:10,580 Ну, а что произойдет тогда, если многоадресный поток все же придет, это в одном 15 00:01:10,580 --> 00:01:14,300 из тех других диапазонов, для которых нет РП. 16 00:01:14,300 --> 00:01:18,620 Ну, в данном конкретном случае, потому что все ваши интерфейсы разрежены. 17 00:01:18,620 --> 00:01:22,840 плотный режим, который вам действительно нужен, чтобы это работало, остальные 18 00:01:22,840 --> 00:01:26,200 многоадресные потоки будут затоплены. 19 00:01:26,200 --> 00:01:32,140 Итак, вы можете подумать: «Хорошо, основной вариант использования еще раз создания сети». 20 00:01:32,140 --> 00:01:38,460 атаковать, да? Просто подключите роутер к сети и пусть он прослушивает 21 00:01:38,460 --> 00:01:42,740 на входящие сообщения обнаружения, посмотрите и скажите: ага, окей, так что я 22 00:01:42,740 --> 00:01:46,320 вижу в этой конкретной сети, у них есть только RP для 238 23 00:01:46,320 --> 00:01:49,700 диапазон. Итак, вот что я собираюсь сделать, чтобы всех запутать. 24 00:01:49,700 --> 00:01:53,840 Я собираюсь представить генератор пакетов, который рассылает просто кучу 25 00:01:53,840 --> 00:01:58,400 трафик идет, ох, я не знаю, как насчет чего-нибудь 227-точечного. 26 00:01:58,400 --> 00:02:01,780 Потому что я знаю, что это будет затоплено через плотный режим. 27 00:02:01,780 --> 00:02:04,300 Каждый маршрутизатор получит это, оно будет затоплено повсюду, 28 00:02:04,300 --> 00:02:06,260 флуд на каждом отдельном сегменте. 29 00:02:06,260 --> 00:02:09,720 Если я наберу достаточно трафика, возможно, я начну перегружать некоторые ссылки и, возможно, 30 00:02:09,720 --> 00:02:12,900 некоторые буферы и очереди памяти заполнятся настолько, что я просто начну удалять 31 00:02:12,900 --> 00:02:16,120 пробки, и хе-хе-хе, я действительно могу сделать здесь какую-нибудь грязную работу. 32 00:02:16,120 --> 00:02:19,700 Итак, мы хотим предотвратить подобные вещи, верно? 33 00:02:19,700 --> 00:02:24,780 Здесь мы бы использовали так называемую RP последней инстанции, чтобы предотвратить 34 00:02:24,780 --> 00:02:28,360 этот злой, злой человек сделал это. 35 00:02:28,360 --> 00:02:35,160 Так говорили об этом и есть потенциальная проблема. 36 00:02:35,160 --> 00:02:38,380 Таким образом, RP последней инстанции называется RP синхронизации. 37 00:02:38,380 --> 00:02:45,880 По сути, это ролевая игра, в которой говорится: «ОК, мы собираемся, мы собираемся». 38 00:02:45,880 --> 00:02:48,580 есть этот действительный R. У меня есть эти RP здесь. 39 00:02:48,580 --> 00:02:50,060 Этот парень делает 238. 40 00:02:50,060 --> 00:02:52,060 Этот парень делает 239. 41 00:02:52,060 --> 00:02:53,700 А как насчет всего остального? 42 00:02:53,700 --> 00:02:59,260 Что ж, пока у нас есть этот третий RP, мы назовем его синхронным RP, и он будет 43 00:02:59,260 --> 00:03:03,020 использоваться для любого другого поступающего многоадресного потока, ему придется зарегистрироваться 44 00:03:03,020 --> 00:03:07,720 с ним. И, видимо, у этого нет слушателей. 45 00:03:07,720 --> 00:03:11,880 Никто это ты знаешь, это ты знаешь, если зайдет 226, ну эй, в нашем 46 00:03:11,880 --> 00:03:15,260 сети и нашей компании, мы не используем 236. 47 00:03:15,260 --> 00:03:17,980 Все наши многоадресные рассылки имеют номер 238 или 239. 48 00:03:17,980 --> 00:03:19,860 Вот почему мы получили эти RP. 49 00:03:19,860 --> 00:03:24,940 Так что если что-то дойдет до 225, 226 или 227, это не произойдет. 50 00:03:24,940 --> 00:03:26,520 быть получателями этого. 51 00:03:26,520 --> 00:03:31,040 Так почему бы нам просто не отправить пакеты регистрации на RP, и они просто будут 52 00:03:31,040 --> 00:03:33,020 упал тут же. 53 00:03:33,020 --> 00:03:34,000 Они никуда не денутся. 54 00:03:34,000 --> 00:03:35,740 Они не будут затоплены. 55 00:03:35,740 --> 00:03:38,160 Или вы можете подумать: ну, подожди секунду. 56 00:03:38,160 --> 00:03:40,220 Это будет плохо для этого маршрутизатора, верно? 57 00:03:40,220 --> 00:03:43,820 Потому что, если атака действительно начнется и поток трафика увеличится, 58 00:03:43,820 --> 00:03:48,340 сообщений о регистрации начинают приходить к нему на сотни или тысячи 59 00:03:48,340 --> 00:03:51,600 многоадресных групп, разве это не убьет его? 60 00:03:51,600 --> 00:03:54,080 И что же нам с этим делать? 61 00:03:54,080 --> 00:03:55,280 Ну, угадайте, что? 62 00:03:55,280 --> 00:03:56,840 Посмотрите на этот последний пункт. 63 00:03:56,840 --> 00:03:59,160 Это может быть черная дыра. 64 00:03:59,160 --> 00:04:03,140 Другими словами, вы можете подойти к этим маршрутизаторам и сказать: «ОК, ваша RP 65 00:04:03,140 --> 00:04:09,180 это 9.9.9.9 для всего, о чем вы не узнаете через авто РП. 66 00:04:09,180 --> 00:04:14,060 Но на самом деле 9.9.9.9 не существует. 67 00:04:14,060 --> 00:04:15,920 Его не существует нигде. 68 00:04:15,920 --> 00:04:19,820 Таким образом, даже если для него есть маршрут в таблице маршрутизации, в конечном итоге эти 69 00:04:19,820 --> 00:04:24,720 пакеты регистрации будут сброшены в локальную сеть и просто удалены. 70 00:04:24,720 --> 00:04:26,220 Или, может быть, у вас вообще нет для этого маршрута. 71 00:04:26,220 --> 00:04:29,740 И, может быть, вы сделаете синхронизацию RP и скажете: ОК, посмотрим, в моей сети, 72 00:04:29,740 --> 00:04:32,860 Я использую сеть 90 для всего. 73 00:04:32,860 --> 00:04:36,900 Все мое предприятие — это различные подсети 90 с чем-то. 74 00:04:36,900 --> 00:04:43,240 Вот и сделаю свою синхронизацию РП 7.7.7.7. 75 00:04:43,240 --> 00:04:45,900 Для него даже нет маршрута. 76 00:04:45,900 --> 00:04:49,420 Так что теперь, если какой-либо из моих маршрутизаторов начнет подвергаться атакам с помощью этого неавторизованного 77 00:04:49,420 --> 00:04:52,580 мультикаст-трафик, скажут, ой, надо это прописать. 78 00:04:52,580 --> 00:04:55,800 О-о. Нет маршрута к этому RP. 79 00:04:55,800 --> 00:04:59,660 Я должен его зарегистрировать, наверное, просто сброшу трафик. 80 00:04:59,660 --> 00:05:00,780 И оно просто умрет. 81 00:05:00,780 --> 00:05:02,100 Он не будет затоплен. 82 00:05:02,100 --> 00:05:05,460 И в этом вся идея, идея РП последней инстанции. 83 00:05:05,460 --> 00:05:10,420 или синхронизирующий RP. Итак, как мы собираемся это создать? 84 00:05:10,420 --> 00:05:15,640 Очень просто. Мы просто возвращаемся к настройке команды статического адреса RP. 85 00:05:15,640 --> 00:05:17,960 Теперь вы можете подумать: подождите секунду. 86 00:05:17,960 --> 00:05:19,640 Я знаю, как работает маршрутизация. 87 00:05:19,640 --> 00:05:23,900 Статические маршруты всегда имеют преимущество над динамическими маршрутами. 88 00:05:23,900 --> 00:05:27,300 Разве это не приведет к полной отмене автоматического RP? 89 00:05:27,300 --> 00:05:31,280 Нет, потому что в данном конкретном случае все как раз наоборот. 90 00:05:31,280 --> 00:05:36,640 Когда маршрутизаторы используют автоматический RP, любой RP, который они узнают через RP, обнаруживает 91 00:05:36,640 --> 00:05:47,340 пакет от агента сопоставления имеет приоритет над этим. 92 00:05:47,340 --> 00:05:50,900 Да. Итак, чем мы на самом деле здесь занимаемся, позвольте мне вернуться к этому, 93 00:05:50,900 --> 00:05:57,260 это значит: хорошо, я собираюсь настроить 1.1.1.1 в качестве своей RP. 94 00:05:57,260 --> 00:05:58,540 Теперь этого даже не существует. 95 00:05:58,540 --> 00:06:01,640 Этого IP-адреса нет даже ни в каких таблицах маршрутизации. 96 00:06:01,640 --> 00:06:03,760 Это просто черная дыра. 97 00:06:03,760 --> 00:06:05,860 И я собираюсь сказать, и я собираюсь настроить это на каждом 98 00:06:05,860 --> 00:06:06,980 маршрутизатор в моей сети. 99 00:06:06,980 --> 00:06:11,200 Потому что я никогда не знаю, откуда может начаться эта несанкционированная атака. 100 00:06:11,200 --> 00:06:14,840 Таким образом, каждый маршрутизатор, использующий автоматический RP, узнает о моих законных 101 00:06:14,840 --> 00:06:23,280 RP, и у каждого маршрутизатора есть эта команда, которая говорит: «ОК, этот парень 1.1». 102 00:06:23,280 --> 00:06:25,680 .1.1. Не регистрируйтесь у него. 103 00:06:25,680 --> 00:06:28,940 Не разговаривайте с ним по этим двум адресам, потому что они используются для авто 104 00:06:28,940 --> 00:06:32,040 РП. Поэтому он исключен из этих диапазонов. 105 00:06:32,040 --> 00:06:37,800 Но он включен и для всего остального, для всей линейки класса D. 106 00:06:37,800 --> 00:06:49,340 И так теперь, если, скажем здесь, если мы получим в пакете обнаружения RP 107 00:06:49,340 --> 00:06:53,200 от картографического агента. 108 00:06:53,200 --> 00:07:01,620 И там написано: эй, выбранный RP — 90.0.0.1. 109 00:07:01,620 --> 00:07:04,880 Потому что, в конце концов, мы в нашей компании используем сеть 90. 110 00:07:04,880 --> 00:07:14,660 И он RP за 224.000 слэш 4. 111 00:07:14,660 --> 00:07:21,200 Что мы скажем, ладно, это противоречит этому. 112 00:07:21,200 --> 00:07:28,240 Но обнаружение RP имеет приоритет над этим. 113 00:07:28,240 --> 00:07:32,400 Или если мы просто сделаем это немного меньше, например, скажем что-то вроде 114 00:07:32,400 --> 00:07:46,860 этот. Наше исследование RP говорит, что 90.001 будет RP за 238.000 косой черты. 115 00:07:46,860 --> 00:07:55,200 8. Хорошо, теперь мой маршрутизатор знает, что если он когда-нибудь получит членство в IGMP 116 00:07:55,200 --> 00:08:00,880 сообщить, что ему следует отправить свою звезду, присоединиться, если он получит членство в IGMP 117 00:08:00,880 --> 00:08:09,480 отчет для 238.ничего, он должен отправить свое PIM-соединение на 90.001. 118 00:08:09,480 --> 00:08:15,360 Если он когда-нибудь действительно получит настоящий многоадресный пакет, идущий на 238.что угодно, 119 00:08:15,360 --> 00:08:19,120 он должен зарегистрировать это с помощью 90.001. 120 00:08:19,120 --> 00:08:26,560 Если он получит многоадресный пакет, идущий на что-нибудь еще, например 237.225, что угодно, 121 00:08:26,560 --> 00:08:33,600 тогда он скажет, окей, мне нужно зарегистрировать этот пакет с 1.1.1.1. 122 00:08:33,600 --> 00:08:38,400 А если 1.1.1.1 на самом деле не существует, то это нереально. 123 00:08:38,400 --> 00:08:41,260 И у него даже нет пути к этому. 124 00:08:41,260 --> 00:08:44,040 Он просто отбросит этот многоадресный пакет. 125 00:08:44,040 --> 00:08:47,340 И это предотвращает его затопление в плотном режиме. 126 00:08:47,340 --> 00:08:50,920 Это то, чего мы хотели в первую очередь. 127 00:08:50,920 --> 00:08:54,960 Вот как вы настраиваете так называемую RP последней инстанции или 128 00:08:54,960 --> 00:09:01,060 синхронизировать РП. Теперь вы могли бы назвать еще одну перестановку или вариант этого. 129 00:09:01,060 --> 00:09:06,300 Вы можете сказать: а что, если я действительно хочу статически настроить 130 00:09:06,300 --> 00:09:08,700 RP для одной группы? 131 00:09:08,700 --> 00:09:11,420 И я хочу быть уверен, что это всегда будет иметь приоритет. 132 00:09:11,420 --> 00:09:18,040 Таким образом, даже если я узнаю о RP той же группы через автоматический RP, я не узнаю об этом. 133 00:09:18,040 --> 00:09:20,920 хочу, чтобы автоматический RP имел приоритет. 134 00:09:20,920 --> 00:09:23,920 Я хочу, чтобы моя статическая конфигурация имела приоритет. 135 00:09:23,920 --> 00:09:25,840 Ну, ты можешь это сделать. 136 00:09:25,840 --> 00:09:29,860 И здесь вы можете использовать ключевое слово override. 137 00:09:29,860 --> 00:09:34,140 Итак, как в этом конкретном случае, мы говорим: хорошо, я настраиваю статически 138 00:09:34,140 --> 00:09:36,800 2222. Он настоящий РП. 139 00:09:36,800 --> 00:09:40,540 Ему разрешено быть ответственным за эту конкретную группу. 140 00:09:40,540 --> 00:09:45,220 И даже если я узнаю об этой группе от авто РП, я проигнорирую 141 00:09:45,220 --> 00:09:48,580 что. Это отменяет автоматический RP.