! ! ! czesc konfiguracji interfejsów ! ! interface Null0 ! dla kazdego pakietu, ktory odrzucamy, nie generujemy zwrotnego ICMP - inaczej ! potencjalnie wystawiamy sie na self-DDoS no ipv6 unreachables ! ! Twoj interfejs(-y) w strone internetu - aktywowanie mechanizmu uRPF pozwoli ! wpisom z BGP Blackholing filtrowac rowniez ruch *z* przestrzeni pokrytej przez ! otrzymane prefiksy, a nie tylko *do* tych prefiksow ! interface X ipv6 verify unicast source reachable-via any allow-default ! ! ! Twoj interfejs(-y) w strone sieci lokalnej - uruchamiamy uRPF w trybie strict ! ! interface Y ipv6 verify unicast source reachable-via rx ! ! ! ! część konfiguracji BGP ! ! ip bgp-community new-format ! dla wygody definiujemy pare wartosci community, ktorych uzyjemy ponizej ip community-list standard bgpbh-bogons permit 65055:666 ip community-list standard bgpbh-talos permit 65055:999 ip community-list standard bgpbh-spam permit 65055:25 ip community-list standard bgpbh-spam permit 65055:26 ip community-list standard bgpbh-spam permit 65055:27 ! ipv6 unicast-routing ! ruch do tych prefiksow IPv6 bedziemy odrzucac ipv6 route 100::1/128 Null0 name BGP-BLACKHOLING ipv6 route 100::/64 Null0 name BGP-BLACKHOLING-RFC6666 ipv6 prefix-list DENY-ANY-V6 seq 5 deny ::/0 le 128 ! ! polityka routingu dla BGP BH dla IPv6 - zwroc uwage na next-hop BGP! ! route-map BGP-BH-FEED-IN-V6 permit 10 match community bgpbh-bogons set origin igp set ipv6 next-hop 100::1 route-map BGP-BH-FEED-IN-V6 permit 20 match community bgpbh-talos set origin igp set ipv6 next-hop 100::1 route-map BGP-BH-FEED-IN-V6 permit 30 match community bgpbh-spam set origin igp set ipv6 next-hop 100::1 route-map BGP-BH-FEED-IN-V6 deny 9999 ! router bgp X ! opcjonalna, ale dobra praktyka - ustawienie na sztywno wlasnego router-ID bgp router-id A.B.C.D bgp asnotation dot bgp log-neighbor-changes neighbor 2001:1A68:0:1E::196 remote-as 65055 neighbor 2001:1A68:0:1E::196 local-as 65055 neighbor 2001:1A68:0:1E::196 ebgp-multihop 255 neighbor 2A00:4120:8000:A::55 remote-as 65055 neighbor 2A00:4120:8000:A::55 local-as 65055 neighbor 2A00:4120:8000:A::55 ebgp-multihop 255 ! address-family ipv6 neighbor 2001:1A68:0:1E::196 activate neighbor 2001:1A68:0:1E::196 prefix-list DENY-ANY-V6 out ! nie wysylaj mi zadnych prefiksow neighbor 2001:1A68:0:1E::196 route-map BGP-BH-FEED-IN-V6 in neighbor 2A00:4120:8000:A::55 activate neighbor 2A00:4120:8000:A::55 prefix-list DENY-ANY-V6 out ! nie wysylaj mi zadnych prefiksow neighbor 2A00:4120:8000:A::55 route-map BGP-BH-FEED-IN-V6 in exit-address-family ! !