继续说上一篇文章接下来的故事，客户因为个别服务器被大流量 DDoS 攻击导致网络瘫痪，需要对路由器配置 RTBH 功能来实现自动空路由，以避免未被攻击的服务器无法与外界通信。

要想实现 RTBH 功能，需要对 BGP session 配置 import policy 来触发黑洞动作。在配置之前，我们需要做一些准备工作。

拓扑整图如下：

我们要事先准备的事项有：

• 一张已经配置好的网络
• 寻求 ISP 的帮助，从 ISP 获得黑洞路由 community

首先，我们需要先验证路由器的路由表：

Internet-Routes#  show ip route bgp
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
Gateway of last resort is not set

      45.0.0.0/24 is subnetted, 10 subnets
B        45.1.1.0 [20/0] via 101.0.0.1, 00:23:07
B        45.1.2.0 [20/0] via 101.0.0.1, 00:23:07
B        45.1.3.0 [20/0] via 101.0.0.1, 00:23:07
B        45.1.4.0 [20/0] via 101.0.0.1, 00:23:07
B        45.1.5.0 [20/0] via 101.0.0.1, 00:23:07
B        45.1.6.0 [20/0] via 101.1.0.1, 00:23:07
B        45.1.7.0 [20/0] via 101.1.0.1, 00:23:07
B        45.1.8.0 [20/0] via 101.1.0.1, 00:23:07
B        45.1.9.0 [20/0] via 101.0.0.1, 00:23:07
B        45.1.10.0 [20/0] via 101.1.0.1, 00:23:07

没有问题，客户路由接收正常。

然后，我们需要获得 ISP的黑洞路由 community：

• NTT – 2914:666
• TELIA – 1299:999

现在我们来模拟客户的服务器被攻击的情况：45.125.10.2 受到大流量攻击，我们需要将其流量发送至黑洞来避免网络被完全堵死。配置如下：

root@Littlewolf-Backbone# show | compare
[edit policy-options]
+   community ntt-rtbh members 2914:666; // 定义 NTT 的 community value
+   community rtbh members 65535:666; // 定义内网的 community value
+   community telia-rtbh members 1299:999; // 定义 Telia 的 community value
[edit policy-options]
+   policy-statement customer-rtbh {
+       term rtbh { // 定义黑洞路由规则，若客户发过来的 community 含有黑洞路由则接受。
+           from community rtbh;
+           then accept;
+       }
+   }
+   policy-statement ntt-blackhole {
+       term rtbh { // 定义黑洞路由规则，若检测到发给上游的网段含有内网的黑洞路由 community 则添加 ntt 的黑洞 community
+           from community rtbh;
+           then {
+               community add ntt-rtbh;
+               accept;
+           }
+       }
+   }
+   policy-statement telia-blackhole {
+       term rtbh { // 定义黑洞路由规则，若检测到发给上游的网段含有内网的黑洞路由 community 则添加 telia 的黑洞 community
+           from community rtbh;
+           then {
+               community add telia-rtbh;
+               accept;
+           }
+       }
+   }
[edit protocols bgp group upstream neighbor 47.0.0.1]
-     export [ telia-prepend telia-filter bgp-announce ];
+     export [ telia-prepend telia-filter telia-blackhole bgp-announce ]; // 在上游侧应用黑洞路由规则
[edit protocols bgp group upstream neighbor 74.1.0.1]
-     export [ ntt-prepend ntt-filter bgp-announce ];
+     export [ ntt-prepend ntt-filter ntt-blackhole bgp-announce ];
[edit protocols bgp group downstream neighbor 10.0.0.0]
-     import customer-import;
+     import [ customer-rtbh customer-import ]; // 在下游侧应用黑洞路由接收规则

配置完成，我们告知客户可以发送含有 65535:666 的路由来实现自动阻拦流量，客户发送了携带该 community 的 45.125.10.2/32 路由来将目的地址为该 IP的数据包送进黑洞。

验证骨干路由器路由表：

root@Littlewolf-Backbone> show route receive-protocol bgp 10.0.0.0

inet.0: 22 destinations, 25 routes (21 active, 0 holddown, 1 hidden)
  Prefix                  Nexthop              MED     Lclpref    AS path
* 45.1.1.0/24             10.0.0.0             0                  65535 I
* 45.1.2.0/24             10.0.0.0             0                  65535 I
* 45.1.3.0/24             10.0.0.0             0                  65535 I
* 45.1.4.0/24             10.0.0.0             0                  65535 I
* 45.1.5.0/24             10.0.0.0             0                  65535 I
* 45.1.6.0/24             10.0.0.0             0                  65535 I
* 45.1.7.0/24             10.0.0.0             0                  65535 I
* 45.1.8.0/24             10.0.0.0             0                  65535 I
* 45.1.9.0/24             10.0.0.0             0                  65535 I
* 45.1.10.0/24            10.0.0.0             0                  65535 I
* 45.1.10.2/32            10.0.0.0             0                  65535 I

inet6.0: 1 destinations, 1 routes (1 active, 0 holddown, 0 hidden)

root@Littlewolf-Backbone>  show route advertising-protocol bgp 47.0.0.1  45.1.10.2/32 extensive // 查看发送给 telia 的路由，验证是否已经携带 community

inet.0: 22 destinations, 25 routes (21 active, 0 holddown, 1 hidden)
* 45.1.10.2/32 (1 entry, 1 announced)
 BGP group upstream type External
     Nexthop: Self
     AS path: [138667] 65535 I
     Communities: 1299:999 65535:666

可见已经收到客户发来的路由我们骨干网路由器已经发送给了上游，现在检测路由是否已经被阻断。

验证 Internet-router 到 customer-router 的连通性：

Internet-Routes#traceroute 45.1.10.1 source lo0 // 跟踪网关地址
Type escape sequence to abort.
Tracing the route to 45.1.10.1
VRF info: (vrf in name/id, vrf out name/id)
  1 101.1.0.1 139 msec 123 msec 168 msec
  2 74.1.0.0 252 msec 1000 msec 26 msec
  3 10.0.0.0 28 msec 22 msec *
Internet-Routes#traceroute 45.1.10.2 source lo0 // 跟踪被攻击的服务器地址
Type escape sequence to abort.
Tracing the route to 45.1.10.2
VRF info: (vrf in name/id, vrf out name/id)
  1  *  *  *
  2  *  *  *
  3  *  *  *
  4  *
Internet-Routes#

可见被攻击的服务器成功进了黑洞，流量在 ISP 的路由器上的时候就被 ISP 路由器丢弃了，成功的保证了我们本地网络不会因为攻击流量堵塞链路而导致瘫痪。

这样，配合着之前的 community 配置，一个基本的含有 community 的 IDC 网络配置完成了。