bgp транзитный трафик даунлинку

[Morty]

Всем привет.
Есть 4 аплинка: 3 full view и местный IX.
Есть 1 даунлинк, ему отдаём default.

У даунлинка 3 аплинка (мы, ещё один аплинк и местный IX).

Если даунлинк ложит сессию с нами, то трафик с наших аплинков проходит через наш бордер транзитом через местный IX до нашего даунлинка:
Внешка -> Наши аплинки -> Наш бордер -> Местный IX -> Наш даунлинк

Если перестаю анонсировать префиксы даунлинка нашим аплинкам, то транзитный трафик пропадает.

С чем это может быть связано и как избавиться от транзитного трафика?

Даунлинк:

 neighbor 1.2.3.4 ebgp-multihop 255
 neighbor 1.2.3.4 update-source 1.2.3.1
 neighbor 1.2.3.4 weight 1000
 neighbor 1.2.3.4 default-originate
 neighbor 1.2.3.4 route-map downlink_in in
 neighbor 1.2.3.4 route-map downlink_out out

ip prefix-list downlink_in seq 10 permit 5.6.7.0/24
ip prefix-list downlink_out seq 10 permit 0.0.0.0/0
 
route-map downlink_in permit 10
 match ip address prefix-list downlink_in

route-map downlink_out permit 10
 match ip address prefix-list downlink_out

У аплинков прописан access-list permit и route-map для префикса даунлинка.

Edited April 21, 2022 by 1boris

[Стич]

Если я правильно понял проблему.

 

не анонсить аплинкам префиксы даунлинка полученные из местной IX.

Для этого можно пометить их при помощи community

[YuryD]

 без коммюнити, просто зафильтрить, или расписываясь ломом через стандартные препенды и вес...

[vurd]

В 21.04.2022 в 18:55, YuryD сказал:

 без коммюнити, просто зафильтрить, или расписываясь ломом через стандартные препенды и вес...

Зачем советовать делать жопой? Причем какой-то крайне неочевидной жопой. Куда какие препенды, какие ломы, что вы несёте, господи.

 

Всё отвечено во втором посте, если в командах, то примерно вот так:

neigh CLIENT route-map CL_IN in
neigh IX route-map IX_IN in
neigh UPLINK route-map UP_OUT out

route-map CL_IN permit 1000
 set community <ASN>:1001 ! разработайте правила маркировки префиксов, по хорошему каждый получаемый вами в свою as префикс должен быть помечен тем или иным коммунити

route-map IX_IN permit 1000
 set community <ASN>:2001

route-map UP_OUT deny 1000
 match community-list IX_COM
route-map UP_OUT permit 2000

ip community-list IX_COM permit <ASN>:2001

Или инверсная логика, разберетесь.

 

[MrNv]

можно же проще через as-path access-lits
 

ip as-path access-list NAME permit ^$
ip as-path access-list NAME permit ^<своя_ас>$
ip as-path access-list NAME permit ^<даунлинк_ас>_

neighbor 1.2.3.4 filter-list NAME out