Route Server

Yang harus disiapkan anggota IIX

IIX telah menerapkan pemfilteran prefix masuk (Allow / Permit Prefix) pada route server menggunakan RPKI dan IRRDB (route-object dan as-set) dari berbagai sumber data IRR untuk memungkinkan anggota yang terhubung hanya mengumumkan prefix yang telah mereka daftarkan secara publik. Jika prefix Anda memiliki ROA RPKI yang valid, maka prefix akan diizinkan. Jika hasil pemeriksaan ROA RPKI tidak diketahui (unknown) (Anda belum membuat ROA), kami kembali merujuk ke IRRDB.

Apa-apa saja yang harus disiapkan atau diupdate oleh setiap anggota sebagai berikut:

–ROA (Route Origin Authorization) adalah objek tersertifikasi yang berisi list prefix yang boleh diadvertise oleh suatu AS Number. ROA adalah komponen utama dalam RPKI, anda bisa membuat ROA pada portal MyIDNIC atau RIR/NIR tempat prefix tersebut dialokasikan.

–Route-object digunakan untuk validasi route origin AS, anda bisa tambahkan route-object pada portal MyIDNIC atau RADB.

–AS-SET / Peering Macro digunakan untuk allow/permit ASN member dari Anggota (transit), jadi anda bisa allow ASN yang transit secara mandiri dan NOC APJII tidak menerima permintaan allow/permit prefix, anda bisa tambahkan as-set pada portal MyIDNIC atau RADB (pilih salah satu). Update AS-SET pada peeringdb. Urutan IRR yang IIX pilih yaitu IDNIC, RADB, APNIC,RIPE,NTTCOMM, LEVEL3.

catatan : ASN Anda harus di tambahkan pada member juga pada isian AS-SET. perhatikan contoh dibawah

–Peeringdb = IIX menggunakan peeringdb sebegai data referensi anggota IIX yang akan terkoneksi dengan route server. Anggota diharusnya membuat akun di peeringdb secara gratis dan mengisi semua data secara benar dan as-set objek didefinisikan pada peeringdb kolom IRR as-set/route-set jika anda sudah membuat AS-SET objek.

Update Konfigurasi dan Prefix Filter

IRRDB prefix filter akan diupdate ke database ixp manager setiap 6 jam secara otomatis, atau bisa request update ke NOC IIX-APJII untuk update secara manual.

Route Server #1 akan melakukan update data konfigurasi dan prefix filter dari ixp manager setiap 1 jam.

Cara terhubung dengan Route Server (RS)

IP address peering IIX-Jakarta menggunakan /21 untuk IPv4 dan /64 untuk IPv6

Required Capability Configuration Table

PENTING : Anggota diharuskan gunakan route-maps atau routing-filter untuk mengontrol prefix keluar agar hanya mengizinkan prefix yang ingin umumkan (announce).

Community based prefix filtering

Jika router Anda mendukung large community, Anda harus menggunakan community diatas 16-bit (standard) karena sejumlah besar anggota IIX sekarang memiliki ASN 32-bit. Anda tidak boleh menggabungkan standar community 16-bit dan large community bersamaan – silakan pilih salah satu.

Blackhole = Advertise /25-32 dengan menambahkan bgp_community 65535:666 untuk mencegah attack dengan metode

Blackholing via Route Server (RS)

Cisco IOS

# Create a BGP Route Map
ip community-list 1 permit 65535:666
route-map RTBH permit 10
 match ip address prefix-list RTBH
 set community 65535:666
...,

# Apply the Route Map to the BGP Neighbor
router bgp YOUR_AS_NUMBER
 neighbor PEER_IP route-map RTBH out

# Advertise the Prefix with the Community
ip prefix-list RTBH permit 103.1.1.1/32

ip route 103.1.1.1 255.255.255.255 Null0

RouterOS

# Create a BGP Filter
/routing filter
add chain=bgp-out prefix=103.1.1.1/32 prefix-length=32 action=accept set-bgp-communities=65535:666
...,
add chain=bgp-out action=discard

# Apply the BGP Filter to the Peer
/routing bgp peer
set peer1 out-filter=bgp-out

# Advertise the Prefix with the Community
/ip route
add dst-address=103.1.1.1/32 type=blackhole

/routing bgp network
add network=103.1.1.1/32

# Create a BGP Policy
set policy-options policy-statement RTBH term 1 from route-filter 103.1.1.1/32 exact
set policy-options policy-statement RTBH term 1 then community add BLACKHOLE
set policy-options policy-statement RTBH term 1 then accept
...,
set policy-options policy-statement RTBH term 10 then reject

set policy-options community BLACKHOLE members 65535:666

# Apply the BGP Policy to the BGP Neighbor
set protocols bgp group EBGP export RTBH

# Advertise the Prefix with the Community
set routing-options static route 103.1.1.1/32 discard

set protocols bgp group EBGP export RTBH

Looking Glass

Filtering Policy