Re: [FRnOG] [TECH] Taille min des annonces IPv6 sur BGP

2018-04-20 Par sujet Hugues Voiturier 
Tout pareil pour 2a0b:cbc0::/32 :-)

Pour moi un LIR distribue des IP avec les ressources à sa disposition, il n’est 
pas nécessairement transit. 

Sent from my iPhone

> On 20 Apr 2018, at 18:05, Alarig Le Lay  wrote:
> 
>> On ven. 20 avr. 17:20:22 2018, Pierre Emeriaud wrote:
>>> Le 20 avril 2018 à 16:00, Hugues Voiturier  a 
>>> écrit :
>>> Je parle bien des PA que ton LIR peut t’allouer, pas des PI !
>>> 
>>> À ma connaissance, un PA peut parfaitement être annoncé par un autre AS, et 
>>> en toute indépendance vis a vis du LIR. Suis-je dans l’erreur ?
>> 
>> J'aurais tendance à dire oui : le A dans PA veut bien dire agrégé.
>> Après, en v4 le PA désagrégé / pas annoncé par le lir ça existe du
>> fait de la pénurie de PI, en v6 a n'a pas trop de raisons d'exister
>> amha.
> 
> Pour moi on peut tout à fait annoncer un PA comme on annonce un PI.
> 
> 2a00:5884::/32 est un PA annoncé par un autre AS que celui du LIR.
> Le bloc parent n’est d’ailleurs pas du tout annoncé.
> 
> En cherchant un peu, on doit pouvoir tomber sur du /48 dans le même cas.
> 
> -- 
> alarig


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [TECH] Taille min des annonces IPv6 sur BGP

2018-04-20 Par sujet Alarig Le Lay 
On ven. 20 avr. 17:20:22 2018, Pierre Emeriaud wrote:
> Le 20 avril 2018 à 16:00, Hugues Voiturier  a 
> écrit :
> > Je parle bien des PA que ton LIR peut t’allouer, pas des PI !
> >
> > À ma connaissance, un PA peut parfaitement être annoncé par un autre AS, et 
> > en toute indépendance vis a vis du LIR. Suis-je dans l’erreur ?
> 
> J'aurais tendance à dire oui : le A dans PA veut bien dire agrégé.
> Après, en v4 le PA désagrégé / pas annoncé par le lir ça existe du
> fait de la pénurie de PI, en v6 a n'a pas trop de raisons d'exister
> amha.

Pour moi on peut tout à fait annoncer un PA comme on annonce un PI.

2a00:5884::/32 est un PA annoncé par un autre AS que celui du LIR.
Le bloc parent n’est d’ailleurs pas du tout annoncé.

En cherchant un peu, on doit pouvoir tomber sur du /48 dans le même cas.

-- 
alarig


signature.asc
Description: PGP signature

Re: [FRnOG] [TECH] Taille min des annonces IPv6 sur BGP

2018-04-20 Par sujet Pierre Emeriaud 
Le 20 avril 2018 à 16:00, Hugues Voiturier  a écrit :
> Je parle bien des PA que ton LIR peut t’allouer, pas des PI !
>
> À ma connaissance, un PA peut parfaitement être annoncé par un autre AS, et 
> en toute indépendance vis a vis du LIR. Suis-je dans l’erreur ?

J'aurais tendance à dire oui : le A dans PA veut bien dire agrégé.
Après, en v4 le PA désagrégé / pas annoncé par le lir ça existe du
fait de la pénurie de PI, en v6 a n'a pas trop de raisons d'exister
amha.


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [TECH] Taille min des annonces IPv6 sur BGP

2018-04-20 Par sujet Hugues Voiturier 
Je parle bien des PA que ton LIR peut t’allouer, pas des PI !

À ma connaissance, un PA peut parfaitement être annoncé par un autre AS, et en 
toute indépendance vis a vis du LIR. Suis-je dans l’erreur ?

H

> On 20 Apr 2018, at 15:44, Pierre Emeriaud  wrote:
> 
> Le 20 avril 2018 à 15:05, Hugues Voiturier  a 
> écrit :
>> Je vois déjà un souci avec la stricte :
>> 
>> Si ton LIR t’alloue un /48 (par exemple), ce qui est quand le même le 
>> principe d’un LIR à la base, tu te retrouveras filtré avec une règle de ce 
>> type :
>> 
>>> ipv6 prefix-list ipv6-ebgp-strict permit 2a00::/12 ge 19 le 32
>> 
>> Du coup, c’est pas idéal, non ?
> 
> En ce qui me concerne mon /48 PI n'est pas dans cette plage, mais dans
> ipv6 prefix-list ipv6-ebgp-strict permit 2001:0678::/29 le 48
> 
> donc pas de soucis. Et je pense donc que 2a00::/12 est pour du PA, pas
> du PI, et donc il doit y avoir un agrégat annoncé qui contient ton
> /48, et tu te démerdes pour router jusqu'à ton LIR qui annonce cet
> agrégat.
> 
> (en théorie...)


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [TECH] Taille min des annonces IPv6 sur BGP

2018-04-20 Par sujet Pierre Emeriaud 
Le 20 avril 2018 à 15:05, Hugues Voiturier  a écrit :
> Je vois déjà un souci avec la stricte :
>
> Si ton LIR t’alloue un /48 (par exemple), ce qui est quand le même le 
> principe d’un LIR à la base, tu te retrouveras filtré avec une règle de ce 
> type :
>
>> ipv6 prefix-list ipv6-ebgp-strict permit 2a00::/12 ge 19 le 32
>
> Du coup, c’est pas idéal, non ?

En ce qui me concerne mon /48 PI n'est pas dans cette plage, mais dans
ipv6 prefix-list ipv6-ebgp-strict permit 2001:0678::/29 le 48

donc pas de soucis. Et je pense donc que 2a00::/12 est pour du PA, pas
du PI, et donc il doit y avoir un agrégat annoncé qui contient ton
/48, et tu te démerdes pour router jusqu'à ton LIR qui annonce cet
agrégat.

(en théorie...)


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [TECH] Taille min des annonces IPv6 sur BGP

2018-04-20 Par sujet Julien Escario 
Fort bien, merci !

Content de voir qu'il y a encore un peu débat. Je vais partir du principe que je
filtre à partir de /48 + bogons, on verra plus tard si il y a matière à faire
plus fin.

Merci de vos retours.

Julien

Le 20/04/2018 à 15:05, Hugues Voiturier a écrit :
> Je vois déjà un souci avec la stricte :
> 
> Si ton LIR t’alloue un /48 (par exemple), ce qui est quand le même le 
> principe d’un LIR à la base, tu te retrouveras filtré avec une règle de ce 
> type : 
> 
>> ipv6 prefix-list ipv6-ebgp-strict permit 2a00::/12 ge 19 le 32
> 
> Du coup, c’est pas idéal, non ?
> 
> 
>> On 20 Apr 2018, at 14:59, Jérôme Nicolle  wrote:
>>
>> Julien,
>>
>> Le 19/04/2018 à 09:59, Julien Escario a écrit :
>>> Y'a t'il une bonne pratique en la matière ?
>>
>> Tout à fait ! Le filtre "relaxed" est :
>>
>> ipv6 prefix-list ipv6-ebgp-relaxed deny 3ffe::/16 le 128
[...]>> ipv6 prefix-list ipv6-ebgp-relaxed permit 2000::/3 le 48
>> ipv6 prefix-list ipv6-ebgp-relaxed deny 0::/0 le 128
>>
>> Alors que le "strict" (souvent problématique) est :
>>
>> ipv6 prefix-list ipv6-ebgp-strict deny   3ffe::/16 le 128
[...]
>> ipv6 prefix-list ipv6-ebgp-strict permit 2a00::/12 ge 19 le 32
>> ipv6 prefix-list ipv6-ebgp-strict permit 2801:::/24 le 48
>> ipv6 prefix-list ipv6-ebgp-strict permit 2c00::/12 ge 19 le 32
>> ipv6 prefix-list ipv6-ebgp-strict deny 0::/0 le 128
>>
>> Le strict suit à la lettre les politiques d'allocation des RIR, mais
>> certains opérateurs ne les respectent pas pour autant. Donc il va
>> filtrer de façon excessive en cas de désagrégation, sur les CDN par exemple.
>>
>> source : https://www.space.net/~gert/RIPE/ipv6-filters.html
>>
>> @+
>>
>> -- 
>> Jérôme Nicolle
>> 06 19 31 27 14
>>
> 
> 
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/
> 
<>

signature.asc
Description: OpenPGP digital signature

Re: [FRnOG] [TECH] Taille min des annonces IPv6 sur BGP

2018-04-20 Par sujet Hugues Voiturier 
Je vois déjà un souci avec la stricte :

Si ton LIR t’alloue un /48 (par exemple), ce qui est quand le même le principe 
d’un LIR à la base, tu te retrouveras filtré avec une règle de ce type : 

> ipv6 prefix-list ipv6-ebgp-strict permit 2a00::/12 ge 19 le 32

Du coup, c’est pas idéal, non ?


> On 20 Apr 2018, at 14:59, Jérôme Nicolle  wrote:
> 
> Julien,
> 
> Le 19/04/2018 à 09:59, Julien Escario a écrit :
>> Y'a t'il une bonne pratique en la matière ?
> 
> Tout à fait ! Le filtre "relaxed" est :
> 
> ipv6 prefix-list ipv6-ebgp-relaxed deny 3ffe::/16 le 128
> ipv6 prefix-list ipv6-ebgp-relaxed deny 2001:db8::/32 le 128
> ipv6 prefix-list ipv6-ebgp-relaxed permit 2001::/32
> ipv6 prefix-list ipv6-ebgp-relaxed deny 2001::/32 le 128
> ipv6 prefix-list ipv6-ebgp-relaxed permit 2002::/16
> ipv6 prefix-list ipv6-ebgp-relaxed deny 2002::/16 le 128
> ipv6 prefix-list ipv6-ebgp-relaxed deny ::/8 le 128
> ipv6 prefix-list ipv6-ebgp-relaxed deny fe00::/9 le 128
> ipv6 prefix-list ipv6-ebgp-relaxed deny ff00::/8 le 128
> ipv6 prefix-list ipv6-ebgp-relaxed permit 2000::/3 le 48
> ipv6 prefix-list ipv6-ebgp-relaxed deny 0::/0 le 128
> 
> Alors que le "strict" (souvent problématique) est :
> 
> ipv6 prefix-list ipv6-ebgp-strict deny   3ffe::/16 le 128
> ipv6 prefix-list ipv6-ebgp-strict permit 2001:500::/30 ge 48 le 48
> ipv6 prefix-list ipv6-ebgp-strict deny   2001:db8::/32 le 128
> ipv6 prefix-list ipv6-ebgp-strict permit 2001::/32
> ipv6 prefix-list ipv6-ebgp-strict permit 2001::/16 ge 35 le 35
> ipv6 prefix-list ipv6-ebgp-strict permit 2001::/16 ge 19 le 32
> ipv6 prefix-list ipv6-ebgp-strict permit 2001:0678::/29 le 48
> ipv6 prefix-list ipv6-ebgp-strict permit 2001:0c00::/23 ge 48 le 48
> ipv6 prefix-list ipv6-ebgp-strict permit 2001:13c7:6000::/36 le 48
> ipv6 prefix-list ipv6-ebgp-strict permit 2001:13c7:7000::/36 le 48
> ipv6 prefix-list ipv6-ebgp-strict permit 2001:43f8::/29 ge 40 le 48
> ipv6 prefix-list ipv6-ebgp-strict permit 2002::/16
> ipv6 prefix-list ipv6-ebgp-strict permit 2003::/16 ge 19 le 32
> ipv6 prefix-list ipv6-ebgp-strict permit 2400::/12 ge 19 le 32
> ipv6 prefix-list ipv6-ebgp-strict permit 2600::/12 ge 19 le 32
> ipv6 prefix-list ipv6-ebgp-strict permit 2610::/23 ge 24 le 32
> ipv6 prefix-list ipv6-ebgp-strict permit 2620::/23 ge 40 le 48
> ipv6 prefix-list ipv6-ebgp-strict permit 2800::/12 ge 19 le 32
> ipv6 prefix-list ipv6-ebgp-strict permit 2a00::/12 ge 19 le 32
> ipv6 prefix-list ipv6-ebgp-strict permit 2801:::/24 le 48
> ipv6 prefix-list ipv6-ebgp-strict permit 2c00::/12 ge 19 le 32
> ipv6 prefix-list ipv6-ebgp-strict deny 0::/0 le 128
> 
> Le strict suit à la lettre les politiques d'allocation des RIR, mais
> certains opérateurs ne les respectent pas pour autant. Donc il va
> filtrer de façon excessive en cas de désagrégation, sur les CDN par exemple.
> 
> source : https://www.space.net/~gert/RIPE/ipv6-filters.html
> 
> @+
> 
> -- 
> Jérôme Nicolle
> 06 19 31 27 14
> 


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [TECH] Taille min des annonces IPv6 sur BGP

2018-04-20 Par sujet Jérôme Nicolle 
Julien,

Le 19/04/2018 à 09:59, Julien Escario a écrit :
> Y'a t'il une bonne pratique en la matière ?

Tout à fait ! Le filtre "relaxed" est :

ipv6 prefix-list ipv6-ebgp-relaxed deny 3ffe::/16 le 128
ipv6 prefix-list ipv6-ebgp-relaxed deny 2001:db8::/32 le 128
ipv6 prefix-list ipv6-ebgp-relaxed permit 2001::/32
ipv6 prefix-list ipv6-ebgp-relaxed deny 2001::/32 le 128
ipv6 prefix-list ipv6-ebgp-relaxed permit 2002::/16
ipv6 prefix-list ipv6-ebgp-relaxed deny 2002::/16 le 128
ipv6 prefix-list ipv6-ebgp-relaxed deny ::/8 le 128
ipv6 prefix-list ipv6-ebgp-relaxed deny fe00::/9 le 128
ipv6 prefix-list ipv6-ebgp-relaxed deny ff00::/8 le 128
ipv6 prefix-list ipv6-ebgp-relaxed permit 2000::/3 le 48
ipv6 prefix-list ipv6-ebgp-relaxed deny 0::/0 le 128

Alors que le "strict" (souvent problématique) est :

ipv6 prefix-list ipv6-ebgp-strict deny   3ffe::/16 le 128
ipv6 prefix-list ipv6-ebgp-strict permit 2001:500::/30 ge 48 le 48
ipv6 prefix-list ipv6-ebgp-strict deny   2001:db8::/32 le 128
ipv6 prefix-list ipv6-ebgp-strict permit 2001::/32
ipv6 prefix-list ipv6-ebgp-strict permit 2001::/16 ge 35 le 35
ipv6 prefix-list ipv6-ebgp-strict permit 2001::/16 ge 19 le 32
ipv6 prefix-list ipv6-ebgp-strict permit 2001:0678::/29 le 48
ipv6 prefix-list ipv6-ebgp-strict permit 2001:0c00::/23 ge 48 le 48
ipv6 prefix-list ipv6-ebgp-strict permit 2001:13c7:6000::/36 le 48
ipv6 prefix-list ipv6-ebgp-strict permit 2001:13c7:7000::/36 le 48
ipv6 prefix-list ipv6-ebgp-strict permit 2001:43f8::/29 ge 40 le 48
ipv6 prefix-list ipv6-ebgp-strict permit 2002::/16
ipv6 prefix-list ipv6-ebgp-strict permit 2003::/16 ge 19 le 32
ipv6 prefix-list ipv6-ebgp-strict permit 2400::/12 ge 19 le 32
ipv6 prefix-list ipv6-ebgp-strict permit 2600::/12 ge 19 le 32
ipv6 prefix-list ipv6-ebgp-strict permit 2610::/23 ge 24 le 32
ipv6 prefix-list ipv6-ebgp-strict permit 2620::/23 ge 40 le 48
ipv6 prefix-list ipv6-ebgp-strict permit 2800::/12 ge 19 le 32
ipv6 prefix-list ipv6-ebgp-strict permit 2a00::/12 ge 19 le 32
ipv6 prefix-list ipv6-ebgp-strict permit 2801:::/24 le 48
ipv6 prefix-list ipv6-ebgp-strict permit 2c00::/12 ge 19 le 32
ipv6 prefix-list ipv6-ebgp-strict deny 0::/0 le 128

Le strict suit à la lettre les politiques d'allocation des RIR, mais
certains opérateurs ne les respectent pas pour autant. Donc il va
filtrer de façon excessive en cas de désagrégation, sur les CDN par exemple.

source : https://www.space.net/~gert/RIPE/ipv6-filters.html

@+

-- 
Jérôme Nicolle
06 19 31 27 14



signature.asc
Description: OpenPGP digital signature

Re: [FRnOG] [TECH] Taille min des annonces IPv6 sur BGP

2018-04-19 Par sujet Youssef Bengelloun-Zahr 
+1



Le 19 avril 2018 à 10:03, Clement Cavadore  a écrit :

> Bonjour Julien,
>
> On Thu, 2018-04-19 at 09:59 +0200, Julien Escario wrote:
> > Est-ce qu'un tel filtrage est valable aussi sur IPv6 ? Si vous filtrez
> sur la
> > taille en IPv6, à quelle taille vous vous arrêtez ? (/32, /48, /64 ?).
>
> Généralement il est accepté que le routage puisse aller jusqu'au /48 en
> IPv6 sur la DFZ (les PIv6 peuvent avoir cette taille, notamment).
>
> > Y'a t'il une bonne pratique en la matière ?
>
> Cela a fait l'objet de grands débats sur les mailings listes, sans
> arriver à un consensus, il me semblent. Certains arguent que pour les
> allocations LIR (ou équivalent), il faudrait filtrer jusqu'au /32, et
> pour les allocations PI, jusqu'au /48, mais certains (comme Akamai
> notamment) désaggregent leurs allocs de facon à annoncer un /48 par site
> CDN.
>
> Au final, j'imagine que tout le monde filtre jusqu'au /48, quoi (c'est
> par exemple le cas sur tous les réseaux que je gère)...
>
> --
> Clément Cavadore
>
>
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/
>

---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [TECH] Taille min des annonces IPv6 sur BGP

2018-04-19 Par sujet Clement Cavadore 
Bonjour Julien,

On Thu, 2018-04-19 at 09:59 +0200, Julien Escario wrote:
> Est-ce qu'un tel filtrage est valable aussi sur IPv6 ? Si vous filtrez sur la
> taille en IPv6, à quelle taille vous vous arrêtez ? (/32, /48, /64 ?).

Généralement il est accepté que le routage puisse aller jusqu'au /48 en
IPv6 sur la DFZ (les PIv6 peuvent avoir cette taille, notamment).

> Y'a t'il une bonne pratique en la matière ?

Cela a fait l'objet de grands débats sur les mailings listes, sans
arriver à un consensus, il me semblent. Certains arguent que pour les
allocations LIR (ou équivalent), il faudrait filtrer jusqu'au /32, et
pour les allocations PI, jusqu'au /48, mais certains (comme Akamai
notamment) désaggregent leurs allocs de facon à annoncer un /48 par site
CDN. 

Au final, j'imagine que tout le monde filtre jusqu'au /48, quoi (c'est
par exemple le cas sur tous les réseaux que je gère)...

-- 
Clément Cavadore


---
Liste de diffusion du FRnOG
http://www.frnog.org/