1. 从一次路由泄露说起为什么我们需要BGP Community那天下午整个机房的监控大屏突然红了一片。不是某个服务挂了而是来自某个上游运营商的路由条目像潮水一样涌入了我们的核心路由器瞬间挤占了大量的路由表空间和CPU资源。告警声此起彼伏网络延迟飙升部分跨境业务受到了影响。经过紧急排查根源指向了一个我们未曾预料的方向一个合作伙伴的边界路由器错误地发布或者说“泄露”了他们从另一个运营商收到的、本不该对外宣告的BGP路由。事后复盘我们花了大量时间进行人工筛选和过滤。如果当时在接收这些路由时就能根据某种“标签”自动识别并过滤掉那些高风险、或非必要路由这场风波本可以避免。这个“标签”就是BGP Community属性。它不是BGP路径属性里决定路由优劣的“裁判”如AS_PATH、LOCAL_PREF、MED而更像是一个功能强大的“信使”和“标签机”用于在AS自治系统之间传递策略信息指导路由的传播和处理。简单来说BGP Community允许网络工程师给一条BGP路由打上一个或多个32位的数字标签。接收方路由器看到这些标签就能立刻明白“哦这条路由是从某个特定对等体来的”、“这条路由优先级很低只作为备份”、“这条路由绝对不能继续向外传播”。它实现了路由策略的“声明式”管理将复杂的ACL访问控制列表和Route-map匹配简化成了对Community值的识别与动作。对于任何管理着BGP网络尤其是与多个运营商、云服务商或合作伙伴有对等连接的网络工程师而言深入理解并熟练运用Community属性是从“基础配置”走向“精细化策略控制”的关键一步。它能帮你预防路由泄露、实现流量工程、简化策略部署是构建稳健、高效、可控的广域网的必备工具。2. Community属性解剖格式、类型与运作机制要玩转Community首先得清楚它的“身份证”长什么样以及有哪些“特殊身份”。2.1 基础格式不仅仅是数字BGP Community属性是一个可选的、可传递的路径属性其值是一个32位的无符号整数。在配置和显示时我们通常不直接使用巨大的十进制数如6553600而是采用两种更易读的格式ASN:Value格式最常用 格式为AS号:自定义值。例如64512:100。这里的AS号64512通常是分配该Community值的组织的AS号后面的自定义值100由该组织自行定义其含义。这种格式直观地表明了Community的“归属”和“意图”。十进制格式 直接显示32位整数。例如6553600。可以通过公式ASN * 65536 Value与ASN:Value格式相互转换64512 * 65536 100 6553600。设备命令行有时会显示这种格式。在Cisco设备上默认显示十进制格式但可以通过ip bgp-community new-format命令全局启用更易读的ASN:Value格式显示。其他厂商如Juniper、华为等通常也支持类似格式。2.2 四大知名Community互联网的“公约”除了自定义的Community互联网上有一些公认的、具有特殊意义的Community值被称为“知名Community”。理解它们是读懂运营商路由策略的基础。最核心的有四个知名Community十进制ASN:Value格式含义与作用NO_EXPORT (0xFFFFFF01)65535:65281核心禁传令。携带此Community的路由接收它的AS不能将其通告给任何EBGP对等体。但它可以在联盟Confederation的子AS之间或者向IBGP对等体传递。常用于标识“这是仅供我们内部或直接伙伴使用的路由请勿扩散”。NO_ADVERTISE (0xFFFFFF02)65535:65282绝对静默令。比NO_EXPORT更严格。携带此Community的路由接收它的路由器不能将其通告给任何BGP对等体无论是EBGP还是IBGP。这条路由的传播到此为止。用于完全阻止某条路由的传播。NO_EXPORT_SUBCONFED (0xFFFFFF03)65535:65283联盟内禁传令。在BGP联盟场景下使用。携带此Community的路由不能向联盟外的EBGP对等体发布同时也不能向联盟内其他子AS的EBGP对等体发布。可以理解为联盟环境下的NO_EXPORT。LOCAL_AS (0xFFFFFF03)65535:65283同AS内禁传令。在标准BGP中非联盟此Community与NO_EXPORT_SUBCONFED值相同但含义是该路由不能发布到当前AS之外。很多厂商将此值作为LOCAL_AS处理。注意知名Community的生效依赖于对等路由器是否识别并遵守它们。主流运营商和网络设备通常都会处理这些知名Community。但在一些非标准或老旧设备上可能需要额外配置来确保其生效。2.3 运作机制附加、匹配与动作Community属性的工作流程可以概括为“打标签”、“看标签”、“做动作”三步闭环附加Set 在路由策略如Route-map的“出方向”或“入方向”上通过set community命令或其等价命令给符合条件的路由添加一个或多个Community值。例如将所有从某运营商收到的路由都加上12345:100。route-map SET_COMMUNITY permit 10 match ip address prefix-list FROM_ISP_A set community 12345:100 additive这里的additive关键字非常重要。如果不加additive新设置的Community会覆盖该路由已有的所有Community。加上additive则是将新的Community值追加到现有Community列表中。匹配Match 在另一段路由策略中通过match community命令来识别带有特定Community值的路由。可以匹配单个值也可以匹配一个预先定义好的Community列表Community-list。ip community-list standard BLOCK_LIST permit 12345:100 route-map FILTER_BY_COMM permit 10 match community BLOCK_LIST动作Action 根据匹配结果执行相应的策略动作。动作非常灵活可以是过滤Deny 拒绝接收或发布该路由。修改属性 调整其LOCAL_PREF、MED、AS_PATH等从而改变其选路优先级。进一步附加Community 打上新的标签传递给下游。仅做标记 不做实质性动作仅用于后续监控或日志记录。这个“附加-匹配-动作”的机制使得基于Community的策略可以像流水线一样在路由传播的各个节点入口、出口、内部进行精细化的控制。3. 实战场景用Community解决真实网络问题理论总是抽象的我们来看几个Community属性大显身手的真实场景。这些场景都源于我过去工作中遇到的实际需求或问题。3.1 场景一防御路由泄露与控制路由传播范围这是文章开头那个事故的解决方案。我们与运营商A和运营商B同时建立BGP连接。从运营商A收到的某些路由例如他们与其他客户的对等路由我们只希望在本AS内部使用绝对不允许意外泄露给运营商B或其他对等体。解决方案利用知名Community NO_EXPORT或NO_ADVERTISE。在入口策略上打标签 在与运营商A连接的入口方向通过Route-map识别那些需要限制传播的路由通常可以用前缀列表匹配为其添加NO_EXPORTCommunity。route-map FROM_ISP_A_IN permit 10 match ip address prefix-list RESTRICTED_ROUTES set community no-export route-map FROM_ISP_A_IN permit 20 ! 放行其他路由不做修改在出口策略上遵守标签 在连接运营商B和其他对等体的出口方向配置路由策略拒绝发布携带NO_EXPORTCommunity 的路由。ip community-list standard NO_EXPORT_LIST permit no-export route-map TO_ISP_B_OUT deny 10 match community NO_EXPORT_LIST route-map TO_ISP_B_OUT permit 20 ! 允许发布其他路由实际上由于NO_EXPORT是知名Community大多数现代BGP实现会自动遵守出口策略的显式拒绝更多是一道保险。而NO_ADVERTISE则能确保路由不会在IBGP同伴间泄露适合更严格的内部控制。实操心得 不要完全依赖对等体发送的Community。对于关键的上游路由我习惯在入口处主动加上自己定义的、含义明确的Community如MY_AS:65001表示“仅入口使用”再结合出口策略进行过滤。这样即使上游没有发送正确的知名Community我们自己的策略也能生效实现双保险。3.2 场景二多宿主环境下的智能流量引导流量工程我们公司AS 64500双线接入运营商ISP-A (AS 100) 和 ISP-B (AS 200)。我们希望访问特定客户群C网段为203.0.113.0/24的流量优先走ISP-A因为链路质量更好而访问公众互联网的流量则主要走ISP-B因为资费更低。解决方案利用LOCAL_PREF属性并通过Community来“遥控”LOCAL_PREF。这个场景需要上下游配合。我们需要请求客户C在他们的ASAS 300中在向我们发布203.0.113.0/24这条路由时附加特定的Community。约定Community语义 我们与客户C约定发送64500:100表示“请提高该路由优先级”发送64500:200表示“请降低该路由优先级”。当然这个值完全由我们双边自行定义。客户侧配置AS 300 客户C在发布203.0.113.0/24路由给我们时附加Community64500:100。! 在客户C的路由器上 route-map TO_AS64500 permit 10 match ip address prefix-list CUSTOMER_C_NETWORK set community 64500:100我方入口策略AS 64500 在我们连接ISP-A和ISP-B的入口路由器上配置识别该Community并设置不同的LOCAL_PREF。在ISP-A入口路由器上 匹配到64500:100设置高LOCAL_PREF例如200使其成为优选路径。ip community-list standard PRIO_HIGH permit 64500:100 route-map FROM_ISP_A_IN permit 10 match community PRIO_HIGH set local-preference 200在ISP-B入口路由器上 同样匹配64500:100但设置一个较低的LOCAL_PREF例如150作为备份路径。route-map FROM_ISP_B_IN permit 10 match community PRIO_HIGH set local-preference 150这样当路由从两个ISP进入我们的AS时对于203.0.113.0/24从ISP-A来的路由LOCAL_PREF200从ISP-B来的LOCAL_PREF150。根据BGP选路规则LOCAL_PREF高者优先所有去往该客户网的流量都会优先选择ISP-A的路径。踩坑记录 早期实施时我们只在ISP-A的入口设置了高LOCAL_PREF而忘记了在ISP-B的入口设置低LOCAL_PREF或直接过滤。结果导致在某些情况下ISP-B路径因为其他属性如AS_PATH更短反而被选中。关键点在于流量工程需要在对所有可能的入口路径上通过Community明确其“角色”主、备、不用。3.3 场景三大型网络中的分层策略与维护简化假设你管理着一个大型企业网AS 64500在全国有多个POP点北京、上海、广州每个POP点都同时接入电信(AS 100)和联通(AS 200)。你需要为不同业务部门视频、办公、生产设置不同的出口策略。如果为每个POP点、每个运营商、每个业务网段都单独配置一套复杂的Route-map维护将是噩梦。解决方案使用扩展Community进行策略分层编码。我们可以设计一套结构化的Community值将策略信息编码进去64500:1XX 表示路由类型/业务部门。101视频流量102办公流量103生产流量。64500:2XX 表示期望的出口位置。201优选北京出口202优选上海出口203优选广州出口。64500:3XX 表示备份策略。301允许任何出口作为备份302仅允许同运营商备份303无备份。例如视频业务部门的核心服务器路由10.1.1.0/24希望主出口在北京电信允许广州联通作为备份。那么在发布这条路由的内部核心路由器上我们可以为其附加两个Community64500:101视频业务和64500:201北京出口主64500:303无特定备份要求实际备份策略由出口设备根据默认规则决定。然后在每个POP点的边界路由器上只需要配置一套统一的、基于Community的出口策略北京POP点路由器连接电信! 匹配“北京出口主”标签并设置高权重或发布 ip community-list standard TO_BEIJING permit 64500:201 route-map TO_CT_BEIJING_OUT permit 10 match community TO_BEIJING ! 可以设置MED或其他属性以优化出向流量广州POP点路由器连接联通! 匹配“视频业务”标签但非主出口可以设置较低优先级或作为条件备份 ip community-list standard VIDEO permit 64500:101 route-map TO_CU_GUANGZHOU_OUT permit 10 match community VIDEO set med 200 ! 设置较高的MED使其作为备份路径这样策略的定义打Community标签集中在网络核心或源头上而策略的执行基于Community的出口选择则分布在各边缘节点。当需要调整某个业务的出口策略时只需要在源头修改其Community值全网边缘策略会自动生效极大简化了运维复杂度。4. 配置详解与排错指南以Cisco IOS XE为例光说不练假把式我们以最常见的Cisco IOS XE平台为例看看如何具体配置和排查Community相关的问题。4.1 基础配置命令清单! 1. 启用Community值的易读格式显示强烈建议 ip bgp-community new-format ! 2. 定义Community列表用于匹配 ! 标准列表精确匹配 ip community-list standard LIST_NAME permit 64512:100 ip community-list standard LIST_NAME permit internet ! 匹配所有路由 ip community-list standard LIST_NAME deny 64512:200 ! 扩展列表支持正则表达式匹配 ip community-list expanded EXP_LIST permit 64512:.* ! 匹配AS 64512发出的所有Community ip community-list expanded EXP_LIST permit ^64512:5[0-9][0-9]$ ! 匹配64512:500-599 ! 3. 在Route-map中应用Community route-map MY_MAP permit 10 ! 匹配Community match community LIST_NAME ! 或匹配扩展列表 match community EXP_LIST ! 附加Community (additive表示追加否则覆盖) set community 64512:300 additive ! 移除特定Community set comm-list LIST_NAME delete ! 附加知名Community set community no-export additive set community local-as additive ! 4. 将Route-map应用到BGP对等体 router bgp 64500 neighbor 192.0.2.1 route-map MY_MAP in ! 入方向 neighbor 192.0.2.1 route-map MY_MAP out ! 出方向 ! 关键必须显式告知BGP发送Community属性给对等体 neighbor 192.0.2.1 send-community ! 如果需要发送扩展Community如Large Community需用 ! neighbor 192.0.2.1 send-community extended4.2 核心排错命令与逻辑当基于Community的策略没有按预期工作时可以遵循以下排查路径第一步检查路由是否携带了预期的Community这是最基本的一步。在BGP路由器上查看特定前缀的详细信息。show ip bgp 203.0.113.0或者查看来自某个邻居的所有路由及其Communityshow ip bgp neighbor 192.0.2.1 received-routes | include Community在输出中寻找Community:字段。确认你期望的Community值如64512:100是否出现在列表中。如果看不到Community可能是对端没有发送Community检查对端配置send-community。入方向Route-map在附加Community前就拒绝了路由。路由在传播过程中经过的设备清除了Community属性。第二步检查Community列表和Route-map配置确认你的Community-list是否正确编写特别是使用扩展列表时正则表达式是否准确。show ip community-list确认Route-map的序列sequence逻辑是否正确。注意Route-map的匹配是“自上而下首次匹配即执行”。一个常见的错误是前面有一个permit序列没有匹配Community但把路由放行了导致后面针对Community的序列根本没有被评估。show route-map MY_MAP第三步检查BGP邻居配置确保在BGP配置下针对该邻居已经配置了send-community。没有这个命令即使路由有Community属性也不会发送给对等体。show running-config | section router bgp同时检查入向/出向的Route-map是否已正确绑定到邻居。show ip bgp neighbor 192.0.2.1 | include route-map第四步验证策略效果查看BGP表确认路由的路径选择是否因LOCAL_PREF等属性的修改而改变。show ip bgp对于出方向控制可以查看宣告给对等体的路由确认不希望发送的路由是否被过滤。show ip bgp neighbor 192.0.2.1 advertised-routes一个典型排错案例 现象我们给路由附加了NO_EXPORT但它仍然被泄露给了另一个EBGP对等体。 排查show ip bgp x.x.x.x确认路由确实携带no-export。检查接收方对等体的配置发现其入口有Route-map其中一条permit语句匹配了该路由的前缀但没有match community子句导致路由被无条件放行后续基于Community的deny语句未生效。修正Route-map逻辑将基于Community的拒绝语句序列号提前或在前面的序列中通过match community排除掉携带no-export的路由。4.3 进阶Large Community与扩展Community随着网络规模扩大传统的32位Community有时会显得“不够用”或“语义模糊”。于是出现了扩展方案Extended Community 主要用于MP-BGP/MPLS VPN场景长度为64位有Type和Sub-Type字段常用于传递VPNv4路由的RTRoute Target和SOOSite of Origin等属性。在传统IP路由中应用较少。Large Community 这是一个较新的标准RFC 8092旨在解决32位Community的不足。它是96位格式为Global Administrator: Local Data Part 1: Local Data Part 2例如64500:100:1。它提供了更大的编码空间和更清晰的三段式结构更适合表达复杂的策略。越来越多的运营商如Cloudflare, NTT开始支持并发送Large Community。在Cisco IOS XE上配置Large Community! 定义Large Community列表 ip large-community-list standard LARGE_LIST permit 64500:100:1 ! 在Route-map中匹配和设置 route-map LARGE_COMM_MAP permit 10 match large-community LARGE_LIST set large-community 64500:200:5 additive ! 在BGP邻居下启用发送 router bgp 64500 neighbor 192.0.2.1 send-community large个人建议 在新网络设计或与支持Large Community的运营商对等时可以优先考虑使用Large Community它的结构更清晰未来兼容性更好。对于现有网络可以与传统Community并存使用。
)
