معماری فنی و تنظیمات جامع IXP

مرکز تبادل اینترنت یا Internet Exchange Point یک زیرساخت مشترک برای اتصال شبکه‌های مستقل و فراهم‌کردن امکان تبادل مستقیم ترافیک میان آن‌ها است. معماری IXP معمولاً بر پایه یک یا چند Fabric لایه ۲، سرویس‌های BGP، Route Server، مانیتورینگ و سیستم‌های امنیتی طراحی می‌شود.

اجزای اصلی

مدل‌های فیزیکی اتصال

• Single Switch: معماری ساده برای IXPهای کوچک.
• Dual Switch: استفاده از دو Fabric مستقل برای افزونگی.
• Distributed Fabric: چند سایت یا چند PoP متصل به یک Fabric منطقی.
• Leaf-Based Fabric: استفاده از طراحی مدرن Leaf برای مقیاس‌پذیری بیشتر.

Peering Fabric باید تا حد امکان ساده، قابل پیش‌بینی و ایزوله طراحی شود. هدف اصلی، فراهم‌کردن یک Broadcast Domain کنترل‌شده برای اعضا و جلوگیری از ایجاد مسیرهای ناخواسته میان شبکه‌های مدیریتی و Peering است.

Member Port و LAG

interface Port-channel 10
 description IXP-PEER-AS65001-LAG
 switchport mode trunk
 switchport trunk allowed vlan 100
 spanning-tree portfast trunk
 spanning-tree bpduguard enable
 no shutdown

interface HundredGigE 0/1
 description IXP-PEER-AS65001-MEMBER-1
 channel-group 10 mode active
 no shutdown

interface HundredGigE 0/2
 description IXP-PEER-AS65001-MEMBER-2
 channel-group 10 mode active
 no shutdown

VLAN و کنترل Broadcast

vlan 100
 name IXP-PEERING

interface Vlan100
 description IXP-PEERING-FABRIC
 no shutdown
 storm-control broadcast level 1.00
 storm-control multicast level 1.00

کنترل‌های لایه ۲

• Broadcast Storm Control
• Multicast Control
• MAC Limiting
• BPDU Guard
• DHCP Snooping در محیط‌های مناسب
• Dynamic ARP Inspection در محیط‌های مناسب
• IP Source Guard
• Port Security
• MAC Address Monitoring

BGP پروتکل اصلی Control Plane در IXP است. اعضا می‌توانند به‌صورت Bilateral با سایر اعضا Peer شوند یا از Route Server برای Multilateral Peering استفاده کنند.

پارامترهای مهم BGP

Route Server معمولاً به‌عنوان یک Control-Plane Service مستقل از Data Plane اجرا می‌شود. Policy آن باید به‌گونه‌ای طراحی شود که مسیرهای دریافت‌شده از یک عضو، فقط طبق سیاست تعریف‌شده به سایر اعضای مجاز منتشر شوند.

router id 192.0.2.1;

define IXP_ASN = 65000;
define IXP_NET = 192.0.2.0/24;

function reject_invalid_v4() {
    if net.len > 24 then return true;
    if net.len < 8 then return true;
    if net ~ [ 10.0.0.0/8{8,32} ] then return true;
    if net ~ [ 172.16.0.0/12{12,32} ] then return true;
    if net ~ [ 192.168.0.0/16{16,32} ] then return true;
    return false;
}

template bgp RS_V4 {
    local 192.0.2.1 as IXP_ASN;
    rs client;
    multihop;
    ipv4 {
        import filter {
            if reject_invalid_v4() then reject;
            accept;
        };
        export filter {
            accept;
        };
    };
}

protocol bgp AS65001 from RS_V4 {
    neighbor 192.0.2.10 as 65001;
}

protocol bgp AS65002 from RS_V4 {
    neighbor 192.0.2.20 as 65002;
}

Community Policy

کنترل‌های Route Server

• Prefix Filtering
• AS Path Validation
• IRR-Based Filtering
• RPKI Origin Validation
• Max-Prefix Protection
• Community Policy
• Next-Hop Validation
• Session Monitoring

یک IXP مدرن باید امکان Peering هم‌زمان IPv4 و IPv6 را فراهم کند. معمولاً برای هر دو خانواده آدرس، جلسات BGP مستقل یا Address Familyهای جداگانه تعریف می‌شود.

نمونه Address Plan مستندسازی

Route Collector

Route Collector برای دریافت و ثبت اطلاعات Routing استفاده می‌شود و نباید بدون Policy مشخص به‌عنوان مسیر‌دهنده ترافیک اعضا عمل کند.

protocol bgp collector_as65001 {
    local 192.0.2.2 as 65000;
    neighbor 192.0.2.10 as 65001;
    passive;
    ipv4 {
        import all;
        export none;
    };
}

Looking Glass

• نمایش وضعیت BGP Sessions
• مشاهده Prefixهای دریافت‌شده
• بررسی AS Path
• بررسی Next-Hop
• بررسی RPKI State
• مشاهده Route Server Views

DNS Infrastructure

IXP می‌تواند میزبان سرویس‌های DNS و سایر سرویس‌های زیرساختی توزیع‌شده باشد. طراحی Anycast، Routing و Monitoring باید مستقل از Peering Policy و مطابق الزامات سرویس انجام شود.

Time Synchronization

همگام‌سازی دقیق زمان برای Correlation رخدادها، تحلیل BGP، Logging و Incident Response اهمیت زیادی دارد.

RPKI

RPKI امکان اعتبارسنجی Origin یک Prefix را فراهم می‌کند. وضعیت‌های رایج شامل Valid، Invalid و NotFound هستند و سیاست برخورد با هر وضعیت باید به‌صورت صریح تعریف شود.

IRR Filtering

پایگاه‌های Internet Routing Registry می‌توانند برای ساخت Prefix و AS-Path Policy مورد استفاده قرار گیرند. اطلاعات IRR باید به‌صورت دوره‌ای به‌روزرسانی و اعتبارسنجی شود.

کنترل‌های امنیتی

• RPKI Origin Validation
• IRR Route Filtering
• Prefix Length Validation
• Maximum Prefix Limits
• AS Path Validation
• Control Plane Protection
• Management Plane Isolation
• AAA و دسترسی مبتنی بر نقش
• Centralized Logging
• Backup و Configuration Versioning

مانیتورینگ IXP باید هم Data Plane و هم Control Plane را پوشش دهد و علاوه بر Availability، تغییرات غیرعادی در Routing و Traffic را نیز قابل مشاهده کند.

شاخص‌های کلیدی

موارد مانیتورینگ

طراحی IXP باید Failure Domainها را در نظر بگیرد تا خرابی یک سوئیچ، لینک، برق، سرور یا مسیر مدیریتی باعث ازکارافتادن کل سرویس نشود.

سطوح افزونگی

پیشنهاد ساختاری

• Route Server مستقل از سوئیچ Fabric
• حداقل دو نمونه Route Server برای افزونگی
• مسیر مدیریتی مستقل یا Out-of-Band
• Backup منظم Configuration
• مانیتورینگ مستقل از زیرساخت اصلی
• Document کردن Failure Domainها
• آزمون دوره‌ای سناریوهای Failover

مدیریت Configuration

• Version Control برای Configuration
• ثبت Change Request
• Backup قبل از تغییرات مهم
• Peer Review برای تغییرات حساس
• Rollback Plan
• ثبت زمان و اپراتور تغییر

Incident Response

1. تشخیص و ثبت رخداد
2. تعیین Scope
3. حفاظت از Control Plane
4. بررسی BGP و Fabric
5. بررسی تغییرات اخیر
6. اجرای Mitigation
7. ثبت Timeline
8. Post-Incident Review

مستندسازی

لایه فیزیکی

• Rack و Power طراحی شده است
• لینک‌های Member تست شده‌اند
• Optics و Transceiverها اعتبارسنجی شده‌اند
• ظرفیت لینک‌ها مستند شده است

لایه ۲

• Peering VLAN تعریف شده است
• Broadcast Control فعال است
• Loop Protection بررسی شده است
• LACP در صورت نیاز تست شده است

لایه ۳ و BGP

• ASNها ثبت و مستند شده‌اند
• IPv4 و IPv6 Address Plan آماده است
• Route Serverها تست شده‌اند
• Prefix Filtering فعال است
• Max Prefix تنظیم شده است
• Communities مستند شده‌اند

امنیت

• RPKI Validation بررسی شده است
• IRR Policy تعریف شده است
• Management Plane ایزوله شده است
• AAA و MFA در محیط مدیریتی بررسی شده است
• Logging مرکزی فعال است

مانیتورینگ

• Interface Metrics جمع‌آوری می‌شود
• BGP Sessions مانیتور می‌شوند
• Prefix Count پایش می‌شود
• Traffic و Packet Loss اندازه‌گیری می‌شود
• Alerting تعریف شده است