BGPlayer in 1hour 绝赞速成班

What is BGP ?

觉得自己活得太长就把 wikipedia..ccna..ccnp.. 全部看完～
我们非常粗暴的理解成 Bring your own IP to IDC 即可.

Price :

1 ASN sponsorship (register) fee : 60EUR-100EUR/onetime
Only RIPE accept Chinese BGP Player as natural person…
You must Reg as company user for APNIC ASN.
2 /44 ipv6 block : 15CHF -20 EUR /year
3 Any KVM/XEN VPS with good connection between you and HE.net . 5USD/month maybe ~

也就是说大概起步费是 500-600 元。之后租赁 IPV6 段的费用大概是 15 瑞士法郎 1 年。部分 ASN LIR 大会员在注册 ASN 的时候会赠送一段 / 48 的 ipv6 . 一台 Vultr VPS , 或者一台与 HE & 本地网络友好的 VPS , 比如阿里云香港？
无论是 RIPE 还是 APNIC , 都是一个传销组织 (没错～
组织让其下 LIR (简单理解为大会员) 去发展下线 .
大会员每年要向组织上缴会员费和 IP 租赁费 . LIR 靠发展下线，比如帮别人注册 ASN 收取人工费 (赞助费) , 把 IP 段租出去收租金 … 提供技术服务等等方式来盈利 .

鸣谢 : @b350063 @shirakun 对本文进行校对 .

ASN 注册篇 (以 RIPE 为例) :

作为一个 PLAYER 你不可能一下子拿一堆资源，必然是成为 LIR 的下线.
很多人关心的是如何申请这个 ASN 要交什么资料，你就记住一件事情，准备好护照，没的人去出入境中心申请个白本。如果你有中国大陆 & 香港的驾照也可以作为身份证明，关键要自带中英双语的证件.
企业用户复印好营业执照正本，RIPE 会自己翻译。其它你根本不用研究，根据 LIR 的要求操作.
应该关心的是：如果你的上游 LIR 跑路了，之后你的 ASN 会被注销掉么？
答案是：会的。上游跑路后 RIPE 会通知你，会给你几个月的时间去找新的 LIR 续命 .
所以不必担心自己的一切努力会付之东流… 无非就是再话点小钱，赞助另外一个 LIR, 通常收费比新注册低一点…
不过大多数成为 LIR 的人都是有实力的 …2-3 年跑不了路，之后说不定地球已经毁灭了… 别想那么多…
这里推荐一个英文讲的很好的波兰人 TG 上 @mmnetworks .
那么你强烈要求来个讲中文的，选择可以有很多比如 @moesoha 或者 @aveline.

那么有些同学一定要搞清楚这个 ASN 注册的大致流程 .
请参考已经去世的某人:
https://web.archive.org/web/20190227042014/https://www.ykhut.com/archives/72/
你所需要做的就是自己在 RIPE 创个号，把你的个人或公司信息登记在 RIPE 的数据库里 .
每一个项目都会创建成一个独一无二命名的 object .
之后你的 LIR 就把你填的资料，以及护照或营业执照扫描件一起发给 RIPE 审核即可 .
唯一值得一提的就是这个 abuse 和 tech 邮箱的问题，请务必使用自己的域名邮箱！
大多数 IDC/ISP 在验证你身份的时候是不支持 gmail qq 这种公共邮箱的 .
APNIC 和 RIPE 还会半年发送验证信到你的 abuse 邮箱验证可用性。所以请确保可用.

IP 段租赁篇 :

IP 段这种东西当然也有买断的，除非你想做这个行业 114 年 …
那么说一下租赁流程 :
首先你问 LIR 或者是三道贩子租来的 IP 都需要和刚才个人身份一样，在 RIPE 或者 APNIC 的数据库里创建一点东西 ..
APNIC 的 IP 可以随便广播到全地球 …RIPE 按照规定是不能超出欧洲，但是好像大多数人都不遵守的样子 – -…
那么作为卖给你 IP 的人，他们要把一个叫 “inetnum” 的 object 修改成你的信息 …
并添加一个叫 “route” 的 object 写上这个 IP 段和你的 ASN .
IPv6 的话这 2 个 object 的名字后面要加个 6 : “inet6num”,”route6″.
最后还有一个叫 RPKI 的东西简单理解为就是 publickey 和 privatekey 要配个对，租 IP 的时候表示自己需要 RPKI 即可.
RPKI 中文详解 : https://rpki.tw/ 用途就是防止别人盗用本来应该属于你的 IP 广播出去..

给 IP 安家篇:

找个地方把 IP 段拨出去，最简单的地方就 2 个 Vultr 和 HE 的 BGP Tunnel Broker .

Vultr :
https://www.vultr.com/features/bgp/
新手宝地 Vultr 的话是完全免费的啦 .
这个时候上一下 AFF 链接，免费领取 100 刀测试金 https://www.vultr.com/?ref=8439677-6G
有效期一个月，对于新人 BGP PLAYER 来说，第一个月烧掉 50 刀以上的概率非常大 …
注册完成后以最快的速度去申请 BGP 许可:
https://my.vultr.com/bgp/setup/
LOA 授权书模板 : https://www.vultr.com/docs/example-letter-of-authorization-for-bgp-announcements

那么这里：有些人甚至可以选择不注册 ASN 让租给你 IP 的商家代为广播你的 IP.
注册好 ASN 的人选 YES .
然后无脑选 Full Table 虽然现在用不到，技术进步后会用到的 .

Vultr 的 BGP 是免费的，自己付 VPS 的钱即可 .

HE TunnelBroker BGP Tunnel :
回顾一下 2017 年 : https://www.91yunbbs.com/discussion/549
我们利用 HE 自带的 6to4 隧道即可做到一分钱不花，愉快的那啥 …
But 2 年的时间里，出现了 2 个大问题 :
1 这个明文的隧道已经被彻底阻断了.
2 Tunnel Broker 亚洲的 IP 段全被运营商批判 X 次，绕路处理了…

那么 2020 年了.. 这个玩意还有使用价值么？
当然有，我们甚至可以用它来解锁部分支持 IPV6 的 OTT 平台 .
那么隧道你总归的找个地方安个家咯… 那就弄台香港的 VPS 在这上面打个隧道到 HE 即可 …
有同学问到：上一期的时候不是这个隧道直接做在自己的路由器上的么 – -?
现在网线被剪断了，得弄台 VPS 过个桥 – – 就这么理解吧 ..

建立 BGP 隧道:
Tunnelbroker 的账号改成你 ASN 所对应的 tech 或者 abuse 的邮箱会方便你后续验证.
https://tunnelbroker.net/new_tunnel.php?type=bgp

IPv4 Endpoint : 你香港 VPS 的 IP , 最好是静态独立 IP 的那种.
Prefixes announced: /48 或者更大的 IP 段给他一个 – –
服务器：一般你要接回中国大陆的话选最下面那个地方 ..

Create BGP Tunnel 后，把刚才 Vultr 的 LOA 模板里 Vultr 字样改成 HURRICANE ELECTRIC LLC . AS6939 .
通过你的 tech 或者 abuse 邮箱把 LOA 发到 [email protected] . 预计 1-2 天就帮你建好了.
然后 HE 的工程师是通过目测来判断你是否是这个 IP 段的主人 … Looks Fantastic ~ 审核通过 (逃～

自由 HIGH 篇 :

那么准备工作好了之后，接下来如何广播自己的 IP , 绝大多数的新手教程用的都是 Bird 或者 FRR….
但是这些对于新手来说都太难了 … 所谓的 BGP PLAYER 就得把 BGP 当中游戏一样玩 …
那么 BGP 就得有一个操控界面 … 让新手还没完就劈里啪啦用命令行，那就不够 Fun and Joy 了..

于是我们第一件事情就把 VPS 刷成 Mikrotik RouterOS CHR .
通过 Winbox 连进去，图形化界面操作 BGP ! 以下先以 Vultr 为例 ipv4 和 ipv6 操作完全一致.

先进 /routing filters 做好不漏路由的工作 .
Chain : 起个名字，比如 VULTR-IN . Action : discard .
复制一下这条 Chain , 改名为 VULTR-OUT , 同样也是 Action : discard.
继续来一条叫做 VULTR-OUT 的 Chain , 下面 Prefix 写你的 IP 段，Action : accept .
然后注意把 accept 这条拖动到 discard 的上方. Filter 是从上到下执行的，所以先要允许路由器把你的段发给上游，其它的全部拦在家里.

安全工作搞好之后就可以创建 BGP daemon 了 .

新建一个 Instances :

NAME : 自己起一个
AS : 你的 AS
Router ID : 只不过是个名字，通常用路由器公网 IP 来写比较好.
Out Filter : 选刚才建好的 VULTR-OUT.

到 Networks 选项卡 :

Net bgp network : 自己要广播的 IP

之后就可以愉快的 Peer 了～

新建一个 BGP Peer:

NAME : 依然自己起一个比如 conn-to-vultr
Instance: 刚才创建的那个
Remote Address : 上游发给你建立 Peer 专用的地址
Remote AS : 同样参照上游发给你的
TCP MD5 Key : 你在申请 Vultr 开通 BGP 时填的 BGP Password . 留空就不需要填.
Multihop : 上游如果告诉你 maxhop 是 2 以上的这里需要打勾.
In Filter : VULTR-IN
OUT Filter : VULTR-OUT

看到 State 这里变成 : established 说明你 Peers 选项卡这里没填错东西，其它情况的话都说明没成功.
再到 Advertisement 选项卡看看你的 IP 有没有被 ROS 播出去… 当然这只不过是你自己有没有播出去，上游路由器到底收不收还要看脸.
比如你的路由里带了 community 属性导致上游不收，或者你这个 IP 段不在上游的白名单内 .

关于 Filter 补充说明 :
Chain 这个东西你就当他 “一带一路” . 用来设定 Filter 执行的先后顺序 .
In Filter : 收路由表的过滤器。本文中我们选择不收，收来你也玩不来，只能仍垃圾桶里.
Out Filter : 就是你把路由表发给上游的过滤器，我们要做到严防死守一点都不漏出去，只给需要广播的 IP 段放行.

HE.net 同样也是非常简单，多了一步在开始前先建个 6to4 隧道.
在你的 Tunnel Details 页面，选 Example Configurations , 型号选 Mikrotik .

复制黏贴到你的终端里 . 6to4 隧道就建好了.
BGP Details 里，直接用他给的 Ipv6 Peer Address 经过刚才你起的那个隧道来建立 BGP 邻居关系.
那么一切都搞好之后这个 IPv6 的段依然在 VPS 上 .
有些缺乏关爱的同学表示：我至今没用到这个 IPv6 段！

最后，终于轮到 Country Road Take Me Home 的操作了！

(把这个段同以前 Regular Tunnel 那样放到自己的路由器上面用.)
首先你可以用 114514 种方式打通大陆和国外 VPS 的隧道，你们很擅长做这个我知道的…

Mikrotik MTCRE 路由工程师里面有个考试项目叫做 IPv6 over IPv4 GRE Tunnels .
非常好理解，就是用 IPV4 起好隧道，然后给这个隧道的 2 头分配 IPv6 段 .
无论你正在广播 /44 还是 /48 IP 段，先从这个段里分配出一个 /64 的 IP 段
(这里你可以用一个 Private IP 段，并不一定要从公网 IP 段里划分。不过这样能显得你 IP 很多…).

Examples :
Home : 2b0e:b100:4f2:2::2/64
VPS : 2b0e:b100:4f2:2::1/64
互 Ping 一下，通了就行..

划分一个 /64 的 IP 段用来映射 (Bring your ip to home)

海外 VPS 上到 /ipv6 routes 添加一条 :

Dst.Address : 2b0e:b100:4f2:233::/64 (新划分的 IPv6 段)
Gateway : 2b0e:b100:4f2:2::2 隧道对端 (Home) 的 IP
Distance: 1

Home 的路由器上到 /ipv6 routes 添加一条:

Dst.Address : 2000::/3
Gateway : 2b0e:b100:4f2:2::1 隧道对端 (VPS) 的 IP

意图是把 Ipv6 公网 Dst 地址都通过隧道对端发出去 ..

最后在自己路由 LAN 口或者 LAN 桥接上添加刚才那个 2b0e:b100:4f2:233::/64

你可以选择 Advertise , 这样就一把梭哈自动下发这个 IP 段到设备了.
记得把你 Windows 网卡 IPV6 优先级调到高于 IPV4 …IPV6 DNS 用 ::1 , 也就是依然用 IPV4 的 DNS 来解析 AAAA 记录..
这里本菜鸡表示根本不懂 IPv6 , 完全是用映射 IPv4 地址的方式 Take IPv6 home 的.

最后是你们要的效果图:

于是一篇完全不讲原理，只有操作的 BGP Player 速成班教学就完成了～

你还需要恶补大量的基础知识～

Advanced BGP Filtering :
https://youtu.be/EWVIRE0lSew
https://mum.mikrotik.com/presentations/HR13/maia.pdf

Peering with RouterOS in the IX :
https://youtu.be/CoFcvqGI7Dw

前些日子提到的 Router BGP 实验教程:
https://youtu.be/sQTAteMLA9w
https://youtu.be/oHK4EJhLvME

第一个视频请配合如同圣经一般的 PDF 讲义 …
这个巴西人的演讲绝对是 Mikrotik MUM 有史以来最精彩的 (这是 2013 年的视频。看了 Mikrotik MUM 几乎所有的演讲，跟他比都太水了…) !
以上视频看完，BGP Filtering 到底是怎么一回事情.. 就明白 9 成了.
只要搞清楚 IN and OUT Filter 怎么玩，BGP 基本就成功入门了.

余松大神的 RouterOS 入门到精通 + 这个讲义看完 .
比花个 5K 在外面上 CCNA-CCNP 速成班效果好不知道多少了…
看了上述视频明白了 9 成，还有 10% 没有理解。那说明是理论知识上有缺失。那么就有必要学习一下正统派教材 :
https://space.bilibili.com/301363652

使用 Bird & Mikrotik CHR 来宣告 IP 是每一个 BGP PLAYER 的必修课. FRR 和 CISCO IOS 选修…
Bird 的使用方法和配置参考官方手册即可:
https://gitlab.labs.nic.cz/labs/bird/wikis/home
认真学玩之后就不会为国争光 Leaking Route EveryWhere 了 – -!! 所以 ASN 赶快申请起来…Delay No More ~