{"id":18713,"date":"2021-08-04T18:00:00","date_gmt":"2021-08-04T18:00:00","guid":{"rendered":"https:\/\/made4it.com.br\/blog\/blackhole-bgp-huawei-huawei-ne20-huawei-ne40-huawei-ne8000-ne8k\/"},"modified":"2026-06-29T19:40:41","modified_gmt":"2026-06-29T19:40:41","slug":"blackhole-bgp-huawei-huawei-ne20-huawei-ne40-huawei-ne8000-ne8k","status":"publish","type":"post","link":"https:\/\/made4it.com.br\/es\/blog\/blackhole-bgp-huawei-huawei-ne20-huawei-ne40-huawei-ne8000-ne8k\/","title":{"rendered":"Blackhole BGP \u2013 Huawei (Huawei NE20, Huawei NE40, Huawei NE8000\/NE8k)"},"content":{"rendered":"\n

Ahora que sabe qu\u00e9 es un blackhole<\/strong> BGP<\/strong> (si a\u00fan no lo sabe, consulte nuestro art\u00edculo sobre RTBH – Blackhole).<\/a> Ahora toca configurarlo y poder protegerte de los ataques DDoS. <\/p>\n\n

Para resumir el Blackhole, es una t\u00e9cnica de enviar una ruta al \u201cagujero negro\u201d o simplemente hacer que el router descarte paquetes dirigidos a esa IP.<\/strong> Con el blackhole tambi\u00e9n puede anunciar estas IP atacadas a sus proveedores\/ascendentes y as\u00ed detener los ataques. <\/p>\n\n

Ahora que ya s\u00e9 en qu\u00e9 consiste, surge la pregunta: \u00bfc\u00f3mo se configura Blackhole en mi router? En el art\u00edculo de hoy le mostraremos c\u00f3mo configurar Blackhole en routers Huawei.<\/strong> <\/p>\n\n

Para hacer el Blackhole manualmente tenemos unos pasos que son:<\/strong><\/p>\n\n

    \n
  1. Identificar la IP atacada<\/li>\n\n\n\n
  2. Crear ruta al blackhole<\/li>\n\n\n\n
  3. Anuncie esta ruta de agujero negro a trav\u00e9s de BGP a sus operadores\/ascendentes<\/li>\n<\/ol>\n\n

    Puedes automatizar todo esto con Made4Flow<\/a>, ya cerrando una sesi\u00f3n directa y sin tener que hacer trabajo manual.<\/p>\n\n

    Si desea saber c\u00f3mo automatizar todo con Made4Flow, consulte nuestro pr\u00f3ximo art\u00edculo.<\/p>\n\n

    Vamos a la configuraci\u00f3n entonces<\/p>\n\n

    1 \u2013 Identificar la IP atacada<\/strong><\/p>\n\n

    Puede hacerlo mediante el an\u00e1lisis de Netflow, con Made4Flow, a trav\u00e9s de los gr\u00e1ficos, e identificar, mediante el Informe de datos brutos, qu\u00e9 direcci\u00f3n IP presenta un mayor tr\u00e1fico y podr\u00eda ser la v\u00edctima del ataque.Dentro de Made4Flow, acceda, por ejemplo, al gr\u00e1fico de interfaz por aplicaci\u00f3n y, a continuaci\u00f3n, al hacer clic en el puerto m\u00e1s utilizado, podr\u00e1 identificar qu\u00e9 direcci\u00f3n IP est\u00e1 siendo atacada.<\/p>\n\n

    O a trav\u00e9s de Made4Flow, simplemente accediendo al m\u00f3dulo Anti-DDoS -> Anomal\u00edas Activas<\/p>\n\n

    \"\"<\/a><\/figure>\n\n

    La IP atacada fue: 200.189.56.55 (Ejemplo)<\/p>\n\n

    2) Cree una ruta a blackhole o Null0<\/strong><\/p>\n\n

    Despu\u00e9s de identificar la IP atacada a trav\u00e9s de Made4Flow, ahora es el momento de crear la ruta en su enrutador Huawei para reproducir efectivamente la IP en Blackhole.<\/p>\n\n

    Supongamos que la IP atacada es 200.200.200.1, creemos la ruta de la siguiente manera<\/p>\n\n

    \"\"<\/a><\/figure>\n\n

    Comandos aplicados:<\/p>\n\n

    system-viewip route-static 200.200.200.1 32 null 0<\/p>\n\n

    \u00a1Despu\u00e9s de aplicar la ruta que apunta a Null0, esta IP DEJAR\u00c1 DE FUNCIONAR!<\/strong><\/p>\n\n

    Puede comprobar la ruta utilizando el comando de visualizaci\u00f3n:. Si la ruta se encuentra en la interfaz Null0, ya la est\u00e1 enviando a Blackhole.<\/p>\n\n

    \"\"<\/a><\/figure>\n\n

    3 – Anuncie la IP en blackhole a trav\u00e9s de BGP a sus operadores\/upstreams<\/strong><\/p>\n\n

    Despu\u00e9s de identificar y bloquear la ruta, debe anunciar a trav\u00e9s de BGP a sus operadores\/upstreams.<\/p>\n\n

    Antes de la configuraci\u00f3n, siempre se recomienda ponerse en contacto con su operador o proveedor de acceso para averiguar cu\u00e1l es la comunidad BGP de Blackhole.\u00a1La sesi\u00f3n BGP con su operador debe estar establecida!<\/p>\n\n

    Para esto, tenemos algunos pasos:<\/p>\n\n

      \n
    1. Crear la red dentro de BGP<\/li>\n<\/ol>\n\n

      Para crear debe acceder a BGP y crear con el comando de red<\/p>\n\n

      \"\"<\/a><\/figure>\n\n

      Comandos:<\/p>\n\n

      System-viewbgp 65000network 200.200.200.1 32<\/p>\n\n

        \n
      1. Configurar una lista de prefijos\/prefijos de ip con la IP atacada<\/li>\n<\/ol>\n\n

        Para configurar una pol\u00edtica de ruta de una manera sencilla para enviar una IP, debe crear un prefijo de IP para usar dentro de la Route-policy<\/p>\n\n

        En nuestro ejemplo, donde se ataca la IP 200.200.200.1\/32, usaremos el siguiente comando:<\/p>\n\n

        \"\"<\/a><\/figure>\n\n

        Comando: ip ip-prefix IP-ATACADO permit 200.200.200.1 32<\/p>\n\n

          \n
        1. Configure su Route-Policy para enviar el anuncio de IP atacado<\/li>\n<\/ol>\n\n

          Antes de configurar la pol\u00edtica de enrutamiento, debe identificar en qu\u00e9 nodo (secuencia) se ubicar\u00e1. Debe colocarla en una posici\u00f3n en la que no haya ninguna regla de denegaci\u00f3n anterior; como sugerencia, le recomiendo que la coloque en primer lugar en la pol\u00edtica de enrutamiento. <\/p>\n\n

          Para identificar el nombre correcto, mire su route-policy y eval\u00fae el n\u00famero, usando el comando:<\/p>\n\n

          \"\"<\/a><\/figure>\n\n

          Comando: display current-configuration configuration route-policy OPERADOR-XPTO-OUT<\/p>\n\n

          \"\"<\/a><\/figure>\n\n

          En nuestro caso ser\u00e1 el nodo con un n\u00famero inferior a 1000 el que se colocar\u00e1 antes que otras configuraciones. Se realiz\u00f3 la siguiente configuraci\u00f3n: Comandos:<\/p>\n\n

          route-policy OPERADORA-XPTO-OUT permit node 100if-match ip-prefix IP-ATACADOapply community 666:666<\/p>\n\n

          Los comandos if-match hacen que el enrutador de Huawei verifique el prefijo IP, lo que indica que solo las direcciones IP dentro de la lista de prefijos se anunciar\u00e1n a trav\u00e9s de BGP. En el comando apply community, dice aplicar la comunidad BGP a las IP que coincidieron con el prefijo ip. <\/p>\n\n

          Nuestro operador XPTO utiliza BGP 666:666 de la comunidad para enviar tr\u00e1fico a Blackhole<\/p>\n\n

          Sugerencia<\/strong>: \u00a1Hable con su operador para averiguar qu\u00e9 comunidad de agujero negro BGP utilizan!<\/p>\n\n

          Una vez hecho esto, la IP quedar\u00e1 en \u00abblackhole\u00bb y se notificar\u00e1 a su operador; el ataque cesar\u00e1 si se dirige \u00fanicamente a esta IP.La configuraci\u00f3n completa qued\u00f3 de la siguiente manera:<\/p>\n\n

          bgp 65000#ipv4-family unicastundo synchronizationnetwork 200.200.200.0 255.255.252.0network 200.200.200.1 255.255.255.255#route-policy OPERADORA-XPTO-OUT permit node 100if-match ip-prefix IP-ATACADOapply community 666:666#route-policy OPERADORA-XPTO-OUT permit node 1000 if-match ip-prefix MI-BLOQUE#route-policy OPERADORA-XPTO-OUT deny node 50000#ip ip-prefix MI-BLOQUE index 10 permit 200.200.200.0 22ip ip-prefix IP-ATACADO index 10 permit 200.200.200.1 32#ip route-static 200.200.200.0 255.255.252.0 NULL0ip route-static 200.200.200.1 255.255.255.255 NULL0<\/p>\n\n

          Automatizando con Made4Flow<\/strong><\/p>\n\n

          Con Made4Flow es posible automatizar el proceso de notificaci\u00f3n a Blackhole de las direcciones IP atacadas.Para ello necesitamos:<\/p>\n\n