环境是3台Juniper路由器，两台在香港hkg1-wan[1-2]，一台在北京pek1-mx104-1。
topology：
|pek1-mx104-1 AS38361|--------- |AS 6623 hkg1-wan1 -------------hkg1-wan2 | ---------------| AS 10026 Pacnet router|
思路：
香港那边的公网出口，它在另外一个公网AS number，肯定是全部的公网路由全学过来了，真正的Internet, 那既然已经学过来了，我们要做的就是明确的去标记这些在大陆被禁的路由，然后export给北京的router, 那么在匹配流量定义行为的时候，就是匹配住被禁止的，然后定义一个打标签的行为，这个打标签将通过community:community-value的方式实现，当你的另一个跟大陆AS相连的router向大陆export的时候，使用community列表标记出这些路由，然后特定的向大陆做export。
关于community-value的应用可以参考这个链接，来自Cisco
http://www.cisco.com/c/en/us/support/docs/ip/border-gateway-protocol-bgp/28784-bgp-community.html , 讲的炒鸡棒有木有。
香港的hkg1-wan2 是香港的公网出口，它能学到完整的公网路由，因为它和Pacnet建立的是”全穿透”的BGP邻居，也就是真正的EBGP, 顺便吐槽国内运营商。
hkg1-wan2 上
as followings
[edit protocols bgp group pacnet]
[email protected]# show
type external;
import [ import_transit drop-cbs-routes tag-google-routes tag-bitbucket-routes default-accept ]; // 这个地方是个关键的点，学路由的时候，单独标出google和bitbucket家的路由
family inet {
unicast;
}
export default-reject;
peer-as 10026; //10026是太平洋电信的AS number
neighbor 202.147.17.121; //建邻居的点
[edit protocols bgp group pacnet]
[email protected]#
当然这些 import后面跟的东西都是 policy-statement, policy-statement 调用“匹配流量”和“定义行为”，“匹配流量”就是 from xxx, “定义行为”就是 then xxx。
那么问题来了，用什么匹配流量呢？尝试去匹配住一个被GFW屏蔽的网站，有很多办法，比如网址、IP地址、但是网址和IP地址都存在各自的短板，网址需要涉及解析，IP地址有可能会换，那么，有一个已经简便的办法是“匹配他家的公网AS number”, 因为这个AS number是基本不会变动的。
第一步：获取到他的AS number, 这个简单，在香港的router上ping 一下他家的网址，DNS指向香港当地ISP提供给你的DNS, 找到公网地址之后，再去http://bgp.he.net/ 这类的网站去看他家的AS number.
[email protected]# run ping inet www.google.com
PING www.google.com (74.125.239.50): 56 data bytes
64 bytes from 74.125.239.50: icmp_seq=0 ttl=56 time=153.932 ms
^C
--- www.google.com ping statistics ---
1 packets transmitted, 1 packets received, 0% packet loss
round-trip min/avg/max/stddev = 153.932/153.932/153.932/0.000 ms
然后在router上进行抓取流量，using as-path list
as followings
在 edit policy-options下
as-path google-as-path ".* 15169 .*";
as-path bitbucket-as-path ".* 2914 .*”;
然后调用到policy-statement 下，也是在edit policy-options下
policy-statement tag-bitbucket-routes {
from as-path bitbucket-as-path;
then {
community add CBSI_BITBUCKET;
}
}
policy-statement tag-google-routes {
from as-path google-as-path;
then {
community add CBSI_GOOGLE;
}
}
定义的行为就是打标，目的是在export给大陆的时候，明确的标示出这些流量，在edit policy-options下这么写
community CBSI_GOOGLE members 6623:6006;
community CBSI_BITBUCKET members 6623:6007;
然后把上面这些“tag”, 手动copy到和大陆AS相连的hkg1-wan1上。然后在export给大陆的时候用，as followings, 当然在export调用的时候，通常还是用policy-statement，所以再写两条policy-statement
hkg1-wan1上
在 edit policy-options 下
policy-statement export_bitbucket {
from community CBSI_BITBUCKET; //这个community 就是从
then accept;
}
policy-statement export_google {
from community CBSI_GOOGLE;
then accept;
}
然后调用到对大陆的那个BGP group, as followings
[edit protocols bgp group cbsi-china]
[email protected]# show
type external;
description "CBSI Beijing";
import [ import_cbsi_china default-accept ];
family inet {
unicast;
}
export [ export_local export_internal export_corp export_google export_bitbucket default-reject ];
peer-as 38361;
neighbor xxxxxx; // 博客园牛人太多，还是隐去公网IP的好
[edit protocols bgp group cbsi-china]
[email protected]#
这样北京的router在看Google和bitbucket的路由的时候，就可以看到明细的路由了，而不再像针对其他网站一样是走默认路由扔向联通出口，而是走移动专线通往香港机房。
在pek1-mx104-1上
[email protected]> ping inet www.google.com
PING www.google.com (216.58.221.132): 56 data bytes
64 bytes from 216.58.221.132: icmp_seq=0 ttl=56 time=60.459 ms
^C
--- www.google.com ping statistics ---
1 packets transmitted, 1 packets received, 0% packet loss
round-trip min/avg/max/stddev = 60.459/60.459/60.459/0.000 ms
[email protected]> show route 216.58.221.132
inet.0: 18985 destinations, 27621 routes (18985 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both
216.58.221.0/24 *[BGP/170] 5w3d 11:02:35, localpref 100
AS path: 6623 10026 15169 I, validation-state: unverified //
看这个地方，AS path会被更改为，先到6623的香港AS, 再到太平洋电信的10026，再到谷歌家的15169，最后的标示是origin code I 。
> to 216.239.126.244 via ge-0/1/0.0
[email protected]>
对比去往其他网站, 如163.com
[email protected]> ping www.163.com
PING 163.xdwscache.glb0.lxdns.com (111.202.60.47): 56 data bytes
^C
--- 163.xdwscache.glb0.lxdns.com ping statistics ---
1 packets transmitted, 0 packets received, 100% packet loss
[email protected]> show route 111.202.60.47
inet.0: 18900 destinations, 27536 routes (18900 active, 0 holddown, 0 hidden)
+ = Active Route, - = Last Active, * = Both
0.0.0.0/0 *[BGP/170] 17w5d 09:33:12, MED 0, localpref 100, from 172.22.22.19
AS path: I, validation-state: unverified
> to xxxxxxxx via xe-1/1/0.0 // 此处是联通的公网IP, 也隐去好了
去163.com就是从默认路由去联通。
然后就可以在北京开心的上google和bitbucket了。