Configuración del protocolo de gateway fronterizo ASA
Contenido
Introducción
Este documento describe los pasos necesarios para habilitar el ruteo del Protocolo de gateway fronterizo (BGP) (eBGP/iBGP) y otros problemas.
Prerequisites
Requirements
Cisco recomienda que tenga conocimiento sobre estos temas:
- Protocolos de enrutamiento dinámico
- Descripción General del BGP de Cisco
- Casos Prácticos de BGP
Componentes Utilizados
Este documento se basa en el firewall Cisco Firepower serie 2100 que ejecuta la versión 9.16 del software Cisco ASA
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Antecedentes
Este documento también trata sobre cómo establecer un proceso de ruteo BGP, configurar los parámetros generales de BGP, el filtrado de rutas en un Adaptive Security Appliance (ASA) y resolver problemas relacionados con la vecindad. Esta función se introdujo en la versión 9.2.1 del software ASA.
Directrices y limitaciones
- BGP es compatible tanto en modo único como en modo múltiple con la familia de direcciones IPv4 e IPv6.
- El modo múltiple es equivalente a la familia de direcciones VPNv4 (VRF) de Cisco IOS® BGP. Por router de contexto, BGP es similar a por familia de direcciones IPv4 VRF en Cisco IOS.
- Solo se admite un número de sistema autónomo (AS) para todos los contextos similares a un AS global para todas las familias de direcciones en Cisco IOS.
-
No admite el modo de firewall transparente. BGP sólo se soporta en el modo ruteado.
-
El sistema no agrega entradas de ruta para la dirección IP recibida a través de PPPoE en la tabla de rutas de CP. BGP siempre busca en la tabla de ruta CP para iniciar la sesión TCP, por lo tanto BGP no forma una sesión TCP. Por lo tanto, no se soporta BGP sobre PPPoE.
-
Para evitar las inestabilidad de adyacencia debido a las actualizaciones de ruta que se descartan si la actualización de ruta es mayor que la MTU mínima en el link, asegúrese de configurar la misma MTU en las interfaces en ambos lados del link.
-
La tabla BGP de la unidad miembro no está sincronizada con la tabla de la unidad de control. Sólo su tabla de ruteo está sincronizada con la tabla de ruteo de la unidad de control.
- El número AS se puede configurar con el uso del comando router bgp <as_num> que se puede utilizar para habilitar la familia de direcciones por contexto.
- BGP tiene seis procesos que soportan todos los contextos, y los detalles están disponibles con el comando show process. Estos procesos son Tarea BGP, BGP Scheduler, Escáner BGP, Router BGP, E/S BGP y Evento BGP.
ASA-1(config)# show proc | in BGP
Mwe 0x00000000010120d0 0x00007ffecc8ca5c8 0x0000000006136380
0 0x00007ffecc8c27c0 29432/32768 BGP Task
Mwe 0x0000000000fb3acd 0x00007ffecba47b48 0x0000000006136380
11 0x00007ffecba3fd00 31888/32768 BGP Scheduler
Lwe 0x0000000000fd3e40 0x00007ffecd3373e8 0x0000000006136380
26 0x00007ffecd32f5f0 30024/32768 BGP Scanner
Mwe 0x0000000000fd70b9 0x00007ffecd378cd8 0x0000000006136380
10 0x00007ffecd370eb0 28248/32768 BGP Router
Mwe 0x0000000000fc9f84 0x00007ffecd32f3e8 0x0000000006136380
2 0x00007ffecd3275a0 30328/32768 BGP I/O
Mwe 0x000000000100c125 0x00007ffecd33f458 0x0000000006136380
0 0x00007ffecd337640 32032/32768 BGP Event - El contexto del sistema tiene configuraciones globales comunes a todos los contextos similares a Cisco IOS que tiene configuraciones globales para todas las familias de direcciones.
- Las configuraciones que tienen control sobre el cálculo de la mejor trayectoria, el vecino de registro, la detección de la Unidad de Transición Máxima (MTU) de la trayectoria TCP, los temporizadores globales para keepalive, el tiempo de espera, etc. están disponibles en el contexto del sistema bajo el modo de comando BGP del router.
- El soporte del comando de política BGP se encuentra en el contexto de modo de familia de direcciones por usuario.
- Se admiten todas las comunidades estándar y los atributos de ruta.
- El agujero negro activado remotamente (RTBH) es compatible con la configuración de ruta null0 estática.
- La información del salto siguiente se ha agregado a la tabla de ruteo de entrada en el procesador de red (NP). Anteriormente esto estaba disponible solamente en la tabla de ruteo de salida. Este cambio se completó para soportar la adición de rutas BGP en las tablas de reenvío NP (dado que las rutas BGP no tienen una interfaz de egreso identificada en el CP, no hay manera de determinar con qué tabla de ruteo de salida actualizar la información de salto siguiente).
- Se admite la búsqueda recursiva de rutas.
- Se admite la redistribución con otros protocolos como, por ejemplo, conectado, estático, protocolo de información de enrutamiento (RIP), ruta de acceso más corta primero (OSPF) y protocolo de enrutamiento de gateway interior mejorado (EIGRP).
- El comando no router bgp <as_no> [with confirmation prompt] elimina las configuraciones BGP en todos los contextos.
- Las bases de datos de control de rutas como route-maps, access-list, prefix lists, community lists y as-path access lists se virtualizan y se proporcionan por contexto.
- Se introduce un nuevo comando, show asp table routing address <addr> para mostrar las rutas BGP resueltas recursivamente en la tabla de reenvío NP.
- Un nuevo comando, show bgp system-config, se introduce en el modo múltiple para mostrar las configuraciones BGP del contexto del sistema.
-
Compatibilidad con interfaz de loopback para tráfico BGP
-
Compatibilidad de BGP con IPv6
-
Soporte BGP para los mapas anunciados
-
Soporte BGP para agrupamiento ASA
-
Graceful Restart es compatible con IPv6
Uso de memoria y BGP
El comando show route summary se utiliza para obtener el uso de memoria de los protocolos de ruteo individuales.
BGP y Failover
- BGP es compatible con las configuraciones Active/Standby y Active/Active HA.
- Sólo la unidad activa escucha en el puerto TCP 179 las conexiones BGP de los pares.
- La unidad en espera no participa en el peering BGP y, por lo tanto, no escucha en el puerto TCP 179 y no mantiene las tablas BGP.
- Las adiciones y eliminaciones de rutas BGP se replican de la unidad activa a la unidad en espera.
- Tras la conmutación por fallas, la nueva unidad activa escucha en el puerto TCP 179 e inicia el establecimiento de adyacencia BGP con los pares.
- Sin Nonstop Forwarding (NSF), el establecimiento de adyacencia toma tiempo con el peer nuevamente después de la conmutación por fallas, dentro del cual las rutas BGP no se aprenden del peer. Esto depende de la siguiente señal de mantenimiento de BGP (valor predeterminado 60 segundos) del par para el cual el ASA responde con la restauración (RST), lo que conduce a una terminación de conexión antigua en el extremo del par y, posteriormente, se establece una nueva conexión siguiente.
- Durante el período de reconvergencia BGP, la nueva unidad activa continúa reenviando tráfico con las rutas replicadas anteriormente.
- El período del temporizador de reconvergencia BGP actualmente está configurado en 210 segundos (el comando show route failover muestra el valor del temporizador) para dar tiempo suficiente al BGP para establecer adyacencias e intercambiar rutas con sus pares.
- Una vez que vence el temporizador de reconvergencia BGP, todas las rutas BGP obsoletas se purgan de la Base de información de routing (RIB).
- El ID de router BGP se sincroniza de la unidad activa a la unidad en espera. El cálculo de ID del router BGP está desactivado en la unidad en espera.
- El comando write standby está fuertemente desaconsejado ya que la sincronización masiva no ocurre en ese caso, lo que lleva a la pérdida de rutas dinámicas en el standby.
Resolución de ruta recursiva
- La información de la interfaz de egreso para las rutas BGP no está disponible en el CP (una consecuencia directa del hecho de que los vecinos BGP pueden estar a varios saltos de distancia a diferencia de otros protocolos de ruteo).
- Las rutas BGP con la información de salto siguiente se agregan a la tabla de ruteo de entrada NP, pero aún no se han resuelto.
- Cuando el primer paquete de un flujo que coincide con un prefijo de ruta BGP ingresa al ASA en la trayectoria lenta, la ruta se resuelve y la interfaz de egreso se determina recursivamente que busca la tabla de ruteo de entrada NP.
- Siempre que cambia la tabla de ruteo (desde el CP), se incrementa una marca de tiempo de la tabla de ruteo específica del contexto.
- Cuando el siguiente paquete de un flujo que coincide con una ruta BGP ingresa al ASA en la trayectoria rápida, el ASA compara la marca de tiempo de la entrada de la ruta con la marca de tiempo de la tabla de ruteo específica del contexto. Si las dos marcas de tiempo no coinciden, el proceso de resolución de ruta recursiva se inicia nuevamente y la marca de tiempo de entrada de ruta se actualiza para que sea la misma que la marca de tiempo de la tabla de ruteo. Puede verificar las marcas de tiempo con el comando show asp table routing. El comando show asp table routing address <route> muestra la marca de tiempo de una entrada de ruta determinada y el comando show asp table routing muestra la marca de tiempo de la tabla de ruteo.
- El proceso de resolución de ruta recursiva para un prefijo de destino se puede forzar cuando ingresa el comando show asp table routing address <addr>.
- La profundidad de las búsquedas de rutas recursivas actualmente está restringida a cuatro. Los paquetes que requieren búsqueda después de cuatro se descartan con la razón de descarte "No route to host (no-route)" y no hay razón de descarte especial para la falla de búsqueda recursiva.
- La resolución de ruta recursiva sólo se admite para rutas BGP (no rutas estáticas).
Funcionamiento de la Máquina de Estado Finito BGP
Los peers BGP atraviesan varios estados antes de convertirse en vecinos adyacentes e intercambian información de ruteo. En cada uno de los estados, los pares deben enviar y recibir mensajes, procesar datos de mensajes e inicializar recursos antes de pasar al siguiente estado. Este proceso se conoce como máquina de estado finito (FSM) BGP. Si el proceso falla en algún momento, la sesión se interrumpe y los pares vuelven al estado Inactivo y comienzan el proceso de nuevo. Cada vez que se interrumpe una sesión, todas las rutas del par que no está activo se eliminan de las tablas, lo que causa tiempo de inactividad.
- IDLE - ASA busca en la tabla de ruteo para ver si existe una ruta para alcanzar al vecino.
- CONNECT - ASA encontró una ruta al vecino y completó el intercambio de señales TCP de tres vías.
- ACTIVO: ASA no ha recibido ningún acuerdo sobre los parámetros del establecimiento.
- OPEN SENT: se envía el mensaje Open, con parámetros para la sesión BGP.
- OPEN CONFIRM (CONFIRMACIÓN ABIERTA): ASA recibió un acuerdo sobre los parámetros para establecer una sesión.
- ESTABLISHED: se establece el modelo de iguales y comienza el routing.
Configurar
Configuración de eBGP
BGP se ejecuta entre routers en diferentes sistemas autónomos. De forma predeterminada, en eBGP (iguales en dos sistemas autónomos (AS) diferentes) IP TTL se establece en 1, lo que significa que se supone que los pares están conectados directamente. En este caso, cuando un paquete cruza un router, TTL se convierte en 0 y luego el paquete se pierde más allá de eso. En los casos en que los dos vecinos no estén conectados directamente (por ejemplo, peering con interfaces loopback o peering cuando los dispositivos están a varios saltos de distancia), debe agregar el comando neighbor x.x.x.x ebgp-multihop <TTL>. De lo contrario, no se puede establecer la vecindad BGP. Además, un peer eBGP anuncia todas las mejores rutas que conoce o que ha aprendido de sus peers (ya sea peer eBGP o peer iBGP), lo cual no es el caso de iBGP.
Diagrama de la red
Configuración de ASA-1
router bgp 100
bgp log-neighbor-changes
bgp bestpath compare-routerid
address-family ipv4 unicast
neighbor 203.0.113.2 remote-as 200
neighbor 203.0.113.2 activate
network 192.168.10.0 mask 255.255.255.0
network 172.16.20.0 mask 255.255.255.0
network 10.106.44.0 mask 255.255.255.0
no auto-summary
no synchronization
exit-address-family
!
Configuración de ASA-2
router bgp 200
bgp log-neighbor-changes
bgp bestpath compare-routerid
address-family ipv4 unicast
neighbor 203.0.113.1 remote-as 100
neighbor 203.0.113.1 activate
network 10.10.10.0 mask 255.255.255.0
network 10.180.10.0 mask 255.255.255.0
network 172.16.30.0 mask 255.255.255.0
no auto-summary
no synchronization
exit-address-family
!
Configuración de iBGP
En iBGP, no hay restricción de que los vecinos tengan que estar conectados directamente. Sin embargo, un peer iBGP no puede anunciar el prefijo que aprendió de un peer iBGP a otro peer iBGP. Esta restricción está ahí para evitar loops dentro del mismo AS. Para aclarar esto, cuando una ruta se pasa a un par eBGP, el número AS local se agrega al prefijo en el as-path, de modo que si recibimos el mismo paquete de vuelta que establece nuestro AS en el as-path, sabemos que es un loop y que el paquete se descarta. Sin embargo, cuando se anuncia una ruta a un peer iBGP, el número AS local no se agrega a as-path, ya que los peers están en el mismo AS.
Diagrama de la red
Configuración de ASA-1
router bgp 100
bgp log-neighbor-changes
bgp bestpath compare-routerid
address-family ipv4 unicast
neighbor 203.0.113.2 remote-as 100
neighbor 203.0.113.2 activate
network 192.168.10.0 mask 255.255.255.0
network 172.16.20.0 mask 255.255.255.0
network 10.106.44.0 mask 255.255.255.0
no auto-summary
no synchronization
exit-address-family
!
Configuración de ASA-2
router bgp 100
bgp log-neighbor-changes
bgp bestpath compare-routerid
address-family ipv4 unicast
neighbor 203.0.113.1 remote-as 100
neighbor 203.0.113.1 activate
network 10.10.10.0 mask 255.255.255.0
network 10.180.10.0 mask 255.255.255.0
network 172.16.30.0 mask 255.255.255.0
no auto-summary
no synchronization
exit-address-family
!
Diferencias entre eBGP e iBGP
- Los peers eBGP entre dos AS diferentes, mientras que iBGP está entre el mismo AS.
- Las rutas aprendidas de los pares eBGP se anuncian a otros pares (eBGP o iBGP). Sin embargo, las rutas aprendidas de un peer iBGP no se anuncian a otros peers iBGP.
- De forma predeterminada, los peers eBGP se configuran con TTL = 1, lo que significa que se supone que los vecinos están conectados directamente, lo que no sucede en el caso de iBGP. Para cambiar este comportamiento para eBGP, ingrese el comando neighbor x.x.x.x ebgp-multihop <TTL>. Multisalto es el término utilizado en eBGP solamente.
- Las rutas eBGP tienen una distancia administrativa de 20, mientras que iBGP es 200.
- El salto siguiente permanece sin cambios cuando la ruta se anuncia a un peer iBGP. Sin embargo, se cambia cuando se anuncia a un peer eBGP de forma predeterminada.
eBGP-Multihop
Un ASA con vecindad BGP con otro ASA que está a un salto de distancia. Para la vecindad, debe asegurarse de que tiene conectividad entre vecinos. Haga ping para confirmar la conectividad. Asegúrese de que el puerto TCP 179 esté permitido en ambas direcciones en los dispositivos intermedios.
Configuración de ASA-1
router bgp 100
bgp log-neighbor-changes
bgp bestpath compare-routerid
address-family ipv4 unicast
neighbor 198.51.100.1 remote-as 200
neighbor 198.51.100.1 ebgp-multihop 2
neighbor 198.51.100.1 activate
network 192.168.10.0 mask 255.255.255.0
network 10.106.44.0 mask 255.255.255.0
network 172.16.20.0 mask 255.255.255.0
no auto-summary
no synchronization
exit-address-family
!
Configuración de ASA-2
router bgp 200
bgp log-neighbor-changes
bgp bestpath compare-routerid
address-family ipv4 unicast
neighbor 203.0.113.1 remote-as 100
neighbor 203.0.113.1 ebgp-multihop 2
neighbor 203.0.113.1 activate
network 10.10.10.0 mask 255.255.255.0
network 10.180.10.0 mask 255.255.255.0
network 172.16.30.0 mask 255.255.255.0
no auto-summary
no synchronization
exit-address-family
!
BGP Route-Filtering
Con BGP puede controlar una actualización de ruteo que se envía y recibe. En este ejemplo, se bloquea una actualización de ruteo para el prefijo de red 172.16.30.0/24 que está detrás de ASA-2. Para el filtrado de rutas, sólo puede utilizar la ACL ESTÁNDAR.
access-list bgp-in line 1 standard deny 172.16.30.0 255.255.255.0
access-list bgp-in line 2 standard permit any4
router bgp 100
bgp log-neighbor-changes
bgp bestpath compare-routerid
address-family ipv4 unicast
neighbor 203.0.113.2 remote-as 200
neighbor 203.0.113.2 activate
network 192.168.10.0 mask 255.255.255.0
network 172.16.20.0 mask 255.255.255.0
network 10.106.44.0 mask 255.255.255.0
distribute-list bgp-in in
no auto-summary
no synchronization
exit-address-family
!
Verifique la tabla de ruteo.
ASA-1(config)# show bgp cidr-only
BGP table version is 6, local router ID is 203.0.113.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath
Origin codes: i - IGP, e - EGP, ? - incomplete
Network Next Hop Metric LocPrf Weight Path
*> 10.10.10.0/24 203.0.113.2 0 0 200 i
*> 10.106.44.0/24 0.0.0.0 0 32768 i
*> 10.180.10.0/24 203.0.113.2 0 0 200 i
*> 172.16.20.0/24 0.0.0.0 0 32768 i
*> 192.168.10.0/16 0.0.0.0 0 32768 i
Verifique el número de visitas de la lista de control de acceso (ACL).
ASA-1(config)# show access-list bgp-in
access-list bgp-in; 2 elements; name hash: 0x3f99de19
access-list bgp-in line 1 standard deny 172.16.30.0 255.255.255.0 (hitcnt=1) 0xb5abad25
access-list bgp-in line 2 standard permit any4 (hitcnt=4) 0x59d08160
De manera similar, puede utilizar una ACL para filtrar lo que se envía sin el comando distribute-list.
Configuración de ASA BGP en Multicontexto
BGP se soporta en el contexto múltiple. En el caso de multicontexto, primero debe definir el proceso del router BGP en el contexto del sistema. Si intenta crear un proceso BGP sin definirlo en el contexto del sistema, obtendrá este error.
ASA-1/admin(config)# router bgp 100
%BGP process cannot be created in non-system context
ERROR: Unable to create router process
First we Need to define it in system context.
ASA-1/admin(config)#changeto context system
ASA-1(config)# router bgp 100
ASA-1(config-router)#exit
Now create bgp process in admin context.
ASA-1(config)#changeto context admin
ASA-1/admin(config)# router bgp 100
ASA-1/admin(config-router)#
Verificación
Verificar Vecindad eBGP
Verifique la conexión TCP en el puerto 179.
ASA-1(config)# show asp table socket
Protocol Socket State Local Address Foreign Address
SSL 00001478 LISTEN 172.16.20.1:443 0.0.0.0:*
TCP 000035e8 LISTEN 203.0.113.1:179 0.0.0.0:*
TCP 00005cd8 ESTAB 203.0.113.1:44368 203.0.113.2:179
SSL 00006658 LISTEN 10.106.44.221:443 0.0.0.0:*
Mostrar los vecinos BGP.
ASA-1(config)# show bgp neighbors
BGP neighbor is 203.0.113.2, context single_vf, remote AS 200, external link >> eBGP
BGP version 4, remote router ID 203.0.113.2
BGP state = Established, up for 00:04:42
Last read 00:00:13, last write 00:00:17, hold time is 180, keepalive interval is
60 seconds
Neighbor sessions:
1 active, is not multisession capable (disabled)
Neighbor capabilities:
Route refresh: advertised and received(new)
Four-octets ASN Capability: advertised and received
Address family IPv4 Unicast: advertised and received
Multisession Capability:
Message statistics:
InQ depth is 0
OutQ depth is 0
Sent Rcvd
Opens: 1 1
Notifications: 0 0
Updates: 2 2
Keepalives: 5 5
Route Refresh: 0 0
Total: 8 8
Default minimum time between advertisement runs is 30 seconds
For address family: IPv4 Unicast
Session: 203.0.113.2
BGP table version 7, neighbor version 7/0
Output queue size : 0
Index 1
1 update-group member
Sent Rcvd
Prefix activity: ---- ----
Prefixes Current: 3 3 (Consumes 240 bytes)
Prefixes Total: 3 3
Implicit Withdraw: 0 0
Explicit Withdraw: 0 0
Used as bestpath: n/a 3
Used as multipath: n/a 0
Outbound Inbound
Local Policy Denied Prefixes: -------- -------
Bestpath from this peer: 3 n/a
Total: 3 0
Number of NLRIs in the update sent: max 3, min 0
Address tracking is enabled, the RIB does have a route to 203.0.113.2
Connections established 1; dropped 0
Last reset never
Transport(tcp) path-mtu-discovery is enabled
Graceful-Restart is disabled
Rutas BGP
Configuración de ASA-1
ASA-1(config)# show route bgp
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
Gateway of last resort is 10.106.44.1 to network 0.0.0.0
B 10.10.10.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48
B 10.180.10.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48
B 172.16.30.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48
Configuración de ASA-2
ASA-2# show route bgp
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
Gateway of last resort is not set
B 10.106.44.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32
B 172.16.20.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32
B 192.168.10.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32
Para ver las rutas para un ASA específico, ingrese el comando show route bgp <AS-No.>.
ASA-1(config)# show route bgp ?
exec mode commands/options:
100 Autonomous system number
| Output modifiers
<cr>
Detalle de ruta eBGP específico
ASA-1(config)# show route 172.16.30.0
Routing entry for 172.16.30.0 255.255.255.0
Known via "bgp 100", distance 20, metric 0
Tag 200, type external
Last update from 203.0.113.2 0:09:43 ago
Routing Descriptor Blocks:
* 203.0.113.2, from 203.0.113.2, 0:09:43 ago
Route metric is 0, traffic share count is 1
AS Hops 1-----------------------------------> ASA HOP is one
Route tag 200
MPLS label: no label string provided
ASA-1(config)# show bgp cidr-only
BGP table version is 7, local router ID is 203.0.113.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath
Origin codes: i - IGP, e - EGP, ? - incomplete
Network Next Hop Metric LocPrf Weight Path
*> 10.10.10.0/24 203.0.113.2 0 0 200 i
*> 10.106.44.0/24 0.0.0.0 0 32768 i
*> 10.180.10.0/24 203.0.113.2 0 0 200 i
*> 172.16.20.0/24 0.0.0.0 0 32768 i
*> 172.16.30.0/24 203.0.113.2 0 0 200 i
Resumen de BGP
ASA-1(config)# show bgp summary
BGP router identifier 203.0.113.1, local AS number 100
BGP table version is 7, main routing table version 7
6 network entries using 1200 bytes of memory
6 path entries using 480 bytes of memory
2/2 BGP path/bestpath attribute entries using 416 bytes of memory
1 BGP AS-PATH entries using 24 bytes of memory
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
BGP using 2120 total bytes of memory
BGP activity 6/0 prefixes, 6/0 paths, scan interval 60 secs
Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd
203.0.113.2 4 200 16 17 7 0 0 00:14:19 3
ASA-1(config)# show route summary
IP routing table maximum-paths is 3
Route Source Networks Subnets Replicates Overhead Memory (bytes)
connected 0 8 0 704 2304
static 2 5 0 616 2016
ospf 1 0 0 0 0 0
Intra-area: 0 Inter-area: 0 External-1: 0 External-2: 0
NSSA External-1: 0 NSSA External-2: 0
bgp 100 0 3 0 264 864
External: 3 Internal: 0 Local: 0
internal 7 3176
Total 9 16 0 1584 8360
Verificar Vecindad iBGP
ASA-1(config)# show bgp neighbors
BGP neighbor is 203.0.113.2, context single_vf, remote AS 100, internal link >> iBGP
BGP version 4, remote router ID 203.0.113.2
BGP state = Established, up for 00:02:19
Last read 00:00:13, last write 00:00:17, hold time is 180, keepalive interval is
60 seconds
Neighbor sessions:
1 active, is not multisession capable (disabled)
Neighbor capabilities:
Route refresh: advertised and received(new)
Four-octets ASN Capability: advertised and received
Address family IPv4 Unicast: advertised and received
Multisession Capability:
Message statistics:
InQ depth is 0
OutQ depth is 0
Sent Rcvd
Opens: 1 1
Notifications: 0 0
Updates: 2 2
Keepalives: 5 5
Route Refresh: 0 0
Total: 8 8
Default minimum time between advertisement runs is 30 seconds
For address family: IPv4 Unicast
Session: 203.0.113.2
BGP table version 7, neighbor version 7/0
Output queue size : 0
Index 1
1 update-group member
Sent Rcvd
Prefix activity: ---- ----
Prefixes Current: 3 3 (Consumes 240 bytes)
Prefixes Total: 3 3
Implicit Withdraw: 0 0
Explicit Withdraw: 0 0
Used as bestpath: n/a 3
Used as multipath: n/a 0
Outbound Inbound
Local Policy Denied Prefixes: -------- -------
Bestpath from this peer: 3 n/a
Total: 3 0
Number of NLRIs in the update sent: max 3, min 0
Address tracking is enabled, the RIB does have a route to 203.0.113.2
Connections established 1; dropped 0
Last reset never
Transport(tcp) path-mtu-discovery is enabled
Graceful-Restart is disabled
Detalle de ruta iBGP específico
ASA-1(config)# show route 172.16.30.0
Routing entry for 172.16.30.0 255.255.255.0
Known via "bgp 100", distance 20, metric 0, type internal
Last update from 203.0.113.2 0:07:05 ago
Routing Descriptor Blocks:
* 203.0.113.2, from 203.0.113.2, 0:07:05 ago
Route metric is 0, traffic share count is 1
AS Hops 0 -------------------->> ASA HOP is 0 as it's internal route
MPLS label: no label string provided
Valor TTL para paquetes BGP
De forma predeterminada, los vecinos BGP deben estar conectados directamente. Esto se debe a que el valor TTL para los paquetes BGP es siempre 1 (predeterminado). Por lo tanto, en caso de que un vecino BGP no esté conectado directamente, debe definir un valor de salto múltiple BGP que dependa de la cantidad de saltos que haya en la trayectoria.
Aquí hay un ejemplo de un caso de valor TTL de conexión directa:
ASA-1(config)#show cap bgp detail
5: 06:30:19.789769 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 70
203.0.113.1.44368 > 203.0.113.2.179: S [tcp sum ok] 3733850223:3733850223(0)
win 32768 <mss 1460,nop,nop,timestamp 15488246 0> (DF) [tos 0xc0] [ttl 1] (id 62822)
6: 06:30:19.792286 a0cf.5b5c.5060 6c41.6a1f.25e3 0x0800 Length: 58
203.0.113.22.179 > 203.0.113.1.44368: S [tcp sum ok] 1053711883:1053711883(0)
ack 3733850224 win 16384 <mss 1360> [tos 0xc0] [ttl 1] (id 44962)
7: 06:30:19.792302 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 54
203.0.113.1.44368 > 203.0.113.22.179: . [tcp sum ok] 3733850224:3733850224(0)
ack 1053711884 win 32768 (DF) [tos 0xc0] [ttl 1] (id 52918)
Si los vecinos no están conectados directamente, debe ingresar el comando bgp multihop para definir cuántos SALTOS debe tener un vecino para aumentar el valor TTL en el encabezado IP.
Aquí hay un ejemplo de un valor TTL en el caso de salto múltiple (en este caso el vecino BGP está a 1 SALTO de distancia):
ASA-1(config)#show cap bgp detail
5: 13:10:04.059963 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 70
203.0.113.1.63136 > 198.51.100.1.179: S [tcp sum ok] 979449598:979449598(0)
win 32768 <mss 1460,nop,nop,timestamp 8799571 0> (DF) [tos 0xc0] (ttl 2, id 62012)
6: 13:10:04.060681 a0cf.5b5c.5060 6c41.6a1f.25e3 0x0800 Length: 70 198.51.100.1.179 >
203.0.113.1.63136: S [tcp sum ok] 0:0(0) ack 979449599 win 32768 <mss 1460,nop,nop,
timestamp 6839704 8799571> (DF) [tos 0xac] [ttl 1] (id 60372)
7: 13:10:04.060696 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 66
203.0.113.1.63136 >198.51.100.1.179: . [tcp sum ok] 979449599:979449599(0) ack 1
win 32768 <nop,nop,timestamp 8799571 6839704> (DF) [tos 0xc0] (ttl 2, id 53699)
Proceso de resolución de ruta recursiva
ASA-1(config)# show asp table routing
route table timestamp: 66
in 255.255.255.255 255.255.255.255 identity
in 203.0.113.1 255.255.255.255 identity
in 203.0.113.254 255.255.255.255 via 10.13.14.4, outside
in 192.0.2.78 255.255.255.255 via 10.16.17.4, DMZ
in 192.168.0.1 255.255.255.255 identity
in 172.16.20.1 255.255.255.255 identity
in 10.106.44.190 255.255.255.255 identity
in 10.10.10.0 255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 66)
in 172.16.30.0 255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 64)
in 10.180.10.0 255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 65)
in 203.0.113.0 255.255.255.0 outside
in 172.16.10.0 255.255.255.0 via 10.13.14.4, outside
in 192.168.10.0 255.255.255.0 via 10.13.14.20, outside
in 192.168.20.0 255.255.255.0 via 10.16.17.4, DMZ
in 172.16.20.0 255.255.255.0 inside
in 10.106.44.0 255.255.255.0 management
in 192.168.0.0 255.255.0.0 DMZ
ASA BGP y Graceful Restart Capability
BGP support for nonstop forwarding We added support for BGP Nonstop Forwarding. We introduced the following new commands: bgp graceful-restart, neighbor ha-mode graceful-restart
Troubleshoot
- Después de la configuración, debe asegurarse de que ambos dispositivos tienen conectividad. Verifique la conectividad de ICMP y del puerto TCP 179.
- Si los peers BGP no están conectados directamente, asegúrese de tener configurado el multisalto eBGP.
- Si la conectividad es correcta, el socket TCP puede estar en el estado ESTAB en el resultado del comando show asp table socket.
ASA-1(config)# show asp table socket
Protocol Socket State Local Address Foreign Address
SSL 00001478 LISTEN 172.16.20.1:443 0.0.0.0:*
TCP 000035e8 LISTEN 203.0.113.1:179 0.0.0.0:*
TCP 00005cd8 ESTAB 203.0.113.1:44368 203.0.113.2:179
SSL 00006658 LISTEN 10.106.44.221:443 0.0.0.0:* - Después de un intercambio de señales de 3 vías, ambos peers intercambian mensajes BGP OPEN y negocian parámetros.
- Después del intercambio de parámetros, ambos peers intercambian información de ruteo con un mensaje BGP UPDATE.
%ASA-7-609001: Built local-host identity:203.0.113.1
%ASA-7-609001: Built local-host outside:203.0.113.2
%ASA-6-302013: Built outbound TCP connection 14 for outside:203.0.113.2/179
(203.0.113.2/179) to identity:203.0.113.1/43790 (203.0.113.1/43790)
%ASA-3-418018: neighbor 203.0.113.2 Up
Si la vecindad no se forma incluso después de un intercambio de señales TCP de 3 vías exitoso, el problema es con BGP FSM. Recopile una captura de paquetes y registros del sistema del ASA y verifique con qué estado tiene problemas.
Depurar
Ingrese el comando debug ip bgp para resolver problemas relacionados con la actualización de ruteo y vecindad.
ASA-1(config)# debug ip bgp ?
exec mode commands/options:
A.B.C.D BGP neighbor address
events BGP events
in BGP Inbound information
ipv4 Address family
keepalives BGP keepalives
out BGP Outbound information
range BGP dynamic range
rib-filter Next hop route watch filter events
updates BGP updates
<cr>
Ingrese el comando debug ip bgp events para resolver problemas relacionados con la vecindad.
BGP: 203.0.113.2 active went from Idle to Active
BGP: 203.0.113.2 open active, local address 203.0.113.1
BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Adding topology IPv4 Unicast:base
BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Send OPEN
BGP: 203.0.113.2 active went from Active to OpenSent
BGP: 203.0.113.2 active sending OPEN, version 4, my as: 100, holdtime 180 seconds,
ID cb007101
BGP: 203.0.113.2 active rcv message type 1, length (excl. header) 34
BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Receive OPEN
BGP: 203.0.113.2 active rcv OPEN, version 4, holdtime 180 seconds
BGP: 203.0.113.2 active rcv OPEN w/ OPTION parameter len: 24
BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 6
BGP: 203.0.113.2 active OPEN has CAPABILITY code: 1, length 4
BGP: 203.0.113.2 active OPEN has MP_EXT CAP for afi/safi: 1/1
BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 2
BGP: 203.0.113.2 active OPEN has CAPABILITY code: 128, length 0
BGP: 203.0.113.2 active OPEN has ROUTE-REFRESH capability(old) for all address-families
BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 2
BGP: 203.0.113.2 active OPEN has CAPABILITY code: 2, length 0
BGP: 203.0.113.2 active OPEN has ROUTE-REFRESH capability(new) for all address-families
BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 6
BGP: 203.0.113.2 active OPEN has CAPABILITY code: 65, length 4
BGP: 203.0.113.2 active OPEN has 4-byte ASN CAP for: 200
BGP: 203.0.113.2 active rcvd OPEN w/ remote AS 200, 4-byte remote AS 200
BGP: 203.0.113.2 active went from OpenSent to OpenConfirm
BGP: 203.0.113.2 active went from OpenConfirm to Established
Ingrese el comando debug ip bgp updates para resolver los problemas relacionados con la actualización de ruteo.
BGP: TX IPv4 Unicast Mem global 203.0.113.2 Changing state from DOWN to WAIT
(pending advertised bit allocation).
BGP: TX IPv4 Unicast Grp global 4 Created.
BGP: TX IPv4 Unicast Wkr global 4 Cur Blocked (not in list).
BGP: TX IPv4 Unicast Wkr global 4 Ref Blocked (not in list).
BGP: TX IPv4 Unicast Rpl global 4 1 Created.
BGP: TX IPv4 Unicast Rpl global 4 1 Net bitfield index 0 allocated.
BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Added to group (now has 1 members).
BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Staying in WAIT state
(current walker waiting for net prepend).
BGP: TX IPv4 Unicast Top global Start net prepend.
BGP: TX IPv4 Unicast Top global Inserting initial marker.
BGP: TX IPv4 Unicast Top global Done net prepend (0 attrs).
BGP: TX IPv4 Unicast Grp global 4 Starting refresh after prepend completion.
BGP: TX IPv4 Unicast Wkr global 4 Cur Start at marker 1.
BGP: TX IPv4 Unicast Grp global 4 Message limit changed from 100 to 1000 (used 0 + 0).
BGP: TX IPv4 Unicast Wkr global 4 Cur Unblocked
BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Changing state from WAIT to ACTIVE
(ready).
BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 No refresh required.
BGP: TX IPv4 Unicast Top global Collection done on marker 1 after 0 net(s).
BGP(0): 203.0.113.2 rcvd UPDATE w/ attr: nexthop 203.0.113.2, origin i, metric 0,
merged path 200, AS_PATH
BGP(0): 203.0.113.2 rcvd 10.10.10.0/24
BGP(0): 203.0.113.2 rcvd 172.16.30.0/24
BGP(0): 203.0.113.2 rcvd 10.180.10.0/24-----------------> Routes rcvd from peer
BGP: TX IPv4 Unicast Net global 10.10.10.1/32 Changed.
BGP: TX IPv4 Unicast Net global 172.16.30.0/24 Changed.
BGP: TX IPv4 Unicast Net global 10.180.10.0/24 Changed.
BGP(0): Revise route installing 1 of 1 routes for 10.10.10.0 255.255.255.0 ->
203.0.113.2(global) to main IP table
BGP: TX IPv4 Unicast Net global 10.10.10.0/24 RIB done.
BGP(0): Revise route installing 1 of 1 routes for 172.16.30.0 255.255.255.0 ->
203.0.113.2(global) to main IP table
BGP: TX IPv4 Unicast Net global 172.16.30.0/24 RIB done.
BGP(0): Revise route installing 1 of 1 routes for 10.180.10.0 255.255.255.0 ->
203.0.113.2(global) to main IP table
BGP: TX IPv4 Unicast Net global 10.180.10.0/24 RIB done.
BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.
BGP: TX IPv4 Unicast Tab Ready in READ-WRITE.
BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.
BGP: TX IPv4 Unicast Tab All topologies are EOR ready.
BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.
BGP: TX IPv4 Unicast Tab Executing.
BGP: TX IPv4 Unicast Wkr global 4 Cur Processing.
BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 1.
BGP: TX IPv4 Unicast Top global Appending nets from attr 0x00007ffecc9b7b88.
BGP: TX IPv4 Unicast Wkr global 4 Cur Attr change from 0x0000000000000000 to
0x00007ffecc9b7b88.
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.10.10.0/24 Skipped.
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 172.16.30.0/24 Skipped.
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.180.10.0/24 Skipped.
BGP: TX IPv4 Unicast Top global No attributes with modified nets.
BGP: TX IPv4 Unicast Top global Added tail marker with version 4.
BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 4.
BGP: TX IPv4 Unicast Top global No attributes with modified nets.
BGP: TX IPv4 Unicast Wkr global 4 Cur Done (end of list), processed 1 attr(s),
0/3 net(s), 0 pos.
BGP: TX IPv4 Unicast Grp global 4 Checking EORs (0/1).
BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Send EOR.
BGP: TX IPv4 Unicast Grp global 4 Converged.
BGP: TX IPv4 Unicast Tab Processed 1 walker(s).
BGP: TX IPv4 Unicast Tab Generation completed.
BGP: TX IPv4 Unicast Top global Deleting first marker with version 1.
BGP: TX IPv4 Unicast Top global Collection reached marker 1 after 0 net(s).
BGP: TX IPv4 Unicast Top global First convergence done.
BGP: TX IPv4 Unicast Top global Deleting first marker with version 1.
BGP: TX IPv4 Unicast Top global Collection reached marker 1 after 0 net(s).
BGP: TX IPv4 Unicast Top global Collection done on marker 4 after 3 net(s).
BGP: TX IPv4 Unicast Top global Collection done on marker 4 after 0 net(s).
BGP: TX IPv4 Unicast Net global 192.168.10.0/24 Changed.
BGP: TX IPv4 Unicast Net global 172.16.20.0/24 Changed.
BGP: TX IPv4 Unicast Net global 10.106.44.0/24 Changed.
BGP(0): nettable_walker 10.106.44.0/24 route sourced locally
BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 10.106.44.0/24
BGP: TX IPv4 Unicast Net global 10.106.44.0/24 RIB done.
BGP(0): nettable_walker 172.16.20.0/24 route sourced locally
BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 172.16.20.0/24
BGP: TX IPv4 Unicast Net global 172.16.20.0/24 RIB done.
BGP(0): nettable_walker 192.168.10.0/24 route sourced locally---------> Routes
advertised
BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 192.168.10.0/24
BGP: TX IPv4 Unicast Net global 192.168.10.0/24 RIB done.
BGP: TX IPv4 Unicast Tab RIB walk done version 8, added 1 topologies.
BGP: TX IPv4 Unicast Tab Executing.
BGP: TX IPv4 Unicast Wkr global 4 Cur Processing.
BGP: TX IPv4 Unicast Top global Appending nets from attr 0x00007ffecc9b7c70.
BGP: TX IPv4 Unicast Wkr global 4 Cur Attr change from 0x0000000000000000 to
0x00007ffecc9b7c70.
BGP: TX IPv4 Unicast Rpl global 4 1 Net 10.106.44.0/24 Set advertised bit (total 1).
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.106.44.0/24 Formatted.
BGP: TX IPv4 Unicast Rpl global 4 1 Net 172.16.20.0/24 Set advertised bit (total 2).
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 172.16.20.0/24 Formatted.
BGP: TX IPv4 Unicast Rpl global 4 1 Net 192.168.10.0/24 Set advertised bit (total 4).
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 192.168.10.0/24 Formatted.
BGP: TX IPv4 Unicast Top global No attributes with modified nets.
BGP: TX IPv4 Unicast Top global Added tail marker with version 8.
BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 8.
BGP: TX IPv4 Unicast Top global No attributes with modified nets.
BGP: TX IPv4 Unicast Wkr global 4 Cur Replicating.
BGP: TX IPv4 Unicast Wkr global 4 Cur Done (end of list), processed 1 attr(s),
4/4 net(s), 0 pos.
BGP: TX IPv4 Unicast Grp global 4 Start minimum advertisement timer (30 secs).
BGP: TX IPv4 Unicast Wkr global 4 Cur Blocked (minimum advertisement interval).
BGP: TX IPv4 Unicast Grp global 4 Converged.
BGP: TX IPv4 Unicast Tab Processed 1 walker(s).
BGP: TX IPv4 Unicast Tab Generation completed.
BGP: TX IPv4 Unicast Top global Deleting first marker with version 4.
BGP: TX IPv4 Unicast Top global Collection reached marker 4 after 0 net(s).
BGP: TX IPv4 Unicast Top global Collection done on marker 8 after 4 net(s).
BGP: TX IPv4 Unicast Top global Collection done on marker 8 after 0 net(s).
BGP: TX Member message pool under period (60 < 600).
BGP: TX IPv4 Unicast Tab RIB walk done version 8, added 1 topologies.
Ingrese estos comandos para resolver problemas de esta función:
- show asp table socket
- show bgp neighbor
- show bgp Summary
- show route bgp
- show bgp cidr-only
- show route summary
Historial de revisiones
| Revisión | Fecha de publicación | Comentarios |
|---|---|---|
3.0 |
29-Feb-2024 |
Actualización de formato y código HTML para la información interna de Cisco. |
2.0 |
19-Jan-2023 |
Contenido técnico actualizado para actualizarlo.
PII eliminado.
Texto alternativo agregado.
Introducción actualizada, Gerunds, Traducción automática, Requisitos de estilo y formato |
1.0 |
11-Aug-2014 |
Versión inicial |
ComentariosContacte a Cisco
- Abrir un caso de soporte
- (Requiere un Cisco Service Contract)