تكوين اتصال Azure Dual ISP vWAN على جدار الحماية الآمن

المقدمة

يصف هذا المستند كيفية تكوين اتصال VPN من موقع إلى موقع ل Microsoft Azure Virtual WAN (vWAN) لجدار الحماية الآمن باستخدام إرتباطات WAN المزدوجة.

المتطلبات الأساسية

المتطلبات

توصي Cisco بمعرفة الموضوعات التالية:

• شبكة WAN الظاهرية (vWAN) من Microsoft Azure
• مركز إدارة جدار الحماية الآمن (FMC) من Cisco
• الدفاع الآمن عن تهديد جدار الحماية (FTD) من Cisco

تأكد من أن هذه المكونات تم تكوينها مبدئيا في بيئة Azure:

• مثيل Microsoft Azure vWAN
• موزع Microsoft Azure vWAN

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• Cisco Secure FTD، الإصدار 10.0
• Cisco Secure FMC، الإصدار 10.0
• Microsoft Azure vWAN

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

عندما يحتوي برنامج الإرسال فائق السرعة (FTD) للفرع على واجهتين خارجيتين لمزود خدمة الإنترنت (ISP)، يمكن أن تتصل كل واحدة بشكل متكرر ونشط بشبكة WAN من Azure، وبالتالي يتم إستخدام كل إرتباط ISP. يقوم Azure vWAN بإنشاء نفقين IPsec لكل إرتباط موقع — واحد إلى Azure Hub Instance0 وواحد إلى Instance1 — لذلك تقوم كل واجهة ISP بإنهاء نفقين. عبر كلا إرتباطات ISP، ينتج عن ذلك أربعة أنفاق IPsec تنتهي على FTD.

تعمل مثيلات Azure في الوضع النشط/النشط لموازنة الأحمال والتكرار، لذلك يعكس FTD هذا الإجراء من خلال تكوين عمليات حفظ متعددة (ECMP) متساوية التكلفة عبر جميع أنفاق IPsec الأربعة. باستخدام عناوين بروتوكول الإنترنت (APIPA) الخاصة المخصصة، يتم إنشاء علاقات جوار لبروتوكول العبارة الحدودية الخارجية (eBGP) باستخدام أرقام النظام المستقل الخاصة المميزة (ASN) عبر كل نفق من الأنفاق الأربعة. وهذا يمكن وظائف BGP متعددة المسارات، مما يوفر مسارات متكررة متعددة لكل زوج من مثيلات إرتباط موقع Azure Hub.

الرسم التخطيطي

يوضح المخطط مخطط التكوين الموضح في هذه المقالة. مصادر متنوعة لارتباط الوصول المباشر المزدوج (DIA) من خلال أنفاق Azure من واجهة خارجية على FTD.

إرتباطات مزدوجة مباشرة للوصول إلى الإنترنت (DIA) (تقنية Azure + موازنة الأحمال/التكرار في برنامج FTD)

مخطط الاتصال بوصول ثنائي مباشر للإنترنت

التكوين

المرحلة الأولى: تكوين موقع VPN من Azure vWAN

الخطوة 1: إنشاء موقع Azure vWAN VPN (جهاز FTD عن بعد)

1) ابحث عن شبكة WAN vWAN في حقل البحث Azure، انقر فوق شبكات WAN الظاهرية للدخول إلى محور Azure vWAN الحالي. بعد ذلك، انتقل إلى الاتصال > لوحات التوزيع وانقر فوق محور Azure vWAN الموجود.

استعلام البحث عن شبكة WAN الظاهرية

تحديد موزع WAN الظاهري الموجود

2) انقر فوق الاتصال > VPN (من موقع إلى موقع) وانقر فوق + إنشاء موقع VPN جديد

إنشاء موقع WAN ظاهري جديد

ملاحظة: المساحة البيضاء التي تغطي القيم في حقول مختلفة في الصور تكون مقصودة لنشر هذا المستند.

3) أدخل القيم في الحقول المطلوبة. عند الانتهاء، انقر التالي: الروابط > للمضي قدما.

إعدادات تكوين موقع VPN العامة

4) أدخل معلومات الارتباط المطلوبة. عنوان BGP الخاص بالارتباط و ASN هما عنوان وجهة BGP من الطبقة 3 للنفق الداخلي وبروتوكول BGP كرقم على جانب الفرع يتم فيه تكوين الجوار عبر أنفاق من موقع إلى موقع. عنوان BGP للرابط هو عنوان شبكة فرعية غير متداخل (/32) خارج الشبكة الفرعية الخاصة بعنوان الخاص للمحور التي تم تكوينها، والتي يقوم Azure بتثبيتها كمسار /32 للوصول إليها كجار BGP. يتم إنشاء واجهتي إسترجاع في الأقسام اللاحقة في FTD لتمثيل عنوان BGP للرابط لكل من إرتباطات الموقع المزدوج. إن عنوان Link IP/اسم المجال المؤهل بالكامل (FQDN) هو عنوان IP لوجهة الطبقة الخارجية 3 لحركة المرور المتجهة إلى موقع الفرع الضروري لتوفير اتصال أمان IP (IPsec)/تبادل مفتاح الإنترنت الإصدار 2 (IKEv2). انتقل إلى الخطوة التالية عند الانتهاء بالنقر فوق التالي : مراجعة + إنشاء >.

ملاحظة: تأكد من مراجعة وثائق Azure المحددة إذا كنت تستخدم عناوين تتراوح من 169.254.21.0 إلى 169.254.22.255 لعناوين النفق: إختيار عناوين BGP APIPA.

تكوين معلمات إرتباط الموقع

5) بمجرد تأكيد المعلومات كما هو مقصود، انقر فوق إنشاء. 

مراجعة موقع الشبكة الخاصة الظاهرية (VPN) الجديد وإنشاؤه

6) بمجرد اكتمال نشر موقع الشبكة الخاصة الظاهرية (VPN)، ارجع إلى تكوين محور شبكة WAN vWAN.

تقدم نشر موقع WAN الظاهري

استعلام البحث عن شبكة WAN الظاهرية

الخطوة 2: تكوين معلمات عبارة Azure APIPA

يتطلب Azure تكوينا إضافيا لعنونة IP الخاصة التلقائية (APIPA) داخل مساحة عنوان 169.254.0.0/16 IPv4.

1) أدخل الموزع الحالي من خلال الاتصال > لوحات التوزيع.

انتقل إلى اتصال موزع WAN الظاهري

2) انتقل مرة أخرى إلى الاتصال > VPN (من موقع إلى موقع) وانقر فوق الارتباط التشعبي تكوين البوابة.

الارتباط التشعبي لتكوين بوابة الوصول

3) تظهر لوحة جانبية لتحرير عبارة VPN. تحت VPN Gateway Instance0 و VPN Gateway Instance1، أدخل عنوانين مخصصين فريدين ل BGP يعملان كعناوين IP مجاورة لكل مثيل لمنافذ BGP عبر أنفاق IPsec. هذا ضروري إن يختار أنت أن يستعمل APIPA عنوان ضمن هذا طوبولوجيا. في الحقل المسمى عنوان النظير، أدخل BGP المجاور IP للاستخدام للوصول إلى مثيلات Azure من FTD. لا يحاول Azure إنشاء BGP باستخدام FTD إذا كان عنوان APIPA قيد الاستخدام، وبالتالي يحاول FTD إنشاء جار eBGP على كل نفق مع Azure.

ينتج الإجمالي عن روابطين × نفقين ضمنيين؛ نفق واحد إلى Instance0 و Instance1 لكل إرتباط ISP؛ ويتكون الإجمالي من أربعة أنفاق عبر بروتوكول IPsec مع منافذ BGP بين Azure والواجهات ISP في برنامج FTD.

يجب أن تكون هذه العناوين فريدة، وفي هذا العرض، يجب تكوين عنوان المضيف الثاني والأخير في الشبكات الفرعية /30 التي تم تعيينها لكل نفق على FTD للاستخدام. طقطقة ما إن يشكل، يحرر. 

ملاحظة: تأكد من مراجعة وثائق Azure المحددة إذا كنت تستخدم عناوين تتراوح من 169.254.21.0 إلى 169.254.22.255 لعناوين النفق: إختيار عناوين BGP APIPA

تحرير عناوين IP لعبارة VPN المخصصة ل BGP

ملاحظة: وكما يشير Azure، من الممكن أن يستغرق هذا حتى 30 دقيقة أو أكثر للتحديث.

الخطوة 3: تكوين معلمات VPN لموقع Azure vWAN

1) في صفحة الاتصال > VPN (من موقع إلى موقع) داخل تكوين موزع Azure vWAN، وانقر فوق X لمسح اقتران الموزع: التصفية المتصلة لعرض مواقع VPN التي تم قطع إتصالها.

مسح عوامل تصفية اتصال اقتران موزع

2) حدد خانة الاختيار المجاورة لموقع الشبكة الخاصة الظاهرية (VPN) المزود حديثا، وانقر فوق توصيل موقع الشبكة الخاصة الظاهرية (VPN).

اتصال إجراء موقع VPN

3) قم بتكوين المفتاح المشترك مسبقا (PSK) المطلوب، ثم قم بتكوين معلمات IPsec المطلوبة بالنقر فوق خيار التبديل المخصص. يجب أن تتطابق معلمات IPSec هذه مع تكوين FMC/FTD في الخطوات اللاحقة. للحفظ، انقر على توصيل.

ملاحظة: تمت إزالة دعم مجموعة Diffie-Hellman (DH) رقم 24 في الإصدار 6.7 من FTD/FMC.

تكوين مفاتيح مشتركة مسبقا ومعلمات IPsec

4) تأكد من اكتمال توفير موقع الشبكة الخاصة الظاهرية (VPN) بنجاح.

تأكيد حالة توفير موقع VPN

الخطوة 4: تمكين وتنشيط BGP APIPA المخصص على مثيلات إرتباط موقع VPN

1) قم بتحديث صفحة شبكة VPN (من موقع إلى موقع) وتأكد من أن عمود حالة توفير الاتصال يشير إلى نجاحها، مما يمكنك من النقر فوق الشكل البيضاوي ويسمح لك بالنقر فوق اتصال تحرير شبكة VPN إلى عنصر القائمة المنسدلة هذا.

التحقق من صحة عملية الاتصال وتحرير اتصال VPN

2) انقر لتكوين اتصال الارتباط 1 (ISP1) وأدخل مفتاح المشاركة المسبقة (PSK) القابل للتطبيق مرة أخرى، وتأكد من النقر فوق التمكينتبديل المجاور لعنوان IP المخصص BGP، وتعيين ما سيكون عنوان المضيف المتبقي للشبكات الفرعية /30 التي ستكون قيم حقل عنوان IP للوجهة الداخلية ل BGP التي تم إنشاؤها بواسطة FTDs.

في جوهر الأمر، يحتوي ISP1 VTI Tunnel1 إلى Azure Instance0 على تعيين عنوان بقيمة 169.254.21.1/30، بينما يحتوي إنهاء ISP1 VTI Tunnel2 الثاني على FTD على IP بقيمة 169.254.22.1/30 تم تعيينه للمثيل 1. 

طقطقت بعد ذلك: ربط الاتصال 2>للمتابعة إلى معلمات إرتباط ISP 2.

ملاحظة: من المحتمل أن تحتاج إلى إعادة إدخال PSK الخاص بك وإعادة النقر على خيار مجموعة PFS المحاذية في القائمة المنسدلة في Azure.

تكوين إعدادات BGP مخصصة لاتصال الارتباط

3) كرر الخطوات السابقة وطبق المعلمات المطبقة ضمن اتصال الارتباط 2 (إرتباط ISP2). عند الإكمال، انقر فوق إنشاء.

تكوين اتصال الارتباط إعدادات BGP المخصصة

4) تظهر الإخطارات في واجهة مستخدم Azure بدء مهمة التحديث.

إعلام بدء مهمة تحديث Azure

الخطوة 5: تنزيل ملف تكوين موقع VPN

1) في نفس صفحة شبكة VPN (من موقع إلى موقع) في Azure، أختر رمز الشكل الناقص على أقصى يمين موقع VPN الذي تم تكوينه واختر الخيار تنزيل ملف تكوين موقع VPN.

تنزيل خيار ملف تكوين موقع VPN

2) انقر فوق انقر هنا لتنزيل الارتباط التشعبي.

تنزيل ملف تكوين موقع VPN

المرحلة الثانية: تكوين FTD لاتصال ISP المزدوج ب Azure vWAN

الخطوة 1: تحليل تكوين VPN الذي تم تنزيله

1) افتح ملف التكوين الذي تم تنزيله ويظهر مخرج مشابه لتدوين كائن JavaScript (JSON). تعرض المخرجات أحد الكائنين المكتوبين في الملف. توفر هذه المعلومات سياقا مفيدا لتكوين FTD.

ملاحظة: ولتحسين التركيز، يتم تقليم العديد من الكائنات غير ذات الصلة وأزواج المفاتيح/القيم من أجل الإيجاز.

ملاحظة: يتم عكس ترتيب كائن JSON عبر ISP-Link-1 في الملف الذي تم تنزيله. يمثل الشكل البيضاوي في إخراج الرمز كائن ISP-2-Link مع تكوينه القابل للتطبيق.

...
{
    "configurationVersion": {
      "LastUpdatedTime": "2026-09-25T20:20:26.7658453Z",
      "Version": "15221e61-4e2c-42f5-b9e4-96d674f5a9a3"
    },
    "vpnSiteConfiguration": {
      "Name": "Dual-ISP-Site",
      "IPAddress": "FTD_ISP1_WAN_IP",
      "BgpSetting": {
        "Asn": 65532,
        "BgpPeeringAddress": "169.254.21.100",
        "PeerWeight": 32768
      },
      "LinkName": "ISP-1-Link"
    },
    "vpnSiteConnections": [
      {
        "gatewayConfiguration": {
          "IpAddresses": {
            "Instance0": "Inst0IP",
            "Instance1": "Inst1IP"
          },
          "BgpSetting": {
            "Asn": 65515,
            "CustomBgpPeeringAddresses": {
              "Instance0": [
                "169.254.21.22",
                "169.254.21.2"
              ],
              "Instance1": [
                "169.254.22.22",
                "169.254.22.2"
              ]
            },
          }
        },
        "connectionConfiguration": {
          "IsBgpEnabled": true,
          "PSK": "PSK",
          "IPsecParameters": {
            "IpsecEncryption": "GCMAES256",
            "IpsecIntegrity": "GCMAES256",
            "IkeEncryption": "GCMAES256",
            "IkeIntegrity": "SHA384",
            "PfsGroup": "None",
            "DhGroup": "DHGroup14",
            "SALifeTimeInSeconds": 27000
          }
        }
      }
    ]
  }
]

ابق هذا المخرج كمرجع وأنت تقوم بإكمال الخطوات.

الخطوة 2: تكوين واجهات إسترجاع مصدر تحديث الارتباط BGP 

تحتاج إدخالات تكوين جار BGP ضمن عملية BGP الخاصة ب FTD (التي تم تكوينها في الخطوات اللاحقة على FTD) إلى مصدر ثابت يمثل تكوين إرتباط BGP IP AddressSin الخاص ب Azure Site Link المتوافق.

1) انتقل إلى الأجهزة > إدارة الأجهزة.

انتقل إلى إدارة الأجهزة في مركز إدارة FirePOWER

ملاحظة: يستخدم هذا المختبر مركز إدارة جدار الحماية الذي تم توصيله عبر السحابة (CDfmc)؛ ومع ذلك، تبقى الخطوات نفسها بالنسبة ل FMC المحلية.

 2) انقر على FTD الذي تقوم بتكوينه كجهاز VPN للفرع/الموقع مزود باتصال ISP المزدوج.

تحديد FTD لنشر التكوين

3) انقر فوق القائمة المنسدلة إضافة واجهات، ثم انقر فوق واجهة الاسترجاع.

إضافة واجهة الاسترجاع إلى الجهاز

 4) أدخل اسم لواجهة الاسترجاع، وتأكد من تحديد خانة الاختيار تمكين ، وأدخل معرف الاسترجاع. أدخل الوصف إذا كان ذلك مطلوبا. وبمجرد اكتمالها، انقر فوق علامة التبويب IPv4. 

تكوين معلومات واجهة الاسترجاع وعنوان IPv4

5) أدخل عنوان IP الاسترجاع ليكون هو عنوان IP للارتباط BGP الذي تم تكوينه في الخطوات السابقة لارتباط موقع ISP1 في Azure. يتم إستخدام IP هذا كمصدر تحديث BGP على الاحياء التي تم تكوينها بين مثيلات FTD و Azure عبر ISP1.

ملاحظة: يمكنك الإشارة إلى القيمة التي تم تعريفها من قبل في تكوين VPN JSON الذي تم تنزيله ضمن vpnSiteConfiguration.BgpSetting.BgpPeeringAddress ل ISP1

أدخل عنوان IPv4 للإسترجاع واضغط موافق

6) كرر الخطوات الفرعية C-e في هذا التسلسل لتكوين إسترجاع ISP2 BGP.

إنشاء واجهات الاسترجاع الأولى والثانية

7) احفظ التكوين الخاص بك.

حفظ التغييرات

الخطوة 3: تكوين كائنات نهج المرحلة 1/المرحلة 2

1) لتكوين تكوين IKEv2/IPsec المطابق على FMC إلى مخططات VPN ل FTD، انتقل إلى إدارة > كائنات، وانتقل إلى قائمة التنقل إلى VPN، وتوسع القائمة الفرعية. قم بتكوين نهج المرحلة الأولى ل IKEv2 عن طريق إختيار نهج IKEv2 في القائمة والنقر فوق نهج إضافة IKEv2.

إنشاء كائن نهج IKEv2 جديد

2) أدخل اسما لنهج IKEv2 الجديد، واختر الأولوية و/أو مدى الحياة. تأكد من تطابق السياسة على كلا طرفي النفق فيما يتعلق بالنزاهة والتشفير والوظيفة العشوائية الزائفة (PRF) ومجموعة DH. أخترت أي خوارزمية/مجموعة عنصر أن تلاءم مع Azure تشكيل، وطقطقة يضيف.

ملاحظة: يمكنك الإشارة إلى هذه القيم الدقيقة داخل ملف التكوين الذي تم تنزيله على vpnSiteConnections[0].connectionConfiguration.IPsecParameters

إنشاء سياسة IKEv2

3) ما إن يتم التكوين، انقر فوق حفظ. 

حفظ نهج IKEv2

4) قم بتكوين معلمات المرحلة 2/IPsec في القائمة الفرعية لمقترح IKEv2 IPsec وانقر فوق إضافة مقترح IKEv2 IPsec.

إنشاء مقترح IKEv2 IPsec

5) قم بتسمية مقترح IKEv2 IPsec وتأكد من محاذاة نفس الإعدادات. بمجرد الانتهاء، انقر فوق حفظ.

اسم مقترح IKEv2 IPsec وانقر فوق حفظ

الخطوة 4: تكوين واجهات النفق الظاهرية (VTI)

1) انتقل إلى الأجهزة > إدارة الأجهزة.

انتقل إلى إدارة الأجهزة في مركز إدارة FirePOWER

 2) انقر فوق FTD الذي تقوم بتكوينه كجهاز VPN للفرع/الموقع باستخدام اتصال ISP المزدوج.

تحديد FTD لنشر التكوين

3) انقر فوق القائمة المنسدلة إضافة واجهات واختر واجهة النفق الظاهرية (VTI).

إنشاء واجهة النفق الظاهري

4) أدخل معلومات النفق. تأكد من تحديد خانة الاختيار تمكين، يتم إدخال الاسم (الوصف أيضا، إذا كان ذلك مطلوبا)، ويتم إختيار منطقة الأمان الاختيارية. قم بمحاذاة الواجهة الأصلية الصحيحة لبروتوكول ISP لتكوين VTI أدناه، ثم قم بتكوين عنوان IP المناسب لاتصال IPsec للنفق الداخلي ل VTI. اضغط على موافق عند الاكتمال.

تلميح: يوضح الرسم التخطيطي المرجعي المزيد من السياق على تكوين VPN المحتمل لاتصال Azure Dual-WAN باستخدام FTD.

إنشاء إعدادات واجهة النفق الظاهري

 5) قم بتكوين 3 واجهات VTI إضافية عبر واجهات ISP1 و ISP2 الأصلية.

تكوين واجهات النفق الظاهرية الإضافية

و) تأكد من النقر فوق حفظ لحفظ التغييرات.

حفظ التغييرات

الخطوة 5: توفير مخططات الشبكة الخاصة الظاهرية (VPN) عبر بروتوكول IPsec

1) انتقل إلى إدارة > الاتصالات الآمنة > الشبكة الخاصة الظاهرية (VPN) من موقع إلى موقع وشبكة SD-WAN.

إدارة الموقع لاتصالات VPN و SD-WAN للموقع

2) انقر إما فوق الارتباط التشعبي لتكوين مخطط VPN الأولي في منتصف الإخراج الأولي، أو انقر فوق الزر إضافة .

إضافة تكوين مخطط VPN جديد

3) أدخل اسم مخطط للنفق الأول عبر إرتباط ISP1 إلى مثيل Azure0. انقر فوق زر راديو VPN المستند إلى المسار، وانقر فوق نوع مخطط النظير إلى النظير VPN. بمجرد الاكتمال، انقر فوق إنشاء.

تكوين نوع مخطط VPN المستند إلى المسار

4) أولا، أختر العقدة A وتحت القائمة المنسدلة الجهاز التي تشير إلى FTD الذي ينهي أنفاق الشبكة الخاصة الظاهرية (VPN) من Azure. بعد أن يجلب المعالج VTIs المتاحة من الجهاز، حدد VTI مناسب إلى الواجهة الأصلية والمثيل الذي تقوم بتكوينه من القائمة المنسدلة. من قائمة جهاز العقدة (ب)، أختر الجانب Azure ليكون عقدة Extranet في تكوين مخطط VPN. تأكد من تكوين اسم مألوف للعقدة (ب)، بالإضافة إلى التأكد من إدخال عنوان IP لنقطة النهاية المناسب. وبمجرد اكتمالها، انقر فوق علامة التبويب IKE لتنفيذ تكوين نفق المرحلة 1. 

ملاحظة: يمكنك الإشارة إلى قيم عنوان IP لنقطة نهاية المثيل في ملف التكوين الذي تم تنزيله على vpnSiteConnections[0].gatewayConfiguration.ipAddress.instance0 وvpnSiteConnections[0].gatewayConfiguration.ipAddress.Instance1 

تحديد نقاط نهاية طبولوجيا العقدة A والعقدة B

5) قم بالتمرير في قائمة التنقل إلى إعدادات IKEv2 وانقر فوق أيقونة القلم الرصاص لتحرير السياسات إلى سياسة IKEv2 التي تم تكوينها مؤخرا. بعد ذلك، أختر خيار المفتاح اليدوي المشترك مسبقا من القائمة المنسدلة نوع المصادقة، وأدخل PSK الذي تم تكوينه مسبقا في Azure. وبمجرد اكتمالها، انقر فوق علامة التبويب IPsec لتكوين معلمات نفق IPsec للمرحلة 2.

ملاحظة: يمكنك الرجوع إلى المفتاح المشترك مسبقا في ملف التكوين الذي تم تنزيله على vpnSiteConnections[0].connectionConfiguration.IPsecParameters.PSK

تحرير إعدادات IKEv2 ومفتاح المصادقة

6) انقر فوق أيقونة القلم الرصاص المجاورة ل مجموعة تحويل مقترح IPsec من IKEv2، واختر معلمات سياسة IPsec التي تم تكوينها مسبقا. تأكد من تغيير قيمة مدة البقاء لمطابقة إعدادات VPN ل Azure vWAN. بمجرد تأكيد المعلومات التي تم تكوينها، انقر فوق حفظ.

ملاحظة: يمكنك الإشارة إلى قيمة العمر الافتراضي في ملف التكوين الذي تم تنزيله على vpnSiteConnections[0].connectionConfiguration.IPsecParameters.SALifeTimeInSeconds

تكوين مدة العمر الافتراضي لمقترح IPsec

7) كرر الخطوات الفرعية السابقة ضمن الخطوة 5 لإنشاء أنفاق Azure الأخرى عبر ISP1 Instance1، و ISP2 Instance0، و ISP2 Instance1.

إنشاء موقع إضافي لمخططات VPN للموقع

الخطوة 6: التحقق من طبولوجيا شبكة VPN

أدخل في System support-diagnostic-cli، واكتب en، ثم اضغط enter (واجهة سطر الأوامر (CLI) للقراءة فقط).

1) تحقق من اتصال نفق المرحلة الأولى من IKE.

`show crypto isakmp sa | i UP|READY`

2) تحقق من اتصال المرحلة الثانية من IPsec.

show crypto ipsec sa | i int|current_peer|pkts

ملاحظة: عند عرض إخراج اقترانات أمان IPsec (SA) وعمليات فك تشفير PKTS وعدادات فك تشفير PKTS آخذة في الزيادة، ولكن عمليات تشفير PKTS و PKTS ليست كذلك، فمن المتوقع حدوث ذلك في هذا السيناريو. يحاول Azure تكوين جيران BGP عبر عناوين مساحة IP الخاصة للمحور، ولا يقوم Azure ببدء التفاوض إذا كان الطرف المجاور يستخدم عنوان BGP ل APIPA. من مسؤولية الجهاز المتصل ب Azure بدء تفاوض BGP عند إستخدام APIPA المخصص.

3) تحقق من اتصال الطبقة 2.

show arp

4) تحقق من توجيه IP.

show route

5) تنفيذ التقاط على واجهات ISP1 و ISP2.

capture isp1 interface ISP1 match udp any any eq 500  
capture isp1 interface ISP1 match udp any any eq 4500  
capture isp1 interface ISP1 match esp any any  
...  
show cap  
show cap isp1  
show cap isp2

6) التحقق من Azure - انتقل إلى لوحة وصل vWAN > الاتصال.> مواقع VPN > أختر الموقع الذي تم تكوينه.

التحقق من اتصال Azure Link

الخطوة 7: تكوين ECMP

1) انتقل إلى إدارة > أجهزة > إدارة الأجهزة وانقر فوق FTD.

انتقل إلى إدارة الأجهزة في مركز إدارة FirePOWERتحديد FTD لنشر التكوين

2) انقر فوق علامة التبويب توجيه واختر بروتوكول إدارة المحتوى الرقمي (ECMP).

إعدادات التكوين متعدد المسارات متساوية التكلفة

3) طقطقة يضيف.

إضافة إعدادات تكوين متعدد المسارات متساوية التكلفة

4) قم بتسمية منطقة ECMP، وانقر فوق واجهات VTI المتاحة، ثم انقر فوق الزر إضافة لتطبيقهم على عمود الواجهات المحددة وانقر فوق موافق.

تحديد الواجهات لمنطقة المسارات المتعددة متساوية التكلفة

5) تأكد من حفظ التغييرات التي أجريتها.

حفظ التغييرات

الخطوة 8: تكوين BGP

1) تمكين عملية BGP على FTD تحت التوجيه > الإعدادات العامة > BGP. حدد خانة الاختيار تمكين بروتوكول BGP، وأدخل رقم AS الذي تم تكوينه مسبقا في المرحلة الأولى، الخطوة 1d. انتقل بجوار التوجيه > BGP > IPv4.

تمكين عملية بروتوكول العبارة الحدودية ضمن الإعدادات العامة

2) تأكد من تحديد خانة الاختيار تمكين IPv4 لعملية BGP، وانقر فوق المجاور لتكوين جيران BGP في Azure.

تمكين عملية بروتوكول العبارة الحدودية ل IPv4

3) طقطقة + يضيف.

إضافة جار بروتوكول بوابة حدود جديد

4) أدخل معلومات تجشير ISP1 Instance0 BGP، وأرجع BGP المشار إليه من محور vWAN وأدخله كجهاز التحكم عن بعد المجاور AS، وأضفت الوصف إذا كنت ترغب في ذلك. انقر فوق خيارات متقدمة. 

ملاحظة: تأكد من إختيار مصدر تحديث BGP للإشارة إلى إسترجاع واجهات VTI على FTD الذي تم تعيينه على إرتباط ISP1 الذي تم تكوينه في Azure.

تكوين معلومات تناظر بروتوكول البوابة الحدودية

5) ضمن قائمة خيارات متقدمة لتكوين جار BGP على FTD، يمكنك تغيير عدد نقلات وقت البقاء (TTL) من إعداد eBGP الافتراضي من 1 جنجل إلى رقم متغير. لا تكون نقاط نهاية Azure BGP متصلة مباشرة عبر النفق داخل بنية Azure الأساسية، ويميل إلى أن يكون هناك المزيد من النقلات إلى نقطة النهاية من تصريح eBGP TTL الافتراضي ل 1. وانقر فوق OK. 

إعدادات جار بروتوكول العبارة الحدودية المتقدمة

6) كرر الخطوات الفرعية من 3 إلى 5 لتكوين Tunnel2 لمثيل ISP1.

7) كرر الخطوات الفرعية من 3 إلى 5 مرتين لتكوين معلومات تجميع ISP2 instance0/instance1 BGP.

ملاحظة: تأكد من إختيار مصدر تحديث BGP المحاذي للإشارة إلى الاسترجاع لواجهات VTI على FTD المعينة إلى إرتباط ISP2 المكون في Azure.

تكوين جار BGP لمثيل ISP2 1

تكوين جار BGP 2 مثيل ISP 2

تكوين نتائج BGP المجاور للنهاية

ما إن يتم، انقر حفظ. 

حفظ التغييرات

وبشكل افتراضي، يقوم BGP بتثبيت مسار واحد الأفضل فقط في جدول التوجيه، حتى ولو تم تكوين ECMP عبر جميع VTIs إلى Azure. يجب تمكين مسارات BGP المتعددة بشكل منفصل حتى يتم تثبيت كلا المسارين المتعلمين واستخدامهما في نفس الوقت.

الخطوة 9: تكوين مسارات eBGP المتعددة

1) انتقل إلى التوجيه > BGP > IPv4، وانقر فوق علامة التبويب General ، ثم انقر فوق أيقونة القلم الرصاص المجاورة للحزم الأمامية عبر مسارات متعددة.

إعداد إعادة توجيه الحزم عبر مسارات متعددة

2) قم بتغيير القيمة الافتراضية لحقل عدد المسارات من 1 إلى 4. انقر فوق موافق.

تغيير إعداد الحزم الأمامية عبر مسارات متعددة

3) تأكد من حفظ التغييرات ونشرها.

التحقق من الصحة/أستكشاف الأخطاء وإصلاحها

> system support diagnostic-cli
Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.
ftd#
ftd#
ftd# show bgp summary  
BGP router identifier 169.254.22.100, local AS number 65532  
BGP table version is 29, main routing table version 29  
2 network entries using 400 bytes of memory  
8 path entries using 640 bytes of memory  
2 multipath network entries and 8 multipath paths  
1/1 BGP path/bestpath attribute entries using 208 bytes of memory  
1 BGP AS-PATH entries using 24 bytes of memory  
0 BGP route-map cache entries using 0 bytes of memory  
0 BGP filter-list cache entries using 0 bytes of memory  
BGP using 1272 total bytes of memory  
BGP activity 4/2 prefixes, 16/8 paths, scan interval 60 secs

Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd  
169.254.21.2 4 65515 20 17 29 0 0 00:13:14 2  
169.254.22.2 4 65515 20 20 29 0 0 00:13:22 2  
169.254.21.22 4 65515 19 21 29 0 0 00:13:19 2  
169.254.22.22 4 65515 20 19 29 0 0 00:13:17 2
ftd# 

ftd# show bgp 

BGP table version is 29, local router ID is 169.254.22.100
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale, m multipath
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop        Metric LocPrf Weight  Path
*m 10.2.0.0/16      169.254.21.2                       0  65515 i
*m                  169.254.22.22                      0  65515 i
*m                  169.254.21.22                      0  65515 i
*>                  169.254.22.2                       0  65515 i
*m 172.27.0.0       169.254.21.2                       0  65515 i
*m                  169.254.22.22                      0  65515 i
*m                  169.254.21.22                      0  65515 i
*>                  169.254.22.2                       0  65515 i

ftd# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 172.31.3.33 to network 0.0.0.0

B        10.2.0.0 255.255.0.0 [20/0] via 169.254.22.22, 00:20:53
                              [20/0] via 169.254.22.2, 00:20:53
                              [20/0] via 169.254.21.22, 00:20:53
                              [20/0] via 169.254.21.2, 00:20:53
B        172.27.0.0 255.255.0.0 [20/0] via 169.254.22.22, 00:20:53
                                [20/0] via 169.254.22.2, 00:20:53
                                [20/0] via 169.254.21.22, 00:20:53
                                [20/0] via 169.254.21.2, 00:20:53

ftd# show conn all | include TCP|179
TCP ISP2-Inst-0  169.254.21.22:179 bgpLo-ISP2  169.254.22.100:1603, idle 0:00:10, bytes 1517, flags UIO 
TCP ISP2-Inst-1  169.254.22.22:179 bgpLo-ISP2  169.254.22.100:41883, idle 0:00:01, bytes 1486, flags UIO 
TCP ISP1-Inst-1  169.254.22.2:179 bgpLo-ISP1  169.254.21.100:3804, idle 0:00:53, bytes 1467, flags UIO 
TCP ISP1-Inst-0  169.254.21.2:179 bgpLo-ISP1  169.254.21.100:61287, idle 0:00:04, bytes 1331, flags UIO 
TCP bgpLo-ISP1  169.254.22.2:179 NP Identity Ifc  169.254.21.100:3804, idle 0:00:53, bytes 751, flags UI 
TCP bgpLo-ISP2  169.254.21.22:179 NP Identity Ifc  169.254.22.100:1603, idle 0:00:10, bytes 844, flags UI 
TCP bgpLo-ISP2  169.254.22.22:179 NP Identity Ifc  169.254.22.100:41883, idle 0:00:01, bytes 751, flags UI 
TCP bgpLo-ISP1  169.254.21.2:179 NP Identity Ifc  169.254.21.100:61287, idle 0:00:04, bytes 639, flags UI