Diskrepanz bei der BGP-Routenankündigung in Tunneln für sichere Zugangsnetzwerke

• Problem
• Umwelt
• Auflösung
• Schritt 1: Identifizieren spezifischer Netzwerkpräfixe
• Phase 2: Zeitachse und Muster überprüfen
• Schritt 3: BGP-Peer-Konfiguration dokumentieren
• Schritt 4: Aktuelle Konfigurationsänderungen überprüfen
• Schritt 5: Lokale Routing-Tabelle überprüfen
• Schritt 6: Validierung der Konfiguration der Organisation für sicheren Zugriff
• Ursache
• Verwandte Inhalte

---

Problem

Bei einem Secure Access Site-to-Site-Netzwerktunnel, der das Border Gateway Protocol (BGP) verwendet, tritt eine Diskrepanz bei der Routenankündigung auf, bei der ein konfiguriertes /23-Netzwerkpräfix vom BGP-Peer stattdessen als /24-Präfix abgerufen wird. Die erwartete Route wird in Secure Access als /23-Subnetz konfiguriert, aber der BGP-Peer empfängt und lernt dieses Netzwerk mit einer /24-Subnetzmaske, wodurch eine Inkonsistenz in der Routing-Tabelle zwischen den beiden BGP-Peers entsteht.

Umwelt

Cisco Secure Access mit Netzwerktunneln (Internet Protocol Security (IPSec), Site-to-Site)

• Konfiguration des BGP-Routing-Protokolls

• Implementierung eines Site-to-Site-VPN-Tunnels

• Netzwerkpräfixkonfiguration mit /23- und /24-Subnetzen

Auflösung

Um diese Diskrepanz bei der BGP-Routenankündigung zu beheben, werden in den Abschnitten zur Fehlerbehebung und Verifizierung die erforderlichen Schritte beschrieben.

Schritt 1: Identifizieren spezifischer Netzwerkpräfixe

Ermitteln Sie die genauen /23- und /24-Präfixe, die an der Routing-Diskrepanz beteiligt sind. Dokumentieren Sie, von welcher Seite der BGP-Peering-Beziehung das /24-Präfix anstelle des erwarteten /23-Präfix angekündigt wird.

Phase 2: Zeitachse und Muster überprüfen

Stellen Sie fest, wann das Problem zum ersten Mal festgestellt wurde, und stellen Sie fest, ob es sich um ein kontinuierliches Problem handelt oder ob es gelegentlich auftritt. Anhand dieser Informationen können potenzielle Trigger oder Muster im Zusammenhang mit dem Routing-Verhalten identifiziert werden.

Schritt 3: BGP-Peer-Konfiguration dokumentieren

Sammeln detaillierter Informationen zur BGP-Peer-Gerätekonfiguration Identifizieren Sie den in Secure Access konfigurierten Namen des Netzwerktunnels, bei dem diese Routing-Diskrepanz auftritt.

Schritt 4: Aktuelle Konfigurationsänderungen überprüfen

Untersuchen Sie alle aktuellen Änderungen, die zu dem Problem beigetragen haben könnten, einschließlich:

• Konfigurationsänderungen

• Aktualisierungen der Routingrichtlinie

• Konfigurationsänderungen für Network Address Translation (NAT)

• Software-Updates

• Änderung der Subnetz- oder Netzwerkadressierung

Schritt 5: Lokale Routing-Tabelle überprüfen

Überprüfen Sie, ob in der lokalen Routing-Tabelle eine spezifischere /24-Route vorhanden ist, die anstelle des konfigurierten /23-Präfix ausgewählt oder angekündigt werden könnte. Dies ist eine häufige Ursache unerwarteter Routenankündigungen im BGP, bei denen spezifischere Routen Vorrang vor weniger spezifischen haben.

Schritt 6: Validierung der Konfiguration der Organisation für sicheren Zugriff

Rufen Sie die Secure Access Organization ID ab, und überprüfen Sie sie, um den ordnungsgemäßen Zugriff auf Konfigurationsdetails und Funktionen zur Fehlerbehebung innerhalb der Secure Access-Verwaltungsschnittstelle sicherzustellen.

Ursache

Die wahrscheinlichste Ursache für diese Diskrepanz bei der BGP-Routenankündigung ist das Vorhandensein einer spezifischeren /24-Route in der lokalen Routing-Tabelle, die anstelle des konfigurierten /23-Präfix ausgewählt und angekündigt wird. BGP verwendet die Regeln für die Übereinstimmung mit dem längsten Präfix, bei denen spezifischere Routen (längere Subnetzmasken) gegenüber weniger spezifischen Routen bevorzugt werden. Wenn ein /24-Subnetz im /23-Bereich vorhanden ist, kündigt das BGP die spezifischere /24-Route seinen Peers an, nicht dem breiteren /23-Netzwerk.

Weitere mögliche Ursachen sind Routing-Richtlinienkonfigurationen, Routenfilterung oder NAT-Konfigurationen (Network Address Translation), mit denen die angegebene Präfixlänge während des BGP-Routen-Ankündigungsvorgangs geändert werden kann.

Verwandte Inhalte

• Technischer Support und Downloads von Cisco

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	10-Sep-2026	Erstveröffentlichung