Konfiguration von BGP über routenbasiertes VPN auf von FDM verwaltetem FTD

Einleitung

In diesem Dokument wird die Konfiguration des BGP über ein routenbasiertes Site-to-Site-VPN auf dem vom FirePOWER Device Manager (FDM) verwalteten FTDv beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Grundlegendes Verständnis von VPN
• BGP-Konfigurationen auf FTDv
• Erfahrung mit FDM

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Cisco FTDv Version 7.4.2
• Cisco FDM Version 7.4.2

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konfigurieren

Netzwerkdiagramm

Topo

VPN-Konfigurationen

Schritt 1: Stellen Sie sicher, dass die IP-Interkonnektivität zwischen den Knoten bereit und stabil ist. Die Smart-Lizenz auf FDM wurde erfolgreich beim Smart-Konto registriert.

Schritt 2: Das Gateway des Site1 Client wird mit der internen IP-Adresse von Site1 FTD (192.168.70.1) konfiguriert. Das Gateway des Site2-Clients wird mit der internen IP-Adresse von Site2 FTD (192.168.50.1) konfiguriert. Stellen Sie außerdem sicher, dass die Standardroute auf beiden FTDs nach der FDM-Initialisierung richtig konfiguriert ist.

Melden Sie sich bei der GUI jeder FDM an. Navigieren Sie zu .Device > Routing Klicken Sie auf .View Configuration Klicken Sie auf die  Static Routing  Registerkarte, um die statische Standardroute zu überprüfen.

Standort1_FTD_Gateway

Standort2_FTD_Gateway

Schritt 3: Konfigurieren Sie ein routenbasiertes Site-to-Site-VPN. Konfigurieren Sie in diesem Beispiel zuerst Site1 FTD.

Schritt 3.1. Melden Sie sich bei der FDM-GUI von Site1 FTD an. Erstellen Sie ein neues Netzwerkobjekt für das interne Netzwerk von Site1 FTD. Navigieren Sie zu,  Objects > Networksund klicken Sie auf die Schaltfläche +.

Create_Network_Object

Schritt 3.2. Geben Sie die erforderlichen Informationen ein. Klicken Sie auf die  OK Schaltfläche.

• Name: inside_192.168.70.0
• Typ: Netzwerk
• Netzwerk: 192.168.70.0/24

Site1_Inside_Netzwerk

Schritt 3.3. Navigieren Sie zu  Device > Site-to-Site VPN. Klicken Sie auf .  View Configuration

Standortübergreifendes VPN anzeigen

Schritt 3.4: Erstellen eines neuen Site-to-Site-VPNs Klicken Sie auf .  CREATE SITE-TO-SITE CONNECTION

Site-to-Site_Verbindung erstellen

Schritt 3.5 Geben Sie die erforderlichen Informationen ein.

• Verbindungsprofilname: Demo S2S
• Typ: Routenbasiert (VTI)
• Lokale VPN-Zugriffsschnittstelle: Klicken Sie auf die Dropdown-Liste und anschließend auf  Create new Virtual Tunnel Interface.

Create_VTI_in_VPN_Wizard

Schritt 3.6. Geben Sie die erforderlichen Informationen ein, um einen neuen VTI zu erstellen. Klicken Sie auf die Schaltfläche OK.

• Name: demovti
• Tunnel-ID: 1
• Tunnelquelle: Extern (GigabitEthernet0/0)
• IP-Adresse und Subnetzmaske: 169.254.10.1/24
• Status: Klicken Sie auf den Schieberegler für die Position Aktiviert.

_VTI_Details

Schritt 3.7. Fahren Sie fort, um die erforderlichen Informationen bereitzustellen. Klicken Sie auf die Schaltfläche WEITER.

• Lokale VPN-Zugriffsschnittstelle: demovti (erstellt in Schritt 3.6)
• Remote-IP-Adresse: 192.168.10.1

VPN-Assistent_Endpunkte_Schritt1

Schritt 3.8: Navigieren Sie zur IKE-Richtlinie. Klicken Sie auf die Schaltfläche BEARBEITEN.

Bearbeiten_IKE_Richtlinie

Schritt 3.9: Für die IKE-Richtlinie können Sie eine vordefinierte Richtlinie verwenden oder eine neue erstellen, indem Sie auf Neue IKE-Richtlinie erstellen klicken.

Schalten Sie in diesem Beispiel eine vorhandene IKE-Richtlinie AES-SHA-SHA um, und erstellen Sie eine neue Richtlinie für Demozwecke. Klicken Sie auf die Schaltfläche OK, um zu speichern.

• Name: AES256_DH14_SHA256_SHA256
• Verschlüsselung: AES, AES256
• DH-Gruppe: 14
• Integritätshash: SHA, SHA256
• PRF-Hash: SHA, SHA256
• Lebenszeit: 86400 (Standard)

Neue_IKE_Richtlinie hinzufügen

Enable_New_IKE_Policy

Schritt 3.10: Navigieren Sie zum IPSec-Angebot. Klicken Sie auf die Schaltfläche BEARBEITEN.

Bearbeiten_IKE_Angebot

Schritt 3.11. Für das IPSec-Angebot können Sie ein vordefiniertes verwenden oder ein neues erstellen, indem Sie auf Neues IPSec-Angebot erstellen klicken. In diesem Beispiel erstellen Sie eine neue Version für Demozwecke. Geben Sie die erforderlichen Informationen ein. Klicken Sie auf die Schaltfläche OK, um zu speichern.

• Name: AES 256 SHA 256
• Verschlüsselung: AES, AES256
• Integritätshash: SHA1, SHA256

Add_New_IPSec_Proposal

Enable_New_IPSec_Proposal

Schritt 3.12: Konfigurieren des vorinstallierten Schlüssels. Klicken Sie auf die Schaltfläche WEITER.

Notieren Sie sich diesen vorinstallierten Schlüssel, und konfigurieren Sie ihn später auf Site2 FTD.

Configure_Pre_Shared_Key

Schritt 3.13: Überprüfen der VPN-Konfiguration Wenn Sie Änderungen vornehmen möchten, klicken Sie auf die Schaltfläche Zurück. Wenn alles in Ordnung ist, klicken Sie auf die Schaltfläche FERTIG stellen.

VPN_Assistent_Abgeschlossen

Schritt 3.14: Erstellen Sie eine Zugriffskontrollregel, um den Datenverkehr durch das FTD zuzulassen. In diesem Beispiel können Sie alle zu Demonstrationszwecken zulassen. Ändern Sie Ihre Richtlinie entsprechend Ihren tatsächlichen Anforderungen.

Beispiel für Zugriffskontrolle_Regel

Schritt 3.15: (Optional) Konfigurieren Sie die NAT-Ausschlussregel für den Client-Datenverkehr auf FTD, wenn für den Client eine dynamische NAT konfiguriert wurde, um auf das Internet zuzugreifen. In diesem Beispiel ist es nicht erforderlich, eine NAT-Ausschlussregel zu konfigurieren, da für jedes FTD keine dynamische NAT konfiguriert ist.

Schritt 3.16: Bereitstellen der Konfigurationsänderungen

Bereitstellen_VPN_Konfiguration

Konfigurationen im BGP

Schritt 4: Navigieren Sie zu Gerät > Routing. Klicken Sie auf Konfiguration anzeigen.

View_Routing_Konfiguration

Schritt 5: Klicken Sie auf die Registerkarte BGP und dann auf BGP-OBJEKT ERSTELLEN.

Erstellen_BGP_Objekt

Schritt 6. Geben Sie den Namen des Objekts an. Navigieren Sie zu Vorlage und konfigurieren. Klicken Sie auf die Schaltfläche OK, um zu speichern.

Name: abreißen

Leitung 1: AS-Nummer konfigurieren Klicken Sie auf as-number. Geben Sie die lokale AS-Nummer manuell ein. In diesem Beispiel ist AS-Nummer 65511 für Site1 FTD.

Leitung 2: Konfigurieren des IP-Protokolls Klicken Sie auf ip-protocol. Wählen Sie ipv4 aus.

Create_BGP_Object_ASNumber_Protocol

Leitung 4: Weitere Einstellungen konfigurieren. Klicken Sie auf Einstellungen, wählen Sie Allgemein aus, und klicken Sie dann auf Deaktivieren anzeigen.

Create_BGP_Object_AddressSetting

Leitung 6: Klicken Sie auf das Symbol +, um die Leitung für die Konfiguration des BGP-Netzwerks zu aktivieren. Klicken Sie auf Netzwerkobjekt. Sie können die vorhandenen Objekte sehen und eines auswählen. Wählen Sie in diesem Beispiel den Objektnamen inside_192.168.70.0 (erstellt in Schritt 3.2).

Create_BGP_Object_Add_Network

Create_BGP_Object_Add_Network2

Leitung 11: Klicken Sie auf das Symbol +, um die Leitung zur Konfiguration der Informationen zu den BGP-Nachbarn zu aktivieren. Klicken Sie auf Neighbor-Adresse, und geben Sie die PeerBGP-Nachbaradresse manuell ein. In diesem Beispiel ist dies 169.254.10.2 (VTI-IP-Adresse von Site2 FTD). Klicken Sie auf AS-Nummer, und geben Sie die AS-Nummer des Peers manuell ein. In diesem Beispiel gilt 65510 für Site2 FTD. Klicken Sie auf Konfigurationsoptionen, und wählen Sie Eigenschaften aus.

Create_BGP_Object_NeighborEinstellung

Leitung 14: Klicken Sie auf das Symbol +, damit die Leitung einige Eigenschaften des Nachbarn konfigurieren kann. Klicken Sie auf activate-options und wählen Sie Eigenschaften.

Create_BGP_Object_NeighborSetting_Properties

Leitung 13: Klicken Sie auf das Symbol +, damit für den Posten erweiterte Optionen angezeigt werden. Klicken Sie auf Einstellungen, und wählen Sie Erweitert aus.

Create_BGP_Object_NeighborSetting_Properties_Advanced

Leitung 18: Klicken Sie auf Optionen und wählen Sie Deaktivieren, um die MTU-Pfaderkennung zu deaktivieren.

Create_BGP_Object_NeighborSetting_Properties_Advanced_PMD

Leitung 14, 15, 16, 17: Klicken Sie auf die - Schaltfläche, um die Posten zu deaktivieren. Klicken Sie anschließend auf die Schaltfläche OK, um das BGP-Objekt zu speichern.

Create_BGP_Object_DisableLines

Dies ist eine Übersicht über die BGP-Einstellung in diesem Beispiel. Sie können die anderen BGP-Einstellungen entsprechend Ihren tatsächlichen Anforderungen konfigurieren.

Create_BGP_Object_Final_Overview

Schritt 7: Bereitstellen der BGP-Konfigurationsänderungen

Bereitstellen_BGP_Konfiguration

Schritt 8: Nun ist die Konfiguration für Site1 FTD abgeschlossen. 

Um Site2 FTD VPN und BGP zu konfigurieren, wiederholen Sie Schritt 3 bis Schritt 7 mit den entsprechenden Parametern von Site2 FTD.

Konfigurationsübersicht für Site1 FTD und Site2 FTD in CLI.

Standort1 FTD

Standort2 FTD

NGFW-Version 7.4.2 interface GigabitEthernet0/0 nameif extern CTS-Handbuch Weitergeben sgt serve untag Richtlinie statisches sgt deaktiviert Vertrauenswürdig Sicherheitsstufe 0 ip address 192.168.30.1 255.255.255.0 interface GigabitEthernet0/2 nameif inside Sicherheitsstufe 0 ip address 192.168.70.1 255.255.255.0 interface Tunnel1 NameIeif demovti ip address 169.254.10.1 255.255.255.0 Tunnelquellenschnittstelle außen Tunnelziel 192.168.10.1 Tunnelmodus IPsec IPv4 tunnel protection ipsec-profil ipsec_profile|e4084d322d Objektnetzwerk OutsideIPv4Gateway Host 192.168.30.3 Objektnetzwerk inside_192.168.70.0 Subnetz 192.168.70.0 255.255.255.0 Zugriffsgruppe NGFW_ONBOX_ACL global Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 268435457: ZUGRIFFSRICHTLINIE: NGFW_Zugriffsrichtlinie Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 268435457: L5-REGEL: Interne_externe_Regel access-list NGFW_ONBOX_ACL advanced trust object-group |acSvcg-268435457 ifc in jeder ifc außerhalb jeder Regel-ID 268435457 Ereignisprotokoll, beide Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 268435458: ZUGRIFFSRICHTLINIE: NGFW_Zugriffsrichtlinie Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 268435458: L5-REGEL: Demo_zulassen access-list NGFW_ONBOX_ACL advanced permit object-Gruppe |acSvcg-268435458 alle Regel-ID 268435458 Ereignisprotokolle, beide Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 1: ZUGRIFFSRICHTLINIE: NGFW_Zugriffsrichtlinie Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 1: L5-REGEL: Standardaktionsregel access-list NGFW_ONBOX_ACL advanced deny ip any rule-id 1 Router BGP 65511 bgp log-neighbor-änderungen bgp router-id vrf automatisch zuweisen address-family-IPv4-Unicast neighbor 169.254.10.2 remote-as 65510 neighbor 169.254.10.2 transport path-mtu-discovery disable Nachbar 169.254.10.2 aktivieren Netzwerk 192.168.70.0 keine automatische Zusammenfassung keine Synchronisierung Ausgangsadressenfamilie Route außerhalb 0.0.0.0 0.0.0.0 192.168.30.3 1 crypto ipsec ikev2 ipsec-vorschlag AES256_SHA256 Protokoll-ESP-Verschlüsselung AES-256 AES Protokoll esp integrität sha-256 sha-1 crypto ipsec-Profil ipsec_profile|e4084d322d set ikev2 ipsec-vorschlag AES256_SHA256 set security-association lebensdauer kilobyte 4608000 Lebensdauer der Sicherheitszuordnung festlegen 28800 crypto ipsec Sicherheitszuordnung pmtu-aging unendlich crypto ikev2 policy 1 Verschlüsselung AES-256 AES Integrität sha256 sha Gruppe 14 prf sha256 sha Lebensdauersekunden 86400 crypto ikev2 policy 20 Verschlüsselung AES-256 AES-192 AES Integrität sha512 sha384 sha256 sha Gruppe 21 20 16 15 14 prf sha 512 sha 384 sha 256 sha Lebensdauersekunden 86400 crypto ikev2 außerhalb aktivieren Gruppenpolitik |s2sGP|192.168.10.1 intern Gruppenpolitik |s2sGP|192.168.10.1-Attribute vpn-tunnel-protocol ikev2 tunnel-group 192.168.10.1, Typ ipsec-l2l tunnel-group 192.168.10.1 allgemeine Attribute default-group-policy |s2sGP|192.168.10.1 tunnel-group 192.168.10.1 ipsec-attribute ikev2 Remote-Authentifizierung Pre-Shared-Key ***** ikev2 local-authentication pre-shared-key *****

NGFW-Version 7.4.2 interface GigabitEthernet0/0 nameif extern CTS-Handbuch Weitergeben sgt serve untag Richtlinie statisches sgt deaktiviert Vertrauenswürdig Sicherheitsstufe 0 ip address 192.168.10.1 255.255.255.0 interface GigabitEthernet0/2 nameif inside Sicherheitsstufe 0 ip address 192.168.50.1 255.255.255.0 interface Tunnel1 Name eif demovti25 ip address 169.254.10.2 255.255.255.0 Tunnelquellenschnittstelle außen Tunnelziel 192.168.30.1 Tunnelmodus IPsec IPv4 tunnel protection ipsec-profil ipsec_profile|e4084d322d Objektnetzwerk OutsideIPv4Gateway Host 192.168.10.3 Objektnetzwerk inside_192.168.50.0 Subnetz 192.168.50.0 255.255.255.0 Zugriffsgruppe NGFW_ONBOX_ACL global Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 268435457: ZUGRIFFSRICHTLINIE: NGFW_Zugriffsrichtlinie Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 268435457: L5-REGEL: Interne_externe_Regel access-list NGFW_ONBOX_ACL advanced trust object-group |acSvcg-268435457 ifc in jeder ifc außerhalb jeder Regel-ID 268435457 Ereignisprotokoll, beide Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 268435458: ZUGRIFFSRICHTLINIE: NGFW_Zugriffsrichtlinie Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 268435458: L5-REGEL: Demo_zulassen access-list NGFW_ONBOX_ACL advanced permit object-Gruppe |acSvcg-268435458 alle Regel-ID 268435458 Ereignisprotokolle, beide Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 1: ZUGRIFFSRICHTLINIE: NGFW_Zugriffsrichtlinie Zugriffsliste NGFW_ONBOX_ACL Bemerkung Regel-ID 1: L5-REGEL: Standardaktionsregel access-list NGFW_ONBOX_ACL advanced deny ip any rule-id 1 Router BGP 65510 bgp log-neighbor-änderungen bgp router-id vrf automatisch zuweisen address-family-IPv4-Unicast neighbor 169.254.10.1 remote-as 65511 neighbor 169.254.10.1 transport path-mtu-discovery disable Nachbar 169.254.10.1 aktivieren Netzwerk 192.168.50.0 keine automatische Zusammenfassung keine Synchronisierung Ausgangsadressenfamilie Route außerhalb 0.0.0.0 0.0.0.0 192.168.10.3 1 crypto ipsec ikev2 ipsec-vorschlag AES256_SHA256 Protokoll-ESP-Verschlüsselung AES-256 AES Protokoll esp integrität sha-256 sha-1 crypto ipsec-Profil ipsec_profile|e4084d322d set ikev2 ipsec-vorschlag AES256_SHA256 set security-association lebensdauer kilobyte 4608000 Lebensdauer der Sicherheitszuordnung festlegen 28800 crypto ipsec Sicherheitszuordnung pmtu-aging unendlich crypto ikev2 policy 1 Verschlüsselung AES-256 AES Integrität sha256 sha Gruppe 14 prf sha256 sha Lebensdauersekunden 86400 crypto ikev2 policy 20 Verschlüsselung AES-256 AES-192 AES Integrität sha512 sha384 sha256 sha Gruppe 21 20 16 15 14 prf sha 512 sha 384 sha 256 sha Lebensdauersekunden 86400 crypto ikev2 außerhalb aktivieren Gruppenpolitik |s2sGP|192.168.30.1 intern Gruppenpolitik |s2sGP|192.168.30.1-Attribute vpn-tunnel-protocol ikev2 tunnel-group 192.168.30.1, Typ ipsec-l2l tunnel-group 192.168.30.1 allgemeine Attribute default-group-policy |s2sGP|192.168.30.1 tunnel-group 192.168.30.1 ipsec-attribute ikev2 Remote-Authentifizierung Pre-Shared-Key ***** ikev2 local-authentication pre-shared-key *****

Überprüfung

Verwenden Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

Schritt 1: Navigieren Sie über die Konsole oder SSH zur CLI jedes FTD, um den VPN-Status von Phase 1 und Phase 2 über die Befehle show crypto ikev2 sa und show crypto ipsec sa zu überprüfen.

Standort1 FTD	Standort2 FTD
ftdv742# show crypto ikev2 sa IKEv2-SAs: Session-ID:134, Status:UP-ACTIVE, IKE-Anzahl:1, KINDERZAHL:1 Tunnel-ID Lokale Remote-Rolle "fvrf/ivrf Status" 563984431 192.168.30.1/500 192.168.10.1/500 Global/Global READY RESPONDER Registrieren: AES-CBC, Keysize: 256, Hash: SHA256, DH Grp:14, Auth-Zeichen: PSK, Auth-Verifizierung: PSK Lebensdauer/Aktivzeit: 86400/5145 s Sa für Kinder: lokaler Selektor 0.0.0.0/0 - 255.255.255.255/65535 Remote Selector 0.0.0.0/0 - 255.255.255.255/65535 ESP-Spin-In/Out: 0xf0c4239d/0xb7b5b38b	ftdv742# show crypto ikev2 sa IKEv2-SAs: Sitzungs-ID:13, Status:UP-ACTIVE, IKE-Anzahl:1, KINDERZAHL:1 Tunnel-ID Lokale Remote-Rolle "fvrf/ivrf Status" 339797985 192.168.10.1/500 192.168.30.1/500 Global/Global READY INITIATOR Registrieren: AES-CBC, Keysize: 256, Hash: SHA256, DH Grp:14, Auth-Zeichen: PSK, Auth-Verifizierung: PSK Lebensdauer/Aktivzeit: 86400/74099 s Sa für Kinder: lokaler Selektor 0.0.0.0/0 - 255.255.255.255/65535 Remote Selector 0.0.0.0/0 - 255.255.255.255/65535 ESP-Spin-In/Out: 0xb7b5b38b/0xf0c4239d
ftdv742# show crypto ipsec sa Schnittstelle: demovti     Crypto Map-Tag: __ vti-crypto-map-Tunnel1-0-1, seq num: 65280, lokale Adresse: 192.168.30.1 Geschütztes VRF (IVRF): Global Lokale ID (Adresse/Maske/Port/Port): (0.0.0.0/0.0.0.0/0/0) remote ident (adr/mask/port/port): (0.0.0.0/0.0.0.0/0/0) current_peer: 192.168.10.1 #pkts Encaps: 5720, #pkts verschlüsseln: 5720, #pkts Zusammenfassung: 5720 #pkts entkapselt: 5717, #pkts entschlüsseln: 5717, #pkts verifizieren: 5717 #pkts komprimiert: 0, #pkts dekomprimiert: 0 #pkts nicht komprimiert: 5720, #pkts comp fehlgeschlagen: 0, #pkts Dekomprimierung fehlgeschlagen: 0 #pre-frag erfolgreich: 0, #pre-frag Fehlschläge: 0, #fragments erstellt: 0 #PMTUs schickte: 0, #PMTUs CVD: 0, #decapsulated frösche müssen wieder zusammengesetzt werden: 0 #TFC Archiv: 0, #TFC schickte: 0 #Valid Empfangene ICMP-Fehler: 0, #Invalid Erkannte ICMP-Fehler: 0 #send Fehler: 0, #recv Fehler: 0 Lokales Kryptografieendpt.: 192.168.30.1/500, remote crypto endpt.: 192.168.10.1/500 path mtu 1500, ipsec overhead 78(44), media mtu 1500 Verbleibende PMTU-Zeit (Sek.): 0, DF-Richtlinie: copy-df ICMP-Fehlervalidierung: Deaktiviert, TFC-Pakete: disabled Aktuelle ausgehende SPI: B7B5B38B aktuelle eingehende SPI: F0C4239D Inbound ESP SAS: SPI: 0xF0C4239D (4039386013) SA-Staat: active transformieren: esp-aes-256 esp-sha-256-hmac keine Komprimierung In Verwendung: Einstellungen ={L2L, Tunnel, IKEv2, VTI, } Steckplatz: 0, conn_id: 266, crypto-map: __vti-crypto-map-Tunnel1-0-1 sa-Timing: Verbleibende Schlüssellebensdauer (kB/s): (4285389/3722) IV-Größe: 16 Byte Unterstützung für Wiedergabe-Erkennung: Y Anti-Wiedergabe-Bitmap: 0xFFFFFFFF 0xFFFFFFFF Outbound ESP SAS: SPI: 0xB7B5B38B (3082138507) SA-Staat: active transformieren: esp-aes-256 esp-sha-256-hmac keine Komprimierung In Verwendung: Einstellungen ={L2L, Tunnel, IKEv2, VTI, } Steckplatz: 0, conn_id: 266, crypto-map: __vti-crypto-map-Tunnel1-0-1 sa-Timing: Verbleibende Schlüssellebensdauer (kB/s): (4147149/3722) IV-Größe: 16 Byte Unterstützung für Wiedergabe-Erkennung: Y Anti-Wiedergabe-Bitmap: 0x00000000 0x00000001	ftdv742# show crypto ipsec sa Schnittstelle: Demovti25     Crypto Map-Tag: __ vti-crypto-map-Tunnel1-0-1, seq num: 65280, lokale Adresse: 192.168.10.1 Geschütztes VRF (IVRF): Global Lokale ID (Adresse/Maske/Port/Port): (0.0.0.0/0.0.0.0/0/0) remote ident (adr/mask/port/port): (0.0.0.0/0.0.0.0/0/0) current_peer: 192.168.30.1 #pkts Encaps: 5721, #pkts verschlüsseln: 5721, #pkts Zusammenfassung: 5721 #pkts entkapselt: 5721, #pkts entschlüsseln: 5721, #pkts verifizieren: 5721 #pkts komprimiert: 0, #pkts dekomprimiert: 0 #pkts nicht komprimiert: 5721, #pkts comp fehlgeschlagen: 0, #pkts Dekomprimierung fehlgeschlagen: 0 #pre-frag erfolgreich: 0, #pre-frag Fehlschläge: 0, #fragments erstellt: 0 #PMTUs schickte: 0, #PMTUs CVD: 0, #decapsulated frösche müssen wieder zusammengesetzt werden: 0 #TFC Archiv: 0, #TFC schickte: 0 #Valid Empfangene ICMP-Fehler: 0, #Invalid Erkannte ICMP-Fehler: 0 #send Fehler: 0, #recv Fehler: 0 Lokales Kryptografieendpt.: 192.168.10.1/500, remote crypto endpt.: 192.168.30.1/500 path mtu 1500, ipsec overhead 78(44), media mtu 1500 Verbleibende PMTU-Zeit (Sek.): 0, DF-Richtlinie: copy-df ICMP-Fehlervalidierung: Deaktiviert, TFC-Pakete: disabled Aktuelle ausgehende SPI: F0C4239D aktuelle eingehende SPI: B7B5B38B Inbound ESP SAS: SPI: 0xB7B5B38B (3082138507) SA-Staat: active transformieren: esp-aes-256 esp-sha-256-hmac keine Komprimierung In Verwendung: Einstellungen ={L2L, Tunnel, IKEv2, VTI, } Steckplatz: 0, conn_id: 160, crypto-map: __vti-crypto-map-Tunnel1-0-1 sa-Timing: Verbleibende Schlüssellebensdauer (kB/s): (3962829/3626) IV-Größe: 16 Byte Unterstützung für Wiedergabe-Erkennung: Y Anti-Wiedergabe-Bitmap: 0xFFFFFFFF 0xFFFFFFFF Outbound ESP SAS: SPI: 0xF0C4239D (4039386013) SA-Staat: active transformieren: esp-aes-256 esp-sha-256-hmac keine Komprimierung In Verwendung: Einstellungen ={L2L, Tunnel, IKEv2, VTI, } Steckplatz: 0, conn_id: 160, crypto-map: __vti-crypto-map-Tunnel1-0-1 sa-Timing: Verbleibende Schlüssellebensdauer (kB/s): (4101069/3626) IV-Größe: 16 Byte Unterstützung für Wiedergabe-Erkennung: Y Anti-Wiedergabe-Bitmap: 0x00000000 0x00000001

Schritt 2: Navigieren Sie über die Konsole oder SSH zur CLI jedes FTD, um den BGP-Status mithilfe der Befehle show bgp neighbors und show route bgp zu überprüfen.

Standort1 FTD	Standort2 FTD
ftdv742# BGP-Nachbarn anzeigen BGP-Nachbar ist 169.254.10.2, vrf single_vf, Remote-AS 65510, externe Verbindung BGP-Version 4, Remote-Router-ID 192.168.50.1 BGP-Status = etabliert, bis zu 1 d20 h Zuletzt gelesen 00:00:25, zuletzt geschrieben 00:00:45, Haltezeit 180, Keepalive-Intervall 60 Sekunden Nachbarsitzungen: 1 aktiv, ist nicht Multisession-fähig (deaktiviert) Funktionen für Nachbarn: Routenaktualisierung: beworben und empfangen (neu) ASN-Funktion mit vier Oktetten: beworben und erhalten Adressfamilie IPv4 Unicast: beworben und erhalten Multisession-Funktion: Nachrichtenstatistik: InQ-Tiefe ist 0 OutQ-Tiefe ist 0 Gesendet Empf. Öffnet:  1 1 Benachrichtigungen: 0 0 Aktualisierungen: 2 2 Keepalive: 2423 2427 Routen-Aktualisierung: 0 0 Gesamt: 2426 2430 Die standardmäßige Mindestdauer zwischen den Anzeigeläufen beträgt 30 Sekunden. Für Adressfamilie: IPv4-Unicast Sitzung: 169.254.10.2 BGP-Tabelle Version 3, Nachbarversion 3/0 Größe der Ausgabewarteschlange: 0 Ziffer 1 1 Mitglied einer Aktualisierungsgruppe Gesendet Empf. Präfixaktivität: ---- ---- Aktuelles Präfix: 1 1 (80 Byte) Präfixe gesamt: 1 1 Implizit zurückziehen: 0 0 Explizit zurückziehen: 0 0 Als bestmöglicher Pfad verwendet: k. A. 1 Als Multipath verwendet: k. A. 0 Ausgehender eingehender Datenverkehr Präfixe für abgelehnte lokale Richtlinien: -------- ------- Bestpfad von diesem Peer: 1 k. A. Gesamt: 1 0 Anzahl der NLRIs in der gesendeten Aktualisierung: max. 1, min. 0 Die Adressverfolgung ist aktiviert, und die RIB hat eine Route zu 169.254.10.2. Verbundene Verbindungen 1; Fallenlassen 0 Letzte Zurücksetzung nie Transport(tcp) path-mtu-discovery ist deaktiviert Ordnungsgemäßer Neustart ist deaktiviert	ftdv742# BGP-Nachbarn anzeigen BGP-Nachbar ist 169.254.10.1, vrf single_vf, Remote-AS 65511, externe Verbindung BGP-Version 4, Remote-Router-ID 192.168.70.1 BGP-Status = etabliert, bis zu 1 d20 h Zuletzt gelesen 00:00:11, zuletzt geschrieben 00:00:52, Haltezeit 180, Keepalive-Intervall 60 Sekunden Nachbarsitzungen: 1 aktiv, ist nicht Multisession-fähig (deaktiviert) Funktionen für Nachbarn: Routenaktualisierung: beworben und empfangen (neu) ASN-Funktion mit vier Oktetten: beworben und erhalten Adressfamilie IPv4 Unicast: beworben und erhalten Multisession-Funktion: Nachrichtenstatistik: InQ-Tiefe ist 0 OutQ-Tiefe ist 0 Gesendet Empf. Öffnet: 1 1 Benachrichtigungen: 0 0 Aktualisierungen: 2 2 Keepalive: 2424 2421 Routen-Aktualisierung: 0 0 Gesamt: 2427 2424 Die standardmäßige Mindestdauer zwischen den Anzeigeläufen beträgt 30 Sekunden. Für Adressfamilie: IPv4-Unicast Sitzung: 169.254.10.1 BGP-Tabelle Version 9, Nachbarversion 9/0 Größe der Ausgabewarteschlange: 0 Ziffer 4 4 Mitglieder der Aktualisierungsgruppe Gesendet Empf. Präfixaktivität: ---- ---- Aktuelles Präfix: 1 1 (80 Byte) Präfixe gesamt: 1 1 Implizit zurückziehen: 0 0 Explizit zurückziehen: 0 0 Als bestmöglicher Pfad verwendet: k. A. 1 Als Multipath verwendet: k. A. 0 Ausgehender eingehender Datenverkehr Präfixe für abgelehnte lokale Richtlinien: -------- ------- Bestpfad von diesem Peer: 1 k. A. Gesamt: 1 0 Anzahl der NLRIs in der gesendeten Aktualisierung: max. 1, min. 0 Die Adressverfolgung ist aktiviert, und die RIB hat eine Route zu 169.254.10.1. hergestellte Verbindungen 4; Dropdown 3 Letzte Rücksetzung 1d21h, aufgrund Interface-Flapping von Session 1 Transport(tcp) path-mtu-discovery ist deaktiviert Ordnungsgemäßer Neustart ist deaktiviert
ftdv742# Routen-BGP anzeigen Codes: L - lokal, C - verbunden, S - statisch, R - RIP, M - mobil, B - BGP D - EIGRP, EX - EIGRP extern, O - OSPF, IA - OSPF interarea N1 - OSPF NSSA extern Typ 1, N2 - OSPF NSSA extern Typ 2 E1 - externer OSPF-Typ 1, E2 - externer OSPF-Typ 2, V - VPN i - IS-IS, su - IS-IS-Zusammenfassung, L1 - IS-IS-Ebene-1, L2 - IS-IS-Ebene-2 ia - IS-IS interarea, * - candidate default, U - per user static route o - ODR, P - periodische heruntergeladene statische Route, + - replizierte Route SI = Static InterVRF, BI = BGP InterVRF Gateway der letzten Instanz ist 192.168.30.3 zum Netzwerk 0.0.0.0 B 192.168.50.0 255.255.255.0 [20/0] via 169.254.10.2, 1d20h	ftdv742# Routen-BGP anzeigen Codes: L - lokal, C - verbunden, S - statisch, R - RIP, M - mobil, B - BGP D - EIGRP, EX - EIGRP extern, O - OSPF, IA - OSPF interarea N1 - OSPF NSSA extern Typ 1, N2 - OSPF NSSA extern Typ 2 E1 - externer OSPF-Typ 1, E2 - externer OSPF-Typ 2, V - VPN i - IS-IS, su - IS-IS-Zusammenfassung, L1 - IS-IS-Ebene-1, L2 - IS-IS-Ebene-2 ia - IS-IS interarea, * - candidate default, U - per user static route o - ODR, P - periodische heruntergeladene statische Route, + - replizierte Route SI = Static InterVRF, BI = BGP InterVRF Gateway der letzten Instanz ist 192.168.10.3 zum Netzwerk 0.0.0.0 B 192.168.70.0 255.255.255.0 [20/0] via 169.254.10.1, 1d20h

Schritt 3: Der Site1-Client und der Site2-Client pingen einander erfolgreich an.

Standort 1-Client:

Site1_Client#ping 192.168.50.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.50.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 31/56/90 ms

Standort 2-Client:

Site2_Client#ping 192.168.70.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.70.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 12/39/71 ms

Fehlerbehebung

In diesem Abschnitt erhalten Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration.

Sie können diese Befehle zum Debuggen verwenden, um den VPN-Abschnitt zu beheben.

debug crypto ikev2 platform 255
debug crypto ikev2 protocol 255
debug crypto ipsec 255
debug vti 255

Sie können diese Befehle verwenden, um Fehler im BGP-Abschnitt zu beheben.

ftdv742# debug ip bgp ?

A.B.C.D    BGP neighbor address
all All    address families
events     BGP events
import     BGP path import across topologies, VRFs or AFs in BGP Inbound information
ipv4       Address family
ipv6       Address family
keepalives BGP keepalives
out        BGP Outbound information
range      BGP dynamic range
rib-filter Next hop route watch filter events
updates    BGP updates
vpnv4      Address family
vpnv6      Address family
vrf        VRF scope
<cr>

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	01-Jun-2026	Aktualisierte Stilanforderungen und Formatierung.
1.0	21-Oct-2024	Erstveröffentlichung