Konfiguration von BGP-Routing mit Einschränkungen für die Soft-Rekonfiguration für FTD

• Problem
• Umwelt
• Auflösung
• Funktionseinschränkungen
• Alternativer Ansatz (Funktion für Routenaktualisierung)
• Ursache
• Verwandte Inhalte

---

Problem

Wenn ein Benutzer versucht, die Border Gateway Protocol (BGP)-Soft-Reconfiguration auf einem BGP-Peer in Firewall Threat Defense (FTD) mithilfe von Firewall Management Center (FMC) durchzuführen, kann die Konfiguration nicht über die standardmäßige FMC-BGP-Schnittstelle abgeschlossen werden. Darüber hinaus führt der Versuch, diese Funktion mithilfe von FlexConfig-Objekten zu implementieren, zu Fehlern bei der Texteingabe für verschiedene Teile des Befehls zur weichen Neukonfiguration des BGP-Nachbarn. Die spezifische Anforderung besteht darin, die eingehende Soft-Reconfiguration von BGP-Nachbarn zu aktivieren, um empfangene Routen für die Richtlinienauswertung und die Fehlerbehebung zu speichern.

Umwelt

• Hardware: Sichere Firewall 3100 Auch andere Hardwareplattformen sind betroffen.

• Software: FTD (diese Beschränkung gilt auch für Adaptive Security Appliances (ASA)).

• FMC Version 7.4.6. Weitere Softwareversionen sind ebenfalls betroffen.

• FTD-Version 7.4.6. Andere Softwareversionen sind ebenfalls betroffen.

• FTD verfügt über eine BGP-Routing-Protokollkonfiguration.

Auflösung

Zum Zeitpunkt der Erstellung dieses Dokuments wird die klassische eingehende Soft-Reconfiguration des BGP-Nachbarn (eingehender Soft-Reconfiguration des BGP-Befehls-Nachbarn x.x.x.x) auf FTD-Geräten weder über die FMC-BGP-Benutzeroberfläche noch als unterstützte FlexConfig-Methode unterstützt.

Funktionseinschränkungen

Diese Funktionen zur sanften BGP-Neukonfiguration sind nicht verfügbar:

• Die FMC-BGP-Konfiguration bietet keine Konfigurationsoption für eingehende Soft-Reconfiguration von Nachbarn.

• Der Versuch, die äquivalente CLI über FlexConfig zu konfigurieren, schlägt fehl, da es sich nicht um einen unterstützten, über FTD/FMC verwalteten BGP-Konfigurationsartikel handelt.

Alternativer Ansatz (Funktion für Routenaktualisierung)

FTD unterstützt die Funktion zur BGP-Routenaktualisierung, wenn diese mit BGP-Peers ausgehandelt wird. Dies stellt den unterstützten Mechanismus für das dynamische Zurücksetzen nach Richtlinienänderungen bereit, der sich jedoch von der klassischen eingehenden Funktion für die Soft-Reconfiguration unterscheidet.

Der empfohlene Ansatz umfasst Folgendes:

• Setzen Sie die Konfiguration von BGP-Nachbarn, Präfixlisten, Routenzuordnungen und die Filterung durch den von FMC unterstützten BGP-Konfigurations-Workflow fort.

• Bestätigen Sie, dass BGP-Peers die Funktion für Routenaktualisierungen aushandeln:

device# show bgp neighbors 192.0.2.2
BGP neighbor is 192.0.2.2,  context single_vf,  remote AS 65535, internal link
  BGP version 4, remote router ID 192.0.2.2
  BGP state = Established, up for 00:17:39
  Last read 00:00:31, last write 00:00:31, hold time is 180, keepalive interval is 60 seconds
  Neighbor sessions:
    1 active, is not multisession capable (disabled)
  Neighbor capabilities:
    Route refresh: advertised and received(new)       <------- BGP Route Refresh capability is enabled on both peers
    Four-octets ASN Capability: advertised and received
    Address family IPv4 Unicast: advertised and received
    Multisession Capability: 
  Message statistics:
    InQ depth is 0
    OutQ depth is 0
    
                   Sent       Rcvd
    Opens:         1          1         
    Notifications: 0          0         
    Updates:       1          3         
    Keepalives:    17         20        
    Route Refresh: 1          0         <------- The neighbor sent 1 BGP Route Refresh message
    Total:         20         24

• Verwenden Sie das Verhalten für die Routenaktualisierung zur Neubewertung der Richtlinie, anstatt eine eingehende Soft-Rekonfiguration zu aktivieren, z. B.:

device# clear bgp 192.0.2.2 in

• Damit die betrieblichen Anforderungen alle empfangenen und abgelehnten Routen überwachen können, müssen sie auf der Seite des BGP-Peers bzw. -Routers überprüft werden.

Vergleich

Funktion	Funktion zur Aktualisierung von BGP-Routen	Eingehende weiche Neukonfiguration
Unterstützt auf FTD/ASA	Ja	Nein
So funktioniert es	Der Router sendet eine explizite BGP-Routen-Aktualisierungsanforderungsmeldung an den Nachbarn, in der dieser aufgefordert wird, seine Routing-Tabelle erneut anzukündigen.	Der Router weist zusätzlichen RAM zu, um eine ungefilterte Kopie der BGP-Tabelle des Nachbarn im lokalen Speicher zu speichern.
Konfigurationsanforderung	None. Auf FTD und ASA automatisch standardmäßig aktiviert.	Manuelle Konfiguration erforderlich (benachbarte x.x.x.x Soft-Reconfiguration eingehend), aber der Befehl wird auf FTD/ASA nicht unterstützt.
Speicherverbrauch	Extrem niedrig. Im RAM werden keine zusätzlichen Routing-Tabellen gespeichert.	Sehr hoch. Benötigt viel mehr Speicher für die Pfade dieses Nachbarn.
Trigger-Befehl	# BGP löschen x.x.x.x in	Nicht unterstützt auf ASA/FTD.
Abhängigkeit von Nachbarn	Ja. Der Remote-BGP-Peer muss auch die Funktion für die Routenaktualisierung unterstützen und akzeptieren.	Nein. Die Firewall ist vollständig lokal. Der Peer-Nachbar hat keine Ahnung, dass er aktiviert ist.
Command: show bgp neighbor x.x.x.x empfangene Routen	Nicht unterstützt/Fehlgeschlagen. Der Router speichert keine lokale Kopie. Beim Ausführen dieses Befehls wird ein Fehler zurückgegeben (% Inbound Soft Reconfiguration ist für x.x.x.x nicht aktiviert).	Unterstützt Zeigt sofort die ungefilterten Routen an, die derzeit im RAM des Routers zwischengespeichert sind, bevor Richtlinien angewendet wurden.

Ursache

Dies ist eine Funktionseinschränkung für FTD- und ASA-Geräte. Die Funktion zur eingehenden weichen Neukonfiguration des BGP-Nachbarn wurde weder in der BGP-Konfigurationsschnittstelle von FMC noch als unterstützte FlexConfig-Option für FTD-Geräte implementiert. Diese Einschränkung wird als Softwareerweiterung mit der Cisco Bug-ID CSCvy97220 verfolgt.

Verwandte Inhalte

• FMC BGP-Konfigurationsanleitung (10.x)

• FTD-Befehlsreferenz für BGP Neighbor und Übersicht

• Cisco Bug-ID CSCvy97220 - Verbesserungsanfrage für Support für eingehende Soft-Neukonfiguration des BGP-Nachbarn

• Technischer Support und Downloads von Cisco

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	18-Sep-2026	Erstveröffentlichung