Konfiguration von BGP-Routing mit Einschr�nkungen f�r die Soft-Rekonfiguration f�r FTD
Author: Cisco Systems, Inc.
Date: 2026-09-18T05:00:00+00:00
Description: Wenn ein Benutzer versucht, die Border Gateway Protocol (BGP)-Soft-Reconfiguration auf einem BGP-Peer in Firewall Threat Defense (FTD) mithilfe der Firewall zu konfigurieren

Inhalt

Problem

Umwelt

Auflösung

Funktionseinschränkungen

Alternativer Ansatz (Funktion für Routenaktualisierung)

Ursache

Verwandte Inhalte

- Problem
- Umwelt
- Auflösung
- Funktionseinschränkungen

- Alternativer Ansatz (Funktion für Routenaktualisierung)

- Ursache

- Verwandte Inhalte

Problem

Wenn ein Benutzer versucht, die Border Gateway Protocol (BGP)-Soft-Reconfiguration auf einem BGP-Peer in Firewall Threat Defense (FTD) mithilfe von Firewall Management Center (FMC) durchzuführen, kann die Konfiguration nicht über die standardmäßige FMC-BGP-Schnittstelle abgeschlossen werden. Darüber hinaus führt der Versuch, diese Funktion mithilfe von FlexConfig-Objekten zu implementieren, zu Fehlern bei der Texteingabe für verschiedene Teile des Befehls zur weichen Neukonfiguration des BGP-Nachbarn. Die spezifische Anforderung besteht darin, die eingehende Soft-Reconfiguration von BGP-Nachbarn zu aktivieren, um empfangene Routen für die Richtlinienauswertung und die Fehlerbehebung zu speichern.

Umwelt

- Hardware: Sichere Firewall 3100 Auch andere Hardwareplattformen sind betroffen.

- Software: FTD (diese Beschränkung gilt auch für Adaptive Security Appliances (ASA)).

- FMC Version 7.4.6. Weitere Softwareversionen sind ebenfalls betroffen.

- FTD-Version 7.4.6. Andere Softwareversionen sind ebenfalls betroffen.

- FTD verfügt über eine BGP-Routing-Protokollkonfiguration.

Auflösung

Zum Zeitpunkt der Erstellung dieses Dokuments wird die klassische eingehende Soft-Reconfiguration des BGP-Nachbarn (eingehender Soft-Reconfiguration des BGP-Befehls-Nachbarn x.x.x.x) auf FTD-Geräten weder über die FMC-BGP-Benutzeroberfläche noch als unterstützte FlexConfig-Methode unterstützt.

Funktionseinschränkungen

Diese Funktionen zur sanften BGP-Neukonfiguration sind nicht verfügbar:

- Die FMC-BGP-Konfiguration bietet keine Konfigurationsoption für eingehende Soft-Reconfiguration von Nachbarn.

- Der Versuch, die äquivalente CLI über FlexConfig zu konfigurieren, schlägt fehl, da es sich nicht um einen unterstützten, über FTD/FMC verwalteten BGP-Konfigurationsartikel handelt.

Alternativer Ansatz (Funktion für Routenaktualisierung)

FTD unterstützt die Funktion zur BGP-Routenaktualisierung, wenn diese mit BGP-Peers ausgehandelt wird. Dies stellt den unterstützten Mechanismus für das dynamische Zurücksetzen nach Richtlinienänderungen bereit, der sich jedoch von der klassischen eingehenden Funktion für die Soft-Reconfiguration unterscheidet.

Der empfohlene Ansatz umfasst Folgendes:

- Setzen Sie die Konfiguration von BGP-Nachbarn, Präfixlisten, Routenzuordnungen und die Filterung durch den von FMC unterstützten BGP-Konfigurations-Workflow fort.

- Bestätigen Sie, dass BGP-Peers die Funktion für Routenaktualisierungen aushandeln:

device# show bgp neighbors 192.0.2.2

BGP neighbor is 192.0.2.2,  context single_vf,  remote AS 65535, internal link

BGP version 4, remote router ID 192.0.2.2

BGP state = Established, up for 00:17:39

Last read 00:00:31, last write 00:00:31, hold time is 180, keepalive interval is 60 seconds

Neighbor sessions:

1 active, is not multisession capable (disabled)

Neighbor capabilities:

Route refresh: advertised and received(new)       <------- BGP Route Refresh capability is enabled on both peers

Four-octets ASN Capability: advertised and received

Address family IPv4 Unicast: advertised and received

Multisession Capability:

Message statistics:

InQ depth is 0

OutQ depth is 0

Sent       Rcvd

Opens:         1          1

Notifications: 0          0

Updates:       1          3

Keepalives:    17         20

Route Refresh: 1          0         <------- The neighbor sent 1 BGP Route Refresh message

Total:         20         24

- Verwenden Sie das Verhalten für die Routenaktualisierung zur Neubewertung der Richtlinie, anstatt eine eingehende Soft-Rekonfiguration zu aktivieren, z. B.:

device# clear bgp 192.0.2.2 in

- Damit die betrieblichen Anforderungen alle empfangenen und abgelehnten Routen überwachen können, müssen sie auf der Seite des BGP-Peers bzw. -Routers überprüft werden.

Vergleich

Funktion

Funktion zur Aktualisierung von BGP-Routen

Eingehende weiche Neukonfiguration

Unterstützt auf FTD/ASA

Ja

Nein

So funktioniert es

Der Router sendet eine explizite BGP-Routen-Aktualisierungsanforderungsmeldung an den Nachbarn, in der dieser aufgefordert wird, seine Routing-Tabelle erneut anzukündigen.

Der Router weist zusätzlichen RAM zu, um eine ungefilterte Kopie der BGP-Tabelle des Nachbarn im lokalen Speicher zu speichern.

Konfigurationsanforderung

None. Auf FTD und ASA automatisch standardmäßig aktiviert.

Manuelle Konfiguration erforderlich (benachbarte x.x.x.x Soft-Reconfiguration eingehend), aber der Befehl wird auf FTD/ASA nicht unterstützt.

Speicherverbrauch

Extrem niedrig. Im RAM werden keine zusätzlichen Routing-Tabellen gespeichert.

Sehr hoch. Benötigt viel mehr Speicher für die Pfade dieses Nachbarn.

Trigger-Befehl

# BGP löschen x.x.x.x in

Nicht unterstützt auf ASA/FTD.

Abhängigkeit von Nachbarn

Ja. Der Remote-BGP-Peer muss auch die Funktion für die Routenaktualisierung unterstützen und akzeptieren.

Nein. Die Firewall ist vollständig lokal. Der Peer-Nachbar hat keine Ahnung, dass er aktiviert ist.

Command: show bgp neighbor x.x.x.x empfangene Routen

Nicht unterstützt/Fehlgeschlagen. Der Router speichert keine lokale Kopie. Beim Ausführen dieses Befehls wird ein Fehler zurückgegeben (% Inbound Soft Reconfiguration ist für x.x.x.x nicht aktiviert).

Unterstützt Zeigt sofort die ungefilterten Routen an, die derzeit im RAM des Routers zwischengespeichert sind, bevor Richtlinien angewendet wurden.

Ursache

Dies ist eine Funktionseinschränkung für FTD- und ASA-Geräte. Die Funktion zur eingehenden weichen Neukonfiguration des BGP-Nachbarn wurde weder in der BGP-Konfigurationsschnittstelle von FMC noch als unterstützte FlexConfig-Option für FTD-Geräte implementiert. Diese Einschränkung wird als Softwareerweiterung mit der Cisco Bug-ID CSCvy97220 verfolgt.

Verwandte Inhalte

- FMC BGP-Konfigurationsanleitung (10.x)

- FTD-Befehlsreferenz für BGP Neighbor und Übersicht

- Cisco Bug-ID CSCvy97220 - Verbesserungsanfrage für Support für eingehende Soft-Neukonfiguration des BGP-Nachbarn

- Technischer Support und Downloads von Cisco