Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Antecedentes

Cambio de comportamiento

Configuración

Escenario de impacto

Solución

Introducción

Este documento describe el cambio en el comportamiento de la inyección de la ruta VPN en la tabla de ruteo BGP a partir de la versión 7.1.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Conocimiento de la tecnología Firepower

- Conocimientos sobre la configuración de BGP y anuncio de ruta

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Cisco Secure Firewall Management Center (FMC)

- Cisco Firepower Threat Defence (FTD)

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

El requisito es anunciar las rutas VPN sobre BGP.

Las rutas VPN se filtran mediante criterios coincidentes de siguiente salto.

La lista de acceso estándar está configurada para coincidir con un salto siguiente 0.0.0.0.

Cambio de comportamiento

En la versión 6.6.5, las rutas VPN se inyectan en la tabla de ruteo BGP con el salto siguiente configurado en 0.0.0.0.

En la versión 7.1, las rutas VPN se insertan en la tabla de ruteo BGP con el salto siguiente configurado como la dirección IP de red de la subred correspondiente.

Configuración

Configuración de BGP:

router bgp 12345

bgp log-neighbor-changes

bgp router-id vrf auto-assign

address-family ipv4 unicast

neighbor 172.30.0.21 remote-as 12346

neighbor 172.30.0.21 description CISCO-FTD-B

neighbor 172.30.0.21 transport path-mtu-discovery disable

neighbor 172.30.0.21 timers 10 40

neighbor 172.30.0.21 fall-over bfd

neighbor 172.30.0.21 ha-mode graceful-restart

neighbor 172.30.0.21 activate

neighbor 172.30.0.21 send-community

neighbor 172.30.0.21 route-map VPN_INSIDE_IN in

neighbor 172.30.0.21 route-map VPN_INSIDE_OUT out

redistribute static

redustribute connected

no auto-summary

no synchronization

exit-address-family

Configuración del mapa de ruta:

firepower# sh run route-map VPN_INSIDE_OUT

route-map VPN_INSIDE_PRI_OUT permit 10

match ip next-hop NextHopZeroes

firepower# sh run access-list NextHopZeroes

access-list NextHopZeroes standard permit host 0.0.0.0

Con esta configuración, BGP anuncia solamente las rutas para las cuales el salto siguiente se define como 0.0.0.0.

Instalación de rutas VPN en la tabla de ruteo:

firepower# sh route | inc 172.20.192

V 172.20.192.0 255.255.252.0 connected by VPN (advertised), VPN-OUTSIDE

Salida de show bgp:

En la versión 6.6.5

show bgp :

*> 172.20.192.0/22 0.0.0.0 0 32768 ?

Se puede ver que la subred 172.20.192.0/22 está instalada en la tabla BGP con la IP de siguiente salto definida como 0.0.0.0.

En la versión 7.1

show bgp :

*> 172.20.192.0/22 172.20.192.0 0 32768 ?

Se puede ver que la subred 172.20.192.0/22 está instalada en la tabla BGP con la IP de siguiente salto definida como la IP de red de subred : 172.20.192.0.

Escenario de impacto

Si la configuración incluye un route-map configurado para coincidir con una IP de siguiente salto de 0.0.0.0, el filtrado de rutas se verá afectado y las rutas VPN no se anunciarán.

Solución

Dos soluciones disponibles:

1. Cree una lista de todas las subredes VPN y configúrelas individualmente para el anuncio sobre BGP. Nota: Este método no es escalable.

2. Configure BGP para anunciar las rutas generadas localmente. Aplicar este comando de configuración:

route-map <route-map-name> permit 10

match route-type local

Al implementar una de las soluciones previamente discutidas, FTD anuncia las rutas inyectadas por VPN a través de BGP.