Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Antecedentes

Directrices y limitaciones

Uso de memoria y BGP

BGP y Failover

Resolución de ruta recursiva

Funcionamiento de la Máquina de Estado Finito BGP

Configurar

Configuración de eBGP

Diagrama de la red

Configuración de ASA-1

Configuración de ASA-2

Configuración de iBGP

Diagrama de la red

Configuración de ASA-1

Configuración de ASA-2

Diferencias entre eBGP e iBGP

eBGP-Multihop

Configuración de ASA-1

Configuración de ASA-2

BGP Route-Filtering

Configuración de ASA BGP en Multicontexto

Verificación

Verificar Vecindad eBGP

Rutas BGP

Configuración de ASA-1

Configuración de ASA-2

Detalle de ruta eBGP específico

Resumen de BGP

Verificar Vecindad iBGP

Detalle de ruta iBGP específico

Valor TTL para paquetes BGP

Proceso de resolución de ruta recursiva

ASA BGP y Graceful Restart Capability

Troubleshoot

Depurar

Introducción

Este documento describe los pasos necesarios para habilitar el ruteo del Protocolo de gateway fronterizo (BGP) (eBGP/iBGP) y otros problemas.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Protocolos de enrutamiento dinámico

- Descripción General del BGP de Cisco

- Casos Prácticos de BGP

Componentes Utilizados

Este documento se basa en el firewall Cisco Firepower serie 2100 que ejecuta la versión 9.16 del software Cisco ASA

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Este documento también trata sobre cómo establecer un proceso de ruteo BGP, configurar los parámetros generales de BGP, el filtrado de rutas en un Adaptive Security Appliance (ASA) y resolver problemas relacionados con la vecindad. Esta función se introdujo en la versión 9.2.1 del software ASA.

Directrices y limitaciones

- BGP es compatible tanto en modo único como en modo múltiple con la familia de direcciones IPv4 e IPv6.

- El modo múltiple es equivalente a la familia de direcciones VPNv4 (VRF) de Cisco IOS® BGP. Por router de contexto, BGP es similar a por familia de direcciones IPv4 VRF en Cisco IOS.

- Solo se admite un número de sistema autónomo (AS) para todos los contextos similares a un AS global para todas las familias de direcciones en Cisco IOS.

- No admite el modo de firewall transparente. BGP sólo se soporta en el modo ruteado.

- El sistema no agrega entradas de ruta para la dirección IP recibida a través de PPPoE en la tabla de rutas de CP. BGP siempre busca en la tabla de ruta CP para iniciar la sesión TCP, por lo tanto BGP no forma una sesión TCP. Por lo tanto, no se soporta BGP sobre PPPoE.

- Para evitar las inestabilidad de adyacencia debido a las actualizaciones de ruta que se descartan si la actualización de ruta es mayor que la MTU mínima en el link, asegúrese de configurar la misma MTU en las interfaces en ambos lados del link.

- La tabla BGP de la unidad miembro no está sincronizada con la tabla de la unidad de control. Sólo su tabla de ruteo está sincronizada con la tabla de ruteo de la unidad de control.

- El número AS se puede configurar con el uso del comando router bgp <as_num> que se puede utilizar para habilitar la familia de direcciones por contexto.

- BGP tiene seis procesos que soportan todos los contextos, y los detalles están disponibles con el comando show process. Estos procesos son Tarea BGP, BGP Scheduler, Escáner BGP, Router BGP, E/S BGP y Evento BGP.
ASA-1(config)# show proc | in BGP

Mwe 0x00000000010120d0 0x00007ffecc8ca5c8 0x0000000006136380

0  0x00007ffecc8c27c0 29432/32768  BGP Task

Mwe 0x0000000000fb3acd 0x00007ffecba47b48 0x0000000006136380

11 0x00007ffecba3fd00 31888/32768  BGP Scheduler

Lwe 0x0000000000fd3e40 0x00007ffecd3373e8 0x0000000006136380

26 0x00007ffecd32f5f0 30024/32768  BGP Scanner

Mwe 0x0000000000fd70b9 0x00007ffecd378cd8 0x0000000006136380

10 0x00007ffecd370eb0 28248/32768  BGP Router

Mwe 0x0000000000fc9f84 0x00007ffecd32f3e8 0x0000000006136380

2 0x00007ffecd3275a0 30328/32768  BGP I/O

Mwe 0x000000000100c125 0x00007ffecd33f458 0x0000000006136380

0 0x00007ffecd337640 32032/32768  BGP Event

- El contexto del sistema tiene configuraciones globales comunes a todos los contextos similares a Cisco IOS que tiene configuraciones globales para todas las familias de direcciones.

- Las configuraciones que tienen control sobre el cálculo de la mejor trayectoria, el vecino de registro, la detección de la Unidad de Transición Máxima (MTU) de la trayectoria TCP, los temporizadores globales para keepalive, el tiempo de espera, etc. están disponibles en el contexto del sistema bajo el modo de comando BGP del router.

- El soporte del comando de política BGP se encuentra en el contexto de modo de familia de direcciones por usuario.

- Se admiten todas las comunidades estándar y los atributos de ruta.

- El agujero negro activado remotamente (RTBH) es compatible con la configuración de ruta null0 estática.

- La información del salto siguiente se ha agregado a la tabla de ruteo de entrada en el procesador de red (NP). Anteriormente esto estaba disponible solamente en la tabla de ruteo de salida. Este cambio se completó para soportar la adición de rutas BGP en las tablas de reenvío NP (dado que las rutas BGP no tienen una interfaz de egreso identificada en el CP, no hay manera de determinar con qué tabla de ruteo de salida actualizar la información de salto siguiente).

- Se admite la búsqueda recursiva de rutas.

- Se admite la redistribución con otros protocolos como, por ejemplo, conectado, estático, protocolo de información de enrutamiento (RIP), ruta de acceso más corta primero (OSPF) y protocolo de enrutamiento de gateway interior mejorado (EIGRP).

- El comando no router bgp <as_no> [with confirmation prompt] elimina las configuraciones BGP en todos los contextos.

- Las bases de datos de control de rutas como route-maps, access-list, prefix lists, community lists y as-path access lists se virtualizan y se proporcionan por contexto.

- Un nuevo comando, show asp table routing address <addr> received, se introduce para mostrar las rutas BGP resueltas recursivamente en la tabla de reenvío NP.

- Un nuevo comando, show bgp system-config, se introduce en el modo múltiple para mostrar las configuraciones BGP del contexto del sistema.

- Compatibilidad con interfaz de loopback para tráfico BGP

- Compatibilidad de BGP con IPv6

- Soporte BGP para los mapas anunciados

- Soporte BGP para agrupamiento ASA

- Graceful Restart es compatible con IPv6

Uso de memoria y BGP

El comando show route summary se utiliza para obtener el uso de memoria de los protocolos de ruteo individuales.

BGP y Failover

- BGP es compatible con las configuraciones Active/Standby y Active/Active HA.

- Sólo la unidad activa escucha en el puerto TCP 179 las conexiones BGP de los pares.

- La unidad en espera no participa en el peering BGP y, por lo tanto, no escucha en el puerto TCP 179 y no mantiene las tablas BGP.

- Las adiciones y eliminaciones de rutas BGP se replican de la unidad activa a la unidad en espera.

- Tras la conmutación por fallas, la nueva unidad activa escucha en el puerto TCP 179 e inicia el establecimiento de adyacencia BGP con los pares.

- Sin Nonstop Forwarding (NSF), el establecimiento de adyacencia toma tiempo con el peer nuevamente después de la conmutación por fallas, dentro del cual las rutas BGP no se aprenden del peer. Esto depende de la siguiente señal de mantenimiento de BGP (valor predeterminado 60 segundos) del par para el cual el ASA responde con restauración (RST), lo que lleva a una terminación de conexión antigua en el extremo del par y, posteriormente, se establece una nueva conexión siguiente.

- Durante el período de reconvergencia BGP, la nueva unidad activa continúa reenviando tráfico con las rutas replicadas anteriormente.

- El período del temporizador de reconvergencia BGP actualmente está configurado en 210 segundos (el comando show route failover muestra el valor del temporizador) para dar tiempo suficiente al BGP para establecer adyacencias e intercambiar rutas con sus pares.

- Una vez que vence el temporizador de reconvergencia BGP, todas las rutas BGP obsoletas se purgan de la Base de información de routing (RIB).

- El ID de router BGP se sincroniza de la unidad activa a la unidad en espera. El cálculo de ID del router BGP está desactivado en la unidad en espera.

- El comando write standby está fuertemente desaconsejado ya que la sincronización masiva no ocurre en ese caso, lo que lleva a la pérdida de rutas dinámicas en el standby.

Resolución de ruta recursiva

- La información de la interfaz de egreso para las rutas BGP no está disponible en el CP (una consecuencia directa del hecho de que los vecinos BGP pueden estar a varios saltos de distancia a diferencia de otros protocolos de ruteo).

- Las rutas BGP con la información de salto siguiente se agregan a la tabla de ruteo de entrada NP, pero aún no se han resuelto.

- Cuando el primer paquete de un flujo que coincide con un prefijo de ruta BGP ingresa al ASA en la trayectoria lenta, la ruta se resuelve y la interfaz de egreso se determina recursivamente que busca la tabla de ruteo de entrada NP.

- Siempre que cambia la tabla de ruteo (desde el CP), se incrementa una marca de tiempo de la tabla de ruteo específica del contexto.

- Cuando el siguiente paquete de un flujo que coincide con una ruta BGP ingresa al ASA en la trayectoria rápida, el ASA compara la marca de tiempo de la entrada de la ruta con la marca de tiempo de la tabla de ruteo específica del contexto. Si las dos marcas de tiempo no coinciden, el proceso de resolución de ruta recursiva se inicia nuevamente y la marca de tiempo de entrada de ruta se actualiza para que sea la misma que la marca de tiempo de la tabla de ruteo. Puede verificar las marcas de tiempo con el comando show asp table routing. El comando show asp table routing address <route> muestra la marca de tiempo de una entrada de ruta determinada y el comando show asp table routing muestra la marca de tiempo de la tabla de ruteo.

- El proceso de resolución de ruta recursiva para un prefijo de destino se puede forzar cuando ingresa el comando show asp table routing address <addr>.

- La profundidad de las búsquedas de rutas recursivas actualmente está restringida a cuatro. Los paquetes que requieren búsqueda después de cuatro se descartan con la razón de descarte "No route to host (no-route)" y no hay razón de descarte especial para la falla de búsqueda recursiva.

- La resolución de ruta recursiva sólo se admite para rutas BGP (no rutas estáticas).

Funcionamiento de la Máquina de Estado Finito BGP

Los peers BGP atraviesan varios estados antes de convertirse en vecinos adyacentes e intercambian información de ruteo. En cada uno de los estados, los pares deben enviar y recibir mensajes, procesar datos de mensajes e inicializar recursos antes de pasar al siguiente estado. Este proceso se conoce como máquina de estado finito (FSM) BGP. Si el proceso falla en algún momento, la sesión se interrumpe y los pares vuelven al estado Inactivo y comienzan el proceso de nuevo. Cada vez que se interrumpe una sesión, todas las rutas del par que no está activo se eliminan de las tablas, lo que causa tiempo de inactividad.

1. IDLE - ASA busca en la tabla de ruteo para ver si existe una ruta para alcanzar al vecino.

2. CONNECT - ASA encontró una ruta al vecino y completó el intercambio de señales TCP de tres vías.

3. ACTIVO: ASA no ha recibido ningún acuerdo sobre los parámetros del establecimiento.

4. OPEN SENT: se envía el mensaje Open, con parámetros para la sesión BGP.

5. OPEN CONFIRM (CONFIRMACIÓN ABIERTA): ASA recibió un acuerdo sobre los parámetros para establecer una sesión.

6. ESTABLISHED: se establece el modelo de iguales y comienza el routing.

Configurar

Configuración de eBGP

BGP se ejecuta entre routers en diferentes sistemas autónomos. De forma predeterminada, en eBGP (iguales en dos sistemas autónomos (AS) diferentes) IP TTL se establece en 1, lo que significa que se supone que los pares están conectados directamente. En este caso, cuando un paquete cruza un router, TTL se convierte en 0 y luego el paquete se pierde más allá de eso. En los casos en que los dos vecinos no estén conectados directamente (por ejemplo, peering con interfaces loopback o peering cuando los dispositivos están a varios saltos de distancia), debe agregar el comando neighbor x.x.x.x ebgp-multihop <TTL>. De lo contrario, no se puede establecer la vecindad BGP. Además, un peer eBGP anuncia todas las mejores rutas que conoce o que ha aprendido de sus peers (ya sea peer eBGP o peer iBGP), lo cual no es el caso de iBGP.

Diagrama de la red

Configuración de ASA-1

router bgp 100

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.2 remote-as 200

neighbor 203.0.113.2 activate

network 192.168.10.0 mask 255.255.255.0

network 172.16.20.0 mask 255.255.255.0

network 10.106.44.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

Configuración de ASA-2

router bgp 200

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.1 remote-as 100

neighbor 203.0.113.1 activate

network 10.10.10.0 mask 255.255.255.0

network 10.180.10.0 mask 255.255.255.0

network 172.16.30.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

Configuración de iBGP

En iBGP, no hay restricción de que los vecinos tengan que estar conectados directamente. Sin embargo, un peer iBGP no puede anunciar el prefijo que aprendió de un peer iBGP a otro peer iBGP. Esta restricción está ahí para evitar loops dentro del mismo AS. Para aclarar esto, cuando una ruta se pasa a un par eBGP, el número AS local se agrega al prefijo en el as-path, de modo que si recibimos el mismo paquete de vuelta que establece nuestro AS en el as-path, sabemos que es un loop y que el paquete se descarta. Sin embargo, cuando se anuncia una ruta a un peer iBGP, el número AS local no se agrega a as-path, ya que los peers están en el mismo AS.

Diagrama de la red

Configuración de ASA-1

router bgp 100

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.2 remote-as 100

neighbor 203.0.113.2 activate

network 192.168.10.0 mask 255.255.255.0

network 172.16.20.0 mask 255.255.255.0

network 10.106.44.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

Configuración de ASA-2

router bgp 100

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.1 remote-as 100

neighbor 203.0.113.1 activate

network 10.10.10.0 mask 255.255.255.0

network 10.180.10.0 mask 255.255.255.0

network 172.16.30.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

Diferencias entre eBGP e iBGP

- Los peers eBGP entre dos AS diferentes, mientras que iBGP está entre el mismo AS.

- Las rutas aprendidas de los pares eBGP se anuncian a otros pares (eBGP o iBGP). Sin embargo, las rutas aprendidas de un peer iBGP no se anuncian a otros peers iBGP.

- De forma predeterminada, los peers eBGP se configuran con TTL = 1, lo que significa que se supone que los vecinos están conectados directamente, lo que no sucede en el caso de iBGP. Para cambiar este comportamiento para eBGP, ingrese el comando neighbor x.x.x.x ebgp-multihop <TTL>. Multisalto es el término utilizado en eBGP solamente.

- Las rutas eBGP tienen una distancia administrativa de 20, mientras que iBGP es 200.

- El salto siguiente permanece sin cambios cuando la ruta se anuncia a un peer iBGP. Sin embargo, se cambia cuando se anuncia a un peer eBGP de forma predeterminada.

eBGP-Multihop

Un ASA con vecindad BGP con otro ASA que está a un salto de distancia. Para la vecindad, debe asegurarse de que tiene conectividad entre vecinos. Haga ping para confirmar la conectividad. Asegúrese de que el puerto TCP 179 esté permitido en ambas direcciones en los dispositivos intermedios.

Configuración de ASA-1

router bgp 100

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 198.51.100.1 remote-as 200

neighbor 198.51.100.1 ebgp-multihop 2

neighbor 198.51.100.1 activate

network 192.168.10.0 mask 255.255.255.0

network 10.106.44.0 mask 255.255.255.0

network 172.16.20.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

Configuración de ASA-2

router bgp 200

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.1 remote-as 100

neighbor 203.0.113.1 ebgp-multihop 2

neighbor 203.0.113.1 activate

network 10.10.10.0 mask 255.255.255.0

network 10.180.10.0 mask 255.255.255.0

network 172.16.30.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

BGP Route-Filtering

Con BGP puede controlar una actualización de ruteo que se envía y recibe. En este ejemplo, se bloquea una actualización de ruteo para el prefijo de red 172.16.30.0/24 que está detrás de ASA-2. Para el filtrado de rutas, sólo puede utilizar la ACL ESTÁNDAR.

access-list bgp-in line 1 standard deny 172.16.30.0 255.255.255.0

access-list bgp-in line 2 standard permit any4

router bgp 100

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.2 remote-as 200

neighbor 203.0.113.2 activate

network 192.168.10.0 mask 255.255.255.0

network 172.16.20.0 mask 255.255.255.0

network 10.106.44.0 mask 255.255.255.0

distribute-list bgp-in in

no auto-summary

no synchronization

exit-address-family

!

Verifique la tabla de ruteo.

ASA-1(config)# show bgp cidr-only

BGP table version is 6, local router ID is 203.0.113.1

Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,

r RIB-failure, S Stale, m multipath

Origin codes: i - IGP, e - EGP, ? - incomplete

Network          Next Hop        Metric LocPrf Weight  Path

*> 10.10.10.0/24    203.0.113.2          0             0  200 i

*> 10.106.44.0/24   0.0.0.0              0         32768  i

*> 10.180.10.0/24   203.0.113.2          0             0  200 i

*> 172.16.20.0/24   0.0.0.0              0         32768  i

*> 192.168.10.0/16   0.0.0.0             0         32768  i

Verifique el número de visitas de la lista de control de acceso (ACL).

ASA-1(config)# show access-list bgp-in

access-list bgp-in; 2 elements; name hash: 0x3f99de19

access-list bgp-in line 1 standard deny 172.16.30.0 255.255.255.0 (hitcnt=1) 0xb5abad25

access-list bgp-in line 2 standard permit any4 (hitcnt=4) 0x59d08160

De manera similar, puede utilizar una ACL para filtrar lo que se envía con "out" en el comando distribute-list.

Configuración de ASA BGP en Multicontexto

BGP se soporta en el contexto múltiple. En el caso de multicontexto, primero debe definir el proceso del router BGP en el contexto del sistema. Si intenta crear un proceso BGP sin definirlo en el contexto del sistema, obtendrá este error.

ASA-1/admin(config)# router bgp 100

%BGP process cannot be created in non-system context

ERROR: Unable to create router process

First we Need to define it in system context.

ASA-1/admin(config)#changeto context system

ASA-1(config)# router bgp 100

ASA-1(config-router)#exit

Now create bgp process in admin context.

ASA-1(config)#changeto context admin

ASA-1/admin(config)# router bgp 100

ASA-1/admin(config-router)#

Verificación

Verificar Vecindad eBGP

Verifique la conexión TCP en el puerto 179.

ASA-1(config)# show asp table socket

Protocol  Socket    State      Local Address                    Foreign Address

SSL       00001478  LISTEN     172.16.20.1:443                  0.0.0.0:*

TCP       000035e8  LISTEN     203.0.113.1:179                  0.0.0.0:*

TCP       00005cd8  ESTAB      203.0.113.1:44368                203.0.113.2:179

SSL       00006658  LISTEN     10.106.44.221:443                0.0.0.0:*

Mostrar los vecinos BGP.

ASA-1(config)# show bgp neighbors

BGP neighbor is 203.0.113.2,  context single_vf,  remote AS 200, external link >> eBGP

BGP version 4, remote router ID 203.0.113.2

BGP state = Established, up for 00:04:42

Last read 00:00:13, last write 00:00:17, hold time is 180, keepalive interval is

60 seconds

Neighbor sessions:

1 active, is not multisession capable (disabled)

Neighbor capabilities:

Route refresh: advertised and received(new)

Four-octets ASN Capability: advertised and received

Address family IPv4 Unicast: advertised and received

Multisession Capability:

Message statistics:

InQ depth is 0

OutQ depth is 0

Sent       Rcvd

Opens:         1          1

Notifications: 0          0

Updates:       2          2

Keepalives:    5          5

Route Refresh: 0          0

Total:         8          8

Default minimum time between advertisement runs is 30 seconds

For address family: IPv4 Unicast

Session: 203.0.113.2

BGP table version 7, neighbor version 7/0

Output queue size : 0

Index 1

1 update-group member

Sent       Rcvd

Prefix activity:         ----       ----

Prefixes Current:      3          3          (Consumes 240 bytes)

Prefixes Total:        3          3

Implicit Withdraw:     0          0

Explicit Withdraw:     0          0

Used as bestpath:      n/a        3

Used as multipath:     n/a        0

Outbound    Inbound

Local Policy Denied Prefixes: --------    -------

Bestpath from this peer:     3          n/a

Total:                       3          0

Number of NLRIs in the update sent: max 3, min 0

Address tracking is enabled, the RIB does have a route to 203.0.113.2

Connections established 1; dropped 0

Last reset never

Transport(tcp) path-mtu-discovery is enabled

Graceful-Restart is disabled

Rutas BGP

Configuración de ASA-1

ASA-1(config)# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, + - replicated route

Gateway of last resort is 10.106.44.1 to network 0.0.0.0

B        10.10.10.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48

B        10.180.10.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48

B        172.16.30.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48

Configuración de ASA-2

ASA-2# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, + - replicated route

Gateway of last resort is not set

B        10.106.44.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32

B        172.16.20.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32

B     192.168.10.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32

Para ver las rutas para un ASA específico, ingrese el comando show route bgp <AS-No.>.

ASA-1(config)# show route bgp ?

exec mode commands/options:

100  Autonomous system number

|    Output modifiers

<cr>

Detalle de ruta eBGP específico

ASA-1(config)# show route 172.16.30.0

Routing entry for 172.16.30.0 255.255.255.0

Known via "bgp 100", distance 20, metric 0

Tag 200, type external

Last update from 203.0.113.2 0:09:43 ago

Routing Descriptor Blocks:

* 203.0.113.2, from 203.0.113.2, 0:09:43 ago

Route metric is 0, traffic share count is 1

AS Hops 1-----------------------------------> ASA HOP is one

Route tag 200

MPLS label: no label string provided

ASA-1(config)# show bgp cidr-only

BGP table version is 7, local router ID is 203.0.113.1

Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,

r RIB-failure, S Stale, m multipath

Origin codes: i - IGP, e - EGP, ? - incomplete

Network          Next Hop        Metric LocPrf Weight  Path

*> 10.10.10.0/24    203.0.113.2          0             0  200 i

*> 10.106.44.0/24   0.0.0.0              0         32768  i

*> 10.180.10.0/24   203.0.113.2          0             0  200 i

*> 172.16.20.0/24   0.0.0.0              0         32768  i

*> 172.16.30.0/24   203.0.113.2          0             0  200 i

Resumen de BGP

ASA-1(config)# show bgp summary

BGP router identifier 203.0.113.1, local AS number 100

BGP table version is 7, main routing table version 7

6 network entries using 1200 bytes of memory

6 path entries using 480 bytes of memory

2/2 BGP path/bestpath attribute entries using 416 bytes of memory

1 BGP AS-PATH entries using 24 bytes of memory

0 BGP route-map cache entries using 0 bytes of memory

0 BGP filter-list cache entries using 0 bytes of memory

BGP using 2120 total bytes of memory

BGP activity 6/0 prefixes, 6/0 paths, scan interval 60 secs

Neighbor        V           AS MsgRcvd MsgSent   TblVer  InQ OutQ Up/Down  State/PfxRcd

203.0.113.2     4          200 16      17             7    0    0 00:14:19  3

ASA-1(config)# show route summary

IP routing table maximum-paths is 3

Route Source    Networks    Subnets     Replicates  Overhead    Memory (bytes)

connected       0           8           0           704         2304

static          2           5           0           616         2016

ospf 1          0           0           0           0           0

Intra-area: 0 Inter-area: 0 External-1: 0 External-2: 0

NSSA External-1: 0 NSSA External-2: 0

bgp 100         0           3           0           264         864

External: 3 Internal: 0 Local: 0

internal        7                                               3176

Total           9           16          0           1584        8360

Verificar Vecindad iBGP

ASA-1(config)# show bgp neighbors

BGP neighbor is 203.0.113.2,  context single_vf,  remote AS 100, internal link >> iBGP

BGP version 4, remote router ID 203.0.113.2

BGP state = Established, up for 00:02:19

Last read 00:00:13, last write 00:00:17, hold time is 180, keepalive interval is

60 seconds

Neighbor sessions:

1 active, is not multisession capable (disabled)

Neighbor capabilities:

Route refresh: advertised and received(new)

Four-octets ASN Capability: advertised and received

Address family IPv4 Unicast: advertised and received

Multisession Capability:

Message statistics:

InQ depth is 0

OutQ depth is 0

Sent       Rcvd

Opens:         1          1

Notifications: 0          0

Updates:       2          2

Keepalives:    5          5

Route Refresh: 0          0

Total:         8          8

Default minimum time between advertisement runs is 30 seconds

For address family: IPv4 Unicast

Session: 203.0.113.2

BGP table version 7, neighbor version 7/0

Output queue size : 0

Index 1

1 update-group member

Sent       Rcvd

Prefix activity:         ----       ----

Prefixes Current:      3          3          (Consumes 240 bytes)

Prefixes Total:        3          3

Implicit Withdraw:     0          0

Explicit Withdraw:     0          0

Used as bestpath:      n/a        3

Used as multipath:     n/a        0

Outbound    Inbound

Local Policy Denied Prefixes: --------    -------

Bestpath from this peer:     3          n/a

Total:                       3          0

Number of NLRIs in the update sent: max 3, min 0

Address tracking is enabled, the RIB does have a route to 203.0.113.2

Connections established 1; dropped 0

Last reset never

Transport(tcp) path-mtu-discovery is enabled

Graceful-Restart is disabled

Detalle de ruta iBGP específico

ASA-1(config)# show route 172.16.30.0

Routing entry for 172.16.30.0 255.255.255.0

Known via "bgp 100", distance 20, metric 0, type internal

Last update from 203.0.113.2 0:07:05 ago

Routing Descriptor Blocks:

* 203.0.113.2, from 203.0.113.2, 0:07:05 ago

Route metric is 0, traffic share count is 1

AS Hops 0            -------------------->> ASA HOP is 0 as it's internal route

MPLS label: no label string provided

Valor TTL para paquetes BGP

De forma predeterminada, los vecinos BGP deben estar conectados directamente. Esto se debe a que el valor TTL para los paquetes BGP es siempre 1 (predeterminado). Por lo tanto, en caso de que un vecino BGP no esté conectado directamente, debe definir un valor de salto múltiple BGP que dependa de la cantidad de saltos que haya en la trayectoria.

Aquí hay un ejemplo de un caso de valor TTL de conexión directa:

ASA-1(config)#show cap bgp detail

5: 06:30:19.789769 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 70

203.0.113.1.44368 > 203.0.113.2.179: S [tcp sum ok] 3733850223:3733850223(0)

win 32768 <mss 1460,nop,nop,timestamp 15488246 0> (DF) [tos 0xc0]  [ttl 1] (id 62822)

6: 06:30:19.792286 a0cf.5b5c.5060 6c41.6a1f.25e3 0x0800 Length: 58

203.0.113.22.179 > 203.0.113.1.44368: S [tcp sum ok] 1053711883:1053711883(0)

ack 3733850224 win 16384 <mss 1360> [tos 0xc0]  [ttl 1] (id 44962)

7: 06:30:19.792302 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 54

203.0.113.1.44368 > 203.0.113.22.179: . [tcp sum ok] 3733850224:3733850224(0)

ack 1053711884 win 32768 (DF) [tos 0xc0]  [ttl 1] (id 52918)

Si los vecinos no están conectados directamente, debe ingresar el comando bgp multihop para definir cuántos SALTOS debe tener un vecino para aumentar el valor TTL en el encabezado IP.

Aquí hay un ejemplo de un valor TTL en el caso de salto múltiple (en este caso el vecino BGP está a 1 SALTO de distancia):

ASA-1(config)#show cap bgp detail

5: 13:10:04.059963 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 70

203.0.113.1.63136 > 198.51.100.1.179: S [tcp sum ok] 979449598:979449598(0)

win 32768 <mss 1460,nop,nop,timestamp 8799571 0> (DF) [tos 0xc0]  (ttl 2, id 62012)

6: 13:10:04.060681 a0cf.5b5c.5060 6c41.6a1f.25e3 0x0800 Length: 70 198.51.100.1.179 >

203.0.113.1.63136: S [tcp sum ok] 0:0(0) ack 979449599 win 32768 <mss 1460,nop,nop,

timestamp 6839704 8799571> (DF) [tos 0xac]  [ttl 1] (id 60372)

7: 13:10:04.060696 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 66

203.0.113.1.63136 >198.51.100.1.179: . [tcp sum ok] 979449599:979449599(0) ack 1

win 32768 <nop,nop,timestamp 8799571 6839704> (DF) [tos 0xc0]  (ttl 2, id 53699)

Proceso de resolución de ruta recursiva

ASA-1(config)# show asp table routing

route table timestamp: 66

in   255.255.255.255 255.255.255.255 identity

in   203.0.113.1     255.255.255.255 identity

in   203.0.113.254  255.255.255.255 via 10.13.14.4, outside

in   192.0.2.78   255.255.255.255 via 10.16.17.4, DMZ

in   192.168.0.1     255.255.255.255 identity

in   172.16.20.1     255.255.255.255 identity

in   10.106.44.190   255.255.255.255 identity

in   10.10.10.0      255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 66)

in   172.16.30.0     255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 64)

in   10.180.10.0     255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 65)

in   203.0.113.0     255.255.255.0   outside

in   172.16.10.0     255.255.255.0   via 10.13.14.4, outside

in   192.168.10.0    255.255.255.0   via 10.13.14.20, outside

in   192.168.20.0    255.255.255.0   via 10.16.17.4, DMZ

in   172.16.20.0     255.255.255.0   inside

in   10.106.44.0     255.255.255.0   management

in   192.168.0.0     255.255.0.0     DMZ

ASA BGP y Graceful Restart Capability

BGP support for nonstop forwarding

We added support for BGP Nonstop Forwarding.

We introduced the following new commands: bgp graceful-restart, neighbor ha-mode graceful-restart

Troubleshoot

- Después de la configuración, debe asegurarse de que ambos dispositivos tienen conectividad. Verifique la conectividad de ICMP y del puerto TCP 179.

- Si los peers BGP no están conectados directamente, asegúrese de tener configurado el multisalto eBGP.

- Si la conectividad es correcta, el socket TCP puede estar en el estado ESTAB en el resultado del comando show asp table socket.
ASA-1(config)# show asp table socket

Protocol  Socket    State      Local Address                    Foreign Address

SSL       00001478  LISTEN     172.16.20.1:443                  0.0.0.0:*

TCP       000035e8  LISTEN     203.0.113.1:179                  0.0.0.0:*

TCP       00005cd8  ESTAB      203.0.113.1:44368                203.0.113.2:179

SSL       00006658  LISTEN     10.106.44.221:443                0.0.0.0:*

- Después de un intercambio de señales de 3 vías, ambos peers intercambian mensajes BGP OPEN y negocian parámetros.

- Después del intercambio de parámetros, ambos peers intercambian información de ruteo con un mensaje BGP UPDATE.

%ASA-7-609001: Built local-host identity:203.0.113.1

%ASA-7-609001: Built local-host outside:203.0.113.2

%ASA-6-302013: Built outbound TCP connection 14 for outside:203.0.113.2/179

(203.0.113.2/179) to identity:203.0.113.1/43790 (203.0.113.1/43790)

%ASA-3-418018: neighbor 203.0.113.2 Up

Si la vecindad no se forma incluso después de un intercambio de señales TCP de 3 vías exitoso, el problema es con BGP FSM. Recopile una captura de paquetes y registros del sistema del ASA y verifique con qué estado tiene problemas.

Depurar

Nota: Consulte Información Importante sobre Comandos Debug antes de utilizar los comandos debug.

Ingrese el comando debug ip bgp para resolver problemas relacionados con la actualización de ruteo y vecindad.

ASA-1(config)# debug ip bgp ?

exec mode commands/options:

A.B.C.D     BGP neighbor address

events      BGP events

in          BGP Inbound information

ipv4        Address family

keepalives  BGP keepalives

out         BGP Outbound information

range       BGP dynamic range

rib-filter  Next hop route watch filter events

updates     BGP updates

<cr>

Ingrese el comando debug ip bgp events para resolver problemas relacionados con la vecindad.

BGP: 203.0.113.2 active went from Idle to Active

BGP: 203.0.113.2 open active, local address 203.0.113.1

BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Adding topology IPv4 Unicast:base

BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Send OPEN

BGP: 203.0.113.2 active went from Active to OpenSent

BGP: 203.0.113.2 active sending OPEN, version 4, my as: 100, holdtime 180 seconds,

ID cb007101

BGP: 203.0.113.2 active rcv message type 1, length (excl. header) 34

BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Receive OPEN

BGP: 203.0.113.2 active rcv OPEN, version 4, holdtime 180 seconds

BGP: 203.0.113.2 active rcv OPEN w/ OPTION parameter len: 24

BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 6

BGP: 203.0.113.2 active OPEN has CAPABILITY code: 1, length 4

BGP: 203.0.113.2 active OPEN has MP_EXT CAP for afi/safi: 1/1

BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 2

BGP: 203.0.113.2 active OPEN has CAPABILITY code: 128, length 0

BGP: 203.0.113.2 active OPEN has ROUTE-REFRESH capability(old) for all address-families

BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 2

BGP: 203.0.113.2 active OPEN has CAPABILITY code: 2, length 0

BGP: 203.0.113.2 active OPEN has ROUTE-REFRESH capability(new) for all address-families

BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 6

BGP: 203.0.113.2 active OPEN has CAPABILITY code: 65, length 4

BGP: 203.0.113.2 active OPEN has 4-byte ASN CAP for: 200

BGP: 203.0.113.2 active rcvd OPEN w/ remote AS 200, 4-byte remote AS 200

BGP: 203.0.113.2 active went from OpenSent to OpenConfirm

BGP: 203.0.113.2 active went from OpenConfirm to Established

Ingrese el comando debug ip bgp updates para resolver los problemas relacionados con la actualización de ruteo.

BGP: TX IPv4 Unicast Mem global 203.0.113.2 Changing state from DOWN to WAIT

(pending advertised bit allocation).

BGP: TX IPv4 Unicast Grp global 4 Created.

BGP: TX IPv4 Unicast Wkr global 4 Cur Blocked (not in list).

BGP: TX IPv4 Unicast Wkr global 4 Ref Blocked (not in list).

BGP: TX IPv4 Unicast Rpl global 4 1 Created.

BGP: TX IPv4 Unicast Rpl global 4 1 Net bitfield index 0 allocated.

BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Added to group (now has 1 members).

BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Staying in WAIT state

(current walker waiting for net prepend).

BGP: TX IPv4 Unicast Top global Start net prepend.

BGP: TX IPv4 Unicast Top global Inserting initial marker.

BGP: TX IPv4 Unicast Top global Done net prepend (0 attrs).

BGP: TX IPv4 Unicast Grp global 4 Starting refresh after prepend completion.

BGP: TX IPv4 Unicast Wkr global 4 Cur Start at marker 1.

BGP: TX IPv4 Unicast Grp global 4 Message limit changed from 100 to 1000 (used 0 + 0).

BGP: TX IPv4 Unicast Wkr global 4 Cur Unblocked

BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Changing state from WAIT to ACTIVE

(ready).

BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 No refresh required.

BGP: TX IPv4 Unicast Top global Collection done on marker 1 after 0 net(s).

BGP(0): 203.0.113.2 rcvd UPDATE w/ attr: nexthop 203.0.113.2, origin i, metric 0,

merged path 200, AS_PATH

BGP(0): 203.0.113.2 rcvd 10.10.10.0/24

BGP(0): 203.0.113.2 rcvd 172.16.30.0/24

BGP(0): 203.0.113.2 rcvd 10.180.10.0/24-----------------> Routes rcvd from peer

BGP: TX IPv4 Unicast Net global 10.10.10.1/32 Changed.

BGP: TX IPv4 Unicast Net global 172.16.30.0/24 Changed.

BGP: TX IPv4 Unicast Net global 10.180.10.0/24 Changed.

BGP(0): Revise route installing 1 of 1 routes for 10.10.10.0 255.255.255.0 ->

203.0.113.2(global) to main IP table

BGP: TX IPv4 Unicast Net global 10.10.10.0/24 RIB done.

BGP(0): Revise route installing 1 of 1 routes for 172.16.30.0 255.255.255.0 ->

203.0.113.2(global) to main IP table

BGP: TX IPv4 Unicast Net global 172.16.30.0/24 RIB done.

BGP(0): Revise route installing 1 of 1 routes for 10.180.10.0 255.255.255.0 ->

203.0.113.2(global) to main IP table

BGP: TX IPv4 Unicast Net global 10.180.10.0/24 RIB done.

BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.

BGP: TX IPv4 Unicast Tab Ready in READ-WRITE.

BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.

BGP: TX IPv4 Unicast Tab All topologies are EOR ready.

BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.

BGP: TX IPv4 Unicast Tab Executing.

BGP: TX IPv4 Unicast Wkr global 4 Cur Processing.

BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 1.

BGP: TX IPv4 Unicast Top global Appending nets from attr 0x00007ffecc9b7b88.

BGP: TX IPv4 Unicast Wkr global 4 Cur Attr change from 0x0000000000000000 to

0x00007ffecc9b7b88.

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.10.10.0/24 Skipped.

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 172.16.30.0/24 Skipped.

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.180.10.0/24 Skipped.

BGP: TX IPv4 Unicast Top global No attributes with modified nets.

BGP: TX IPv4 Unicast Top global Added tail marker with version 4.

BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 4.

BGP: TX IPv4 Unicast Top global No attributes with modified nets.

BGP: TX IPv4 Unicast Wkr global 4 Cur Done (end of list), processed 1 attr(s),

0/3 net(s), 0 pos.

BGP: TX IPv4 Unicast Grp global 4 Checking EORs (0/1).

BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Send EOR.

BGP: TX IPv4 Unicast Grp global 4 Converged.

BGP: TX IPv4 Unicast Tab Processed 1 walker(s).

BGP: TX IPv4 Unicast Tab Generation completed.

BGP: TX IPv4 Unicast Top global Deleting first marker with version 1.

BGP: TX IPv4 Unicast Top global Collection reached marker 1 after 0 net(s).

BGP: TX IPv4 Unicast Top global First convergence done.

BGP: TX IPv4 Unicast Top global Deleting first marker with version 1.

BGP: TX IPv4 Unicast Top global Collection reached marker 1 after 0 net(s).

BGP: TX IPv4 Unicast Top global Collection done on marker 4 after 3 net(s).

BGP: TX IPv4 Unicast Top global Collection done on marker 4 after 0 net(s).

BGP: TX IPv4 Unicast Net global 192.168.10.0/24 Changed.

BGP: TX IPv4 Unicast Net global 172.16.20.0/24 Changed.

BGP: TX IPv4 Unicast Net global 10.106.44.0/24 Changed.

BGP(0): nettable_walker 10.106.44.0/24 route sourced locally

BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 10.106.44.0/24

BGP: TX IPv4 Unicast Net global 10.106.44.0/24 RIB done.

BGP(0): nettable_walker 172.16.20.0/24 route sourced locally

BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 172.16.20.0/24

BGP: TX IPv4 Unicast Net global 172.16.20.0/24 RIB done.

BGP(0): nettable_walker 192.168.10.0/24 route sourced locally---------> Routes

advertised

BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 192.168.10.0/24

BGP: TX IPv4 Unicast Net global 192.168.10.0/24 RIB done.

BGP: TX IPv4 Unicast Tab RIB walk done version 8, added 1 topologies.

BGP: TX IPv4 Unicast Tab Executing.

BGP: TX IPv4 Unicast Wkr global 4 Cur Processing.

BGP: TX IPv4 Unicast Top global Appending nets from attr 0x00007ffecc9b7c70.

BGP: TX IPv4 Unicast Wkr global 4 Cur Attr change from 0x0000000000000000 to

0x00007ffecc9b7c70.

BGP: TX IPv4 Unicast Rpl global 4 1 Net 10.106.44.0/24 Set advertised bit (total 1).

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.106.44.0/24 Formatted.

BGP: TX IPv4 Unicast Rpl global 4 1 Net 172.16.20.0/24 Set advertised bit (total 2).

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 172.16.20.0/24 Formatted.

BGP: TX IPv4 Unicast Rpl global 4 1 Net 192.168.10.0/24 Set advertised bit (total 4).

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 192.168.10.0/24 Formatted.

BGP: TX IPv4 Unicast Top global No attributes with modified nets.

BGP: TX IPv4 Unicast Top global Added tail marker with version 8.

BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 8.

BGP: TX IPv4 Unicast Top global No attributes with modified nets.

BGP: TX IPv4 Unicast Wkr global 4 Cur Replicating.

BGP: TX IPv4 Unicast Wkr global 4 Cur Done (end of list), processed 1 attr(s),

4/4 net(s), 0 pos.

BGP: TX IPv4 Unicast Grp global 4 Start minimum advertisement timer (30 secs).

BGP: TX IPv4 Unicast Wkr global 4 Cur Blocked (minimum advertisement interval).

BGP: TX IPv4 Unicast Grp global 4 Converged.

BGP: TX IPv4 Unicast Tab Processed 1 walker(s).

BGP: TX IPv4 Unicast Tab Generation completed.

BGP: TX IPv4 Unicast Top global Deleting first marker with version 4.

BGP: TX IPv4 Unicast Top global Collection reached marker 4 after 0 net(s).

BGP: TX IPv4 Unicast Top global Collection done on marker 8 after 4 net(s).

BGP: TX IPv4 Unicast Top global Collection done on marker 8 after 0 net(s).

BGP: TX Member message pool under period (60 < 600).

BGP: TX IPv4 Unicast Tab RIB walk done version 8, added 1 topologies.

Ingrese estos comandos para resolver problemas de esta función:

- show asp table socket

- show bgp neighbor

- show bgp Summary

- show route bgp

- show bgp cidr-only

- show route summary