Troubleshooting de Fallo de Establecimiento de Adyacencia eBGP

Problema

La adyacencia del protocolo de gateway fronterizo externo (eBGP) entre el firewall y los dispositivos pares falla. Estos síntomas se observan:

1. El estado del par en el firewall es inactivo:

fw# show bgp summary
BGP router identifier 192.0.2.2, local AS number 65001
BGP table version is 1, main routing table version 1
 
Neighbor        V           AS MsgRcvd MsgSent   TblVer  InQ OutQ Up/Down  State/PfxRcd
198.51.100.2    4        65002 0       0              1    0    0 never  Idle

2. En las capturas de la interfaz sólo se ven los paquetes SYN TCP del dispositivo par:

fw# cap capo interface WAN-Telekom
fw# show cap capo
 
26 packets captured
 
   1: 06:22:44.990595       198.51.100.2.31242 > 192.0.2.2.179: S 2838607371:2838607371(0) win 16384 <mss 1460>
   2: 06:22:46.990152       198.51.100.2.31242 > 192.0.2.2.179: S 2838607371:2838607371(0) win 16384 <mss 1460>
   3: 06:22:50.991007       198.51.100.2.31242 > 192.0.2.2.179: S 2838607371:2838607371(0) win 16384 <mss 1460>
   4: 06:22:58.991281       198.51.100.2.31242 > 192.0.2.2.179: S 2838607371:2838607371(0) win 16384 <mss 1460>

3. Una conexión ICMP a la dirección IP del dispositivo par se ha establecido satisfactoriamente:

fw# ping 198.51.100.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 198.51.100.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/10 ms

Esto confirma la disponibilidad del nivel de red IP entre el firewall y el dispositivo par.

4. Los mensajes de syslog de nivel de depuración indican solicitud TCP descartada del dispositivo par:

fw# show logging
…
May 20 2026 06:32:58: %FTD-7-710005: TCP request discarded from 198.51.100.2/20217 to WAN-Telekom:192.0.2.2/179
May 20 2026 06:33:00: %FTD-7-710005: TCP request discarded from 198.51.100.2/20217 to WAN-Telekom:192.0.2.2/179
May 20 2026 06:33:04: %FTD-7-710005: TCP request discarded from 198.51.100.2/20217 to WAN-Telekom:192.0.2.2/179
May 20 2026 06:33:12: %FTD-7-710005: TCP request discarded from 198.51.100.2/20217 to WAN-Telekom:192.0.2.2/179

5. Los debugs BGP muestran el mensaje "no route to peer" :

fw# debug ip bgp
BGP debugging is on
    for address family: IPv4 Unicast
Successfully set for module BGP at level 1
 
BGP: 198.51.100.2 Active open failed - no route to peer, open active delayed 21504ms (35000ms max, 60% jitter)

Entorno

Topología

• Firepower 2110 con FTD 7.4.4 y gestionado por Secure Firewall Management Center (FMC). Otras plataformas de hardware y versiones de software también pueden verse afectadas.

• El firewall tiene una ruta estática a la dirección de peer a través de la interfaz WAN-Telekom conectada al proveedor de servicios de Internet (ISP):

fw# show route 198.51.100.2

Routing entry for 198.51.100.2 255.255.255.255
  Known via "static", distance 1, metric 0
  Routing Descriptor Blocks:
  * 192.0.2.1, via WAN-Telekom
Route metric is 0, traffic share count is 1

• El firewall tiene la configuración BGP. El peer 198.51.100.2 tiene un número de sistema autónomo diferente, por lo tanto es externo:

fw# show run router
router bgp 65001
 bgp log-neighbor-changes
 bgp graceful-restart
 address-family ipv4 unicast
  neighbor 198.51.100.2 remote-as 65002
  neighbor 198.51.100.2 transport path-mtu-discovery disable
  neighbor 198.51.100.2 update-source WAN-Telekom
  neighbor 198.51.100.2 activate

Resolución

La adyacencia se establece después de habilitar la opción Allow connections with neighbor that is not direct connected en la sección Advanced de la configuración de vecinos BGP y establecer el valor de TTL Hops en 255:

Causa

De forma predeterminada, el firewall permite la adyacencia eBGP entre los peers conectados directamente, es decir, los peers de la misma subred. Para permitir la adyacencia entre pares conectados no directamente, la opción Permitir conexiones con vecinos que no estén conectados directamente debe estar habilitada. Además, el usuario puede limitar el número de saltos TTL a pares y establecer el valor mínimo esperado de tiempo de vida en el encabezado IP del paquete TCP recibido del par. El valor predeterminado es 1.

Verificación

1. La opción Permitir conexiones con vecinos que no están conectados directamente no está configurada:

fw# show bgp neighbors 198.51.100.2 | i External
  External BGP neighbor not directly connected.

2. La opción Permitir conexiones con vecino que no está conectado directamente está configurada y Saltos TTL está configurada en 1:

fw# show run router bgp | i 198.51.100.2
  neighbor 198.51.100.2 remote-as 65002
  neighbor 198.51.100.2 ebgp-multihop 1
  neighbor 198.51.100.2 transport path-mtu-discovery disable
  neighbor 198.51.100.2 update-source WAN-Telekom
  neighbor 198.51.100.2 activate


fw# show bgp neighbors 198.51.100.2 | i External
  External BGP neighbor not directly connected.

3. La opción Permitir conexiones con vecino que no está conectado directamente está configurada y Saltos TTL está configurada en 255:

fw# show run router bgp | i 198.51.100.2
  neighbor 198.51.100.2 remote-as 65002
  neighbor 198.51.100.2 ebgp-multihop 255
  neighbor 198.51.100.2 transport path-mtu-discovery disable
  neighbor 198.51.100.2 update-source WAN-Telekom
  neighbor 198.51.100.2 activate


fw# show bgp neighbors 198.51.100.2 | i External
  External BGP neighbor may be up to 255 hops away.

Contenido relacionado

• Soporte técnico y descargas de Cisco

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	20-May-2026	Versión inicial