Exemple de configuration d'un dispositif de sécurité adaptatif à chemins multiples à coût égal

Introduction

Ce document fournit des informations sur la façon de configurer l'appareil de sécurité adaptatif (ASA) avec jusqu'à trois routes à coût égal vers le même réseau de destination par interface. L'ASA hache les adresses IP source et de destination du paquet sortant afin de déterminer la route qu'il utilisera pour déterminer le tronçon suivant pour le paquet (l'ASA n'utilise pas d'algorithme de permutation circulaire pour choisir le tronçon suivant). Contrairement à l’équilibrage de charge par permutation circulaire, les paquets ayant la même paire source et destination sont toujours envoyés vers le même saut suivant, conformément au hachage calculé.

Conditions préalables

Exigences

Aucune exigence spécifique n'est associée à ce document.

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Pour plus d’informations sur les conventions utilisées dans ce document, reportez-vous aux Conventions relatives aux conseils techniques Cisco.

Configurer

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Remarque : utilisez l'outil de recherche de commandes (clients enregistrés uniquement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

Configurations

Ce document décrit ces configurations :

• Routes statiques utilisées pour réaliser le protocole ECMP

• Protocole de routage Open Shortest Path First utilisé pour exécuter ECMP

Routes statiques utilisées pour réaliser le protocole ECMP

Cet exemple montre des routes statiques qui sont des routes de coût égal qui dirigent le trafic vers trois passerelles différentes sur l'interface externe. L'appliance de sécurité distribue le trafic entre les passerelles spécifiées en fonction des adresses IP source et de destination dans le paquet.

Plusieurs routes statiques qui utilisent le protocole ECMP sont disponibles uniquement sur la même interface. ECMP n'est pas pris en charge sur plusieurs interfaces.

Exemple de configuration ASA :

route outside 10.10.10.0 255.255.255.0 192.168.1.1
route outside 10.10.10.0 255.255.255.0 192.168.1.2
route outside 10.10.10.0 255.255.255.0 192.168.1.3

Afficher la sortie de route sur l'ASA :

S 10.10.10.0 255.255.255.0 [1/0] via 192.168.1.1, outside
                                    [1/0] via 192.168.1.2, outside
                                    [1/0] via 192.168.1.3, outside

Protocole de routage Open Shortest Path First utilisé pour exécuter ECMP

Le protocole OSPF (Open Shortest Path First) peut être configuré pour utiliser le protocole ECMP en fournissant des routes avec le même chemin de coût. Vous trouverez ci-dessous un exemple d'utilisation du protocole OSPF entre un ASA et deux routeurs adjacents.

Dans cet exemple, les deux routeurs de l'extérieur exécutent OSPF, qui sont configurés pour injecter des routes par défaut vers l'ASA. Les routes par défaut sont ajoutées à la table de routage de l'ASA, et comme elles envoient la même métrique, l'ASA les ajoute comme ECMP au réseau de destination par défaut.

OSPF est présenté dans ce document. Cependant, tout protocole de routage pris en charge par l'ASA peut être utilisé, tel que le protocole EIGRP (Enhanced Interior Gateway Routing Protocol).

Exemple de configuration

ASA :

router ospf 10
 network 10.10.10.0 255.255.255.0 area 0
 log-adj-changes

Routeur 1:

router ospf 10
 network 10.10.10.0 0.0.0.255 area 0 
 default-information originate metric 10

Routeur 2:

router ospf 10
 network 10.10.10.0 0.0.0.255 area 0 
 default-information originate metric 10

La commande default-information originate définit la métrique sur 10, qui, une fois reçue par l'ASA, installera la route avec le même chemin de coût.

Afficher la sortie de route sur l'ASA :

O*E2 0.0.0.0 0.0.0.0 [110/1] via 10.10.10.1, 0:10:18, outside
                            [110/1] via 10.10.10.2, 0:10:18, outside

Vérifier

Aucune procédure de vérification n'est disponible pour cette configuration.

Dépannage

Si EIGRP est utilisé pour accomplir ECMP, référez-vous à l'ID de bogue Cisco CSCti54545 (clients enregistrés uniquement) , les métriques EIGRP ne seront pas mises à jour correctement sur ASA.

Informations connexes

• Guide de configuration CLI des opérations générales de la gamme Cisco ASA, 9.14, Configuration des routes statiques et par défaut
• Guide de configuration CLI des opérations générales de la gamme Cisco ASA, 9.14, Configuration du protocole OSPF
• Guide de conception OSPF
• Documentation et assistance techniques