Sommario

Introduzione

Prerequisiti

Requisiti

Configurazione

Procedura

Configurazione sull'appliance ASA

Configurazione in SFMC

Configurazione su FDM

Convalida

Informazioni correlate

Introduzione

Questo documento descrive l'elevata disponibilità nell'utilizzare il protocollo eBGP (External Border Routing Protocol) per la connessione con il Cloud Service Provider (CSP).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza di questo argomento:

- Selezione percorso BGP

Configurazione

Si dispone di due peer eBGP sul firewall per un'elevata disponibilità per il provider di servizi cloud. Poiché i CSP si limitano alla manipolazione BGP, non è possibile selezionare peer primari e secondari dal lato CSP.

Immagine 1. Diagramma

Procedura

Passaggio 1. Prima di iniziare con la configurazione del firewall, definirequale peer utilizza come principale.

Passaggio 2.  Utilizzare una preferenza locale di 150 (la preferenza locale predefinita è 100) per il traffico in entrata nel peer primario.

Passaggio 3. Anteporre il percorso AS al traffico in uscita nel peer secondario.

Configurazione sull'appliance ASA

Preferenza locale per il traffico in ingresso nel peer primario:

route-map primary_peer_in permit 10

set local-preference 150

router bgp 65521

address-family ipv4 unicast

neighbor 10.10.10.2 route-map primary_peer_in in

Percorso AS anteposto al traffico in uscita nel peer secondario:

route-map secondary_peer_out permit 10

set as-path prepend 65521 65521

router bgp 65521

address-family ipv4 unicast

neighbor 10.10.20.2 route-map secondary_peer_out out

Configurazione in SFMC

Preferenza locale per il traffico in ingresso nel peer primario:

Passaggio 1.    Fare clic su Oggetti, quindi su Mappa percorso.

Passaggio 2. Selezionare la mappa dei percorsi assegnata al peer BGP a cui applicare la preferenza locale oppure aggiungere una nuova mappa dei percorsi facendo clic su Aggiungi mappa percorsi.

Passaggio 3. Configurare il nome della mappa del percorso, quindi fare clic su Aggiungi nella sezione Voci.

Immagine 2. Aggiungi mappa route in SFMC

Passaggio 4. Configurare almeno le impostazioni di base successive:

- N. sequenza: selezionare il numero della sequenza.

- Ridistribuzione. Selezionare Consenti.

Immagine 3. Configurazione mappa route di base in SFMC

Passaggio 5.  Fare clic su Imposta clausole, quindi su Clausole BGP e infine su Altre. Impostare la preferenza locale su 150 nella sezione Preferenza locale.

Immagine 4. Configurazione delle preferenze locali in SFMC

Passaggio 6.  Fare clic su Add, quindi su Save.

Passaggio 7.  Fare clic su Dispositivo, quindi su Gestione dispositivi e selezionare il dispositivo a cui si desidera applicare la preferenza locale.

Passaggio 8.  Fare clic su Routing, IPv4 nella sezione BGP, quindi su Router adiacente.

Passaggio 9.  Fare clic sull'icona di modifica per il router adiacente primario, quindi nella sezione Filtraggio route selezionare la mappa route dal menu a discesa nella sezione Mappa route del traffico in ingresso.

Immagine 5. Configura preferenza locale nel peer primario

Passaggio 11.  Fare clic su OK, quindi su Salva.

Percorso AS anteposto al traffico in uscita nel peer secondario:

Passaggio 1.    Fare clic su Oggetti, quindi su Mappa percorso.

Passaggio 2. Selezionare la mappa dei percorsi assegnata al peer BGP per anteporre il percorso AS o aggiungere una nuova mappa dei percorsi facendo clic su Aggiungi mappa dei percorsi.

Passaggio 3. Configurare il nome della mappa del percorso, quindi fare clic su Aggiungi nella sezione Voci.

Immagine 6. Aggiungi mappa route in SFMC

Passaggio 4. Configurare almeno le impostazioni di base successive:

- Nr. sequenza Selezionare il numero della sequenza

- Ridistribuzione. Seleziona Consenti

Immagine 7. Configurazione mappa route di base in SFMC

Passaggio 5.  Fare clic su Imposta clausole, quindi su Clausole BGP, infine su Percorso AS. Configurare l'opzione Anteprima in base a quanto segue:

- Anteponi come percorso. Aggiungere l'AS da aggiungere al percorso separato da virgole.

Immagine 8. Percorso AS che precede la configurazione in SFMC

Passaggio 6.  Fare clic su Add, quindi su Save.

Passaggio 7.  Fare clic su Periferica, quindi su Gestione periferiche e selezionare la periferica a cui si desidera applicare il percorso AS prima della sospensione.

Passaggio 8.  Fare clic su Routing, IPv4 nella sezione BGP, quindi su Router adiacente.

Passaggio 9.  Fare clic sull'icona di modifica per il router adiacente secondario, quindi nella sezione Filtraggio route selezionare la mappa route dal menu a discesa nella sezione Mappa route del traffico in uscita.

Immagine 9. Configura anteporre il percorso AS al peer secondario

Passaggio 4.  Fare clic su OK, quindi su Salva.

Configurazione su FDM

Percorso AS anteposto al traffico in uscita nel peer secondario:

Passaggio 1.    Fare clic su Device, quindi su View Configuration nella sezione Advanced Configuration.

Passaggio 2. Fare clic su Oggetti nella sezione Smart CLI, quindi fare clic sul pulsante (+).

Passaggio 3. Configurare l'oggetto CLI come segue:

Immagine 10. Configura l'oggetto che precede l'oggetto con il percorso AS in FDM

Passaggio 10.  Fare clic su OK.

Preferenza locale per il traffico in ingresso nel peer primario:

Passaggio 1.    Fare clic su Device, quindi su View Configuration nella sezione Advanced Configuration.

Passaggio 2. Fare clic su Oggetti nella sezione Smart CLI, quindi fare clic sul pulsante (+).

Passaggio 3. Configurare l'oggetto CLI come segue:

Immagine 11. Configura oggetto preferenza locale in FDM

Passaggio 4.  Fare clic su OK.

Configurare le route map nella configurazione BGP:

Passaggio 1.    Fare clic su Device, quindi su View Configuration nella sezione Routing.

Passaggio 2. Fare clic su BGP, quindi sul pulsante (+) per un nuovo peer BGP o sul pulsante Modifica per il peer BGP esistente.

Passaggio 3. Configurare l'oggetto BGP come mostrato:

Immagine 12. Configurare i peer BGP su FDM

Passaggio 4.  Fare clic su OK.

Convalida

Verificare che l'anteprima del percorso AS e la preferenza locale siano configurate e assegnate ai peer:

> system support diagnostic-cli

Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.

Type help or '?' for a list of available commands.

firepower> enable

Password:

firepower#

firepower# show route-map Local_Preference_RM

route-map Local_Preference_RM, permit, sequence 10

Match clauses:

Set clauses:

local-preference 150

firepower# show route-map AS_Path_Perepend_RM

route-map AS_Path_Perepend_RM, permit, sequence 10

Match clauses:

Set clauses:

as-path prepend 65521 65521

firepower# show running-config router bgp

router bgp 65521

bgp log-neighbor-changes

bgp router-id 10.10.10.10

bgp router-id vrf auto-assign

address-family ipv4 unicast

neighbor 10.10.10.2 remote-as 65000

neighbor 10.10.10.2 description Primary

neighbor 10.10.10.2 transport path-mtu-discovery disable

neighbor 10.10.10.2 activate

neighbor 10.10.10.2 route-map Local_Preference_RM in

neighbor 10.10.20.2 remote-as 65000

neighbor 10.10.20.2 description Secondary

neighbor 10.10.20.2 transport path-mtu-discovery disable

neighbor 10.10.20.2 activate

neighbor 10.10.20.2 route-map AS_Path_Perepend_RM out

redistribute connected

no auto-summary

no synchronization

exit-address-family

Prima di convalidare la tabella di routing, cancellare i peer BGP:

clear bgp 10.10.10.2 soft in

clear bgp 10.10.20.2 soft out

Nota: utilizzare il comando soft per evitare di reimpostare l'intero peer. Inviare di nuovo solo gli aggiornamenti del routing.

Convalidare il traffico in uscita sul peer primario utilizzando la preferenza locale impostata in precedenza:

firepower# show bgp

BGP table version is 76, local router ID is10.10.10.10

Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,

r RIB-failure, S Stale, m multipath

Origin codes: i - IGP, e - EGP, ? - incomplete

Network          Next Hop        Metric LocPrf Weight  Path

*  10.0.4.0/22      10.10.20.2           0             0  65000 ?

*>                  10.10.10.2           0    150      0  65000 ?

*  10.2.4.0/24      10.10.20.2           0             0  65000 ?

*>                  10.10.10.2           0    150      0  65000 ?

Verificare che i prefissi BGP installati nella tabella di routing provengano dal peer primario:

firepower# show route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, + - replicated route

SI - Static InterVRF

Gateway of last resort is not set

B        10.0.4.0 255.255.252.0 [20/0] via 10.10.10.2, 01:04:17

B        10.2.4.0 255.255.255.0 [20/0] via 10.10.10.2, 01:04:17

Informazioni correlate

- Supporto tecnico e download Cisco