Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Modifica del comportamento

Configurazione

Scenario di impatto

Lavora in giro

Introduzione

Questo documento descrive il cambiamento di comportamento dell'inserimento della route VPN nella tabella di routing BGP a partire dalla versione 7.1.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Conoscenza della tecnologia Firepower

- Conoscenza della configurazione di BGP e dell'annuncio route

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco Secure Firewall Management Center (FMC)

- Cisco Firepower Threat Defense (FTD)

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Il requisito è annunciare le route VPN su BGP.

Le route VPN vengono filtrate utilizzando criteri di corrispondenza hop successivo.

L'elenco degli accessi standard è configurato in modo da corrispondere all'hop successivo 0.0.0.0.

Modifica del comportamento

Nella versione 6.6.5, le route VPN vengono inserite nella tabella di routing BGP con l'hop successivo impostato su 0.0.0.0.

Nella versione 7.1, le route VPN vengono inserite nella tabella di routing BGP con l'hop successivo impostato come indirizzo IP di rete della subnet corrispondente.

Configurazione

Configurazione BGP:

router bgp 12345

bgp log-neighbor-changes

bgp router-id vrf auto-assign

address-family ipv4 unicast

neighbor 172.30.0.21 remote-as 12346

neighbor 172.30.0.21 description CISCO-FTD-B

neighbor 172.30.0.21 transport path-mtu-discovery disable

neighbor 172.30.0.21 timers 10 40

neighbor 172.30.0.21 fall-over bfd

neighbor 172.30.0.21 ha-mode graceful-restart

neighbor 172.30.0.21 activate

neighbor 172.30.0.21 send-community

neighbor 172.30.0.21 route-map VPN_INSIDE_IN in

neighbor 172.30.0.21 route-map VPN_INSIDE_OUT out

redistribute static

redustribute connected

no auto-summary

no synchronization

exit-address-family

Configurazione route-map:

firepower# sh run route-map VPN_INSIDE_OUT

route-map VPN_INSIDE_PRI_OUT permit 10

match ip next-hop NextHopZeroes

firepower# sh run access-list NextHopZeroes

access-list NextHopZeroes standard permit host 0.0.0.0

Con questa configurazione, BGP annuncia solo le route per cui l'hop successivo è definito come 0.0.0.0.

Installazione route VPN nella tabella di routing:

firepower# sh route | inc 172.20.192

V 172.20.192.0 255.255.252.0 connected by VPN (advertised), VPN-OUTSIDE

Output di show bgp:

Nella versione 6.6.5

show bgp :

*> 172.20.192.0/22 0.0.0.0 0 32768 ?

Si noti che la subnet 172.20.192.0/22 viene installata nella tabella BGP con l'indirizzo IP dell'hop successivo definito come 0.0.0.0.

Nella versione 7.1

show bgp :

*> 172.20.192.0/22 172.20.192.0 0 32768 ?

Si noti che la subnet 172.20.192.0/22 viene installata nella tabella BGP con l'IP dell'hop successivo definito come IP della rete subnet: 172.20.192.0 .

Scenario di impatto

Se la configurazione include una mappa dei percorsi impostata in modo che corrisponda all'IP dell'hop successivo pari a 0.0.0.0, il filtro dei percorsi verrà modificato e le route VPN non verranno annunciate.

Lavora in giro

Due soluzioni alternative disponibili:

1. Creare un elenco di tutte le subnet VPN e configurarle singolarmente per la pubblicità su BGP. Nota: Metodo non scalabile.

2. Configurare BGP per l'annuncio delle route generate localmente. Applica questo comando di configurazione:

route-map <route-map-name> permit 10

match route-type local

Implementando una delle soluzioni discusse in precedenza, FTD pubblicizza le route VPN iniettate tramite BGP.