Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Configurazione eBGP con interfaccia di loopback

Scenario

Esempio di rete

Configurazione loopback

Configurazione route statica

Configurazione BGP

Verifica

Risoluzione dei problemi

Introduzione

In questo documento viene descritto come configurare eBGP utilizzando un'interfaccia di loopback su Cisco Secure Firewall.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza di questo argomento:

- protocollo BGP

Il supporto dell'interfaccia di loopback per BGP è stato introdotto nella versione 7.4.0, che è la versione minima richiesta per Secure Firewall Management Center e Cisco Secure Firepower Threat Defense.

Componenti usati

- Secure Firewall Management Center per VMware versione 7.4.1

- 2 Cisco Secure Firepower Threat Defense per VMware versione 7.4.1

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Border Gateway Protocol (BGP) è un protocollo EGP (Exterior Gateway Protocol) standardizzato per il routing dei vettori di percorso che fornisce scalabilità, flessibilità e stabilità di rete. La sessione BGP tra due peer con lo stesso Autonomous System (AS) è chiamata Internal BGP (iBGP). Una sessione BGP tra due peer con sistemi autonomi diversi (AS) è chiamata BGP esterno (eBGP).

In genere, la relazione peer viene stabilita con l'indirizzo IP dell'interfaccia più vicina al peer. Tuttavia, l'utilizzo di un'interfaccia di loopback per stabilire la sessione BGP è utile in quanto non interrompe la sessione BGP quando vi sono più percorsi tra i peer BGP.

Nota: il processo descrive l'utilizzo di un loopback per un peer eBGP; tuttavia, è lo stesso processo per un peer iBGP, quindi può essere utilizzato come riferimento.

Configurazione eBGP con interfaccia di loopback

Scenario

In questa configurazione, il firewall SFTD-1 ha un'interfaccia di loopback con l'indirizzo IP 10.1.1.1/32, mentre il firewall SFTD-2 ha un'interfaccia di loopback con l'indirizzo IP 10.2.2.2/32 e l'AS 64001. Entrambi i firewall utilizzano l'interfaccia esterna per raggiungere l'interfaccia di loopback dell'altro firewall (in questo scenario, l'interfaccia esterna è preconfigurata su entrambi i firewall).

Esempio di rete

Il documento usa la seguente configurazione di rete:

Immagine 1. Diagramma di Escenario

Configurazione loopback

Passaggio 1. Fare clic su Dispositivi > Gestione dispositivi, quindi selezionare il dispositivo in cui configurare il loopback.

Passaggio 2. Scegliere Interfacce > Tutte le interfacce.

Passaggio 3. Fare clic su Add Interface > Loopback Interface (Aggiungi interfaccia).

Immagine 2. Aggiungi loopback interfaccia

Passaggio 4. Nella sezione Generale, configurare il nome del loopback, selezionare la casella Abilitato e configurare l'ID loopback.

Immagine 3. Configurazione di base dell'interfaccia di loopback

Passaggio 5. Nella sezione IPv4, selezionare l'opzione Use Static IP nella sezione IP Type, configurare l'indirizzo IP di loopback e fare clic su OK per salvare le modifiche.

Immagine 4. Configurazione indirizzo IP di loopback

Passaggio 6. Fare clic su Save (Salva).

Immagine 5. Salvataggio della configurazione dell'interfaccia di loopback

Passaggio 7. Ripetere la procedura con il secondo firewall.

Immagine 6. Configurazione interfaccia di loopback nel peer

Configurazione route statica

È necessario configurare una route statica per garantire che l'indirizzo peer remoto (loopback) utilizzato per il peering sia raggiungibile tramite l'interfaccia desiderata.

Passaggio 1. Fare clic su Dispositivi > Gestione dispositivi, quindi selezionare il dispositivo per il quale si desidera configurare la route statica.

Passaggio 2. Fare clic su Routing > Gestisci router virtuali > Static Route, quindi fare clic su Add Route.

Immagine 7. Aggiungi nuova route statica

Passaggio 3. Selezionare l'opzione IPv4 per Type (Tipo). Selezionare l'interfaccia fisica utilizzata per raggiungere il loopback del peer remoto nell'opzione Interface, quindi specificare l'hop successivo per raggiungere il loopback nella sezione Gateway.

Immagine 8. Configurazione route statica

Passaggio 4. Fare clic sull'icona (+) accanto alla sezione Rete disponibile.

Immagine 9. Aggiungi nuovo oggetto di rete

Passaggio 5. Configurare un nome di riferimento e l'indirizzo IP del looback del peer remoto e salvare.

Immagine 10. Configurare la destinazione di rete nella route statica

Passaggio 6. Cercare il nuovo oggetto creato nella barra di ricerca, selezionarlo, fare clic su Aggiungi e quindi su OK.

Immagine 11. Configura hop successivo in route statica

Passaggio 7. Fare clic su Save (Salva).

Immagine 12. Salvataggio della configurazione dell'interfaccia della route statica

Passaggio 8. Ripetere la procedura con il secondo firewall.

Immagine 13. Configura route statica su peer

Configurazione BGP

Passaggio 1. Fare clic su Dispositivi > Gestione dispositivi e selezionare il dispositivo che si desidera abilitare BGP.

Passaggio 2. Fare clic su Routing > Gestisci router virtuali > Impostazioni generali, quindi fare clic su BGP.

Passaggio 3. Selezionare la casella Enable BGP (Abilita BGP), quindi configurare l'appliance ASA locale del firewall nella sezione AS Number (Numero ASA).

Immagine 14. Abilita BGP a livello globale

Passaggio 4. Salvare le modifiche facendo clic sul pulsante Salva.

Immagine 15. Salva la modifica dell'abilitazione BGP

Passaggio 5. Nella sezione Gestione router virtuali, selezionare l'opzione BGP, quindi fare clic su IPv4.

Passaggio 6. Selezionare la casella Enable IPv4 (Abilita IPv4), fare clic su Adiacente (Adiacente), quindi fare clic su + Add (Aggiungi).

Immagine 16. Aggiungi nuovo peer BGP

Passaggio 7. Configurare l'indirizzo IP del peer remoto nella sezione Indirizzo IP, quindi configurare l'AS del peer remoto nella sezione AS remoto e selezionare la casella Abilita indirizzo.

Passaggio 8. Selezionare l'interfaccia locale Loopback nella sezione Aggiorna origine.

Immagine 17. Parametri peer BGP di base

Nota: l'opzione Aggiorna origine abilita il comando neighbors update-source, utilizzato per consentire qualsiasi interfaccia operativa (inclusi i loopback). È possibile specificare questo comando per stabilire connessioni TCP.

Passaggio 9. Fare clic su Avanzate, quindi configurare il numero 2 nell'opzione TTL Hops e fare clic su OK.

Immagine 18. Configurazione del numero di hop TTL

Nota: l'opzione TTL Hops abilita il comando ebgp-multihop, usato per modificare il valore TTL per consentire al pacchetto di raggiungere il peer BGP esterno che non è connesso direttamente o che ha un'interfaccia diversa da quella connessa direttamente.

Passaggio 10. Fare clic su Save (Salva) e distribuire le modifiche.

Immagine 19. Salvataggio della configurazione BGP

Passaggio 11. Ripetere la procedura con il secondo firewall.

Immagine 20. Configurazione di BGP sul peer

Verifica

Passaggio 1. Verificare la configurazione del loopback e della route statica, quindi controllare la connettività tra i peer BGP con un test ping.

show running-config interface nome_interfaccia

show running-config route

show destination_ip

SFTD-1

SFTD-2

show running-config interface - Loopback1

interfaccia Loopback1

nameif Loopback1

indirizzo ip 10.1.1.1 255.255.255.255

show running-config route

rotta esterna a 10.2.2.2 255.255.255.255 10.10.10.2.1

ping 10.2.2.2

Invio di 5 echo ICMP da 100 byte a 10.2.2.2, il timeout è di 2 secondi:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

show running-config interface - Loopback1

interfaccia Loopback1

nameif Looback2

indirizzo ip 10.2.2.2 255.255.255.255

show running-config route

rotta esterna a 10.1.1.1 255.255.255.255 10.10.10.1.1

ping 10.1.1.1

Invio di 5 echo ICMP da 100 byte a 10.1.1.1, il timeout è 2 secondi:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Passaggio 2. Verificare la configurazione BGP, quindi accertarsi che il peering BGP sia stato stabilito.

show running-config router bgp

mostra vicini bgp

mostra riepilogo bgp

SFTD-1

SFTD-2

show running-config router bgp

router bgp 6400

bgp log-neighbor-changes

bgp router-id vrf auto-assign

unicast ipv4 famiglia di indirizzi

neighbors 10.2.2.2 remote-as 64001

adiacente 10.2.2.2 ebgp-multihop 2

neighbors 10.2.2.2 transport path-mtu-discovery disable

router adiacente 10.2.2.2 update-source Loopback1

adiacente 10.2.2.2 attivare

nessun riepilogo automatico

nessuna sincronizzazione

exit-address-family

!

mostra vicini bgp |  i BGP

Il sistema BGP adiacente è 10.2.2.2, vrf single_vf, remoto AS 64001, collegamento esterno

BGP versione 4, ID router remoto 10.2.2.2

Stato BGP = Stabilito, attivo per 1 d15 h

Tabella BGP versione 7, versione adiacente 7/0

Il router adiacente BGP esterno può essere a una distanza massima di 2 hop.

mostra riepilogo bgp

Identificatore router BGP 10.1.1.1, numero AS locale 6400

La versione della tabella BGP è 7, versione 7 della tabella di routing principale

Router adiacente V AS MsgRcvd MsgSent TblVer InQ OutQ Stato attivo/inattivo/PfxRcd

10.2.2.2 4 64001 2167 2162 7 0 0 1d15h 0

show running-config router bgp

router bgp 6401

bgp log-neighbor-changes

bgp router-id vrf auto-assign

unicast ipv4 famiglia di indirizzi

neighbors 10.1.1.1 remote-as 64000

adiacente 10.1.1.1 ebgp-multihop 2

neighbors 10.1.1.1 transport path-mtu-discovery disable

update-source Looback2 adiacente 10.1.1.1

adiacente 10.1.1.1 attivare

nessun riepilogo automatico

nessuna sincronizzazione

exit-address-family

!

mostra vicini bgp |  i BGP

Il sistema BGP adiacente è 10.1.1.1, vrf single_vf, remoto AS 64000, collegamento esterno

BGP versione 4, ID router remoto 10.1.1.1

Stato BGP = Stabilito, attivo per 1 d16 h

Tabella BGP versione 1, router adiacente versione 1/0

Il router adiacente BGP esterno può essere a una distanza massima di 2 hop.

mostra riepilogo bgp

Identificatore router BGP 10.2.2.2, numero AS locale 64001

La versione della tabella BGP è 1, la versione 1 della tabella di routing principale

Router adiacente V AS MsgRcvd MsgSent TblVer InQ OutQ Stato attivo/inattivo/PfxRcd

10.1.1.1 4 6400 2168 2173 1 0 0 1d16h 0

Risoluzione dei problemi

Se si verificano problemi durante il processo, leggere questo articolo:

· Border Gateway Protocol (BGP)