Configurazione di BGP over Route-Based VPN su FTD Gestito da FDM
Introduzione
Questo documento descrive la configurazione di BGP su VPN da sito a sito basata su route su FTDv gestito da FirePower Device Manager (FDM).
Prerequisiti
Requisiti
Cisco raccomanda la conoscenza dei seguenti argomenti:
- Conoscenze base di VPN
- Configurazioni BGP su FTDv
- Esperienza con FDM
Componenti usati
Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:
- Cisco FTDv versione 7.4.2
- Cisco FDM versione 7.4.2
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Configurazione
Esempio di rete
Topografico
Configurazioni su VPN
Passaggio 1. Verificare che l'interconnettività IP tra i nodi sia pronta e stabile. La licenza smart su FDM è stata registrata con lo smart account.
Passaggio 2. Il gateway del client Site1 è configurato con l'indirizzo IP interno di Site1 FTD (192.168.70.1). Il gateway del client Site2 è configurato con l'indirizzo IP interno di Site2 FTD (192.168.50.1). Inoltre, accertarsi che il percorso predefinito su entrambi gli FTD sia configurato correttamente dopo l'inizializzazione di FDM.
Accedere alla GUI di ciascun FDM. Passare aDevice > Routing. Fare clic su .View Configuration Fare clic sulla Static Routing scheda per verificare la route statica predefinita.
Sito1_FTD_Gateway
Sito2_FTD_Gateway
Passaggio 3. Configurare la VPN da sito a sito basata sul ciclo di lavorazione. In questo esempio, configurare prima l'FTD Site1.
Passaggio 3.1. Accedere alla GUI FDM di Site1 FTD. Creare un nuovo oggetto di rete per la rete interna dell'FTD del sito 1. Passare a Objects > Networks, fare clic sul pulsante +.
Crea_Oggetto_Rete
Passaggio 3.2. Fornire le informazioni necessarie. Fare clic sul OK pulsante.
- Nome: inside_192.168.70.0
- Tipo: Rete
- Rete: 192.168.70.0/24
Sito1_Interno_Rete
Passaggio 3.3. Passare a Device > Site-to-Site VPN. Fare clic su . View Configuration
Visualizza VPN da sito a sito
Passaggio 3.4. Iniziare a creare una nuova VPN da sito a sito. Fare clic su . CREATE SITE-TO-SITE CONNECTION
Create_Site-to-Site_Connection
Passaggio 3.5. Fornire le informazioni necessarie.
- Nome profilo connessione: Demo_S2S
- Tipo: VTI (Route Based)
- Local VPN Access Interface: fare clic sull'elenco a discesa, quindi fare clic su
Create new Virtual Tunnel Interface.
Creazione guidata VPN_in_VPN
Passaggio 3.6. Fornire le informazioni necessarie per creare una nuova VTI. Fare clic sul pulsante OK.
- Nome: demovti
- ID tunnel: 1
- Origine tunnel: esterno (Gigabit Ethernet0/0)
- Indirizzo IP E Subnet Mask: 169.254.10.1/24
- Stato: fare clic sul dispositivo di scorrimento nella posizione Attivato
Crea_dettagli_VTI
Passaggio 3.7. Continuare a fornire le informazioni necessarie. Fare clic sul pulsante NEXT.
- Local VPN Access Interface: demovti (creato nel passo 3.6.)
- Indirizzo IP remoto: 192.168.10.1
Passaggio 1 di VPN_Wizard_Endpoints
Passaggio 3.8. Passare al criterio IKE. Fare clic sul pulsante MODIFICA.
Modifica_Criterio_IKE
Passaggio 3.9. Per il criterio IKE, è possibile utilizzarne uno predefinito o crearne uno nuovo facendo clic su Crea nuovo criterio IKE.
In questo esempio, attivare o disattivare un criterio IKE AES-SHA-SHA esistente e crearne uno nuovo a scopo dimostrativo. Per salvare, fare clic sul pulsante OK.
- Nome: AES256_DH14_SHA256_SHA256
- Crittografia: AES, AES 256
- Gruppo DH: 14
- Hash di integrità: SHA256
- Hash PRF: SHA256
- Durata: 86400 (predefinito)
Aggiungi_Nuovo_Criterio_IKE
Abilita_Nuovo_Criterio_IKE
Passaggio 3.10. Passare alla proposta IPSec. Fare clic sul pulsante MODIFICA.
Modifica_Proposta_IKE
Passaggio 3.11. Per la proposta IPSec, è possibile utilizzare una proposta predefinita oppure crearne una nuova facendo clic su Crea nuova proposta IPSec. In questo esempio, crearne uno nuovo a scopo dimostrativo. Fornire le informazioni necessarie. Per salvare, fare clic sul pulsante OK.
- Nome: AES256_SHA256
- Crittografia: AES, AES 256
- Hash di integrità: SHA1, SHA256
Aggiungi_nuova_proposta_IPSec
Abilita_Nuova_proposta_IPSec
Passaggio 3.12. Configurare la chiave già condivisa. Fare clic sul pulsante NEXT.
Prendere nota di questa chiave già condivisa e configurarla in un secondo momento nel FTD Site2.
Configura_Chiave_già_condivisa
Passaggio 3.13. Esaminare la configurazione VPN. Se è necessario apportare modifiche, fare clic sul pulsante INDIETRO. Se tutto funziona, fare clic sul pulsante FINE.
VPN_Wizard_Complete
Passaggio 3.14. Creare una regola di controllo di accesso per consentire il passaggio del traffico attraverso l'FTD. In questo esempio, consenti tutto per scopi dimostrativi. Modifica il criterio in base alle tue esigenze effettive.
Esempio_Regola_Controllo_Accesso
Passaggio 3.15. (Facoltativo) Configurare la regola di esenzione NAT per il traffico client su FTD se per il client è configurato NAT dinamico per l'accesso a Internet. Nell'esempio, non è necessario configurare una regola di esenzione NAT in quanto su ciascun FTD non è configurato alcun NAT dinamico.
Passaggio 3.16. Distribuire le modifiche alla configurazione.
Distribuisci_configurazione_VPN
Configurazioni su BGP
Passaggio 4. Passare a Periferica > Ciclo. Fare clic su Visualizza configurazione.
Configurazione_instradamento_vista
Passaggio 5. Fare clic sulla scheda BGP e quindi su CREATE BGP OBJECT.
Crea_BGP_Object
Passaggio 6. Fornire il nome dell'oggetto. Passare a Modello e configurare. Fare clic sul pulsante OK per salvare.
Nome: demobgp
Riga 1: Configurare il numero AS. Fare clic su come numero. Immettere manualmente il numero AS locale. In questo esempio, il numero AS 65511 per Site1 FTD.
Linea 2: Configurare il protocollo IP. Fare clic su ip-protocol. Selezionare ipv4.
Create_BGP_Object_ASNumber_Protocol
Riga 4: Configurare altre impostazioni. Fare clic su Impostazioni, scegliere Generale e quindi fare clic su Mostra disattivato.
Impostazione Create_BGP_Object_Address
Riga 6: Fare clic sull'icona + per abilitare la linea per configurare la rete BGP. Fare clic su network-object. Potete visualizzare gli oggetti disponibili esistenti e sceglierne uno. In questo esempio, scegliere il nome dell'oggetto inside_192.168.70.0 (creato al punto 3.2).
Create_BGP_Object_Add_Network
Create_BGP_Object_Add_Network2
Riga 11: Fare clic sull'icona + per abilitare la linea per configurare le informazioni relative al router BGP adiacente. Fare clic su neighbor-address e immettere manualmente il valore di peerBGPneighaddress. Nell'esempio, questo valore è 169.254.10.2 (indirizzo IP VTI del FTD del sito 2). Fare clic su as-number, quindi immettere manualmente il numero AS peer. In questo esempio, 65510 è per FTD Site2. Fare clic su config-options (opzioni di configurazione), quindi selezionare properties (proprietà).
Create_BGP_Object_NeighborSetting
Riga 14: Fare clic sull'icona + per abilitare la linea per configurare alcune proprietà della risorsa adiacente. Fare clic su activate-options e selezionare properties (proprietà).
Create_BGP_Object_NeighborSetting_Properties
Riga 13: Fare clic sull'icona + per abilitare la linea per la visualizzazione delle opzioni avanzate. Fare clic su Settings (Impostazioni), quindi selezionare Advanced (Avanzate).
Create_BGP_Object_NeighborSetting_Properties_Advanced
Riga 18: Per disabilitare il rilevamento dell'MTU del percorso, fare clic su options (Opzioni), quindi selezionare disable (Disabilita).
Create_BGP_Object_NeighborSetting_Properties_Advanced_PMD
Riga 14, 15, 16, 17: Per disattivare le linee, fare clic sul pulsante -. Fare quindi clic sul pulsante OK per salvare l'oggetto BGP.
Create_BGP_Object_DisableLines
Questa è una panoramica dell'impostazione BGP in questo esempio. È possibile configurare le altre impostazioni BGP in base alle esigenze effettive.
Create_BGP_Object_Final_Overview
Passaggio 7. Distribuire le modifiche alla configurazione BGP.
Configurazione_BGP_Distribuzione
Passaggio 8. A questo punto, la configurazione per l'FTD del sito 1 è completata.
Per configurare la VPN FTD del sito 2 e il BGP, ripetere i passaggi da 3 a 7 con i parametri corrispondenti di FTD del sito 2.
Panoramica della configurazione di Site1 FTD e Site2 FTD nella CLI.
| FTD Sito1 |
FTD Sito2 |
| NGFW versione 7.4.2 interfaccia Gigabit Ethernet0/0nameif esterno manuale cat propagazione di sgt preserve-untag criterio statico sgt disabilitato attendibile livello di protezione 0 indirizzo ip 192.168.30.1 255.255.255.0 interfaccia Gigabit Ethernet0/2 nameif inside livello di protezione 0 indirizzo ip 192.168.70.1 255.255.255.0 interface Tunnel1 nameif demovti indirizzo ip 169.254.10.1 255.255.255.0 interfaccia di origine tunnel esterna destinazione del tunnel 192.168.10.1 modalità tunnel ipsec ipv4 protezione tunnel profilo ipsec ipsec_profile|e4084d322d rete di oggetti OutsideIPv4Gateway host 192.168.30.3 rete di oggetti inside_192.168.70.0 subnet 192.168.70.0 255.255.255.0 access-group globale NGFW_ONBOX_ACL access-list NGFW_ONBOX_ACL note rule-id 268435457: CRITERI DI ACCESSO: NGFW_Access_Policy access-list NGFW_ONBOX_ACL note rule-id 268435457: REGOLA L5: Regola_interna_esterna access-list NGFW_ONBOX_ACL advanced trust object-group |acSvcg-268435457 ifc all'interno di qualsiasi ifc all'esterno di qualsiasi registro eventi rule-id 268435457 entrambi access-list NGFW_ONBOX_ACL note rule-id 268435458: CRITERI DI ACCESSO: NGFW_Access_Policy access-list NGFW_ONBOX_ACL note rule-id 268435458: REGOLA L5: Demo_consenti access-list NGFW_ONBOX_ACL advanced allow object-group |acSvcg-268435458 any rule-id 268435458 event-log both access-list NGFW_ONBOX_ACL note rule-id 1: CRITERI DI ACCESSO: NGFW_Access_Policy access-list NGFW_ONBOX_ACL note rule-id 1: REGOLA L5: RegolaAzionePredefinita access-list NGFW_ONBOX_ACL advanced deny ip any rule-id 1 router bgp 6511 bgp log-neighbor-changes bgp router-id vrf auto-assign unicast ipv4 famiglia di indirizzi adiacente 169.254.10.2 remote-as 65510 neighbor 169.254.10.2 - mtu-discovery disable adiacente 169.254.10.2 attivare rete 192.168.70.0 nessun riepilogo automatico nessuna sincronizzazione exit-address-family route esterna a 0.0.0.0 0.0.0.0 192.168.30.3.1 crypto ipsec ikev2 ipsec-proposta AES256_SHA256 protocollo esp encryption aes-256 aes protocollo esp integrità sha-256 sha-1 crypto ipsec profile ipsec_profile|e4084d322d set ikev2 ipsec-proposta AES256_SHA256 imposta durata associazione di protezione kilobyte 4608000 imposta durata associazione di protezione secondi 28800 crypto ipsec security-association pmtu-aging infinite criterio crypto ikev2 1 crittografia aes-256 aes integrità sha256 sha gruppo 14 prf sha256 sha secondi durata 86400 criterio crypto ikev2 20 crittografia aes-256 aes-192 aes integrità sha512 sha384 sha256 sha gruppo 21 20 16 15 14 prf sha512 sha384 sha256 sha secondi durata 86400 crypto ikev2 enable esterna criteri di gruppo |s2sGP|192.168.10.1 interno criteri di gruppo Attributi |s2sGP|192.168.10.1 vpn-tunnel-protocol ikev2 tunnel group 192.168.10.1 tipo ipsec-l2l tunnel group 192.168.10.1 general-attributes default-group-policy |s2sGP|192.168.10.1 attributi ipsec 192.168.10.1 del tunnel group chiave già condivisa per l'autenticazione remota ikev2 ***** chiave pre-condivisa di autenticazione locale ikev2 ***** |
NGFW versione 7.4.2 interfaccia Gigabit Ethernet0/0 nameif esterno manuale cat propagazione di sgt preserve-untag criterio statico sgt disabilitato attendibile livello di protezione 0 indirizzo ip 192.168.10.1 255.255.255.0 interfaccia Gigabit Ethernet0/2 nameif inside livello di protezione 0 indirizzo ip 192.168.50.1 255.255.255.0 interface Tunnel1 nameif demovti25 indirizzo ip 169.254.10.2 255.255.255.0 interfaccia di origine tunnel esterna destinazione del tunnel 192.168.30.1 modalità tunnel ipsec ipv4 protezione tunnel profilo ipsec ipsec_profile|e4084d322d rete di oggetti OutsideIPv4Gateway host 192.168.10.3 rete di oggetti inside_192.168.50.0 subnet 192.168.50.0 255.255.255.0 access-group globale NGFW_ONBOX_ACL access-list NGFW_ONBOX_ACL note rule-id 268435457: CRITERI DI ACCESSO: NGFW_Access_Policy access-list NGFW_ONBOX_ACL note rule-id 268435457: REGOLA L5: Regola_interna_esterna access-list NGFW_ONBOX_ACL advanced trust object-group |acSvcg-268435457 ifc all'interno di qualsiasi ifc all'esterno di qualsiasi registro eventi rule-id 268435457 entrambi access-list NGFW_ONBOX_ACL note rule-id 268435458: CRITERI DI ACCESSO: NGFW_Access_Policy access-list NGFW_ONBOX_ACL note rule-id 268435458: REGOLA L5: Demo_consenti access-list NGFW_ONBOX_ACL advanced allow object-group |acSvcg-268435458 any rule-id 268435458 event-log both access-list NGFW_ONBOX_ACL note rule-id 1: CRITERI DI ACCESSO: NGFW_Access_Policy access-list NGFW_ONBOX_ACL note rule-id 1: REGOLA L5: RegolaAzionePredefinita access-list NGFW_ONBOX_ACL advanced deny ip any rule-id 1 router bgp 6510 bgp log-neighbor-changes bgp router-id vrf auto-assign unicast ipv4 famiglia di indirizzi adiacente 169.254.10.1 remoto-as 65511 router adiacente 169.254.10.1 transport path-mtu-discovery disable adiacente 169.254.10.1 attivare rete 192.168.50.0 nessun riepilogo automatico nessuna sincronizzazione exit-address-family route esterna a 0.0.0.0 0.0.0.0 192.168.10.3.1 crypto ipsec ikev2 ipsec-proposta AES256_SHA256 protocollo esp encryption aes-256 aes protocollo esp integrità sha-256 sha-1 crypto ipsec profile ipsec_profile|e4084d322d set ikev2 ipsec-proposta AES256_SHA256 imposta durata associazione di protezione kilobyte 4608000 imposta durata associazione di protezione secondi 28800 crypto ipsec security-association pmtu-aging infinite criterio crypto ikev2 1 crittografia aes-256 aes integrità sha256 sha gruppo 14 prf sha256 sha secondi durata 86400 criterio crypto ikev2 20 crittografia aes-256 aes-192 aes integrità sha512 sha384 sha256 sha gruppo 21 20 16 15 14 prf sha512 sha384 sha256 sha secondi durata 86400 crypto ikev2 enable esterna criteri di gruppo |s2sGP|192.168.30.1 interno criteri di gruppo Attributi |s2sGP|192.168.30.1 vpn-tunnel-protocol ikev2 tunnel group 192.168.30.1 tipo ipsec-l2l tunnel group 192.168.30.1 general-attributes default-group-policy |s2sGP|192.168.30.1 attributi ipsec 192.168.30.1 del tunnel group chiave già condivisa per l'autenticazione remota ikev2 ***** chiave pre-condivisa di autenticazione locale ikev2 ***** |
Verifica
Fare riferimento a questa sezione per verificare che la configurazione funzioni correttamente.
Passaggio 1. Passare alla CLI di ciascun FTD tramite la console o SSH per verificare lo stato VPN della fase 1 e della fase 2 tramite i comandi show crypto ikev2 sa e show crypto ipsec sa.
| FTD Sito1 | FTD Sito2 |
| ftdv742# show crypto ikev2 sa SA IKEv2: Session-id:134, Status:UP-ACTIVE, IKE count:1, CHILD count:1 Ruolo di stato fvrf/ivrf remoto locale con ID tunnel 563984431 192.168.30.1/500 192.168.10.1/500 GLOBAL/Global READY RESPONDER Encr: AES-CBC, dimensione chiave: 256, Hash: SHA256, DH Grp:14, segno di autenticazione: PSK, verifica autenticazione: Chiave primaria Durata/Durata: 8640/5145 sec. Associazione di protezione figlio: local selector 0.0.0.0/0 - 255.255.255.255/65535 remote selector 0.0.0.0/0 - 255.255.255.255/65535 Ingresso/uscita SPI ESP: 0xf0c4239d/0xb7b38b |
ftdv742# show crypto ikev2 sa SA IKEv2: Session-id:13, Status:UP-ACTIVE, conteggio IKE:1, conteggio CHILD:1 Ruolo di stato fvrf/ivrf remoto locale con ID tunnel |
| ftdv742# show crypto ipsec sa interfaccia: demovti Protected vrf (ivrf): Globale #pkts incapsula: 5720, #pkts crittografia: 5720, #pkts digest: 5720 endpoint di crittografia locale: 192.168.30.1/500, endpoint di crittografia remota: 192.168.10.1/500 sas esp in entrata: |
ftdv742# show crypto ipsec sa interfaccia: demovti25 Protected vrf (ivrf): Globale #pkts incapsula: 5721, #pkts encrypt: 5721, #pkts digest: 5721 endpoint di crittografia locale: 192.168.10.1/500, endpoint di crittografia remota: 192.168.30.1/500 sas esp in entrata: |
Passaggio 2. Passare alla CLI di ciascun FTD tramite la console o SSH per verificare lo stato BGP usando i comandi show bgp neighbors e show route bgp.
| FTD Sito1 | FTD Sito2 |
| ftdv742# show bgp neighbors Il router BGP adiacente è 169.254.10.2, vrf single_vf, remoto AS 65510, collegamento esterno In uscita in entrata Il rilevamento degli indirizzi è abilitato, il RIB ha un percorso a 169.254.10.2 |
ftdv742# show bgp neighbors Il router BGP adiacente è 169.254.10.1, vrf single_vf, remoto AS 65511, collegamento esterno In uscita in entrata Il rilevamento degli indirizzi è abilitato, il RIB ha un percorso a 169.254.10.1 |
| ftdv742# show route bgp Codici: L - locale, connesso tramite C, S - statico, R - RIP, M - mobile, B - BGP B 192.168.50.0 255.255.255.0 [20/0] via 169.254.10.2, 1d20h |
ftdv742# show route bgp Codici: L - locale, connesso tramite C, S - statico, R - RIP, M - mobile, B - BGP B 192.168.70.0 255.255.255.0 [20/0] via 169.254.10.1, 1d20h |
Passaggio 3. È stato eseguito il ping tra Site1 Client e Site2 Client.
Client Sito1:
Site1_Client#ping 192.168.50.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.50.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 31/56/90 ms
Client Site2:
Site2_Client#ping 192.168.70.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.70.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 12/39/71 ms
Risoluzione dei problemi
Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.
È possibile usare questi comandi di debug per risolvere i problemi della sezione VPN.
debug crypto ikev2 platform 255
debug crypto ikev2 protocol 255
debug crypto ipsec 255
debug vti 255
È possibile usare questi comandi di debug per risolvere i problemi relativi alla sezione BGP.
ftdv742# debug ip bgp ?
A.B.C.D BGP neighbor address
all All address families
events BGP events
import BGP path import across topologies, VRFs or AFs in BGP Inbound information
ipv4 Address family
ipv6 Address family
keepalives BGP keepalives
out BGP Outbound information
range BGP dynamic range
rib-filter Next hop route watch filter events
updates BGP updates
vpnv4 Address family
vpnv6 Address family
vrf VRF scope
<cr>
Cronologia delle revisioni
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
2.0 |
01-Jun-2026
|
Requisiti di stile e formattazione aggiornati. |
1.0 |
21-Oct-2024
|
Versione iniziale |
Feedback