Configurazione della connettività vWAN per due ISP di Azure su un firewall protetto

Introduzione

In questo documento viene descritto come configurare la connettività VPN da sito a sito di Microsoft Azure Virtual WAN (vWAN) per proteggere il firewall utilizzando collegamenti WAN doppi.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Microsoft Azure Virtual WAN (vWAN)
• Cisco Secure Firewall Management Center (FMC)
• Cisco Secure Firewall Threat Defense (FTD)

Verificare che entrambi i componenti siano inizialmente configurati nell'ambiente Azure:

• Istanza di Microsoft Azure vWAN
• Hub vWAN di Microsoft Azure

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Cisco Secure FTD versione 10.0
• Cisco Secure FMC versione 10.0
• Microsoft Azure vWAN

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Quando il FTD della succursale ha due interfacce esterne con interfaccia ISP (Internet Service Provider), ognuna può connettersi in modo ridondante e attivo ad Azure vWAN, in modo che ogni collegamento ISP venga utilizzato. Azure vWAN crea due tunnel IPsec per collegamento di sito, uno per l'istanza dell'hub di Azure0 e uno per l'istanza1, quindi ogni interfaccia ISP termina due tunnel. Su entrambi i collegamenti ISP, il risultato sono quattro tunnel IPsec che terminano sull'FTD.

Le istanze di Azure funzionano in modalità attiva/attiva per il bilanciamento del carico e la ridondanza, quindi l'FTD riflette questa situazione tramite la configurazione ECMP (Equal-Cost Multi-Pathing) in tutti e quattro i tunnel IPSec. Utilizzando indirizzi APIPA (Automatic Private IP Addressing) personalizzati, vengono stabilite relazioni esterne Border Gateway Protocol (eBGP) con numeri di sistema autonomi (ASN) distinti su ciascuno dei quattro tunnel. In questo modo viene abilitata la funzionalità BGP multipath, che fornisce più percorsi ridondanti a ogni coppia di istanze del collegamento al sito hub di Azure.

Diagramma

Il diagramma mostra la topologia della configurazione descritta in questo articolo. La variante di collegamento Dia (Direct Internet Access) doppio ha come origine entrambi i tunnel di Azure da due interfacce esterne sull'FTD.

Doppi collegamenti DIA (Direct Internet Access) (Azure + bilanciamento del carico FTD/ridondanza)

Topologia della connettività Dual Direct Internet Access

Configurazione

Fase 1: Configurazione sito VPN vWAN di Azure

Passaggio 1: Crea sito VPN Azure vWAN (dispositivo FTD remoto)

1) Cercare vWAN nel campo di ricerca di Azure, fare clic su WAN virtuali per accedere all'hub vWAN di Azure esistente. Passare quindi a Connettività > Hub e fare clic sull'hub vWAN di Azure esistente.

Query di ricerca per WAN virtuale

Seleziona hub WAN virtuale esistente

2) Fare clic su Connettività > VPN (da sito a sito) e fare clic su + Crea nuovo sito VPN

Crea nuovo sito WAN virtuale

Nota: Per la pubblicazione di questo documento è previsto uno spazio vuoto che copre i valori di vari campi delle immagini.

3) Inserire i valori nei campi obbligatori. Al termine, fare clic su Avanti: Collegamenti > per spostarsi in avanti.

Impostazioni generali configurazione sito VPN

4) Inserire le informazioni sul collegamento richieste. L'indirizzo BGP del collegamento e l'ASN del collegamento sono l'indirizzo di destinazione BGP Layer 3 del tunnel interno e il numero BGP AS sul lato della filiale con cui si forma il vicinato sui tunnel da sito a sito. L'indirizzo BGP del collegamento è un indirizzo subnet non sovrapposto (/32) all'esterno della subnet spazio indirizzi privato dell'hub configurato, che Azure installa come route /32 per raggiungere come router BGP adiacente. Nelle sezioni successive dell'FTD vengono create due interfacce di loopback per rappresentare l'indirizzo BGP del collegamento per ciascun collegamento di sito doppio. L'indirizzo IP del collegamento/nome di dominio completo (FQDN) è l'indirizzo IP di destinazione del layer 3 esterno del traffico diretto al sito della succursale necessario per il provisioning della connettività IP Security (IPsec)/IKEv2 (Internet Key Exchange versione 2). Al termine, procedere al passaggio successivo facendo clic su Avanti: Rivedi + crea >.

Nota: Verificare di aver esaminato la documentazione di Azure specifica se si utilizzano indirizzi compresi tra 169.254.21.0 e 169.254.22.255 per gli indirizzi del tunnel: Scegliere gli indirizzi BGP APIPA.

Configura parametri collegamento sito

5) Una volta confermate le informazioni come previsto, fare clic su Create (Crea). 

Verifica e crea un nuovo sito VPN

6) Una volta completata l'installazione del sito VPN, tornare alla configurazione dell'hub vWAN.

Stato distribuzione sito WAN virtuale

Query di ricerca per WAN virtuale

Passaggio 2: Configura i parametri del gateway APIPA di Azure

Azure richiede una configurazione aggiuntiva per gli indirizzi APIPA (Automatic Private IP Addressing) nello spazio degli indirizzi IPv4 169.254.0.0/16.

1) Inserire l'hub esistente selezionando Connettività > Hub.

Passa a connettività hub WAN virtuale

2) Passare nuovamente a Connettività > VPN (da sito a sito) e fare clic sul collegamento ipertestuale Configurazione gateway.

Collegamento ipertestuale configurazione gateway di accesso

3) Viene visualizzato un pannello laterale per modificare il gateway VPN. In VPN Gateway Instance0 e VPN Gateway Instance1, immettere due indirizzi IP BGP personalizzati univoci che fungono da IP adiacenti a ciascuna istanza per i router adiacenti BGP sui tunnel IPsec. Questa operazione è necessaria se si sceglie di utilizzare l'indirizzamento APIPA all'interno di questa topologia. Nel campo Indirizzo peer, immettere l'indirizzo IP del router adiacente BGP da utilizzare per raggiungere le istanze di Azure dall'FTD. Azure non tenta di stabilire il BGP con il FTD se l'indirizzo APIPA è in uso, quindi il FTD tenta di stabilire il router adiacente eBGP su ogni tunnel con Azure.

Il totale risulta da 2 collegamenti x 2 tunnel impliciti; un tunnel verso Instance0 e Instance1 per collegamento ISP; il totale arriva a quattro tunnel IPsec con quartieri BGP tra Azure e le due interfacce ISP FTD.

Questi indirizzi devono essere univoci e, nella dimostrazione, il secondo e l'ultimo indirizzo host nelle subnet /30 assegnate a ciascun tunnel devono essere configurati sull'FTD per l'uso. Una volta configurata, fare clic su Modifica. 

Nota: Verificare di aver esaminato la documentazione di Azure specifica se si utilizzano indirizzi compresi tra 169.254.21.0 e 169.254.22.255 per gli indirizzi del tunnel: Scelta degli indirizzi BGP AP

Modifica indirizzi IP BGP personalizzati del gateway VPN

Nota: Come nota di Azure, l'aggiornamento può richiedere fino a 30 minuti o più.

Passaggio 3: Configura parametri della VPN del sito di Azure vWAN

1) Nella pagina Connettività > VPN (da sito a sito) all'interno della configurazione dell'hub vWAN di Azure, fare clic sulla X per cancellare l'associazione dell'hub: Filtro connesso per visualizzare i siti VPN disconnessi.

Cancella i filtri di connessione dell'associazione hub

2) Selezionare la casella di controllo accanto al sito VPN di recente provisioning, quindi fare clic su Connetti sito VPN.

Azione connetti sito VPN

3) Configurare la chiave precondivisa (PSK) desiderata e configurare i parametri IPSec desiderati facendo clic sull'opzione di attivazione/disattivazione personalizzata. Questi parametri IPSec devono corrispondere nella configurazione FMC/FTD nei passaggi successivi. Per salvare, scegliere Connetti.

Nota: Il supporto per Diffie-Hellman (DH) Group 24 è stato rimosso in FTD/FMC versione 6.7.

Configura parametri IPSec e chiave già condivisa

4) Conferma del provisioning del sito VPN completata.

Conferma stato provisioning sito VPN

Passaggio 4: Abilitare e attivare l'API BGP personalizzata sulle istanze del collegamento di sito VPN

1) Aggiornare la pagina VPN (da sito a sito) e confermare che la colonna Stato del provisioning della connessione indichi la riuscita dell'operazione, che consente di fare clic sui puntini di sospensione e di fare clic sulla voce di menu a discesa Modifica connessione VPN per questo hub.

Convalida connessione riuscita e modifica connessione VPN

2) Fare clic per configurare la connessione di collegamento 1 (ISP1) e immettere nuovamente la chiave precondivisa (PSK) e assicurarsi di fare clic sull'opzione Abilita accanto all'indirizzo IP BGP personalizzato, quindi mappare l'indirizzo host rimanente delle subnet /30 che costituiranno i valori dei campi dell'indirizzo IP di destinazione del tunnel interno dell'intestazione IP BGP generata dagli FTD.

In sostanza, ISP1 VTI Tunnel1 per Azure Instance0 ha un'assegnazione di indirizzo di 169.254.21.1/30, e il secondo ISP1 VTI Tunnel2 che termina sull'FTD ha un IP di 169.254.22.1/30 assegnato per Instance1. 

Fare clic su Avanti: Link Connection 2> per procedere con i parametri di collegamento dell'ISP 2.

Nota: È possibile che sia necessario immettere nuovamente la chiave primaria e fare nuovamente clic sull'opzione Gruppo PFS allineato nel menu a discesa in Azure.

Configurare la connessione di collegamento con impostazioni BGP personalizzate

3) Ripetere i passaggi precedenti e applicare i parametri applicabili in Connessione link 2 (collegamento ISP2). Al termine, fare clic su Crea.

Configura connessione collegamento due impostazioni BGP personalizzate

4) Le notifiche nell'interfaccia utente di Azure mostrano l'inizio dell'attività di aggiornamento.

Notifica di inizio attività di aggiornamento di Azure

Passaggio 5: Scarica file di configurazione sito VPN

1) Nella stessa pagina VPN (da sito a sito) in Azure, scegliere l'icona con i puntini di sospensione all'estrema destra del sito VPN configurato e scegliere l'opzione Scarica file di configurazione sito VPN.

Opzione Scarica file di configurazione sito VPN

2) Fare clic su Fare clic qui per scaricare il collegamento ipertestuale.

Scarica file di configurazione sito VPN

Fase 2: Configurare FTD per la connettività ISP doppio ad Azure vWAN

Passaggio 1: Analizza la configurazione VPN scaricata

1) Aprire il file di configurazione scaricato e viene visualizzato un output JSON (JavaScript Object Notation) simile. L'output mostra uno dei due oggetti scritti nel file. Queste informazioni forniscono un contesto utile per la configurazione FTD.

Nota: Per una messa a fuoco avanzata, diversi oggetti irrilevanti e coppie chiave/valore vengono potati per brevità.

Nota: L'ordinamento degli oggetti JSON ISP-Link-1 nel file scaricato è invertito. I puntini di sospensione nell'output di codice rappresentano l'oggetto ISP-2-Link con la relativa configurazione applicabile.

...
{
    "configurationVersion": {
      "LastUpdatedTime": "2026-09-25T20:20:26.7658453Z",
      "Version": "15221e61-4e2c-42f5-b9e4-96d674f5a9a3"
    },
    "vpnSiteConfiguration": {
      "Name": "Dual-ISP-Site",
      "IPAddress": "FTD_ISP1_WAN_IP",
      "BgpSetting": {
        "Asn": 65532,
        "BgpPeeringAddress": "169.254.21.100",
        "PeerWeight": 32768
      },
      "LinkName": "ISP-1-Link"
    },
    "vpnSiteConnections": [
      {
        "gatewayConfiguration": {
          "IpAddresses": {
            "Instance0": "Inst0IP",
            "Instance1": "Inst1IP"
          },
          "BgpSetting": {
            "Asn": 65515,
            "CustomBgpPeeringAddresses": {
              "Instance0": [
                "169.254.21.22",
                "169.254.21.2"
              ],
              "Instance1": [
                "169.254.22.22",
                "169.254.22.2"
              ]
            },
          }
        },
        "connectionConfiguration": {
          "IsBgpEnabled": true,
          "PSK": "PSK",
          "IPsecParameters": {
            "IpsecEncryption": "GCMAES256",
            "IpsecIntegrity": "GCMAES256",
            "IkeEncryption": "GCMAES256",
            "IkeIntegrity": "SHA384",
            "PfsGroup": "None",
            "DhGroup": "DHGroup14",
            "SALifeTimeInSeconds": 27000
          }
        }
      }
    ]
  }
]

Mantenere questo output come riferimento mentre si completano i passaggi.

Passaggio 2: Configura interfacce di loopback origine aggiornamento BGP collegamento 

Le voci di configurazione dei nodi adiacenti BGP nel processo BGP FTD (configurato nei passaggi successivi dell'FTD) richiedono un'origine stabile che rappresenti l'indirizzo IP BGP del collegamento corrispondente nella configurazione del collegamento al sito di Azure.

1) Selezionare Dispositivi > Gestione dispositivi.

Passare A Gestione Periferiche In Firepower Management Center

Nota: Questa esercitazione utilizza un centro di gestione dei firewall (cdFMC) distribuito su cloud; le misure restano tuttavia invariate per i CCP locali.

 2) Fare clic sull'FTD che si sta configurando come dispositivo VPN per filiale/sito con connettività ISP doppia.

Selezionare l'FTD per la distribuzione della configurazione

3) Fare clic sul menu a discesa Aggiungi interfacce e fare clic su Interfaccia loopback.

Aggiungi Interfaccia Di Loopback Al Dispositivo

 4) Immettere un Nome dell'interfaccia di loopback, accertarsi di selezionare la casella di controllo Abilitato e immettere un ID di loopback. Se desiderato, immettere una descrizione. Al termine, fare clic sulla scheda IPv4. 

Configurazione Delle Informazioni Dell'Interfaccia Di Loopback E Dell'Indirizzo IPv4

5) Immettere l'indirizzo IP di loopback che sarà l'indirizzo IP BGP del collegamento configurato nelle fasi precedenti per il collegamento del sito ISP1 in Azure. Questo IP viene usato come origine di aggiornamento BGP nelle istanze adiacenti configurate tra FTD e Istanze di Azure su ISP1.

Nota: È possibile fare riferimento al valore definito in precedenza nel file JSON di configurazione della VPN scaricato in vpnSiteConfiguration.BgpSetting.BgpPeeringAddress per ISP1

Immettere l'indirizzo IPv4 di loopback e premere OK

6) Ripetere i passaggi secondari c-e in questa sequenza per la configurazione del loopback BGP ISP2.

Creazione Della Prima E Della Seconda Interfaccia Di Loopback

7) Salvare la configurazione.

Salva modifiche

Passaggio 3: Configura oggetti criteri Fase 1/Fase 2

1) Per configurare la configurazione IKEv2/IPsec corrispondente sul FMC alle topologie VPN FTD, selezionare Gestisci > Oggetti, scorrere il menu di navigazione fino a VPN ed espandere il sottomenu. Configurare il criterio IKEv2 fase 1 scegliendo Criterio IKEv2 dal menu e facendo clic su Aggiungi criterio IKEv2.

Crea nuovo oggetto criterio IKEv2

2) Inserire un nome per il nuovo criterio IKEv2, scegliere Priorità e/o Durata. Verificare che i criteri corrispondano su entrambe le estremità del tunnel per quanto riguarda integrità, crittografia, funzione pseudo-casuale (PRF) e gruppo DH. Scegliere gli elementi dell'algoritmo/gruppo da associare alla configurazione di Azure e fare clic su Aggiungi.

Nota: È possibile fare riferimento a questi valori esatti nel file di configurazione scaricato in vpnSiteConnections[0].connectionConfiguration.IPsecParameters

Crea criterio IKEv2

3) Al termine della configurazione, fare clic su Save (Salva). 

Salva criterio IKEv2

4) Configurare i parametri per la fase 2/IPSec nel sottomenu Proposta IPsec IKEv2 e fare clic su Aggiungi proposta IPsec IKEv2.

Crea proposta IPSec IKEv2

5) Assegnare un nome alla proposta IPSec IKEv2 e verificare che le stesse impostazioni siano allineate. Al termine, fare clic su Salva.

Denominare la proposta IPSec IKEv2 e fare clic su Salva

Passaggio 4: Configurazione delle interfacce tunnel virtuali (VTI)

1) Selezionare Dispositivi > Gestione dispositivi.

Passare A Gestione Periferiche In Firepower Management Center

 2) Fare clic sull'FTD che si sta configurando come dispositivo VPN per filiale/sito con connettività ISP doppia.

Selezionare l'FTD per la distribuzione della configurazione

3) Fare clic sul menu a discesa Add Interfaces (Aggiungi interfacce) e selezionare Virtual Tunnel Interface (VTI).

Crea interfaccia tunnel virtuale

4) Inserire le informazioni sul tunnel. Verificare che la casella di controllo Abilitato sia selezionata, che Nome sia stato immesso (anche Descrizione, se desiderato) e che Area di protezione facoltativa sia stata scelta. Allineare l'interfaccia padre corretta con connessione ISP per configurare la VTI in e configurare l'indirizzo IP appropriato per la connettività IPsec del tunnel interno per la VTI. Al termine, premere OK.

Suggerimento: Il diagramma di riferimento mostra un ulteriore contesto sulla potenziale configurazione VPN per la connettività Azure dual-WAN con FTD.

Crea impostazioni interfaccia tunnel virtuale

 5) Configurare 3 VTI aggiuntive sulle interfacce ISP1 e ISP2 padre.

Configurazione di interfacce tunnel virtuali aggiuntive

f) Assicurarsi di fare clic su Salva per salvare le modifiche.

Salva modifiche

Passaggio 5: Provisioning delle topologie VPN IPsec

1) Selezionare Manage > Secure Connections > Site-to-Site VPN & SD-WAN (Gestione > Connessioni sicure > VPN da sito a sito e SD-WAN).

Gestire connessioni VPN e SD-WAN da sito a sito

2) Fare clic sul collegamento ipertestuale iniziale della configurazione della topologia VPN al centro dell'output iniziale oppure fare clic sul pulsante Add (Aggiungi).

Aggiungi nuova configurazione topologia VPN

3) Immettere un nome di topologia per il primo tunnel su ISP1 collegato all'istanza di Azure0. Fare clic sul pulsante di opzione VPN basata su route, quindi fare clic sul tipo di topologia VPN peer-to-peer. Al termine, fare clic su Crea.

Configura tipo di topologia VPN basata su route

4) Innanzitutto, scegliere il dispositivo Nodo A e nell'elenco a discesa Dispositivo indicare che l'FTD sta terminando i tunnel VPN da Azure. Dopo che la procedura guidata ha recuperato le VTI disponibili dal dispositivo, selezionare la VTI appropriata per l'interfaccia padre e l'istanza che si sta configurando dal menu a discesa. Dal menu Dispositivo del nodo B, scegliere il lato Azure come nodo Extranet nella configurazione della topologia VPN. Verificare di aver configurato un nome descrittivo per il nodo B e di aver immesso l'indirizzo IP dell'endpoint appropriato. Al termine, fare clic sulla scheda IKE per implementare la configurazione del tunnel per la fase 1. 

Nota: È possibile fare riferimento ai valori degli indirizzi IP degli endpoint dell'istanza nel file di configurazione scaricato in vpnSiteConnections[0].gatewayConfiguration.IpAddresses.Instance0 e vpnSiteConnections[0].gatewayConfiguration.IpAddresses.Instance1 

Definizione Degli Endpoint Della Topologia Del Nodo A E Del Nodo B

5) Scorrere il menu di navigazione fino a Impostazioni IKEv2 e fare clic sull'icona a forma di matita per modificare i criteri in base ai criteri IKEv2 configurati di recente. Scegliere quindi l'opzione Chiave manuale già condivisa dal menu a discesa Tipo di autenticazione e immettere la chiave già configurata in Azure. Al termine, fare clic sulla scheda IPsec per configurare i parametri del tunnel IPsec fase 2.

Nota: È possibile fare riferimento alla chiave già condivisa nel file di configurazione scaricato in vpnSiteConnections[0].connectionConfiguration.IPsecParameters.PSK

Modifica impostazioni IKEv2 e chiave di autenticazione

6) Fare clic sull'icona a forma di matita accanto al set di trasformazioni proposte IPSec IKEv2, quindi selezionare i parametri dei criteri IPSec configurati in precedenza. Assicurarsi di modificare il valore Durata affinché corrisponda alle impostazioni VPN di Azure vWAN. Una volta confermate le informazioni sulla configurazione, fare clic su Salva.

Nota: È possibile fare riferimento al valore Lifetime nel file di configurazione scaricato in vpnSiteConnections[0].connectionConfiguration.IPsecParameters.SALifeTimeInSeconds

Configura durata proposta IPSec

7) Ripetere i passaggi secondari precedenti nel Passaggio 5 per creare gli altri tunnel di Azure nell'istanza 1 dell'ISP1, nell'istanza 0 dell'ISP2 e nell'istanza 1 dell'ISP2.

Crea topologie VPN aggiuntive da sito a sito

Passaggio 6: Convalida topologie VPN

Immettere in system support diagnostic-cli, digitare en e premere Invio (CLI di sola lettura).

1) Controllare la connettività del tunnel IKE fase 1.

`show crypto isakmp sa | i UP|READY`

2) Controllare la connettività IPsec fase 2.

show crypto ipsec sa | i int|current_peer|pkts

Nota: Quando si visualizzano l'output delle associazioni di sicurezza (SA) IPSec e i decapiti e i contatori di decrittografia PKTS sono in aumento, mentre gli incapsulamenti PKTS e i PKTScriptati non lo sono. Questa situazione è prevista in questo scenario. Azure sta tentando di formare relazioni di vicinato BGP tramite gli indirizzi dello spazio IP privato dell'hub e Azure non avvia la negoziazione se l'estremità adiacente utilizza indirizzi BGP APIPA. È responsabilità del dispositivo che si connette ad Azure avviare la negoziazione BGP quando viene utilizzata l'API personalizzata.

3) Controllare La Connettività Di Layer 2.

show arp

4) Controllare il routing IP.

show route

5) Eseguire l'acquisizione sulle interfacce ISP1 e ISP2.

capture isp1 interface ISP1 match udp any any eq 500  
capture isp1 interface ISP1 match udp any any eq 4500  
capture isp1 interface ISP1 match esp any any  
...  
show cap  
show cap isp1  
show cap isp2

6) Verifica di Azure - Passare a Hub vWAN > Connettività.> Siti VPN > Scegliere il sito configurato.

Verifica della connettività di Azure Link

Passaggio 7: Configura ECMP

1) Selezionare Gestisci > Dispositivi > Gestione dispositivi e fare clic su FTD.

Passare A Gestione Periferiche In Firepower Management CenterSelezionare l'FTD per la distribuzione della configurazione

2) Fare clic sulla scheda Instradamento e scegliere ECMP.

Impostazioni di configurazione a percorsi multipli Equal Cost

3) Fare clic su Add.

Aggiunta di impostazioni di configurazione a percorsi multipli pari costo

4) Assegnare un nome alla zona ECMP, fare clic sulle interfacce VTI disponibili, quindi sul pulsante Aggiungi per applicarle alla colonna Interfacce selezionate e fare clic su OK.

Selezione delle interfacce per una zona a percorsi multipli pari costo

5) Assicurarsi di salvare le modifiche.

Salva modifiche

Passaggio 8: Configurare BGP

1) Abilitare il processo BGP sull'FTD in Routing > General Settings > BGP. Selezionare la casella di controllo Enable BGP e immettere il numero AS configurato in precedenza in Fase 1, Fase 1d. Fare clic su accanto a Routing > BGP > IPv4.

Abilita Processo Border Gateway Protocol In Impostazioni Generali

2) Verificare di aver selezionato la casella di controllo Abilita IPv4 per il processo BGP, quindi fare clic su Router adiacente per configurare i router adiacenti BGP in Azure.

Abilita processo IPv4 Border Gateway Protocol

3) Fare clic su + Aggiungi.

Aggiungi nuovo router adiacente Border Gateway Protocol

4) Immettere le informazioni sul peering BGP Instance0 dell'ISP1, fare riferimento all'ASA BGP annotata dall'hub vWAN e immetterla come AS remoto adiacente, quindi aggiungere una descrizione se desiderato. Fare clic su Avanzate. 

Nota: Scegliere l'origine aggiornamento BGP per fare riferimento al loopback per le interfacce VTI nell'FTD mappato al collegamento ISP1 configurato in Azure.

Configurazione delle informazioni di peering del protocollo Border Gateway

5) Nel menu Advanced (Avanzate) della configurazione BGP Neighbor su FTD, è possibile modificare il numero di hop TTL (Time To Live) dall'impostazione predefinita eBGP di 1 hop a un numero variabile. Gli endpoint BGP di Azure non sono connessi direttamente all'infrastruttura di Azure tramite il tunnel e nell'endpoint tendono a essere presenti più hop rispetto al valore TTL eBGP predefinito di 1 permesso. Fare clic su OK. 

Impostazioni avanzate router adiacente Border Gateway Protocol

6) Ripetere i passaggi secondari 3-5 per configurare Tunnel2 per l'istanza 1 del provider di servizi Internet1.

7) Ripetere i passaggi secondari da 3 a 5 due volte per configurare le informazioni sul peering BGP Instance0/Instance1 dell'ISP2.

Nota: Assicurarsi di scegliere l'origine aggiornamento BGP allineata che fa riferimento al loopback per le interfacce VTI nell'FTD mappato al collegamento ISP2 configurato in Azure.

Configurazione router adiacente BGP istanza 1 ISP2

Configurazione router adiacente BGP istanza 2 ISP 2

Fine configurazione risultati router adiacente BGP

Al termine, fare clic su Salva. 

Salva modifiche

Per impostazione predefinita, BGP installa un solo percorso ottimale nella tabella di routing, anche se ECMP è configurato in tutte le VTI di Azure. È necessario abilitare BGP multipath separatamente in modo che entrambi i percorsi appresi vengano installati e utilizzati contemporaneamente.

Passaggio 9: Configurazione di eBGP Multipath

1) Selezionare Routing > BGP > IPv4, fare clic sulla scheda General (Generale), quindi sull'icona della matita accanto a Forward Packets Over Multiple Paths (Inoltra pacchetti su più percorsi).

Impostazione Inoltra pacchetti su più percorsi

2) Modificare il valore predefinito del campo Numero di percorsi da 1 a 4. Fare clic su OK.

Impostazione Cambia Pacchetti Di Inoltro Su Più Percorsi

3) Assicurarsi di salvare e distribuire le modifiche.

Verifica/Risoluzione dei problemi

> system support diagnostic-cli
Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.
ftd#
ftd#
ftd# show bgp summary  
BGP router identifier 169.254.22.100, local AS number 65532  
BGP table version is 29, main routing table version 29  
2 network entries using 400 bytes of memory  
8 path entries using 640 bytes of memory  
2 multipath network entries and 8 multipath paths  
1/1 BGP path/bestpath attribute entries using 208 bytes of memory  
1 BGP AS-PATH entries using 24 bytes of memory  
0 BGP route-map cache entries using 0 bytes of memory  
0 BGP filter-list cache entries using 0 bytes of memory  
BGP using 1272 total bytes of memory  
BGP activity 4/2 prefixes, 16/8 paths, scan interval 60 secs

Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd  
169.254.21.2 4 65515 20 17 29 0 0 00:13:14 2  
169.254.22.2 4 65515 20 20 29 0 0 00:13:22 2  
169.254.21.22 4 65515 19 21 29 0 0 00:13:19 2  
169.254.22.22 4 65515 20 19 29 0 0 00:13:17 2
ftd# 

ftd# show bgp 

BGP table version is 29, local router ID is 169.254.22.100
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale, m multipath
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop        Metric LocPrf Weight  Path
*m 10.2.0.0/16      169.254.21.2                       0  65515 i
*m                  169.254.22.22                      0  65515 i
*m                  169.254.21.22                      0  65515 i
*>                  169.254.22.2                       0  65515 i
*m 172.27.0.0       169.254.21.2                       0  65515 i
*m                  169.254.22.22                      0  65515 i
*m                  169.254.21.22                      0  65515 i
*>                  169.254.22.2                       0  65515 i

ftd# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 172.31.3.33 to network 0.0.0.0

B        10.2.0.0 255.255.0.0 [20/0] via 169.254.22.22, 00:20:53
                              [20/0] via 169.254.22.2, 00:20:53
                              [20/0] via 169.254.21.22, 00:20:53
                              [20/0] via 169.254.21.2, 00:20:53
B        172.27.0.0 255.255.0.0 [20/0] via 169.254.22.22, 00:20:53
                                [20/0] via 169.254.22.2, 00:20:53
                                [20/0] via 169.254.21.22, 00:20:53
                                [20/0] via 169.254.21.2, 00:20:53

ftd# show conn all | include TCP|179
TCP ISP2-Inst-0  169.254.21.22:179 bgpLo-ISP2  169.254.22.100:1603, idle 0:00:10, bytes 1517, flags UIO 
TCP ISP2-Inst-1  169.254.22.22:179 bgpLo-ISP2  169.254.22.100:41883, idle 0:00:01, bytes 1486, flags UIO 
TCP ISP1-Inst-1  169.254.22.2:179 bgpLo-ISP1  169.254.21.100:3804, idle 0:00:53, bytes 1467, flags UIO 
TCP ISP1-Inst-0  169.254.21.2:179 bgpLo-ISP1  169.254.21.100:61287, idle 0:00:04, bytes 1331, flags UIO 
TCP bgpLo-ISP1  169.254.22.2:179 NP Identity Ifc  169.254.21.100:3804, idle 0:00:53, bytes 751, flags UI 
TCP bgpLo-ISP2  169.254.21.22:179 NP Identity Ifc  169.254.22.100:1603, idle 0:00:10, bytes 844, flags UI 
TCP bgpLo-ISP2  169.254.22.22:179 NP Identity Ifc  169.254.22.100:41883, idle 0:00:01, bytes 751, flags UI 
TCP bgpLo-ISP1  169.254.21.2:179 NP Identity Ifc  169.254.21.100:61287, idle 0:00:04, bytes 639, flags UI