FDMによって管理されるFTDでのルートベースVPNを介したBGPの設定
はじめに
このドキュメントでは、FirePower Device Manager(FDM)で管理されるFTDv上のルートベースのサイト間VPN(VVPN)でのBGPの設定について説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- VPNの基本的な知識
- FTDvでのBGPの設定
- FDMの経験
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- Cisco FTDvバージョン7.4.2
- Cisco FDMバージョン7.4.2
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
設定
ネットワーク図
トポ
VPNでの設定
ステップ 1：ノード間のIP相互接続の準備が整い、安定していることを確認します。FDMのスマートライセンスがスマートアカウントに正常に登録されます。
ステップ 2 Site1クライアントのゲートウェイは、Site1 FTDの内部IPアドレス(192.168.70.1)で設定されます。 Site2クライアントのゲートウェイは、Site2 FTDの内部IPアドレス(192.168.50.1)で設定されます。 また、FDMの初期化後に両方のFTDのデフォルトルートが正しく設定されていることを確認します。
各FDMのGUIにログインします。Device > Routingの順に移動します。View Configurationをクリックします。デフォルトスタティックルートを確認するには、Static Routingタブをクリックします。
サイト1_FTD_ゲートウェイ
サイト2_FTD_ゲートウェイ
ステップ 3ルートベースのサイト間VPNを設定する。 この例では、最初にSite1 FTDを設定します。
ステップ 3.1： Site1 FTDのFDM GUIにログインします。Site1 FTDの内部ネットワークの新しいネットワークオブジェクトを作成します。 Objects > Networksの順に移動し、+ボタンをクリックします。
Create_Network_オブジェクト
ステップ 3.2：必要な情報を提供します。[OK] ボタンをクリックします。
- 名前： inside_192.168.70.0
- タイプ：ネットワーク
- ネットワーク：192.168.70.0/24
サイト1_内部_ネットワーク
ステップ 3.3：Device > Site-to-Site VPNの順に移動します。View Configurationをクリックします。
サイト間VPNの表示
ステップ 3.4：新しいサイト間VPNの作成を開始します。CREATE SITE-TO-SITE CONNECTIONをクリックします。
作成_サイト間_接続
ステップ 3.5：必要な情報を入力します。
- 接続プロファイル名：Demo_S2S
- タイプ：ルートベース(VTI)
- Local VPN Access Interface:ドロップダウンリストをクリックし、次にCreate New Virtual Tunnel Interfaceをクリックします。
Create_VTI_in_VPN_ウィザード
ステップ 3.6：新しいVTIを作成するために必要な情報を提供します。 [OK] ボタンをクリックします。
- 名前： demovti
- トンネルID:1
- トンネル送信元：外部(GigabitEthernet0/0)
- IPアドレスとサブネットマスク：169.254.10.1/24
- ステータス：スライダをクリックして有効の位置にします。
作成_VTI_詳細
ステップ 3.7：必要な情報を引き続き提供します。 [Next] ボタンをクリックします。
- ローカルVPNアクセスインターフェイス：demovti（ステップ3.6で作成）
- リモートIPアドレス：192.168.10.1
VPN_Wizard_Endpoints_ステップ1
ステップ 3.8：IKE Policyに移動します。[Edit] ボタンをクリックします。
編集_IKE_ポリシー
ステップ 3.9： IKEポリシーでは、事前に定義されたポリシーを使用するか、Create New IKE Policyをクリックして新しいポリシーを作成できます。
この例では、既存のIKEポリシーAES-SHA-SHAを切り替え、デモ用に新しいIKEポリシーを作成します。OKボタンをクリックして保存します。
- 名前：AES256_DH14_SHA256_SHA256
- 暗号化：AES、AES256
- DHグループ：14
- 整合性ハッシュ：SHA、SHA256
- PRFハッシュ：SHA、SHA256
- ライフタイム：86400（デフォルト）
Add_New_IKE_ポリシー
Enable_New_IKE_ポリシー
ステップ 3.10： IPSec Proposalに移動します。[Edit] ボタンをクリックします。
編集_IKE_プロポーザル
ステップ 3.11： IPSecプロポーザルでは、事前に定義されたプロポーザルを使用するか、Create new IPSec Proposalをクリックして新しいプロポーザルを作成できます。この例では、デモ用に新しい1つを作成します。必要な情報を入力します。OKボタンをクリックして保存します。
- 名前： AES256_SHA256
- 暗号化：AES、AES256
- 整合性ハッシュ：SHA1、SHA256
Add_New_IPSec_プロポーザル
Enable_New_IPSec_プロポーザル
ステップ 3.12：事前共有キーを設定します。[Next] ボタンをクリックします。
この事前共有キーを書き留め、後でSite2 FTDで設定します。
Configure_Pre_Shared_Key（事前共有キー）
ステップ 3.13：VPN設定を確認します。変更する必要がある場合は、BACKボタンをクリックします。問題がなければ、FINISHボタンをクリックします。
VPN_Wizard_完了
ステップ 3.14：トラフィックがFTDを通過できるようにするには、アクセスコントロールルールを作成します。この例では、デモの目的ですべてを許可します。 実際のニーズに基づいてポリシーを変更します。
Access_Control_Rule_例
ステップ3.15:（オプション）インターネットにアクセスするためにクライアントにダイナミックNATが設定されている場合は、FTDでクライアントトラフィックのNAT免除ルールを設定します。この例では、各FTDにダイナミックNATが設定されていないため、NAT免除ルールを設定する必要はありません。
ステップ 3.16：設定変更を導入します。
導入VPNの設定
BGPでの設定
ステップ 4 Device > Routingの順に移動します。View Configurationをクリックします。
View_Routing_設定
ステップ 5BGPタブをクリックし、次にCREATE BGP OBJECTをクリックします。
Create_BGP_オブジェクト
ステップ 6オブジェクトの名前を指定します。 Templateに移動して設定します。OKボタンをクリックして保存します。
Name（名前）:demobgp
回線1:AS番号を設定します。as-numberをクリックします。手動でローカルAS番号を入力します。この例では、Site1 FTDのAS番号は65511です。
2行目：IPプロトコルを設定します。ip-protocolをクリックします。ipv4を選択します。
作成BGPオブジェクトASNumber_プロトコル
4行目：追加の設定を行います。settingsをクリックし、generalを選択してから、Show disabledをクリックします。
作成BGPオブジェクトのアドレス設定
回線6:+アイコンをクリックして、回線でのBGPネットワークの設定を有効にします。network-objectをクリックします。既存の使用可能なオブジェクトを表示して、そのオブジェクトを選択できます。この例では、オブジェクト名inside_192.168.70.0（ステップ3.2で作成）を選択します。
作成BGPオブジェクト追加ネットワーク
作成BGPオブジェクト追加ネットワーク2
回線11:+アイコンをクリックして、回線でBGPネイバー関連情報を設定できるようにします。neighbor-addressをクリックし、peerBGPneighboraddressを手動で入力します。この例では、169.254.10.2（Site2 FTDのVTI IPアドレス）です。 as-numberをクリックし、ピアAS番号を手動で入力します。この例では、65510はSite2 FTD用です。config-optionsをクリックして、propertiesを選択します。
Create_BGP_Object_NeighborSetting（設定）
回線14:+アイコンをクリックして、回線でネイバーの一部のプロパティを設定できるようにします。activate-optionsをクリックして、propertiesを選択します。
Create_BGP_Object_NeighborSetting_プロパティ
品目13：品目に高度なオプションを表示できるようにするには、+アイコンをクリックします。settingsをクリックし、advancedを選択します。
Create_BGP_Object_NeighborSetting_Properties_Advanced（高度な設定）
品目18:optionsをクリックし、disableを選択して、パスMTUディスカバリを無効にします。
Create_BGP_Object_NeighborSetting_Properties_Advanced_PMDコマンド
回線14、15、16、17：回線を無効にするには-ボタンをクリックします。次に、OKボタンをクリックしてBGPオブジェクトを保存します。
作成BGPオブジェクト無効化行
次に、この例のBGP設定の概要を示します。実際のニーズに基づいて、その他のBGP設定を行うことができます。
Create_BGP_Object_Final_の概要
ステップ 7BGP設定の変更を導入します。
導入BGP設定
ステップ 8これで、Site1 FTDの設定が完了しました。
Site2 FTD VPNとBGPを設定するには、Site2 FTDの対応するパラメータを使用して、ステップ3 ～ 7を繰り返します。
CLIでのSite1 FTDとSite2 FTDの設定の概要。
| サイト1 FTD |
サイト2のFTD |
| NGFWバージョン7.4.2 interface GigabitEthernet0/0nameif外部 ctsマニュアル propagate sgt preserve-untag（sgtの保持 – タグ解除を伝播） policy static sgt disabled trusted（ポリシー静的無効の信頼されたSGT） セキュリティレベル0 ip address 192.168.30.1 255.255.255.0 interface GigabitEthernet0/2 nameif内部 セキュリティレベル0 ip address 192.168.70.1 255.255.255.0 interface Tunnel1 nameif demovti ip address 169.254.10.1 255.255.255.0 トンネル送信元インターフェイス外部 tunnel destination 192.168.10.1 トンネルモードipsec ipv4 トンネル保護ipsecプロファイルipsec_profile|e4084d322d オブジェクトネットワークOutsideIPv4ゲートウェイ ホスト192.168.30.3 オブジェクトネットワーク内部_192.168.70.0 サブネット192.168.70.0 255.255.255.0 access-group NGFW_ONBOX_ACLグローバル access-list NGFW_ONBOX_ACL remark rule-id 268435457：アクセスポリシー：NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 268435457: L5 RULE: Inside_Outside_Rule access-list NGFW_ONBOX_ACL advanced trust object-group |acSvcg-268435457 ifc inside any ifc outside any rule-id 268435457 event-log both access-list NGFW_ONBOX_ACL remark rule-id 268435458：アクセスポリシー：NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 268435458: L5 RULE: Demo_allow access-list NGFW_ONBOX_ACL advanced permit object-group |acSvcg-268435458 any rule-id 268435458 event-log both access-list NGFW_ONBOX_ACL remark rule-id 1：アクセスポリシー：NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 1: L5 RULE: DefaultActionRule access-list NGFW_ONBOX_ACL advanced deny ip any any rule-id 1 router bgp 65511 bgp log-neighbor-changes BGPルータID VRF自動割り当て address-family ipv4 unicast neighbor 169.254.10.2 remote-as 65510 neighbor 169.254.10.2 transport path-mtu-discovery disable neighbor 169.254.10.2 activate network 192.168.70.0 no auto-summary no synchronization exit-address-family 外部ルート0.0.0.0 0.0.0.0 192.168.30.3 1 crypto ipsec ikev2 ipsec-proposal AES256_SHA256 プロトコルesp暗号化aes-256 aes protocol esp integrity sha-256 sha-1 crypto ipsec profile ipsec_profile|e4084d322d set ikev2 ipsec-proposal AES256_SHA256 set security-association lifetime kilobytes4608000 set security-association lifetime seconds 28800（セキュリティアソシエーションのライフタイム秒数を設定します） crypto ipsec security-association pmtu-aging infinite crypto ikev2 policy 1 暗号化aes-256 aes 整合性sha256 sha group 14 prf sha256 sha ライフタイム秒数86400 crypto ikev2 policy 20 encryption aes-256 aes-192 aes(暗号化aes-256 aes-192 aes 整合性sha512 sha384 sha256 sha グループ21 20 16 15 14 prf sha512 sha384 sha256 sha ライフタイム秒数86400 crypto ikev2 enable outside グループポリシー|s2sGP|192.168.10.1 internal グループポリシー|s2sGP|192.168.10.1属性 VPNトンネルプロトコルIKEV2 tunnel-group 192.168.10.1 type ipsec-l2l tunnel-group 192.168.10.1一般属性 デフォルトグループポリシー|s2sGP|192.168.10.1 tunnel-group 192.168.10.1 ipsec属性 ikev2リモート認証事前共有キー***** ikev2ローカル認証事前共有キー***** |
NGFWバージョン7.4.2 interface GigabitEthernet0/0 nameif外部 ctsマニュアル propagate sgt preserve-untag（sgtの保持 – タグ解除を伝播） policy static sgt disabled trusted（ポリシー静的無効の信頼されたSGT） セキュリティレベル0 ip address 192.168.10.1 255.255.255.0 interface GigabitEthernet0/2 nameif内部 セキュリティレベル0 ip address 192.168.50.1 255.255.255.0 interface Tunnel1 nameif demovti25 ip address 169.254.10.2 255.255.255.0 トンネル送信元インターフェイス外部 tunnel destination 192.168.30.1 トンネルモードipsec ipv4 トンネル保護ipsecプロファイルipsec_profile|e4084d322d オブジェクトネットワークOutsideIPv4ゲートウェイ ホスト192.168.10.3 オブジェクトネットワーク内部_192.168.50.0 サブネット192.168.50.0 255.255.255.0 access-group NGFW_ONBOX_ACLグローバル access-list NGFW_ONBOX_ACL remark rule-id 268435457：アクセスポリシー：NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 268435457: L5 RULE: Inside_Outside_Rule access-list NGFW_ONBOX_ACL advanced trust object-group |acSvcg-268435457 ifc inside any ifc outside any rule-id 268435457 event-log both access-list NGFW_ONBOX_ACL remark rule-id 268435458：アクセスポリシー：NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 268435458: L5 RULE: Demo_allow access-list NGFW_ONBOX_ACL advanced permit object-group |acSvcg-268435458 any rule-id 268435458 event-log both access-list NGFW_ONBOX_ACL remark rule-id 1：アクセスポリシー：NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 1: L5 RULE: DefaultActionRule access-list NGFW_ONBOX_ACL advanced deny ip any any rule-id 1 router bgp 65510 bgp log-neighbor-changes BGPルータID VRF自動割り当て address-family ipv4 unicast neighbor 169.254.10.1 remote-as 65511 neighbor 169.254.10.1 transport path-mtu-discovery disable neighbor 169.254.10.1 activate network 192.168.50.0 no auto-summary no synchronization exit-address-family 外部ルート0.0.0.0 0.0.0.0 192.168.10.3 1 crypto ipsec ikev2 ipsec-proposal AES256_SHA256 プロトコルesp暗号化aes-256 aes protocol esp integrity sha-256 sha-1 crypto ipsec profile ipsec_profile|e4084d322d set ikev2 ipsec-proposal AES256_SHA256 set security-association lifetime kilobytes4608000 set security-association lifetime seconds 28800（セキュリティアソシエーションのライフタイム秒数を設定します） crypto ipsec security-association pmtu-aging infinite crypto ikev2 policy 1 暗号化aes-256 aes 整合性sha256 sha group 14 prf sha256 sha ライフタイム秒数86400 crypto ikev2 policy 20 encryption aes-256 aes-192 aes(暗号化aes-256 aes-192 aes 整合性sha512 sha384 sha256 sha グループ21 20 16 15 14 prf sha512 sha384 sha256 sha ライフタイム秒数86400 crypto ikev2 enable outside グループポリシー|s2sGP|192.168.30.1 internal グループポリシー|s2sGP|192.168.30.1属性 VPNトンネルプロトコルIKEV2 tunnel-group 192.168.30.1 type ipsec-l2l tunnel-group 192.168.30.1一般属性 デフォルトグループポリシー|s2sGP|192.168.30.1 tunnel-group 192.168.30.1 ipsec属性 ikev2リモート認証事前共有キー***** ikev2ローカル認証事前共有キー***** |
確認
この項では、設定が正常に機能していることを確認します。
ステップ 1：コンソールまたはSSHを使用して各FTDのCLIに移動し、show crypto ikev2 saコマンドとshow crypto ipsec saコマンドを使用してフェーズ1とフェーズ2のVPNステータスを確認します。
| サイト1 FTD | サイト2のFTD |
| ftdv742# show crypto ikev2 sa IKEv2 SA: セッションID:134、ステータス：アクティブ、IKEカウント：1、子カウント：1 Tunnel-id Local Remote fvrf/ivrf Statusロール 563984431 192.168.30.1/500 192.168.10.1/500グローバル/グローバル対応レスポンダ 暗号化：AES-CBC、キーサイズ：256、ハッシュ：SHA256、DH Grp:14、認証記号：PSK、認証確認：PSK 寿命/アクティブ時間：86400/5145秒 子sa：ローカルセレクタ0.0.0.0/0 ～ 255.255.255.255/65535 リモートセレクタ0.0.0.0/0 ～ 255.255.255.255/65535 ESP spi in/out:0xf0c4239d/0xb7b5b38b |
ftdv742# show crypto ikev2 sa IKEv2 SA: セッションID:13、ステータス：アクティブ、IKEカウント：1、子カウント：1 Tunnel-id Local Remote fvrf/ivrf Statusロール |
| ftdv742# show crypto ipsec sa インタフェース： demovti 保護されたvrf(ivrf)：グローバル #pktsカプセル化：5720、#pkts暗号化：5720、#pktsダイジェスト：5720 ローカル暗号エンドポイント：192.168.30.1/500、リモート暗号エンドポイント：192.168.10.1/500 inbound esp sas: |
ftdv742# show crypto ipsec sa インタフェース： demovti25 保護されたvrf(ivrf)：グローバル #pktsカプセル化：5721、#pkts暗号化：5721、#pktsダイジェスト：5721 ローカル暗号エンドポイント：192.168.10.1/500、リモート暗号エンドポイント：192.168.30.1/500 inbound esp sas: |
ステップ 2 コンソールまたはSSHを使用して各FTDのCLIに移動し、show bgp neighborsコマンドとshow route bgpコマンドを使用してBGPステータスを確認します。
| サイト1 FTD | サイト2のFTD |
| ftdv742# show bgp neighbors BGPネイバーは169.254.10.2、vrf single_vf、リモートAS 65510、外部リンク アウトバウンド アドレストラッキングが有効になっており、RIBには169.254.10.2へのルートがあります。 |
ftdv742# show bgp neighbors BGPネイバーは169.254.10.1、vrf single_vf、リモートAS 65511、外部リンク アウトバウンド アドレストラッキングが有効になっており、RIBには169.254.10.1へのルートがあります。 |
| ftdv742# show route bgp コード：L – ローカル、C – 接続、S – スタティック、R - RIP、M – モバイル、B - BGP B 192.168.50.0 255.255.255.0 [20/0]経由169.254.10.2、1d20h |
ftdv742# show route bgp コード：L – ローカル、C – 接続、S – スタティック、R - RIP、M – モバイル、B - BGP B 192.168.70.0 255.255.255.0 [20/0]経由169.254.10.1、1d20h |
ステップ 3Site1 ClientとSite2 Clientのpingが相互に成功します。
Site1クライアント：
Site1_Client#ping 192.168.50.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.50.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 31/56/90 ms
Site2クライアント：
Site2_Client#ping 192.168.70.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.70.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 12/39/71 ms
トラブルシュート
ここでは、設定のトラブルシューティングに役立つ情報を提供します。
次のdebugコマンドを使用して、VPNセクションのトラブルシューティングを行うことができます。
debug crypto ikev2 platform 255
debug crypto ikev2 protocol 255
debug crypto ipsec 255
debug vti 255
BGPセクションのトラブルシューティングを行うには、次のdebugコマンドを使用できます。
ftdv742# debug ip bgp ?
A.B.C.D BGP neighbor address
all All address families
events BGP events
import BGP path import across topologies, VRFs or AFs in BGP Inbound information
ipv4 Address family
ipv6 Address family
keepalives BGP keepalives
out BGP Outbound information
range BGP dynamic range
rib-filter Next hop route watch filter events
updates BGP updates
vpnv4 Address family
vpnv6 Address family
vrf VRF scope
<cr>
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
01-Jun-2026
|
スタイルの要件と書式を更新。 |
1.0 |
21-Oct-2024
|
初版 |
フィードバック