セキュアファイアウォールでのAzure Dual ISP vWAN接続の構成

概要

このドキュメントでは、デュアルWANリンクを使用してファイアウォールを保護するようにMicrosoft Azure Virtual WAN(vWAN)サイト間VPN接続を構成する方法について説明します。

前提条件

要件

次の項目に関する知識が推奨されます。

• Microsoft Azure Virtual WAN (vWAN)
• Cisco Secure Firewall Management Center(FMC)
• Cisco Secure Firewall Threat Defense(FTD)

両方のコンポーネントがAzure環境で最初に構成されていることを確認してください：

• Microsoft Azure vWANインスタンス
• Microsoft Azure vWANハブ

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

• Cisco Secure FTDバージョン10.0
• Cisco Secure FMCバージョン10.0
• Microsoft Azure vWAN

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

ブランチFTDにインターネットサービスプロバイダー(ISP)向けの外部インターフェイスが2つある場合、それぞれがAzure vWANに冗長的かつアクティブに接続できるため、各ISPリンクが利用されます。Azure vWANでは、サイトリンクごとに2つのIPsecトンネル（1つはAzure Hub Instance0に、1つはInstance1に）が作成されるため、各ISPインターフェイスは2つのトンネルを終端します。この結果、両方のISPリンクにわたって、4つのIPsecトンネルがFTDで終端することになります。

Azureインスタンスは負荷分散と冗長性のためにアクティブ/アクティブモードで動作するため、FTDは4つのIPSecトンネルすべてで等コストマルチパス(ECMP)構成を使用してこれを反映します。カスタムの自動プライベートIPアドレッシング(APIPA)アドレスを使用して、4つのトンネルそれぞれで、個別のプライベート自律システム番号(ASN)を持つ外部ボーダーゲートウェイプロトコル(eBGP)ネイバーシップが確立されます。これにより、BGPマルチパス機能が有効になり、インスタンスの各Azure Hub Site Linkペアに複数の冗長パスが提供されます。

図

次の図は、この記事で説明する設定のトポロジを示しています。デュアルダイレクトインターネットアクセス(DIA)リンクバリアントは、FTDの2つの外部インターフェイスから両方のAzureトンネルを取得します。

デュアルダイレクトインターネットアクセス(DIA)リンク（Azure + FTDロードバランシング/冗長性）

デュアルダイレクトインターネットアクセス接続のトポロジ

設定

フェーズ1: Azure vWAN VPNサイトの構成

手順1: Azure vWAN VPNサイトの作成（リモートFTDデバイス）

1) Azureの検索フィールドでvWANを検索し、Virtual WANsをクリックして既存のAzure vWAN Hubに入力します。次に、Connectivity > Hubsに移動し、既存のAzure vWAN Hubをクリックします。

仮想WANの検索クエリ

既存の仮想WANハブの選択

2) Connectivity > VPN (Site to site)の順にクリックし、+ Create new VPN siteをクリックします。

新しい仮想WANサイトの作成

注：イメージのさまざまなフィールドの値をカバーする空白文字は、このドキュメントの発行を意図したものです。

3)必須フィールドに値を入力します。終了したら、Next: Links >をクリックして次に進みます。

一般的なVPNサイトの構成設定

4)必要なリンク情報を入力します。リンクBGPアドレスとリンクASNは、内部トンネルBGPレイヤ3宛先アドレスと、サイト間トンネルを介してネイバーシップが形成されるブランチ側のBGP AS番号です。リンクBGPアドレスは、構成されたハブプライベートアドレス空間サブネットの外側にある重複しないサブネットアドレス(/32)です。Azureは、このアドレスをBGPネイバーとして到達する/32ルートとしてインストールします。2つのループバックインターフェイスは、各デュアルサイトリンクのリンクBGPアドレスを表すために、FTDの後のセクションで作成されます。リンクIPアドレス/完全修飾ドメイン名(FQDN)は、IPセキュリティ(IPsec)/インターネットキーエクスチェンジバージョン2(IKEv2)接続をプロビジョニングするために必要な、ブランチサイトに送信されるトラフィックの外部ヘッダーレイヤ3宛先IPアドレスです。 終了したら、Next : Review + create >をクリックして次のステップに進みます。

注：トンネルアドレスに169.254.21.0 ～ 169.254.22.255の範囲のアドレスを使用している場合は、特定のAzureドキュメントを確認してください： BGP APIPAアドレスを選択します。

サイトリンクパラメーターの構成

5)情報が意図したとおりに確認されたら、Createをクリックします。 

新しいVPNサイトの確認と作成

6) VPNサイトの導入が完了したら、vWANハブ設定に戻ります。

仮想WANサイトの展開の進行状況

仮想WANの検索クエリ

手順2: Azure APIPAゲートウェイパラメーターを構成する

Azureでは、169.254.0.0/16 IPv4アドレス空間内の自動プライベートIPアドレス(APIPA)アドレスの追加構成が必要です。

1) Connectivity > Hubsを使用して、既存のハブを入力します。

仮想WANハブ接続に移動します

2)もう一度Connectivity > VPN (Site to site) に移動し、Gateway Configurationハイパーリンクをクリックします。

Access Gateway Configurationハイパーリンク

3)側面パネルが表示されますVPNゲートウェイを編集します。 VPN Gateway Instance0とVPN Gateway Instance1の下で、IPsecトンネル経由のBGPネイバーシップの各インスタンスに対してネイバーIPとして機能する2つの一意なカスタムBGP IPアドレスを入力します。これは、このトポロジ内でAPIPAアドレスを使用する場合に必要です。Peer Addressとラベル付けされたフィールドに、FTDからAzureインスタンスに到達するために使用するBGPネイバーIPを入力します。APIPAアドレスが使用されている場合、AzureはFTDとのBGP確立を試行しません。そのため、FTDはAzureとの各トンネルでeBGPネイバー確立を試行します。

合計で、2つのリンクx 2つの暗黙のトンネル、Instance0とInstance1へのISPリンクごとに1つのトンネル、Azureと2つのFTD ISPインターフェイス間のBGPネイバーシップを持つ4つのIPsecトンネルが生成されます。

これらのアドレスは一意である必要があります。このデモンストレーションでは、各トンネルに割り当てられた/30サブネットの2番目と最後のホストアドレスをFTDで使用できるように設定します。設定が完了したら、Editをクリックします。 

注：トンネルアドレスに169.254.21.0 ～ 169.254.22.255の範囲のアドレスを使用している場合は、特定のAzureドキュメントを確認してください： BGP APIPAアドレスの選択

VPNゲートウェイのカスタムBGP IPアドレスの編集

注: Azureのメモと同様に、更新に最大30分以上かかる場合があります。

手順3: Azure vWANサイトのVPNパラメーターを構成します

1) Azure vWAN Hub構成のConnectivity > VPN (Site to site)ページで、XをクリックしてHub Association: Connectedフィルタリングをクリアし、切断されたVPNサイトを表示します。

ハブ関連付け接続フィルターのクリア

2)最近プロビジョニングしたVPNサイトの横にあるチェックボックスをオンにして、Connect VPN Siteをクリックします。

VPNサイト接続アクション

3)必要な事前共有キー(PSK)を設定し、カスタム切り替えオプションをクリックして必要なIPsecパラメータを設定します。これらのIPSecパラメータは、後の手順でFMC/FTD設定と一致している必要があります。保存するには、[接続]をクリックします。

注:Diffie-Hellman(DH)グループ24のサポートは、FTD/FMCバージョン6.7で削除されました。

事前共有キーとIPSecパラメータの設定

4) VPNサイトのプロビジョニングが正常に完了したことを確認します。

VPNサイトのプロビジョニングステータスの確認

ステップ4:VPNサイトリンクインスタンスでカスタムBGP APIPAを有効にしてアクティブにする

1) VPN（サイト間）ページを更新し、接続プロビジョニングのステータス列に成功と表示されていることを確認します。この列の省略記号をクリックすると、このハブへのVPN接続の編集ドロップダウンメニュー項目をクリックできます。

接続の成功の検証とVPN接続の編集

2) Link Connection 1(ISP1)をクリックして設定し、該当する事前共有キー(PSK)をもう一度入力します。次に、必ずCustom BGP IP Addressの横にあるEnableトグルをクリックして、FTDによって生成されるBGP IPヘッダーの内部トンネル宛先IPアドレスフィールドの値になる/30サブネットの残りのホストアドレスをマップします。

基本的に、ISP1 VTI Tunnel1からAzure Instance0へのアドレス割り当ては169.254.21.1/30であり、FTDで終端する2番目のISP1 VTI Tunnel2にはInstance1に割り当てられたIP 169.254.22.1/30があります。 

Next: Link Connection 2>をクリックして、ISP 2のリンクパラメータに進みます。

注:PSKを再入力し、Azureのドロップダウンメニューで整列されたPFSグループオプションを再クリックする必要がある場合があります。

リンク接続の設定1つのカスタムBGP設定

3)前の手順を繰り返し、リンク接続2（ISP2リンク）の下で該当するパラメータを適用します。 完了したら、「作成」をクリックします。

リンク接続の設定2つのカスタムBGP設定

4) Azure UIの通知に、更新タスクの開始が表示されます。

Azure更新タスク開始通知

ステップ5:VPNサイト設定ファイルのダウンロード

1) Azureの同じVPN （サイト間）ページで、設定されたVPNサイトの右端にある省略記号のアイコンを選択し、Download VPN site configuration fileオプションを選択します。

VPNサイト設定ファイルのダウンロードオプション

2) Click here to downloadハイパーリンクをクリックします。

VPNサイト設定ファイルのダウンロード

フェーズ2: Azure vWANへのデュアルISP接続のためのFTDの構成

ステップ1：ダウンロードしたVPN設定の分析

1) ダウンロードしたコンフィギュレーションファイルを開くと、同様のJavaScript Object Notation(JSON)出力が表示されます。出力には、ファイルに書き込まれた2つのオブジェクトのいずれかが表示されます。この情報は、FTDの設定に役立つコンテキストを提供します。

注：焦点を合わせやすくするために、無関係なオブジェクトやキー/値のペアを簡略化するためにプルーニングします。

注：ダウンロードされたファイルでのISP-Link-1 JSONオブジェクトの順序は逆になっています。コード出力の省略記号(...)は、ISP-2-Linkオブジェクトを適切な設定で表しています。

...
{
    "configurationVersion": {
      "LastUpdatedTime": "2026-09-25T20:20:26.7658453Z",
      "Version": "15221e61-4e2c-42f5-b9e4-96d674f5a9a3"
    },
    "vpnSiteConfiguration": {
      "Name": "Dual-ISP-Site",
      "IPAddress": "FTD_ISP1_WAN_IP",
      "BgpSetting": {
        "Asn": 65532,
        "BgpPeeringAddress": "169.254.21.100",
        "PeerWeight": 32768
      },
      "LinkName": "ISP-1-Link"
    },
    "vpnSiteConnections": [
      {
        "gatewayConfiguration": {
          "IpAddresses": {
            "Instance0": "Inst0IP",
            "Instance1": "Inst1IP"
          },
          "BgpSetting": {
            "Asn": 65515,
            "CustomBgpPeeringAddresses": {
              "Instance0": [
                "169.254.21.22",
                "169.254.21.2"
              ],
              "Instance1": [
                "169.254.22.22",
                "169.254.22.2"
              ]
            },
          }
        },
        "connectionConfiguration": {
          "IsBgpEnabled": true,
          "PSK": "PSK",
          "IPsecParameters": {
            "IpsecEncryption": "GCMAES256",
            "IpsecIntegrity": "GCMAES256",
            "IkeEncryption": "GCMAES256",
            "IkeIntegrity": "SHA384",
            "PfsGroup": "None",
            "DhGroup": "DHGroup14",
            "SALifeTimeInSeconds": 27000
          }
        }
      }
    ]
  }
]

この出力は、手順を実行する際の参照用として保存してください。

ステップ2：リンクBGPアップデートソースループバックインターフェイスの設定 

FTD BGPプロセス下のBGPネイバー構成エントリ（FTDで後の手順で構成）には、対応するリンクBGP IPアドレスを表す安定したソースがAzureサイトリンク構成に必要です。

1) Devices > Device Managementの順に移動します。

Firepower Management CenterのDevice Managementに移動します。

注：この実習では、クラウドで提供されるFirewall Management Center(cdFMC)を使用します。ただし、手順はオンプレミスFMCと同じです。

 2)デュアルISP接続を持つブランチ/サイトVPNデバイスとして設定するFTDをクリックします。

設定導入用のFTDの選択

3) Add Interfacesドロップダウンメニューをクリックし、Loopback Interfaceをクリックします。

デバイスへのループバックインターフェイスの追加

 4)ループバックインターフェイスの名前を入力し、Enabled チェックボックスにチェックマークが付いていることを確認してから、Loopback IDを入力します。 必要な場合は、[Description] に説明を入力します。完了したら、IPv4タブをクリックします。 

ループバックインターフェイス情報とIPv4アドレスの設定

5)ループバックIPアドレスを入力して、AzureのISP1サイトリンクに対して、前の手順で構成したリンクBGP IPアドレスにします。このIPは、ISP1経由でFTDとAzureインスタンス間に設定されたネイバーシップのBGPアップデートソースとして使用されます。

注:ISP1のvpnSiteConfiguration.BgpSetting.BgpPeeringAddressの下のダウンロードされたVPNコンフィギュレーションJSONで以前に定義された値を参照できます

ループバックIPv4アドレスを入力し、OKをクリックします

6) ISP2 BGPループバック設定に対して、サブステップc ～ eをこの順序で繰り返します。

第1および第2のループバックインターフェイスの作成

7)設定を保存します。

変更の保存

ステップ3：フェーズ1/フェーズ2ポリシーオブジェクトの設定

1) FMCとFTD VPNのトポロジで一致するIKEv2/IPsec設定を設定するには、Manage > Objectsの順に選択し、ナビゲーションメニューをVPNにスクロールしてサブメニューを展開します。メニューでIKEv2 Policyを選択し、Add IKEv2 Policyをクリックして、IKEv2 Phase 1ポリシーを設定します。

新しいIKEv2ポリシーオブジェクトの作成

2)新しいIKEv2ポリシーの名前を入力し、PriorityとLifetimeの両方（またはいずれか）を選択します。Integrity, Encryption, Pseudo Random Function(PRF)、およびDHグループに関して、トンネルの両端でポリシーが一致していることを確認します。Azureの構成と一致させるアルゴリズム/グループ要素を選択し、追加をクリックします。

注：これらの正確な値は、ダウンロードしたコンフィギュレーションファイル(vpnSiteConnections[0].connectionConfiguration.IPsecParameters)内で参照できます

IKEv2ポリシーの作成

3)設定が完了したら、Saveをクリックします。 

IKEv2ポリシーの保存

4) IKEv2 IPsec ProposalサブメニューでPhase 2/IPsecパラメータを設定し、Add IKEv2 IPsec Proposalをクリックします。

IKEv2 IPsecプロポーザルの作成

5) IKEv2 IPsecプロポーザルに名前を付け、同じ設定が一致していることを確認します。完了したら、Saveをクリックします。

IKEv2 IPsec Proposalという名前を付けてSaveをクリックする

ステップ4：仮想トンネルインターフェイス(VTI)の設定

1) Devices > Device Managementの順に移動します。

Firepower Management CenterのDevice Managementに移動します。

 2)デュアルISP接続のブランチ/サイトVPNデバイスとして設定しているFTDをクリックします。

設定導入用のFTDの選択

3) Add Interfacesドロップダウンメニューをクリックして、Virtual Tunnel Interface (VTI)を選択します。

仮想トンネルインターフェイスの作成

4)トンネル情報を入力します。Enabledチェックボックスにチェックマークが付いていて、Name（名前）が入力されていて（必要に応じてDescription も入力）、オプションでSecurity Zoneが選択されていることを確認します。正しい親ISP側インターフェイスを配置してVTIを設定し、VTIの内部トンネルIPSec接続に適切なIPアドレスを設定します。完了したらOKを押します。

ヒント：参照図は、FTDを使用したAzureデュアルWAN接続の潜在的なVPN設定の詳細なコンテキストを示しています。

仮想トンネルインターフェイス設定の作成

 5)親ISP1およびISP2インターフェイスに3つの追加VTIを設定します。

追加の仮想トンネルインターフェイスの設定

f) Saveをクリックして、変更を保存します。

変更の保存

ステップ5:IPsec VPNトポロジのプロビジョニング

1) Manage > Secure Connections > Site-to-Site VPN & SD-WANの順に移動します。

サイト間VPNおよびSD-WAN接続の管理

2)初期出力の中央にある初期VPN Topology設定ハイパーリンクをクリックするか、Addボタンをクリックします。

新しいVPNトポロジ設定の追加

3) ISP1リンク経由でAzure Instance0への最初のトンネルのトポロジ名を入力します。Route-Based VPNオプションボタンをクリックし、Peer to Peer VPNトポロジタイプをクリックします。完了したら、Createをクリックします。

ルートベースのVPNトポロジタイプの設定

4)最初に、ノードAデバイスを選択し、Deviceドロップダウンリストで、AzureからのVPNトンネルを終端するFTDを示します。ウィザードがデバイスから使用可能なVTIを取得したら、ドロップダウンメニューから、設定している親インターフェイスとインスタンスに適したVTIを選択します。Node B Deviceメニューから、VPNトポロジ構成でExtranetノードになるAzure側を選択します。 ノードBのフレンドリ名を設定し、適切なエンドポイントIPアドレスを入力していることを確認します。完了したら、IKEタブをクリックして、フェーズ1トンネル設定を実装します。 

注：インスタンスのエンドポイントIPアドレスの値は、ダウンロードしたコンフィギュレーションファイル（vpnSiteConnections[0].gatewayConfiguration.IpAddresses.Instance0およびvpnSiteConnections[0].gatewayConfiguration.IpAddresses.Instance1）で参照できます 

ノードAとノードBのトポロジエンドポイントを定義する

5)ナビゲーションメニューをIKEv2 Settingsまでスクロールし、鉛筆アイコンをクリックして、最近設定したIKEv2ポリシーのポリシーを編集します。次に、Authentication TypeドロップダウンメニューからPre-shared Manual Keyオプションを選択し、Azureで以前に設定したPSKを入力します。完了したら、IPsecタブをクリックして、フェーズ2 IPsecトンネルパラメータを設定します。

注：事前共有キーは、ダウンロードしたコンフィギュレーションファイル(vpnSiteConnections[0].connectionConfiguration.IPsecParameters.PSK)で参照できます。

IKEv2設定と認証キーの編集

6) IKEv2 IPsec Proposal Transform Setの横にある鉛筆アイコンをクリックし、以前設定したIPsecポリシーパラメータを選択します。Lifetime Durationの値は、必ずAzure vWAN VPNの設定に合わせて変更してください。設定情報を確認したら、Saveをクリックします。

注：ダウンロードされたコンフィギュレーションファイルのLifetime値は、vpnSiteConnections[0].connectionConfiguration.IPsecParameters.SALifeTimeInSecondsで参照できます。

IPSecプロポーザルの有効期間の構成

7)手順5の前のサブステップを繰り返して、ISP1 Instance1、ISP2 Instance0、およびISP2 Instance1間に他のAzureトンネルを作成します。

追加のサイト間VPNトポロジの作成

手順6:VPNトポロジを検証する

system support diagnostic-cliに入り、enと入力してEnterキーを押します（読み取り専用CLI）。

1) IKE Phase 1 Tunnel connectivityをチェックします。

`show crypto isakmp sa | i UP|READY`

2) IPSecフェーズ2接続を確認します。

show crypto ipsec sa | i int|current_peer|pkts

注:IPSecセキュリティアソシエーション(SA)の出力を表示すると、pkts decapsおよびpkts decryptカウンタが増加しますが、pkts encapsおよびpkts encryptは増加しません。このシナリオでは、このような増加が予想されます。Azureは、ハブプライベートIP空間アドレスを使用してBGPネイバーシップを形成しようとしていますが、ネイバーエンドがAPIPA BGPアドレスを使用している場合は、ネゴシエーションを開始しません。カスタムAPIPAが使用される場合、Azureに接続するデバイスがBGPネゴシエーションを開始する責任があります。

3)レイヤ2接続をチェックします。

show arp

4) IP Routingにチェックマークを付けます。

show route

5) ISP1およびISP2のインターフェイスでキャプチャを実行します。

capture isp1 interface ISP1 match udp any any eq 500  
capture isp1 interface ISP1 match udp any any eq 4500  
capture isp1 interface ISP1 match esp any any  
...  
show cap  
show cap isp1  
show cap isp2

6) Azure Verification - vWAN Hub > Connectivity.> VPN Sites > Choose the site configuredに移動します。

Azureリンク接続の検証

ステップ7:ECMPの設定

1) Manage > Devices > Device Managementの順に移動し、FTDをクリックします。

Firepower Management CenterのDevice Managementに移動します。設定導入用のFTDの選択

2) Routingタブをクリックして、ECMPを選択します。

等コストマルチパスの設定値

3) Addをクリックします。

等コストマルチパス設定の追加

4)ECMPゾーンに名前を付け、使用可能なVTI Interfacesをクリックしてから、AddボタンをクリックしてそれらをSelected Interfaces列に適用し、OKをクリックします。

等コストマルチパスゾーンのインターフェイスの選択

5)変更を保存したことを確認します。

変更の保存

ステップ8:BGPの設定

1) FTDでRouting > General Settings > BGPの順に選択し、BGPプロセスを有効にします。Enable BGPチェックボックスをオンにして、フェーズ1の手順1dで設定したAS番号を入力します。Routing > BGP > IPv4の順に選択します。

General SettingsでBorder Gateway Protocol(BGP)プロセスを有効にする

2) BGPプロセスのEnable IPv4チェックボックスにチェックマークが入っていることを確認し、NeighborをクリックしてAzureでBGPネイバーを設定します。

IPv4 Border Gateway Protocol(BGP)プロセスの有効化

3) + Addをクリックします。

新しいBorder Gateway Protocol(BGP)ネイバーの追加

4)ISP1 Instance0 BGPピアリング情報を入力し、表示されたBGP ASをvWANハブから参照し、それをネイバーリモートASとして入力し、必要に応じて説明を追加します。[Advanced] をクリックします。 

注:Azureで構成されているISP1リンクにマッピングされているFTD上のVTIインターフェイスのループバックを参照するには、BGP Update Sourceを選択していることを確認してください。

Border Gateway Protocol(BGP)ピアリング情報の設定

5) FTDのBGP Neighbor設定にあるAdvancedメニューで、eBGPのデフォルトの1ホップからの存続可能時間(TTL)ホップの数を可変数に変更できます。Azure BGPエンドポイントは、トンネル経由でAzureインフラストラクチャに直接接続されておらず、エンドポイントへのホップ数はデフォルトのeBGP TTLの1許可を超える傾向があります。[OK] をクリックします。 

Border Gateway Protocol(BGP)ネイバーの詳細設定

6)サブステップ3 ～ 5を繰り返して、ISP1のInstance1に対してTunnel2を設定します。

7)サブステップ3 ～ 5を2回繰り返して、ISP2 Instance0/Instance1 BGPピアリング情報を設定します。

注：Azureで構成されたISP2リンクにマッピングされたFTD上のVTIインターフェイスのループバックを参照する、アライメントされたBGP Update Sourceを選択していることを確認してください。

ISP2インスタンス1 BGPネイバーの設定

ISP 2インスタンス2 BGPネイバーの設定

BGPネイバー結果の設定の終了

完了したら、Saveをクリックします。 

変更の保存

デフォルトでは、ECMPがAzureへのすべてのVTIで設定されていても、BGPはルーティングテーブルに1つのベストパスのみをインストールします。両方の学習パスがインストールされ、同時に使用されるように、BGPマルチパスは個別に有効にする必要があります。

ステップ9:eBGPマルチパスの設定

1) Routing > BGP > IPv4に移動し、General タブをクリックして、Forward Packets Over Multiple Pathsの横にある鉛筆アイコンをクリックします。

Forward Packets Over Multiple Paths設定

2) Number of Pathsフィールドのデフォルト値を1から4に変更します。[OK] をクリックします。

Forward Packets Over Multiple Pathsの設定の変更

3)変更を保存して展開したことを確認します。

確認/トラブルシューティング

> system support diagnostic-cli
Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.
ftd#
ftd#
ftd# show bgp summary  
BGP router identifier 169.254.22.100, local AS number 65532  
BGP table version is 29, main routing table version 29  
2 network entries using 400 bytes of memory  
8 path entries using 640 bytes of memory  
2 multipath network entries and 8 multipath paths  
1/1 BGP path/bestpath attribute entries using 208 bytes of memory  
1 BGP AS-PATH entries using 24 bytes of memory  
0 BGP route-map cache entries using 0 bytes of memory  
0 BGP filter-list cache entries using 0 bytes of memory  
BGP using 1272 total bytes of memory  
BGP activity 4/2 prefixes, 16/8 paths, scan interval 60 secs

Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd  
169.254.21.2 4 65515 20 17 29 0 0 00:13:14 2  
169.254.22.2 4 65515 20 20 29 0 0 00:13:22 2  
169.254.21.22 4 65515 19 21 29 0 0 00:13:19 2  
169.254.22.22 4 65515 20 19 29 0 0 00:13:17 2
ftd# 

ftd# show bgp 

BGP table version is 29, local router ID is 169.254.22.100
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale, m multipath
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop        Metric LocPrf Weight  Path
*m 10.2.0.0/16      169.254.21.2                       0  65515 i
*m                  169.254.22.22                      0  65515 i
*m                  169.254.21.22                      0  65515 i
*>                  169.254.22.2                       0  65515 i
*m 172.27.0.0       169.254.21.2                       0  65515 i
*m                  169.254.22.22                      0  65515 i
*m                  169.254.21.22                      0  65515 i
*>                  169.254.22.2                       0  65515 i

ftd# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 172.31.3.33 to network 0.0.0.0

B        10.2.0.0 255.255.0.0 [20/0] via 169.254.22.22, 00:20:53
                              [20/0] via 169.254.22.2, 00:20:53
                              [20/0] via 169.254.21.22, 00:20:53
                              [20/0] via 169.254.21.2, 00:20:53
B        172.27.0.0 255.255.0.0 [20/0] via 169.254.22.22, 00:20:53
                                [20/0] via 169.254.22.2, 00:20:53
                                [20/0] via 169.254.21.22, 00:20:53
                                [20/0] via 169.254.21.2, 00:20:53

ftd# show conn all | include TCP|179
TCP ISP2-Inst-0  169.254.21.22:179 bgpLo-ISP2  169.254.22.100:1603, idle 0:00:10, bytes 1517, flags UIO 
TCP ISP2-Inst-1  169.254.22.22:179 bgpLo-ISP2  169.254.22.100:41883, idle 0:00:01, bytes 1486, flags UIO 
TCP ISP1-Inst-1  169.254.22.2:179 bgpLo-ISP1  169.254.21.100:3804, idle 0:00:53, bytes 1467, flags UIO 
TCP ISP1-Inst-0  169.254.21.2:179 bgpLo-ISP1  169.254.21.100:61287, idle 0:00:04, bytes 1331, flags UIO 
TCP bgpLo-ISP1  169.254.22.2:179 NP Identity Ifc  169.254.21.100:3804, idle 0:00:53, bytes 751, flags UI 
TCP bgpLo-ISP2  169.254.21.22:179 NP Identity Ifc  169.254.22.100:1603, idle 0:00:10, bytes 844, flags UI 
TCP bgpLo-ISP2  169.254.22.22:179 NP Identity Ifc  169.254.22.100:41883, idle 0:00:01, bytes 751, flags UI 
TCP bgpLo-ISP1  169.254.21.2:179 NP Identity Ifc  169.254.21.100:61287, idle 0:00:04, bytes 639, flags UI