보안 방화벽에 대한 Azure vWAN Site-to-Site VPN 구성

배포가 완료되면 BGP가 두 Azure 인스턴스 모두와 인접성을 형성하는지 확인합니다. 이후 경로가 두 터널을 통해 학습되고, 트래픽이 3단계, 5단계에서 설정한 것과 동일한 진단 CLI 액세스를 사용하여 두 VTI를 모두 사용하는지 확인합니다.

FTD CLI에서system support diagnostic-cli로 이동합니다.

a) 구축되면 BGP 인접 디바이스가 가동되고 접두사가 수신됩니다.

> system support diagnostic-cli
Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.
ftd#
ftd# show bgp summary
BGP router identifier 10.50.1.2, local AS number 65500
BGP table version is 5, main routing table version 5
2 network entries using 400 bytes of memory
4 path entries using 320 bytes of memory
2 multipath network entries and 4 multipath paths
1/1 BGP path/bestpath attribute entries using 208 bytes of memory
1 BGP AS-PATH entries using 24 bytes of memory
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
BGP using 952 total bytes of memory
BGP activity 2/0 prefixes, 4/0 paths, scan interval 60 secs

Neighbor        V           AS MsgRcvd MsgSent   TblVer  InQ OutQ Up/Down  State/PfxRcd
10.2.0.12       4        65515 5       3            5    0    0 00:01:02  2
10.2.0.13       4        65515 3       4            5    0    0 00:00:55  2
ftd#

b) Azure에서 받은 경로가 다중 경로 경로로 표시되는지 확인합니다.

ftd# show bgp

BGP table version is 7, local router ID is 10.50.1.2
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale, m multipath
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop        Metric LocPrf Weight  Path
*m 10.2.0.0/16      10.2.0.12                          0  65515 i
*>                  10.2.0.13                          0  65515 i
*m 172.27.0.0       10.2.0.12                          0  65515 i
*>                  10.2.0.13                          0  65515 i
ftd#

c) VTI 패킷 수를 확인합니다.

ftd# show interface Tunnel1 | i packets
	118 packets input, 31385 bytes
	134 packets output, 8780 bytes
	0 packets dropped
ftd# show interface Tunnel2 | i packets
	127 packets input, 33629 bytes
	230 packets output, 15119 bytes
	0 packets dropped
ftd#

d) BGP 인접 디바이스에 대한 고정 경로를 확인합니다.

ftd# show running-config route
route Azure-VTI-0 10.2.0.12 255.255.255.255 10.2.0.12 1
route Azure-VTI-1 10.2.0.13 255.255.255.255 10.2.0.13 1
ftd#

e) ECMP 영역을 확인합니다.

ftd# show zone
Zone: Azure-VTI-ECMP-Zone ecmp
    Security-level: 0
    Zone member(s): 2
      Azure-VTI-1                   Tunnel2
      Azure-VTI-0                   Tunnel1

ftd#

f) BGP 컨피그레이션을 확인합니다.

ftd# show running-config router bgp
router bgp 65500
 bgp log-neighbor-changes
 bgp router-id vrf auto-assign
 address-family ipv4 unicast
  neighbor 10.2.0.12 remote-as 65515
  neighbor 10.2.0.12 description Instance0 Azure BGP Peering
  neighbor 10.2.0.12 ebgp-multihop 50
  neighbor 10.2.0.12 transport path-mtu-discovery disable
  neighbor 10.2.0.12 update-source bgpVPNBranchLo
  neighbor 10.2.0.12 activate
  neighbor 10.2.0.13 remote-as 65515
  neighbor 10.2.0.13 description Instance1 Azure BGP Peering
  neighbor 10.2.0.13 ebgp-multihop 50
  neighbor 10.2.0.13 transport path-mtu-discovery disable
  neighbor 10.2.0.13 update-source bgpVPNBranchLo
  neighbor 10.2.0.13 activate
  no auto-summary
  no synchronization
 exit-address-family
ftd#

g) 라우팅 테이블을 확인합니다.

ftd# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.0.0.1 to network 0.0.0.0

B        10.2.0.0 255.255.0.0 [20/0] via 10.2.0.13, 15:50:50
                              [20/0] via 10.2.0.12, 15:50:50
B        172.27.0.0 255.255.0.0 [20/0] via 10.2.0.13, 15:50:50
                                [20/0] via 10.2.0.12, 15:50:50

기타 고려 사항

이 문서의 기본 컨피그레이션에서는 브랜치 FTD에서 단일 외부 인터페이스 및 단일 ISP를 가정합니다. 이러한 고려 사항은 해당 설계를 확장합니다.

AS-Path 앞에 추가

ECMP 및 BGP 다중 경로를 통해 로드를 균등하게 공유하는 대신 Azure 또는 FTD가 기본 터널로 선호하는 터널에 영향을 주려면 보조 터널로 취급될 BGP 인접 디바이스에서 로컬 AS 번호 앞에 하나 이상의 추가 시간을 추가합니다. AS 경로가 더 긴 인접 디바이스는 ECMP 영역에서 해당 인접 디바이스를 완전히 제거할 필요 없이 표준 BGP 최적 경로 선택 과정에서 우선순위가 저하됩니다.

문제 해결

• 1단계/2단계 터널이 작동하지 않음: 사전 공유 키와 IKEv2/IPsec 정책 매개 변수(암호화, 무결성, PRF, DH 그룹 및 수명)가 FMC IKEv2 정책/IPsec 제안과 다운로드한 Azure VPN 구성 파일의 값 간에 정확히 일치하는지 확인합니다. 3단계, 5단계show crypto isakmp sa에 나와 있는 것처럼 및show crypto ipsec sa을 사용합니다.

• 터널이 작동하지만 BGP 인접 디바이스가 형성되지 update-source않습니다. BGP가 VTI 자체가 아닌 루프백 인터페이스로 설정되었는지, 그리고 FTD에 직접 연결되지 않은ebgp-multihopAzure BGP 피어링 주소에 도달할 수 있을 만큼 높은 값으로 구성되었는지 확인합니다.

• BGP 양식이지만 트래픽을 전달하는 터널은 하나뿐입니다. 3단계, 10단계에서 설명한 대로 두 VTI가 동일한 ECMP 영역의 멤버이고, 두 Azure 인스턴스 BGP 주소에 대한 고정 경로가 동일한 관리 거리로 설치되고, BGP 다중 경로가 두 경로에 대해 구성되었는지 확인합니다.

• 반환 트래픽이 없거나 Azure로 비대칭 라우팅: Azure vWAN은 두 터널을 통해 허브 주소 공간을 광고하므로 라우팅 컨피그레이션의 다른 곳에서 ECMP가 비활성화되지 않았는지 확인하고 트래픽을 단일 경로에 고정할 수 있는 경로 맵 또는 정책 기반 라우팅을 확인합니다.

• BGP가 작동 중이고 경로가 설치되었지만 트래픽이 차단된 것 같습니다. 트래픽이 인그레스 및 이그레스(egress)에 도달할 수 있도록 VTI에 할당된 보안 영역으로 액세스 제어 규칙이 구성되어 있는지 확인합니다. 

관련 정보

• Azure Virtual WAN이란?
• Azure VPN Gateway에 대한 BGP를 구성하는 방법
• Azure vWAN에서 기본 정책과 사용자 지정 IPsec 정책 비교
• Azure VPN 게이트웨이의 BGP 문제 해결 
• 액티브-액티브 모드 VPN 게이트웨이 정보 
• 자습서: Azure 가상 WAN을 사용하여 Site-to-Site 연결 만들기