ASA Border Gateway-protocol configureren

Inleiding

Dit document beschrijft de stappen die vereist zijn om BGP-routing (eBGP/iBGP) en andere problemen te kunnen inschakelen.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Dynamische routingprotocollen
• Cisco BGP-overzicht
• Casestudy’s van BGP

Gebruikte componenten

Dit document is gebaseerd op de Cisco Firepower 2100 Series Firewall die Cisco ASA Software versie 9.16 uitvoert

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Dit document gaat ook over hoe u een BGP-routeringsproces kunt opzetten, algemene BGP-parameters kunt configureren, route-filtering op een adaptieve security applicatie (ASA) kunt uitvoeren en problemen met buurlanden kunt oplossen. Deze optie is geïntroduceerd in ASA Software versie 9.2.1.

Richtlijnen en beperkingen

• BGP wordt ondersteund in zowel enkelvoudige als multi-mode IPv4- en IPv6-adresreeks.
• Multimode is equivalent aan de Cisco IOS^® BGP VPNv4 (VPN Routing and Forwarding (VRF)-adresreeks). Per contextrouter is BGP vergelijkbaar met per VRF IPv4-adresreeks in Cisco IOS.
• Slechts één Autonomous System (AS) nummer wordt ondersteund voor alle contexten die vergelijkbaar zijn met één wereldwijde AS voor alle adresfamilies in Cisco IOS.

• Ondersteunt geen transparante firewallmodus. BGP wordt alleen ondersteund in routeringsmodus.

• Het systeem voegt geen routeingangen voor het IP-adres toe dat via PPPoE in de CP-routetabel wordt ontvangen. BGP kijkt altijd in de TCP route tabel om de TCP sessie te starten, vandaar dat BGP geen TCP sessie vormt. BGP via PPPoE wordt dus niet ondersteund.

• Om nabijheidsplakken te vermijden toe te schrijven aan routeupdates die worden gelaten vallen als de routeupdate groter is dan minimum MTU op de verbinding, zorg ervoor dat u zelfde MTU op de interfaces aan beide kanten van de verbinding vormt.

• De BGP-tabel van de lideenheid is niet gesynchroniseerd met de tabel voor de regeleenheid. Alleen de routeringstabel is gesynchroniseerd met de routeringstabel van de regeleenheid.

• Het AS-nummer kan worden geconfigureerd met het gebruik van de router bgp <as_num>opdracht die kan worden gebruikt om per context-adresfamilie in te schakelen.
• BGP heeft zes processen die alle contexten ondersteunen en de details zijn beschikbaar met de opdracht showproces. Deze processen zijn BGP Task, BGP Scheduler, BGP Scanner, BGP Router, BGP I/O en BGP Event.

  ASA-1(config)# show proc | in BGP
  Mwe 0x00000000010120d0 0x00007ffecc8ca5c8 0x0000000006136380
           0  0x00007ffecc8c27c0 29432/32768  BGP Task
  Mwe 0x0000000000fb3acd 0x00007ffecba47b48 0x0000000006136380
           11 0x00007ffecba3fd00 31888/32768  BGP Scheduler
  Lwe 0x0000000000fd3e40 0x00007ffecd3373e8 0x0000000006136380
           26 0x00007ffecd32f5f0 30024/32768  BGP Scanner
  Mwe 0x0000000000fd70b9 0x00007ffecd378cd8 0x0000000006136380
           10 0x00007ffecd370eb0 28248/32768  BGP Router
  Mwe 0x0000000000fc9f84 0x00007ffecd32f3e8 0x0000000006136380
            2 0x00007ffecd3275a0 30328/32768  BGP I/O
  Mwe 0x000000000100c125 0x00007ffecd33f458 0x0000000006136380
            0 0x00007ffecd337640 32032/32768  BGP Event

• De systeemcontext heeft wereldwijde configuraties die gemeenschappelijk zijn voor alle contexten die vergelijkbaar zijn met Cisco IOS die wereldwijde configuraties heeft voor alle adresfamilies.
• Configuraties die de controle hebben over de beste padberekening, de logboekbuur, de MTU-detectie (TCP Path Maximum Transition Unit), wereldwijde timers voor keepalive, houdtijd enzovoort zijn beschikbaar in de systeemcontext onder de router BGP-opdrachtmodus.
• Ondersteuning van BGP-beleidsopdracht valt onder de adresfamiliemodus per gebruiker.
• Alle standaardcommunity’s en padkenmerken worden ondersteund.
• Remote Trigged Black Hole (RTBH) wordt ondersteund door statische nulpunt-routeconfiguratie.
• De next-hop informatie is toegevoegd aan de input routing tabel zelf in de Network Processor (NP). Eerder was dit alleen beschikbaar in de output routingtabel. Deze verandering werd voltooid om de toevoeging van BGP-routes in de NP-doorsturen tabellen te ondersteunen (aangezien BGP-routes geen uitgaande interface hebben die in de CP is geïdentificeerd, is er geen manier om te bepalen welke output-routingtabel de volgende-hop informatie met moet bijwerken).
• Recursive Route Lookup wordt ondersteund.
• Herdistributie met andere protocollen zoals Connected Grid, Statisch, Routing Information Protocol (RIP), Open Shortest Path First (OSPF) en Enhanced Interior Gateway Routing Protocol (EIGRP) worden ondersteund.
• De opdracht geen router bgp <as_no> [met bevestigingsmelding] verwijdert BGP-configuraties in alle contexten.
• Routebeheerdatabases zoals routekaarten, toegangslijsten, prefixlijsten, communitylijsten en toegangslijsten zoals routekaarten zijn gevirtualiseerd en per context geleverd.
• Een nieuw bevel, toont een asp-tabel routingadres <addr> opgelost wordt geïntroduceerd om de recursief opgeloste BGP-routes in de NP-verzendtabel weer te geven.
• Een nieuwe opdracht, tonen bgp systeem-config, wordt geïntroduceerd in multi-mode om de BGP-configuraties van het systeemcontext weer te geven.

• Ondersteuning van Loopback-interface voor BGP-verkeer

• BGP-ondersteuning voor IPv6

• BGP-ondersteuning voor geadverteerde kaarten

• BGP-ondersteuning voor ASA-clustering

• Gelijkmatige herstart ondersteund voor IPv6

BGP- en geheugengebruik

Het bevel van de showroute summiere wordt gebruikt om het geheugengebruik van individuele routeringsprotocollen te krijgen.

BGP en failover

• BGP wordt ondersteund in Active/Standby- en Active/Active HA-configuraties.
• Alleen de actieve unit luistert op TCP-poort 179 naar BGP-verbindingen van peers.
• De Standby-eenheid neemt niet deel aan BGP-peering en luistert dus niet op TCP-poort 179 en houdt de BGP-tabellen niet bij.
• BGP-routetoevoegingen en -schrappingen worden van de Active-naar de Standby-eenheid gerepliceerd.
• Na failover luistert de nieuwe Active unit op TCP-poort 179 en start de BGP-nabijheidsinstelling met peers.
• Zonder Non-stop Forwarding (NSF) vergt een nabijheidsinstelling opnieuw tijd met de peer na failover, waarbinnen BGP-routes niet van de peer worden geleerd. Dit is afhankelijk van de volgende BGP keepalive (standaard 60 seconden) van de peer waarvoor de ASA reageert met terugzetten (RST), wat leidt tot een oude verbindingsbeëindiging aan het peer-eind, en vervolgens wordt een volgende nieuwe verbinding tot stand gebracht. 
• Tijdens de BGP-reconvergentieperiode blijft de nieuwe actieve eenheid het verkeer doorsturen met de eerder gerepliceerde routes.
• De BGP-reconvergentietimer-periode is momenteel ingesteld op 210 seconden (de opdracht route failover van show toont de timer-waarde) om BGP voldoende tijd te geven om nabijheid tot stand te brengen en routes met zijn peers te ruilen.
• Nadat de BGP-reconversietimer is verlopen, worden alle oude BGP-routes gewist uit de Routing Information Base (RIB).
• De BGP-router-id wordt gesynchroniseerd van de actieve eenheid naar de Standby-eenheid. De BGP router-id-berekening is uitgeschakeld in de Standby-eenheid.
• De opdracht schrijfstand-by wordt sterk ontmoedigd omdat de bulk-sync in dat geval niet gebeurt, wat leidt tot het verlies van dynamische routes op de stand-by.

Recursieve routeresolutie

• De informatie over de uitgaande interface voor BGP-routes is niet beschikbaar in de TCP (een direct gevolg van het feit dat BGP-buren meerdere hop-uitgangen kunnen hebben, in tegenstelling tot andere routeringsprotocollen).
• De BGP-routes met de volgende hopinformatie worden toegevoegd aan de NP-routeringstabel, maar ze zijn nog niet opgelost.
• Wanneer het eerste pakket van een stroom die een BGP-routeprefix aanpast de ASA in het langzame pad ingaat, wordt de route opgelost en wordt de uitgangsinterface bepaald door recursief dat omhoog de NP-ingangsroutingtabel kijkt.
• Wanneer de routeringstabel verandert (van de CP), wordt een contextspecifieke routeringstabel tijdstempel verhoogd.
• Wanneer het volgende pakket van een stroom die een BGP-route aanpast de ASA in het snelle pad invoert, vergelijkt de ASA de tijdstempel van de routeingang met de contextspecifieke routeringstimer. Als de twee tijdstempels niet overeenkomen, wordt het recursieve proces van de routerresolutie opnieuw in werking gesteld en de tijdstempel van de routeingang wordt bijgewerkt om het zelfde te zijn als de routeringstabel tijdstempel. U kunt tijdstempels verifiëren met de opdracht Show asp Table Routing. De opdracht show asp table Routing Address <route> toont de tijdstempel van een bepaalde routeingang en de opdracht show asp table Routing toont de routeringstijdstempel.
• Het recursieve proces van de routesolutie voor een bestemmingsprefix kan worden gedwongen wanneer u de show asp tabel routeadres <addr> opgelost bevel ingaat.
• De diepte van de recursieve route lookups is momenteel beperkt tot vier. Pakketten die opzoeking na vier vereisen worden gelaten vallen met de drop reden "Geen route naar host (geen-route)" en er is geen speciale drop reden voor recursieve lookup mislukking.
• Recursieve routeswitch wordt alleen ondersteund voor BGP-routes (geen statische routes).

BGP-bediening van finite-state-machine

BGP-peers overstappen via meerdere staten voordat ze aangrenzende buren worden en routinginformatie uitwisselen. In elk van de staten, moeten de peers berichten verzenden en ontvangen, berichtgegevens verwerken en resources initialiseren voordat ze naar de volgende staat gaan. Dit proces staat bekend als de BGP Finite-State Machine (FSM). Als het proces op elk punt mislukt, wordt de sessie afgebroken en beginnen de peers beide terug naar een status in de inactiviteitstoestand en opnieuw met het proces. Elke keer dat een sessie wordt afgebroken, worden alle routes van de peer die niet omhoog is verwijderd uit de tabellen, wat downtime veroorzaakt.

1. NIETS - ASA zoekt de routerlijst om te zien of een route bestaat om de buur te bereiken.
2. CONNECT - de ASA heeft een route naar de buur gevonden en de drieweg-TCP-handdruk voltooid.
3. ACTIVE - de ASA heeft geen overeenstemming bereikt over de parameters van de inrichting.
4. OPEN VERZONDEN - het Open bericht wordt verzonden, met parameters voor de BGP-sessie.
5. OPEN CONFIRM - de ASA heeft overeenstemming bereikt over de parameters voor het instellen van een sessie.
6. GEVESTIGDE - peering wordt gevestigd en de routing begint.

Configureren

eBGP-configuratie

BGP draait tussen routers in verschillende autonome systemen. In eBGP (peer in twee verschillende Autonomous Systems (ASs)) wordt IP TTL standaard ingesteld op 1, wat betekent dat peers verondersteld worden direct verbonden te zijn. In dit geval, wanneer een pakket één router kruist, wordt TTL 0 en dan wordt het pakket gelaten vallen verder dan dat. In gevallen waar de twee buren niet direct verbonden zijn (bijvoorbeeld peering met loopback interfaces of peering wanneer apparaten zijn meerdere hop weg) moet u de buur x.x.x bgp-multihop <TTL>opdracht toevoegen. Anders kan het BGP-nabuurschap niet worden ingesteld. Daarnaast adverteert een eBGP peer alle beste routes die hij kent of die hij heeft geleerd van zijn peers (of eBGP peer of iBGP peer), wat niet het geval is bij iBGP.

Netwerkdiagram

ASA 5500-1 configuratie

router bgp 100
 bgp log-neighbor-changes
 bgp bestpath compare-routerid
 address-family ipv4 unicast
  neighbor 203.0.113.2 remote-as 200
  neighbor 203.0.113.2 activate
  network 192.168.10.0 mask 255.255.255.0
  network 172.16.20.0 mask 255.255.255.0
  network 10.106.44.0 mask 255.255.255.0
  no auto-summary
  no synchronization
 exit-address-family
!

ASA 5500-2 configuratie

router bgp 200
 bgp log-neighbor-changes
 bgp bestpath compare-routerid
 address-family ipv4 unicast
  neighbor 203.0.113.1 remote-as 100
  neighbor 203.0.113.1 activate
  network 10.10.10.0 mask 255.255.255.0
  network 10.180.10.0 mask 255.255.255.0
  network 172.16.30.0 mask 255.255.255.0
  no auto-summary
  no synchronization
 exit-address-family
!

iBGP-configuratie

In iBGP is er geen beperking dat buren direct verbonden moeten zijn. Een iBGP-peer kan echter niet adverteren met het prefix dat hij heeft geleerd van een iBGP-peer naar een andere iBGP-peer. Deze beperking is er om loops binnen zelfde AS te vermijden. Om dit te verhelderen, wanneer een route wordt doorgegeven aan een eBGP peer, wordt het lokale AS nummer toegevoegd aan het prefix in het as-pad. Als we dus hetzelfde pakketterug ontvangen dat ons AS in het as-pad aangeeft, weten we dat het een lus is en dat pakketverlies wordt veroorzaakt. Wanneer een route echter wordt geadverteerd naar een iBGP-peer, wordt het lokale AS-nummer niet toegevoegd aan het as-pad, omdat de peers in hetzelfde AS staan.

Netwerkdiagram

ASA 5500-1 configuratie

router bgp 100
 bgp log-neighbor-changes
 bgp bestpath compare-routerid
 address-family ipv4 unicast
  neighbor 203.0.113.2 remote-as 100
  neighbor 203.0.113.2 activate
  network 192.168.10.0 mask 255.255.255.0
  network 172.16.20.0 mask 255.255.255.0
  network 10.106.44.0 mask 255.255.255.0
  no auto-summary
  no synchronization
 exit-address-family
!

ASA 5500-2 configuratie

router bgp 100
 bgp log-neighbor-changes
 bgp bestpath compare-routerid
 address-family ipv4 unicast
  neighbor 203.0.113.1 remote-as 100
  neighbor 203.0.113.1 activate
  network 10.10.10.0 mask 255.255.255.0
  network 10.180.10.0 mask 255.255.255.0
  network 172.16.30.0 mask 255.255.255.0
  no auto-summary
  no synchronization
 exit-address-family
!

Verschillen tussen eBGP en iBGP

• eBGP-peers tussen twee verschillende AS’s, terwijl iBGP tussen hetzelfde AS valt.
• Routes die van eBGP-peers zijn geleerd, worden geadverteerd naar andere peers (eBGP of iBGP). Routes die van een iBGP-peer worden geleerd, worden echter niet geadverteerd met andere iBGP-peers.
• Standaard worden eBGP-peers ingesteld op TTL = 1, wat betekent dat buren verondersteld worden direct verbonden te zijn, wat niet het geval is bij iBGP. Als u dit gedrag voor eBGP wilt wijzigen, voert u de opdracht x.x.x.bgp-multihop <TTL>in voor de buur. Multihop is de term die alleen in eBGP wordt gebruikt.
• eBGP-routes hebben een administratieve afstand van 20, iBGP is 200.
• De volgende hop blijft onveranderd wanneer de route wordt geadverteerd aan een iBGP-peer. Het wordt echter gewijzigd wanneer het standaard wordt geadverteerd naar een eBGP peer.

eBGP-multihop

Een ASA met BGP-nabuurschap met een andere ASA die één hop verwijderd is. Voor goed nabuurschap moet je zorgen dat je verbinding hebt tussen buren. Ping om connectiviteit te bevestigen. Zorg ervoor dat TCP-poort 179 in beide richtingen is toegestaan op de apparaten ertussen.

ASA 5500-1 configuratie

router bgp 100
 bgp log-neighbor-changes
 bgp bestpath compare-routerid
 address-family ipv4 unicast
  neighbor 198.51.100.1 remote-as 200
  neighbor 198.51.100.1 ebgp-multihop 2
  neighbor 198.51.100.1 activate
  network 192.168.10.0 mask 255.255.255.0
  network 10.106.44.0 mask 255.255.255.0
  network 172.16.20.0 mask 255.255.255.0
  no auto-summary
  no synchronization
 exit-address-family
!

ASA 5500-2 configuratie

router bgp 200
 bgp log-neighbor-changes
 bgp bestpath compare-routerid
 address-family ipv4 unicast
  neighbor 203.0.113.1 remote-as 100
  neighbor 203.0.113.1 ebgp-multihop 2
  neighbor 203.0.113.1 activate
  network 10.10.10.0 mask 255.255.255.0
  network 10.180.10.0 mask 255.255.255.0
  network 172.16.30.0 mask 255.255.255.0
  no auto-summary
  no synchronization
 exit-address-family
!

BGP-routefiltering

Met BGP kunt u een routing update besturen die wordt verzonden en ontvangen. In dit voorbeeld, wordt een routingupdate geblokkeerd voor netwerkprefix 172.16.30.0/24 die achter ASA-2 is. Voor routefiltering kunt u alleen STANDAARD ACL gebruiken.

access-list bgp-in line 1 standard deny 172.16.30.0 255.255.255.0
access-list bgp-in line 2 standard permit any4


router bgp 100
 bgp log-neighbor-changes
 bgp bestpath compare-routerid
 address-family ipv4 unicast
  neighbor 203.0.113.2 remote-as 200
  neighbor 203.0.113.2 activate
  network 192.168.10.0 mask 255.255.255.0
  network 172.16.20.0 mask 255.255.255.0
  network 10.106.44.0 mask 255.255.255.0
  distribute-list bgp-in in
  no auto-summary
  no synchronization
 exit-address-family
!

Verifieer de routeringstabel.

ASA-1(config)# show bgp cidr-only

BGP table version is 6, local router ID is 203.0.113.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale, m multipath
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop        Metric LocPrf Weight  Path
*> 10.10.10.0/24    203.0.113.2          0             0  200 i
*> 10.106.44.0/24   0.0.0.0              0         32768  i
*> 10.180.10.0/24   203.0.113.2          0             0  200 i
*> 172.16.20.0/24   0.0.0.0              0         32768  i
*> 192.168.10.0/16   0.0.0.0             0         32768  i

Controleer of het aantal ACL-treffers (Access Control List) toeneemt.

ASA-1(config)# show access-list bgp-in
access-list bgp-in; 2 elements; name hash: 0x3f99de19
access-list bgp-in line 1 standard deny 172.16.30.0 255.255.255.0 (hitcnt=1) 0xb5abad25
access-list bgp-in line 2 standard permit any4 (hitcnt=4) 0x59d08160

Op dezelfde manier kunt u ACL gebruiken om te filteren wat met uit in het bevel verdeel-lijst wordt verzonden.

ASA BGP-configuratie in meerdere contexten

BGP wordt ondersteund in multi-context. In het geval van multi-context, moet u eerst het BGP routerproces in de systeemcontext bepalen. Als u probeert een BGP-proces te maken zonder het in de systeemcontext te definiëren, krijgt u deze fout.

ASA-1/admin(config)# router bgp 100
%BGP process cannot be created in non-system context
ERROR: Unable to create router process

First we Need to define it in system context.

ASA-1/admin(config)#changeto context system
ASA-1(config)# router bgp 100 
ASA-1(config-router)#exit

Now create bgp process in admin context.

ASA-1(config)#changeto context admin
ASA-1/admin(config)# router bgp 100
ASA-1/admin(config-router)# 

Verifiëren

Controleer de eBGP-groep

Controleer de TCP verbinding op poort 179.

ASA-1(config)# show asp table socket

Protocol  Socket    State      Local Address                    Foreign Address
SSL       00001478  LISTEN     172.16.20.1:443                  0.0.0.0:*
TCP       000035e8  LISTEN     203.0.113.1:179                  0.0.0.0:*
TCP       00005cd8  ESTAB      203.0.113.1:44368                203.0.113.2:179
SSL       00006658  LISTEN     10.106.44.221:443                0.0.0.0:*

Toon de BGP buren.

ASA-1(config)# show bgp neighbors

BGP neighbor is 203.0.113.2,  context single_vf,  remote AS 200, external link >> eBGP
  BGP version 4, remote router ID 203.0.113.2
  BGP state = Established, up for 00:04:42
  Last read 00:00:13, last write 00:00:17, hold time is 180, keepalive interval is
 60 seconds
  Neighbor sessions:
    1 active, is not multisession capable (disabled)
  Neighbor capabilities:
    Route refresh: advertised and received(new)
    Four-octets ASN Capability: advertised and received
    Address family IPv4 Unicast: advertised and received
    Multisession Capability:
  Message statistics:
    InQ depth is 0
    OutQ depth is 0

                   Sent       Rcvd
    Opens:         1          1
    Notifications: 0          0
    Updates:       2          2
    Keepalives:    5          5
    Route Refresh: 0          0
    Total:         8          8
  Default minimum time between advertisement runs is 30 seconds

 For address family: IPv4 Unicast
  Session: 203.0.113.2
  BGP table version 7, neighbor version 7/0
  Output queue size : 0
  Index 1
  1 update-group member
                           Sent       Rcvd
  Prefix activity:         ----       ----
    Prefixes Current:      3          3          (Consumes 240 bytes)
    Prefixes Total:        3          3
    Implicit Withdraw:     0          0
    Explicit Withdraw:     0          0
    Used as bestpath:      n/a        3
    Used as multipath:     n/a        0

                                Outbound    Inbound
  Local Policy Denied Prefixes: --------    -------
    Bestpath from this peer:     3          n/a
    Total:                       3          0
  Number of NLRIs in the update sent: max 3, min 0

  Address tracking is enabled, the RIB does have a route to 203.0.113.2
  Connections established 1; dropped 0
  Last reset never
  Transport(tcp) path-mtu-discovery is enabled
  Graceful-Restart is disabled

BGP-routers

ASA 5500-1 configuratie

ASA-1(config)# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route

Gateway of last resort is 10.106.44.1 to network 0.0.0.0

B        10.10.10.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48
B        10.180.10.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48
B        172.16.30.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48

ASA 5500-2 configuratie

ASA-2# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route

Gateway of last resort is not set

B        10.106.44.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32
B        172.16.20.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32
B     192.168.10.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32

Om routes voor een specifieke ASA te bekijken, voert u de opdracht BGP van de showroute <AS-No.>in.

ASA-1(config)# show route bgp ?

exec mode commands/options:
  100  Autonomous system number
  |    Output modifiers
  <cr>

Specifieke eBGP-routegegevens

ASA-1(config)# show route 172.16.30.0

Routing entry for 172.16.30.0 255.255.255.0
  Known via "bgp 100", distance 20, metric 0
  Tag 200, type external
  Last update from 203.0.113.2 0:09:43 ago
  Routing Descriptor Blocks:
  * 203.0.113.2, from 203.0.113.2, 0:09:43 ago
      Route metric is 0, traffic share count is 1
      AS Hops 1-----------------------------------> ASA HOP is one
      Route tag 200
      MPLS label: no label string provided

ASA-1(config)# show bgp cidr-only

BGP table version is 7, local router ID is 203.0.113.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale, m multipath
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop        Metric LocPrf Weight  Path
*> 10.10.10.0/24    203.0.113.2          0             0  200 i
*> 10.106.44.0/24   0.0.0.0              0         32768  i
*> 10.180.10.0/24   203.0.113.2          0             0  200 i
*> 172.16.20.0/24   0.0.0.0              0         32768  i
*> 172.16.30.0/24   203.0.113.2          0             0  200 i

BGP-samenvatting

ASA-1(config)# show bgp summary
BGP router identifier 203.0.113.1, local AS number 100
BGP table version is 7, main routing table version 7
6 network entries using 1200 bytes of memory
6 path entries using 480 bytes of memory
2/2 BGP path/bestpath attribute entries using 416 bytes of memory
1 BGP AS-PATH entries using 24 bytes of memory
0 BGP route-map cache entries using 0 bytes of memory
0 BGP filter-list cache entries using 0 bytes of memory
BGP using 2120 total bytes of memory
BGP activity 6/0 prefixes, 6/0 paths, scan interval 60 secs

Neighbor        V           AS MsgRcvd MsgSent   TblVer  InQ OutQ Up/Down  State/PfxRcd
203.0.113.2     4          200 16      17             7    0    0 00:14:19  3

ASA-1(config)# show route summary

IP routing table maximum-paths is 3
Route Source    Networks    Subnets     Replicates  Overhead    Memory (bytes)
connected       0           8           0           704         2304
static          2           5           0           616         2016
ospf 1          0           0           0           0           0
  Intra-area: 0 Inter-area: 0 External-1: 0 External-2: 0
  NSSA External-1: 0 NSSA External-2: 0
bgp 100         0           3           0           264         864
  External: 3 Internal: 0 Local: 0
internal        7                                               3176
Total           9           16          0           1584        8360

Controleer iBGP-groep

ASA-1(config)# show bgp neighbors

BGP neighbor is 203.0.113.2,  context single_vf,  remote AS 100, internal link >> iBGP
  BGP version 4, remote router ID 203.0.113.2
  BGP state = Established, up for 00:02:19
  Last read 00:00:13, last write 00:00:17, hold time is 180, keepalive interval is
 60 seconds
  Neighbor sessions:
    1 active, is not multisession capable (disabled)
  Neighbor capabilities:
    Route refresh: advertised and received(new)
    Four-octets ASN Capability: advertised and received
    Address family IPv4 Unicast: advertised and received
    Multisession Capability:
  Message statistics:
    InQ depth is 0
    OutQ depth is 0

                   Sent       Rcvd
    Opens:         1          1
    Notifications: 0          0
    Updates:       2          2
    Keepalives:    5          5
    Route Refresh: 0          0
    Total:         8          8
  Default minimum time between advertisement runs is 30 seconds

 For address family: IPv4 Unicast
  Session: 203.0.113.2
  BGP table version 7, neighbor version 7/0
  Output queue size : 0
  Index 1
  1 update-group member
                           Sent       Rcvd
  Prefix activity:         ----       ----
    Prefixes Current:      3          3          (Consumes 240 bytes)
    Prefixes Total:        3          3
    Implicit Withdraw:     0          0
    Explicit Withdraw:     0          0
    Used as bestpath:      n/a        3
    Used as multipath:     n/a        0

                                Outbound    Inbound
  Local Policy Denied Prefixes: --------    -------
    Bestpath from this peer:     3          n/a
    Total:                       3          0
  Number of NLRIs in the update sent: max 3, min 0

  Address tracking is enabled, the RIB does have a route to 203.0.113.2
  Connections established 1; dropped 0
  Last reset never
  Transport(tcp) path-mtu-discovery is enabled
  Graceful-Restart is disabled

Specifieke iBGP-routegegevens

ASA-1(config)# show route 172.16.30.0

Routing entry for 172.16.30.0 255.255.255.0
  Known via "bgp 100", distance 20, metric 0, type internal
  Last update from 203.0.113.2 0:07:05 ago
  Routing Descriptor Blocks:
  * 203.0.113.2, from 203.0.113.2, 0:07:05 ago
      Route metric is 0, traffic share count is 1
      AS Hops 0            -------------------->> ASA HOP is 0 as it's internal route
      MPLS label: no label string provided

TTL-waarde voor BGP-pakketten

Standaard moeten BGP-buren direct worden aangesloten. Dit komt doordat de TTL-waarde voor BGP-pakketten altijd 1 is (standaard). Zo in het geval dat een BGP buur niet direct verbonden is, moet u een BGP multi-hop waarde definiëren die afhangt van hoeveel hop in door de weg is.

Hier is een voorbeeld van een TTL-waardegeval van direct verbonden:

ASA-1(config)#show cap bgp detail

  5: 06:30:19.789769 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 70
      203.0.113.1.44368 > 203.0.113.2.179: S [tcp sum ok] 3733850223:3733850223(0)
 win 32768 <mss 1460,nop,nop,timestamp 15488246 0> (DF) [tos 0xc0]  [ttl 1] (id 62822)

  6: 06:30:19.792286 a0cf.5b5c.5060 6c41.6a1f.25e3 0x0800 Length: 58
      203.0.113.22.179 > 203.0.113.1.44368: S [tcp sum ok] 1053711883:1053711883(0)
 ack 3733850224 win 16384 <mss 1360> [tos 0xc0]  [ttl 1] (id 44962)

  7: 06:30:19.792302 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 54
      203.0.113.1.44368 > 203.0.113.22.179: . [tcp sum ok] 3733850224:3733850224(0)
 ack 1053711884 win 32768 (DF) [tos 0xc0]  [ttl 1] (id 52918)

Als buren niet direct verbonden zijn, moet u de bgp multihop opdracht invoeren om te definiëren hoeveel HOPS een buur heeft om de TTL-waarde in de IP-header te verhogen.

Hier is een voorbeeld van een TTL-waarde in het geval van multi-hop (in dit geval is de BGP-buur 1 HOP verwijderd):

ASA-1(config)#show cap bgp detail

   5: 13:10:04.059963 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 70
      203.0.113.1.63136 > 198.51.100.1.179: S [tcp sum ok] 979449598:979449598(0)
 win 32768 <mss 1460,nop,nop,timestamp 8799571 0> (DF) [tos 0xc0]  (ttl 2, id 62012)


   6: 13:10:04.060681 a0cf.5b5c.5060 6c41.6a1f.25e3 0x0800 Length: 70 198.51.100.1.179 >
 203.0.113.1.63136: S [tcp sum ok] 0:0(0) ack 979449599 win 32768 <mss 1460,nop,nop,
timestamp 6839704 8799571> (DF) [tos 0xac]  [ttl 1] (id 60372)


   7: 13:10:04.060696 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 66
      203.0.113.1.63136 >198.51.100.1.179: . [tcp sum ok] 979449599:979449599(0) ack 1
 win 32768 <nop,nop,timestamp 8799571 6839704> (DF) [tos 0xc0]  (ttl 2, id 53699)

Proces voor recursieve routeroplossing 

ASA-1(config)# show asp table routing
route table timestamp: 66
in   255.255.255.255 255.255.255.255 identity
in   203.0.113.1     255.255.255.255 identity
in   203.0.113.254  255.255.255.255 via 10.13.14.4, outside
in   192.0.2.78   255.255.255.255 via 10.16.17.4, DMZ
in   192.168.0.1     255.255.255.255 identity
in   172.16.20.1     255.255.255.255 identity
in   10.106.44.190   255.255.255.255 identity
in   10.10.10.0      255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 66)
in   172.16.30.0     255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 64)
in   10.180.10.0     255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 65)
in   203.0.113.0     255.255.255.0   outside
in   172.16.10.0     255.255.255.0   via 10.13.14.4, outside
in   192.168.10.0    255.255.255.0   via 10.13.14.20, outside
in   192.168.20.0    255.255.255.0   via 10.16.17.4, DMZ
in   172.16.20.0     255.255.255.0   inside
in   10.106.44.0     255.255.255.0   management
in   192.168.0.0     255.255.0.0     DMZ

ASA BGP- en graceful herstartmogelijkheid

BGP support for nonstop forwarding
We added support for BGP Nonstop Forwarding.
We introduced the following new commands: bgp graceful-restart, neighbor ha-mode graceful-restart

Problemen oplossen

• Na de configuratie moet u er zeker van zijn dat beide apparaten zijn aangesloten. Controleer de connectiviteit met ICMP en TCP-poort 179.
• Als de BGP-peers niet rechtstreeks zijn verbonden, moet u eBGP-multihop configureren.
• Als de connectiviteit correct is, kan de TCP-socket in de ESTAB-staat in de opdrachtoutput van de asp-tabel worden weergegeven.

  ASA-1(config)# show asp table socket
  
  Protocol  Socket    State      Local Address                    Foreign Address
  SSL       00001478  LISTEN     172.16.20.1:443                  0.0.0.0:*
  TCP       000035e8  LISTEN     203.0.113.1:179                  0.0.0.0:*
  TCP       00005cd8  ESTAB      203.0.113.1:44368                203.0.113.2:179
  SSL       00006658  LISTEN     10.106.44.221:443                0.0.0.0:*

• Na een 3-voudige handdruk, ruilen beide peers BGP OPEN-berichten uit en onderhandelen ze over parameters.

  

• Na de parameteruitwisseling, ruilen beide peers routinginformatie met een BGP UPDATE-bericht.

  

  %ASA-7-609001: Built local-host identity:203.0.113.1
  %ASA-7-609001: Built local-host outside:203.0.113.2
  %ASA-6-302013: Built outbound TCP connection 14 for outside:203.0.113.2/179
   (203.0.113.2/179) to identity:203.0.113.1/43790 (203.0.113.1/43790)
  %ASA-3-418018: neighbor 203.0.113.2 Up 

Als nabuurschap niet wordt gevormd zelfs na een succesvolle TCP 3-weg handdruk, dan is het probleem met BGP FSM. Verzamel een pakketopname en syslogs van de ASA en controleer met welke status u problemen hebt.

Debuggen

Opmerking: raadpleeg Belangrijke informatie over debug-opdrachten voordat u debug-opdrachten gebruikt.

Voer de opdracht debug ip bgp in om problemen met de buurlanden op te lossen en updategerelateerde problemen te routeren.

ASA-1(config)# debug ip bgp ?

exec mode commands/options:
  A.B.C.D     BGP neighbor address
  events      BGP events
  in          BGP Inbound information
  ipv4        Address family
  keepalives  BGP keepalives
  out         BGP Outbound information
  range       BGP dynamic range
  rib-filter  Next hop route watch filter events
  updates     BGP updates
  <cr>

Voer de opdracht debug ip bgp events in om problemen met buurlanden op te lossen.

BGP: 203.0.113.2 active went from Idle to Active
BGP: 203.0.113.2 open active, local address 203.0.113.1
BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Adding topology IPv4 Unicast:base
BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Send OPEN
BGP: 203.0.113.2 active went from Active to OpenSent
BGP: 203.0.113.2 active sending OPEN, version 4, my as: 100, holdtime 180 seconds,
 ID cb007101
BGP: 203.0.113.2 active rcv message type 1, length (excl. header) 34
BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Receive OPEN
BGP: 203.0.113.2 active rcv OPEN, version 4, holdtime 180 seconds
BGP: 203.0.113.2 active rcv OPEN w/ OPTION parameter len: 24
BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 6
BGP: 203.0.113.2 active OPEN has CAPABILITY code: 1, length 4
BGP: 203.0.113.2 active OPEN has MP_EXT CAP for afi/safi: 1/1
BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 2
BGP: 203.0.113.2 active OPEN has CAPABILITY code: 128, length 0
BGP: 203.0.113.2 active OPEN has ROUTE-REFRESH capability(old) for all address-families
BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 2
BGP: 203.0.113.2 active OPEN has CAPABILITY code: 2, length 0
BGP: 203.0.113.2 active OPEN has ROUTE-REFRESH capability(new) for all address-families
BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 6
BGP: 203.0.113.2 active OPEN has CAPABILITY code: 65, length 4
BGP: 203.0.113.2 active OPEN has 4-byte ASN CAP for: 200
BGP: 203.0.113.2 active rcvd OPEN w/ remote AS 200, 4-byte remote AS 200
BGP: 203.0.113.2 active went from OpenSent to OpenConfirm
BGP: 203.0.113.2 active went from OpenConfirm to Established

Voer de opdracht debug ip bgp updates in om problemen op te lossen bij het routeren van updategerelateerde problemen.

BGP: TX IPv4 Unicast Mem global 203.0.113.2 Changing state from DOWN to WAIT
 (pending advertised bit allocation).
BGP: TX IPv4 Unicast Grp global 4 Created.
BGP: TX IPv4 Unicast Wkr global 4 Cur Blocked (not in list).
BGP: TX IPv4 Unicast Wkr global 4 Ref Blocked (not in list).
BGP: TX IPv4 Unicast Rpl global 4 1 Created.
BGP: TX IPv4 Unicast Rpl global 4 1 Net bitfield index 0 allocated.
BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Added to group (now has 1 members).
BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Staying in WAIT state
 (current walker waiting for net prepend).
BGP: TX IPv4 Unicast Top global Start net prepend.
BGP: TX IPv4 Unicast Top global Inserting initial marker.
BGP: TX IPv4 Unicast Top global Done net prepend (0 attrs).
BGP: TX IPv4 Unicast Grp global 4 Starting refresh after prepend completion.
BGP: TX IPv4 Unicast Wkr global 4 Cur Start at marker 1.
BGP: TX IPv4 Unicast Grp global 4 Message limit changed from 100 to 1000 (used 0 + 0).
BGP: TX IPv4 Unicast Wkr global 4 Cur Unblocked
BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Changing state from WAIT to ACTIVE
 (ready).
BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 No refresh required.
BGP: TX IPv4 Unicast Top global Collection done on marker 1 after 0 net(s).
BGP(0): 203.0.113.2 rcvd UPDATE w/ attr: nexthop 203.0.113.2, origin i, metric 0,
 merged path 200, AS_PATH
BGP(0): 203.0.113.2 rcvd 10.10.10.0/24
BGP(0): 203.0.113.2 rcvd 172.16.30.0/24
BGP(0): 203.0.113.2 rcvd 10.180.10.0/24-----------------> Routes rcvd from peer
BGP: TX IPv4 Unicast Net global 10.10.10.1/32 Changed.
BGP: TX IPv4 Unicast Net global 172.16.30.0/24 Changed.
BGP: TX IPv4 Unicast Net global 10.180.10.0/24 Changed.
BGP(0): Revise route installing 1 of 1 routes for 10.10.10.0 255.255.255.0 ->
 203.0.113.2(global) to main IP table
BGP: TX IPv4 Unicast Net global 10.10.10.0/24 RIB done.
BGP(0): Revise route installing 1 of 1 routes for 172.16.30.0 255.255.255.0 ->
 203.0.113.2(global) to main IP table
BGP: TX IPv4 Unicast Net global 172.16.30.0/24 RIB done.
BGP(0): Revise route installing 1 of 1 routes for 10.180.10.0 255.255.255.0 ->
 203.0.113.2(global) to main IP table
BGP: TX IPv4 Unicast Net global 10.180.10.0/24 RIB done.
BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.
BGP: TX IPv4 Unicast Tab Ready in READ-WRITE.
BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.
BGP: TX IPv4 Unicast Tab All topologies are EOR ready.
BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.
BGP: TX IPv4 Unicast Tab Executing.
BGP: TX IPv4 Unicast Wkr global 4 Cur Processing.
BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 1.
BGP: TX IPv4 Unicast Top global Appending nets from attr 0x00007ffecc9b7b88.
BGP: TX IPv4 Unicast Wkr global 4 Cur Attr change from 0x0000000000000000 to
 0x00007ffecc9b7b88.
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.10.10.0/24 Skipped.
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 172.16.30.0/24 Skipped.
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.180.10.0/24 Skipped.
BGP: TX IPv4 Unicast Top global No attributes with modified nets.
BGP: TX IPv4 Unicast Top global Added tail marker with version 4.
BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 4.
BGP: TX IPv4 Unicast Top global No attributes with modified nets.
BGP: TX IPv4 Unicast Wkr global 4 Cur Done (end of list), processed 1 attr(s),
 0/3 net(s), 0 pos.
BGP: TX IPv4 Unicast Grp global 4 Checking EORs (0/1).
BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Send EOR.
BGP: TX IPv4 Unicast Grp global 4 Converged.
BGP: TX IPv4 Unicast Tab Processed 1 walker(s).
BGP: TX IPv4 Unicast Tab Generation completed.
BGP: TX IPv4 Unicast Top global Deleting first marker with version 1.
BGP: TX IPv4 Unicast Top global Collection reached marker 1 after 0 net(s).
BGP: TX IPv4 Unicast Top global First convergence done.
BGP: TX IPv4 Unicast Top global Deleting first marker with version 1.
BGP: TX IPv4 Unicast Top global Collection reached marker 1 after 0 net(s).
BGP: TX IPv4 Unicast Top global Collection done on marker 4 after 3 net(s).
BGP: TX IPv4 Unicast Top global Collection done on marker 4 after 0 net(s).
BGP: TX IPv4 Unicast Net global 192.168.10.0/24 Changed.
BGP: TX IPv4 Unicast Net global 172.16.20.0/24 Changed.
BGP: TX IPv4 Unicast Net global 10.106.44.0/24 Changed.
BGP(0): nettable_walker 10.106.44.0/24 route sourced locally
BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 10.106.44.0/24
BGP: TX IPv4 Unicast Net global 10.106.44.0/24 RIB done.
BGP(0): nettable_walker 172.16.20.0/24 route sourced locally
BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 172.16.20.0/24
BGP: TX IPv4 Unicast Net global 172.16.20.0/24 RIB done.
BGP(0): nettable_walker 192.168.10.0/24 route sourced locally---------> Routes
 advertised
BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 192.168.10.0/24
BGP: TX IPv4 Unicast Net global 192.168.10.0/24 RIB done.
BGP: TX IPv4 Unicast Tab RIB walk done version 8, added 1 topologies.
BGP: TX IPv4 Unicast Tab Executing.
BGP: TX IPv4 Unicast Wkr global 4 Cur Processing.
BGP: TX IPv4 Unicast Top global Appending nets from attr 0x00007ffecc9b7c70.
BGP: TX IPv4 Unicast Wkr global 4 Cur Attr change from 0x0000000000000000 to
 0x00007ffecc9b7c70.
BGP: TX IPv4 Unicast Rpl global 4 1 Net 10.106.44.0/24 Set advertised bit (total 1).
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.106.44.0/24 Formatted.
BGP: TX IPv4 Unicast Rpl global 4 1 Net 172.16.20.0/24 Set advertised bit (total 2).
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 172.16.20.0/24 Formatted.
BGP: TX IPv4 Unicast Rpl global 4 1 Net 192.168.10.0/24 Set advertised bit (total 4).
BGP: TX IPv4 Unicast Wkr global 4 Cur Net 192.168.10.0/24 Formatted.
BGP: TX IPv4 Unicast Top global No attributes with modified nets.
BGP: TX IPv4 Unicast Top global Added tail marker with version 8.
BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 8.
BGP: TX IPv4 Unicast Top global No attributes with modified nets.
BGP: TX IPv4 Unicast Wkr global 4 Cur Replicating.
BGP: TX IPv4 Unicast Wkr global 4 Cur Done (end of list), processed 1 attr(s),
 4/4 net(s), 0 pos.
BGP: TX IPv4 Unicast Grp global 4 Start minimum advertisement timer (30 secs).
BGP: TX IPv4 Unicast Wkr global 4 Cur Blocked (minimum advertisement interval).
BGP: TX IPv4 Unicast Grp global 4 Converged.
BGP: TX IPv4 Unicast Tab Processed 1 walker(s).
BGP: TX IPv4 Unicast Tab Generation completed.
BGP: TX IPv4 Unicast Top global Deleting first marker with version 4.
BGP: TX IPv4 Unicast Top global Collection reached marker 4 after 0 net(s).
BGP: TX IPv4 Unicast Top global Collection done on marker 8 after 4 net(s).
BGP: TX IPv4 Unicast Top global Collection done on marker 8 after 0 net(s).
BGP: TX Member message pool under period (60 < 600).
BGP: TX IPv4 Unicast Tab RIB walk done version 8, added 1 topologies.

Voer deze opdrachten in om deze optie te kunnen oplossen:

• asp-tabelsocket weergeven
• bgp-buur tonen
• bgp-overzicht weergeven
• route bgp tonen
• alleen bgp cidr-formaat tonen
• toon routesamenvatting