ASA 9.x EIGRP configureren: Voorbeeld

Inleiding

In dit document wordt beschreven hoe u de Cisco ASA configureert om routes te leren via het Enhanced Interior Gateway Routing Protocol (EIGRP).

Voorwaarden

Vereisten

Cisco vereist dat u aan deze voorwaarden voldoet voordat u deze configuratie probeert:

• Cisco ASA moet versie 9.x of hoger uitvoeren.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco ASA Software versie 9.2.1
• Cisco Adaptive Security Device Manager (ASDM), versie 7.2.1
• Cisco IOS^® Router met versie 12.4

In dit document wordt beschreven hoe u de Cisco Adaptive Security Appliance (ASA) configureert om routes te leren via het Enhanced Interior Gateway Routing Protocol (EIGRP), dat wordt ondersteund in ASA-softwareversie 9.x en hoger, en verificatie uit te voeren.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Richtlijnen en beperkingen

• Eén EIGRP-instantie wordt ondersteund in één modus en per context in multimodus.
• Twee threads worden per context per EIGRP-instantie in multimode gemaakt en kunnen worden bekeken met het showproces.
• Automatisch overzicht is standaard uitgeschakeld.
• Er wordt geen relatie tussen buren tot stand gebracht tussen de clustereenheden in de individuele interfacemodus.
• Standaard-informatie in [<acl>] wordt gebruikt om de Exterior-bit te filteren in inkomende kandidaat-standaardroutes.
• Standaard-informatie-out [<acl>] wordt gebruikt om de Exterior-bit te filteren in uitgaande kandidaat-standaardroutes.

EIGRP en failover

Cisco ASA-code Versie 8.4.4.1 en hoger synchroniseert dynamische routes van de ACTIVE-eenheid naar de STANDBY-eenheid. Daarnaast wordt het verwijderen van routes ook gesynchroniseerd met de standby-eenheid. De status van de aangrenzende peer-apparaten is echter niet gesynchroniseerd; alleen het ACTIVE-apparaat onderhoudt de buurstaat en neemt actief deel aan dynamische routering. Raadpleeg de veelgestelde vragen over ASA: Wat gebeurt er na failover als dynamische routes worden gesynchroniseerd? voor meer informatie.

Configureren

In dit gedeelte wordt beschreven hoe u de functies in dit document kunt configureren.

Opmerking: gebruik de opzoekfunctie voor opdrachten (alleen geregistreerde klanten) om meer informatie te verkrijgen over de opdrachten die in deze sectie worden gebruikt.

Netwerkdiagram

Het netwerk in dit document is als volgt opgebouwd:

In de netwerktopologie die wordt geïllustreerd, is het IP-adres van de Cisco ASA-interface binnen 10.10.10.1/24. Het doel is om EIGRP te configureren op de Cisco ASA om routes naar de interne netwerken (10.20.20.0/24, 172.18.124.0/24 en 192.168.10.0/24) dynamisch te leren via de aangrenzende router (R1). R1 leert de routes naar externe interne netwerken via de andere twee routers (R2 en R3).

ASDM-configuratie

ASDM is een browsergebaseerde toepassing die wordt gebruikt om de software op beveiligingsapparaten te configureren en te bewaken. ASDM wordt geladen vanuit het beveiligingstoestel en vervolgens gebruikt om het apparaat te configureren, te bewaken en te beheren. U kunt ook de ASDM Launcher gebruiken om de ASDM-toepassing sneller te starten dan de Java-applet. In deze sectie wordt de informatie beschreven die u nodig hebt om de functies die in dit document worden beschreven, te configureren met ASDM.

Voer deze stappen uit om EIGRP te configureren in de Cisco ASA.

1. Meld u aan bij de Cisco ASA met de ASDM.
   
   
2. Navigeer naar Configuratie > Apparaatinstellingen > Routering > EIGRP-gebied van de ASDM-interface, zoals weergegeven in deze schermafbeelding.
   
   

   

   
   
   
3. Schakel het EIGRP-routeringsproces in op het tabblad Instellingen > Procesinstanties, zoals weergegeven in deze schermafbeelding. In dit voorbeeld is het EIGRP-proces 10.
   
   

   

   
   
   
4. U kunt optionele geavanceerde EIGRP-routeringsprocesparameters configureren. Klik op Geavanceerd op het tabblad Instellingen > Procesinstanties. U kunt het EIGRP-routeringsproces configureren als een stub-routeringsproces, automatische routesamenvatting uitschakelen, de standaardstatistieken voor herverdeelde routes definiëren, de administratieve afstanden voor interne en externe EIGRP-routes wijzigen, een statische router-ID configureren en de registratie van aangrenzende wijzigingen in- of uitschakelen. In dit voorbeeld wordt de EIGRP Router ID statisch geconfigureerd met het IP-adres van de interne interface (10.10.10.1). Bovendien is Auto-samenvatting uitgeschakeld. Alle andere opties zijn geconfigureerd met hun standaardwaarden.
   
   

   

   
   
   
5. Nadat u de vorige stappen hebt voltooid, definieert u de netwerken en interfaces die deelnemen aan EIGRP-routering op het tabblad Instellen > Netwerken. Klik op Toevoegen zoals weergegeven in deze schermafbeelding.
   
   

   

   
   
   
6. Dit scherm verschijnt. In dit voorbeeld is het enige netwerk dat u toevoegt het interne netwerk (10.10.10.0/24), omdat EIGRP alleen is ingeschakeld op de interne interface.
   
   

   

   
   
   

   Alleen interfaces met een IP-adres dat binnen de gedefinieerde netwerken valt, nemen deel aan het EIGRP-routeringsproces. Als u een interface hebt die u niet wilt gebruiken voor EIGRP-routering, maar die is gekoppeld aan een netwerk waarvoor u reclame wilt maken, configureert u een netwerkvermelding op het tabblad Instellen > Netwerken dat betrekking heeft op het netwerk waarop de interface is aangesloten en configureert u die interface vervolgens als een passieve interface zodat de interface geen EIGRP-updates kan verzenden of ontvangen.

   
   
   

   Opmerking: Interfaces die als passief zijn geconfigureerd, verzenden of ontvangen geen EIGRP-updates.

   
   
   
7. U kunt optioneel routefilters definiëren in het deelvenster Filterregels. Routefiltering biedt meer controle over de routes die mogen worden verzonden of ontvangen in EIGRP-updates.
   
   
8. U kunt de routeherverdeling optioneel configureren. De Cisco ASA kan routes die zijn ontdekt door Routing Information Protocol (RIP) en Open Shortest Path First (OSPF) herverdelen in het EIGRP-routeringsproces. U kunt ook statische en verbonden routes herverdelen in het EIGRP-routeringsproces. U hoeft statische of verbonden routes niet opnieuw te distribueren als deze binnen het bereik vallen van een netwerk dat is geconfigureerd op het tabblad Setup > Networks. Definieer routeherverdeling in het deelvenster Herverdeling.
   
   
9. EIGRP Hello pakketten worden verzonden als multicast pakketten. Als een EIGRP-buurman zich in een niet-uitzendnetwerk bevindt, moet u die buurman handmatig definiëren. Wanneer u handmatig een EIGRP-buur definieert, worden Hello-pakketten als unicastberichten naar die buur verzonden. Ga naar het deelvenster Statische buren om statische EIGRP-buren te definiëren.
   
   
10. Standaard worden routes verzonden en geaccepteerd. Als u het verzenden en ontvangen van standaardroutegegevens wilt beperken of uitschakelen, opent u Configuratie > Apparaatinstellingen > Routering > EIGRP > Standaardinformatievenster. Het venster Standaardinformatie toont een tabel met regels voor het verzenden en ontvangen van standaardroutegegevens in EIGRP-updates.
    
    

    Opmerking: voor elk EIGRP-routeringsproces kunt u één "in" en één "uit" regel gebruiken. (Er wordt momenteel slechts één proces ondersteund.)

EIGRP-verificatie configureren

De Cisco ASA ondersteunt MD5-verificatie van routeringsupdates van het EIGRP-routeringsprotocol. De MD5-toets digest in elk EIGRP-pakket voorkomt de introductie van ongeautoriseerde of valse routeringsberichten van niet-goedgekeurde bronnen. De toevoeging van verificatie aan uw EIGRP-berichten zorgt ervoor dat uw routers en de Cisco ASA alleen routeringsberichten van andere routeringsapparaten accepteren die zijn geconfigureerd met dezelfde vooraf gedeelde sleutel. Zonder deze verificatie geconfigureerd, als iemand een ander routeringsapparaat introduceert met andere of tegengestelde routegegevens op het netwerk, kunnen de routeringstabellen op uw routers of de Cisco ASA corrupt worden en kan een denial of service-aanval volgen. Wanneer u verificatie toevoegt aan de EIGRP-berichten die tussen uw routeringsapparaten worden verzonden (waaronder de ASA), voorkomt dit de ongeoorloofde toevoegingen van EIGRP-routers in uw routingtopologie.

EIGRP-routeverificatie wordt geconfigureerd op basis van een interface. Alle EIGRP-buren op interfaces die zijn geconfigureerd voor EIGRP-berichtverificatie moeten worden geconfigureerd met dezelfde verificatiemodus en -sleutel om aangrenzende ruimten te kunnen instellen.

Voer deze stappen uit om EIGRP MD5-verificatie in te schakelen op de Cisco ASA.

1. Navigeer in de ASDM naar Configuratie > Apparaatinstellingen > Routering > EIGRP > Interface zoals weergegeven.
   
   

   

   
   
   
2. In dit geval is EIGRP ingeschakeld op de interne interface (Gigabit Ethernet 0/1). Kies de Gigabit Ethernet 0/1-interface en klik op Bewerken.
   
   
3. Kies onder Verificatie de optie MD5-verificatie inschakelen. Voeg hier meer informatie toe over de verificatieparameters. In dit geval is de vooraf gedeelde sleutel cisco123, en de sleutel-ID is 1.
   
   

   

EIGRP-routefiltering

Met EIGRP kunt u routeringsupdates beheren die worden verzonden en ontvangen. In dit voorbeeld blokkeert u routeringsupdates op de ASA voor het netwerkprefix 192.168.10.0/24, dat achter R1 zit. Voor routefiltering kunt u alleen STANDARD ACL gebruiken.

access-list eigrp standard deny 192.168.10.0 255.255.255.0 
access-list eigrp standard permit any

router eigrp 10
 distribute-list eigrp in

Verifiëren

ASA(config)# show access-list eigrp
access-list eigrp; 2 elements; name hash: 0xd43d3adc
access-list eigrp line 1 standard deny 192.168.10.0 255.255.255.0 (hitcnt=3) 0xeb48ecd0 
access-list eigrp line 2 standard permit any4 (hitcnt=12) 0x883fe5ac

Configuraties

Cisco ASA CLI-configuratie

Dit is de Cisco ASA CLI-configuratie.

!outside interface configuration

interface GigabitEthernet0/0 
description outside interface connected to the Internet 
nameif outside 
security-level 0 
ip address 198.51.100.120 255.255.255.0
!

!inside interface configuration

interface GigabitEthernet0/1 
description interface connected to the internal network 
nameif inside 
security-level 100 
ip address 10.10.10.1 255.255.255.0
!

!EIGRP authentication is configured on the inside interface 

authentication key eigrp 10 cisco123 key-id 1 
authentication mode eigrp 10 md5
!

!management interface configuration

interface Management0/0 
nameif management 
security-level 99 
ip address 10.10.20.1 255.255.255.0 management-only
!
!

!EIGRP Configuration - the CLI configuration is very similar to the 
!Cisco IOS router EIGRP configuration.

router eigrp 10 
no auto-summary 
eigrp router-id 10.10.10.1 
network 10.10.10.0 255.255.255.0
!

!This is the static default gateway configuration

route outside 0.0.0.0 0.0.0.0 198.51.100.1 1

Cisco IOS Router (R1) CLI-configuratie

Dit is de CLI-configuratie van R1 (interne router).

!!Interface that connects to the Cisco ASA. Notice the EIGRP authentication
paramenters.


interface FastEthernet0/0 
ip address 10.10.10.2 255.255.255.0 
ip authentication mode eigrp 10 md5 
ip authentication key-chain eigrp 10 MYCHAIN
!
!

! EIGRP Configuration

router eigrp 10 
network 10.10.10.0 0.0.0.255 
network 10.20.20.0 0.0.0.255 
network 172.18.124.0 0.0.0.255 
network 192.168.10.0 
no auto-summary    

Verifiëren

Voer deze stappen uit om uw configuratie te verifiëren.

1. Op de ASDM kunt u navigeren naar Monitoring > Routing > EIGRP Neighbor om elk van de EIGRP-buren te zien. Deze screenshot toont de inside router (R1) als een actieve buur. U kunt ook de interface zien waar deze buurman woont, de wachttijd en hoe lang de buurrelatie is geweest (UpTime).
   
   
   
   
2. Bovendien kunt u de routeringstabel controleren als u naar Controle > Routering > Routes navigeert. In deze schermafbeelding ziet u dat de netwerken 192.168.10.0/24, 172.18.124.0/24 en 10.20.20.0/24 worden aangeleerd via R1 (10.10.10.2).
   
   
   
   Vanuit de CLI kunt u de opdracht route tonen gebruiken om dezelfde uitvoer te krijgen.
   
   

   ciscoasa# show route
   
   Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
   
   D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
   
          N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
          E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
          i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
          * - candidate default, U - per-user static route, o - ODR
          P - periodic downloaded static route
       Gateway of last resort is 100.10.10.2 to network 0.0.0.0
       C   198.51.100.0 255.255.255.0 is directly connected, outside
       D   192.168.10.0 255.255.255.0 [90/131072] via 10.10.10.2, 0:32:29, inside
       D   172.18.124.0 255.255.255.0 [90/131072] via 10.10.10.2, 0:32:29, inside
       C   127.0.0.0 255.255.0.0 is directly connected, cplane
       D   10.20.20.0 255.255.255.0 [90/28672] via 10.10.10.2, 0:32:29, inside
       C   10.10.10.0 255.255.255.0 is directly connected, inside
       C   10.10.20.0 255.255.255.0 is directly connected, management
       S*   0.0.0.0 0.0.0.0 [1/0] via 198.51.100.1, outside
   
   

   
   Met ASA versie 9.2.1 en hoger kunt u de opdracht routebeschrijving weergeven gebruiken om alleen EIGRP-routes weer te geven.
   
   

   ciscoasa(config)# show route eigrp
   
   Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
          D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
          N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
          E1 - OSPF external type 1, E2 - OSPF external type 2
          i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
          ia - IS-IS inter area, * - candidate default, U - per-user static route
          o - ODR, P - periodic downloaded static route, + - replicated route
   
   Gateway of last resort is not set
   
       D   192.168.10.0 255.255.255.0 [90/131072] via 10.10.10.2, 0:32:29, inside
       D   172.18.124.0 255.255.255.0 [90/131072] via 10.10.10.2, 0:32:29, inside
       D   10.20.20.0 255.255.255.0 [90/28672] via 10.10.10.2, 0:32:29, inside

   
   
   
3. U kunt ook de opdracht show eigrp topology gebruiken om informatie te verkrijgen over de geleerde netwerken en de EIGRP-topologie.
   
   

       ciscoasa# show eigrp topology
       EIGRP-IPv4 Topology Table for AS(10)/ID(10.10.10.1)
       Codes: P - Passive, A - Active, U - Update, Q - Query, R - Reply,
       r - reply Status, s - sia Status
       P 10.20.20.0 255.255.255.0, 1 successors, FD is 28672
       via 10.10.10.2 (28672/28416), GigabitEthernet0/1
       P 10.10.10.0 255.255.255.0, 1 successors, FD is 2816
       via Connected, GigabitEthernet0/1
       P 192.168.10.0 255.255.255.0, 1 successors, FD is 131072
       via 10.10.10.2 (131072/130816), GigabitEthernet0/1
       P 172.18.124.0 255.255.255.0, 1 successors, FD is 131072
       via 10.10.10.2 (131072/130816), GigabitEthernet0/1

   
   
   
4. De opdracht buren weergeven is ook handig om de actieve buren en correspondentgegevens te verifiëren. Dit voorbeeld toont dezelfde informatie die u in stap 1 van de ASDM hebt verkregen.
   
   

   ciscoasa# show eigrp neighbors
   EIGRP-IPv4 neighbors for process 10
   H     Address     Interface   Hold   Uptime   SRTT    RTO Q Seq  (sec) (ms)Cnt Num
   
   0     10.10.10.2   Gi0/1      12    00:39:12   107    642   0   1

Pakketstroom

Hier is de pakketstroom.

1. De ASA komt op de link en verzendt een mCast Hello-pakket door al zijn EIGRP-geconfigureerde interfaces.
   
   
2. R1 ontvangt een Hello-pakket en verzendt een mCast Hello-pakket.
   
   

   

   
   
   
3. De ASA ontvangt het Hello-pakket en verzendt een Update-pakket met een initiële bitset, wat aangeeft dat dit het initialisatieproces is.
   
   
4. R1 ontvangt een updatepakket en verzendt een updatepakket met een eerste bitset, wat aangeeft dat dit het initialisatieproces is.
   
   

   

   
   
   
5. Nadat zowel de ASA als de R1 hello’s hebben uitgewisseld en de aangrenzende buur is vastgesteld, antwoorden zowel de ASA als de R1 met een ACK-pakket, wat aangeeft dat de update-informatie is ontvangen.
   
   
6. ASA stuurt zijn routeringsinformatie naar R1 in een updatepakket.
   
   
7. R1 voegt de pakketinformatie bijwerken in de topologietabel in. De topologietabel bevat alle bestemmingen die door buren worden geadverteerd. Het is zo georganiseerd dat elke bestemming wordt vermeld, samen met alle buren die naar de bestemming kunnen reizen en de bijbehorende statistieken.
   
   
8. R1 stuurt dan een Update pakket naar de ASA.
   
   

   

   
   
   
9. Zodra het het updatepakket ontvangt, stuurt de ASA een ACK-pakket naar R1. Nadat de ASA en R1 de Update pakketten succesvol van elkaar hebben ontvangen, zijn ze klaar om de opvolger (beste) en haalbare opvolger (back-up) routes in de topologietabel te kiezen en de volgende routes naar de routeringstabel aan te bieden.

Problemen oplossen

Deze sectie bevat informatie over foutopsporing en toont opdrachten die nuttig kunnen zijn om problemen met EIGRP op te lossen.

Opdrachten voor troubleshooting

De Output Interpreter Tool (OIT) (alleen voor geregistreerde klanten) ondersteunt bepaalde opdrachten met show. Gebruik de OIT om een analyse van de opdrachtuitvoer show te bekijken.

Opmerking: raadpleeg Belangrijke informatie over debug-opdrachten voordat u debug-opdrachten gebruikt. Als u foutopsporingsinformatie wilt weergeven op het systeem met de eindige status Diffusing Update Algorithm (DUAL), gebruikt u de opdracht foutopsporingsfoutopsporingsfoutcode fsm in de geprivilegieerde EXEC-modus. Met deze opdracht kunt u EIGRP-activiteiten observeren en bepalen of routeupdates worden geïnstalleerd en verwijderd tijdens het routeringsproces.

Dit is de uitvoer van de opdracht debug binnen de succesvolle peering met R1. U kunt elk van de verschillende routes zien die met succes op het systeem zijn geïnstalleerd.

EIGRP-IPv4(Default-IP-Routing-Table:10): Callback: route_adjust GigabitEthernet0/1
   DUAL: dest(10.10.10.0 255.255.255.0) not active
DUAL: rcvupdate: 10.10.10.0 255.255.255.0 via Connected metric 2816/0 on topoid  0
   DUAL: Find FS for dest 10.10.10.0 255.255.255.0. FD is 4294967295, RD is 4294967
   295 on topoid 0 found
   DUAL: RT installed 10.10.10.0 255.255.255.0 via 0.0.0.0
   DUAL: Send update about 10.10.10.0 255.255.255.0. Reason: metric chg on topoid
   0
   DUAL: Send update about 10.10.10.0 255.255.255.0. Reason: new if on topoid 0
   DUAL: dest(10.20.20.0 255.255.255.0) not active
   DUAL: rcvupdate: 10.20.20.0 255.255.255.0 via 10.10.10.2 metric 28672/28416 on t
   opoid 0
   DUAL: Find FS for dest 10.20.20.0 255.255.255.0. FD is 4294967295, RD is 4294967
   295 on topoid 0 found
   EIGRP-IPv4(Default-IP-Routing-Table:10): route installed for 10.20.20.0 ()
   DUAL: RT installed 10.20.20.0 255.255.255.0 via 10.10.10.2
   DUAL: Send update about 10.20.20.0 255.255.255.0. Reason: metric chg on topoid
   0
   DUAL: Send update about 10.20.20.0 255.255.255.0. Reason: new if on topoid 0
   DUAL: dest(172.18.124.0 255.255.255.0) not active
   DUAL: rcvupdate: 172.18.124.0 255.255.255.0 via 10.10.10.2 metric 131072/130816
   on topoid 0
   DUAL: Find FS for dest 172.18.124.0 255.255.255.0. FD is 4294967295, RD is 42949
   67295 on topoid 0 found
   EIGRP-IPv4(Default-IP-Routing-Table:10): route installed for 172.18.124.0 ()
   DUAL: RT installed 172.18.124.0 255.255.255.0 via 10.10.10.2
   DUAL: Send update about 172.18.124.0 255.255.255.0. Reason: metric chg on topoi
   d 0
   DUAL: Send update about 172.18.124.0 255.255.255.0. Reason: new if on topoid 0
   DUAL: dest(192.168.10.0 255.255.255.0) not active
   DUAL: rcvupdate: 192.168.10.0 255.255.255.0 via 10.10.10.2 metric 131072/130816
   on topoid 0
   DUAL: Find FS for dest 192.168.10.0 255.255.255.0. FD is 4294967295, RD is 42949
   67295 on topoid 0 found
   EIGRP-IPv4(Default-IP-Routing-Table:10): route installed for 192.168.10.0 ()
   DUAL: RT installed 192.168.10.0 255.255.255.0 via 10.10.10.2
   DUAL: Send update about 192.168.10.0 255.255.255.0. Reason: metric chg on topoi
   d 0
   DUAL: Send update about 192.168.10.0 255.255.255.0. Reason: new if on topoid 0

U kunt ook de opdracht debug gebruiken eigrp neighbour. Dit is de uitvoer van deze foutopsporingsopdracht wanneer de Cisco ASA met succes een nieuwe buurrelatie met R1 heeft gemaakt.

ciscoasa# EIGRP-IPv4(Default-IP-Routing-Table:10): Callback: route_adjust Gigabi
   tEthernet0/1
   EIGRP: New peer 10.10.10.2
   EIGRP-IPv4(Default-IP-Routing-Table:10): route installed for 10.20.20.0 ()
   EIGRP-IPv4(Default-IP-Routing-Table:10): route installed for 172.18.124.0 ()
EIGRP-IPv4(Default-IP-Routing-Table:10): route installed for 192.168.10.0 ()

U kunt ook de debug EIGRP-pakketten gebruiken voor gedetailleerde EIGRP-berichtenuitwisseling tussen de Cisco ASA en zijn collega's. In dit voorbeeld is de verificatiesleutel gewijzigd op de router (R1) en de foutopsporingsuitvoer laat zien dat het probleem een niet-overeenkomende verificatie is.

ciscoasa# EIGRP: Sending HELLO on GigabitEthernet0/1
AS 655362, Flags 0x0, Seq 0/0 interfaceQ 1/1 iidbQ un/rely 0/0
EIGRP: pkt key id = 1, authentication mismatch
EIGRP: GigabitEthernet0/1: ignored packet from 10.10.10.2, opcode = 5
(invalid authentication)

EIGRP-nabuurschap daalt met Syslogs ASA-5-336010

ASA verlaagt het EIGRP-nabuurschap wanneer wijzigingen in de EIGRP-distributielijst worden aangebracht. Dit Syslog bericht is te zien.

EIGRP Nieghborship Resets with syslogs ASA-5-336010: EIGRP-IPv4: PDM(314 10:
Neighbor 10.15.0.30 (GigabitEthernet0/0) is down: route configuration changed

Met deze configuratie wordt, wanneer een nieuwe acl-vermelding in de ACL wordt toegevoegd, de Eigrp-netwerklijst EIGRP-buurt gereset.

router eigrp 10
 distribute-list Eigrp-network-list in
 network 10.10.10.0 255.0.0.0
 passive-interface default
 no passive-interface inside
 redistribute static

access-list Eigrp-network-list standard permit any

Je kunt zien dat de relatie met de buurman is opgebouwd met het aangrenzende apparaat.

ciscoasa(config)# show eigrp neighbors
EIGRP-IPv4 neighbors for process 10
H   Address                 Interface       Hold Uptime   SRTT   RTO  Q  Seq
                                            (sec)         (ms)       Cnt Num
0   10.10.10.2             Gi0/3            10  00:01:22 1    5000  0   5

ciscoasa(config)# show eigrp neighbors
EIGRP-IPv4 neighbors for process 10
H   Address                 Interface       Hold Uptime   SRTT   RTO  Q  Seq
                                            (sec)         (ms)       Cnt Num
0   10.10.10.2             Gi0/3            13  00:01:29 1    5000  0   5

Nu kunt u toegangslijst Eigrp-network-list standaard deny 172.18.24.0 255.255.255.0 toevoegen.

%ASA-5-111010: User 'enable_15', running 'CLI' from IP 0.0.0.0, executed 'debug
eigrp fsm'
%ASA-7-111009: User 'enable_15' executed cmd: show access-list
%ASA-5-111008: User 'enable_15' executed the 'access-list Eigrp-network-list line
1 permit 172.18.24.0 255.255.255.0' command.
%ASA-5-111010: User 'enable_15', running 'CLI' from IP 0.0.0.0, executed 'access-list
Eigrp-network-list line 1 permit 172.18.24.0.0 255.255.255.0'
%ASA-7-111009: User 'enable_15' executed cmd: show eigrp neighbors
%ASA-5-336010: EIGRP-IPv4: PDM(599 10: Neighbor 10.10.10.2 (GigabitEthernet0/3) is
down: route configuration changed
%ASA-5-336010: EIGRP-IPv4: PDM(599 10: Neighbor 10.10.10.2 (GigabitEthernet0/3) is
up: new adjacency

Deze logs zijn te zien in debug egrp fsm.

IGRP2: linkdown: start - 10.10.10.2 via GigabitEthernet0/3 
DUAL: Destination 10.10.10.0 255.255.255.0 for topoid 0 
DUAL: linkdown: finish

Dit gedrag wordt verwacht in alle nieuwe ASA-versies van 8.4 en 8.6 tot 9.1. Hetzelfde is waargenomen bij routers die de 12.4 tot 15.1 code treinen uitvoeren. Dit gedrag wordt echter niet waargenomen in ASA versie 8.2 en eerdere ASA-softwareversies omdat wijzigingen in een ACL de EIGRP-adjacencies niet herstellen.

Aangezien EIGRP de volledige topologietabel naar een buur stuurt wanneer de buur voor het eerst verschijnt en vervolgens alleen de wijzigingen verzendt, zou het configureren van een distributielijst met de gebeurtenisgestuurde aard van EIGRP het moeilijk maken voor de wijzigingen om toe te passen zonder een volledige reset van de buurrelatie. De routers zouden elke route die naar een buurland wordt verzonden en ontvangen moeten bijhouden om te weten welke route is gewijzigd (dat wil zeggen, zou wel of niet worden verzonden / geaccepteerd) om de wijzigingen toe te passen zoals voorgeschreven door de huidige distributielijst. Het is veel gemakkelijker om de nabijheid tussen buren eenvoudigweg af te breken en te herstellen.

Wanneer een nabijheid wordt afgebroken en hersteld, worden alle aangeleerde routes tussen bepaalde buren gewoon vergeten en wordt de volledige synchronisatie tussen de buren opnieuw uitgevoerd - met de nieuwe distributielijst op zijn plaats.

De meeste EIGRP-technieken die u gebruikt om problemen met Cisco IOS-routers op te lossen, kunnen worden toegepast op de Cisco ASA. Om problemen met EIGRP op te lossen, gebruikt u het stroomschema voor hoofdprobleemoplossing; begin bij het vak dat is gemarkeerd als hoofdmap. 

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
1.0	02-Apr-2007	Eerste vrijgave