Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Netwerkdiagram

Configuraties op VPN

Configuraties op BGP

Verifiëren

Problemen oplossen

Inleiding

Dit document beschrijft het configureren van BGP via route-gebaseerde site-to-site VPN op FTDv beheerd door FirePower Device Manager (FDM).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Basiskennis van VPN

- BGP-configuraties op FTDv

- Ervaring met FDM

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco FTDv versie 7.4.2

- Cisco FDM versie 7.4.2

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

Netwerkdiagram

Topo

Configuraties op VPN

Stap 1. Zorg ervoor dat de IP-interconnectiviteit tussen knooppunten gereed en stabiel is. De slimme licentie op FDM wordt met succes geregistreerd bij de smart account.

Stap 2. De gateway van Site1 Client is geconfigureerd met het binnenste IP-adres van Site1 FTD (192.168.70.1). De gateway van de Site2-client is geconfigureerd met het interne IP-adres van Site2 FTD (192.168.50.1). Zorg er ook voor dat de standaardroute op beide FTD’s correct is geconfigureerd na FDM-initialisatie.

Meld u aan bij de GUI van elke FDM. Navigeer naarDevice > Routing. Klik op de knop .View Configuration Klik op het  Static Routing  tabblad om de standaard statische route te controleren.

Site1_FTD_Gateway

Site2_FTD_Gateway

Stap 3. Configureer route-gebaseerde site-to-site VPN. In dit voorbeeld, vorm eerst Site1 FTD.

Stap 3.1. Aanmelden bij de FDM GUI van Site1 FTD. Maak een nieuw netwerkobject voor het interne netwerk van Site1 FTD. Navigeer naar  Objects > Networks, klik op de knop +.

Maken_Netwerk_Object

Stap 3.2. Verstrek de nodige informatie. Klik op deOK knop.

- Naam: inside_192.168.70.0

- Type: netwerk

- Netwerk: 192.168.70.0/24

Site1_Binnen_Netwerk

Stap 3.3. Navigeer naar  Device > Site-to-Site VPN . Klik op de knop .View Configuration

Site-to-Site VPN bekijken

Stap 3.4. Start het maken van een nieuwe site-to-site VPN. Klik op de knop .CREATE SITE-TO-SITE CONNECTION

Create_Site-to-Site_Connection

Stap 3.5. Verstrek de nodige informatie.

- Naam verbindingsprofiel: Demo_S2S

- Type: routegebaseerd (VTI)

- Lokale VPN-toegangsinterface: klik op de vervolgkeuzelijst en klik vervolgens op  Create new Virtual Tunnel Interface .

Aanmaken_VTI_in_VPN_Wizard

Stap 3.6. Verstrek de nodige informatie om een nieuwe VTI te creëren. Klik op de knop OK.

- Naam: demovti

- Tunnel-id: 1

- Tunnelbron: buiten (Gigabit Ethernet0/0)

- IP-adres en subnetmasker: 169.254.10.1/24

- Status: klik op de schuifschakelaar voor de ingeschakelde positie

Creëer_VTI_Details

Stap 3.7. Blijf de nodige informatie verstrekken. Klik op de knop VOLGENDE.

- Lokale VPN-toegangsinterface: demovti (gemaakt in stap 3.6.)

- Remote IP-adres: 192.168.10.1

VPN_Wizard_Endpoints_Step1

Stap 3.8. Ga naar IKE-beleid. Klik op de knop BEWERKEN.

Bewerken_IKE_Policy

Stap 3.9. Voor het IKE-beleid kunt u een vooraf gedefinieerde gebruiken of een nieuwe maken door op Nieuw IKE-beleid maken te klikken.

In dit voorbeeld, schakel een bestaand IKE-beleid AES-SHA-SHA en creëer ook een nieuwe voor demo doeleinden. Klik op de knop OK om op te slaan.

- Naam: AES256_DH14_SHA256_SHA256

- Versleuteling: AES, AES256

- DH-groep: 14

- Integriteitshash: SHA, SHA256

- PRF-hash: SHA, SHA256

- Levensduur: 86400 (standaard)

Add_New_IKE_Policy

Inschakelen_Nieuw_IKE_Beleid

Stap 3.10. Ga naar het IPSec-voorstel. Klik op de knop BEWERKEN.

Bewerken_IKE_voorstel

Stap 3.11. Voor het IPSec-voorstel kunt u een vooraf gedefinieerde interface gebruiken of u kunt een nieuwe maken door op Nieuw IPSec-voorstel maken te klikken. In dit voorbeeld, maak een nieuwe voor demo doeleinden. Verstrek de nodige informatie. Klik op de knop OK om op te slaan.

- Naam: AES256_SHA256

- Versleuteling: AES, AES256

- Integriteitshash: SHA1, SHA256

Add_New_IPSec_voorstel

Enable_New_IPSec_voorstel

Stap 3.12. Configureer de voorgedeelde sleutel. Klik op de knop VOLGENDE.

Noteer deze vooraf gedeelde sleutel en configureer deze later op de Site2 FTD.

Configuratie_Vooraf_Gedeeld_Sleutel

Stap 3.13. Herzie de VPN-configuratie. Als er iets moet worden gewijzigd, klikt u op de knop TERUG. Als alles goed is, klikt u op de knop VOLTOOIEN.

VPN_Wizard_Compleet

Stap 3.14. Maak een toegangscontroleregel om verkeer door de FTD te laten passeren. In dit voorbeeld, sta allen voor demodoeleinden toe. Wijzig uw beleid op basis van uw werkelijke behoeften.

Access_Control_Rule_Voorbeeld

Stap 3.15. (Optioneel) Configureer NAT-vrijstellingsregel voor het clientverkeer op FTD als dynamische NAT is geconfigureerd voor de client om toegang tot internet te krijgen. In dit voorbeeld is het niet nodig om een NAT-vrijgestelde regel te configureren omdat er op elke FTD geen dynamische NAT is geconfigureerd.

Stap 3.16. Stel de configuratieveranderingen op.

Implementatie_VPN_configuratie

Configuraties op BGP

Stap 4. Navigeer naar apparaat > routing. Klik op Configuratie weergeven.

View_Routing_Configuration

Stap 5. Klik op het tabblad BGP en klik vervolgens op CREATE BGP OBJECT.

Maken_BGP_Object

Stap 6. Geef de naam van het object op. Navigeren naar Sjabloon en configureren. Klik op de knop OK om op te slaan.

Naam: demobgp

Lijn 1: Als nummer instellen. Klik op als nummer. Handmatige invoer lokaal AS-nummer. In dit voorbeeld, AS-nummer 65511 voor Site1 FTD.

Lijn 2: IP-protocol configureren. Klik op IP-protocol. Selecteer ipv4.

Maken_BGP_Object_ASNumber_Protocol

Lijn 4: Meer instellingen configureren. Klik op Instellingen, kies algemeen en klik vervolgens op Uitgeschakeld tonen.

Creëer_BGP_Object_AddressSetting

Lijn 6: Klik op het pictogram + om de lijn in staat te stellen het BGP-netwerk te configureren. Klik op het netwerkobject. U kunt de bestaande beschikbare objecten zien en er een kiezen. Kies in dit voorbeeld de objectnaam inside_192.168.70.0 (gemaakt in Stap 3.2.).

Aanmaken_BGP_Object_Add_Network

Maken_BGP_Object_Add_Network2

Lijn 11: Klik op het pictogram + om de lijn in staat te stellen om de BGP-buurinformatie te configureren. Klik op buuradres en voer handmatig het peer-BGP buuradres in. In dit voorbeeld is het 169.254.10.2 (VTI IP-adres van Site2 FTD). Klik op as-number en voer handmatig het peer AS-nummer in. In dit voorbeeld is 65510 voor Site2 FTD. Klik op Config-opties en kies eigenschappen.

Creëer_BGP_Object_NeighbourSetting

Lijn 14: Klik op het pictogram + om de lijn in staat te stellen bepaalde eigenschappen van de buur te configureren. Klik op activeringsopties en kies eigenschappen.

Maken_BGP_Object_NeighborSetting_Properties

Lijn 13: Klik op het pictogram + om de lijn in staat te stellen geavanceerde opties weer te geven. Klik op Instellingen en kies Geavanceerd.

Maken_BGP_Object_NeighborSetting_Properties_Advanced

Lijn 18: Klik op opties en kies uitschakelen om MTU-detectie van pad uit te schakelen.

Maken_BGP_Object_NeighborSetting_Properties_Advanced_PMD

Lijn 14, 15, 16, 17: Klik op de -toets om de lijnen uit te schakelen. Klik vervolgens op de knop OK om het BGP-object op te slaan.

Creëer_BGP_Object_DisableLines

Dit is een overzicht van de BGP-instelling in dit voorbeeld. U kunt de andere BGP-instellingen configureren op basis van uw werkelijke behoeften.

Maken_BGP_Object_Final_Overview

Stap 7. Implementeer de BGP-configuratiewijzigingen.

Implementatie_BGP_configuratie

Stap 8. De configuratie voor Site1 FTD is nu voltooid.

Herhaal stap 3 tot en met stap 7 om Site2 FTD VPN en BGP te configureren met de bijbehorende parameters van Site2 FTD.

Configuratieoverzicht van Site1 FTD en Site2 FTD in CLI.

Site1 FTD

Site2 FTD

NGFW versie 7.4.2

interface Gigabit Ethernet0/0

nameif buiten

cts-handleiding

propagate sgt-conservatie-untag

beleid statisch zicht uitgeschakeld vertrouwd

veiligheidsniveau 0

IP-adres 192.168.30.1 255.255.255.0

interface Gigabit Ethernet0/2

nameif inside

veiligheidsniveau 0

IP-adres 192.168.70.1 255.255.255.0

interfacetunnel 1

nameif demovti

IP-adres 169.254.10.1 255.255.255.0

tunnelbroninterface buiten

tunnelbestemming 192.168.10.1

tunnelmodus ipsec ipv4

tunnelbeveiliging ipsec-profiel ipsec_profile|e4084d322d

objectnetwerk OutsideIPv4Gateway

host 192.168.30.3

objectnetwerk inside_192.168.70.0

subnetnummer 192.168.70.0 255.255.255.0

algemene toegangsgroep NGFW_ONBOX_ACL

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 268435457: TOEGANGSBELEID: NGFW_Access_Policy

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 268435457: L5 REGEL: Inside_Outside_Rule

access-list NGFW_ONBOX_ACL geavanceerde trust object-groep |acSvcg-268435457 ifc in elke ifc buiten elk regel-id 268435457 gebeurtenislogboek, beide

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 268435458: TOEGANGSBELEID: NGFW_Access_Policy

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 268435458: L5 REGEL: Demo_allow

toegangslijst NGFW_ONBOX_ACL geavanceerde vergunningsobject-groep |acSvcg-268435458 elk regel-id 268435458-gebeurtenislogboek, zowel

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 1: TOEGANGSBELEID: NGFW_Access_Policy

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 1: L5 REGEL: DefaultActionRule

toegangslijst Geavanceerd NGFW_ONBOX_ACL ontkennen ip elke regel-id 1

router bgp 65511

bgp log-buurwijzigingen

bgp router-id vrf automatisch toewijzen

IPv4-unicast voor adresfamilie

buur 169.254.10.2 op afstand 65510

buur 169.254.10.2 transportpad-mtu-discovery uitschakelen

buur 169.254.10.2 activeren

netwerk 192.168.70.0

geen automatische samenvatting

geen synchronisatie

exit-address-family

route buiten 0.0.0.0 0.0.0 192.168.30.3 1

crypto ipsec ikev2 ipsec-voorstel AES256_SHA256

ESP-encryptie protocol aes-256 aes

protocol ESP-integriteit sha-256 sha-1

crypto ipsec-profiel ipsec_profile|e4084d322d

set ikev2 ipsec-voorstel AES256_SHA256

instellen security-associatie-levensduur kilobytes 4608000

instellen security-associatielevensduur seconden 28800

crypto ipsec security-association pmtu-aging oneindig

crypto ikev2-beleid 1

encryptie aes-256 aes

integriteit sha256 sha

groep 14

prf sha256 sha

levenslange 86400

crypto ikev2-beleid 20

encryptie aes-256 aes-192 aes

integriteit sha512 sha384 sha256 sha

groep 21 20 16 15 14

prf sha512 sha384 sha256 sha

levenslange 86400

crypto ikev2 activeren buiten

groepsbeleid |s2sGP|192.168.10.1 intern

groepsbeleid |s2sGP|192.168.10.1 eigenschappen

VPN-tunnelprotocol ikev2

tunnelgroep 192.168.10.1 type ipsec-l2l

tunnelgroep 192.168.10.1 algemene kenmerken

standaardgroepsbeleid |s2sGP|192.168.10.1

tunnel-groep 192.168.10.1 ipsec-eigenschappen

ikev2-***** voor verificatie op afstand vooraf met gedeelde sleutel

ikev2-***** voor lokale verificatie met gedeelde sleutel

NGFW versie 7.4.2

interface Gigabit Ethernet0/0

nameif buiten

cts-handleiding

propagate sgt-conservatie-untag

beleid statisch zicht uitgeschakeld vertrouwd

veiligheidsniveau 0

IP-adres 192.168.10.1 255.255.255.0

interface Gigabit Ethernet0/2

nameif inside

veiligheidsniveau 0

IP-adres 192 168 50 1255 255 255 00

interfacetunnel 1

nameif-demovti25

IP-adres 169.254.10.2 255.255.255.0

tunnelbroninterface buiten

tunnelbestemming 192.168.30.1

tunnelmodus ipsec ipv4

tunnelbeveiliging ipsec-profiel ipsec_profile|e4084d322d

objectnetwerk OutsideIPv4Gateway

host 192.168.10.3

objectnetwerk inside_192.168.50.0

subnetnummer 192.168.50.0 255.255.255.0

algemene toegangsgroep NGFW_ONBOX_ACL

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 268435457: TOEGANGSBELEID: NGFW_Access_Policy

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 268435457: L5 REGEL: Inside_Outside_Rule

access-list NGFW_ONBOX_ACL geavanceerde trust object-groep |acSvcg-268435457 ifc in elke ifc buiten elk regel-id 268435457 gebeurtenislogboek, beide

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 268435458: TOEGANGSBELEID: NGFW_Access_Policy

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 268435458: L5 REGEL: Demo_allow

toegangslijst NGFW_ONBOX_ACL geavanceerde vergunningsobject-groep |acSvcg-268435458 elk regel-id 268435458-gebeurtenislogboek, zowel

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 1: TOEGANGSBELEID: NGFW_Access_Policy

toegangslijst NGFW_ONBOX_ACL-opmerking regel-id 1: L5 REGEL: DefaultActionRule

toegangslijst Geavanceerd NGFW_ONBOX_ACL ontkennen ip elke regel-id 1

router bgp 65510

bgp log-buurwijzigingen

bgp router-id vrf automatisch toewijzen

IPv4-unicast voor adresfamilie

buur 169.254.10.1 op afstand 65511

buur 169.254.10.1 transportpad-mtu-discovery uitschakelen

buur 169.254.10.1 activeren

netwerk 192.168.50.0

geen automatische samenvatting

geen synchronisatie

exit-address-family

route buiten 0.0.0.0 0.0.0 192.168.10.3 1

crypto ipsec ikev2 ipsec-voorstel AES256_SHA256

ESP-encryptie protocol aes-256 aes

protocol ESP-integriteit sha-256 sha-1

crypto ipsec-profiel ipsec_profile|e4084d322d

set ikev2 ipsec-voorstel AES256_SHA256

instellen security-associatie-levensduur kilobytes 4608000

instellen security-associatielevensduur seconden 28800

crypto ipsec security-association pmtu-aging oneindig

crypto ikev2-beleid 1

encryptie aes-256 aes

integriteit sha256 sha

groep 14

prf sha256 sha

levenslange 86400

crypto ikev2-beleid 20

encryptie aes-256 aes-192 aes

integriteit sha512 sha384 sha256 sha

groep 21 20 16 15 14

prf sha512 sha384 sha256 sha

levenslange 86400

crypto ikev2 activeren buiten

groepsbeleid |s2sGP|192.168.30.1 intern

groepsbeleid |s2sGP|192.168.30.1 eigenschappen

VPN-tunnelprotocol ikev2

tunnel-groep 192.168.30.1 type ipsec-l2l

tunnelgroep 192.168.30.1 algemene kenmerken

standaardgroepsbeleid |s2sGP|192.168.30.1

tunnel-groep 192.168.30.1 ipsec-eigenschappen

ikev2-***** voor verificatie op afstand vooraf met gedeelde sleutel

ikev2-***** voor lokale verificatie met gedeelde sleutel

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.

Stap 1. Navigeer naar de CLI van elk FTD via console of SSH om de VPN-status van fase 1 en fase 2 te verifiëren via de opdrachten tonen crypto ikev2 sa en tonen crypto ipsec sa.

Site1 FTD

Site2 FTD

ftdv742# toont crypto ikev2 sa

IKEv2 SA’s:

Session-id:134, status:UP-ACTIVE, IKE-telling:1, KINDERTELLING:1

Tunnel-id lokale externe FVRF/ivrf-statusrol

563984431 192.168.30.1/500 192.168.10.1/500 Global/Global Ready-responder

Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Leven/actieve tijd: 86400/5145 sec

Kinderslot: lokale keuzeschakelaar 0.0.0.0/0 - 25.255.255.255/65535

externe selector 0.0.0.0/0 - 25.255.255.255/65535

ESP spi in/uit: 0xf0c4239d/0xb7b5b38b

ftdv742# toont crypto ikev2 sa
IKEv2 SA’s:

Session-id:13, status:UP-ACTIVE, IKE-telling:1, KINDERTELLING:1

Tunnel-id lokale externe FVRF/ivrf-statusrol

339797985 192.168.10.1/500 192.168.30.1/500 Initiator voor wereldwijde/wereldwijde voorbereiding

Encr: AES-CBC, keysize: 256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Leven/actieve tijd: 86400/74099 sec

Kinderslot: lokale keuzeschakelaar 0.0.0.0/0 - 25.255.255.255/65535

externe selector 0.0.0.0/0 - 25.255.255.255/65535

ESP spi in/uit: 0xb7b5b38b/0xf0c4239d

ftdv742# toont crypto ipsec sa

interface: demovti

Crypto map tag: __vti-crypto-map-Tunnel1-0-1, volgnummer: 65280, lokaal adres: 192.168.30.1

Protected vrf (ivrf): Wereldwijd

lokaal nummer (adres/masker/poort/poort): (0.0.0.0/0.0.0.0/0/0)

afstandsbediening (adres/masker/poort/poort): (0.0.0.0/0.0.0.0/0/0)

current_peer: 192.168.10.1

#pkts encaps: 5720, #pkts versleutelen: 5720, #pkts overzicht: 5720

#pkts decaps: 5717, #pkts decrypt: 5717, #pkts verifieer: 5717

#pkts gecomprimeerd: 0, #pkts gedecompresseerd: 0

#pkts niet gecomprimeerd: 5720, #pkts comp mislukt: 0, #pkts decomp mislukt: 0

#pre-frag successen: 0, #pre-frag mislukkingen: 0, #fragments gecreëerd: 0

#PMTUs verzonden: 0, #PMTUs rcvd: 0, #decapsulated eieren die hermontage nodig hebben: 0

#TFC rcvd: 0, #TFC verzonden: 0

#Valid ICMP-fouten rcvd: 0, #Invalid ICMP-fouten rcvd: 0

#send fouten: 0, #recv fouten: 0

lokale crypto-endpt: 192.168.30.1/500, externe crypto-endpt: 192.168.10.1/500

pad mtu 1500, ipsec overhead 78(44), media mtu 1500

PMTU tijd resterend (sec): 0, DF-beleid: copy-df

ICMP-foutvalidatie: uitgeschakeld, TFC-pakketten: uitgeschakeld

huidige uitgaande spi: B7B5B38B

huidige inkomende spi: F0C4239D

inkomende esp sas:

Centrifugeren: 0xF0C4239D (4039386013)

SA Staat: actief

transformatie: esp-aes-256 esp-sha-256-hmac geen compressie

in gebruiksinstellingen ={L2L, Tunnel, IKEv2, VTI}

slot: 0, conn_id: 266, crypto-map: __vti-crypto-map-Tunnel1-0-1

als timing: resterende sleutellevensduur (kB/sec): (4285389/3722)

IV-grootte: 16 bytes

Ondersteuning van replay-detectie: Y

Anti-replay bitmap:

0xFFFFFF 0xFFFF

uitgaande bse:

SPI: 0xB7B5B38B (3082138507)

SA Staat: actief

transformatie: esp-aes-256 esp-sha-256-hmac geen compressie

in gebruiksinstellingen ={L2L, Tunnel, IKEv2, VTI}

slot: 0, conn_id: 266, crypto-map: __vti-crypto-map-Tunnel1-0-1

als timing: resterende sleutellevensduur (kB/sec): (4147149/3722)

IV-grootte: 16 bytes

Ondersteuning van replay-detectie: Y

Anti-replay bitmap:

0x00000000 0x00000001

ftdv742# toont crypto ipsec sa

interface: demovti25

Crypto map tag: __vti-crypto-map-Tunnel1-0-1, volgnummer: 65280, lokaal adres: 192.168.10.1

Protected vrf (ivrf): Wereldwijd

lokaal nummer (adres/masker/poort/poort): (0.0.0.0/0.0.0.0/0/0)

afstandsbediening (adres/masker/poort/poort): (0.0.0.0/0.0.0.0/0/0)

current_peer: 192.168.30.1

#pkts encaps: 5721, #pkts versleutelen: 5721, #pkts overzicht: 5721

#pkts decaps: 5721, #pkts decrypt: 5721, #pkts verifieer: 5721

#pkts gecomprimeerd: 0, #pkts gedecompresseerd: 0

#pkts niet gecomprimeerd: 5721, #pkts comp mislukt: 0, #pkts decomp mislukt: 0

#pre-frag successen: 0, #pre-frag mislukkingen: 0, #fragments gecreëerd: 0

#PMTUs verzonden: 0, #PMTUs rcvd: 0, #decapsulated eieren die hermontage nodig hebben: 0

#TFC rcvd: 0, #TFC verzonden: 0

#Valid ICMP-fouten rcvd: 0, #Invalid ICMP-fouten rcvd: 0

#send fouten: 0, #recv fouten: 0

lokale crypto-endpt: 192.168.10.1/500, externe crypto-endpt: 192.168.30.1/500

pad mtu 1500, ipsec overhead 78(44), media mtu 1500

PMTU tijd resterend (sec): 0, DF-beleid: copy-df

ICMP-foutvalidatie: uitgeschakeld, TFC-pakketten: uitgeschakeld

huidige uitgaande spi: F0C4239D

actuele inkomende spi: B7B5B38B

inkomende esp sas:

SPI: 0xB7B5B38B (3082138507)

SA Staat: actief

transformatie: esp-aes-256 esp-sha-256-hmac geen compressie

in gebruiksinstellingen ={L2L, Tunnel, IKEv2, VTI}

slot: 0, conn_id: 160, crypto-map: __vti-crypto-map-Tunnel1-0-1

als timing: resterende sleutellevensduur (kB/sec): (3962829/3626)

IV-grootte: 16 bytes

Ondersteuning van replay-detectie: Y

Anti-replay bitmap:

0xFFFFFF 0xFFFF

uitgaande bse:

Centrifugeren: 0xF0C4239D (4039386013)

SA Staat: actief

transformatie: esp-aes-256 esp-sha-256-hmac geen compressie

in gebruiksinstellingen ={L2L, Tunnel, IKEv2, VTI}

slot: 0, conn_id: 160, crypto-map: __vti-crypto-map-Tunnel1-0-1

als timing: resterende sleutellevensduur (kB/sec): (4101069/3626)

IV-grootte: 16 bytes

Ondersteuning van replay-detectie: Y

Anti-replay bitmap:

0x00000000 0x00000001

Stap 2. Navigeer naar de CLI van elk FTD via console of SSH om de BGP status te verifiëren met behulp van de opdrachten tonen bgp buren en tonen route bgp.

Site1 FTD

Site2 FTD

ftdv742# toont bgp-buren

BGP-buur is 169.254.10.2, vrf single_vf, extern AS-65510, externe link

BGP versie 4, externe router-ID 192.168.50.1

BGP-status = ingesteld, tot 1 d20 uur

Laatste gelezen 00:00:25, laatste schrijven 00:00:45, de tijd van de greep is 180, keepalive interval is 60 seconden

Buursessies:

1 actief, is niet geschikt voor meerdere sessies (uitgeschakeld)

Buurmogelijkheden:

Routevernieuwing: geadverteerd en ontvangen(nieuw)

Vier-octetten ASN Capability: geadverteerd en ontvangen

IPv4 Unicast-adresfamilie: geadverteerd en ontvangen

Multisessievermogen:

Berichtstatistieken:

InQ diepte is 0

OutQ-diepte is 0

Verzonden RCVD

Opent: 1 1

Kennisgevingen: 0 0

Updates: 2.2

Keepalives: 2423 2427

Routevernieuwing: 0,0

Totaal: 2426 2430

De minimale tijd tussen het maken van een advertentie is 30 seconden.

Voor adresfamilie: IPv4 Unicast

Sessie: 169.254.10.2

BGP-tabelversie 3, buurversie 3/0

Grootte van uitvoerwachtrij : 0

Indexnummer 1

1 lid van de updategroep

Verzonden RCVD

Prefixactiviteit: ---- ----

Huidige prefixes: 1 1 (gebruikt 80 bytes)

Totaal: 1 1

Stilzwijgende intrekking: 0 0

Expliciet terugtrekken: 0 0

Gebruikt als beste pad: n.v.t. 1

Gebruikt als multipath: n/a 0

Uitgaand inkomend

Prefixes bij lokaal beleid geweigerd: -------- -------

Bestpath van deze peer: 1 n/a

Totaal: 1 0

Aantal NLRI’s in de verstuurde update: max 1, min 0

Het bijhouden van adressen is ingeschakeld, de RIB heeft een route naar 169.254.10.2

Aansluitingen vastgelegd 1; gevallen 0

Laatste reset nooit

Transport (TCP) pad-mtu-detectie is uitgeschakeld

Naadloze herstart is uitgeschakeld

ftdv742# toont bgp-buren

BGP-buur is 169.254.10.1, vrf single_vf, extern AS-65511, externe link

BGP versie 4, externe router-ID 192.168.70.1

BGP-status = ingesteld, tot 1 d20 uur

Laatste gelezen 00:00:11, laatste schrijven 00:00:52, de tijd van de greep is 180, keepalive interval is 60 seconden

Buursessies:

1 actief, is niet geschikt voor meerdere sessies (uitgeschakeld)

Buurmogelijkheden:

Routevernieuwing: geadverteerd en ontvangen(nieuw)

Vier-octetten ASN Capability: geadverteerd en ontvangen

IPv4 Unicast-adresfamilie: geadverteerd en ontvangen

Multisessievermogen:

Berichtstatistieken:

InQ diepte is 0

OutQ-diepte is 0

Verzonden RCVD

Opent: 1 1

Kennisgevingen: 0 0

Updates: 2.2

Keepalives: 2424 2421

Routevernieuwing: 0,0

Totaal: 2427 2424

De minimale tijd tussen het maken van een advertentie is 30 seconden.

Voor adresfamilie: IPv4 Unicast

Sessie: 169 254 10.1

BGP-tabelversie 9, buurversie 9/0

Grootte van uitvoerwachtrij : 0

Indexnummer 4

4 update-groep lid

Verzonden RCVD

Prefixactiviteit: ---- ----

Huidige prefixes: 1 1 (gebruikt 80 bytes)

Totaal: 1 1

Stilzwijgende intrekking: 0 0

Expliciet terugtrekken: 0 0

Gebruikt als beste pad: n.v.t. 1

Gebruikt als multipath: n/a 0

Uitgaand inkomend

Prefixes bij lokaal beleid geweigerd: -------- -------

Bestpath van deze peer: 1 n/a

Totaal: 1 0

Aantal NLRI’s in de verstuurde update: max 1, min 0

Het bijhouden van adressen is ingeschakeld, de RIB heeft een route naar 169.254.10.1

Aansluitingen vastgelegd 4; gevallen 3

Laatst gereset 1d21h, vanwege interfaceklep van sessie 1

Transport (TCP) pad-mtu-detectie is uitgeschakeld

Naadloze herstart is uitgeschakeld

ftdv742# toont route bgp

Codes: L - lokaal, C - aangesloten, S - statisch, R - RIP, M - mobiel, B - BGP

D - EIGRP, EX - EIGRP extern, O - OSPF, IA - OSPF interarea

N1 - OSPF NSSA extern type 1, N2 - OSPF NSSA extern type 2

E1 - OSPF extern type 1, E2 - OSPF extern type 2, V - VPN

i - IS-IS, su - IS-IS-samenvatting, L1 - IS-IS niveau-1, L2 - IS-IS niveau-2

ia - IS-IS interarea, * - kandidaat-standaard, U - statische route per gebruiker

o - ODR, P - periodieke gedownloade statische route, + - replicated route

SI - Statische InterVRF, BI - BGP InterVRF

Gateway of last resort is 192.168.30.3 naar netwerk 0.0.0.0

B 192.168.50.0 255.255.255.0 [20/0] via 169.254.10.2, 1d20h

ftdv742# toont route bgp

Codes: L - lokaal, C - aangesloten, S - statisch, R - RIP, M - mobiel, B - BGP

D - EIGRP, EX - EIGRP extern, O - OSPF, IA - OSPF interarea

N1 - OSPF NSSA extern type 1, N2 - OSPF NSSA extern type 2

E1 - OSPF extern type 1, E2 - OSPF extern type 2, V - VPN

i - IS-IS, su - IS-IS-samenvatting, L1 - IS-IS niveau-1, L2 - IS-IS niveau-2

ia - IS-IS interarea, * - kandidaat-standaard, U - statische route per gebruiker

o - ODR, P - periodieke gedownloade statische route, + - replicated route

SI - Statische InterVRF, BI - BGP InterVRF

Gateway of last resort is 192.168.10.3 naar netwerk 0.0.0.0

B 192.168.70.0 255.255.255.0 [20/0] via 169.254.10.1, 1d20h

Stap 3. Site1-client en Site2-client pingen elkaar met succes.

Site1-client:

Site1_Client#ping 192.168.50.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.50.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 31/56/90 ms

Site2-client:

Site2_Client#ping 192.168.70.2

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.70.2, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 12/39/71 ms

Problemen oplossen

Deze sectie bevat informatie die u kunt gebruiken om problemen met de configuratie te troubleshooten.

U kunt deze debug-opdrachten gebruiken om de VPN-sectie probleemoplossing te bieden.

debug crypto ikev2 platform 255

debug crypto ikev2 protocol 255

debug crypto ipsec 255

debug vti 255

U kunt deze debug commando's gebruiken om de BGP sectie op te lossen.

ftdv742# debug ip bgp ?

A.B.C.D    BGP neighbor address

all All    address families

events     BGP events

import     BGP path import across topologies, VRFs or AFs in BGP Inbound information

ipv4       Address family

ipv6       Address family

keepalives BGP keepalives

out        BGP Outbound information

range      BGP dynamic range

rib-filter Next hop route watch filter events

updates    BGP updates

vpnv4      Address family

vpnv6      Address family

vrf        VRF scope

<cr>