Azure Dual ISP vWAN-connectiviteit configureren op Secure Firewall

Inleiding

In dit document wordt beschreven hoe u Microsoft Azure Virtual WAN (vWAN) Site-to-Site VPN-connectiviteit configureert voor Secure Firewall met behulp van dubbele WAN-koppelingen.

Voorwaarden

Vereisten

Cisco adviseert kennis van deze onderwerpen:

• Microsoft Azure Virtual WAN (vWAN)
• Cisco Secure Firewall Management Center (FMC)
• Cisco Secure Firewall Threat Defense (FTD)

Zorg ervoor dat deze componenten beide in eerste instantie zijn geconfigureerd in de Azure-omgeving:

• Microsoft Azure vWAN Instance
• Microsoft Azure vWAN Hub

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Secure FTD versie 10.0
• Cisco Secure FMC versie 10.0
• Microsoft Azure vWAN

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Wanneer de FTD-tak twee interfaces heeft die naar buiten gericht zijn op Internet Service Provider (ISP), kan elk ervan redundant en actief verbinding maken met Azure vWAN, zodat elke ISP-link wordt gebruikt. Azure vWAN maakt twee IPsec-tunnels per sitelink — één naar Azure Hub Instance0 en één naar Instance1 — zodat elke ISP-interface twee tunnels beëindigt. Op beide ISP-koppelingen resulteert dit in vier IPsec-tunnels die eindigen op de FTD.

Azure Instances werkt in de actieve/actieve modus voor werklastverdeling en redundantie, dus de FTD weerspiegelt dit door middel van Equal-Cost Multi-Pathing (ECMP)-configuratie in alle vier IPsec-tunnels. Met behulp van aangepaste APIPA-adressen (Automatic Private IP Addressing) worden externe Border Gateway Protocol (eBGP)-buurten met afzonderlijke ASN's (Private Autonomous System Numbers) ingesteld over elk van de vier tunnels. Dit maakt de BGP-multipadfunctionaliteit mogelijk en biedt meerdere redundante paden naar elk paar exemplaren van Azure Hub Site Link.

Diagram

Het diagram toont de topologie van de configuratie die in dit artikel wordt beschreven. De dual Direct Internet Access (DIA)-linkvariant haalt beide Azure-tunnels uit twee externe interfaces op de FTD.

Dual Direct Internet Access (DIA)-koppelingen (Azure + FTD Load-Balancing/Redundancy)

Topologie voor dubbele directe internettoegang

Configureren

Fase 1: Azure vWAN VPN-siteconfiguratie

Stap 1: Azure vWAN VPN-site maken (extern FTD-apparaat)

1) Zoek naar vWAN in het Azure-zoekveld en klik op Virtuele WAN's om de bestaande Azure vWAN-hub te openen. Navigeer vervolgens naar Connectivity > Hubs en klik op de bestaande Azure vWAN Hub.

Zoekopdracht voor virtueel WAN

Bestaande virtuele WAN-hub selecteren

2) Klik op Connectiviteit > VPN (van site naar site) en klik op + Nieuwe VPN-site maken

Nieuwe virtuele WAN-site maken

Opmerking: witruimte die waarden in verschillende velden in de afbeeldingen dekt, is bedoeld voor de publicatie van dit document.

3) Voer de waarden in de vereiste velden in. Als u klaar bent, klikt u op Volgende: Links > om verder te gaan.

Algemene instellingen voor VPN-siteconfiguratie

4) Voer de vereiste linkgegevens in. Het Link BGP-adres en de Link ASN zijn het binnentunnel BGP Layer 3-bestemmingsadres en het BGP AS-nummer aan de aftakkant waarmee de wijk wordt gevormd via de site-to-site tunnels. Het Link BGP-adres is een niet-overlappend subnetadres (/32) buiten het geconfigureerde subnet Hub-privéadresruimte, dat Azure installeert als een /32-route om te bereiken als een BGP-buurman. Twee loopback-interfaces worden in latere secties op de FTD gemaakt om het BGP-adres van de koppeling voor elk van de dubbele sitelinks weer te geven. Het IP-adres van de koppeling/Volledig gekwalificeerde domeinnaam (FQDN) is het IP-adres van de buitenste header Layer 3-bestemming van het verkeer naar de filiaalsite dat nodig is om IP-beveiliging (IPsec)/Internet Key Exchange versie 2 (IKEv2)-connectiviteit te bieden. Ga naar de volgende stap wanneer u klaar bent door op Volgende te klikken: Review + create >.

Opmerking: Controleer of u specifieke Azure-documentatie controleert als u adressen gebruikt die variëren van 169.254.21.0 tot 169.254.22.255 voor tunneladressen: BGP APIPA-adressen kiezen.

Parameters voor sitekoppelingen configureren

5) Zodra de informatie is bevestigd zoals bedoeld, klikt u op Aanmaken. 

Nieuwe VPN-site bekijken en maken

6) Als de implementatie van de VPN-site is voltooid, gaat u terug naar de vWAN-hubconfiguratie.

Voortgang implementatie virtuele WAN-site

Zoekopdracht voor virtueel WAN

Stap 2: Azure APIPA-gatewayparameters configureren

Azure vereist extra configuratie voor Automatic Private IP Addressing (APIPA)-adressen binnen de IPv4-adresruimte van 169.254.0.0/16.

1) Voer de bestaande hub in via Connectiviteit > Hubs.

Navigeer naar Virtual WAN Hub Connectivity

2) Navigeer nogmaals naar Connectivity > VPN (Site to Site) en klik op de hyperlink Gateway Configuration.

Hyperlink Configuratie toegangspoort

3) Er verschijnt een zijpaneel om VPN Gateway te bewerken. Voer onder VPN Gateway Instance0 en VPN Gateway Instance1 twee unieke aangepaste BGP IP-adressen in die fungeren als naburige IP's voor elke instantie voor BGP-buurten via de IPsec-tunnels. Dit is nodig als u ervoor kiest om APIPA-adressering te gebruiken binnen deze topologie. Voer in het veld met het label Peer Address het IP van de buur van BGP in om de Azure-instanties te bereiken vanuit de FTD. Azure probeert geen BGP-vestiging met de FTD als APIPA-adressering in gebruik is, vandaar dat de FTD probeert eBGP buurvestiging over elke tunnel met Azure.

Het totaal komt uit op 2 links x 2 impliciete tunnels; één tunnel naar Instance0 en Instance1 per ISP-link; het totaal komt uit op vier IPsec-tunnels met BGP-buurten tussen Azure en de twee FTD ISP-interfaces.

Deze adressen moeten uniek zijn en in deze demonstratie moet het tweede en laatste hostadres in de /30-subnetten die aan elke tunnel zijn toegewezen, op de FTD worden geconfigureerd voor gebruik. Klik na configuratie op Bewerken. 

Opmerking: controleer of u specifieke Azure-documentatie gebruikt als u adressen gebruikt die variëren van 169.254.21.0 tot 169.254.22.255 voor tunneladressen: BGP APIPA-adressen kiezen

Aangepaste BGP IP-adressen voor VPN Gateway bewerken

Opmerking: Zoals Azure opmerkt, kan dit tot 30 minuten of meer duren om te updaten.

Stap 3: Azure vWAN Site VPN-parameters configureren

1) Klik op de pagina Connectiviteit > VPN (Site naar site) binnen de Azure vWAN Hub-configuratie en klik op de X om de Hub Association: Connected-filtering te wissen om losgekoppelde VPN-sites te bekijken.

Verbindingsfilters Hub-koppeling wissen

2) Schakel het selectievakje naast de onlangs geprovisioneerde VPN-site in en klik op VPN-site verbinden.

VPN-siteactie verbinden

3) Configureer de gewenste vooraf gedeelde sleutel (PSK) en configureer de gewenste IPsec-parameters door op de optie Aangepaste schakelaar te klikken. Deze IPSec-parameters moeten in latere stappen overeenkomen met de FMC/FTD-configuratie. Klik op Verbinden om op te slaan.

Opmerking: Diffie-Hellman (DH) Group 24 ondersteuning werd verwijderd in FTD/FMC versie 6.7.

Vooraf gedeelde sleutel- en IPsec-parameters configureren

4) Controleer of de VPN-siteprovisioning is voltooid.

Status VPN-siteprovisioning bevestigen

Stap 4: Aangepaste BGP APIPA inschakelen en activeren op VPN-site linkinstanties

1) Vernieuw de VPN-pagina (Site naar site) en bevestig dat de kolom Verbindingsvoorziening het succes aangeeft, waarmee u op de ellips kunt klikken en kunt klikken op de VPN-verbinding bewerken naar deze hub vervolgkeuzelijst.

Verbindingssucces valideren en VPN-verbinding bewerken

2) Klik om Link Connection 1 (ISP1) te configureren en voer de toepasselijke Pre-Shared Key (PSK) opnieuw in, en zorg ervoor dat u op de Enable toggle naast het Custom BGP IP Address klikt en toewijst wat het resterende hostadres zou zijn van de /30 subnetten die de interne-tunnelbestemming IP-adresveldwaarden zullen zijn van de BGP IP-header die door de FTD's wordt gegenereerd.

In wezen heeft ISP1 VTI Tunnel1 naar Azure Instance0 een adrestoewijzing van 169.254.21.1/30 en de tweede ISP1 VTI Tunnel2 die eindigt op de FTD heeft een IP van 169.254.22.1/30 toegewezen voor Instance1. 

Klik op Volgende: Koppelingsverbinding 2> om door te gaan naar ISP 2-koppelingsparameters.

Opmerking: Het is mogelijk dat u uw PSK opnieuw moet invoeren en opnieuw op de optie Uitgelijnde PFS-groep moet klikken in het vervolgkeuzemenu in Azure.

Verbinding koppelen configureren Eén aangepaste BGP-instellingen

3) Herhaal de voorgaande stappen en pas de toepasselijke parameters toe onder Link Connection 2 (ISP2-link). Klik na voltooiing op Aanmaken.

Koppelingsverbinding configureren Twee aangepaste BGP-instellingen

4) Meldingen in Azure UI tonen de updatetaak die begint.

Kennisgeving voor het starten van Azure Update Task

Stap 5: Het configuratiebestand van de VPN-site downloaden

1) Kies in dezelfde VPN-pagina (Site to Site) in Azure het ellipsiepictogram helemaal rechts van de geconfigureerde VPN-site en kies de optie VPN-siteconfiguratiebestand downloaden.

VPN-siteconfiguratiebestandsoptie downloaden

2) Klik hier om de hyperlink te downloaden.

Configuratiebestand VPN-site downloaden

Fase 2: FTD configureren voor dubbele ISP-connectiviteit met Azure vWAN

Stap 1: Analyseer de gedownloade VPN-configuratie

1) Open het gedownloade configuratiebestand en er verschijnt een vergelijkbare JSON-uitvoer (JavaScript Object Notation). De uitvoer toont een van de twee objecten die in het bestand zijn geschreven. Deze informatie biedt een nuttige context voor FTD-configuratie.

Opmerking: voor een betere scherpstelling worden verschillende irrelevante objecten en sleutel-/waardeparen gesnoeid voor een kortere duur.

Opmerking: ISP-Link-1 JSON object bestellen in het gedownloade bestand is omgekeerd. Ellipsis in de code-uitvoer vertegenwoordigt het ISP-2-Link-object met de toepasselijke configuratie.

...
{
    "configurationVersion": {
      "LastUpdatedTime": "2026-09-25T20:20:26.7658453Z",
      "Version": "15221e61-4e2c-42f5-b9e4-96d674f5a9a3"
    },
    "vpnSiteConfiguration": {
      "Name": "Dual-ISP-Site",
      "IPAddress": "FTD_ISP1_WAN_IP",
      "BgpSetting": {
        "Asn": 65532,
        "BgpPeeringAddress": "169.254.21.100",
        "PeerWeight": 32768
      },
      "LinkName": "ISP-1-Link"
    },
    "vpnSiteConnections": [
      {
        "gatewayConfiguration": {
          "IpAddresses": {
            "Instance0": "Inst0IP",
            "Instance1": "Inst1IP"
          },
          "BgpSetting": {
            "Asn": 65515,
            "CustomBgpPeeringAddresses": {
              "Instance0": [
                "169.254.21.22",
                "169.254.21.2"
              ],
              "Instance1": [
                "169.254.22.22",
                "169.254.22.2"
              ]
            },
          }
        },
        "connectionConfiguration": {
          "IsBgpEnabled": true,
          "PSK": "PSK",
          "IPsecParameters": {
            "IpsecEncryption": "GCMAES256",
            "IpsecIntegrity": "GCMAES256",
            "IkeEncryption": "GCMAES256",
            "IkeIntegrity": "SHA384",
            "PfsGroup": "None",
            "DhGroup": "DHGroup14",
            "SALifeTimeInSeconds": 27000
          }
        }
      }
    ]
  }
]

Houd deze uitvoer als referentie bij het voltooien van de stappen.

Stap 2: Link BGP Update Source Loopback-interfaces configureren 

Voor BGP-configuratievermeldingen in het kader van het FTD BGP-proces (geconfigureerd in latere stappen op de FTD) is een stabiele bron nodig die de corresponderende BGP-IP-adressen van de koppeling in Azure Site Link-configuratie vertegenwoordigt.

1) Ga naar Apparaten > Apparaatbeheer.

Navigeer naar Apparaatbeheer in Firepower Management Center

Opmerking: in dit lab wordt gebruikgemaakt van het door de cloud geleverde Firewall Management Center (cdFMC). De stappen blijven echter hetzelfde voor lokale FMC.

 2) Klik op de FTD die u configureert als het filiaal / site VPN-apparaat met dubbele ISP-connectiviteit.

Selecteer de FTD voor configuratie-implementatie

3) Klik op het vervolgkeuzemenu Interfaces toevoegen en klik op Loopback Interface.

Loopback-interface aan apparaat toevoegen

 4) Voer een naam van de loopback-interface in, controleer of het selectievakje Ingeschakeld is ingeschakeld en voer een Loopback-ID in. Voer indien gewenst een beschrijving in. Klik na voltooiing op het tabblad IPv4. 

Loopback-interfacegegevens en IPv4-adres configureren

5) Voer het loopback-IP-adres in om het BGP Link-IP-adres te zijn dat in eerdere stappen is geconfigureerd voor de ISP1-sitelink in Azure. Dit IP-adres wordt gebruikt als de BGP-updatebron voor de buurten die zijn geconfigureerd tussen de FTD- en Azure-instanties via ISP1.

Opmerking: U kunt verwijzen naar de waarde die eerder is gedefinieerd in de gedownloade VPN-configuratie JSON onder vpnSiteConfiguration.BgpSetting.BgpPeeringAddress for ISP1

Voer het IPv4-adres in en klik op OK

6) Herhaal substappen c-e in deze reeks voor de ISP2 BGP Loopback-configuratie.

Eerste en tweede loopback-interfaces maken

7) Sla uw configuratie op.

Wijzigingen opslaan

Stap 3: Fase 1-/fase 2-beleidsobjecten configureren

1) Om de bijpassende IKEv2/IPsec-configuratie in de FMC naar FTD VPN-topologieën te configureren, bladert u naar Beheer > Objecten, bladert u in het navigatiemenu naar VPN en vouwt u het submenu uit. Configureer het IKEv2 Fase 1-beleid door het IKEv2-beleid in het menu te kiezen en op IKEv2-beleid toevoegen te klikken.

Nieuw IKEv2-beleidsobject maken

2) Voer een naam in voor het nieuwe IKEv2-beleid, kies Prioriteit en/of Levensduur. Zorg ervoor dat het beleid aan beide uiteinden van de tunnel overeenkomt met betrekking tot integriteit, codering, pseudo-willekeurige functie (PRF) en DH Group. Kies welke algoritme/groep-elementen overeenkomen met de Azure-configuratie en klik op Toevoegen.

Opmerking: u kunt deze exacte waarden in het gedownloade configuratiebestand raadplegen op vpnSiteConnections[0].connectionConfiguration.IPsecParameters

IKEV2-beleid maken

3) Als de configuratie is voltooid, klikt u op Opslaan. 

IKEv2-beleid opslaan

4) Configureer Fase 2/IPsec-parameters in het submenu IKEv2 IPsec Proposal en klik op IKEv2 IPsec Proposal toevoegen.

IKEv2 IPsec-voorstel maken

5) Noem het IKEv2 IPsec-voorstel en zorg ervoor dat dezelfde instellingen worden uitgelijnd. Als u klaar bent, klikt u op Opslaan.

Geef het IKEv2 IPsec-voorstel een naam en klik op Opslaan

Stap 4: Virtuele tunnelinterfaces (VTI) configureren

1) Navigeer naar Apparaten > Apparaatbeheer.

Navigeer naar Apparaatbeheer in Firepower Management Center

 2) Klik op de FTD die u configureert als het filiaal / site VPN-apparaat met dubbele ISP-connectiviteit.

Selecteer de FTD voor configuratie-implementatie

3) Klik op het vervolgkeuzemenu Interfaces toevoegen en kies Virtual Tunnel Interface (VTI).

Virtuele tunnelinterface maken

4) Voer de tunnelinformatie in. Zorg ervoor dat het selectievakje Ingeschakeld is ingeschakeld, dat de naam is ingevoerd (desgewenst ook de beschrijving) en dat de optionele beveiligingszone is gekozen. Lijn de juiste ISP-interface van de bovenliggende interface uit om de VTI onder te configureren en configureer het juiste IP-adres voor de IPsec-connectiviteit in de binnentunnel voor de VTI. Druk op OK als u klaar bent.

Tip: Referentiediagram toont verdere context over mogelijke VPN-configuratie voor Azure dual-WAN-connectiviteit met FTD.

Instellingen voor virtuele tunnelinterface maken

 5) Configureer 3 extra VTI's voor ISP1- en ISP2-interfaces van moedermaatschappijen.

Extra virtuele tunnelinterfaces configureren

f) Zorg ervoor dat u op Opslaan klikt om uw wijzigingen op te slaan.

Wijzigingen opslaan

Stap 5: IPsec VPN-topologieën aanbieden

1) Navigeer naar Beheer > Beveiligde verbindingen > Site-to-Site VPN & SD-WAN.

Site-naar-site VPN- en SD-WAN-verbindingen beheren

2) Klik op de eerste hyperlink voor de VPN-topologieconfiguratie in het midden van de eerste uitvoer of klik op de knop Toevoegen.

Nieuwe VPN-topologieconfiguratie toevoegen

3) Voer een topologienaam in voor de eerste tunnel via ISP1-koppeling naar Azure Instance0. Klik op de keuzerondje Route-Based VPN en klik op het topologietype Peer to Peer VPN. Klik na voltooiing op Aanmaken.

Type routegebaseerde VPN-topologie configureren

4) Kies eerst het Node A-apparaat en onder de vervolgkeuzelijst Apparaat die de FTD aangeeft die de VPN-tunnels van Azure beëindigt. Nadat de wizard de beschikbare VTI's van het apparaat heeft opgehaald, selecteert u de VTI die geschikt is voor de bovenliggende interface en instantie die u configureert in het vervolgkeuzemenu. In het menu Node B Device kiest u de Azure-zijde als Extranet-knooppunt in de VPN-topologieconfiguratie. Zorg ervoor dat u een vriendelijke naam configureert voor knooppunt B en zorg ervoor dat u het juiste IP-adres voor eindpunt invoert. Klik na voltooiing op het tabblad IKE om de fase 1-tunnelconfiguratie te implementeren. 

Opmerking: U kunt de waarden voor het IP-adres van de instantie in het gedownloade configuratiebestand raadplegen op vpnSiteConnections[0].gatewayConfiguration.IpAddresses.Instance0 en vpnSiteConnections[0].gatewayConfiguration.IpAddresses.Instance1 

Knooppunt A- en knooppunt B-topologieeindpunten definiëren

5) Blader in het navigatiemenu naar IKEv2-instellingen en klik op het potloodpictogram om het beleid te bewerken naar het onlangs geconfigureerde IKEv2-beleid. Kies vervolgens de optie Handmatige sleutel vooraf in het vervolgkeuzemenu Verificatietype en voer de PSK in die eerder in Azure is geconfigureerd. Klik na voltooiing op het tabblad IPsec om de IPsec-tunnelparameters van fase 2 te configureren.

Opmerking: U kunt de vooraf gedeelde sleutel in het gedownloade configuratiebestand raadplegen op vpnSiteConnections[0].connectionConfiguration.IPsecParameters.PSK

IKEv2-instellingen en verificatiesleutel bewerken

6) Klik op het potloodpictogram naast de IKEv2 IPsec Proposal Transform Set en kies de eerder geconfigureerde IPsec-beleidsparameters. Zorg ervoor dat u de waarde Levensduur wijzigt om deze aan te passen aan de Azure vWAN VPN-instellingen. Zodra de geconfigureerde gegevens zijn bevestigd, klikt u op Opslaan.

Opmerking: U kunt de levensduurwaarde in het gedownloade configuratiebestand raadplegen op vpnSiteConnections[0].connectionConfiguration.IPsecParameters.SALifeTimeInSeconds

Levensduur IPsec-voorstel configureren

7) Herhaal de vorige substappen binnen stap 5 om de andere Azure Tunnels te maken in ISP1 Instance1, ISP2 Instance0 en ISP2 Instance1.

Aanvullende site naar site VPN-topologieën maken

Stap 6: Valideren van VPN-topologieën

Voer diagnostische cli voor systeemondersteuning in, typ en druk op enter (alleen-lezen CLI).

1) Controleer de connectiviteit van de IKE-tunnel in fase 1.

`show crypto isakmp sa | i UP|READY`

2) Controleer de IPsec fase 2-connectiviteit.

show crypto ipsec sa | i int|current_peer|pkts

Opmerking: bij het bekijken van IPsec Security Associations (SA) -uitvoer en pkts nemen decaps en pkts decrypt-tellers toe, maar pkts encaps en pkts encrypt zijn dat niet, dit wordt in dit scenario verwacht. Azure probeert BGP-buurten te vormen via de Hub Private IP Space-adressen en Azure start geen onderhandelingen als het naburige einde APIPA BGP-adressen gebruikt. Het is de verantwoordelijkheid van het apparaat dat verbinding maakt met Azure om BGP-onderhandelingen te starten wanneer aangepaste APIPA wordt gebruikt.

3) Controleer de Layer 2-connectiviteit.

show arp

4) Controleer IP-routering.

show route

5) Capture uitvoeren op ISP1 en ISP2 interfaces.

capture isp1 interface ISP1 match udp any any eq 500  
capture isp1 interface ISP1 match udp any any eq 4500  
capture isp1 interface ISP1 match esp any any  
...  
show cap  
show cap isp1  
show cap isp2

6) Azure-verificatie - Navigeer naar vWAN Hub > Connectiviteit.> VPN-sites > Kies de geconfigureerde site.

Verificatie van Azure Link Connectivity

Stap 7: ECMP configureren

1) Navigeer naar Beheer > Apparaten > Apparaatbeheer en klik op de FTD.

Navigeer naar Apparaatbeheer in Firepower Management CenterSelecteer de FTD voor configuratie-implementatie

2) Klik op het tabblad Routering en kies ECMP.

Configuratie-instellingen voor meerdere paden voor gelijke kosten

3) Klik op Toevoegen.

Configuratie-instellingen voor meerdere paden voor gelijke kosten toevoegen

4) Geef de ECMP-zone een naam en klik op de beschikbare VTI-interfaces, klik vervolgens op de knop Toevoegen om deze toe te passen op de kolom Geselecteerde interfaces en klik op OK.

Selecteer interfaces voor de Equal Cost Multi Path Zone

5) Zorg ervoor dat u uw wijzigingen opslaat.

Wijzigingen opslaan

Stap 8: BGP configureren

1) Schakel het BGP-proces in op de FTD onder Routing > Algemene instellingen > BGP. Schakel het selectievakje BGP inschakelen in en voer het AS-nummer in dat eerder is geconfigureerd in fase 1, stap 1d. Navigeer naast Routing > BGP > IPv4.

Het Border Gateway Protocol-proces inschakelen onder Algemene instellingen

2) Zorg ervoor dat u het selectievakje IPv4 inschakelen voor het BGP-proces aanvinkt en klik op Buurman om BGP-buren in Azure te configureren.

IPv4 Border Gateway-protocolproces inschakelen

3) Klik op + Toevoegen.

Nieuw Border Gateway-protocol toevoegen

4) Voer de ISP1 Instance0 BGP peering-informatie in, verwijs naar de genoteerde BGP AS van de vWAN Hub en voer deze in als de Neighbor Remote AS, en voeg desgewenst een Beschrijving toe. Klik op Advanced (Geavanceerd). 

Opmerking: Zorg ervoor dat u de BGP-updatebron kiest om te verwijzen naar de Loopback voor VTI-interfaces op de FTD die is toegewezen aan de ISP1-koppeling die is geconfigureerd in Azure.

Peeringgegevens van randgateway-protocol configureren

5) In het Geavanceerde menu van de BGP Neighbor configuratie op FTD, kunt u het aantal Time To Live (TTL) hop van eBGP standaard van 1 hop naar een variabel nummer wijzigen. Azure BGP-eindpunten zijn niet rechtstreeks via de tunnel verbonden met Azure-infrastructuur en er zijn meestal meer sprongen naar het eindpunt dan de standaard eBGP TTL van 1-vergunningen. Klik op OK. 

Geavanceerde instellingen voor het Border Gateway Protocol Neighbor

6) Herhaal substappen 3-5 om Tunnel2 voor ISP1 Instance1 te configureren.

7) Herhaal substappen 3-5 tweemaal om de ISP2 Instance0/Instance1 BGP peering informatie te configureren.

Opmerking: Zorg ervoor dat u de uitgelijnde BGP-updatebron kiest die verwijst naar de Loopback voor VTI-interfaces op de FTD die is toegewezen aan de ISP2 Link die is geconfigureerd in Azure.

Configuratie ISP2-instantie 1 BGP-buurman

Configuratie ISP 2-instantie 2 BGP-buurman

Resultaatconfiguratie BGP buurman beëindigen

Klik na voltooiing op Opslaan. 

Wijzigingen opslaan

Standaard installeert BGP slechts één beste pad in de routeringstabel, hoewel ECMP is geconfigureerd voor alle VTI's naar Azure. BGP-multipad moet afzonderlijk worden ingeschakeld, zodat beide aangeleerde paden tegelijkertijd worden geïnstalleerd en gebruikt.

Stap 9: eBGP-multipad configureren

1) Navigeer naar Routing > BGP > IPv4, klik op het tabblad General en klik op het potloodpictogram naast Forward Packets Over Multiple Paths.

Pakketten doorsturen via meerdere paden instellen

2) Wijzig de standaardwaarde van het veld Aantal paden van 1 naar 4. Klik op OK.

Vooruitpakketten wijzigen via meerdere paden instellen

3) Zorg ervoor dat u de wijzigingen opslaat en implementeert.

Controleren/Problemen oplossen

> system support diagnostic-cli
Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.
ftd#
ftd#
ftd# show bgp summary  
BGP router identifier 169.254.22.100, local AS number 65532  
BGP table version is 29, main routing table version 29  
2 network entries using 400 bytes of memory  
8 path entries using 640 bytes of memory  
2 multipath network entries and 8 multipath paths  
1/1 BGP path/bestpath attribute entries using 208 bytes of memory  
1 BGP AS-PATH entries using 24 bytes of memory  
0 BGP route-map cache entries using 0 bytes of memory  
0 BGP filter-list cache entries using 0 bytes of memory  
BGP using 1272 total bytes of memory  
BGP activity 4/2 prefixes, 16/8 paths, scan interval 60 secs

Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd  
169.254.21.2 4 65515 20 17 29 0 0 00:13:14 2  
169.254.22.2 4 65515 20 20 29 0 0 00:13:22 2  
169.254.21.22 4 65515 19 21 29 0 0 00:13:19 2  
169.254.22.22 4 65515 20 19 29 0 0 00:13:17 2
ftd# 

ftd# show bgp 

BGP table version is 29, local router ID is 169.254.22.100
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale, m multipath
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop        Metric LocPrf Weight  Path
*m 10.2.0.0/16      169.254.21.2                       0  65515 i
*m                  169.254.22.22                      0  65515 i
*m                  169.254.21.22                      0  65515 i
*>                  169.254.22.2                       0  65515 i
*m 172.27.0.0       169.254.21.2                       0  65515 i
*m                  169.254.22.22                      0  65515 i
*m                  169.254.21.22                      0  65515 i
*>                  169.254.22.2                       0  65515 i

ftd# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 172.31.3.33 to network 0.0.0.0

B        10.2.0.0 255.255.0.0 [20/0] via 169.254.22.22, 00:20:53
                              [20/0] via 169.254.22.2, 00:20:53
                              [20/0] via 169.254.21.22, 00:20:53
                              [20/0] via 169.254.21.2, 00:20:53
B        172.27.0.0 255.255.0.0 [20/0] via 169.254.22.22, 00:20:53
                                [20/0] via 169.254.22.2, 00:20:53
                                [20/0] via 169.254.21.22, 00:20:53
                                [20/0] via 169.254.21.2, 00:20:53

ftd# show conn all | include TCP|179
TCP ISP2-Inst-0  169.254.21.22:179 bgpLo-ISP2  169.254.22.100:1603, idle 0:00:10, bytes 1517, flags UIO 
TCP ISP2-Inst-1  169.254.22.22:179 bgpLo-ISP2  169.254.22.100:41883, idle 0:00:01, bytes 1486, flags UIO 
TCP ISP1-Inst-1  169.254.22.2:179 bgpLo-ISP1  169.254.21.100:3804, idle 0:00:53, bytes 1467, flags UIO 
TCP ISP1-Inst-0  169.254.21.2:179 bgpLo-ISP1  169.254.21.100:61287, idle 0:00:04, bytes 1331, flags UIO 
TCP bgpLo-ISP1  169.254.22.2:179 NP Identity Ifc  169.254.21.100:3804, idle 0:00:53, bytes 751, flags UI 
TCP bgpLo-ISP2  169.254.21.22:179 NP Identity Ifc  169.254.22.100:1603, idle 0:00:10, bytes 844, flags UI 
TCP bgpLo-ISP2  169.254.22.22:179 NP Identity Ifc  169.254.22.100:41883, idle 0:00:01, bytes 751, flags UI 
TCP bgpLo-ISP1  169.254.21.2:179 NP Identity Ifc  169.254.21.100:61287, idle 0:00:04, bytes 639, flags UI