安全存取網路通道中的BGP路由通告差異

• 問題
• 環境
• 解析
• 步驟 1:確定特定的網路字首
• 步驟 2:驗證時間軸和圖案
• 步驟 3:記錄BGP對等體配置
• 步驟 4:檢視最近的配置更改
• 步驟 5:檢查本地路由表
• 步驟 6:驗證安全訪問組織配置
• 原因
• 相關內容

---

問題

使用邊界網關協定(BGP)的安全訪問站點到站點網路隧道遇到路由通告差異，其中BGP對等體將改為將配置的/23網路字首獲知為/24字首。預期路由在安全訪問中配置為/23子網，但BGP對等體正在使用/24子網掩碼接收和學習此網路，從而在兩個BGP對等體之間的路由表中產生不一致。

環境

使用網路通道(網際網路通訊協定安全(IPSec)、站點到站點)的Cisco安全存取

• BGP路由協定配置

• 站點到站點VPN隧道實施

• 使用/23和/24子網的網路字首配置

解析

要解決此BGP路由通告差異，這些故障排除和驗證部分概述了必須執行的步驟。

步驟 1:確定特定的網路字首

確定路由差異中涉及的確切字首/23和/24。記錄BGP對等關係的哪一側正在通告/24字首而不是預期的/23字首。

步驟 2:驗證時間軸和圖案

確定首次發現問題的時間，並確定問題是連續出現還是間歇出現。此資訊有助於識別與路由行為相關的潛在觸發器或模式。

步驟 3:記錄BGP對等體配置

收集有關BGP對等裝置配置的詳細資訊。確定在安全訪問中配置的特定網路隧道名稱遇到此路由差異。

步驟 4:檢視最近的配置更改

調查任何可能導致此問題的最新更改，包括：

• 配置修改

• 路由策略更新

• 網路位址轉譯(NAT)組態變更

• 軟體版本更新

• 子網或網路地址更改

步驟 5:檢查本地路由表

驗證本地路由表中是否存在更特定的/24路由，該路由可以選定或通告，而不是配置的/23字首。這是BGP中意外路由通告的常見原因，其中更具體的路由優先於不太具體的路由。

步驟 6:驗證安全訪問組織配置

獲取並驗證Secure Access組織ID，以確保正確訪問Secure Access管理介面中的配置詳細資訊和故障排除功能。

原因

此BGP路由通告差異的最可能原因是正在選擇和通告的本地路由表中存在更具體的/24路由，而不是配置的/23字首。BGP遵循最長字首匹配規則，其中更具體的路由（更長的子網掩碼）優先於更小的路由。如果/24子網位於/23範圍內，BGP會將更特定的/24路由通告給其對等體，而不是通告範圍更廣的/23網路。

其他潛在原因包括路由策略配置、路由過濾或網路地址轉換(NAT)配置，這些配置可以在BGP路由通告過程中修改通告的字首長度。

相關內容

• 思科技術支援與下載

修訂記錄

修訂	發佈日期	意見
1.0	10-Sep-2026	初始版本