Konfigurieren von DVTI mit dynamischen Routing-Protokollen auf einer sicheren Firewall

Aktualisiert:30. März 2023
Dokument-ID:220320

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

    Einleitung

    In diesem Dokument wird beschrieben, wie Sie eine dynamische virtuelle Tunnelschnittstelle (DVTI) für die sichere Firewall 9.20 konfigurieren.

    Voraussetzungen

    • Eine Cisco Secure Firewall mit ASA 9.20 oder höher und einer grundlegenden Routing-Konfiguration sowie IKEV2-Unterstützung, die als Hub mit einer Loopback-Schnittstelle fungiert, um das lokale Netzwerk vor Ort auf 192.168.9.0/24 zu simulieren.
    • Eine Cisco Secure Firewall mit ASA 9.20 oder höher und grundlegender Routing-Konfiguration sowie IKEv2-Unterstützung als Spoke-1 mit einer vorkonfigurierten Loopback-Schnittstelle zur Simulation des Remote-Netzwerks von 192.168.7.0/24

    Anforderungen

    • Allgemeine Kenntnisse aller in diesem Dokument beschriebenen dynamischen Routing-Protokolle (OSPF, EIGRP und BGP)
    • Grundkenntnisse der CLI-Konfiguration auf Cisco Secure Firewall-Geräten

    Verwendete Komponenten

    Die Informationen in diesem Dokument basieren auf folgenden Software-Versionen:

    • Cisco Secure Firewall mit ASA 9.20 oder höher
    note-icon

    Hinweis: Die Informationen in diesem Dokument stammen von den Geräten in einer bestimmten Laborumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

    Hintergrundinformationen

    Dynamische virtuelle Tunnelschnittstellen

    Dynamic Virtual Tunnel Interfaces (DVTI) bieten hochsichere und skalierbare Verbindungen für Virtual Private Networks (VPN) mit Remote-Zugriff.

    DVTIs können sowohl für die Hub- als auch für die Spoke-Konfiguration verwendet werden. Die Tunnel bieten eine separate virtuelle On-Demand-Zugriffsschnittstelle für jede VPN-Sitzung. 

    1. Der Spoke initiiert eine IKE-Austauschanforderung an den Hub für eine VPN-Verbindung.

    2. Der Hub authentifiziert die Spoke.

    3. Das Cisco Secure Firewall Management Center weist dem Hub eine dynamische virtuelle Vorlage zu.

    4. Die virtuelle Vorlage generiert dynamisch eine virtuelle Zugriffsschnittstelle auf dem Hub. Diese Schnittstelle ist für die VPN-Sitzung pro Spoke einzigartig.

    5. Der Hub erstellt einen dynamischen VTI-Tunnel mit der Spoke, die die virtuelle Zugriffsschnittstelle verwendet.

    6. Der Hub-and-Spoke-Datenverkehr wird über den Tunnel ausgetauscht, der dynamische Routing-Protokolle (BGP/OSPF/EIGRP) oder mit geschützter Netzwerkfunktion (Multiple-Security Association VTI) verwendet.

    7. Dynamische VTIs funktionieren wie jede andere Schnittstelle, sodass Sie QoS, Firewall-Regeln, Routing-Protokolle und andere Funktionen anwenden können, sobald der Tunnel aktiv ist. 

    8. Am HUB-Gerät und an mehreren statischen Tunnelschnittstellen für mehrere Remote-/Spoke-Standorte wird eine einzelne DVTI erstellt.

    In diesem Artikel können BGP, OSPF und EIGRP über DVTI getestet werden.

    note-icon

    Hinweis: Cisco Secure Firewall hat Unterstützung für DVTI in Version 7.3 hinzugefügt und unterstützt derzeit nur einen DVTI gemäß Cisco Bug-ID CSCwe13781.

    Konfigurieren

    Netzwerkdiagramm

    Topology

    Konfigurationen

    Cisco Secure Firewall Hub-Konfiguration

    Konfigurieren Sie die physische Tunnelquellenschnittstelle.

    interface GigabitEthernet0/0
 nameif vlan2820
 security-level 100
 ip address 10.28.20.98 255.255.255.0

    Konfigurieren der IkEv2-Richtlinie

    crypto ikev2 policy 1
 encryption aes-256 aes-192 aes
 integrity sha512 sha384 sha256 sha
 group 21 20 14
 prf sha256
 lifetime seconds 86400

    Konfigurieren Sie die IPSEC-Richtlinie, und hängen Sie sie an ein neues IPSEC-Profil an.

    crypto ipsec ikev2 ipsec-proposal VPN-LAB
 protocol esp encryption aes-256 aes-192 aes
 protocol esp integrity sha-512 sha-256 sha-1

crypto ipsec profile VPN-LAB-PROFILE
 set ikev2 ipsec-proposal VPN-LAB
 set security-association lifetime seconds 1000

    Konfigurieren Sie die virtuelle Vorlage mit dem zuvor erstellten IPSEC-Profil, und weisen Sie sie einer Loopback-Schnittstelle zu, die die IP-Adresse für den DVTI bereitstellt.

    note-icon

    Hinweis: Virtual-Template (virtuelle Vorlage) dient zum Konfigurieren von DVTI für On-Demand-Tunnel.

    interface Loopback200
 nameif DVTI-LOOPBACK
 ip address 172.16.17.1 255.255.255.255 

interface Virtual-Template1 type tunnel
 nameif DVTI-HUB
 ip unnumbered DVTI-LOOPBACK
 tunnel source interface vlan2820
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile FMC_IPSEC_PROFILE_2

    Erstellen Sie eine sekundäre Loopback-Schnittstelle, um den Datenverkehr vom OnPREM-Netzwerk hinter dem Hub zu simulieren.

    note-icon

    Hinweis: Überspringen Sie diesen Schritt, wenn der lokale Datenverkehr hinter dem Hub vorhanden ist.

    interface Loopback100
 nameif ON-PREM
 ip address 192.168.9.1 255.255.255.255

    Konfigurieren Sie tunnel-group.

    note-icon

    Hinweis: Die Befehlsroutensatz-Schnittstelle sendet die DVTI-IP-Adresse als statische IP-Adresse an den Peer.

    tunnel-group 10.28.20.100 type ipsec-l2l
tunnel-group 10.28.20.100 ipsec-attributes
 virtual-template 1 
 ikev2 remote-authentication pre-shared-key *****
 ikev2 local-authentication pre-shared-key *****
 ikev2 route set interface

    Aktivieren Sie IKEv2 auf der Schnittstelle, die den Tunnel erstellt.

    crypto ikev2 enable vlan2820

    Cisco Secure Firewall - Spoke-Konfiguration

    Konfigurieren Sie die physische Tunnelquellenschnittstelle.

    interface GigabitEthernet0/0
 nameif vlan2820
 security-level 100
 ip address 10.28.20.100 255.255.255.0

    Konfigurieren der IKEv2-Richtlinie

    crypto ikev2 policy 1
 encryption aes-256 aes-192 aes
 integrity sha512 sha384 sha256 sha
 group 21 20 14
 prf sha256
 lifetime seconds 86400

    Konfigurieren Sie die IPSEC-Richtlinie, und hängen Sie sie an ein neues IPSEC-Profil an.

    crypto ipsec ikev2 ipsec-proposal VPN-LAB
 protocol esp encryption aes-256 aes-192 aes
 protocol esp integrity sha-512 sha-256 sha-1
crypto ipsec profile VPN-LAB-PROFILE
 set ikev2 ipsec-proposal VPN-LAB
 set security-association lifetime seconds 1000

    Konfigurieren Sie die statische virtuelle Tunnelschnittstelle mit dem zuvor erstellten IPSEC-Profil, und weisen Sie sie einer Loopback-Schnittstelle zu, die die nicht nummerierte IP-Adresse bereitstellt.

    interface Loopback200
 nameif VTI-LOOPBACK
 ip address 172.16.17.2 255.255.255.255 

interface Tunnel2
 nameif SVTI-SPOKE-3
 ip unnumbered VTI-LOOPBACK
 tunnel source interface vlan2820
 tunnel destination 10.28.20.98
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile VPN-LAB-PROFILE

    Erstellen Sie eine sekundäre Loopback-Schnittstelle, um den Datenverkehr aus dem LAN-REMOTE-1-Netzwerk hinter Spoke zu simulieren.

    interface Loopback100
 nameif LAN-REMOTE-1
 ip address 192.168.7.1 255.255.255.255

    Konfigurieren Sie tunnel-group.

    note-icon

    Hinweis: Die Schnittstelle für den Befehlsroutensatz sendet die SVTI-IP-Adresse als statische IP-Adresse an den Peer.

    tunnel-group 10.28.20.98 type ipsec-l2l
tunnel-group 10.28.20.98 ipsec-attributes
 ikev2 remote-authentication pre-shared-key *****
 ikev2 local-authentication pre-shared-key *****
 ikev2 route set interface

    Aktivieren Sie IKEv2 für die Schnittstelle, die den Tunnel erstellen kann.

    crypto ikev2 enable vlan2820

    Konfigurieren von OSPF

    Hub-Konfiguration

    note-icon

    Hinweis: Der Befehl zum Neuverteilen verbundener Subnetze wird verwendet, um den Stationen über OSPF das OnPREM-Netzwerk anzukündigen. Die Neuverteilung kann je nach Design unterschiedlich sein.

    router ospf 1
 router-id 172.16.17.1
 network 172.16.17.0 255.255.255.0 area 0
 log-adj-changes
 redistribute connected subnets

    Spoke-Konfiguration

    router ospf 1
 router-id 172.16.17.2
 network 172.16.17.0 255.255.255.0 area 0
 log-adj-changes
 redistribute connected subnets

    Überprüfung von OSPF

    Hubverifizierung

    ASAV2-hub# show ospf 

 Routing Process "ospf 1" with ID 172.16.17.1
 Start time: 4d23h, Time elapsed: 3d04h
 Supports only single TOS(TOS0) routes
 Supports opaque LSA
 Supports Link-local Signaling (LLS)
 Supports area transit capability
 Event-log enabled, Maximum number of events: 1000, Mode: cyclic
 It is an autonomous system boundary router
 Redistributing External Routes from,
    connected, includes subnets in redistribution
 Router is not originating router-LSAs with maximum metric
 Initial SPF schedule delay 5000 msecs
 Minimum hold time between two consecutive SPFs 10000 msecs
 Maximum wait time between two consecutive SPFs 10000 msecs
 Incremental-SPF disabled
 Minimum LSA interval 5 secs
 Minimum LSA arrival 1000 msecs
 LSA group pacing timer 240 secs
 Interface flood pacing timer 33 msecs
 Retransmission pacing timer 66 msecs
 Number of external LSA 5. Checksum Sum 0x39716 
 Number of opaque AS LSA 0. Checksum Sum 0x0     
 Number of DCbitless external and opaque AS LSA 0
 Number of DoNotAge external and opaque AS LSA 0
 Number of areas in this router is 1. 1 normal 0 stub 0 nssa
 Number of areas transit capable is 0
 External flood list length 0
 IETF NSF helper support enabled
 Cisco NSF helper support enabled
 Reference bandwidth unit is 100 mbps
    Area BACKBONE(0)
        Number of interfaces in this area is 3 (1 loopback)
        Area has no authentication
        SPF algorithm last executed 2d04h ago
        SPF algorithm executed 10 times
        Area ranges are
        Number of LSA 2. Checksum Sum 0x1c99f 
        Number of opaque link LSA 0. Checksum Sum 0x0     
        Number of DCbitless LSA 0
        Number of indication LSA 0
        Number of DoNotAge LSA 0
        Flood list length 0

ASAV2-hub# show ospf neighbor 
Neighbor ID     Pri   State           Dead Time   Address         Interface
172.16.17.2       0   FULL/  -        0:00:39     172.16.17.2     DVTI-HUB_va11

    Die Routing-Tabelle auf dem Hub zeigt jetzt das LAN-REMOTE-1-Netzwerk über OSPF.

    ASAV2-hub# show route ospf

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.28.20.101 to network 0.0.0.0

O E2     192.168.7.0 255.255.255.255
           [110/20] via 172.16.17.2, 2d04h, DVTI-HUB_va11

    Spoke-Verifizierung

    ASAv-spoke-2# show ospf 

 Routing Process "ospf 1" with ID 172.16.17.2
 Start time: 3w3d, Time elapsed: 3d04h
 Supports only single TOS(TOS0) routes
 Supports opaque LSA
 Supports Link-local Signaling (LLS)
 Supports area transit capability
 Event-log enabled, Maximum number of events: 1000, Mode: cyclic
 It is an autonomous system boundary router
 Redistributing External Routes from,
    connected, includes subnets in redistribution
 Router is not originating router-LSAs with maximum metric
 Initial SPF schedule delay 5000 msecs
 Minimum hold time between two consecutive SPFs 10000 msecs
 Maximum wait time between two consecutive SPFs 10000 msecs
 Incremental-SPF disabled
 Minimum LSA interval 5 secs
 Minimum LSA arrival 1000 msecs
 LSA group pacing timer 240 secs
 Interface flood pacing timer 33 msecs
 Retransmission pacing timer 66 msecs
 Number of external LSA 4. Checksum Sum 0x37bc8 
 Number of opaque AS LSA 0. Checksum Sum 0x0     
 Number of DCbitless external and opaque AS LSA 0
 Number of DoNotAge external and opaque AS LSA 0
 Number of areas in this router is 1. 1 normal 0 stub 0 nssa
 Number of areas transit capable is 0
 External flood list length 0
 IETF NSF helper support enabled
 Cisco NSF helper support enabled
 Reference bandwidth unit is 100 mbps
    Area BACKBONE(0)
        Number of interfaces in this area is 2 (1 loopback)
        Area has no authentication
        SPF algorithm last executed 2d04h ago
        SPF algorithm executed 1 times
        Area ranges are
        Number of LSA 2. Checksum Sum 0x1fe9a 
        Number of opaque link LSA 0. Checksum Sum 0x0     
        Number of DCbitless LSA 0
        Number of indication LSA 0
        Number of DoNotAge LSA 0
        Flood list length 0

ASAv-spoke-2#  show ospf neighbor 
Neighbor ID     Pri   State           Dead Time   Address         Interface
172.16.17.1       0   FULL/  -        0:00:34     172.16.17.1     SVTI-SPOKE-3

    Die Routing-Tabelle auf Spoke zeigt jetzt das OnPREM-Netzwerk über OSPF an.

    ASAv-spoke-2# show route ospf

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.28.20.101 to network 0.0.0.0

O E2     192.168.9.1 255.255.255.255 
           [110/20] via 172.16.17.1, 2d04h, SVTI-SPOKE-3

    Nun kann Spoke LAN-REMOTE-1 OnPREM erreichen.

    ASAv-spoke-2# ping LAN-REMOTE-1 192.168.9.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.9.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/10 ms

ASAv-spoke-2# show crypto ipsec sa peer  10.28.20.98 | i cap|iden|spi
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      #pkts encaps: 9, #pkts encrypt: 9, #pkts digest: 9
      #pkts decaps: 9, #pkts decrypt: 9, #pkts verify: 9
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      current outbound spi: 4BC1FF2C
      current inbound spi : FB455CB8
      spi: 0xFB455CB8 (4215626936)
      spi: 0x4BC1FF2C (1271004972)

     Jetzt kann der Hub OnPREM LAN-REMOTE-1 erreichen.

    ASAV2-hub# ping ON-PREM  192.168.7.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.7.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/10 ms

ASAV2-hub# show crypto ipsec sa peer 10.28.20.100
peer address: 10.28.20.100
interface: DVTI-HUB_va12
    Crypto map tag: DVTI-HUB_vtemplate_dyn_map, seq num: 1, local addr: 10.28.20.98

      Protected vrf (ivrf): Global
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      current_peer: 10.28.20.100


      #pkts encaps: 15, #pkts encrypt: 15, #pkts digest: 15
      #pkts decaps: 15, #pkts decrypt: 15, #pkts verify: 15
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 15, #pkts comp failed: 0, #pkts decomp failed: 0
      #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      #TFC rcvd: 0, #TFC sent: 0
      #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
      #send errors: 0, #recv errors: 0

      local crypto endpt.: 10.28.20.98/500, remote crypto endpt.: 10.28.20.100/500
      path mtu 1500, ipsec overhead 94(44), media mtu 1500
      PMTU time remaining (sec): 0, DF policy: copy-df
      ICMP error validation: disabled, TFC packets: disabled

    Konfigurieren von EIGRP

    Hubkonfiguration:

    ASAV2-hub# sh run router
router eigrp 10
 network 172.16.17.0 255.255.255.0
 redistribute connected

    Spoke-Konfiguration:

    ASAv-spoke-2# sh run router
router eigrp 10
 network 172.16.17.0 255.255.255.0
 redistribute connected

    Nun kann Spoke LAN-REMOTE-1 OnPREM erreichen.

    ASAv-spoke-2# ping LAN-REMOTE-1 192.168.9.1 rep 100                  
Type escape sequence to abort.
Sending 100, 100-byte ICMP Echos to 192.168.9.1, timeout is 2 seconds:
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Success rate is 100 percent (100/100), round-trip min/avg/max = 1/2/10 ms

ASAv-spoke-2# show crypto ipsec sa peer 10.28.20.98  | i cap|iden|spi
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      #pkts encaps: 102, #pkts encrypt: 102, #pkts digest: 102
      #pkts decaps: 102, #pkts decrypt: 102, #pkts verify: 102
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      current outbound spi: 3EED404C
      current inbound spi : 646D2C0C
      spi: 0x646D2C0C (1684876300)
      spi: 0x3EED404C (1055735884)

     Jetzt kann der Hub OnPREM LAN-REMOTE-1 erreichen.

    ASAV2-hub# ping ON-PREM 192.168.7.1 rep 100
Type escape sequence to abort.
Sending 100, 100-byte ICMP Echos to 192.168.7.1, timeout is 2 seconds:
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Success rate is 100 percent (100/100), round-trip min/avg/max = 1/1/10 ms

ASAV2-hub# show crypto ipsec sa peer 10.28.20.100 | i cap|iden|spi
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      #pkts encaps: 208, #pkts encrypt: 208, #pkts digest: 208
      #pkts decaps: 208, #pkts decrypt: 208, #pkts verify: 208
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      current outbound spi: 646D2C0C
      current inbound spi : 3EED404C
      spi: 0x3EED404C (1055735884)
      spi: 0x646D2C0C (1684876300)

    EIGRP überprüfen

    Hub-Verifizierung:

    ASAV2-hub# show eigrp neighbors 
EIGRP-IPv4 Neighbors for AS(10)
H   Address                 Interface       Hold Uptime   SRTT   RTO   Q  Seq
                                            (sec)         (ms)        Cnt Num
0   172.16.17.2             DVTI-HUB_va12    12  00:02:01 8      200  0     4

    Die Routing-Tabelle auf dem Hub zeigt jetzt das LAN-REMOTE-1-Netzwerk über EIGRP an.

    ASAV2-hub# show route eigrp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.28.20.101 to network 0.0.0.0

D EX     192.168.7.1 255.255.255.255 
           [170/53760] via 172.16.17.2, 00:05:28, DVTI-HUB_va12

    Spoke-Verifizierung:

    ASAv-spoke-2# show eigrp neighbors 
EIGRP-IPv4 Neighbors for AS(10)
H   Address                 Interface       Hold Uptime   SRTT   RTO   Q  Seq
                                            (sec)         (ms)        Cnt Num
0   172.16.17.1             SVTI-SPOKE-3     12  00:07:05 34     204  0     3

    Die Routing-Tabelle auf Spoke zeigt jetzt das OnPREM-Netzwerk über EIGRP an.

    ASAv-spoke-2# show route eigrp 

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.28.20.101 to network 0.0.0.0

D EX     192.168.9.1 255.255.255.255 
           [170/53760] via 172.16.17.1, 00:07:43, SVTI-SPOKE-3

    BGP konfigurieren

    note-icon

    Hinweis: Wenn statische oder dynamische VTI-Schnittstellen mit eBGP kombiniert werden, stellen Sie sicher, dass der Wert des TTL-Hop bei Verwendung von BGP mehr als einen beträgt.

    Hubkonfiguration:

    router bgp 100
 bgp log-neighbor-changes
 bgp bestpath compare-routerid
 address-family ipv4 unicast
  neighbor 172.16.17.2 remote-as 200
  neighbor 172.16.17.2 ebgp-multihop 10
  neighbor 172.16.17.2 activate
  redistribute connected
  no auto-summary
  no synchronization
 exit-address-family

    Spoke-Konfiguration

    router bgp 200
 bgp log-neighbor-changes
 bgp bestpath compare-routerid
 address-family ipv4 unicast
  neighbor 172.16.17.1 remote-as 100
  neighbor 172.16.17.1 ebgp-multihop 10
  neighbor 172.16.17.1 activate
  redistribute connected
  no auto-summary
  no synchronization
 exit-address-family

    BGP überprüfen

    Hub-Verifizierung:

    ASAV2-hub# show bgp neighbors 

BGP neighbor is 172.16.17.2,  context single_vf,  remote AS 200, external link
  BGP version 4, remote router ID 192.168.7.1
  BGP state = Established, up for 00:05:28
  Last read 00:00:01, last write 00:01:00, hold time is 180, keepalive interval is 60 seconds
  Neighbor sessions:
    1 active, is not multisession capable (disabled)
  Neighbor capabilities:
    Route refresh: advertised and received(new)
    Four-octets ASN Capability: advertised and received
    Address family IPv4 Unicast: advertised and received
    Multisession Capability: 
  Message statistics:
    InQ depth is 0
    OutQ depth is 0
    
                   Sent       Rcvd
    Opens:         1          1         
    Notifications: 0          0         
    Updates:       2          2         
    Keepalives:    6          6         
    Route Refresh: 0          0         
    Total:         9          9         
  Default minimum time between advertisement runs is 30 seconds
              
 For address family: IPv4 Unicast
  Session: 172.16.17.2
  BGP table version 7, neighbor version 7/0
  Output queue size : 0
  Index 1
  1 update-group member
                           Sent       Rcvd
  Prefix activity:         ----       ----
    Prefixes Current:      3          3          (Consumes 240 bytes)
    Prefixes Total:        3          3         
    Implicit Withdraw:     0          0         
    Explicit Withdraw:     0          0         
    Used as bestpath:      n/a        2         
    Used as multipath:     n/a        0         

                                Outbound    Inbound
  Local Policy Denied Prefixes: --------    -------
    Bestpath from this peer:     2          n/a       
    Total:                       2          0         
  Number of NLRIs in the update sent: max 3, min 0

  Address tracking is enabled, the RIB does have a route to 172.16.17.2
  Connections established 1; dropped 0
  Last reset never
  External BGP neighbor may be up to 10 hops away.
  Transport(tcp) path-mtu-discovery is enabled
  Graceful-Restart is disabled

ASAV2-hub#  
ASAV2-hub#  sh run router
router bgp 100
 bgp log-neighbor-changes
 bgp bestpath compare-routerid
 address-family ipv4 unicast
  neighbor 172.16.17.2 remote-as 200
  neighbor 172.16.17.2 ebgp-multihop 10
  neighbor 172.16.17.2 activate
  redistribute connected
  no auto-summary
  no synchronization
 exit-address-family
!
ASAV2-hub# sh run all router
router bgp 100
 bgp log-neighbor-changes
 no bgp always-compare-med
 no bgp asnotation dot
 no bgp bestpath med
 bgp bestpath compare-routerid
 bgp default local-preference 100
 no bgp deterministic-med
 bgp enforce-first-as
 bgp maxas-limit 0
 bgp transport path-mtu-discovery
 timers bgp 60 180 0
 address-family ipv4 unicast
  bgp scan-time 60
  bgp nexthop trigger enable
  bgp nexthop trigger delay 5
  bgp aggregate-timer 30
  neighbor 172.16.17.2 remote-as 200
  neighbor 172.16.17.2 ebgp-multihop 10
  neighbor 172.16.17.2 activate
  no bgp redistribute-internal
  no bgp soft-reconfig-backup
  no bgp suppress-inactive
  redistribute connected
  distance bgp 20 200 200
  no auto-summary
  no synchronization
 exit-address-family
!

    Die Routing-Tabelle auf dem Hub zeigt jetzt das LAN-REMOTE-1-Netzwerk über BGP an.

    ASAV2-hub# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.28.20.101 to network 0.0.0.0

B        192.168.7.1 255.255.255.255 [20/0] via 172.16.17.2, 00:06:16

    Spoke-Verifizierung:

    ASAv-spoke-2# show bgp neighbors 

BGP neighbor is 172.16.17.1,  context single_vf,  remote AS 100, external link
  BGP version 4, remote router ID 192.168.9.1
  BGP state = Established, up for 00:06:59
  Last read 00:00:27, last write 00:00:20, hold time is 180, keepalive interval is 60 seconds
  Neighbor sessions:
    1 active, is not multisession capable (disabled)
  Neighbor capabilities:
    Route refresh: advertised and received(new)
    Four-octets ASN Capability: advertised and received
    Address family IPv4 Unicast: advertised and received
    Multisession Capability: 
  Message statistics:
    InQ depth is 0
    OutQ depth is 0
    
                   Sent       Rcvd
    Opens:         1          1         
    Notifications: 0          0         
    Updates:       2          2         
    Keepalives:    7          8         
    Route Refresh: 0          0         
    Total:         10         11        
  Default minimum time between advertisement runs is 30 seconds
              
 For address family: IPv4 Unicast
  Session: 172.16.17.1
  BGP table version 9, neighbor version 9/0
  Output queue size : 0
  Index 1
  1 update-group member
                           Sent       Rcvd
  Prefix activity:         ----       ----
    Prefixes Current:      3          3          (Consumes 240 bytes)
    Prefixes Total:        3          3         
    Implicit Withdraw:     0          0         
    Explicit Withdraw:     0          0         
    Used as bestpath:      n/a        2         
    Used as multipath:     n/a        0         

                                Outbound    Inbound
  Local Policy Denied Prefixes: --------    -------
    Bestpath from this peer:     3          n/a       
    Total:                       3          0         
  Number of NLRIs in the update sent: max 3, min 0

  Address tracking is enabled, the RIB does have a route to 172.16.17.1
  Connections established 1; dropped 0
  Last reset never
  External BGP neighbor may be up to 10 hops away.
  Transport(tcp) path-mtu-discovery is enabled
  Graceful-Restart is disabled

    Die Routing-Tabelle auf Spoke zeigt jetzt das OnPREM-Netzwerk über BGP an.

    ASAv-spoke-2#   show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, + - replicated route
       SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.28.20.101 to network 0.0.0.0

B        192.168.9.1 255.255.255.255 [20/0] via 172.16.17.1, 00:09:22

    Fehlerbehebung

    Um OSPF-Probleme zu beheben, verwenden Sie die folgenden Debug- und Anzeigebefehle:

      debug ip ospf 
  debug ip ospf packet 
  debug ip ospf events 
  debug ip ospf hello 
  debug ip ospf adj 

  show ospf 
  show ospf neighbor 
  show ospf interface

    Verwenden Sie zur Fehlerbehebung bei EIGRP die folgenden Debug- und Anzeigebefehle:

      debug ip eigrp 
  debug ip eigrp neighbor 
  debug ip eigrp notifications 
    
  show eigrp 
  show eigrp 
    
    
      show eigrp interfaces show eigrp neighbors show eigrp topology

    Verwenden Sie zur Fehlerbehebung bei BGP die folgenden Befehle zum Debuggen und Anzeigen:.

      debug ip bgp all 
  debug ip bgp updates 
  debug ip bgp events 
  
  show bgp 
  show bgp summary 
  show bgp neighbors

    Verwenden Sie zur Fehlerbehebung bei IKEv2 die folgenden Debugging- und Anzeigebefehle:

      debug crypto ikev2 protocol 255
  debug crypto ikev2 platform 255
  debug crypto ipsec 255

    Zugehörige Informationen

    Revisionsverlauf

    Überarbeitung Veröffentlichungsdatum Kommentare
    1.0
    31-Mar-2023
    Erstveröffentlichung
    TAC Authored

    Beiträge von Cisco Ingenieuren

    • Alan Omar Garcia Marchan
      Cisco HTTS Engineer

    War dieses Dokument hilfreich?

    FeedbackFeedback

    Cisco kontaktieren

    Dieses Dokument gilt für folgende Produkte.