Exemple de configuration d'un dispositif de sécurité adaptatif à coût égal sur plusieurs chemins

Introduction

Ce document fournit des informations sur la façon de configurer l'appliance de sécurité adaptatif (ASA) avec jusqu'à trois routes de coût égal vers le même réseau de destination par interface. L'ASA hache les adresses IP source et de destination du paquet sortant pour déterminer la route qu'il utilisera pour déterminer le saut suivant du paquet (l'ASA n'utilise pas d'algorithme round-robin pour choisir le saut suivant). Contrairement à l'équilibrage de charge à tour de rôle, les paquets avec la même paire source et de destination sont toujours envoyés vers le même saut suivant, selon le hachage calculé.

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Configuration

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Remarque : utilisez l'outil de recherche de commandes (clients enregistrés uniquement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

Configurations

Ce document décrit les configurations suivantes :

• Routes statiques utilisées pour exécuter ECMP

• Protocole de routage Open Shortest Path First utilisé pour exécuter ECMP

Routes statiques utilisées pour exécuter ECMP

Cet exemple montre des routes statiques qui sont des routes de coût égal qui dirigent le trafic vers trois passerelles différentes sur l'interface externe. Le dispositif de sécurité distribue le trafic entre les passerelles spécifiées en fonction des adresses IP source et de destination du paquet.

Plusieurs routes statiques qui utilisent ECMP sont disponibles uniquement sur la même interface. ECMP n’est pas pris en charge sur plusieurs interfaces.

Exemple de configuration ASA :

route outside 10.10.10.0 255.255.255.0 192.168.1.1
route outside 10.10.10.0 255.255.255.0 192.168.1.2
route outside 10.10.10.0 255.255.255.0 192.168.1.3

Afficher la sortie de route sur l'ASA :

S 10.10.10.0 255.255.255.0 [1/0] via 192.168.1.1, outside
                                    [1/0] via 192.168.1.2, outside
                                    [1/0] via 192.168.1.3, outside

Protocole de routage Open Shortest Path First utilisé pour exécuter ECMP

OSPF (Open Shortest Path First) peut être configuré pour utiliser ECMP en fournissant des routes avec le même chemin de coût. Voici un exemple d'utilisation du protocole OSPF entre un ASA et deux routeurs adjacents.

Dans cet exemple, les deux routeurs sur l'extérieur exécutent OSPF, qui sont configurés pour injecter des routes par défaut à l'ASA. Les routes par défaut sont ajoutées à la table de routage de l'ASA, et comme elles envoient la même métrique, l'ASA les ajoute en tant qu'ECMP au réseau de destination par défaut.

OSPF est présenté dans ce document. Cependant, tout protocole de routage pris en charge par ASA peut être utilisé, tel que le protocole EIGRP (Enhanced Interior Gateway Routing Protocol).

Exemple de configuration

ASA :

router ospf 10
 network 10.10.10.0 255.255.255.0 area 0
 log-adj-changes

Routeur 1:

router ospf 10
 network 10.10.10.0 0.0.0.255 area 0 
 default-information originate metric 10

Routeur 2:

router ospf 10
 network 10.10.10.0 0.0.0.255 area 0 
 default-information originate metric 10

La commande default-information originate définit la métrique sur 10, qui une fois reçue par l'ASA, installera la route avec le même chemin de coût.

Afficher la sortie de route sur l'ASA :

O*E2 0.0.0.0 0.0.0.0 [110/1] via 10.10.10.1, 0:10:18, outside
                            [110/1] via 10.10.10.2, 0:10:18, outside

Vérification

Aucune procédure de vérification n'est disponible pour cette configuration.

Dépannage

Si le protocole EIGRP est utilisé pour exécuter le protocole ECMP, référez-vous à l'ID de bogue Cisco CSCti54545 (clients enregistrés uniquement) , les métriques EIGRP ne seront pas mises à jour correctement sur ASA.

Informations connexes

• Guide de configuration de la gamme Cisco ASA 5500 à l'aide de la CLI, 8.2, Configuration des routes statiques et par défaut
• Guide de configuration de la gamme Cisco ASA 5500 à l'aide de la CLI, 8.2, Configuration du protocole OSPF
• Guide de conception OSPF
• Documentation et assistance techniques