FTD 디바이스에서 EIGRP 문제 해결

소개

이 문서에서는 FMC를 관리자로 사용하여 FTD 디바이스에서 EIGRP 컨피그레이션을 확인하고 문제를 해결하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• EIGRP(Enhanced Interior Gateway Routing Protocol) 개념 및 기능
• Cisco FMC(Secure Firewall Management Center)
• Cisco FTD(Secure Firewall Threat Defense)

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

• VMWare용 FTDv 버전 7.2.8
• VMWare용 FMC는 버전 7.2.8입니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

EIGRP 배경

FTD 디바이스와 다른 EIGRP 지원 디바이스 간에 동적 라우팅을 사용하도록 EIGRP를 FMC에서 구성할 수 있습니다.

FMC는 단일 모드에서 하나의 EIGRP AS(Autonomous System)의 컨피그레이션만 허용합니다.

다음 매개변수는 EIGRP 인접성을 형성하기 위해 EIGRP 네이버와 일치해야 합니다.

- 동일한 IP 서브넷에 속하는 인터페이스입니다.

- EIGRP AS

- Hello 및 Hold 간격

-MTU

- 인터페이스 인증.

기본 설정

이 섹션에서는 EIGRP를 구성하는 데 필요한 매개변수에 대해 설명합니다.

1. Devices(디바이스) > Device Management(디바이스 관리) > Edit device(디바이스 수정)로 이동합니다
2. 라우팅 탭을 클릭합니다.
3. 왼쪽 메뉴 모음에서 EIGRP를 클릭합니다.
4. 프로토콜을 활성화하려면 Enable EIGRP(EIGRP 활성화) 확인란을 선택하고 1~65535 사이의 값을 AS 번호에 할당합니다.
5. Auto Summary(자동 요약) 옵션은 기본적으로 비활성화되어 있습니다
6. 네트워크/호스트를 하나 선택합니다. 이전에 생성한 객체를 사용하거나 추가 버튼(+)을 클릭하여 새 객체를 추가할 수 있습니다.
7. (선택 사항) 트래픽을 재배포하지 않는 인터페이스를 선택하려면 Passive interface 확인란을 선택합니다.
8. Save(저장)를 클릭하여 변경 사항을 저장합니다.

필터 규칙

FTD를 사용하면 사용자가 인바운드 및 아웃바운드 경로를 제어하기 위해 배포 목록을 구성할 수 있습니다.

1. Devices(디바이스) > Device Management(디바이스 관리) > Edit device(디바이스 수정)로 이동합니다
2. 라우팅 탭을 클릭합니다.
3. EIGRP를 클릭합니다.
4. Filtering Rules(필터링 규칙) > Add(추가)를 클릭합니다.
5. 필터링 필드에 대한 해당 정보를 선택합니다.

• 필터 방향
• 인터페이스 선택
• 액세스 목록 선택

6. 표준 액세스 목록이 구성된 경우 단계로 이동합니다.

사용자가 표준 액세스 목록을 구성해야 하는 경우 더하기 단추를 클릭하거나 Objects(개체) > Object Management(개체 관리) > Access List(액세스 목록) > Standard(표준) > Add Standard Access List(표준 액세스 목록 추가)에서 목록을 만듭니다.

7. 목록에 이름을 지정합니다

8. 더하기(+ ) 버튼을 클릭합니다

• 작업 선택
• Available Network(사용 가능한 네트워크)의 네트워크 또는 호스트를 Selected Network(선택한 네트워크)에 추가합니다.

9. 하단의 Add(추가)를 클릭하여 액세스 목록 항목을 저장합니다.

10. 저장을 눌러 표준 액세스 목록을 저장합니다.

11. 확인을 클릭합니다.

12. 저장을 눌러 변경사항을 검증합니다.

재배포

FTD에는 BGP, RIP 및 OSPF 프로토콜 또는 고정 및 연결된 경로에서 생성된 경로를 EIGRP로 재배포하는 기능이 있습니다.

1. Devices(디바이스) > Device Management(디바이스 관리) > Edit device(디바이스 수정)로 이동합니다
2. 라우팅 탭을 클릭합니다.
3. EIGRP를 클릭합니다.
4. Redistribution(재배포)을 클릭합니다.
5. 재배포 필드에 정보를 입력합니다.

• 프로토콜
  • RIP
  • OSPF
  • BGP
  • 연결됨
  • 고정

OSPF의 경우 프로세스 ID를 지정하고 BGP의 경우 필드 프로세스 ID*의 AS 번호를 지정해야 합니다.

컨피그레이션에서 OSPF 프로토콜에 의해 생성된 정보를 재배포해야 하는 경우 사용자는 OSPF Redistribution 유형을 선택할 수 있습니다.

선택적 메트릭은 EIGRP 메트릭 및 경로 맵을 참조합니다.

인터페이스

Hello and Hold 타이머

Hello 패킷은 인접 디바이스 검색 및 사용 가능한 인접 디바이스를 탐지하는 데 사용됩니다. 이러한 패킷은 간격을 두고 전송됩니다. 기본적으로 이 타이머의 값은 5초입니다.

보류 타이머는 EIGRP가 경로가 연결 가능하고 작동 중인 것으로 간주하는 시간을 결정합니다. 기본적으로 보류 시간 값은 hello 간격의 3배입니다.

인증

FTD는 EIGRP 패킷을 인증하는 MD5 해시 알고리즘을 지원합니다. 기본적으로 인증은 비활성화되어 있습니다.

MD5 해시 알고리즘을 활성화하려면 MD5 Authentication(MD5 인증) 확인란을 선택합니다.

키

암호화되지 않음 - 일반 텍스트

암호화

문제 해결 및 검증 명령

• show run router eigrp. EIGRP 구성을 표시합니다
• show run interface [ interface]. EIGRP 인터페이스 인증 및 타이머 정보를 표시합니다.
• show eigrp events [{ start end} | type]을 입력합니다. EIGRP 이벤트 로그를 표시합니다.
• show eigrp interfaces [ if-name] [ detail](eigrp 인터페이스 [ if-name] [ 세부 정보]). EIGRP 라우팅에 참여하는 인터페이스를 표시합니다.
• show eigrp neighbors [ 세부 정보 | static] [ if-name]입니다. EIGRP 네이버 테이블을 표시합니다.
• show eigrp topology [ ip-addr [ mask] | 활성 | 모든 링크 | 보류 중 | 요약 | successor가 없습니다. EIGRP 토폴로지 테이블을 표시합니다.
• eigrp 트래픽을 표시합니다. EIGRP 트래픽 통계를 표시합니다.

확인

다음 토폴로지를 고려합니다. 이 섹션에서는 앞서 설명한 명령을 사용하여 FTD에 적용된 EIGRP 컨피그레이션을 검증합니다.

EIGRP 토폴로지

기본 설정

EIGRP 기본 컨피그레이션

재배포

EIGRP 재배포 컨피그레이션

인터페이스 컨피그레이션

EIGRP 인터페이스 컨피그레이션

명령을 사용한 유효성 검사

firepower# show run router eigrp 
router eigrp 100
no default-information in
no default-information out
no eigrp log-neighbor-warnings
no eigrp log-neighbor-changes
network 10.10.0.0 255.255.255.0
network 192.168.0.0 255.255.255.0
passive-interface OUTSIDE
passive-interface INSIDE
redistribute static
!
firepower# show run int g 0/2
!
interface GigabitEthernet0/2
nameif FTD-EIGRP
cts manual
propagate sgt preserve-untag
policy static sgt disabled trusted
security-level 0
ip address 192.168.0.2 255.255.255.0 
hello-interval eigrp 100 10
hold-time eigrp 100 30

firepower# show eigrp events
106 04:24:27.980 Conn rt change: 192.168.0.0 255.255.255.0 FTD-EIGRP 
107 04:24:27.980 Lost route 1=forceactv: 192.168.0.0 255.255.255.0 0 
108 04:24:27.980 Change queue emptied, entries: 1 
109 04:24:27.980 Metric set: 192.168.0.0 255.255.255.0 512 
110 04:24:27.980 Update reason, delay: new if 4294967295 
111 04:24:27.980 Update sent, RD: 192.168.0.0 255.255.255.0 4294967295 
112 04:24:27.980 Update reason, delay: metric chg 4294967295 
113 04:24:27.980 Update sent, RD: 192.168.0.0 255.255.255.0 4294967295 
114 04:24:27.980 Route installed: 192.168.0.0 255.255.255.0 0.0.0.0 
115 04:24:27.980 Find FS: 192.168.0.0 255.255.255.0 4294967295 
116 04:24:27.980 Rcv update met/succmet: 512 0 
117 04:24:27.980 Rcv update dest/orig: 192.168.0.0 255.255.255.0 Connected 
118 04:24:27.980 Metric set: 192.168.0.0 255.255.255.0 4294967295 
119 04:24:27.980 Conn rt change: 192.168.0.0 255.255.255.0 FTD-EIGRP 

firepower# show eigrp interfaces 
EIGRP-IPv4 Interfaces for AS(100) 
                      Xmit Queue    Mean   Pacing Time   Multicast   Pending
Interface     Peers   Un/Reliable   SRTT   Un/Reliable   Flow Timer  Routes
FTD-EIGRP     1       0 / 0         48     0 / 1         193         0 

firepower# show eigrp neighbors
EIGRP-IPv4 Neighbors for AS(100)
H         Address         Interface         Hold   Uptime     SRTT    RTO     Q    Seq
                                            (sec)             (ms)           Cnt   Num
0         192.168.0.1     FTD-EIGRP         27     09:15:22   48      1458    0      4

firepower# show eigrp topology 
EIGRP-IPv4 Topology Table for AS(100)/ID(192.168.0.2)
Codes: P - Passive, A - Active, U - Update, Q - Query, R - Reply,
r - reply Status, s - sia Status

P 10.10.0.0 255.255.255.0, 1 successors, FD is 512
via Connected, STORES
P 10.40.0.0 255.255.255.0, 1 successors, FD is 768  ---------- Route learn from EIGRP neighbor
via 192.168.0.1 (768/512), FTD-EIGRP
P 192.168.0.0 255.255.255.0, 1 successors, FD is 512
via Connected, FTD-EIGRP
P 0.0.0.0 0.0.0.0, 1 successors, FD is 512
via Rstatic (512/0)

firepower# show eigrp traffic 
EIGRP-IPv4 Traffic Statistics for AS(100)

Hellos sent/received: 16606/6989
Updates sent/received: 8/4
Queries sent/received: 2/0
Replies sent/received: 0/1
Acks sent/received: 3/5
SIA-Queries sent/received: 0/0
SIA-Replies sent/received: 0/0
Hello Process ID: 4007513056
PDM Process ID: 4007513984
Socket Queue: 
Input Queue: 0/2000/2/0 (current/max/highest/drops)