Adaptieve security applicatie tegen gelijke kosten voor multi-pad configuratievoorbeeld

Inleiding

Dit document bevat informatie over de manier waarop u de adaptieve security applicatie (ASA) kunt configureren met maximaal drie gelijke kostenroutes naar hetzelfde doelnetwerk per interface. ASA hashes de bron en de bestemming IP adressen van het uitgaande pakket om te bepalen welke route het zal gebruiken om de volgende hop voor het pakket te bepalen (de ASA gebruikt geen ronde-robin algoritme om de volgende hop te kiezen). In plaats van een rondlopende lading in evenwicht te brengen, worden pakketten met dezelfde bron en bestemming altijd naar dezelfde volgende hop verzonden, zoals per de berekende hash.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg de Cisco Technical Tips Convention voor meer informatie over documentconventies.

Configureren

Deze sectie bevat informatie over het configureren van de functies die in dit document worden beschreven.

Opmerking: Gebruik het Opname Gereedschap (alleen geregistreerde klanten) om meer informatie te verkrijgen over de opdrachten die in deze sectie worden gebruikt.

Configuraties

In dit document worden deze configuraties beschreven:

• Statische routes voor de voltooiing van het ECMP

• Open het snelste pad voor het eerste routingprotocol dat wordt gebruikt om het ECMP te voltooien

Statische routes voor de voltooiing van het ECMP

Dit voorbeeld toont statische routes die gelijke kostenroutes zijn die het verkeer richten op drie verschillende gateways op de buiteninterface. Het security apparaat distribueert het verkeer tussen de opgegeven gateways op basis van de IP-adressen van bron en bestemming in het pakket.

Meervoudige statische routes die gebruik maken van het ECMP zijn alleen beschikbaar op dezelfde interface. ECMP wordt niet ondersteund op meerdere interfaces.

ASA voorbeeldconfiguratie:

route outside 10.10.10.0 255.255.255.0 192.168.1.1
route outside 10.10.10.0 255.255.255.0 192.168.1.2
route outside 10.10.10.0 255.255.255.0 192.168.1.3

Uitvoer van route op de ASA-modus tonen:

S 10.10.10.0 255.255.255.0 [1/0] via 192.168.1.1, outside
                                    [1/0] via 192.168.1.2, outside
                                    [1/0] via 192.168.1.3, outside

Open het snelste pad voor het eerste routingprotocol dat wordt gebruikt om het ECMP te voltooien

Open Snelste pad (OSPF) kan worden geconfigureerd om ECMP te gebruiken door routes met dezelfde kostenpad te bieden. Hieronder is een voorbeeld van het gebruik van OSPF tussen een ASA en twee aangrenzende routers.

In dit voorbeeld, de twee routers op de buitenkant run OSPF, die worden geconfigureerd om standaardroutes naar de ASA te injecteren. Standaardroutes worden toegevoegd aan de routingtabel van de ASA, en aangezien ze dezelfde metriek verzenden, voegt de ASA ze toe als ECMP's aan het standaard doelnetwerk.

OSPF is in dit document ingesteld. Hoe dan ook een routingprotocol dat de ASA-ondersteuning biedt, kan worden gebruikt, zoals het Enhanced Interior Gateway Routing Protocol (DHCP).

Monsterconfiguratie

ASA:

router ospf 10
 network 10.10.10.0 255.255.255.0 area 0
 log-adj-changes

router 1:

router ospf 10
 network 10.10.10.0 0.0.0.255 area 0 
 default-information originate metric 10

router 2:

router ospf 10
 network 10.10.10.0 0.0.0.255 area 0 
 default-information originate metric 10

De standaard-informatie opdrachtset de metriek op 10, die, wanneer ontvangen door de ASA, de route met hetzelfde kostenpad zal installeren.

Uitvoer van route op de ASA-modus tonen:

O*E2 0.0.0.0 0.0.0.0 [110/1] via 10.10.10.1, 0:10:18, outside
                            [110/1] via 10.10.10.2, 0:10:18, outside

Verifiëren

Er is momenteel geen verificatieprocedure beschikbaar voor deze configuratie.

Problemen oplossen

Als DHCP wordt gebruikt om ECMP te voltooien, verwijs naar Cisco bug-ID CSCti54545 (alleen geregistreerde klanten), zal de metriek u niet goed op ASA bijwerken.

Gerelateerde informatie

• Cisco ASA 5500 Series configuratiegids met behulp van de CLI, 8.2, Statische en standaard routers
• Cisco ASA 5500 Series configuratiegids met behulp van de CLI, 8.2, configureren OSPF-OSPF
• OSPF-ontwerpgids
• Technische ondersteuning en documentatie