Configureer eBGP met Loopback-interface op beveiligde firewall

Inleiding

Dit document beschrijft hoe u eBGP kunt configureren met behulp van een Loopback-interface in de Cisco Secure Firewall.

Voorwaarden

Vereisten

Cisco raadt u aan bekend te zijn met dit onderwerp:

• BGP-protocol

Ondersteuning van Loopback-interface voor BGP is geïntroduceerd in versie 7.4.0, de minimumversie die vereist is voor Secure Firewall Management Center en Cisco Secure Firepower Threat Defence.

Gebruikte componenten

• Secure Firewall Management Center voor VMware versie 7.4.1
• 2 Cisco Secure Firepower Threat Defence voor VMware versie 7.4.1

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

BGP is een gestandaardiseerd pad-vector routingprotocol (EGP) voor Exterior Gateway Protocol (BGP) dat schaalbaarheid, flexibiliteit en netwerkstabiliteit biedt. De BGP-sessie tussen twee peers met hetzelfde Autonomous System (AS) wordt Internal BGP (iBGP) genoemd. Een BGP-sessie tussen twee peers met verschillende Autonomous Systems (AS) wordt Externe BGP (eBGP) genoemd.

Meestal wordt de peer-relatie ingesteld met het IP-adres van de interface die het dichtst bij de peer staat, maar het gebruik van een Loopback-interface om de BGP-sessie op te zetten is nuttig omdat het de BGP-sessie niet omlaag brengt wanneer er meerdere paden zijn tussen BGP-peers.

Opmerking: Het proces beschrijft het gebruik van een Loopkack voor een eBGP-peer, maar het is hetzelfde proces voor een iBGP-peer, zodat het als referentie kan worden gebruikt.

eBGP-configuratie met een terugkoppelingsinterface

Scenario

In deze configuratie heeft Firewall SFTD-1 een Loopback-interface met het IP-adres 10.1.1.1/32 en het AS-64000, heeft de Firewall SFTD-2 een Loopback-interface met het IP-adres 10.2.2.2/32 en het AS-64001. Beide firewalls gebruiken hun buiteninterface om de Loopback-interface van de andere firewall te bereiken (in dit scenario is de buiteninterface op beide firewalls vooraf geconfigureerd).

Netwerkdiagram

Het netwerk in dit document is als volgt opgebouwd:

Afbeelding 1. Schema van het scenario

Terugbelconfiguratie

Stap 1. Klik op Apparaten > Apparaatbeheer en selecteer vervolgens het apparaat waarop u de terugbelverbinding wilt configureren.

Stap 2. Klik op Interfaces > Alle interfaces.

Stap 3. Klik op Add Interface > Loopback Interface.

Afbeelding 2. Interfaceloopback toevoegen

Stap 4. In de Algemene sectie, vorm de naam van Loopback, controleer het Toegelaten vakje, en vorm Loopback ID.

Afbeelding 3. Basisconfiguratie van loopback-interface

Stap 5. Selecteer in het gedeelte IPv4 de optie Statische IP gebruiken in het gedeelte IP-type, configureer de loopback-IP en klik vervolgens op OK om de wijzigingen op te slaan.

Afbeelding 4. Configuratie van IP-adres voor terugbellen

Stap 6. Klik op Save (Opslaan).

Afbeelding 5. De configuratie van de Loopback-interface opslaan

Stap 7. Herhaal het proces met de tweede firewall.

Afbeelding 6. Configuratie van Loopback-interface op peer

Statische routeconfiguratie

Een statische route moet worden geconfigureerd om ervoor te zorgen dat het externe peer-adres (Loopback) dat wordt gebruikt voor peering bereikbaar is via de gewenste interface.

Stap 1. Klik op Apparaten > Apparaatbeheer en selecteer vervolgens het apparaat dat u de statische route wilt configureren.

Stap 2. Klik op Routing > Virtual Routers beheren > Static Route en klik vervolgens op Add Route.

Afbeelding 7. Nieuwe statische route toevoegen

Stap 3. Controleer IPv4 op Type. Selecteer de fysieke interface die wordt gebruikt om de Loopback van de externe peer in de interfaceoptie te bereiken en specificeer vervolgens de volgende hop om de Loopback in de sectie Gateway te bereiken.

Afbeelding 8. Statische routeconfiguratie

Stap 4. Klik op het pictogram (+) naast de sectie Beschikbare netwerken.

Afbeelding 9. Nieuw netwerkobject toevoegen

Stap 5. Configureer een naam voor referentie en het IP van de Dekking van de externe peer en Sla op.

Afbeelding 10. Netwerkbestemming in de statische route configureren

Stap 6. Zoek het nieuwe object dat in de zoekbalk is gemaakt, selecteer het, klik vervolgens op Toevoegen en klik vervolgens op OK.

Afbeelding 11. Configureer volgende hop in statische route

Stap 7. Klik op Save (Opslaan).

Afbeelding 12. De configuratie van de statische routeinterface opslaan

Stap 8. Herhaal het proces met de tweede firewall.

Afbeelding 13. Statische route op peer configureren

BGP-configuratie

Stap 1. Klik op Apparaten > Apparaatbeheer en selecteer het apparaat dat u BGP wilt inschakelen.

Stap 2. Klik op Routing > Virtual Routers beheren > Algemene instellingen en klik vervolgens op BGP.

Stap 3. Controleer het vakje BGP inschakelen en configureer vervolgens de lokale AS van de firewall in het gedeelte AS-nummer.

Afbeelding 14. BGP wereldwijd inschakelen

Stap 4. Sla de wijzigingen op door op de knop Opslaan te klikken.

Afbeelding 15. BGP opslaan Wijzigingen inschakelen

Stap 5. In de sectie Virtuele routers beheren gaat u naar de BGP-optie en klikt u vervolgens op IPv4.

Stap 6. Controleer het vakje IPv4 inschakelen, klik vervolgens op Buren en klik vervolgens op + Toevoegen.

Afbeelding 16. Voeg een nieuwe BGP-peer toe

Stap 7. Configureer het IP-adres van de externe peer in de sectie IP-adres, configureer vervolgens het AS van de externe peer in de sectie Remote AS en controleer het vakje Adres inschakelen.

Stap 8. Selecteer de lokale interface Loopback in de sectie Update Source.

Afbeelding 17. Basis BGP-peer parameters

Opmerking: De Update Source optie maakt het buurupdate-bron commando, gebruikt om elke operationele interface (inclusief Loopbacks) toe te staan. Deze opdracht kan worden gespecificeerd om TCP-verbindingen tot stand te brengen.

Stap 9. Klik op Advanced, configureer vervolgens nummer 2 in de optie TTL Hops en klik op OK.

Afbeelding 18. Het hopnummer van TTL’s configureren

Opmerking: de optie TTL Hops schakelt de ebgp-multihop-opdracht in, die wordt gebruikt om de TTL-waarde te wijzigen, zodat het pakket de externe BGP-peer kan bereiken die niet direct verbonden is of een andere interface heeft dan de direct verbonden interface.

Stap 10. Klik op Opslaan en voer de wijzigingen in.

Afbeelding 19. De BGP-configuratie opslaan

Stap 11. Herhaal het proces met de tweede firewall.

Afbeelding 20. BGP op peer configureren

Verifiëren

Stap 1. Controleer de Loopback- en statische routeconfiguratie en controleer vervolgens de connectiviteit tussen BGP-peers met een ping-test.

toon in werking stellen-config interface interface_name

toon in werking stelt -in werking stellen-configuratieroute

toon destinatie_ip

SFTD-1

SFTD-2

tonen in werking stelt -in werking stellen-configuratieinterface Loopback1 interface-loopback1 naam Loopback1 IP-adres 10.1.1.1 255.255.255.255 toon in werking stelt -in werking stellen-configuratieroute route buiten 10.2.2.2 255.255.255.255 10.10.10.2 1 ping 10.2.2.2 Verzend 5, 100-byte ICMP Echos naar 10.2.2.2, tijd is 2 seconden: !!!!! Succespercentage is 100 procent (5/5), ronde-trip min/avg/max = 1/1/1 ms

tonen in werking stelt -in werking stellen-configuratieinterface Loopback1 interface-loopback1 nameif Looback2 IP-adres 10.2.2.2 255.255.255.255 toon in werking stelt -in werking stellen-configuratieroute route buiten 10.1.1.1 255.255.255.255 10.10.10.1 1 ping 10.1.1.1 Verzend 5, 100-byte ICMP Echos naar 10.1.1.1, tijd is 2 seconden: !!!!! Succespercentage is 100 procent (5/5), ronde-trip min/avg/max = 1/1/1 ms

Stap 2. Controleer de BGP-configuratie en zorg er vervolgens voor dat de BGP-peer is ingesteld.

tonen in werking stelt -in werking stellen-configuratierouter bgp

Toon bgp buren

bgp-overzicht tonen

SFTD-1

SFTD-2

tonen in werking stelt -in werking stellen-configuratierouter bgp router bgp 64000 bgp log-buurwijzigingen bgp router-id vrf automatisch toewijzen IPv4-unicast voor adresfamilie   buur 10.2.2.2 op afstand 64001   buurman 10.2.2.2 bgp-multihop 2   buur 10.2.2.2 transportpad-mtu-discovery uitschakelen   buur 10.2.2.2 update-bron Loopback1   buur 10.2.2.2 activeren   geen automatische samenvatting   geen synchronisatie exit-address-family ! Toon bgp buren |  i BGP-software BGP-buur is 10.2.2.2, vrf single_vf, extern AS-64001, externe link   BGP versie 4, externe router-ID 10.2.2.2   BGP-staat = ingesteld, tot 1 d15 uur   BGP-tabelversie 7, buurversie 7/0   De externe buur van BGP kan tot 2 hop weg zijn. bgp-overzicht tonen BGP-router-id 10.1.1.1, lokaal AS-nummer 64000 BGP-tabelversie 7, hoofdrouteringstabel versie 7 Neighbour V ASmsgRcvd MSG Verzonden TblVer InQ OutQ Up/Down State/PFXRCD 10.2.2.2 4 64001 2167 2162 7 0 0 1d15h 0

tonen in werking stelt -in werking stellen-configuratierouter bgp router bgp 64001 bgp log-buurwijzigingen bgp router-id vrf automatisch toewijzen IPv4-unicast voor adresfamilie   buur 10.1.1.1 afstandsbediening als 64000   buurman 10.1.1.1 bgp-multihop 2   buur 10.1.1.1 transportpad-mtu-discovery uitschakelen   buur 10.1.1.1 update-bron Looback2   buur 10.1.1.1 activeren   geen automatische samenvatting   geen synchronisatie exit-address-family ! Toon bgp buren |  i BGP-software BGP-buur is 10.1.1.1, vrf single_vf, extern AS-64000, externe link   BGP versie 4, externe router-ID 10.1.1.1   BGP-staat = ingesteld, tot 1d16h   BGP-tabelversie 1, buurversie 1/0   De externe buur van BGP kan tot 2 hop weg zijn. bgp-overzicht tonen BGP-router-id 10.2.2.2, lokaal AS-nummer 64001 BGP-tabelversie 1, hoofdrouteringstabel versie 1 Neighbour V ASmsgRcvd MSG Verzonden TblVer InQ OutQ Up/Down State/PFXRCD 10.1.1.4 64000 2168 2173 1 0 0 1d16h 0

Probleemoplossing

Als u problemen ondervindt tijdens het proces, kunt u dit artikel bekijken:

· BGP-protocol (border gateway protocol)