在FDM管理的FTD上，透過路由型VPN設定BGP
簡介
本檔案介紹在FirePower裝置管理員(FDM)管理的FTDv上，透過路由型站台對站台VPN設定BGP。
必要條件
需求
思科建議您瞭解以下主題：
- 對VPN的基本瞭解
- FTDv上的BGP組態
- 使用FDM的經驗
採用元件
本文中的資訊係根據以下軟體和硬體版本：
- Cisco FTDv版本7.4.2
- Cisco FDM 7.4.2版
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。
設定
網路圖表
托波
VPN上的配置
步驟 1.確保節點之間的IP互連就緒且穩定。FDM上的智慧型授權已順利註冊至智慧帳戶。
步驟 2. Site1客戶端的網關配置有Site1 FTD的內部IP地址(192.168.70.1)。Site2客戶端的網關配置有Site2 FTD的內部IP地址(192.168.50.1)。此外，請確保在FDM初始化後，正確設定兩個FTD上的預設路由。
登入每個FDM的GUI。導航到Device > Routing。按一下View Configuration。按一下Static Routing頁籤以驗證預設靜態路由。
站點1_FTD_網關
站點2_FTD_網關
步驟 3.配置基於路由的站點到站點VPN。 在本範例中，首先設定Site1 FTD。
步驟 3.1. 登入Site1 FTD的FDM GUI。為Site1 FTD的內部網路建立新網路對象。 導航到Objects > Networks，按一下+按鈕。
Create_Network_Object
步驟 3.2.提供必要資訊。按一下OK 按鈕。
- 名稱：inside_192.168.70.0
- 型別：網路
- 網路：192.168.70.0/24
站點1_內部_網路
步驟 3.3.導航到Device > Site-to-Site VPN。點選View Configuration。
檢視站點到站點VPN
步驟 3.4.開始建立新的站點到站點VPN。點選CREATE SITE-TO-SITE CONNECTION。
Create_Site-to-Site_Connection
步驟 3.5.提供必要資訊。
- 連線配置檔名稱：Demo_S2S
- 型別：基於路由(VTI)
- 本地VPN訪問介面：按一下下拉選單，然後按一下
Create new Virtual Tunnel Interface。
Create_VTI_in_VPN_Wizard
步驟 3.6.提供必要資訊以建立新的VTI。 按一下OK按鈕。
- 名稱：demovti
- 通道ID：1
- 隧道源：外部(GigabitEthernet0/0)
- IP地址和子網掩碼：169.254.10.1/24
- 狀態：按一下滑杆至「已啟用」位置
建立_VTI_細節
步驟 3.7.繼續提供必要資訊。 按一下NEXT按鈕。
- 本地VPN訪問介面：demovti（在步驟3.6中建立。）
- 遠端IP地址：192.168.10.1
VPN_Wizard_Endpoint_Step1
步驟 3.8.導航到IKE Policy。按一下EDIT按鈕。
Edit_IKE_Policy
步驟 3.9. 對於IKE策略，您可以使用預定義策略，或者按一下Create New IKE Policy建立新策略。
在本示例中，切換現有IKE策略AES-SHA-SHA，並建立一個新策略用於演示。按一下OK按鈕進行儲存。
- 名稱：AES256_DH14_SHA256_SHA256
- 加密：AES、AES256
- DH組：14
- 完整性雜湊：SHA、SHA256
- PRF雜湊：SHA、SHA256
- 存留期：86400 （預設）
Add_New_IKE_Policy
啟用_新建_IKE_策略
步驟 3.10. 導航到IPSec建議。按一下EDIT按鈕。
Edit_IKE_Proposal
步驟 3.11. 對於IPSec提議，您可以使用預定義或者按一下建立新的IPSec提議建立一個新提議。在此範例中，建立用於示範的新範例。請提供必要資訊。按一下OK按鈕進行儲存。
- 名稱：AES256_SHA256
- 加密：AES、AES256
- 完整性雜湊：SHA1、SHA256
增加_新建_IPSec_提議
啟用_新建_IPSec_提議
步驟 3.12.配置預共用金鑰。按一下NEXT按鈕。
記下這個預共用金鑰，稍後在Site2 FTD上配置它。
Configure_Pre_Shared_Key
步驟 3.13.檢視VPN配置。如果需要修改任何內容，請按一下BACK按鈕。如果一切正常，請按一下FINISH按鈕。
VPN_Wizard_Complete
步驟 3.14.建立存取控制規則，以允許流量透過FTD。在本例中，允許全部用於演示目的。 根據您的實際需求修改策略。
Access_Control_Rule_Example
步驟3.15. （可選）如果為客戶端配置了動態NAT以訪問網際網路，請在FTD上為客戶端流量配置NAT免除規則。在本範例中，不需要設定NAT豁免規則，因為每個FTD上都沒有設定動態NAT。
步驟 3.16.部署配置更改。
部署_VPN_配置
BGP上的配置
步驟 4. 導航到裝置>路由。按一下View Configuration。
檢視_路由_組態
步驟 5.按一下BGP頁籤，然後按一下CREATE BGP OBJECT。
Create_BGP_Object
步驟 6.提供物件的名稱。 導航到模板並進行配置。按一下OK按鈕進行儲存。
名稱：demobgp
第1行：配置AS編號。按一下as-number。手動輸入本地AS編號。在本例中，Site1 FTD的AS編號65511。
第2行：配置IP協定。按一下ip-protocol。選擇ipv4。
Create_BGP_Object_ASNumber_Protocol
第4行：配置更多設定。按一下settings，選擇general，然後按一下Show disabled。
Create_BGP_Object_AddressSetting
第6行：點選+圖示可允許該行配置BGP網路。按一下network-object。您可以檢視現有的可用物件，然後選擇一個物件。在本示例中，選擇對象name inside_192.168.70.0（在步驟3.2中建立）。
Create_BGP_Object_Add_Network
Create_BGP_Object_Add_Network2
第11行：點選+圖示可允許該行配置BGP鄰居相關資訊。按一下neighbor-address，然後手動輸入對等體BGP鄰居地址。在本例中，它是169.254.10.2（站點2 FTD的VTI IP地址）。按一下as-number，然後手動輸入對等體AS編號。在本例中，65510用於站點2 FTD。按一下config-options 並選擇properties。
Create_BGP_Object_NeighborSetting
第14行：點選+圖示以啟用該行以配置鄰居的某些屬性。按一下activate-options並選擇properties。
Create_BGP_Object_NeighborSetting_Properties
第13行：點選+圖示以顯示該行的高級選項。按一下設定並選擇高級。
Create_BGP_Object_NeighborSetting_Properties_Advanced
第18行：點選選項並選擇停用以停用路徑MTU發現。
Create_BGP_Object_NeighborSetting_Properties_Advanced_PMD
明細行14、15、16、17：按一下-按鈕以停用明細行。然後，按一下OK按鈕以儲存BGP對象。
Create_BGP_Object_DisableLine
以下是此範例中BGP設定的概觀。您可以根據實際需求配置其他BGP設定。
Create_BGP_Object_Final_Overview
步驟 7.部署BGP配置更改。
部署_BGP_配置
步驟 8.現在，Site1 FTD的配置已完成。
若要設定Site2 FTD VPN和BGP，請對Site2 FTD的對應引數重複步驟3.到步驟7。
Site1 FTD和Site2 FTD在CLI中的配置概述。
| 站點1 FTD |
站點2 FTD |
| NGFW版本7.4.2 interface GigabitEthernet0/0nameif outside cts手冊 propagate sgt preserve-untag 策略靜態sgt已停用受信任 安全性層級0 ip address 192.168.30.1 255.255.255.0 interface GigabitEthernet0/2 nameif inside 安全性層級0 ip address 192.168.70.1 255.255.255.0 interface Tunnel1 nameif demovti ip address 169.254.10.1 255.255.255.0 隧道源介面外部 隧道目標192.168.10.1 通道模式ipsec ipv4 通道保護ipsec設定檔ipsec_profile|e4084d322d 對象網路OutsideIPv4網關 主機192.168.30.3 object network inside_192.168.70.0 子網192.168.70.0 255.255.255.0 access-group NGFW_ONBOX_ACL global access-list NGFW_ONBOX_ACL remark rule-id 268435457： ACCESS POLICY： NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 268435457： L5 RULE： Inside_Outside_Rule access-list NGFW_ONBOX_ACL advanced trust object-group | 任何ifc內268435457任何rule-id268435457事件日誌兩者之外的acSvcg-inter any ifc access-list NGFW_ONBOX_ACL remark rule-id 268435458： ACCESS POLICY： NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 268435458： L5 RULE： Demo_allow access-list NGFW_ONBOX_ACL advanced permit object-group |acSvcg-268435458 any any rule-id 268435458 event-log both access-list NGFW_ONBOX_ACL remark rule-id 1：訪問策略：NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 1： L5 RULE： DefaultActionRule access-list NGFW_ONBOX_ACL advanced deny ip any any rule-id 1 router bgp 65511 bgp log-neighbor-changes bgp router-id vrf auto-assign address-family ipv4 unicast neighbor 169.254.10.2 remote-as 65510 neighbor 169.254.10.2 transport path-mtu-discovery disable 鄰居169.254.10.2啟用 網路192.168.70.0 no auto-summary 無同步 exit-address-family 0.0.0.0 0.0.0.0 192.168.30.3 1外部的路由 crypto ipsec ikev2 ipsec-proposal AES256_SHA256 協定esp加密aes-256 aes 協定esp完整性sha-256 sha-1 crypto ipsec profile ipsec_profile|e4084d322d set ikev2 ipsec-proposal AES256_SHA256 set security-association lifetime kilobytes 4608000 set security-association lifetime seconds 28800 crypto ipsec security-association pmtu-aging infinite crypto ikev2 policy 1 加密aes-256 aes 完整性sha256 sha 群組14 prf sha256 sha lifetime seconds 86400 crypto ikev2 policy 20 加密aes-256 aes-192 aes integrity sha512 sha384 sha256 sha 組21 20 16 15 14 prf sha512 sha384 sha256 sha lifetime seconds 86400 crypto ikev2 enable outside 組策略 |s2sGP|192.168.10.1內部 組策略 |s2sGP|192.168.10.1屬性 vpn隧道協定ikev2 tunnel-group 192.168.10.1 type ipsec-l2l tunnel-group 192.168.10.1一般屬性 default-group-policy |s2sGP|192.168.10.1 隧道組192.168.10.1 ipsec屬性 ikev2遠端身份驗證預共用金鑰***** ikev2本地身份驗證預共用金鑰***** |
NGFW版本7.4.2 interface GigabitEthernet0/0 nameif outside cts手冊 propagate sgt preserve-untag 策略靜態sgt已停用受信任 安全性層級0 ip address 192.168.10.1 255.255.255.0 interface GigabitEthernet0/2 nameif inside 安全性層級0 ip address 192.168.50.1 255.255.255.0 interface Tunnel1 nameif demovti25 ip address 169.254.10.2 255.255.255.0 隧道源介面外部 隧道目標192.168.30.1 通道模式ipsec ipv4 通道保護ipsec設定檔ipsec_profile|e4084d322d 對象網路OutsideIPv4網關 主機192.168.10.3 object network inside_192.168.50.0 子網192.168.50.0 255.255.255.0 access-group NGFW_ONBOX_ACL global access-list NGFW_ONBOX_ACL remark rule-id 268435457： ACCESS POLICY： NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 268435457： L5 RULE： Inside_Outside_Rule access-list NGFW_ONBOX_ACL advanced trust object-group | 任何ifc內268435457任何rule-id268435457事件日誌兩者之外的acSvcg-inter any ifc access-list NGFW_ONBOX_ACL remark rule-id 268435458： ACCESS POLICY： NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 268435458： L5 RULE： Demo_allow access-list NGFW_ONBOX_ACL advanced permit object-group |acSvcg-268435458 any any rule-id 268435458 event-log both access-list NGFW_ONBOX_ACL remark rule-id 1：訪問策略：NGFW_Access_Policy access-list NGFW_ONBOX_ACL remark rule-id 1： L5 RULE： DefaultActionRule access-list NGFW_ONBOX_ACL advanced deny ip any any rule-id 1 router bgp 65510 bgp log-neighbor-changes bgp router-id vrf auto-assign address-family ipv4 unicast neighbor 169.254.10.1 remote-as 65511 neighbor 169.254.10.1 transport path-mtu-discovery disable 鄰居169.254.10.1啟用 網路192.168.50.0 no auto-summary 無同步 exit-address-family 0.0.0.0 0.0.0.0 192.168.10.3 1外部的路由 crypto ipsec ikev2 ipsec-proposal AES256_SHA256 協定esp加密aes-256 aes 協定esp完整性sha-256 sha-1 crypto ipsec profile ipsec_profile|e4084d322d set ikev2 ipsec-proposal AES256_SHA256 set security-association lifetime kilobytes 4608000 set security-association lifetime seconds 28800 crypto ipsec security-association pmtu-aging infinite crypto ikev2 policy 1 加密aes-256 aes 完整性sha256 sha 群組14 prf sha256 sha lifetime seconds 86400 crypto ikev2 policy 20 加密aes-256 aes-192 aes integrity sha512 sha384 sha256 sha 組21 20 16 15 14 prf sha512 sha384 sha256 sha lifetime seconds 86400 crypto ikev2 enable outside 組策略 |s2sGP|192.168.30.1內部 組策略 |s2sGP|192.168.30.1屬性 vpn隧道協定ikev2 tunnel-group 192.168.30.1 type ipsec-l2l tunnel-group 192.168.30.1一般屬性 default-group-policy |s2sGP|192.168.30.1 隧道組192.168.30.1 ipsec屬性 ikev2遠端身份驗證預共用金鑰***** ikev2本地身份驗證預共用金鑰***** |
驗證
使用本節內容，確認您的組態是否正常運作。
步驟 1.透過控制檯或SSH導航到每個FTD的CLI，透過show crypto ikev2 sa和show crypto ipsec sa命令驗證階段1和階段2的VPN狀態。
| 站點1 FTD | 站點2 FTD |
| ftdv742# show crypto ikev2 sa IKEv2 SA： Session-id：134， Status：UP-ACTIVE， IKE count：1， CHILD count：1 隧道ID本地遠端fvrf/ivrf狀態角色 563984431 192.168.30.1/500 192.168.10.1/500 Global/Global READY RESPONDER 加密：AES-CBC，金鑰大小：256，雜湊：SHA256，DH組：14，身份驗證簽名：PSK，身份驗證驗證：PSK 壽命/活動時間：86400/5145秒 子sa：本地選擇器0.0.0.0/0 - 255.255.255.255/65535 遠端選擇器0.0.0.0/0 - 255.255.255.255/65535 ESP spi輸入/輸出： 0xf0c4239d/0xb7b5b38b |
ftdv742# show crypto ikev2 sa IKEv2 SA： Session-id：13， Status：UP-ACTIVE， IKE count：1， CHILD count：1 隧道ID本地遠端fvrf/ivrf狀態角色 |
| ftdv742# show crypto ipsec sa 介面：demovti 受保護的vrf (ivrf)：全球 #pkts encaps： 5720，#pkts encrypt： 5720，#pkts digest： 5720 本地加密端點： 192.168.30.1/500，遠端加密端點： 192.168.10.1/500 入站esp sa： |
ftdv742# show crypto ipsec sa 介面：demovti25 受保護的vrf (ivrf)：全球 #pkts encaps： 5721， #pkts encrypt： 5721， #pkts digest： 5721 本地加密端點： 192.168.10.1/500，遠端加密端點： 192.168.30.1/500 入站esp sa： |
步驟 2. 使用命令show bgp neighbors和show route bgp透過控制檯或SSH導航到每個FTD的CLI以驗證BGP狀態。
| 站點1 FTD | 站點2 FTD |
| ftdv742# show bgp neighbors BGP鄰居是169.254.10.2，vrf single_vf，遠端AS 65510，外部鏈路 出站入站 已啟用地址跟蹤，RIB確實具有到169.254.10.2的路由 |
ftdv742# show bgp neighbors BGP鄰居是169.254.10.1，vrf single_vf，遠端AS 65511，外部鏈路 出站入站 已啟用地址跟蹤，RIB確實具有到169.254.10.1的路由 |
| ftdv742# show route bgp 代碼：L -本地，C -已連線，S -靜態，R - RIP，M -移動，B - BGP B 192.168.50.0 255.255.255.0 [20/0]（透過169.254.10.2,1d20h） |
ftdv742# show route bgp 代碼：L -本地，C -已連線，S -靜態，R - RIP，M -移動，B - BGP B 192.168.70.0 255.255.255.0 [20/0]（透過169.254.10.1,1d20h） |
步驟 3.Site1客戶端和Site2客戶端相互之間成功ping通。
站點1客戶端：
Site1_Client#ping 192.168.50.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.50.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 31/56/90 ms
站點2客戶端：
Site2_Client#ping 192.168.70.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.70.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 12/39/71 ms
疑難排解
本節提供的資訊可用於對組態進行疑難排解。
可使用這些debug命令對VPN部分進行故障排除。
debug crypto ikev2 platform 255
debug crypto ikev2 protocol 255
debug crypto ipsec 255
debug vti 255
可使用這些debug命令排除BGP部分故障。
ftdv742# debug ip bgp ?
A.B.C.D BGP neighbor address
all All address families
events BGP events
import BGP path import across topologies, VRFs or AFs in BGP Inbound information
ipv4 Address family
ipv6 Address family
keepalives BGP keepalives
out BGP Outbound information
range BGP dynamic range
rib-filter Next hop route watch filter events
updates BGP updates
vpnv4 Address family
vpnv6 Address family
vrf VRF scope
<cr>
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
21-Oct-2024 |
初始版本 |
意見