Inhalt

Einleitung

Voraussetzungen

Anforderungen

Lizenzierung

Verwendete Komponenten

Hintergrundinformationen

Funktionsüberblick

VRF-Unterstützung

Routingrichtlinien

Überlappende Netzwerke

Konfiguration

FMC

FDM

REST-API

FMC

FDM

Anwendungsfälle

Service Provider

Freigegebene Ressourcen

Überlappendes Netzwerk mit Hosts kommunizieren miteinander

BGP-Route Leaking

Verifizierung

Fehlerbehebung

Verwandte Links

Einleitung

In diesem Dokument wird die Virtual Routing and Forwarding (VRF) in Cisco Secure Firewall Threat Defense (FTD).

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

- Cisco Secure Firewall Threat Defense (FTD)Sichere Firewall-Bedrohungsabwehr (FTD)

- Virtual Routing and Forwarding (VRF)

- Dynamic Routing Protocols (OSPF, BGP)

Lizenzierung

Keine spezifische Lizenzanforderung, die Basislizenz ist ausreichend

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- Cisco Secure Firewall Threat Defense (FTD), Secure Firewall Management Center (FMC) Version 7.2

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle verstehen.

Hintergrundinformationen

Die Fehlermeldung Virtual Routing and Forwarding (VRF) wurde in der FTD-Softwareversion 6.6 hinzugefügt.

Diese Funktion bietet die folgenden Vorteile:

- Trennung von Routing-Tabellen

- Netzwerksegmente mit Überschneidungen bei IP-Adressräumen

- VRF-Lite

- FXOS Multi-Instance-Unterstützung für Anwendungsfälle der Multi-Context-Migration

- BGP Route Leak Support-v4v6 und BGPv6 VTI Support Funktionen wurden in der FTD-Softwareversion 7.1 hinzugefügt.

Funktionsüberblick

VRF-Unterstützung

"Slot0:"

Maximale Anzahl virtueller Router

ASA

10-20

FirePOWER 1000

5-10 x 1010 (7,2+)

Firepower 2100

10-40

Firepower 3100

15-100

Firepower 4100

60-100

Firepower 9300

60-100

Virtuelle FTD

30

ISA 3000

10 (7,0+)

VRF-Grenzwerte pro Blade mit nativem Modus

Routingrichtlinien

Richtlinien

Globales VRF

Benutzer-VRF

Statische Route

✓

✓

OSPFv2

✓

✓

OSPFv3

✓

✖

RIP

✓

✖

BGPv4

✓

✓

BGPv6

✓

✓ (7,1+)

IRB (BVI)

✓

✓

EIGRP

✓

✖

Überlappende Netzwerke

Richtlinien

Nicht überlappend

Überlappende Netzwerke

Routing und IRB

✓

✓

AVC

✓

✓

SSL-Verschlüsselung

✓

✓

Intrusion Detection und Malware Detection (IPS und Dateirichtlinie)

✓

✓

VPN

✓

✓

Malware-Ereignisanalyse (Hostprofile, IoC, File Trajectory)

✓

✖

Threat-Intelligence (TID)

✓

✖

Konfiguration

FMC

Schritt 1: Navigieren Sie zu  Devices > Device Management , und bearbeiten Sie die FTD, die konfiguriert werden soll.

Schritt 2: Zur Registerkarte navigieren  Routing

Schritt 3: Klicken Sie auf  Manage Virtual Routers .

Schritt 4: Klicken Sie auf  Add Virtual Router .

Schritt 5: Geben Sie im Feld Virtuellen Router hinzufügen einen Namen und eine Beschreibung für den virtuellen Router ein.

Schritt 6: Klicken Sie auf  Ok .

Schritt 7. Um Schnittstellen hinzuzufügen, wählen Sie die Schnittstelle unter Available Interfaces ein, und klicken Sie auf  Add .

Schritt 8: Konfigurieren Sie das Routing im virtuellen Router.

- OSPF

- RIP

- BGP

- Statisches Routing

- Multicast

FDM

Schritt 1: Navigieren Sie zu  Device > Routing .

Schritt 2:

- Wenn keine virtuellen Router erstellt wurden, klicken Sie auf  Add Multiple Virtual Routers , und klicken Sie dann auf  Create First Customer Virtual Router .

- Klicken Sie auf die Schaltfläche + oben in der Liste der virtuellen Router, um einen neuen zu erstellen.

Schritt 3: Im Add Virtual Router Box. Geben Sie den Namen und die Beschreibung des virtuellen Routers ein.

Schritt 4: Klicken Sie auf +, um jede Schnittstelle auszuwählen, die Teil des virtuellen Routers sein soll.

Schritt 5: Klicken Sie auf  Ok .

Schritt 6: Konfigurieren Sie Routing im Virtual Router.

- OSPF

- RIP

- BGP

- Statisches Routing

- Multicast

REST-API

FMC

FMC unterstützt voll CRUD auf virtuellen Routern.

Der Pfad für die Anrufe des virtuellen Routers befindet sich unter Devices > Routing > virtualrouters

FDM

Der FDM unterstützt den vollständigen CRUD-Betrieb auf virtuellen Routern.

Der Pfad für die Anrufe des virtuellen Routers befindet sich unter Devices > Routing > virtualrouters

Anwendungsfälle

Service Provider

In separaten Routing-Tabellen sind zwei Netzwerke nicht miteinander verknüpft, und es findet keine Kommunikation zwischen ihnen statt.

Überlegungen:

- In diesem Szenario gibt es keine besonderen Überlegungen.

Freigegebene Ressourcen

Verbinden Sie zwei virtuelle Router, um Ressourcen von jedem dieser Router freizugeben und Verbindungen von Customer A zu Customer B und umgekehrt.

Überlegungen:

- Konfigurieren Sie auf jedem virtuellen Router eine statische Route, die mit der Schnittstelle des anderen virtuellen Routers auf das Zielnetzwerk verweist.

Beispiel:

Im virtuellen Router für Customer A, eine Route mit als Ziel der Customer B Schnittstelle ohne jegliche IP-Adresse als Gateway (wird nicht benötigt, wird als route leaking ).

Wiederholen Sie den gleichen Vorgang für Customer B.

Überlappendes Netzwerk mit Hosts kommunizieren miteinander

Es gibt zwei virtuelle Router mit denselben Netzwerkadressen und einem Datenaustausch zwischen diesen.

Überlegungen:

Um eine Kommunikation zwischen den beiden Netzwerken zu ermöglichen, konfigurieren Sie eine zweimal vorhandene NAT, um die Quell-IP-Adresse außer Kraft zu setzen, und legen Sie eine gefälschte IP-Adresse fest.

BGP-Route Leaking

Es gibt einen benutzerdefinierten virtuellen Router, dessen Routen an den globalen virtuellen Router geleitet werden müssen.

Die externe Schnittstelle leitet von der globalen Schnittstelle, die an den benutzerdefinierten virtuellen Router weitergeleitet werden soll, weiter.

Überlegungen:

- Vergewissern Sie sich, dass die FTD-Version 7.1+ ist.

- Verwenden Sie die Optionen Importieren/Exportieren im  BGP > IPv4  Menü.

- Verwenden Sie route-map zur Verteilung.

Verifizierung

Mit den folgenden Befehlen können Sie überprüfen, ob der virtuelle Router erstellt wurde:

firepower# show vrf

Name                             VRF ID     Description     Interfaces

VRF_A                            1          VRF A               DMZ

firepower# show vrf detail

VRF Name: VRF_A; VRF id = 1 (0x1)

VRF VRF_A (VRF Id = 1);

Description: This is VRF for customer A

Interfaces:

Gi0/2

Address family ipv4 (Table ID = 1 (0x1)):

...

Address family ipv6 (Table ID = 503316481 (0x1e000001)):

...

VRF Name: single_vf; VRF id = 0 (0x0)

VRF single_vf (VRF Id = 0);

No interfaces

Address family ipv4 (Table ID = 65535 (0xffff)):

...

Address family ipv6 (Table ID = 65535 (0xffff)):

...

Fehlerbehebung

Die Befehle zum Erfassen und Diagnostizieren von VRF-Informationen sind wie folgt:

Alle VRFs

- show route all

- show asp table routing all

- packet tracer

Globales VRF

- show route

- show [bgp|ospf] [subcommands]

Benutzerdefiniertes VRF

- show route [bgp|ospf] vrf {name}

Verwandte Links

Cisco Secure Firewall Management Center - Gerätekonfigurationsanleitung, 7.2 - Virtuelle Router Cisco Secure Firewall Management Center - Cisco

Cisco Secure Firewall Device Manager Configuration Guide, Version 7.2 - Virtual Router Cisco Secure Firewall Threat Defense - Cisco