Introducción
Este documento describe el cambio en el comportamiento de la inyección de la ruta VPN en la tabla de ruteo BGP a partir de la versión 7.1.
Prerequisites
Requirements
Cisco recomienda que tenga conocimiento sobre estos temas:
- Conocimiento de la tecnología Firepower
- Conocimientos sobre la configuración de BGP y anuncio de ruta
Componentes Utilizados
La información que contiene este documento se basa en las siguientes versiones de software y hardware.
- Cisco Secure Firewall Management Center (FMC)
- Cisco Firepower Threat Defence (FTD)
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Antecedentes
El requisito es anunciar las rutas VPN sobre BGP.
Las rutas VPN se filtran mediante criterios coincidentes de siguiente salto.
La lista de acceso estándar está configurada para coincidir con un salto siguiente 0.0.0.0.
Cambio de comportamiento
En la versión 6.6.5, las rutas VPN se inyectan en la tabla de ruteo BGP con el salto siguiente configurado en 0.0.0.0.
En la versión 7.1, las rutas VPN se insertan en la tabla de ruteo BGP con el salto siguiente configurado como la dirección IP de red de la subred correspondiente.
Configuración
Configuración de BGP:
router bgp 12345 bgp log-neighbor-changes bgp router-id vrf auto-assign address-family ipv4 unicast neighbor 172.30.0.21 remote-as 12346 neighbor 172.30.0.21 description CISCO-FTD-B neighbor 172.30.0.21 transport path-mtu-discovery disable neighbor 172.30.0.21 timers 10 40 neighbor 172.30.0.21 fall-over bfd neighbor 172.30.0.21 ha-mode graceful-restart neighbor 172.30.0.21 activate neighbor 172.30.0.21 send-community neighbor 172.30.0.21 route-map VPN_INSIDE_IN in neighbor 172.30.0.21 route-map VPN_INSIDE_OUT out redistribute static redustribute connected no auto-summary no synchronization exit-address-family
Configuración del mapa de ruta:
firepower# sh run route-map VPN_INSIDE_OUT route-map VPN_INSIDE_PRI_OUT permit 10 match ip next-hop NextHopZeroes firepower# sh run access-list NextHopZeroes access-list NextHopZeroes standard permit host 0.0.0.0
Con esta configuración, BGP anuncia solamente las rutas para las cuales el salto siguiente se define como 0.0.0.0.
Instalación de rutas VPN en la tabla de ruteo:
firepower# sh route | inc 172.20.192
V 172.20.192.0 255.255.252.0 connected by VPN (advertised), VPN-OUTSIDE
Salida de show bgp:
En la versión 6.6.5
show bgp :
*> 172.20.192.0/22 0.0.0.0 0 32768 ?
Se puede ver que la subred 172.20.192.0/22 está instalada en la tabla BGP con la IP de siguiente salto definida como 0.0.0.0.
En la versión 7.1
show bgp :
*> 172.20.192.0/22 172.20.192.0 0 32768 ?
Se puede ver que la subred 172.20.192.0/22 está instalada en la tabla BGP con la IP de siguiente salto definida como la IP de red de subred : 172.20.192.0.
Escenario de impacto
Si la configuración incluye un route-map configurado para coincidir con una IP de siguiente salto de 0.0.0.0, el filtrado de rutas se verá afectado y las rutas VPN no se anunciarán.
Solución
Dos soluciones disponibles:
- Cree una lista de todas las subredes VPN y configúrelas individualmente para el anuncio sobre BGP. Nota: Este método no es escalable.
- Configure BGP para anunciar las rutas generadas localmente. Aplicar este comando de configuración:
route-map <route-map-name> permit 10
match route-type local
Al implementar una de las soluciones previamente discutidas, FTD anuncia las rutas inyectadas por VPN a través de BGP.
Comentarios