内容

はじめに

前提条件

要件

使用するコンポーネント

背景説明

ガイドラインと制限事項

BGP とメモリ使用量

BGP とフェールオーバー

再帰ルート解決

BGP 有限状態マシンの動作

設定

eBGP の設定

ネットワーク図

ASA-1 の設定

ASA-2 の設定

iBGP の設定

ネットワーク図

ASA-1 の設定

ASA-2 の設定

eBGP と iBGP の違い

eBGP マルチホップ

ASA-1 の設定

ASA-2 の設定

BGP ルート フィルタリング

マルチコンテキストでの ASA BGP の設定

確認

eBGP ネイバーシップの検証

BGP ルート

ASA-1 の設定

ASA-2 の設定

特定の eBGP ルートの詳細

BGP の概要

iBGP ネイバーシップの検証

特定の iBGP ルートの詳細

BGP パケットの TTL 値

再帰ルート解決プロセス

ASA BGP とグレースフル リスタート機能

トラブルシュート

デバッグ

はじめに

このドキュメントでは、ボーダーゲートウェイプロトコル(BGP)(eBGP/iBGP)ルーティングおよびその他の問題を有効にするために必要な手順について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- ダイナミック ルーティング プロトコル

- Cisco BGPの概要

- BGP ケース スタディ

使用するコンポーネント

このドキュメントは、Cisco ASAソフトウェアバージョン9.16が稼働するCisco Firepower 2100シリーズファイアウォールに基づくものです

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

また、BGPルーティングプロセスの確立、一般的なBGPパラメータの設定、適応型セキュリティアプライアンス(ASA)でのルートフィルタリング、ネイバーシップに関連する問題のトラブルシューティング方法についても説明します。この機能は、ASA ソフトウェア バージョン 9.2.1 で導入されました。

ガイドラインと制限事項

- BGPは、IPv4およびIPv6アドレスファミリを使用して、シングルモードとマルチモードの両方でサポートされます。

- マルチ モードは、Cisco IOS® BGP VPNv4（VPN ルーティングおよび転送（VRF）アドレス ファミリ）に相当します。コンテキスト ルータ単位では、BGP は Cisco IOS の VRF IPv4 アドレス ファミリ単位と同様です。

- すべてのコンテキストに対してサポートされる自律システム（AS）番号は 1 つだけです。これは、Cisco IOS のすべてのアドレス ファミリに対して 1 つのグローバル AS しかないのと同様です。

- トランスペアレントファイアウォールモードをサポートしないBGPはルーテッドモードでのみサポートされます。

- システムは、PPPoE経由で受信したIPアドレスのルートエントリをCPルートテーブルに追加しません。BGPは常にCPルートテーブルを参照してTCPセッションを開始するため、BGPはTCPセッションを形成しません。したがって、BGP over PPPoEはサポートされません。

- ルートアップデートがリンクの最小MTUよりも大きい場合に、ルートアップデートによる隣接関係のフラップがドロップされることを回避するには、リンクの両側のインターフェイスで同じMTUを設定する必要があります。

- メンバユニットのBGPテーブルがコントロールユニットテーブルと同期していません。ルーティングテーブルだけがコントロールユニットのルーティングテーブルと同期されます。

- AS番号は、router bgp <as_num>コマンドを使用して設定できます。このコマンドは、コンテキストアドレスファミリごとにイネーブルにするために使用できます。

- BGP はすべてのコンテキストをサポートする 6 つのプロセスで構成されます。詳細は show process コマンドで確認できます。これらのプロセスは、BGP タスク、BGP スケジューラ、BGP スキャナ、BGP ルータ、BGP I/O、および BGP イベントです。
ASA-1(config)# show proc | in BGP

Mwe 0x00000000010120d0 0x00007ffecc8ca5c8 0x0000000006136380

0  0x00007ffecc8c27c0 29432/32768  BGP Task

Mwe 0x0000000000fb3acd 0x00007ffecba47b48 0x0000000006136380

11 0x00007ffecba3fd00 31888/32768  BGP Scheduler

Lwe 0x0000000000fd3e40 0x00007ffecd3373e8 0x0000000006136380

26 0x00007ffecd32f5f0 30024/32768  BGP Scanner

Mwe 0x0000000000fd70b9 0x00007ffecd378cd8 0x0000000006136380

10 0x00007ffecd370eb0 28248/32768  BGP Router

Mwe 0x0000000000fc9f84 0x00007ffecd32f3e8 0x0000000006136380

2 0x00007ffecd3275a0 30328/32768  BGP I/O

Mwe 0x000000000100c125 0x00007ffecd33f458 0x0000000006136380

0 0x00007ffecd337640 32032/32768  BGP Event

- システムコンテキストには、すべてのコンテキストに共通のグローバルコンフィギュレーションがあります。これは、すべてのアドレスファミリに対するグローバルコンフィギュレーションを持つCisco IOSに似ています。

- ベスト パスの計算、ネイバーのロギング、TCP パス Maximum Transition Unit（MTU）の検出、キープアライブ用のグローバル タイマー、ホールド時間などを制御する設定は、ルータ BGP コマンド モードのシステム コンテキストで使用できます。

- BGPポリシーコマンドのサポートは、ユーザごとのアドレスファミリモードのコンテキストで行われます。

- すべての標準のコミュニティとパス属性がサポートされます。

- Remotely Triggered Black Hole（RTBH）は、スタティック null0 ルート設定を使用してサポートされます。

- ネクストホップ情報がネットワーク プロセッサ（NP）の入力ルーティング テーブル自体に追加されました。以前は、これが出力ルーティング テーブルでしか使用できませんでした。この変更は、NP フォワーディング テーブルへの BGP ルートの追加をサポートするために行われたものです（BGP ルートには CP で識別される出力インターフェイスがないため、ネクストホップ情報の更新に使用する出力ルーティング テーブルを決定する手段がありません）。

- 再帰ルート ルックアップがサポートされます。

- コネクテッド、スタティック、Routing Information Protocol（RIP）、Open Shortest Path First（OSPF）、Enhanced Interior Gateway Routing Protocol（EIGRP）などの他のプロトコルを使用した再配布がサポートされます。

- no router bgp <as_no> [with confirmation prompt] コマンドは、すべてのコンテキストの BGP 設定を削除します。

- ルート マップ、アクセス リスト、プレフィックス リスト、コミュニティ リスト、および AS パス アクセス リストなどのルート制御データベースは、コンテキスト単位で仮想化され、提供されます。

- NP転送テーブルで再帰的に解決されるBGPルートを表示するために、新しいコマンドのshow asp table routing address <addr> resolvedが導入されました。

- システム コンテキスト BGP 設定を表示するために、新しいコマンドの show bgp system-config がマルチ モードで導入されました。

- BGPトラフィックのループバックインターフェイスのサポート

- IPv6のBGPサポート

- アドバタイズされたマップのBGPサポート

- ASAクラスタリングのBGPサポート

- IPv6でのグレースフルリスタートのサポート

BGP とメモリ使用量

show route summary コマンドを使用して、個々のルーティング プロトコルのメモリ使用量を取得します。

BGP とフェールオーバー

- BGP は、アクティブ/スタンバイおよびアクティブ/アクティブ HA 設定でサポートされます。

- アクティブ ユニットだけが、ピアからの BGP 接続を TCP ポート 179 上でリッスンします。

- スタンバイ ユニットは、BGP ピアリングに参加しないため、TCP ポート 179 上でリッスンせず、BGP テーブルを保持しません。

- BGP ルートの追加と削除がアクティブ ユニットからスタンバイ ユニットに複製されます。

- フェールオーバー時に、新しいアクティブ ユニットが TCP ポート 179 上でリッスンし、ピアとの BGP 隣接関係の確立を開始します。

- Nonstop Forwarding(NSF)を使用しないと、フェールオーバー後にピアとの隣接関係の確立に再び時間がかかり、その間にBGPルートがピアから学習されません。これは、ASAが復元(RST)で応答するピアからの次のBGPキープアライブ（デフォルトは60秒）によって決まります。RSTが発生すると、ピア側で古い接続が終端され、その後に次の新しい接続が確立されます。

- BGP 再コンバージェンス期間は、新しいアクティブ ユニットが、引き続き、以前複製されたルートを使用してトラフィックを転送します。

- BGP 再コンバージェンス タイマー期間は、現在、210 秒に設定されています（show route failover コマンドでタイマー値を表示できます）。これは、BGP がピアとの隣接関係を確立し、ルートを交換するのに十分な時間です。

- BGP 再コンバージェンス タイマーが切れると、すべての古い BGP ルートがルーティング情報ベース（RIB）からパージされます。

- BGPルータIDは、アクティブユニットからスタンバイユニットに同期されます。BGPルータIDの計算は、スタンバイユニットでは無効になっています。

- write standby コマンドはあまりお勧めできません。これは、一括同期が実行されず、スタンバイでダイナミック ルートが消失する可能性があるためです。

再帰ルート解決

- BGPルートの出力インターフェイス情報はCPでは使用できません（BGPネイバーが他のルーティングプロトコルとは異なり、複数ホップ離れている可能性があるという事実の直接的な結果）。

- ネクスト ホップ情報を含む BGP ルートが NP 入力ルーティング テーブルに追加されますが、ここでは解決されません。

- BGPルートプレフィックスと一致するフローの最初のパケットが低速パスでASAに入ると、ルートが解決され、NP入力ルーティングテーブルを再帰的に検索することで出力インターフェイスが決定されます。

- ルーティング テーブル（CP からの）が変化するたびに、コンテキスト固有のルーティング テーブルのタイムスタンプがインクリメントされます。

- BGP ルートと一致するフローの次のパケットが高速パスで ASA に入ると、ASA がコンテキスト固有のルーティング テーブルのタイムスタンプとルート エントリのタイムスタンプを比較します。2 つのタイムスタンプが一致しなかった場合は、再帰ルート解決プロセスが再び開始され、ルート エントリのタイムスタンプがルーティング テーブルのタイムスタンプと同じになるように更新されます。タイムスタンプは、show asp table routing コマンドで検証できます。show asp table routing address <route> コマンドは特定のルート エントリのタイムスタンプを表示し、show asp table routing コマンドはルーティング テーブルのタイムスタンプを表示します。

- show asp table routing address <addr> resolvedコマンドを入力すると、宛先プレフィクスの再帰ルート解決プロセスを強制的に実行できます。

- 再帰ルート ルックアップの深さは現在 4 に制限されています。4つ目以降のルックアップが必要なパケットは、ドロップ理由「No route to host (no-route)」でドロップされ、再帰ルックアップ失敗の特別なドロップ理由はありません。

- 再帰ルート解決は、BGP ルート（スタティック ルートではない）でのみサポートされます。

BGP 有限状態マシンの動作

BGP ピアはいくつかの状態を経て隣接ネイバーになり、ルーティング情報を交換します。各状態において、ピアは、次の状態に進む前に、メッセージの送受信、メッセージ データの処理、およびリソースの初期化を行う必要があります。このプロセスは、BGP 有限状態マシン（FSM）と呼ばれています。このプロセスが特定の時点で失敗すると、セッションが破棄され、ピアはアイドル状態に戻って再びプロセスを開始します。セッションが破棄されるたびに、アップしていないピアからのすべてのルートがテーブルから削除され、ダウンタイムが発生します。

1. IDLE：ASA は、ルーティング テーブルを検索して、ネイバーに到達するためのルートが存在するかどうかを判断します。

2. CONNECT：ASA は、ネイバーへのルートを見つけて、3 ウェイ TCP ハンドシェイクを完了しました。

3. ACTIVE:ASAは確立のパラメータに関する同意を受信しませんでした。

4. OPEN SENT：BGP セッション用のパラメータを含む OPEN メッセージが送信されます。

5. OPEN CONFIRM：ASA は、セッションを確立するためのパラメータに対する同意を受信しました。

6. ESTABLISHED：ピアリングが確立され、ルーティングが開始されます。

設定

eBGP の設定

BGP は別々の自律システム内のルータ間で動作します。デフォルトでは、eBGP(2つの異なるAutonomous System（AS；自律システム）でのピアリング)ではIP TTLが1に設定されます。これは、ピアが直接接続されていると見なされることを意味します。この場合は、パケットが 1 つのルータを通過すると、TTL が 0 になり、その後、パケットがドロップされます。2 つのネイバーが直接接続されていない（ループバック インターフェイスとのピアリングやデバイスが複数ホップ離れている場合のピアリングなど）場合は、neighbor x.x.x.x ebgp-multihop <TTL> コマンドを追加する必要があります。そうしないと、BGPネイバーシップを確立できません。加えて、eBGP ピアは、認識しているまたはピア（eBGP ピアまたは iBGP ピア）から取得したすべての最善のルートをアドバタイズします。iBGP の場合とは異なります。

ネットワーク図

ASA-1 の設定

router bgp 100

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.2 remote-as 200

neighbor 203.0.113.2 activate

network 192.168.10.0 mask 255.255.255.0

network 172.16.20.0 mask 255.255.255.0

network 10.106.44.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

ASA-2 の設定

router bgp 200

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.1 remote-as 100

neighbor 203.0.113.1 activate

network 10.10.10.0 mask 255.255.255.0

network 10.180.10.0 mask 255.255.255.0

network 172.16.30.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

iBGP の設定

iBGP では、ネイバーを直接接続しなければならないという制限はありません。ただし、iBGPピアは、iBGPピアから学習したプレフィックスを別のiBGPピアにアドバタイズすることはできません。この制限は、同じ AS 内のループを回避するためのものです。これを明確にするために、ルートがeBGPピアに渡されると、ローカルAS番号がas-path内のプレフィックスに追加されます。そのため、as-path内のASを示す同じパケットを受信すると、これがループであり、パケットがドロップされることがわかります。ただし、ルートがiBGPピアにアドバタイズされると、ピアが同じAS内にあるため、ローカルAS番号はASパスに追加されません。

ネットワーク図

ASA-1 の設定

router bgp 100

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.2 remote-as 100

neighbor 203.0.113.2 activate

network 192.168.10.0 mask 255.255.255.0

network 172.16.20.0 mask 255.255.255.0

network 10.106.44.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

ASA-2 の設定

router bgp 100

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.1 remote-as 100

neighbor 203.0.113.1 activate

network 10.10.10.0 mask 255.255.255.0

network 10.180.10.0 mask 255.255.255.0

network 172.16.30.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

eBGP と iBGP の違い

- eBGP ピアは別々の AS 間に存在するのに対して、iBGP は同じ AS 間に存在します。

- eBGPピアから学習したルートは、他のピア（eBGPまたはiBGP）にアドバタイズされます。ただし、iBGP ピアから取得されたルートは、他の iBGP ピアにアドバタイズされません。

- デフォルトで、eBGP ピアは TTL = 1 に設定されます。これは、iBGP の場合と違って、ネイバーが直接接続されるように想定されていることを意味します。eBGP のこの動作を変更するには、neighbor x.x.x.x ebgp-multihop <TTL> コマンドを入力します。マルチホップは eBGP でのみ使用される用語です。

- eBGP ルートのアドミニストレーティブ ディスタンスは 20 ですが、iBGP ルートのそれは 200 です。

- ルートがiBGPピアにアドバタイズされても、ネクストホップは変更されません。ただし、デフォルトで eBGP ピアにアドバタイズされた場合は変化します。

eBGP マルチホップ

1 ホップ離れた別の ASA との BGP ネイバーシップを伴う ASA。ネイバーシップの場合は、ネイバー間に接続があることを確認する必要があります。ping して接続を確認します。TCP ポート 179 が間にあるデバイス上で双方向で許可されていることを確認します。

ASA-1 の設定

router bgp 100

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 198.51.100.1 remote-as 200

neighbor 198.51.100.1 ebgp-multihop 2

neighbor 198.51.100.1 activate

network 192.168.10.0 mask 255.255.255.0

network 10.106.44.0 mask 255.255.255.0

network 172.16.20.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

ASA-2 の設定

router bgp 200

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.1 remote-as 100

neighbor 203.0.113.1 ebgp-multihop 2

neighbor 203.0.113.1 activate

network 10.10.10.0 mask 255.255.255.0

network 10.180.10.0 mask 255.255.255.0

network 172.16.30.0 mask 255.255.255.0

no auto-summary

no synchronization

exit-address-family

!

BGP ルート フィルタリング

BGP を使用すれば、送受信するルーティング アップデートを制御できます。この例では、ルーティング アップデートが ASA-2 の背後にあるネットワーク プレフィクス 172.16.30.0/24 に対してブロックされます。ルートフィルタリングでは、標準ACLのみを使用できます。

access-list bgp-in line 1 standard deny 172.16.30.0 255.255.255.0

access-list bgp-in line 2 standard permit any4

router bgp 100

bgp log-neighbor-changes

bgp bestpath compare-routerid

address-family ipv4 unicast

neighbor 203.0.113.2 remote-as 200

neighbor 203.0.113.2 activate

network 192.168.10.0 mask 255.255.255.0

network 172.16.20.0 mask 255.255.255.0

network 10.106.44.0 mask 255.255.255.0

distribute-list bgp-in in

no auto-summary

no synchronization

exit-address-family

!

ルーティング テーブルを検証する。

ASA-1(config)# show bgp cidr-only

BGP table version is 6, local router ID is 203.0.113.1

Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,

r RIB-failure, S Stale, m multipath

Origin codes: i - IGP, e - EGP, ? - incomplete

Network          Next Hop        Metric LocPrf Weight  Path

*> 10.10.10.0/24    203.0.113.2          0             0  200 i

*> 10.106.44.0/24   0.0.0.0              0         32768  i

*> 10.180.10.0/24   203.0.113.2          0             0  200 i

*> 172.16.20.0/24   0.0.0.0              0         32768  i

*> 192.168.10.0/16   0.0.0.0             0         32768  i

アクセスコントロールリスト(ACL)のヒットカウントを確認します。

ASA-1(config)# show access-list bgp-in

access-list bgp-in; 2 elements; name hash: 0x3f99de19

access-list bgp-in line 1 standard deny 172.16.30.0 255.255.255.0 (hitcnt=1) 0xb5abad25

access-list bgp-in line 2 standard permit any4 (hitcnt=4) 0x59d08160

同様に、distribute-listコマンドでoutを指定して送信されたものをフィルタリングするためにACLを使用できます。

マルチコンテキストでの ASA BGP の設定

BGP はマルチコンテキストでサポートされます。マルチコンテキストの場合は、まずシステムコンテキストでBGPルータプロセスを定義する必要があります。システムコンテキストで定義せずにBGPプロセスを作成しようとすると、このエラーが発生します。

ASA-1/admin(config)# router bgp 100

%BGP process cannot be created in non-system context

ERROR: Unable to create router process

First we Need to define it in system context.

ASA-1/admin(config)#changeto context system

ASA-1(config)# router bgp 100

ASA-1(config-router)#exit

Now create bgp process in admin context.

ASA-1(config)#changeto context admin

ASA-1/admin(config)# router bgp 100

ASA-1/admin(config-router)#

確認

eBGP ネイバーシップの検証

ポート 179 の TCP 接続を検証します。

ASA-1(config)# show asp table socket

Protocol  Socket    State      Local Address                    Foreign Address

SSL       00001478  LISTEN     172.16.20.1:443                  0.0.0.0:*

TCP       000035e8  LISTEN     203.0.113.1:179                  0.0.0.0:*

TCP       00005cd8  ESTAB      203.0.113.1:44368                203.0.113.2:179

SSL       00006658  LISTEN     10.106.44.221:443                0.0.0.0:*

BGP ネイバーを表示します。

ASA-1(config)# show bgp neighbors

BGP neighbor is 203.0.113.2,  context single_vf,  remote AS 200, external link >> eBGP

BGP version 4, remote router ID 203.0.113.2

BGP state = Established, up for 00:04:42

Last read 00:00:13, last write 00:00:17, hold time is 180, keepalive interval is

60 seconds

Neighbor sessions:

1 active, is not multisession capable (disabled)

Neighbor capabilities:

Route refresh: advertised and received(new)

Four-octets ASN Capability: advertised and received

Address family IPv4 Unicast: advertised and received

Multisession Capability:

Message statistics:

InQ depth is 0

OutQ depth is 0

Sent       Rcvd

Opens:         1          1

Notifications: 0          0

Updates:       2          2

Keepalives:    5          5

Route Refresh: 0          0

Total:         8          8

Default minimum time between advertisement runs is 30 seconds

For address family: IPv4 Unicast

Session: 203.0.113.2

BGP table version 7, neighbor version 7/0

Output queue size : 0

Index 1

1 update-group member

Sent       Rcvd

Prefix activity:         ----       ----

Prefixes Current:      3          3          (Consumes 240 bytes)

Prefixes Total:        3          3

Implicit Withdraw:     0          0

Explicit Withdraw:     0          0

Used as bestpath:      n/a        3

Used as multipath:     n/a        0

Outbound    Inbound

Local Policy Denied Prefixes: --------    -------

Bestpath from this peer:     3          n/a

Total:                       3          0

Number of NLRIs in the update sent: max 3, min 0

Address tracking is enabled, the RIB does have a route to 203.0.113.2

Connections established 1; dropped 0

Last reset never

Transport(tcp) path-mtu-discovery is enabled

Graceful-Restart is disabled

BGP ルート

ASA-1 の設定

ASA-1(config)# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, + - replicated route

Gateway of last resort is 10.106.44.1 to network 0.0.0.0

B        10.10.10.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48

B        10.180.10.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48

B        172.16.30.0 255.255.255.0 [20/0] via 203.0.113.2, 00:05:48

ASA-2 の設定

ASA-2# show route bgp

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

E1 - OSPF external type 1, E2 - OSPF external type 2

i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2

ia - IS-IS inter area, * - candidate default, U - per-user static route

o - ODR, P - periodic downloaded static route, + - replicated route

Gateway of last resort is not set

B        10.106.44.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32

B        172.16.20.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32

B     192.168.10.0 255.255.255.0 [20/0] via 203.0.113.1, 00:36:32

特定のASAのルートを表示するには、show route bgp <AS-No.>コマンドを入力します。

ASA-1(config)# show route bgp ?

exec mode commands/options:

100  Autonomous system number

|    Output modifiers

<cr>

特定の eBGP ルートの詳細

ASA-1(config)# show route 172.16.30.0

Routing entry for 172.16.30.0 255.255.255.0

Known via "bgp 100", distance 20, metric 0

Tag 200, type external

Last update from 203.0.113.2 0:09:43 ago

Routing Descriptor Blocks:

* 203.0.113.2, from 203.0.113.2, 0:09:43 ago

Route metric is 0, traffic share count is 1

AS Hops 1-----------------------------------> ASA HOP is one

Route tag 200

MPLS label: no label string provided

ASA-1(config)# show bgp cidr-only

BGP table version is 7, local router ID is 203.0.113.1

Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,

r RIB-failure, S Stale, m multipath

Origin codes: i - IGP, e - EGP, ? - incomplete

Network          Next Hop        Metric LocPrf Weight  Path

*> 10.10.10.0/24    203.0.113.2          0             0  200 i

*> 10.106.44.0/24   0.0.0.0              0         32768  i

*> 10.180.10.0/24   203.0.113.2          0             0  200 i

*> 172.16.20.0/24   0.0.0.0              0         32768  i

*> 172.16.30.0/24   203.0.113.2          0             0  200 i

BGP の概要

ASA-1(config)# show bgp summary

BGP router identifier 203.0.113.1, local AS number 100

BGP table version is 7, main routing table version 7

6 network entries using 1200 bytes of memory

6 path entries using 480 bytes of memory

2/2 BGP path/bestpath attribute entries using 416 bytes of memory

1 BGP AS-PATH entries using 24 bytes of memory

0 BGP route-map cache entries using 0 bytes of memory

0 BGP filter-list cache entries using 0 bytes of memory

BGP using 2120 total bytes of memory

BGP activity 6/0 prefixes, 6/0 paths, scan interval 60 secs

Neighbor        V           AS MsgRcvd MsgSent   TblVer  InQ OutQ Up/Down  State/PfxRcd

203.0.113.2     4          200 16      17             7    0    0 00:14:19  3

ASA-1(config)# show route summary

IP routing table maximum-paths is 3

Route Source    Networks    Subnets     Replicates  Overhead    Memory (bytes)

connected       0           8           0           704         2304

static          2           5           0           616         2016

ospf 1          0           0           0           0           0

Intra-area: 0 Inter-area: 0 External-1: 0 External-2: 0

NSSA External-1: 0 NSSA External-2: 0

bgp 100         0           3           0           264         864

External: 3 Internal: 0 Local: 0

internal        7                                               3176

Total           9           16          0           1584        8360

iBGP ネイバーシップの検証

ASA-1(config)# show bgp neighbors

BGP neighbor is 203.0.113.2,  context single_vf,  remote AS 100, internal link >> iBGP

BGP version 4, remote router ID 203.0.113.2

BGP state = Established, up for 00:02:19

Last read 00:00:13, last write 00:00:17, hold time is 180, keepalive interval is

60 seconds

Neighbor sessions:

1 active, is not multisession capable (disabled)

Neighbor capabilities:

Route refresh: advertised and received(new)

Four-octets ASN Capability: advertised and received

Address family IPv4 Unicast: advertised and received

Multisession Capability:

Message statistics:

InQ depth is 0

OutQ depth is 0

Sent       Rcvd

Opens:         1          1

Notifications: 0          0

Updates:       2          2

Keepalives:    5          5

Route Refresh: 0          0

Total:         8          8

Default minimum time between advertisement runs is 30 seconds

For address family: IPv4 Unicast

Session: 203.0.113.2

BGP table version 7, neighbor version 7/0

Output queue size : 0

Index 1

1 update-group member

Sent       Rcvd

Prefix activity:         ----       ----

Prefixes Current:      3          3          (Consumes 240 bytes)

Prefixes Total:        3          3

Implicit Withdraw:     0          0

Explicit Withdraw:     0          0

Used as bestpath:      n/a        3

Used as multipath:     n/a        0

Outbound    Inbound

Local Policy Denied Prefixes: --------    -------

Bestpath from this peer:     3          n/a

Total:                       3          0

Number of NLRIs in the update sent: max 3, min 0

Address tracking is enabled, the RIB does have a route to 203.0.113.2

Connections established 1; dropped 0

Last reset never

Transport(tcp) path-mtu-discovery is enabled

Graceful-Restart is disabled

特定の iBGP ルートの詳細

ASA-1(config)# show route 172.16.30.0

Routing entry for 172.16.30.0 255.255.255.0

Known via "bgp 100", distance 20, metric 0, type internal

Last update from 203.0.113.2 0:07:05 ago

Routing Descriptor Blocks:

* 203.0.113.2, from 203.0.113.2, 0:07:05 ago

Route metric is 0, traffic share count is 1

AS Hops 0            -------------------->> ASA HOP is 0 as it's internal route

MPLS label: no label string provided

BGP パケットの TTL 値

デフォルトで、BGP ネイバーは直接接続される必要があります。これは、BGP パケットの TTL 値が常に 1（デフォルト）であるためです。したがって、BGP ネイバーが直接接続されていない場合は、パス全体のホップ数に基づいて BGP マルチホップ値を定義する必要があります。

直接接続されている場合の TTL 値の例を以下に示します。

ASA-1(config)#show cap bgp detail

5: 06:30:19.789769 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 70

203.0.113.1.44368 > 203.0.113.2.179: S [tcp sum ok] 3733850223:3733850223(0)

win 32768 <mss 1460,nop,nop,timestamp 15488246 0> (DF) [tos 0xc0]  [ttl 1] (id 62822)

6: 06:30:19.792286 a0cf.5b5c.5060 6c41.6a1f.25e3 0x0800 Length: 58

203.0.113.22.179 > 203.0.113.1.44368: S [tcp sum ok] 1053711883:1053711883(0)

ack 3733850224 win 16384 <mss 1360> [tos 0xc0]  [ttl 1] (id 44962)

7: 06:30:19.792302 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 54

203.0.113.1.44368 > 203.0.113.22.179: . [tcp sum ok] 3733850224:3733850224(0)

ack 1053711884 win 32768 (DF) [tos 0xc0]  [ttl 1] (id 52918)

ネイバーが直接接続されていない場合は、bgp multihop コマンドを入力して、ネイバーが IP ヘッダー内の TTL 値を増やすためのホップ数を定義する必要があります。

マルチホップの場合（この場合、BGPネイバーは1ホップ離れています）のTTL値の例を次に示します。

ASA-1(config)#show cap bgp detail

5: 13:10:04.059963 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 70

203.0.113.1.63136 > 198.51.100.1.179: S [tcp sum ok] 979449598:979449598(0)

win 32768 <mss 1460,nop,nop,timestamp 8799571 0> (DF) [tos 0xc0]  (ttl 2, id 62012)

6: 13:10:04.060681 a0cf.5b5c.5060 6c41.6a1f.25e3 0x0800 Length: 70 198.51.100.1.179 >

203.0.113.1.63136: S [tcp sum ok] 0:0(0) ack 979449599 win 32768 <mss 1460,nop,nop,

timestamp 6839704 8799571> (DF) [tos 0xac]  [ttl 1] (id 60372)

7: 13:10:04.060696 6c41.6a1f.25e3 a0cf.5b5c.5060 0x0800 Length: 66

203.0.113.1.63136 >198.51.100.1.179: . [tcp sum ok] 979449599:979449599(0) ack 1

win 32768 <nop,nop,timestamp 8799571 6839704> (DF) [tos 0xc0]  (ttl 2, id 53699)

再帰ルート解決プロセス

ASA-1(config)# show asp table routing

route table timestamp: 66

in   255.255.255.255 255.255.255.255 identity

in   203.0.113.1     255.255.255.255 identity

in   203.0.113.254  255.255.255.255 via 10.13.14.4, outside

in   192.0.2.78   255.255.255.255 via 10.16.17.4, DMZ

in   192.168.0.1     255.255.255.255 identity

in   172.16.20.1     255.255.255.255 identity

in   10.106.44.190   255.255.255.255 identity

in   10.10.10.0      255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 66)

in   172.16.30.0     255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 64)

in   10.180.10.0     255.255.255.0 via 203.0.113.2, outside (resolved, timestamp: 65)

in   203.0.113.0     255.255.255.0   outside

in   172.16.10.0     255.255.255.0   via 10.13.14.4, outside

in   192.168.10.0    255.255.255.0   via 10.13.14.20, outside

in   192.168.20.0    255.255.255.0   via 10.16.17.4, DMZ

in   172.16.20.0     255.255.255.0   inside

in   10.106.44.0     255.255.255.0   management

in   192.168.0.0     255.255.0.0     DMZ

ASA BGP とグレースフル リスタート機能

BGP support for nonstop forwarding

We added support for BGP Nonstop Forwarding.

We introduced the following new commands: bgp graceful-restart, neighbor ha-mode graceful-restart

トラブルシュート

- 設定後、両方のデバイスが接続されていることを確認する必要があります。ICMP および TCP ポート 179 の接続を検証します。

- BGP ピアが直接接続されていない場合は、eBGP マルチホップが設定されていることを確認します。

- 接続が正しければ、show asp table socketコマンドの出力でTCPソケットがESTAB状態になっている可能性があります。
ASA-1(config)# show asp table socket

Protocol  Socket    State      Local Address                    Foreign Address

SSL       00001478  LISTEN     172.16.20.1:443                  0.0.0.0:*

TCP       000035e8  LISTEN     203.0.113.1:179                  0.0.0.0:*

TCP       00005cd8  ESTAB      203.0.113.1:44368                203.0.113.2:179

SSL       00006658  LISTEN     10.106.44.221:443                0.0.0.0:*

- 3 ウェイ ハンドシェイク後に、両方のピアが BGP OPEN メッセージを交換して、パラメータをネゴシエートします。

- パラメータ交換後に、両方のピアが BGP UPDATE メッセージでルーティング情報を交換します。

%ASA-7-609001: Built local-host identity:203.0.113.1

%ASA-7-609001: Built local-host outside:203.0.113.2

%ASA-6-302013: Built outbound TCP connection 14 for outside:203.0.113.2/179

(203.0.113.2/179) to identity:203.0.113.1/43790 (203.0.113.1/43790)

%ASA-3-418018: neighbor 203.0.113.2 Up

TCP 3 ウェイ ハンドシェイクが正常に行われた後もネイバーシップが形成されない場合は、BGP FSM に問題があります。ASA からパケット キャプチャと syslog を収集し、問題が発生した状態を検証します。

デバッグ

注：debug コマンドを使用する前に、『debug コマンドの重要な情報』を参照してください。

ネイバーシップとルーティングアップデートに関連する問題をトラブルシューティングするには、debug ip bgpコマンドを入力します。

ASA-1(config)# debug ip bgp ?

exec mode commands/options:

A.B.C.D     BGP neighbor address

events      BGP events

in          BGP Inbound information

ipv4        Address family

keepalives  BGP keepalives

out         BGP Outbound information

range       BGP dynamic range

rib-filter  Next hop route watch filter events

updates     BGP updates

<cr>

ネイバーシップ関連の問題をトラブルシューティングするには、debug ip bgp eventsコマンドを入力します。

BGP: 203.0.113.2 active went from Idle to Active

BGP: 203.0.113.2 open active, local address 203.0.113.1

BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Adding topology IPv4 Unicast:base

BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Send OPEN

BGP: 203.0.113.2 active went from Active to OpenSent

BGP: 203.0.113.2 active sending OPEN, version 4, my as: 100, holdtime 180 seconds,

ID cb007101

BGP: 203.0.113.2 active rcv message type 1, length (excl. header) 34

BGP: ses global 203.0.113.2 (0x00007ffec085c590:0) act Receive OPEN

BGP: 203.0.113.2 active rcv OPEN, version 4, holdtime 180 seconds

BGP: 203.0.113.2 active rcv OPEN w/ OPTION parameter len: 24

BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 6

BGP: 203.0.113.2 active OPEN has CAPABILITY code: 1, length 4

BGP: 203.0.113.2 active OPEN has MP_EXT CAP for afi/safi: 1/1

BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 2

BGP: 203.0.113.2 active OPEN has CAPABILITY code: 128, length 0

BGP: 203.0.113.2 active OPEN has ROUTE-REFRESH capability(old) for all address-families

BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 2

BGP: 203.0.113.2 active OPEN has CAPABILITY code: 2, length 0

BGP: 203.0.113.2 active OPEN has ROUTE-REFRESH capability(new) for all address-families

BGP: 203.0.113.2 active rcvd OPEN w/ optional parameter type 2 (Capability) len 6

BGP: 203.0.113.2 active OPEN has CAPABILITY code: 65, length 4

BGP: 203.0.113.2 active OPEN has 4-byte ASN CAP for: 200

BGP: 203.0.113.2 active rcvd OPEN w/ remote AS 200, 4-byte remote AS 200

BGP: 203.0.113.2 active went from OpenSent to OpenConfirm

BGP: 203.0.113.2 active went from OpenConfirm to Established

ルーティングアップデート関連の問題をトラブルシューティングするには、debug ip bgp updatesコマンドを入力します。

BGP: TX IPv4 Unicast Mem global 203.0.113.2 Changing state from DOWN to WAIT

(pending advertised bit allocation).

BGP: TX IPv4 Unicast Grp global 4 Created.

BGP: TX IPv4 Unicast Wkr global 4 Cur Blocked (not in list).

BGP: TX IPv4 Unicast Wkr global 4 Ref Blocked (not in list).

BGP: TX IPv4 Unicast Rpl global 4 1 Created.

BGP: TX IPv4 Unicast Rpl global 4 1 Net bitfield index 0 allocated.

BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Added to group (now has 1 members).

BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Staying in WAIT state

(current walker waiting for net prepend).

BGP: TX IPv4 Unicast Top global Start net prepend.

BGP: TX IPv4 Unicast Top global Inserting initial marker.

BGP: TX IPv4 Unicast Top global Done net prepend (0 attrs).

BGP: TX IPv4 Unicast Grp global 4 Starting refresh after prepend completion.

BGP: TX IPv4 Unicast Wkr global 4 Cur Start at marker 1.

BGP: TX IPv4 Unicast Grp global 4 Message limit changed from 100 to 1000 (used 0 + 0).

BGP: TX IPv4 Unicast Wkr global 4 Cur Unblocked

BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Changing state from WAIT to ACTIVE

(ready).

BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 No refresh required.

BGP: TX IPv4 Unicast Top global Collection done on marker 1 after 0 net(s).

BGP(0): 203.0.113.2 rcvd UPDATE w/ attr: nexthop 203.0.113.2, origin i, metric 0,

merged path 200, AS_PATH

BGP(0): 203.0.113.2 rcvd 10.10.10.0/24

BGP(0): 203.0.113.2 rcvd 172.16.30.0/24

BGP(0): 203.0.113.2 rcvd 10.180.10.0/24-----------------> Routes rcvd from peer

BGP: TX IPv4 Unicast Net global 10.10.10.1/32 Changed.

BGP: TX IPv4 Unicast Net global 172.16.30.0/24 Changed.

BGP: TX IPv4 Unicast Net global 10.180.10.0/24 Changed.

BGP(0): Revise route installing 1 of 1 routes for 10.10.10.0 255.255.255.0 ->

203.0.113.2(global) to main IP table

BGP: TX IPv4 Unicast Net global 10.10.10.0/24 RIB done.

BGP(0): Revise route installing 1 of 1 routes for 172.16.30.0 255.255.255.0 ->

203.0.113.2(global) to main IP table

BGP: TX IPv4 Unicast Net global 172.16.30.0/24 RIB done.

BGP(0): Revise route installing 1 of 1 routes for 10.180.10.0 255.255.255.0 ->

203.0.113.2(global) to main IP table

BGP: TX IPv4 Unicast Net global 10.180.10.0/24 RIB done.

BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.

BGP: TX IPv4 Unicast Tab Ready in READ-WRITE.

BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.

BGP: TX IPv4 Unicast Tab All topologies are EOR ready.

BGP: TX IPv4 Unicast Tab RIB walk done version 4, added 1 topologies.

BGP: TX IPv4 Unicast Tab Executing.

BGP: TX IPv4 Unicast Wkr global 4 Cur Processing.

BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 1.

BGP: TX IPv4 Unicast Top global Appending nets from attr 0x00007ffecc9b7b88.

BGP: TX IPv4 Unicast Wkr global 4 Cur Attr change from 0x0000000000000000 to

0x00007ffecc9b7b88.

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.10.10.0/24 Skipped.

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 172.16.30.0/24 Skipped.

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.180.10.0/24 Skipped.

BGP: TX IPv4 Unicast Top global No attributes with modified nets.

BGP: TX IPv4 Unicast Top global Added tail marker with version 4.

BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 4.

BGP: TX IPv4 Unicast Top global No attributes with modified nets.

BGP: TX IPv4 Unicast Wkr global 4 Cur Done (end of list), processed 1 attr(s),

0/3 net(s), 0 pos.

BGP: TX IPv4 Unicast Grp global 4 Checking EORs (0/1).

BGP: TX IPv4 Unicast Mem global 4 1 203.0.113.2 Send EOR.

BGP: TX IPv4 Unicast Grp global 4 Converged.

BGP: TX IPv4 Unicast Tab Processed 1 walker(s).

BGP: TX IPv4 Unicast Tab Generation completed.

BGP: TX IPv4 Unicast Top global Deleting first marker with version 1.

BGP: TX IPv4 Unicast Top global Collection reached marker 1 after 0 net(s).

BGP: TX IPv4 Unicast Top global First convergence done.

BGP: TX IPv4 Unicast Top global Deleting first marker with version 1.

BGP: TX IPv4 Unicast Top global Collection reached marker 1 after 0 net(s).

BGP: TX IPv4 Unicast Top global Collection done on marker 4 after 3 net(s).

BGP: TX IPv4 Unicast Top global Collection done on marker 4 after 0 net(s).

BGP: TX IPv4 Unicast Net global 192.168.10.0/24 Changed.

BGP: TX IPv4 Unicast Net global 172.16.20.0/24 Changed.

BGP: TX IPv4 Unicast Net global 10.106.44.0/24 Changed.

BGP(0): nettable_walker 10.106.44.0/24 route sourced locally

BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 10.106.44.0/24

BGP: TX IPv4 Unicast Net global 10.106.44.0/24 RIB done.

BGP(0): nettable_walker 172.16.20.0/24 route sourced locally

BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 172.16.20.0/24

BGP: TX IPv4 Unicast Net global 172.16.20.0/24 RIB done.

BGP(0): nettable_walker 192.168.10.0/24 route sourced locally---------> Routes

advertised

BGP: topo global:IPv4 Unicast:base Remove_fwdroute for 192.168.10.0/24

BGP: TX IPv4 Unicast Net global 192.168.10.0/24 RIB done.

BGP: TX IPv4 Unicast Tab RIB walk done version 8, added 1 topologies.

BGP: TX IPv4 Unicast Tab Executing.

BGP: TX IPv4 Unicast Wkr global 4 Cur Processing.

BGP: TX IPv4 Unicast Top global Appending nets from attr 0x00007ffecc9b7c70.

BGP: TX IPv4 Unicast Wkr global 4 Cur Attr change from 0x0000000000000000 to

0x00007ffecc9b7c70.

BGP: TX IPv4 Unicast Rpl global 4 1 Net 10.106.44.0/24 Set advertised bit (total 1).

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 10.106.44.0/24 Formatted.

BGP: TX IPv4 Unicast Rpl global 4 1 Net 172.16.20.0/24 Set advertised bit (total 2).

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 172.16.20.0/24 Formatted.

BGP: TX IPv4 Unicast Rpl global 4 1 Net 192.168.10.0/24 Set advertised bit (total 4).

BGP: TX IPv4 Unicast Wkr global 4 Cur Net 192.168.10.0/24 Formatted.

BGP: TX IPv4 Unicast Top global No attributes with modified nets.

BGP: TX IPv4 Unicast Top global Added tail marker with version 8.

BGP: TX IPv4 Unicast Wkr global 4 Cur Reached marker with version 8.

BGP: TX IPv4 Unicast Top global No attributes with modified nets.

BGP: TX IPv4 Unicast Wkr global 4 Cur Replicating.

BGP: TX IPv4 Unicast Wkr global 4 Cur Done (end of list), processed 1 attr(s),

4/4 net(s), 0 pos.

BGP: TX IPv4 Unicast Grp global 4 Start minimum advertisement timer (30 secs).

BGP: TX IPv4 Unicast Wkr global 4 Cur Blocked (minimum advertisement interval).

BGP: TX IPv4 Unicast Grp global 4 Converged.

BGP: TX IPv4 Unicast Tab Processed 1 walker(s).

BGP: TX IPv4 Unicast Tab Generation completed.

BGP: TX IPv4 Unicast Top global Deleting first marker with version 4.

BGP: TX IPv4 Unicast Top global Collection reached marker 4 after 0 net(s).

BGP: TX IPv4 Unicast Top global Collection done on marker 8 after 4 net(s).

BGP: TX IPv4 Unicast Top global Collection done on marker 8 after 0 net(s).

BGP: TX Member message pool under period (60 < 600).

BGP: TX IPv4 Unicast Tab RIB walk done version 8, added 1 topologies.

この機能をトラブルシューティングするには、以下のコマンドを入力します。

- show asp table socket

- show bgp neighbor

- show bgp Summary

- show route bgp

- show bgp cidr-only

- show route summary