Contents

Introduction

Prerequisites

Requirements

Licenciamento

Componentes Utilizados

Informações de Apoio

Visão geral do recurso

Suporte a VRF

Políticas de roteamento

Redes Sobrepostas

Configuração

CVP

FDM

API REST

CVP

FDM

Casos de uso

Provedor de serviços

Recursos compartilhados

Rede sobreposta com hosts que se comunicam entre si

vazamento de rota BGP

Verificação

Troubleshooting

Links relacionados

Introduction

Este documento descreve o Virtual Routing and Forwarding (VRF) no Cisco Secure Firewall Threat Defense (FTD).

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Cisco Secure Firewall Threat Defense (FTD)Defesa contra ameaças de firewall (FTD) segura

- Virtual Routing and Forwarding (VRF)

- Protocolos de roteamento dinâmico (OSPF, BGP)

Licenciamento

Sem necessidade de licença específica, a licença básica é suficiente

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Cisco Secure Firewall Threat Defense (FTD), Secure Firewall Management Center (FMC) versão 7.2.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

O Virtual Routing and Forwarding (VRF) foi adicionado na versão 6.6 do software FTD.

As vantagens que esse recurso oferece são:

- Segregação de tabelas de roteamento

- Segmentos de rede com sobreposições em espaços de endereços IP

- VRF-lite

- Suporte a várias instâncias de FXOS para casos de uso de migração de vários contextos

- BGP Route Leak Support-v4v6 e BGPv6 VTI Support recursos foram adicionados ao software FTD versão 7.1.

Visão geral do recurso

Suporte a VRF

Dispositivo

Máximo de roteadores virtuais

ASA

10-20

Firepower 1000*

5-10 *1010(7.2+)

Firepower 2100

10-40

Firepower 3100

15-100

Firepower 4100

60-100

Firepower 9300

60-100

FTD virtual

30

ISA 3000

10(7.0+)

Limites de VRF por blade com modo nativo

Políticas de roteamento

Políticas

VRF global

VRF de usuário

Rota estática

✓

✓

OSPFv2

✓

✓

OSPFv3

✓

✖

RIP

✓

✖

BGPv4

✓

✓

BGPv6

✓

✓ (7.1+)

IRB (BVI)

✓

✓

EIGRP

✓

✖

Redes Sobrepostas

Políticas

Sem sobreposição

Redes Sobrepostas

Roteamento e IRB

✓

✓

AVC

✓

✓

Descriptografia SSL

✓

✓

Intrusion and Malware Detection (IPS e política de arquivos)

✓

✓

VPN

✓

✓

Análise de eventos de malware (perfis de host, IoC, trajetória do arquivo)

✓

✖

Inteligência de ameaças (TID)

✓

✖

Configuração

CVP

Etapa 1. Navegue até  Devices > Device Management e edite o FTD a ser configurado.

Etapa 2. Navegue até a guia  Routing

Etapa 3. Clique em  Manage Virtual Routers .

Etapa 4. Clique em  Add Virtual Router .

Etapa 5. Na caixa Add Virtual Router (Adicionar roteador virtual), insira um nome e uma descrição para o roteador virtual.

Etapa 6. Clique em  Ok .

Passo 7. Para adicionar interfaces, selecione a interface no Available Interfaces e clique em  Add .

Etapa 8. Configure o roteamento no Roteador Virtual.

- OSPF

- RIP

- BGP

- Roteamento estático

- Multicast

FDM

Etapa 1. Navegue até  Device > Routing .

Etapa 2.

- Se não houver roteadores virtuais criados, clique em  Add Multiple Virtual Routers e clique em  Create First Customer Virtual Router .

- Clique no botão + na parte superior da lista de roteadores virtuais para criar um novo.

Etapa 3. No Add Virtual Router caixa de diálogo. Digite o nome e a descrição do roteador virtual.

Etapa 4. Clique em + para selecionar cada interface que precisa fazer parte do roteador virtual.

Etapa 5. Clique em  Ok .

Etapa 6. Configure o roteamento no Virtual Router.

- OSPF

- RIP

- BGP

- Roteamento estático

- Multicast

API REST

CVP

O CVP apoia a plena CRUD em roteadores virtuais.

O caminho das chamadas dos roteadores virtuais está em Devices > Routing > virtualrouters

FDM

O FDM suporta operações CRUD completas em roteadores virtuais.

O caminho das chamadas dos roteadores virtuais está em Devices > Routing > virtualrouters

Casos de uso

Provedor de serviços

Em tabelas de roteamento separadas, duas redes não estão relacionadas entre si e não há comunicação entre elas.

Considerações:

- Não há considerações especiais neste cenário.

Recursos compartilhados

Interconecte dois roteadores virtuais para compartilhar recursos de cada um deles e ter conectividade de Customer A para Customer B e vice-versa.

Considerações:

- Em cada roteador virtual, configure uma rota estática que aponte para a rede destino com a interface do outro roteador virtual.

Exemplo:

No roteador virtual para Customer A, adicione uma rota com como destino Customer B sem nenhum endereço IP como gateway (não é necessário, é conhecido como route leaking ).

Repita o mesmo processo para Customer B.

Rede sobreposta com hosts que se comunicam entre si

Há 2 roteadores virtuais com os mesmos endereços de rede e com intercâmbio de tráfego entre eles.

Considerações:

Para ter comunicação entre as duas redes, configure duas vezes o NAT para substituir o endereço IP de origem e colocar um endereço IP falso.

vazamento de rota BGP

Há um roteador virtual definido pelo usuário e as rotas desse roteador virtual precisam vazar para o roteador virtual global.

A interface externa roteia da interface global para vazamento no roteador virtual definido pelo usuário.

Considerações:

- Certifique-se de que a versão do FTD seja 7.1+.

- Use as opções Importar/Exportar no  BGP > IPv4  menu.

- Use o mapa de rotas para distribuição.

Verificação

A maneira de verificar se o roteador virtual foi criado é por meio dos comandos:

firepower# show vrf

Name                             VRF ID     Description     Interfaces

VRF_A                            1          VRF A               DMZ

firepower# show vrf detail

VRF Name: VRF_A; VRF id = 1 (0x1)

VRF VRF_A (VRF Id = 1);

Description: This is VRF for customer A

Interfaces:

Gi0/2

Address family ipv4 (Table ID = 1 (0x1)):

...

Address family ipv6 (Table ID = 503316481 (0x1e000001)):

...

VRF Name: single_vf; VRF id = 0 (0x0)

VRF single_vf (VRF Id = 0);

No interfaces

Address family ipv4 (Table ID = 65535 (0xffff)):

...

Address family ipv6 (Table ID = 65535 (0xffff)):

...

Troubleshooting

Os comandos necessários para coletar e diagnosticar informações sobre VRF são:

Todos os VRFs

- show route all

- show asp table routing all

- packet tracer

VRF global

- show route

- show [bgp|ospf] [subcommands]

VRF definido pelo usuário

- show route [bgp|ospf] vrf {name}

Links relacionados

Guia de configuração de dispositivos do Cisco Secure Firewall Management Center, 7.2 - Roteadores virtuais Cisco Secure Firewall Management Center - Cisco

Guia de configuração do gerenciador de dispositivos do Cisco Secure Firewall, versão 7.2 - Roteadores virtuais Cisco Secure Firewall Threat Defense - Cisco