通过 BGP 从 Cisco ASA 5512-x 通告静态路由

网络工程 思科 思科 虚拟专用网 bgp 艾克
2021-07-08 17:10:17

我目前正在使用 Cisco ASA 5512-X 与 Amazon Web Services VPC 建立 IKEv1 VPN。我正在使用 BGP 按照这个示例来通告路由到目前为止一切正常,我的本地网络 (172.16.2.0/24) 正在宣传其可用性,而我的 AWS VPC (172.24.0.0/16) 也在做同样的事情。

我无法弄清楚的一件事是如何向我的 BGP 表添加额外的静态路由。例如,我的本地网络(AWS 看到的)是 172.16.2.0/24。我的客户端 VPN 的子网是 172.16.252.0/24,也由 ASA 提供服务。我需要以某种方式告诉 ASA 在它的 BGP 通告中通告 172.16.252.0/24 网络。

我浏览了文档,没有发现任何明显的东西。任何人都对 ASA 中的新 BGP 功能有任何经验?

我正在运行 9.7(1) 以获得它的价值,这是我的 ASA 的“路由器”配置:

router bgp 65000
 bgp log-neighbor-changes
 timers bgp 10 30 0
 address-family ipv4 unicast
  neighbor 169.254.45.189 remote-as 7224
  neighbor 169.254.45.189 activate
  neighbor 169.254.46.229 remote-as 7224
  neighbor 169.254.46.229 activate
  network 172.16.2.0 mask 255.255.255.0
  network 172.16.252.0 mask 255.255.255.0
  redistribute static
  no auto-summary
  no synchronization
 exit-address-family

这是显示 bgp 输出:

# sh bgp

BGP table version is 26, local router ID is 172.16.2.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale, m multipath
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop        Metric LocPrf Weight  Path
*> 172.16.2.0/24    0.0.0.0              0         32768  i
*> 172.24.0.0       169.254.45.189     100             0  7224 i
*                   169.254.46.229     200             0  7224 i
1个回答

我相信您正在寻找的功能是“反向路由注入”。

反向路由注入 (RRI) 是将静态路由自动插入到受远程隧道端点保护的那些网络和主机的路由过程中的能力。这些受保护的主机和网络称为远程代理身份。

每条路由都是基于远程代理网络和掩码创建的,到该网络的下一跳是远程隧道端点。通过使用远程虚拟专用网络 (VPN) 路由器作为下一跳,流量将被强制通过加密过程进行加密。

默认情况下,ASA 不会将 VPN 隧道路由包含在路由表中。由于它们在技术上不在路由表中,因此 BGP 无法使用network语句来通告它们

设置反向路由允许将路由注入路由表。

它在 VPN 的加密映射部分启用。

例子:

crypto map LOCAL_TO_REMOTE_MAP 10 match address LOCAL_TO_REMOTE_ACL
crypto map LOCAL_TO_REMOTE_MAP 10 set peer 203.0.113.0.6
crypto map LOCAL_TO_REMOTE_MAP 10 set ikev1 transform-set LOCAL_TO_REMOTE_TRANSFORM_SET
crypto map LOCAL_TO_REMOTE_MAP 10 set reverse-route
crypto map LOCAL_TO_REMOTE_MAP interface OUTSIDE

可以在此处找到更多详细信息和用法:https : //www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_conn_vpnav/configuration/xe-16/sec-vpn-availability-xe -16-book/sec-rev-rte-inject.html#GUID-30538C61-6729-4DEC-A7E3-3FBF1DC446B1