Verwendung von AS-path für BGP, um Routen weniger bevorzugt zu machen

Problem

Die Palo Alto Networks Firewall ist so konfiguriert, dass Sie Netzwerke/Präfixe für einen BGP-Nachbarn beworben. Der BGP-Nachbar lernt auch die gleichen Routen von einem anderen Router/Firewall. Der Nachbar installiert diese Routen von der Palo Alto Networks Firewall in die Routing-Tabelle, obwohl er diese Routen lieber von der anderen Router/Firewall aus lernt.

Ursache

Wenn keine anderen BGP-Attribute angegeben wurden, fungiert BGP als Distanz Vektor Protokoll und der BGP-Best-Path-Algorithmus entscheidet, wie der beste Pfad zu einem autonomen System (AS) ausgewählt wird. Wenn zwei oder mehr Routen existieren, um ein bestimmtes Präfix zu erreichen, ist die Voreinstellung in BGP, die Route mit der kürzesten als Pfadlänge vorzuziehen. Wenn die kürzeste als Länge zum Präfix von der Palo Alto Networks Firewall erlernt wird, entscheidet sich der BGP-Nachbar, diese Route über den anderen Peer zu nutzen.

Lösung

Verwenden Sie als Pfad, der vorgegeben ist, um das eingehende Routing in das autonome System des Peer zu beeinflussen. Wenn die Palo Alto Networks Firewall als voranhängige Pfad benutzt wird, verlängert sie künstlich den als Pfad, den Sie für den Nachbarn bewirbt, so dass Sie den Pfad so viel länger sehen, als er tatsächlich ist.

Konfigurieren Sie als Pfad, der vom PAN-OS Web UI vorgegeben wird, indem Sie zu: Network > Virtual Routers > BGP > Export.

Klicken Sie auf den "Add"-Button, um ein neues "Export Rule"-Fenster aufzuführen. Wählen Sie unter der Registerkarte "Allgemein" die Peer-Gruppe, für die der vorangemeldete Pfad beantragt werden soll.

Auf der Registerkarte "Match" Konfigurieren Sie das AS #, das unter dem Feld "als Pfad regulären Ausdruck" vorgeschrieben werden muss, und auch die Präfixe, für die der AS-Pfad vorgegeben werden soll. Sie können auch den nächsten Hop und/oder den Peer konfigurieren, von dem das Präfix gelernt wurde, und auch die anderen BGP-Attribute, die mit diesem Präfix verbunden sind (Community-regulärer Ausdruck, der erweiterte Community-Regular-Expression und MED).

Wählen Sie auf der Registerkarte Aktion "erlauben" für die Aktion. Unter dem Abschnitt "Pfad" wählen Sie "prepend" für den Typ und geben eine Zahl ein, die die Anzahl der Male definiert, dass die Palo Alto Networks Firewall ihre als Nummer auf das Präfix vorgeben wird, bevor Sie zum Nachbarn exportiert.

Die Palo Alto Networks Firewall kann auch die AS-Nummer entfernen, bevor Sie das Präfix wirbt, indem Sie den Typ unter als Pfad zum "entfernen" setzt. Die Typenauswahl "entfernen und Prepend" entfernt die angegebene Anzahl von spätestens als Zahlen, die dem Präfix hinzugefügt werden, und gibt Dekorator die Firewall als die gleiche Anzahl von Zeiten.

Besitzer: Kprakash