BGP AS_PATH ループ防止の回避方法

52584

Created On 07/16/20 21:09 PM - Last Modified 03/26/21 18:30 PM

Symptom

RFC4271 に基づいて、 BGP AS ループ検出は AS 、完全なパス (AS_PATH属性で指定されている) をスキャンし、ローカルシステムの自律システム番号がパスに表示されないことを確認することによって行われます AS 。

Environment

パロアルト Firewall .
PAN-OS 8.1以上。
BGPは、既定のピアリング設定で構成されます。
Firewall は、2 つ以上の eBGP ピアでピアリングしています。

Cause

他のプラットフォームとは異なり PAN-OS 、(デフォルトでは)ピアがそのプレフィックスのAS_PATH属性に存在する場合、あるピアから別 AS のピアにプレフィックスをアドバタイズしません。この理由の 1 つは、 PAN-OS プレフィックスアドバタイズがピアによってドロップされると仮定しているためです (ループ防止メカニズムのため) ため、 firewall プレフィックスをアドバタイズしないことでプロセッササイクルが保持されます。

ネットワーク --> 仮想ルーター -- > ランタイム統計 --> BGP --> ローカル RIB:

ユーザー追加イメージ

ネットワーク --> 仮想ルーター -- > ランタイム統計の詳細 --> BGP --> RIB out:

空のリブアウト

Resolution

受信上位のピアの [送信者側ループ検出を有効にする] のチェックを外します。

ネットワーク --> 仮想ルーター --> BGP --> ピアグループ --> ピア --> 上級:

ルートが現在アドバタイズされていることを確認します。以下に示すように、ルート firewall を送信し、ルート AS アドバタイズに独自のルートを追加しています。

受信側のピアでは、デバイス/システムが AS_PATHプレフィックスアドバタイズを受け入れるように例外を作成できます firewall AS 。たとえば、Cisco IOS / IOS-XE の設定は次のとおりです。

ルーター#ショーは i bgp|allowas-in
ルーター bgp 100 bgp
ログネイバー変更
ネイバー 192.168.122.175 allowas-in |実行

システムがからルート/プレフィックスをインストール firewall しており、プレフィックスにルーティングできることを確認します。

Router#show ip bgp
BGP table version is 7, local router ID is 192.168.122.83
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
              x best-external, a additional-path, c RIB-compressed,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found

     Network          Next Hop            Metric LocPrf Weight Path
 *>  10.20.30.1/32    192.168.122.175                        0 200 100 ?
 r>  192.168.122.0    192.168.122.175                        0 200 100 ?

Router#ping 10.20.30.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.20.30.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/5/11 ms

Additional Information

ローカルの受信を許可できない可能性があるプラットフォームでは AS 、エクスポートルールを、 firewall プレフィックスの一致条件と AS 、パスの種類のアクションを [Remove and Prepend] に設定して構成できます。つまり firewall 、元のAS_PATHが独自のAS_PATH上書き AS され、ルートがアドバタイズされます。アドバタイズメントには独自のローカルが含まれていないため、ピアデバイスはこのルートをインストール AS します。次の例では、 firewall は AS 最初のピアから 100 のインスタンスと一致し、このアクションは 'Remove and Prepend' に設定されています。

ネットワーク --> 仮想ルータ BGP --> --> 追加:

一致条件