BGP
Настройка BGP для обмена информацией о доступности сетей.
Название службы раздела BGP: ideco-frr-vpp
, ideco-routing-backend-vpp
.
BGP (Border Gateway Protocol) - это основной протокол динамической маршрутизации, который используется в интернете.
Настройка своей автономной системы
1. Введите номер автономной системы в строку Номер AS и нажмите Сохранить:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3846409349-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FkoyjSXgTBRdq3zkcXWtN%252Fuploads%252Fgit-blob-aa8e6af3645862b1780f301fab1b3885e8b0216f%252Fbgp.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d1019991&sv=1)
2. Переведите переключатель раздела BGP в положение включен. Ideco NGFW VPP заполнит поле Router ID автоматически;
3. Модуль BGP запустится, если будет настроен хотя бы один BGP-сосед.
Настройка BGP-соседей
1. Для добавления BGP-соседа нажмите кнопку Добавить;
2. Заполните следующие поля:
Название - любое значение;
IP-адрес - IP-адрес BGP-соседа;
Номер AS - номер AS BGP-соседа;
Входящие сети - фильтр, в котором нужно выбрать сети, информацию от которых хотите получать. Если выбран объект Любой, то фильтрация будет отключена и будут приниматься все сети от BGP-соседа. Предустановленный объект фильтров Маршрут по умолчанию соответствует фильтру 0.0.0.0/0;
Анонсируемые сети - фильтр, в котором нужно выбрать сети, информацию о которых хотите отправлять. Если выбран объект Любой, фильтрация будет отключена и передаваться будет информация обо всех маршрутах, известных NGFW VPP (статические маршруты (redistribute static, указанные во вкладке Сервисы -> Маршрутизация -> Локальных сетей) и маршруты, полученные от соседей, а также присоединенные сети). Предустановленный объект фильтров Маршрут по умолчанию соответствует фильтру 0.0.0.0/0;
AS-Path Prepend - чем больше значение, тем менее приоритетным становится канал;
Local Preference - определяет приоритет пути для выхода трафика. Чем больше значение, тем менее приоритетным становится канал;
MED - определяет приоритет пути для входа трафика. Чем меньше значение, тем приоритетнее путь.
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3846409349-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FkoyjSXgTBRdq3zkcXWtN%252Fuploads%252Fgit-blob-069eebe51973fe33af6caf4fb819fee294b4f024%252Fbgp1.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=baa160f6&sv=1)
Для Входящих сетей и Анонсируемых сетей объект Любой не может быть установлен одновременно с другими фильтрами.
Если нужного объекта для фильтрации нет, то создать его можно, выбрав Создать новый объект в поле Входящие сети или Анонсируемые сети:
Название - любое значение;
Значение - значение подсети в формате:
подсеть/маска подсети
, например,192.168.100.0/24
.
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3846409349-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FkoyjSXgTBRdq3zkcXWtN%252Fuploads%252Fgit-blob-0e073fc7b4e5261278f7716444e2d593b7f2511f%252Fbgp2.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=544f69e5&sv=1)
Связь между двумя Ideco NGFW VPP по BGP
Чтобы NGFW VPP мог принимать входящие BGP-соединения, необходимо создать правило DNAT. Для этого перейдите в раздел Правила трафика -> Файрвол -> DNAT, нажмите Добавить и заполните следующие поля:
Протокол - TCP;
Источник - любой;
Зона источника - любой;
Назначение - IP данного VPP, который находится в подсети BGP-соседа;
Порты назначения - 179 порт;
Сменить IP-адрес назначения -
169.254.100.2
;Действие - DNAT.
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3846409349-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FkoyjSXgTBRdq3zkcXWtN%252Fuploads%252Fgit-blob-033b02fd2fb81686e37a78bc116fbd6ad3252985%252Fbgp4.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f391f9a9&sv=1)
В VPP не разрешен Forward трафика без авторизации.
Для связи локальных сетей двух VPP, соединенных по BGP, на каждом VPP должны быть авторизованы локальные сети каждого VPP:
И на VPP-1, и на VPP-2 должны быть авторизованы локальные сети 192.168.1.0/24
и 192.168.2.0/24
.
Last updated