Konfigurieren des BGP-Protokolls

Um den Zugriff zwischen Ihren VMs und der Außenwelt zu ermöglichen, können Sie eine externe oder interne BGP-Verbindung (eBGP oder iBGP) zwischen einem Tier-0-Gateway und einem Router in Ihrer physischen Infrastruktur konfigurieren.

Wenn Sie BGP konfigurieren, müssen Sie eine lokale AS-Nummer des autonomen Systems für das Tier-0-Gateway konfigurieren. Sie müssen auch die Remote-AS-Nummer konfigurieren. EBGP-Nachbarn müssen direkt verbunden sein und sich im selben Subnetz wie der Tier-0-Uplink befinden. Wenn Sie sich nicht im selben Subnetz befinden, sollte BGP-Multi-Hop verwendet werden.

BGPv6 wird für Single-Hop und für Multihop unterstützt. Redistribution, Präfix-Liste und Route Maps werden mit IPv6-Präfixen unterstützt.

RFC-5549 ermöglicht BGPv6-Sitzungen den Austausch von IPv4-Routen mit einem nächsten IPv6-Hop. Um die Anzahl der BGP-Sitzungen und IPv4-Adressen zu minimieren, können Sie sowohl IPv4- als auch IPv6-Routen über eine BGP-Sitzung austauschen. Die Unterstützung der Kodierung und Verarbeitung einer IPv4-Route mit einem nächsten IPv6-Hop wird im Rahmen des Funktionsaustauschs in der BGP OPEN-Meldung ausgehandelt. Wenn beide Seiten einer Peering-Sitzung die Funktion unterstützen, werden IPv4-Routen mit einem nächsten IPv6-Hop angekündigt. Das BGP mit Mehrfachprotokoll (MP-BGP) wird verwendet, um die Informationen zur Erreichbarkeit der Netzwerkschicht einer IPv4-Adressfamilie mit dem nächsten Hop einer IPv6-Adressfamilie anzukündigen.

Ein Tier-0-Gateway im Aktiv/Aktiv-Modus unterstützt Inter-SR-iBGP (Servicerouter). Wenn Gateway 1 nicht mit einem physischen Northbound-Router kommunizieren kann, wird der Datenverkehr zu Gateway 2 im Aktiv/Aktiv-Cluster umgeleitet. Wenn Gateway 2 mit dem physischen Router kommunizieren kann, wird der Datenverkehr zwischen Gateway 1 und dem physische Router nicht beeinflusst. Eine Route, die von einem Edge-Knoten von einem Northbound-Router erlernt wird, wird immer derselben Route vorgezogen, die über Inter-SR-iBGP erlernt wurde. Diese Einstellung kann nicht geändert werden.

In einer Verbundumgebung, in der sich das Tier-0-Gateway auf zwei Sites erstreckt, wird iBGP für die Site-übergreifende Routensynchronisierung verwendet. Wenn Sie einen CLI-Befehl zum Auflisten der Routen verwenden, werden sowohl die standardmäßigen Site-internen Routen als auch die Site-übergreifenden iBGP-Routen des Verbunds als „isr: Inter-SR“ klassifiziert. Die Site-übergreifenden iBGP-Routen des Verbunds sind unabhängig davon vorhanden, ob die Einstellung Inter SR iBGP auf dem Tier-0-Gateway aktiviert ist oder nicht.

Die Implementierung von ECMP auf NSX Edge basiert auf dem 5-Tupel der Protokollnummer, der Quell- und Zieladresse sowie dem Quell- und Zielport.

Für diese iBGP-Funktion gelten folgende Möglichkeiten und Einschränkungen:

Umverteilung, Präfixlisten und Route Maps werden unterstützt.
Routenreflektoren werden nicht unterstützt.
BGP-Verbund wird nicht unterstützt.

Wie die BGP-Router-ID (RID) ermittelt wird:

Wenn es keine Loopback-Schnittstelle gibt, nimmt BGP die höchste Schnittstellen-IP-Adresse als RID.
Wenn BGP bereits die höchste Schnittstellen-IP als RID gewählt hat, hat das Hinzufügen einer Loopback-Schnittstelle keine Auswirkungen auf die BGP-Nachbarschaft, und die RID wird nicht geändert.
Wenn RID die höchste Schnittstellen-IP ist und Loopback vorhanden ist, wird durch Deaktivieren und Aktivieren von BGP die RID nicht geändert.
Wenn RID die höchste Schnittstellen-IP ist und Loopback vorhanden ist, wird die RID durch einen Neustart des Edge-Knotens, die Aktivierung des Wartungsmodus auf dem Edge-Knoten oder einen Neustart des Routing-Prozesses nicht geändert.
Wenn RID die höchste Schnittstellen-IP ist und Loopback vorhanden ist, wird durch die Neuinstallation oder den Austausch des Edge-Transportknotens die RID auf die Loopback-Schnittstellen-IP geändert.
Wenn RID die höchste Schnittstellen-IP ist und Loopback vorhanden ist, wird durch Ändern oder Löschen der höchsten Schnittstellen-IP-Adresse die RID auf die Loopback-Schnittstellen-IP geändert.
Wenn RID die IP der Loopback-Schnittstelle ist, wird durch das Ändern oder Löschen der höchsten Schnittstellen-IP die RID nicht geändert.
Durch das Löschen von BGP-Nachbarn wird die RID geändert. Es bleibt nur die alte RID erhalten.
Wenn die Loopback-Schnittstelle eine IPv6-Adresse hat, verwendet BGP sie nicht als RID. Es wird die höchste IPv4-Schnittstellen-IP verwendet.
Ein sanfter Neustart oder ein harter Neustart der BGP-Nachbarschaft von einem entfernten Standort aus hat keine Auswirkungen auf die BGP-RID.

Unterstützte BGP-Funktionen

Wie in https://datatracker.ietf.org/doc/html/rfc2842 definiert, bestimmt ein BGP-Speaker die Funktionen, die von seinem Peer unterstützt werden, indem er die Liste der Funktionen untersucht, die unter Optionale Parameter für Funktionen in der OPEN-Nachricht vorhanden sind, die der Speaker vom Peer erhält. NSX-T unterstützt die folgenden Funktionen:

Funktionscode	Funktionsbeschreibung	Unterstützte Adressfamilien	Angekündigter Support von Tier-0-Gateway	Wird vom Tier-0-Gateway unterstützt, wenn empfangen vom Peer	Standardverhalten	Konfigurierbar
1	Multiprotocol-Erweiterungen mit: AFI=1, SAFI=1: IPv4-Unicast AFI=2, SAFI=1: IPv6-Unicast AFI=25, SAFI=70: L2VPN EVPN	IPv4-Unicast IPv6-Unicast L2VPN-EVPN	Ja	Ja	Die IPv4-Unicast-Adressfamilie wird standardmäßig aktiviert und angekündigt, wenn ein IPv4-Nachbar konfiguriert wird, oder manuell in den Routenfiltereinstellungen unter der BGP-Nachbarkonfiguration hinzugefügt. Die IPv6-Unicast-Adressfamilie wird standardmäßig aktiviert und angekündigt, wenn ein IPv6-Nachbar konfiguriert wird, oder manuell in den Routenfiltereinstellungen unter der BGP-Nachbarkonfiguration hinzugefügt. Die L2-VPN-EVPN-Adressfamilie wird aktiviert und angekündigt, wenn sie in den Routenfiltereinstellungen unter der BGP-Nachbarkonfiguration konfiguriert ist. Die IPv4-Unicast-Adressfamilie ist in NSX-T Data Center obligatorisch und wird beim Hinzufügen der L2VPN-EVPN-Adressfamilie automatisch aktiviert.	Ja
2	Routenaktualisierung	IPv4-Unicast IPv6-Unicast L2VPN-EVPN	Ja	Ja	Standardmäßig angekündigt	Nein
5	Erweiterte Kodierung des nächsten Hop	IPv6-Unicast	Ja	Ja	Nicht standardmäßig angekündigt. Stellen Sie sicher, dass Sie eine IPv4-Adressfamilie zusammen mit der IPv6-Adressfamilie für die IPv6-BGP-Peer-IP-Adresse bereitstellen, um diese Funktion zu aktivieren.	Ja
64	Graceful Restart	IPv4-Unicast IPv6-Unicast L2VPN-EVPN	Ja	Ja	Nicht standardmäßig angekündigt (Edge-Knoten ist standardmäßig ein Hilfsdienst)	Ja
65	Unterstützung für 4-Oktett-AS-Nummer	IPv4-Unicast IPv6-Unicast L2VPN-EVPN	Ja	Ja	Standardmäßig angekündigt	Nein
69	ADD-Pfad, mit: AFI=1/2/25, SAFI=1/70 Senden/Empfangen=1 (nur senden) Senden/Empfangen=2 (nur empfangen) Senden/Empfangen=3 (beide)	IPv4-Unicast IPv6-Unicast L2VPN-EVPN	Ja (nur empfangen)	Ja (senden und empfangen)	Die Funktion „Nur empfangen“ wird unterstützt und standardmäßig angekündigt. Wenn der Edge-Knoten mehrmals dasselbe BGP-Präfix empfängt, aber mit derselben Metrik, werden bei aktiviertem ECMP alle Pfade installiert und aktiv. Wenn der Edge-Knoten mehrmals dasselbe BGP-Präfix mit unterschiedlichen Metriken empfängt (z. B. eine größere ASPATH-Länge), wird die beste Pfadroute installiert und aktiv. Die weniger bevorzugten Pfade werden in der BGP-Routing-Tabelle beibehalten, um die Konvergenz der Control Plane zu verbessern.	Nein
73	FQDN	IPv4-Unicast IPv6-Unicast L2VPN-EVPN	Ja	Ja	Standardmäßig angekündigt	Nein
128	Routenaktualisierung (Cisco)	IPv4-Unicast IPv6-Unicast L2VPN-EVPN	Ja	Ja	Standardmäßig angekündigt	Nein

Hinweis: Wenn die Tier-0-Gateway-Firewall mit einer Drop- oder Reject-Standardregel konfiguriert ist, müssen Sie manuell eine Allow-Regel für BGP und für BFD hinzufügen, sofern diese konfiguriert ist.

Vorsicht: Beachten Sie die folgenden Szenarien, wenn Verbindungsfehler bezüglich BGP oder BFD vorliegen:

Wenn nur BGP konfiguriert ist und alle BGP-Nachbarn ausfallen, ist der Status des Dienstrouters inaktiv.
Wenn nur BFD konfiguriert ist und alle BFD-Nachbarn ausfallen, ist der Status des Dienstrouters inaktiv.
Wenn BGP und BFD konfiguriert sind und alle BGP- und BFD-Nachbarn ausfallen, ist der Status des Dienstrouters inaktiv.
Wenn BGP und statische Routen konfiguriert sind und alle BGP-Nachbarn ausfallen, ist der Status des Dienstrouters inaktiv.
Wenn nur statische Routen konfiguriert sind, ist der Status des Dienstrouters immer aktiv, es sei denn, der Knoten weist einen Fehler auf oder befindet sich im Wartungsmodus.

Prozedur

Melden Sie sich mit Administratorrechten bei NSX Manager an.
Wählen Sie Netzwerk > Tier-0-Gateways aus.
Um ein Tier-0-Gateway zu bearbeiten, klicken Sie auf das Menüsymbol (drei Punkte) und wählen Sie Bearbeiten.
Klicken Sie auf BGP.
1. Geben Sie die lokale AS-Nummer ein.
  Im Aktiv/Aktiv-Modus ist der Standard-ASN-Wert 65000 bereits eingetragen. Im Aktiv/Standby-Modus gibt es keinen ASN-Standardwert.
2. Klicken Sie auf die BGP-Umschaltfläche, um BGP zu aktivieren oder zu deaktivieren.
  Im Aktiv/Aktiv-Modus ist BGP standardmäßig aktiviert. Im Aktiv/Standby-Modus ist BGP standardmäßig deaktiviert.
3. Wenn dieses Gateway im Aktiv/Aktiv-Modus ist, klicken Sie auf die Umschaltfläche Inter-SR-iBGP, um Inter-SR-iBGP zu aktivieren oder zu deaktivieren. Standardmäßig ist die Option aktiviert.
  Wenn sich das Gateway im Aktiv/Standby-Modus befindet, ist diese Funktion nicht verfügbar.
4. Klicken Sie auf die Umschaltfläche ECMP, um ECMP zu aktivieren oder zu deaktivieren.
5. Klicken Sie auf die Umschaltfläche Multipath Relax, um Lastverteilung über mehrere Pfade hinweg zu aktivieren oder zu deaktivieren, die sich nur in den AS-Pfad-Attributwerten unterscheiden, aber dieselbe AS-Pfadlänge haben.
  
  Hinweis: ECMP muss aktiviert sein, damit Multipath Relax funktioniert.
6. Wählen Sie im Feld Graceful Restart Deaktivieren, Nur Helfer oder Graceful Restart und Helfer aus.
  Optional können Sie den Graceful Restart-Timer und den Stale-Timer für Graceful Restart ändern.
  Standardmäßig ist der Modus „Graceful Restart“ auf Nur Helfer festgelegt. Der Hilfsmodus beseitigt und/oder reduziert Unterbrechungen des Datenverkehrs mit Routen eines Nachbars, der einen „Graceful Restart“ durchführen kann. Der Nachbar muss während eines Neustarts seine Weiterleitungstabelle beibehalten können.
  
  Für EVPN wird nur der Modus Nur Helfer unterstützt.
  
  Die Funktion „Graceful Restart“ sollte nicht auf den Tier-0-Gateways aktiviert werden, da die BGP-Peerings von allen Gateways immer aktiv sind. Bei einem Failover erhöht die Funktion „Graceful Restart“ die Dauer, während der ein Remote-Nachbar ein alternatives Tier-0-Gateway auswählt. Dadurch wird die BFD-basierte Konvergenz verzögert.
  
  Hinweis: Sofern die Tier-0-Konfiguration nicht von einer spezifischen Nachbarkonfiguration überschrieben wurde, gilt sie für alle BGP-Nachbarn.
Konfigurieren Sie Routenaggregation durch Hinzufügen von IP-Adresspräfixen.
1. Klicken Sie für „Routenaggregation“ auf Festlegen.
2. Klicken Sie auf Präfix hinzufügen.
3. Geben Sie ein IP-Adresspräfix im CIDR-Format ein.
4. Wählen Sie für die Option Nur Übersicht entweder Ja oder Nein aus.
Klicken Sie auf Übernehmen.
Sie müssen die globale BGP-Konfiguration speichern, bevor Sie BGP-Nachbarn konfigurieren können.

Konfigurieren Sie BGP-Nachbarn.

Klicken Sie für BGP-Nachbarn auf Festlegen.
Klicken Sie auf BGP-Nachbarn hinzufügen.
Geben Sie die IP-Adresse des Nachbarn ein.
Aktivieren oder deaktivieren Sie BFD.

Hinweis: Nur IPv4 wird unterstützt.
Geben Sie einen Wert für die Remote-AS-Nummer ein.
Geben Sie für iBGP die gleiche AS-Nummer wie in Schritt 4a ein. Geben Sie für eBGP die AS-Nummer des physischen Routers ein.
Klicken Sie unter Routenfilter auf Festlegen, um einen oder mehrere Routenfilter hinzuzufügen.
Für IP-Adressfamilie können Sie IPv4, IPv6 oder L2VPN-EVPN auswählen. Die folgenden Kombinationen werden unterstützt:
- IPv4 und IPv6
- IPv4 und L2VPN-EVPN
Die Kombination aus IPv6 und L2VPN-EVPN wird nicht unterstützt.

Stellen Sie für die RFC 5549-Funktion sicher, dass Sie eine IPv4-Adressfamilie zusammen mit der IPv6-Adressfamilie für die IPv6-BGP-Peer-IP-Adresse bereitstellen.

Klicken Sie für Filter für ausgehende Daten und Filter für eingehende Daten auf Konfigurieren und wählen Sie Filter aus. Klicken Sie dann auf Speichern.

Für Maximale Routen können Sie einen Wert zwischen 1 und 1,000,000 angeben. Wenn die Anzahl der vom Peer empfangenen BGP-Routen 75 % des konfigurierten Grenzwerts erreicht oder den konfigurierten Grenzwert zum ersten Mal überschreitet, wird eine Warnmeldung in der Datei /var/log/frr.log protokolliert. Zusätzlich zur Protokollmeldung wird in der Ausgabe des NSX CLI-Befehls get bgp neighbor angezeigt, ob die Anzahl der empfangenen Präfixe den konfigurierten Grenzwert überschreitet. Das Gateway akzeptiert weiterhin Routen vom BGP-Nachbarn, auch wenn das Limit für Maximale Routen erreicht ist.

Hinweis: Wenn Sie einen BGP-Nachbarn mit einer Adressfamilie konfigurieren, z. B. mit L2VPN-EVPN, und später eine zweite Adressfamilie hinzufügen, wird die festgelegte BGPVerbindung zurückgesetzt.
Aktivieren oder deaktivieren Sie die Funktion Allowas-in.
Diese ist standardmäßig deaktiviert. Wenn diese Funktion aktiviert ist, können BGP-Nachbarn Routen mit demselben AS empfangen, z. B. wenn Sie zwei Standorte haben, die über denselben Dienstanbieter miteinander verbunden sind. Diese Funktion gilt für alle Adressfamilien und kann nicht auf bestimmte Adressfamilien angewendet werden.
Im Feld Quelladressen können Sie eine Quelladresse auswählen, um eine Peering-Sitzung mit einem Nachbarn unter Verwendung dieser bestimmten Quelladresse einzurichten. Wenn Sie keine auswählen, richtet das Gateway automatisch eine Peering-Sitzung mit dem Nachbarn auf jedem Tier-0-SR ein. Wenn ein Tier-0-SR keine Schnittstelle im Subnetz des Nachbarn hat, bleibt die auf diesem Tier-0-SR konfigurierte BGP-Sitzung inaktiv.
Geben Sie einen Wert für den Max. Hop-Grenzwert ein.

Optional können Sie im Feld Graceful Restart Deaktivieren, Nur Helfer oder Graceful Restart und Helfer auswählen.

Option	Beschreibung
Keine ausgewählt	Der „Graceful Restart“ für diesen Nachbarn folgt der BGP-Konfiguration des Tier-0-Gateways.
Deaktivieren	Wenn das Tier-0-Gateway-BGP mit Deaktivieren konfiguriert ist, wird der „Graceful Restart“ für diesen Nachbarn deaktiviert. Wenn das Tier-0-Gateway-BGP mit Nur Helfer konfiguriert ist, wird der „Graceful Restart“ für diesen Nachbarn deaktiviert. Wenn das Tier-0-Gateway-BGP mit Graceful Restart und Helfer konfiguriert ist, wird der „Graceful Restart“ für diesen Nachbarn deaktiviert.
Nur Helfer	Wenn das Tier-0-Gateway-BGP mit Deaktivieren konfiguriert ist, wird der „Graceful Restart“ für diesen Nachbarn als „Nur Helfer“ konfiguriert. Wenn das Tier-0-Gateway-BGP mit Nur Helfer konfiguriert ist, wird der „Graceful Restart“ für diesen Nachbarn als „Nur Helfer“ konfiguriert. Wenn das Tier-0-Gateway-BGP mit Graceful Restart und Helfer konfiguriert ist, wird der „Graceful Restart“ für diesen Nachbarn als „Nur Helfer“ konfiguriert.
Graceful Restart und Helfer	Wenn das Tier-0-Gateway-BGP mit Deaktivieren konfiguriert ist, wird der „Graceful Restart“ für diesen Nachbarn als „Graceful Restart und Helfer“ konfiguriert. Wenn das Tier-0-Gateway-BGP mit Nur Helfer konfiguriert ist, wird der „Graceful Restart“ für diesen Nachbarn als „Graceful Restart und Helfer“ konfiguriert. Wenn das Tier-0-Gateway-BGP mit Graceful Restart und Helfer konfiguriert ist, wird der „Graceful Restart“ für diesen Nachbarn als „Graceful Restart und Helfer“ konfiguriert.

Hinweis: Für EVPN wird nur der Modus Nur Helfer unterstützt.

Klicken Sie auf Timer und Kennwort.
Geben Sie einen Wert für BFD-Intervall ein.
Die Einheit ist Millisekunden. Für einen Edge-Knoten, der auf einer VM ausgeführt wird, lautet der Minimalwert 500. Bei einem Bare-Metal-Edge-Knoten lautet der Minimalwert 50.
Geben Sie einen Wert für BFD-Multiplikator ein.
Geben Sie einen Wert (in Sekunden) für Hold Down-Zeit und Keep Alive-Zeit ein.
Die Keep Alive-Zeit gibt an, wie häufig KEEPALIVE-Nachrichten gesendet werden. Der Wert kann zwischen 0 und 65535 liegen. Der Wert „Null“ bedeutet, dass keine KEEPALIVE-Nachrichten gesendet werden.
Die Hold Down-Zeit gibt an, wie lange das Gateway auf eine KEEPALIVE-Meldung von einem Nachbarn wartet, bevor der Nachbar als ausgefallen betrachtet wird. Der Wert kann 0 sein oder zwischen 3 und 65535 liegen. Der Wert „Null“ bedeutet, dass keine KEEPALIVE-Meldungen zwischen den BGP-Nachbarn versendet werden, und der Nachbar wird nie als unerreichbar betrachtet.

Der Wert für die Hold Down-Zeit muss mindestens dem Dreifachen des Werts für die Keep Alive-Zeit entsprechen.
Geben Sie ein Kennwort ein.
Dies ist erforderlich, wenn Sie die MD5-Authentifizierung unter BGP-Peers konfigurieren.

Klicken Sie auf Speichern.
(Optional) Nachdem ein BGP-Nachbar hinzugefügt wurde, können Sie die angekündigten und gelernten Routen speichern.
1. Klicken Sie im Feld BGP-Nachbarn auf die Zahl.
2. Klicken Sie im Dialogfeld BGP-Nachbarn festlegen auf das Menüsymbol (3 Punkte) eines BGP-Nachbarn und wählen Sie Angekündigte Routen herunterladen oder Gelernte Routen herunterladen aus.