Configurar o BGP através de IPsec nos Gateways

Pode configurar as definições BGP para SD-WAN Gateways, através de túneis IPsec.

Apenas o eBGP é suportado com o BGP através de IPsec.

Nota: Recomenda-se a utilização do eBGP entre sites SD-WAN Gateway e NSD. Se o iBGP for utilizado, a aplicação da preferência local não funcionará com o filtro de saída. Nesse caso, o cliente deverá escolher opções de precedência do caminho do AS ou da métrica para obter o routing pretendido.

Para configurar as definições BGP para um Gateway:

Pré-requisitos

Nota: A funcionalidade de Automatização da vWAN do Azure a partir do Gateway não é compatível com o BGP através de IPsec. Isto é porque apenas os caminhos estáticos são suportados ao automatizar a conectividade de um Gateway para uma vWAN do Azure.

Certifique-se de que configurou o seguinte:

• Crie um Destino Não-SD-WAN através de um Gateway para um dos seguintes sites:
  • Gateway VPN de AWS
  • Cisco ISR
  • Router genérico IKEv1
  • Router genérico IKEv2
  • Hub Virtual Microsoft Azure
• Associar um Destino Não-SD-WAN a um perfil, ver Configurar um túnel entre um ramo e um destino não-SD-WAN via gateway.

Nota: Recomenda-se a aticação de Cálculo de custos distribuídos (Distributed Cost Calculation) para obter o melhor desempenho e dimensionamento ao utilizar o BGP através de IPsec via Gateway. O Cálculo de custos distribuídos (Distributed Cost Calculation) é suportado a partir da versão 3.4.0.

Para obter mais informações sobre a funcionalidade Cálculo de custos distribuídos (Distributed Cost Calculation), consulte a secção Configurar cálculo de custos distribuídos no Guia de operador do VMware SD-WAN disponível em: https://docs.vmware.com/pt/VMware-SD-WAN/index.html.

Procedimento

1. No portal da empresa, clique em Configurar (Configure) > Serviços de rede (Network Services).
2. Na área Destinos Não-SD-WAN via Gateway (Non SD-WAN Destinations via Gateway), clique na ligação Editar (Edit) na coluna BGP que corresponde ao Destino Não-SD-WAN.
   
3. Na janela Editor BGP (BGP Editor), coloque o controlo de deslize em LIGADO (ON) para configurar as definições BGP.
   1. Clique em Adicionar filtro (Add Filter) para criar um ou mais filtros. Estes filtros são aplicados ao vizinho para negar ou alterar os atributos do caminho. O mesmo filtro pode ser utilizado para vários vizinhos.
      Na janela Criar filtro BGP (Create BGP Filter), defina as regras para o filtro.
      

      Opção	Descrição
      Nome do filtro (Filter Name)	Introduza um nome descritivo para o filtro BGP.
      Tipo e valor de correspondência (Match Type and Value)	Escolha o tipo de caminhos a corresponder ao filtro: Prefixo (Prefix): escolha corresponder a um prefixo e introduza o endereço IP do prefixo no campo Valor (Value). Comunidade (Community): escolha corresponder a uma comunidade e introduza a cadeia comunitária no campo Valor (Value).
      Correspondência exata (Exact Match)	A ação do filtro só é executada quando os caminhos BGP correspondem exatamente ao prefixo especificado ou à cadeia da comunidade. Por predefinição, esta opção está ativada.
      Tipo de ação (Action Type)	Escolha a ação a realizar quando os caminhos BGP corresponderem ao prefixo especificado ou à cadeia da comunidade. Pode permitir ou recusar o tráfego.
      Definir (Set)	Quando os caminhos BGP correspondem aos critérios especificados, pode definir para encaminhar o tráfego para uma rede com base nos atributos do caminho. Selecione uma das seguintes opções da lista pendente: Nenhum (None): os atributos dos caminhos correspondentes permanecem os mesmos. Preferência local (Local Preference): o tráfego correspondente é encaminhado para o caminho com a preferência local especificada. Comunidade (Community): os caminhos correspondentes são filtrados pela cadeia de comunidade especificada. Métrica (Metric): o tráfego correspondente é encaminhado para o caminho com o valor métrico especificado. Preceder-Caminho-AS (AS-Path-Prepend): permite preceder várias entradas do sistema autónomo (AS) para um caminho BGP.

      Clique no ícone de adição ( +) para adicionar mais regras de correspondência para o filtro.
      Clique em OK.
      Repita o procedimento para criar mais filtros BGP.
      Os filtros configurados são apresentados na janela Editor BGP (BGP Editor).
   2. Na janela Editor BGP (BGP Editor), configure as definições BGP para os Gateways Principal e Secundário.
      Nota: A opção de Gateway secundário só está disponível se tiver configurado um Gateway secundário para o Destino Não-SD-WAN correspondente.

      Nota: Numa implementação de cliente na qual um Destino Não VMware SD-WAN (NSD) via Gateway esteja configurado para utilizar túneis redundantes, caso os Gateways principais e secundários anunciem um prefixo com um caminho AS igual ao dos túneis NSD principais e secundários, o túnel NSD principal irá preferir um caminho do Gateway redundante em vez do Gateway principal. O impacto de o túnel NSD principal via Gateway preferir o caminho do Gateway redundante em vez do Gateway principal só é sentido para o tráfego de retorno do NSD para o Gateway.

      Se não pretender que o seu router BGP prefira o Gateway redundante, a solução alternativa é configurar a precedência de AS-PATH e definir o filtro de métrica como uma métrica mais alta (3 ou mais) para o prefixo anunciado no Gateway redundante. Isto garante que o túnel principal do NSD escolhe o Gateway principal para o tráfego de retorno.

      

      Opção	Descrição
      ASN Local (Local ASN)	Introduza o número do sistema autónomo (ASN) local
      ID de router (Router ID)	Introduza o ID de router BGP
      IP de vizinho (Neighbor IP)	Introduza o endereço IP do vizinho BGP
      ASN	Introduza o ASN do vizinho
      Filtro de entrada (Inbound Filter)	Selecione um filtro de entrada da lista pendente
      Filtro de saída (Outbound Filter)	Selecione um filtro de saída da lista pendente
      Opções adicionais (Additional Options) – Clique no link ver todos (view all) para configurar as seguintes definições adicionais:
      IP local (Local IP)	O endereço IP local é o equivalente a um endereço IP de retorno. Introduza um endereço IP que os vizinhos BGP possam utilizar como endereço IP de origem para os pacotes de saída.
      Max-hop	Introduza o número de hops máximo para permitir multi-hop para os pares BGP. Para a versão 5.1 e posterior, o intervalo é de 2 a 255 e o valor predefinido é 2. Nota: Ao atualizar para a versão 5.1, qualquer valor max-hop de 1 será automaticamente atualizado para um valor max-hop de 2. Nota: Este campo está disponível apenas para vizinhos eBGP, quando o ASN local e o ASN vizinho são diferentes.
      Permitir AS (Allow AS)	Selecione a caixa de verificação para permitir que os caminhos BGP sejam recebidos e processados mesmo que o Gateway detete o seu próprio ASN no Caminho-AS.
      Caminho predefinido (Default Route)	O Caminho predefinido (Default Route) adiciona uma declaração de rede na configuração BGP para anunciar o caminho predefinido para o vizinho.
      Ativar BFD (Enable BFD)	Permite a subscrição na sessão BFD existente para o vizinho BGP.
      Keep Alive	Introduza o temporizador keepalive em segundos, que é a duração entre as mensagens keepalive que são enviadas para o par. O intervalo é de 1 a 65 535 segundos. O valor predefinido é 60 segundos.
      Hold Timer	Introduza o Hold Timer em segundos. Se a mensagem keepalive não for recebida durante o tempo especificado, o par será considerado inativo. O intervalo é de 1 a 65 535 segundos. O valor predefinido é 180 segundos.
      Ligar (Connect)	Introduza o intervalo de tempo para tentar uma nova ligação TCP com o par se detetar que a sessão TCP não é passiva. O valor predefinido é 120 segundos.
      Autenticação MD5 (MD5 Auth)	Selecione a caixa de verificação para ativar a autenticação BGP MD5. Esta opção é utilizada numa rede de legado ou numa rede federal e é utilizada como um guarda de segurança para os pares BGP.
      Palavra-passe MD5 (MD5 Password)	Introduza uma palavra-passe para a autenticação MD5.

   3. Clique em OK para guardar as alterações.