BGP / Multi Homing

Question

Atualmente temos um ASA5505 e estamos recebendo um 2º ISP (ambos os ISPs terão 20 fibras dedicadas para cima / baixo).

Precisamos ser capazes de configurar o BGP / Multi-homing, mas descobri que os ASAs não suportam isso. Isso se deve ao fato de que eles são mais firewalls (com a capacidade NAT) que um roteador.

Que tipo de hardware exigimos para essa funcionalidade? Vamos exigir que dois deles possam ser configurados como um par de failover.

Atualmente, os nossos ASAs têm o Security + e são definidos como um array de failover.

    

Answer 1

Você tem algumas escolhas. Uma possibilidade é apenas colocar dois PCs baratos na frente dos ASA5505s. Um PC atuaria como seu 'roteador de borda' para cada ISP e executaria o BGP com o outro 'roteador de borda' e com aquele ISP. Você teria sua própria rede ISP saindo dos roteadores de fronteira, aos quais você poderia conectar seus firewalls.

Você pode usar qualquer sistema operacional ou plataforma para os PCs com os quais esteja familiarizado. As distribuições específicas do OpenBSD, FreeBSD, Linux ou roteador, excepcionalmente, funcionam bem a 100Mbps ou menos.

    

Answer 2

Existe uma solução de compartilhamento de carga não ideal para o seu tráfego de saída. Você pode criar quatro rotas estáticas no seu ASA: "Um para metade dos endereços de Internet de um ISP e outro para a outra metade de endereços de Internet do outro ISP" ( citando o iTom ). E uma rota padrão com a métrica 1 para o ISP1 e outra rota padrão com a métrica 10 para o ISP2.

Em seguida, você rastreia essas rotas estáticas (Monitoramento de SLA) com um eco ICMP para, por exemplo, 8.8.8.8 (você precisará conectar cada ISP a uma interface diferente).

Então, digamos que você tenha a primeira metade dos endereços da Internet e a rota padrão com a métrica 1 apontando para o ISP1. Então você rastreia os dois na interface conectada ao seu ISP1 e com esse ping para 8.8.8.8.

O mesmo para as outras duas rotas ... e lá vai você. Quando você interromper o ping 8.8.8.8 de qualquer um dos seus ISPs, duas de suas rotas serão removidas da tabela de roteamento e você começará a usar a rota padrão para cobrir a metade ausente dos endereços da Internet.

Or you could simplify the solution using an active/standby solution, so you'll only need two routes, a default with metric 1 and another default with metric 10. Then you track only the first one with a ping to 8.8.8.8. When the ping fails the default route with metric 1 will be removed from the routing table and you'll start using the ISP2.