Memecahkan masalah keamanan BGP TTL (GTSM)

Jika sesi BGP Anda Direct Connect gagal dibuat, keamanan BGP TTL pada router Anda mungkin menjadi penyebabnya. Direct Connect menggunakan BGP eksternal single-hop (eBGP) pada antarmuka virtual dan mengirimkan paket BGP dengan nilai IP (TTL) 1. Time-to-Live Beberapa router mendukung keamanan BGP TTL, juga dikenal sebagai Generalized TTL Security Mechanism (GTSM). Untuk informasi lebih lanjut tentang GTSM, lihat RFC 5082 di situs web Internet Engineering Task Force (IETF). Ketika fitur ini diaktifkan (misalnya, dengan neighbor ttl-security hops perintah), router Anda mengharapkan paket BGP yang masuk datang dengan nilai TTL yang tinggi. Router Anda membuang paket TTL rendah yang mengirim. AWS

Sesi BGP tetap dalam Aktif atau status OpenSent

Gejala: Sesi BGP tidak terbentuk dan tetap dalam Aktif atau OpenSent keadaan. Ini terjadi meskipun pengambilan paket pada perangkat Anda menunjukkan paket AWS BGP tiba di antarmuka.

Penyebab: Keamanan BGP TTL dikonfigurasi pada tetangga BGP yang menghadap Direct Connect, menyebabkan router Anda membuang paket BGP yang mengirim dengan TTL 1. AWS

Resolusi:

1. Hapus konfigurasi keamanan TTL (GTSM) dari tetangga BGP yang menghadap. Direct Connect

2. Verifikasi bahwa status sesi BGP bertransisi ke Mapan.

Direct Connect menggunakan eBGP single-hop dan tidak mendukung eBGP multihop pada antarmuka virtual secara default. Perlindungan single-hop yang disediakan GTSM sudah melekat dalam peering ini.

catatan

Gunakan panduan ini untuk sesi BGP pada antarmuka Direct Connect virtual. BGP mengintip ke gateway transit melalui antarmuka virtual transit menggunakan multihop BGP dan dikonfigurasi secara berbeda.

Jika sesi BGP tidak ditetapkan setelah Anda menghapus konfigurasi keamanan TTL, hubungi Support. AWS