Utilizar o protocolo BGP (Border Gateway Protocol) em um firewall FortiGate pode ser uma escolha estratégica para roteamento avançado em redes corporativas.

O BGP é um protocolo de roteamento usado principalmente em redes da Internet para trocar informações de roteamento entre sistemas autônomos (ASs), que são redes ou sistemas administrativos distintos. Aqui estão algumas razões para usar o BGP em um firewall FortiGate:

• Roteamento Avançado: O BGP é um protocolo de roteamento altamente flexível que permite o roteamento baseado em políticas. Isso é essencial para empresas que precisam de controle granular sobre como o tráfego é encaminhado em suas redes.

Balanceamento de Carga e Redundância: O BGP pode ser usado para distribuir o tráfego de entrada entre vários links de saída, proporcionando balanceamento de carga e alta disponibilidade. Isso é importante para evitar pontos únicos de falha e manter a conectividade em caso de problemas em uma rota. Conexão com Provedores de Internet: Se a sua organização tiver várias conexões com provedores de Internet, o BGP pode ser usado para selecionar a rota mais eficiente com base em políticas de roteamento e condições de rede em tempo real. Agora, sobre a diferença entre iBGP (Internal BGP) e eBGP (External BGP):

iBGP (Internal BGP): O iBGP é usado para trocar informações de roteamento dentro de um único sistema autônomo (AS). Ou seja, ele é usado para rotear tráfego entre roteadores dentro da mesma organização ou domínio. Os roteadores iBGP trocam informações de roteamento entre si, mas eles não fazem anúncios para sistemas autônomos externos. O iBGP é usado para garantir a consistência do roteamento dentro de uma rede e para implementar políticas de roteamento dentro da organização. eBGP (External BGP): O eBGP é usado para trocar informações de roteamento entre sistemas autônomos diferentes. Ele é usado para rotear tráfego entre organizações ou domínios diferentes. Os roteadores eBGP trocam informações de roteamento entre sistemas autônomos distintos e fazem anúncios para redes externas. O eBGP é usado para anunciar rotas para a Internet, permitindo que sua rede seja alcançável por outras redes no mundo todo. Objetivos:

• Configurar FGT-1

• Configurar FGT-2

• Configurar FGT-3

• Configurar RT-1

• Configurar RT-2

• Configurar  RT-3 

Topologia: Acessando RT-1

1. Acesse o RT-1 pela console

2. Clique com botão direito em cima do RT-1

3. Selecione Console, conforme a imagem:

O iBGP é usado para roteamento interno dentro de um único domínio, enquanto o eBGP é usado para roteamento entre diferentes domínios ou na conexão com a Internet. No contexto de um firewall FortiGate, você pode usar tanto iBGP quanto eBGP, dependendo dos requisitos da sua rede e de como você deseja configurar o roteamento e a conectividade.. Agora vamos realizar a configuração do RT-1 iniciando pelas configurações das interfaces ! interface GigabitEthernet2/0 🡺 Esse interface se conecta com o FGT-2  description CONECTA_FGT2  ip address 10.100.100.1 255.255.255.252 ! ! interface GigabitEthernet3/0 🡺 Esse interface se conecta com o RT-3  description CONECTA_R3  ip address 192.168.1.1 255.255.255.252 ! interface GigabitEthernet1/0 🡺 Esse interface se conecta com o RT-2  description CONECTA_R2  ip address 192.168.2.1 255.255.255.252 ! Nesse ponto concluímos as configurações das interfaces, agora vamos iniciar as configurações do protocolo de roteamento BGP. router bgp 64512 🡺 Esse é o AS local do RT-1  bgp log-neighbor-changes  redistribute connected 🡺 Aqui estamos anunciando as redes diretamente conectadas  neighbor 10.100.100.2 remote-as 65000 🡺 Esse é o AS remoto  do FGT-2  neighbor 10.100.100.2 description CONECTA_FGT-2  neighbor 10.100.100.2 allowas-in  neighbor 10.100.100.2 soft-reconfiguration inbound  neighbor 192.168.1.2 remote-as 64512 🡺 Esse é o AS remoto  do RT-3 comunicação  (IBGP)  neighbor 192.168.1.2 description CONECTA_R3  neighbor 192.168.1.2 allowas-in  neighbor 192.168.1.2 soft-reconfiguration inbound  neighbor 192.168.2.2 remote-as 64512 🡺 Esse é o AS remoto  do RT-2 comunicação  (IBGP)  neighbor 192.168.2.2 description CONECTA_R2  neighbor 192.168.2.2 allowas-in  neighbor 192.168.2.2 soft-reconfiguration inbound ! Com essa configuração concluimos a configurações do RT-1, vamos iniciar as configurações do RT-2 Acessando RT-2

1. Acesse o RT-2 pela console

2. Clique com botão direito em cima do RT-2

3. Selecione Console, conforme a imagem:

interface GigabitEthernet2/0 🡺 Esse interface se conecta com o FGT-3  description CONECTA_FGT3  ip address 10.120.120.1 255.255.255.252 ! interface GigabitEthernet3/0 🡺 Esse interface se conecta com o RT-3  description CONECTA_R3  ip address 192.168.3.1 255.255.255.252 ! interface GigabitEthernet1/0 🡺 Esse interface se conecta com o RT-1  description CONECTA_R1  ip address 192.168.2.2 255.255.255.252 ! Nesse ponto concluímos as configurações das interfaces, agora vamos iniciar as configurações do protocolo de roteamento BGP. router bgp 64512 🡺 Esse é o AS local do BGP do RT-2  bgp log-neighbor-changes  redistribute connected 🡺 Aqui divulgamos as redes diretamente conectadas  neighbor 10.120.120.2 remote-as 65000 🡺 Esse é o AS remoto do FGT-3  neighbor 10.120.120.2 description CONECTA_FGT3  neighbor 10.120.120.2 allowas-in  neighbor 10.120.120.2 soft-reconfiguration inbound  neighbor 192.168.3.2 remote-as 64512 🡺 Esse é o AS remoto  do RT-3 comunicação  (IBGP)  neighbor 192.168.3.2 description CONECTA_R3  neighbor 192.168.3.2 allowas-in  neighbor 192.168.3.2 soft-reconfiguration inbound  neighbor 192.168.2.1 remote-as 64512 🡺 Esse é o AS remoto  do RT-1 comunicação  (IBGP)  neighbor 192.168.2.1 description CONECTA_R1  neighbor 192.168.2.1 allowas-in  neighbor 192.168.2.1 soft-reconfiguration inbound Finalizamos as configurações do RT-2, agora vamos avançar para o RT-3 Acessando RT-3

1. Acesse o RT-3 pela console

2. Clique com botão direito em cima do RT-3

3. Selecione Console, conforme a imagem:

interface GigabitEthernet1/0 🡺 Esse interface se conecta com FGT-1  description CONECTA_FGT1  ip address 10.130.130.1 255.255.255.252 ! interface GigabitEthernet2/0 🡺 Esse interface se conecta com RT-1  description CONECTA_R1 ip address 192.168.1.2 255.255.255.252 ! interface GigabitEthernet3/0 🡺 Esse interface se conecta com RT-2  description CONECTA_R2  ip address 192.168.3.2 255.255.255.252 ! router bgp 64512 🡺 Esse é o AS local do BGP do RT-3  bgp log-neighbor-changes  bgp router-id 10.130.130.1 🡺 Esse é Router-ID identificador único da comunicação do BGP  redistribute connected 🡺 Divulgando as rotas diretamente conectadas  neighbor 10.130.130.2 remote-as 65000 🡺 Esse é o AS remoto do FGT-1   neighbor 10.130.130.2 description CONECTA_FGT1  neighbor 10.130.130.2 allowas-in  neighbor 10.130.130.2 soft-reconfiguration inbound  neighbor 192.168.3.1 remote-as 64512 🡺 Esse é o AS local do BGP do RT-2  neighbor 192.168.3.1 description CONECTA_R2  neighbor 192.168.3.1 allowas-in  neighbor 192.168.3.1 soft-reconfiguration inbound

 neighbor 192.168.1.1 remote-as 64512 🡺 Esse é o AS local do BGP do RT-1  neighbor 192.168.1.1 description CONECTA_R1  neighbor 192.168.1.1 allowas-in  neighbor 192.168.1.1 soft-reconfiguration inbound ! Nesse ponto concluímos todas as configurações relacionadas aos roteadores, agora vamos iniciar as configurações dos firewalls, vamos iniciar pelas interfaces. Acessando FGT-2

1. Acesse o FGT-2 pela console

2. Clique com botão direito em cima do FGT-2

3. Selecione Console, conforme a imagem:

config system interface 🡺 Modo de configuração de interface     edit "port1" 🡺 Essa porta se conecta diretamente com RT-1     set vdom "root"     set mode static     set ip 10.100.100.2 255.255.255.252     set allowaccess ping     set type physical     set description "CONECTA_RT-1"   next  edit "port2" 🡺 Essa porta do FGT-2 se conecta diretamente com nuvem da Internet     set vdom "root"     set mode dhcp     set allowaccess ping     set type physical     set description "CONECTA_INTERNET"   next end Ainda no FGT-2 vamos configurar a firewall policy para permitir a comunicação entre as redes config firewall policy 🡺 Modo de configuração firewall policy     edit 1         set name "permite-to-internet" 🡺 Política de segurança que permite a comunicação com a internet         set srcintf "any" 🡺 De qualquer interface de origem         set dstintf "any" 🡺 Para qualquer interface destino         set srcaddr "all" 🡺 De qualquer ip de origem         set dstaddr "all" 🡺 Para qualquer ip de destino         set action accept 🡺 Ação é aceitar          set schedule "always"         set service "ALL"         set logtraffic disable         set nat enable 🡺 NAT habilitado na política de segurança     next end Agora vamos aplicar as configurações de BGP no FGT-2 config router bgp 🡺 Modo de configuração do BGP     set as 65000 🡺 Esse é o AS local do FGT-2     set router-id 10.100.100.2 🡺 Router-ID indentificar unico da comunicação do BGP no FGT-2     config neighbor         edit "10.100.100.1" 🡺 Esse é o neighbor remoto o IP do próximo equipamento             set allowas-in-enable enable             set capability-default-originate enable             set soft-reconfiguration enable             set remote-as 64512 🡺 Esse é o AS remoto do BGP          next     end     config redistribute "connected" 🡺 Divulgando as redes diretamente conectadas         set status enable     end Agora vamos iniciar as configurações do FGT-3 Acessando FGT-3

1. Acesse o FGT-3 pela console

2. Clique com botão direito em cima do FGT-3

3. Selecione Console, conforme a imagem:

config system interface 🡺 Modo de configuração de interface    edit "port1" 🡺 Essa porta se conecta  com RT-2     set vdom "root"     set mode static     set ip 10.120.120.2 255.255.255.252     set allowaccess ping     set type physical     set description "CONECTA_RT-2" next !    edit "port2" 🡺 Essa porta se conecta com SWT-2     set vdom "root"     set ip 172.120.120.1 255.255.255.0     set allowaccess ping     set type physical     set description "CONECTA_SWT-2" end Agora vamos realizar a configuração da política de segurança que permite a comunicação entre as redes config firewall policy 🡺 Modo de configuração firewall policy     edit 1         set name "permite-to-all" 🡺 Política de segurança que permite a comunicação com outras redes         set srcintf "any" 🡺 De qualquer interface de origem         set dstintf "any" 🡺 Para qualquer interface destino         set srcaddr "all" 🡺 De qualquer ip de origem         set dstaddr "all" 🡺 Para qualquer ip de destino         set action accept 🡺 Ação é aceitar          set schedule "always"         set service "ALL"         set logtraffic disable     next end Agora vamos configurar o protocolo de roteamento BGP  config router bgp 🡺 Modo de configuração do BGP     set as 65000 🡺 Esse é o AS local do BGP     set router-id 10.120.120.2 🡺 Router-ID identificador unico do BGP     config neighbor     edit "10.120.120.1" 🡺 Esse é o neighbor (IP) do equipamento vizinho      set allowas-in-enable enable     set soft-reconfiguration enable     set remote-as 64512 🡺 Esse é o AS remoto do equipamento vizinho     next     end     config redistribute "connected" 🡺 Divulgando as redes diretamente conectadas     set status enable end Finalizamos aqui as configurações do Firewall FGT-3, vamos configurar o FGT-1 Acessando FGT-1

1. Acesse o FGT-1 pela console

2. Clique com botão direito em cima do FGT-1

3. Selecione Console, conforme a imagem:

config system interface 🡺 Modo de configuração de interface    edit "port1" 🡺 Essa porta se conecta com RT-3     set vdom "root"     set mode static     set ip 10.130.130.2 255.255.255.252     set allowaccess ping     set type physical     set description "CONECTA_RT-3" next   edit "port2" 🡺 Essa porta se conecta com SWT-1    set vdom "root"     set ip 172.130.130.1 255.255.255.0     set allowaccess ping     set type physical     set description "CONECTA_SWT-1" end Agora vamos iniciar a configuração da política de segurança para permitir a comunicação das redes do FGT-1. config firewall policy 🡺 Modo de configuração firewall policy     edit 1         set name "permite-to-all" 🡺 Política de segurança que permite a comunicação com outras redes         set srcintf "any" 🡺 De qualquer interface de origem         set dstintf "any" 🡺 Para qualquer interface destino         set srcaddr "all" 🡺 De qualquer ip de origem         set dstaddr "all" 🡺 Para qualquer ip de destino         set action accept 🡺 Ação é aceitar          set schedule "always"         set service "ALL"         set logtraffic disable     next end Agora para concluirmos as configurações do lab vamos aplicar as configurações de BGP no FGT-1 config router bgp 🡺 Modo de configuração do BGP     set as 65000 🡺 Esse é o AS local do BGP do FGT-1      set router-id 10.130.130.2 🡺 Router-ID que é o identificador único do BGP no FGT-1     config neighbor     edit "10.130.130.1" 🡺 IP do neighbor proximo vizinho      set allowas-in-enable enable      set soft-reconfiguration enable     set remote-as 64512 🡺 Esse é o AS remoto do equipamento vizinho      next     end     config redistribute "connected" 🡺 Divulgando a rede diretamente conectado     set status enable     end Para um melhor entendimento do laboratório acompanhe o passo a passo do vídeo no Youtube pelo link:   https://www.youtube.com/watch?v=Qj-8Kyu03b4