نحوه پیکربندی BGP در فایروال های شبکه های Palo Alto – راهنمای کامل گام به گام

🎯 موارد استفاده رایج برای BGP در Palo Alto NGFW:

• ISP دوگانه یا اتصال به اینترنت چند خانه با خطای پویا
• مسیریابی مرکز داده سرتاسر و همتاسازی اینترنتی
• مسیریابی MPLS VPN PE-CE با استفاده از BGP
• روکش مسیریابی SD-WAN BGP برای شرکت های چند سایتی
• اتصال ابری – AWS Direct Connect، Azure ExpressRoute، GCP Interconnect
• مشارکت نقطه تبادل اینترنت (IXP).
• استقرار سیاست BGP متمرکز و پانوراما محور

/* توپولوژی شبکه مرجع – دو ISP BGP در Palo Alto NGFW */

  ┌──────────────────┐          ┌──────────────────┐
  │   ISP-A Router   │          │   ISP-B Router   │
  │   AS: 65001      │          │   AS: 65002      │
  │   IP: 203.0.113.1│          │   IP: 198.51.100.1│
  └────────┬─────────┘          └─────────┬────────┘
           │ ethernet1/1                   │ ethernet1/2
           │ 203.0.113.2/30                │ 198.51.100.2/30
           │                               │
  ┌────────┴───────────────────────────────┴────────┐
  │          Palo Alto Networks NGFW                │
  │          PAN-OS 11.x                            │
  │          Virtual Router: "default"              │
  │          Local AS: 65100                        │
  │          Router-ID: 203.0.113.2                 │
  └──────────────────────┬──────────────────────────┘
                         │ ethernet1/3 (LAN)
                         │ 192.168.1.1/24
                         │
               ┌─────────┴──────────┐
               │   Internal LAN     │
               │   192.168.1.0/24   │
               │   Trust Zone       │
               └────────────────────┘

📋 پارامترهای آزمایشگاهی:

• ASN محلی پالو آلتو: 65100
• ISP-A ASN: 65001 |آدرس IP نظیر: 203.0.113.1 |رابط: ethernet1/1
• ISP-B ASN: 65002 |آدرس IP نظیر: 198.51.100.1 |رابط: اترنت1/2
• IP WAN1: 203.0.113.2/30 | IP WAN2: 198.51.100.2/30
• شبکه LAN تبلیغاتی: 192.168.1.0/24
• روتر مجازی: به طور پیش فرض
• نسخه PAN-OS: 11.0 / 11.1

⚠️ به یاد داشته باشید: همه تغییرات در PAN-OS تا زمانی که کلیک کنید انجام می شود درگیر شویدتا زمانی که پیکربندی متعهد نشود، BGP فعال نمی‌شود. همیشه قبل از متعهد شدن به محیط‌های تولید، پیکربندی نامزد خود را تأیید کنید.

🖥️ مرحله 1: به مسیریاب مجازی بروید

برو به شبکه > روترهای مجازی در رابط وب PAN-OS. روی نام روتر مجازی کلیک کنید (مثلا به طور پیش فرض) برای باز کردن پیکربندی آن. اگر روتر مجازی وجود ندارد، کلیک کنید اضافه کنید برای ایجاد یکی

🖥️ مرحله ۲: BGP را فعال کرده و پارامترهای جهانی را تنظیم کنید

را کلیک کنید BGP در پنجره پیکربندی روتر مجازی موارد زیر را پیکربندی کنید:

• ✅ بررسی کنید فعال کنید برای فعال کردن BGP
• ✅ مجموعه شناسه روتر: 203.0.113.2 (IP WAN اولیه)
• ✅ مجموعه شماره AS: 65100
• ✅ بررسی کنید مسیر پیش فرض را لغو کنید (توصیه می شود – از پذیرش مسیر پیش فرض جلوگیری می کند مگر اینکه به طور صریح پیکربندی شده باشد)
• ✅ فعال سازی اختیاری مسیر را نصب کنید برای نصب مسیرهای BGP در جدول مسیریابی
• ✅ مجموعه توزیع مجدد مسیر پیش فرض را فعال کنید فقط در صورتی که قصد دارید یک مسیر پیش فرض را تبلیغ کنید

🖥️ مرحله 3: پیکربندی تایمرهای BGP (اختیاری)

در پانل پیکربندی عمومی BGP، مقادیر تایمر زیر را تنظیم کنید. اینها سرعت تشخیص خطاها توسط BGP را کنترل می کنند:

🖥️ مرحله 4: گزینه های پیشرفته BGP را پیکربندی کنید

را کلیک کنید گسترش یافته است زیربخش در BGP. این تنظیمات پیشرفته مهم را پیکربندی کنید:

• ✅ راه اندازی مجدد زیبا: فعال سازی (به حفظ مسیر در طول تعمیر و نگهداری برنامه ریزی شده کمک می کند)
• ✅ زمان منسوخ شده مسیر: 120 ثانیه (مدت زمان حفظ مسیرهای قدیمی در طول یک راه اندازی مجدد زیبا)
• ✅ ترجیحات محلی: 100 (پیش‌فرض – جایگزینی گروه همتا در صورت نیاز)
• ✅ MED: روی 0 بگذارید یا به عنوان یک قانون پیکربندی کنید
• ✅ فرمت AS: 2 بایت (پیش فرض) یا 4 بایت برای پیاده سازی های بزرگ ASN

🖥️ مرحله 5: تنظیمات اولیه BGP را تنظیم کنید

پس از تنظیم شناسه روتر، شماره AS و فعال کردن BGP، کلیک کنید خوب برای پذیرش تغییرات روتر مجازی، سپس کلیک کنید درگیر شوید در منوی بالا سمت راست اکنون می توانید به افزودن گروه های همتا و همسایه ادامه دهید.

# Step 1: Enter configuration mode
configure

# Step 2: Enable BGP and set global parameters
set network virtual-router default protocol bgp enable yes

# Step 3: Set the local AS number
set network virtual-router default protocol bgp local-as 65100

# Step 4: Set the BGP Router ID
set network virtual-router default protocol bgp router-id 203.0.113.2

# Step 5: Set BGP timers
set network virtual-router default protocol bgp global-bfd profile default
set network virtual-router default protocol bgp keepalive-interval 10
set network virtual-router default protocol bgp hold-time 30

# Step 6: Reject default route (security best practice)
set network virtual-router default protocol bgp reject-default-route yes

# Step 7: Enable graceful restart
set network virtual-router default protocol bgp graceful-restart enable yes
set network virtual-router default protocol bgp graceful-restart stale-route-time 120

# Step 8: Commit the configuration
commit

✅ مشاوره تخصصی: در PAN-OS CLI، استفاده کنید show config candidate برای پیش نمایش تغییرات افزایشی خود قبل از committing.Use validate commit برای بررسی خطاهای پیکربندی قبل از اعمال آنها.

📍 ناوبری رابط کاربری گرافیکی: شبکه > روترهای مجازی > [VR Name] >BGP >گروه همتایان

1. کلیک کنید اضافه کنید تحت یک گروه همسالان
2. الف را وارد کنید نام برای گروه (به عنوان مثال ISP-A-PEERS)
3. کیت تایپ کنید به EBGP (برای شرکای ISP خارجی)
4. آن را بررسی کنید فعال کنید
5. کیت پرش بعدی به از Peer استفاده کنید (برای eBGP)
6. پیکربندی سیاست واردات و سیاست صادرات (فیلتر کردن مسیر – مورد بحث در بخش 7)
7. کلیک کنید اضافه کنید تحت Peer برای اضافه کردن همسایگان فردی

# ============================================
# CREATE PEER GROUP FOR ISP-A (eBGP)
# ============================================
set network virtual-router default protocol bgp peer-group ISP-A-PEERS type ebgp
set network virtual-router default protocol bgp peer-group ISP-A-PEERS enable yes
set network virtual-router default protocol bgp peer-group ISP-A-PEERS nexthop-self yes

# Add ISP-A Neighbor (Peer) under ISP-A-PEERS group
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER enable yes
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER peer-as 65001
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER local-address interface ethernet1/1
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER local-address ip 203.0.113.2
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER peer-address ip 203.0.113.1
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER peer-address port 179
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER soft-reset-with-stored-info yes

# ============================================
# CREATE PEER GROUP FOR ISP-B (eBGP - Backup)
# ============================================
set network virtual-router default protocol bgp peer-group ISP-B-PEERS type ebgp
set network virtual-router default protocol bgp peer-group ISP-B-PEERS enable yes
set network virtual-router default protocol bgp peer-group ISP-B-PEERS nexthop-self yes

# Add ISP-B Neighbor under ISP-B-PEERS group
set network virtual-router default protocol bgp peer-group ISP-B-PEERS peer ISP-B-ROUTER enable yes
set network virtual-router default protocol bgp peer-group ISP-B-PEERS peer ISP-B-ROUTER peer-as 65002
set network virtual-router default protocol bgp peer-group ISP-B-PEERS peer ISP-B-ROUTER local-address interface ethernet1/2
set network virtual-router default protocol bgp peer-group ISP-B-PEERS peer ISP-B-ROUTER local-address ip 198.51.100.2
set network virtual-router default protocol bgp peer-group ISP-B-PEERS peer ISP-B-ROUTER peer-address ip 198.51.100.1
set network virtual-router default protocol bgp peer-group ISP-B-PEERS peer ISP-B-ROUTER soft-reset-with-stored-info yes

commit

# iBGP Peer Group — Same AS Number
set network virtual-router default protocol bgp peer-group IBGP-PEERS type ibgp
set network virtual-router default protocol bgp peer-group IBGP-PEERS enable yes
set network virtual-router default protocol bgp peer-group IBGP-PEERS nexthop-self yes

# Add iBGP peer (e.g., internal core router)
set network virtual-router default protocol bgp peer-group IBGP-PEERS peer CORE-ROUTER enable yes
set network virtual-router default protocol bgp peer-group IBGP-PEERS peer CORE-ROUTER peer-as 65100
set network virtual-router default protocol bgp peer-group IBGP-PEERS peer CORE-ROUTER local-address interface loopback.1
set network virtual-router default protocol bgp peer-group IBGP-PEERS peer CORE-ROUTER peer-address ip 10.10.10.2
set network virtual-router default protocol bgp peer-group IBGP-PEERS peer CORE-ROUTER soft-reset-with-stored-info yes

# If this PA firewall is a Route Reflector
set network virtual-router default protocol bgp peer-group IBGP-PEERS peer CORE-ROUTER reflector-client yes

commit

🚨 هشدار امنیتی: اجرای BGP بدون فیلترهای واردات/صادرات مناسب یک خطر امنیتی حیاتی است. بدون فیلتر کردن، فایروال شما می‌تواند مسیرهای مخرب (ربایش مسیر) را بپذیرد یا پیشوندهای شبکه داخلی را به ISPها نشت کند – که هر دو می‌توانند باعث قطع شدن شبکه و نقض امنیت شوند.

📍 ناوبری رابط کاربری گرافیکی: شبکه > روترهای مجازی > [VR] >BGP >واردات

1. کلیک کنید واردات بخش > اضافه کنید
2. قانون را نامگذاری کنید (به عنوان مثال FILTER-FROM-ISP-A)
3. انتخاب کنید گروه همتایان: ISP-A-PEERS
4. زیر تصادف بخش: پیشوند آدرس را برای رد محدوده خصوصی/بوگون تنظیم کنید
5. زیر اقدام بخش: تنظیم کنید امتناع می کنم برای بوگون ها، اجازه دهید برای پیشوندهای معتبر
6. یک قانون دوم را اضافه کنید اجازه دهید همه مسیرهای معتبر دیگر (عمل: مجاز)
7. به صورت اختیاری LOCAL_PREF را در زیر اقدام > تنظیمات محلی تنظیم کنید

# ============================================
# IMPORT RULE 1: Deny Bogon/Private ranges from ISP-A
# ============================================
set network virtual-router default protocol bgp policy import rules DENY-BOGONS-ISPA enable yes
set network virtual-router default protocol bgp policy import rules DENY-BOGONS-ISPA match from-peer ISP-A-ROUTER
set network virtual-router default protocol bgp policy import rules DENY-BOGONS-ISPA match address-prefix 10.0.0.0/8 exact no
set network virtual-router default protocol bgp policy import rules DENY-BOGONS-ISPA match address-prefix 172.16.0.0/12 exact no
set network virtual-router default protocol bgp policy import rules DENY-BOGONS-ISPA match address-prefix 192.168.0.0/16 exact no
set network virtual-router default protocol bgp policy import rules DENY-BOGONS-ISPA match address-prefix 127.0.0.0/8 exact no
set network virtual-router default protocol bgp policy import rules DENY-BOGONS-ISPA match address-prefix 0.0.0.0/0 exact yes
set network virtual-router default protocol bgp policy import rules DENY-BOGONS-ISPA action deny

# IMPORT RULE 2: Accept valid routes from ISP-A with higher LOCAL_PREF (Primary)
set network virtual-router default protocol bgp policy import rules ACCEPT-ISPA enable yes
set network virtual-router default protocol bgp policy import rules ACCEPT-ISPA match from-peer ISP-A-ROUTER
set network virtual-router default protocol bgp policy import rules ACCEPT-ISPA match address-prefix 0.0.0.0/0 exact no
set network virtual-router default protocol bgp policy import rules ACCEPT-ISPA action allow
set network virtual-router default protocol bgp policy import rules ACCEPT-ISPA action local-preference 200

# IMPORT RULE 3: Accept valid routes from ISP-B with lower LOCAL_PREF (Backup)
set network virtual-router default protocol bgp policy import rules ACCEPT-ISPB enable yes
set network virtual-router default protocol bgp policy import rules ACCEPT-ISPB match from-peer ISP-B-ROUTER
set network virtual-router default protocol bgp policy import rules ACCEPT-ISPB match address-prefix 0.0.0.0/0 exact no
set network virtual-router default protocol bgp policy import rules ACCEPT-ISPB action allow
set network virtual-router default protocol bgp policy import rules ACCEPT-ISPB action local-preference 100

commit

# EXPORT RULE: Only advertise our own LAN prefix to ISPs
# This prevents accidental route leaks to upstream providers

set network virtual-router default protocol bgp policy export rules ADVERTISE-TO-ISP enable yes
set network virtual-router default protocol bgp policy export rules ADVERTISE-TO-ISP action allow
set network virtual-router default protocol bgp policy export rules ADVERTISE-TO-ISP match address-prefix 192.168.1.0/24 exact yes

# Deny everything else from being exported
set network virtual-router default protocol bgp policy export rules DENY-ALL-OTHERS enable yes
set network virtual-router default protocol bgp policy export rules DENY-ALL-OTHERS match address-prefix 0.0.0.0/0 exact no
set network virtual-router default protocol bgp policy export rules DENY-ALL-OTHERS action deny

commit

🔧 LOCAL_PREF – کنترل مسیر خروجی

در قوانین واردات تنظیم کنید. LOCAL_PREF بالاتر = مسیر خروج ترجیحی. فقط در iBGP منتشر می شود. مسیرهای ISP-A را روی LOCAL_PREF 200 (اصلی) و ISP-B را روی 100 (پشتیبان) تنظیم کنید.

set network virtual-router default protocol bgp policy import rules ACCEPT-ISPA action local-preference 200

🔧 MED (Multiple Output Discriminator) – بر مسیر ورودی تأثیر بگذارید

قوانین صادرات را تنظیم کنید. ترجیح داده می شود MED پایین. از MED برای پیشنهاد به ISP بالادستی استفاده کنید که از کدام اتصال برای ترافیک ورودی استفاده کند. فقط بین همان جفت AS کار می کند.

set network virtual-router default protocol bgp policy export rules ADVERTISE-TO-ISP action med 50

🔧 AS Path Prepending – مهندسی ترافیک ورودی

هنگام تبلیغات از طریق ISP ثانویه، AS_PATH را به طور مصنوعی طولانی کنید. مسیر AS طولانی تر = کمتر ترجیح داده می شود. برای متعادل کردن بار ورودی و کنترل ISP اولیه/پشتیبان استفاده می شود.

# Prepend AS 3 times on ISP-B export (make backup less preferred)
set network virtual-router default protocol bgp policy export rules TO-ISP-B action aspathprepend 65100 65100 65100

🔧 جوامع BGP – کنترل قوانین پیشرفته

جوامع BGP برچسب هایی هستند که به مسیرها برای سیگنال دهی انعطاف پذیر خط مشی متصل شده اند. PAN-OS از جوامع استاندارد (32 بیتی) و توسعه یافته پشتیبانی می کند. اغلب با مهندسی ترافیک مبتنی بر جامعه ISP استفاده می شود.

# Add community to outbound advertisement for ISP traffic engineering
set network virtual-router default protocol bgp policy export rules TO-ISP-A action community 65001:100

# Enable MD5 authentication on ISP-A peer
# Password must match the ISP's configured BGP password
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER bfd-profile Inherit-vr-global-setting
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER connection-options authentication-options md5 secret "S3cur3BGP@ssw0rd!"

# Enable MD5 authentication on ISP-B peer
set network virtual-router default protocol bgp peer-group ISP-B-PEERS peer ISP-B-ROUTER connection-options authentication-options md5 secret "ISP-B-SecureKey99!"

# Set minimum route advertisement interval (reduces BGP churn)
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER connection-options min-route-adv-interval 30

# Set maximum prefix limit to prevent routing table overflow
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER max-prefixes 1000
set network virtual-router default protocol bgp peer-group ISP-A-PEERS peer ISP-A-ROUTER max-prefixes-warning-only no

commit

🔐 چک لیست سخت شدن امنیت BGP PAN-OS:

# Method 1: Use Export Rules to advertise specific prefixes
# (Already covered in Section 7 - preferred method)

# Method 2: Use Redistribution profiles
# Step 1: Create a Redistribution Profile
set network virtual-router default redistribution-profile REDIST-CONNECTED priority 1
set network virtual-router default redistribution-profile REDIST-CONNECTED filter type connected
set network virtual-router default redistribution-profile REDIST-CONNECTED filter interface ethernet1/3
set network virtual-router default redistribution-profile REDIST-CONNECTED action redist

# Step 2: Apply the redistribution profile to BGP
set network virtual-router default protocol bgp redist-rules REDIST-CONNECTED enable yes
set network virtual-router default protocol bgp redist-rules REDIST-CONNECTED address-family-identifier ipv4
set network virtual-router default protocol bgp redist-rules REDIST-CONNECTED set-origin igp

# Redistribute static routes into BGP
set network virtual-router default redistribution-profile REDIST-STATIC priority 2
set network virtual-router default redistribution-profile REDIST-STATIC filter type static
set network virtual-router default redistribution-profile REDIST-STATIC action redist

set network virtual-router default protocol bgp redist-rules REDIST-STATIC enable yes
set network virtual-router default protocol bgp redist-rules REDIST-STATIC address-family-identifier ipv4
set network virtual-router default protocol bgp redist-rules REDIST-STATIC set-origin incomplete

commit

⚠️ بهترین تمرین: به جای توزیع مجدد کامل مسیرهای محدود یا ایستا، از قوانین صادرات صریح مطابق با پیشوند استفاده کنید. توزیع مجدد کامل ممکن است به طور ناخواسته پیشوندهای ناخواسته را برای ISP شما تبلیغ کند – باعث ایجاد حلقه های مسیریابی، نشت پیشوندها یا نقض قرارداد ISP شما شود. همیشه توزیع مجدد را با قوانین سختگیرانه فیلتر صادرات ترکیب کنید.

📍 مسیرهای رابط کاربری گرافیکی برای نظارت بر BGP:

• شبکه > روترهای مجازی > [VR] > آمار زمان اجرا بیشتر > BGP – مشاهده وضعیت همسایه، جدول BGP و آمار
• مانیتور > مسیریابی > جدول مسیر – مسیرهای BGP نصب شده در جدول ارسال را بررسی کنید
• داشبورد > ویجت اطلاعات همتا BGP – مشاهده سریع وضعیت همه همتایان BGP
• مانیتور > گزارش‌های سیستم – برای رویدادهای تغییر وضعیت BGP با زیرنوع مسیریابی فیلتر کنید

# Check BGP summary — all peers and their states
show routing protocol bgp summary

# View all BGP peers and their connection details
show routing protocol bgp peer

# View the full BGP RIB (Routing Information Base)
show routing protocol bgp rib

# View BGP routes for a specific prefix
show routing protocol bgp rib prefix 0.0.0.0/0

# View routes received from a specific peer
show routing protocol bgp rib peer ISP-A-ROUTER

# View the IP routing table (confirm BGP routes installed)
show routing route

# View BGP routes specifically in the routing table
show routing route type bgp

# Check BGP statistics (message counts, state transitions)
show routing protocol bgp peer ISP-A-ROUTER

# View BGP flap history
show routing protocol bgp loc-rib

# Debug BGP — view BGP event logs (use sparingly in production)
debug routing bgp all

# View debug log output
show log debug

# Stop BGP debug
debug routing bgp all off

BGP Summary

Virtual Router: default
Local AS: 65100
BGP router identifier: 203.0.113.2
BGP table version: 18

Neighbor         V   AS      MsgRcvd  MsgSent  TblVer  InQ  OutQ  State/PfxRcd
203.0.113.1      4   65001   24580    1230     18      0    0     Established/512000
198.51.100.1     4   65002   23910    1198     18      0    0     Established/512000

Total neighbors: 2, Established: 2

🏆 بهترین شیوه های آماده تولید:

🤖 نکته هوش مصنوعی مولد: هنگام استفاده از ChatGPT، Claude، Gemini، یا Copilot برای عیب‌یابی BGP در Palo Alto، نسخه PAN-OS، خروجی CLI خاص، و توضیحات دقیق مشکل را برای دقیق‌ترین راهنمایی‌های ایجاد شده توسط هوش مصنوعی درج کنید. در اینجا دستورات بهینه شده وجود دارد:

📄 چک لیست کامل پیکربندی PAN-OS BGP:

🔥 اکنون آماده استقرار BGP در Palo Alto NGFW هستید!

این راهنمای گام به گام را دنبال کنید. ابتدا تست آزمایشگاهی. همیشه به توضیحات متعهد شوید. تغییرات وضعیت BGP را از طریق گزارش‌های سیستم نظارت کنید.

📚 این راهنما را علامت گذاری کنید |با تیم خود به اشتراک بگذارید