JunOS iBGP会话未建立

Question

我使用两个Juniper vSRX实例设置了一个测试环境，并在它们之间建立了一个L2网络，并且可以在我试图监视它们的IP地址上相互访问。

vSRX 1有一个外部BGP会话和完整的表，而vSRX 2是空的；我正在尝试在它们之间配置一个iBGP网格。两个vSRX的BGP配置都在一个路由实例中，而不是在基本中。

在下面的配置中，我用10.0.0.1替换了一个可公开路由的子网。

vSRX 1:

instance-type virtual-router;
interface ge-0/0/0.200;
routing-options {
...
    router-id 10.0.0.1;
    autonomous-system [external-as-number];
}
protocols {
    bgp {
        traceoptions {
            file bgp size 1m files 5;
            flag all;
        }
        log-updown;
        group ibgp-ipv4 {
            type internal;
            local-address 10.0.0.1;
            family inet {
                unicast;
            }
            neighbor 10.0.0.2;
        }
    }
}

vSRX 2:

instance-type virtual-router;
interface ge-0/0/0.200;
interface ge-0/0/1.300;
routing-options {
...
    router-id 10.0.0.2;
    autonomous-system [external-as-number];
}
protocols {
    bgp {
        traceoptions {
            file bgp size 1m files 5;
            flag all;
        }
        log-updown;
...
        group ibgp-ipv4 {
            type internal;
            local-address 10.0.0.2;
            family inet {
                unicast;
            }
            neighbor 10.0.0.1;
        }
    }
}

我检查了防火墙策略，并为任何地方允许bgp的所有策略提供了全局捕获

BGP日志显示了这一点，但我看不到TCP会话为何关闭的任何迹象：

task_process_events_internal: connect ready for BGP_[external-as-number]_[external-as-number].10.0.0.2
bgp_connect_complete: error connecting to 10.0.0.2 (Internal AS [external-as-number]): Socket is not connected
bgp_close_socket: peer 10.0.0.2 (Internal AS [external-as-number])
task_close: close socket 43 task BGP_[external-as-number]_[external-as-number].10.0.0.2
task_reset_socket: task BGP_[external-as-number]_[external-as-number].10.0.0.2 socket 43
bgp_event: peer 10.0.0.2 (Internal AS [external-as-number]) old state Connect event OpenFail new state Idle
bgp_event: peer 10.0.0.2 (Internal AS [external-as-number]) old state Idle event Start new state Active

我是不是在这里遗漏了一些显而易见的东西，或者会话应该建立起来，即使没有进出口等等？

问候

Answer 1

如果使用的是vSRX，则需要将接口添加到安全区域，并确保主机入站流量允许BGP：

set security zones security-zone PEERING interfaces ge-0/0/0.200
set security zones security-zone PEERING host-inbound-traffic protocols bgp