BGP Session kommt nicht hoch: Checkliste zur Fehlersuche

Wenn eine BGP-Session nicht „hochkommt“, ist das selten ein BGP-„Bug“, sondern fast immer ein Connectivity- oder Parameterproblem: Nachbar nicht erreichbar, TCP/179 blockiert, falsche ASN, falsches Update-Source oder eBGP Multihop fehlt. Mit einer festen Checkliste kannst du in Minuten herausfinden, an welchem Punkt die Session scheitert und welche Konfiguration du gezielt korrigieren musst.

Erster Blick: In welchem BGP-State hängt es?

Der State zeigt dir die Richtung der Fehlersuche. Idle ist oft Konfig/Policy, Active ist häufig Connectivity/TCP, Connect deutet auf TCP-Aufbau, aber ohne Abschluss, und Established ist das Ziel.

Router# show ip bgp summary

State-Interpretation (praxisnah)

• Idle: Konfig fehlt/ist falsch, oder Session wird sofort zurückgesetzt
• Active: TCP-Verbindung kann nicht aufgebaut werden (Routing/ACL/Port)
• Connect: TCP-Versuch läuft, aber kommt nicht stabil durch
• Established: Session steht, danach zählen Filter/Routes

Schritt 1: Erreichbarkeit des Neighbors (Layer 3) prüfen

BGP läuft über TCP. Ohne sauberes IP-Routing zum Neighbor wird nichts established. Prüfe Interface, Routing-Tabelle und Ping zum Neighbor.

Router# show ip interface brief
Router# show ip route
Router# ping 203.0.113.1

Pfad nachvollziehen

Router# traceroute 203.0.113.1

Schritt 2: TCP/179 – ist der Port erreichbar oder blockiert?

Firewalls/ACLs blockieren BGP häufig unbemerkt. Prüfe Interface-ACLs, Control-Plane-Policies und ggf. Zählerstände. BGP benötigt TCP Port 179.

Router# show running-config | include access-group|class-map|policy-map
Router# show ip interface gigabitEthernet0/1
Router# show access-lists

TCP-Session-Indikatoren prüfen

Router# show tcp brief | include 179
Router# show tcp brief | include 203.0.113.1

Schritt 3: Remote-AS und lokale ASN prüfen (häufigster Konfigfehler)

Wenn die remote-as nicht stimmt, wird die Session nicht established oder sofort wieder geschlossen. Prüfe die Neighbor-Konfiguration und vergleiche sie mit der Gegenstelle.

Router# show running-config | section router bgp
Router# show ip bgp neighbors 203.0.113.1 | include remote AS|local AS|BGP state

Fix: remote-as korrigieren (Beispiel)

Router# configure terminal
Router(config)# router bgp 65001
Router(config-router)# no neighbor 203.0.113.1 remote-as 64496
Router(config-router)# neighbor 203.0.113.1 remote-as 64500
Router(config-router)# end

Schritt 4: eBGP direkt oder Multihop? TTL-Thema erkennen

eBGP ist in vielen Designs direkt benachbart. Wenn der Neighbor über einen oder mehrere Router-Hops erreichbar ist, brauchst du ebgp-multihop. Sonst scheitert der Sessionaufbau trotz Ping.

Indiz: Neighbor ist nicht direkt connected

Router# show ip route 203.0.113.1

Fix: eBGP Multihop setzen (Beispiel)

Router# configure terminal
Router(config)# router bgp 65001
Router(config-router)# neighbor 203.0.113.1 ebgp-multihop 2
Router(config-router)# end

Schritt 5: iBGP über Loopbacks – update-source und IGP-Erreichbarkeit

In iBGP-Designs werden Sessions oft über Loopbacks aufgebaut. Dann muss update-source gesetzt sein und die Loopback-IP beider Seiten muss via IGP/Static erreichbar sein. Fehlt das, bleibt die Session meist in Active.

Loopback-Erreichbarkeit prüfen

Router# ping 10.255.255.2
Router# show ip route 10.255.255.2

Fix: update-source setzen (Beispiel)

Router# configure terminal
Router(config)# router bgp 65001
Router(config-router)# neighbor 10.255.255.2 remote-as 65001
Router(config-router)# neighbor 10.255.255.2 update-source loopback0
Router(config-router)# end

Fix: iBGP mit Loopback + next-hop-self (typisches Muster)

Router# configure terminal
Router(config)# router bgp 65001
Router(config-router)# neighbor 10.255.255.2 remote-as 65001
Router(config-router)# neighbor 10.255.255.2 update-source loopback0
Router(config-router)# neighbor 10.255.255.2 next-hop-self
Router(config-router)# end

Schritt 6: MD5/TCP-AO Passwort (wenn genutzt) prüfen

Wenn ein BGP-Passwort konfiguriert ist, muss es exakt übereinstimmen. Ein Mismatch führt zu TCP-Resets oder dauerhaftem Active. Prüfe die Neighbor-Details und Logs.

Router# show ip bgp neighbors 203.0.113.1
Router# show logging | include BGP|TCP|MD5

Fix: Passwort konsistent setzen (Beispiel)

Router# configure terminal
Router(config)# router bgp 65001
Router(config-router)# neighbor 203.0.113.1 password Str0ngBGPKey!
Router(config-router)# end

Schritt 7: Timer, MTU und Fragmentation – selten, aber relevant

Meist ist es nicht der Grund, aber bei Tunneln/Encapsulation oder sehr restriktiven Netzpfaden können MTU/Fragmentation und aggressive Timer Probleme machen. Prüfe Interface-MTU und ob es Drops/Errors gibt.

Router# show interfaces gigabitEthernet0/1 | include MTU|drops|error
Router# show logging

Schritt 8: Nachbar-Reset und Soft-Checks

Nach Konfigänderungen kann ein Reset der Session sinnvoll sein, damit Parameter neu verhandelt werden. Nutze das kontrolliert und beobachte den State-Übergang.

Router# clear ip bgp 203.0.113.1
Router# show ip bgp summary

Verifikation: Wenn Established – kommen auch Routen?

Eine „grüne“ Session ist nur die halbe Miete. Prüfe danach, ob Prefixes ausgetauscht werden und ob Filter/Max-Prefix nicht alles blocken. Das ist der nächste häufige „Fehler“, der wie „Session down“ wirkt.

Router# show ip bgp summary
Router# show ip bgp neighbors 203.0.113.1 advertised-routes
Router# show ip bgp neighbors 203.0.113.1 received-routes
Router# show ip bgp

Quick-Reference: Checkliste als Copy & Paste

Diese Reihenfolge deckt die häufigsten Ursachen ab: State, L3, TCP/ACL, ASN, Multihop, update-source, Passwort, Logs.

show ip bgp summary
show running-config | section router bgp
show ip route
ping 203.0.113.1
traceroute 203.0.113.1
show tcp brief | include 179
show ip interface gigabitEthernet0/1
show access-lists
show ip bgp neighbors 203.0.113.1 | include remote AS|local AS|BGP state
show ip route 203.0.113.1
show ip route 10.255.255.2
show logging | include BGP|TCP|MD5
clear ip bgp 203.0.113.1

Konfiguration speichern

Wenn die Session stabil Established ist und der Routeaustausch wie geplant funktioniert, speichere die Konfiguration.

Router# copy running-config startup-config

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

• Switching: VLANs, Trunking (802.1Q), Port-Zuweisung, STP-Basics (PortFast/BPDU Guard wo sinnvoll)

• Routing: Default/Static Routing oder OSPF, Inter-VLAN Routing (Router-on-a-Stick)

• Services: DHCP (Pools/Scopes), NAT/PAT für Internet-Simulation

• Optional Security: Basic ACLs und SSH-Hardening

• Test & Verifikation: Ping/Traceroute + wichtige Show-Commands (mit erwarteten Ergebnissen)

Sie erhalten

• ✅ Packet Tracer .pkt Datei

• ✅ Saubere Konfigurations-Notizen pro Gerät

• ✅ Verifikations-Checkliste + erwartete Outputs

• ✅ Kurze Dokumentation (wie die Topologie funktioniert)

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.