动态邻居解决什么
当对端地址不固定、数量又大时（例如大量分支 CPE、地址动态分配的接入设备），逐台写邻居配置既慢又容易漏。动态邻居允许本端按一个网段监听：任何来自该网段、参数符合模板的设备都能自动建立会话，模板上的策略自动继承。便利的代价是开放面变大，因此必须配合严格的策略与校验。
基本信息
| 配置方式 | bgp listen range <网段> peer-group <模板> |
|---|---|
| 配套模板 | peer-group 中定义 remote-as、策略、定时器等 |
| 数量限制 | 部分平台支持 bgp listen limit 限制动态邻居数量 |
| 适用平台 | Cisco IOS/IOS-XE 等，命令细节以设备帮助为准 |
| 安全前提 | 必须配合前缀校验与 AS 校验策略以防冒名建邻 |
典型使用场景
- 分支接入：分支使用动态地址，按接入网段统一监听并套用模板
- CPE 批量上线：新设备上电后自动建立会话，减少人工配置
- 测试环境：临时允许某网段设备接入，验证后收紧或撤销
- 集中管理：策略只维护在模板上，全网一致
- 扩容场景：新增设备无需在中心侧改动邻居列表
配置示意
配置示意
router bgp 65001
neighbor BRANCH-TEMPLATE peer-group
neighbor BRANCH-TEMPLATE remote-as 65010
neighbor BRANCH-TEMPLATE route-map RM-BRANCH-IN in
neighbor BRANCH-TEMPLATE prefix-list PL-BRANCH out
bgp listen range 10.10.0.0/16 peer-group BRANCH-TEMPLATE
bgp listen limit 200
!
# 确认动态建立的邻居
show ip bgp summary
show ip bgp neighbors | include peer-group安全控制要点
| 控制点 | 做法 | 目的 |
|---|---|---|
| 监听范围 | 只覆盖专用接入网段 | 缩小可建邻的设备集合 |
| AS 校验 | 模板中限定 remote-as | 阻止非预期 AS 建立会话 |
| 前缀校验 | 入向强制过滤并限定长度 | 防止对端宣告非授权前缀 |
| 数量限制 | 设置动态邻居上限 | 避免资源被大量会话占满 |
| 审计 | 记录动态邻居建立日志 | 出问题时能追溯到具体设备 |
监控与排错
监控与排错
# 查看当前动态建立的邻居数量与地址
show ip bgp summary
# 结合日志确认建邻时间与来源
show logging | include BGP
# 若邻居忽然大量出现，先检查监听范围与策略
show running-config | include listen range动态邻居把「谁能建立会话」的控制权部分交给了网络本身：监听范围过大、模板策略过松时，任何出现在该网段的设备都可能建邻并注入路由。上线前先确认范围最小化，并在模板上固定 remote-as 与前缀过滤。