Inspection du trafic agrégé des liaisons par Sourcefire FirePOWER et les appliances virtuelles

Introduction

L'agrégation de liens a été normalisée par l'IEEE sur 802.3ad 802.3ax. Les implémentations courantes de l'agrégation de liens sont EtherChannel, le protocole LACP (Link Aggregation Control Protocol), le protocole PAgP (Port Aggregation Protocol), etc. Cet article décrit comment les appliances Sourcefire gèrent le trafic agrégé de liens.

Conditions préalables

Exigences

Cisco vous recommande d'avoir des connaissances sur les modèles de périphériques Sourcefire FirePOWER, les modèles de périphériques virtuels, le protocole LACP (Link Aggregation Control Protocol), EtherChannel et le protocole PAgP (Port Aggregation Protocol).

Prise en charge de l'agrégation de liens

Une appliance Sourcefire peut fonctionner avec n'importe quelle implémentation d'agrégation de liens standard, car un protocole d'agrégation de liens n'ajoute aucune donnée supplémentaire au paquet lui-même. Il n'existe aucun problème connu entre l'implémentation des appliances Sourcefire et les protocoles d'agrégation de liens.

Éléments à prendre en compte

Les points suivants doivent être pris en compte lorsque vous déployez une appliance Sourcefire dans un déploiement agrégé de liens :

1. Si une appliance Sourcefire est en mode passif et que toutes les liaisons d'EtherChannel sont surveillées par le même moteur de détection, la configuration de l'agrégation de liaisons n'a pas d'importance.
2. Si un seul moteur de détection ne surveille que certaines liaisons ou si le périphérique est déployé en tant que périphérique en ligne, il est recommandé que l'agrégation de liaisons soit configurée pour utiliser à la fois les adresses MAC source et de destination. Cela évitera les problèmes de performances liés au routage asynchrone.
3. Snort est capable de traiter le trafic agrégé de liaison sans problème.  Cependant, Snort ne sera pas en mesure de décoder les paquets de contrôle d'agrégation de liens envoyés entre les commutateurs.
4. Les méthodes d'équilibrage de charge dans EtherChannel sont basées sur chaque flux de trafic et non sur chaque trame ou paquet, de sorte que les flux sont ce qui obtient l'équilibrage de charge. La configuration de l'adresse IP source et de l'adresse IP de destination dans EtherChannel peut affecter l'équilibrage de la charge sur les instances Sourcefire. Cela n'est possible que si le hachage effectué permet d'obtenir un ensemble d'adresses IP plus limité. L'utilisation des adresses MAC source et de destination peut aider à répartir la charge.

Problème connu

Le problème connu suivant sur LACP est signalé sur toutes les versions antérieures à la version 5.3.1.1 incluse :

Dans certains cas, l'application de modifications à votre stratégie de contrôle d'accès, à votre stratégie d'intrusion, à votre stratégie de découverte de réseau ou à la configuration de périphérique, ou l'installation d'une mise à jour de règle d'intrusion ou d'une mise à jour de la base de données de vulnérabilité (VDB) provoque une interruption du trafic qui utilise le protocole LACP (Link Aggregation Control Protocol) en mode rapide. Pour contourner ce problème, configurez les liaisons LACP en mode lent. (112070)

Documents connexes 

• Notes de version du système FireSIGHT version 5.3.1.1