فشل النشر مع /31 شبكة فرعية على IP لواجهة FTD الاحتياطية

مسألة

واجهة فرعية تم إنشاؤها على قناة منفذة وتعيين عنوان IP x.x.x.x/31 لعنوان IP الاحتياطي FTD HA. ومع ذلك، عند نشر السياسة من FMC، يفشل النشر باستمرار مع خطأ تكوين.

عنوان IP x.x.x.240 255.255.255.254 وضع الاستعداد x.x.241

^

خطأ: ٪ تم الكشف عن إدخال غير صالح في علامة '^'.

خطأ في التكوين — عنوان IP x.x.x.240 255.255.255.254 في وضع الاستعداد x.x.x.241

البيئة

• أجهزة Cisco Firepower FPR-4112 التي تشغل FTD 7.2 في تكوين عالي التوافر
• مدارة بواسطة مركز إدارة Firepower (FMC)
• إصدار البرنامج: 7.4.2
• الواجهة الفرعية التي تم تكوينها على port-channel.
• مخطط عنونة IP: x.x.x.240/31 مع IP الاحتياطي X.x.241

قرار

تم حل فشل النشر عن طريق تغيير قناع الشبكة الفرعية من /31 إلى /30 لأي واجهة موجهة تتطلب عنوان IP إستعداد FTD HA.

حل موصى به

أستخدم شبكة فرعية /30 (255.255.255.252) بدلا من /31 لأي واجهة موجهة تتطلب عنوان IP في وضع الاستعداد HA. توفر الشبكة الفرعية A /30 أربعة عناوين (شبكة، ومنفذا IP مضيف قابلين للاستخدام، وبث)، مما يتيح إمكانية وجود كل من IP نشط و IP في وضع الاستعداد.

خطوات التنفيذ

1: التغيير من نظام العنونة الحالي /31 إلى شبكة فرعية /30 توفر عناوين IP كافية لكل من التكوينات النشطة والاحتياطية.

2: تحديث تكوين الواجهة في مركز إدارة Firepower لاستخدام عنونة الشبكة الفرعية الجديدة /30.

3: نشر التكوين المحدث من FMC إلى كل من جهازي FTD في زوج HA.

4: تأكد من إكمال نشر النهج بنجاح دون أخطاء في التكوين.

توصيات المنع

• أستخدم دائما شبكة فرعية /30 أو أكبر للواجهات الموجهة التي تتطلب عناوين IP في وضع الاستعداد HA.
• راجع دليل تكوين جهاز مركز إدارة جدار الحماية الآمن من Cisco قبل تصميم مخططات عنونة IP لعمليات نشر HA.
• أستخدم شبكات /31 الفرعية فقط للارتباطات من نقطة إلى نقطة دون متطلبات HA (مثل عمليات النشر من عقدة واحدة أو سيناريوهات تجاوز الفشل).

السبب

يرجع سبب فشل النشر إلى محاولة تكوين عنوان IP إحتياطي على واجهة باستخدام قناع الشبكة الفرعية /31 (255.255.255.254).

توفر الشبكة الفرعية ل /31 عنوانين ل IP قابلين للاستخدام فقط (لا توجد شبكة مخصصة أو عنوان بث)، مما لا يترك مساحة لعنوان IP إستعداد منفصل في تكوين HA. لكل وثائق Cisco، لا يمكن تكوين عناوين IP الاحتياطية على الواجهات باستخدام شبكات /31 الفرعية.

يذكر دليل تكوين جهاز مركز إدارة جدار الحماية الآمن من Cisco بشكل صريح: "بالنسبة للاتصالات من نقطة إلى نقطة، يمكنك تحديد قناع شبكة فرعية من 31 بت (255.255.255.254 أو /31). في هذه الحالة، لا يتم حجز عناوين IP للشبكة أو عناوين البث. لا يمكنك تعيين عنوان IP الاحتياطي في هذه الحالة.

المحتوى ذي الصلة

• دليل تكوين جهاز مركز إدارة جدار الحماية الآمن من Cisco، الإصدار 7.4
• الدعم الفني والتنزيلات من Cisco