Bereitstellung schlägt fehl mit /31 Subnetz auf Standby FTD Interface IP

Problem

Eine Subschnittstelle, die auf einem Port-Channel erstellt wurde und der die IP-Adresse x.x.x.x/31 für die FTD HA-Standby-IP-Adresse zugewiesen wurde. Beim Bereitstellen der Richtlinie vom FMC aus schlägt die Bereitstellung jedoch durchweg mit einem Konfigurationsfehler fehl.

ip address x.x.x.240 255.255.255.254 standby x.x.x.241

^

FEHLER: % Ungültige Eingabe bei Markierung '^' erkannt.

Konfigurationsfehler - IP-Adresse x.x.x.240 255.255.255.254 Standby x.x.x.241

Umwelt

• Cisco FirePOWER FPR-4112-Appliances mit FTD 7.2 in Hochverfügbarkeitskonfiguration
• Verwaltet von FirePOWER Management Center (FMC)
• Softwareversion: 7.4.2
• Subschnittstelle konfiguriert auf Port-Channel.
• IP-Adressierungsschema: x.x.x.240/31 mit Standby-IP x.x.x.241

Auflösung

Der Bereitstellungsfehler wird behoben, indem die Subnetzmaske für alle gerouteten Schnittstellen, die eine FTD HA-Standby-IP-Adresse erfordern, von /31 in /30 geändert wird.

Empfohlene Lösung

Verwenden Sie ein /30-Subnetz (255.255.255.252) anstelle von /31 für jede geroutete Schnittstelle, die eine HA-Standby-IP-Adresse erfordert. Ein /30-Subnetz stellt vier Adressen bereit (Netzwerk, zwei verwendbare Host-IPs und Broadcast), sodass sowohl eine aktive IP als auch eine Standby-IP-Adresse gleichzeitig existieren können.

Implementierungsschritte

1: Ändern Sie das aktuelle /31-Adressierungsschema in ein /30-Subnetz, das ausreichende IP-Adressen für aktive und Standby-Konfigurationen bereitstellt.

2: Aktualisieren Sie die Schnittstellenkonfiguration im FirePOWER Management Center, um die neue /30-Subnetzadressierung zu verwenden.

3: Stellen Sie die aktualisierte Konfiguration von FMC auf beide FTD-Geräte des HA-Paars bereit.

4: Vergewissern Sie sich, dass die Richtlinienbereitstellung erfolgreich und ohne Konfigurationsfehler abgeschlossen wurde.

Empfehlungen zur Vorbeugung

• Verwenden Sie für geroutete Schnittstellen, die HA-Standby-IP-Adressen benötigen, immer ein /30- oder größeres Subnetz.
• Lesen Sie den Konfigurationsleitfaden für Cisco Secure Firewall Management Center-Geräte, bevor Sie IP-Adressierungsschemata für HA-Bereitstellungen entwerfen.
• Verwenden Sie /31-Subnetze nur für Point-to-Point-Verbindungen ohne HA-Anforderungen (z. B. Single-Node-Bereitstellungen oder Non-Failover-Szenarien).

Ursache

Der Bereitstellungsfehler wird durch den Versuch verursacht, eine Standby-IP-Adresse auf einer Schnittstelle mit einer /31-Subnetzmaske (255.255.255.254) zu konfigurieren.

Ein /31-Subnetz stellt nur zwei verwendbare IP-Adressen bereit (keine dedizierten Netzwerk- oder Broadcast-Adressen), sodass in einer HA-Konfiguration kein Platz für eine separate Standby-IP bleibt. Laut Cisco Dokumentation können Standby-IP-Adressen nicht auf Schnittstellen mit /31-Subnetzen konfiguriert werden.

Im Konfigurationsleitfaden für Cisco Secure Firewall Management Center-Geräte heißt es ausdrücklich: "Für Punkt-zu-Punkt-Verbindungen können Sie eine 31-Bit-Subnetzmaske angeben (255.255.255.254 oder /31). In diesem Fall sind keine IP-Adressen für das Netzwerk oder Broadcast-Adressen reserviert. In diesem Fall können Sie die Standby-IP-Adresse nicht festlegen."

Verwandte Inhalte

• Konfigurationsanleitung für Cisco Secure Firewall Management Center-Geräte, 7.4
• Technischer Support und Downloads von Cisco