Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Análisis

Ejemplo de caso

Explicación

Solución Aternativa

Información Relacionada

Introducción

Este documento describe por qué el orden de interfaz para los conjuntos en línea es diferente incluso si la convención de nomenclatura de interfaz es igual para todos los conjuntos.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Protección frente a amenazas de firewall (FTD)

- Centro de gestión de firewall seguro (FMC)

- Sistema operativo ampliable de firewall seguro (FXOS)

- REST-API

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Secure Firewall Threat Defence versión 7.2.5.1

- Secure Firewall Manager Center versión 7.2.5.1

- Secure Firewall Extensible Operating System 2.12(1.48)

- Administrador de chasis de firewall seguro (FCM)

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Análisis

Ejemplo de caso

Para este ejemplo de caso, se configura un FTD con seis (6) interfaces en pares lineales:

Ethernet1/1 (Inside-A)

Ethernet1/2 (Outside-A)

Ethernet1/3 (Inside-B)

Ethernet1/4 (Outside-B)

Ethernet1/5 (Inside-C)

Ethernet1/6 (Outside-C)

Lista de interfaces FTD

Los conjuntos en línea están planificados para ser configurados de Dentro a Fuera para cada par, lo que resulta en la siguiente configuración:

Inline Set A: Inside-A <-> Outside-A

Inline Set B: Inside-B <-> Outside-B

Inline Set C: Inside-C <-> Outside-C

Los usuarios esperan que el orden de las interfaces se muestre en orden alfabético por el nombre lógico de la interfaz o el nombre físico de la interfaz. Sin embargo, esta configuración da lugar a un orden diferente, como se muestra en la siguiente imagen:

Conjuntos en línea de FTD

Los usuarios observan que el conjunto en línea C tiene un orden diferente de los otros dos conjuntos en línea.

Nota: Es importante tener en cuenta que el orden de pares de interfaces de conjunto en línea no causa ningún problema de comunicación u operativo, sin embargo, puede ser preocupante para fines estéticos.

Explicación

El orden de la interfaz de conjuntos en línea no se asigna por nombre sino por ID, que se verifica a través de REST-API.

Paso 1. Para verificar esto, se debe acceder al explorador FMC REST-API. Esto se logra accediendo a la siguiente sintaxis de URL:

https://FMC  IP/api/api-explorer

FMC REST-API Explorer

Paso 2. Navegue hasta Dispositivos y expanda el menú.

Menú Dispositivos

Paso 3. Navegue hasta la opción GET para:

/api/fmc_config/v1/domain/{domainUUID}/devices/devicerecords/{containerUUID}/inlinesets

Conjuntos en línea Opción GET

Paso 4. Haga clic en el botón Try it Out.

Conjunto en línea Botón GET Try it Out

Paso 5. Reemplace el campo containerUUID por el UUID de FTD (esto se muestra con elshow versioncomando en la línea de comandos de FTD) y haga clic en Ejecutar.

Ejecución de conjuntos en línea

Paso 6. Desplácese hacia abajo hasta el Cuerpo de respuesta y copie el ID de la interfaz que se requiere para resolver problemas, en este caso es el Conjunto en línea C.

"id": "005056B3-BB52-0ed3-0000-021474837838",

Conjuntos en línea GET Response Body

Paso 7. Acceda a la opción GET para:

/api/fmc_config/v1/domain/{domainUUID}/devices/devicerecords/{containerUUID}/inlinesets/{objectId}

Conjuntos en línea ID de objeto GET

Paso 8. Haga clic en el botón Try it Out.

Conjuntos en línea GET Object ID Try it Out

Paso 9. Reemplace el campo objectId por el ID que se obtuvo en el Paso 6 y el containerUUID por el UUID de FTD que se usó en el Paso 5. Después de eso, haga clic en el botón Execute.

Ejecución de ID de objeto GET de conjuntos en línea

Paso 10. Valide el cuerpo de respuesta de la consulta REST-API.

Conjuntos en línea OBTENER ID de objeto Cuerpo de respuesta

La interfaz Ethernet1/6 se agrega como primer componente del conjunto en línea, mientras que Ethernet1/5 se agrega como segundo componente. Esto sucede debido a que el ID de interfaz asignado para Ethernet1/6 es alfabéticamente más bajo que Ethernet1/5. Esto valida la lógica que el FMC está tomando para la asignación de interfaz en conjuntos en línea.

Solución Aternativa

FXOS asigna el ID de interfaz en el momento de la creación del dispositivo lógico, por lo que las interfaces deben eliminarse en el nivel FXOS y leerse en el orden deseado para que se vuelva a asignar el ID.

Advertencia: La siguiente solución alternativa solo es aplicable para las series FPR4100 y FPR9300, cualquier otro hardware de Secure Firewall debe ser recreado. Además, esta solución alternativa interrumpe el tráfico, en este sentido, se recomienda encarecidamente realizar copias de seguridad de FMC, FTD y FXOS, así como un período de mantenimiento planificado.

Paso 1. Inicie sesión en el CSP y elimine el conjunto de líneas problemático en la siguiente ruta:

Devices > Device Management > Edit the desired FTD > Inline Sets.

Eliminación de conjunto en línea

Paso 2. Guarde los cambios e impleméntelo.

Implementación de eliminación de conjuntos en línea

Paso 3. Inicie sesión en el dispositivo FCM y navegue hasta Logical Devices y edite el Logical Device deseado.

Edición de dispositivos lógicos

Paso 4. Quite las dos interfaces que pertenecen al conjunto de líneas problemáticas, que son Ethernet1/5 y Ethernet1/6 para este ejemplo, y guarde los cambios.

Extracción de interfaz de conjunto en línea

Paso 5. En FMC navegue hasta Devices > Device Management, edite el FTD deseado y navegue hasta la pestaña Interfaces, haga clic en el botón Sync Device, guarde los cambios e implemente.

Sincronización de FTD en línea después de la extracción

Paso 6. Edite de nuevo el dispositivo lógico, vuelva a agregar la primera interfaz (Ethernet1/5) y guarde los cambios.

Adición de la primera interfaz de conjunto en línea

Paso 7. Haga clic en el Sync Device botón, guarde los cambios y vuelva a desplegar.

Sincronización de FTD después de agregar la primera interfaz

Paso 8. Edite el dispositivo lógico de nuevo, agregue la primera interfaz (Ethernet1/6) una vez más y guarde los cambios.

Agregación de Segunda Interfaz de Conjunto en Línea

Paso 9. Repita el paso 5 haciendo clic en el Sync Device botón, guardando los cambios y, a continuación, desplegando.

Sincronización de FTD después de agregar la segunda interfaz

Paso 10. Configure las interfaces con los mismos parámetros que antes y vuelva a agregar el conjunto en línea.

Configuración de conjunto en línea

Esta vez, el orden de la interfaz de conjuntos en línea se muestra de la manera esperada. Guarde los cambios e impleméntelo una última vez.

Nota: La sección Ejemplo de Caso de este documento se ejecutará una vez más para validar que los ID de interfaces están ahora en el orden correcto.

Información Relacionada

- Soporte técnico y descargas de Cisco