Problema
Una subinterfaz creada en un canal de puerto y asignada a la dirección IP x.x.x.x/31 para la dirección IP en espera de FTD HA. Sin embargo, al implementar la política desde FMC, la implementación falla constantemente con un error de configuración.
ip address x.x.x.240 255.255.255.254 standby x.x.x.241
^
ERROR: % Se detectó una entrada no válida en el marcador '^'.
Error de configuración: dirección ip x.x.x.240 255.255.255.254 standby x.x.x.241
Entorno
- Dispositivos Cisco Firepower FPR-4112 que ejecutan FTD 7.2 en configuración de alta disponibilidad
- Administrado por Firepower Management Center (FMC)
- Versión del software: 7.4.2
- Subinterfaz configurada en el canal de puerto.
- Esquema de direccionamiento IP: x.x.x.240/31 con IP en espera x.x.x.241
Resolución
La falla de implementación se resuelve cambiando la máscara de subred de /31 a /30 para cualquier interfaz ruteada que requiera una dirección IP standby de FTD HA.
Solución recomendada
Utilice una subred /30 (255.255.255.252) en lugar de /31 para cualquier interfaz enrutada que requiera una dirección IP en espera de HA. Una subred /30 proporciona cuatro direcciones (red, dos IP de host utilizables y difusión), lo que permite que coexistan una IP activa y una IP en espera.
Pasos de implementación
1: Cambie del esquema de direccionamiento /31 actual a una subred /30 que proporcione suficientes direcciones IP para las configuraciones activas y en espera.
2: Actualice la configuración de la interfaz en Firepower Management Center para utilizar el nuevo direccionamiento de subred /30.
3: Implemente la configuración actualizada de FMC en ambos dispositivos FTD en el par HA.
4: Confirme que la implementación de la política se completa correctamente sin errores de configuración.
Recomendaciones de prevención
- Utilice siempre una subred /30 o mayor para las interfaces enrutadas que requieren direcciones IP en espera de HA.
- Revise la Guía de configuración de dispositivos de Cisco Secure Firewall Management Center antes de diseñar esquemas de direccionamiento IP para implementaciones de HA.
- Utilice subredes /31 sólo para enlaces punto a punto sin requisitos de HA (como implementaciones de nodo único o escenarios sin conmutación por fallo).
Causa
La falla de implementación es causada por intentar configurar una dirección IP standby en una interfaz usando una máscara de subred /31 (255.255.255.254).
Una subred /31 proporciona sólo dos direcciones IP utilizables (sin red dedicada ni dirección de difusión), lo que no deja espacio para una IP en espera independiente en una configuración HA. Según la documentación de Cisco, las direcciones IP en espera no se pueden configurar en interfaces con subredes /31.
La Guía de configuración de dispositivos de Cisco Secure Firewall Management Center establece explícitamente: "Para las conexiones punto a punto, puede especificar una máscara de subred de 31 bits (255.255.255.254 o /31). En este caso, no se reservan direcciones IP para las direcciones de difusión o de red. En este caso, no puede establecer la dirección IP de reserva."
Contenido relacionado
Comentarios