Directives pour le téléchargement des données depuis Firepower Management Center vers les périphériques gérés

Introduction

Pour maintenir un déploiement Firepower, vous devez télécharger régulièrement des données depuis Firepower Management Center vers les périphériques qu'il gère. Ce document fournit des informations que vous pouvez utiliser pour transférer les mises à jour de Firepower Management Center vers des périphériques gérés.

Directives générales de téléchargement

Pour prendre en charge le fonctionnement quotidien de votre système Firepower, Cisco recommande de maintenir une bande passante réseau dédiée d'au moins 256 kbits/s entre l'interface externe et chaque périphérique géré. Assurez-vous que la bande passante allouée entre Firepower Management Center et le commutateur qu'il utilise pour communiquer avec ses périphériques gérés est suffisante pour prendre en charge au moins 256 kbits/s pour chaque périphérique. Une bande passante supplémentaire peut être requise lors du téléchargement de mises à jour logicielles depuis Firepower Management Center vers un périphérique géré, ou lors du téléchargement simultané de plusieurs mises à jour de stratégie ou de données vers un périphérique géré.

Attention : Le téléchargement de mises à jour sur des périphériques gérés peut affecter l'inspection du trafic, le flux de trafic et l'état des liaisons. Dans le cas des mises à jour logicielles, le corrélateur de données est désactivé pendant qu'une mise à jour est en cours. Par conséquent, Cisco vous recommande de télécharger les mises à jour dans une fenêtre de maintenance ou à un moment où la charge sur le périphérique géré en cours de mise à jour est minimale et qu'une interruption aura le moins d'impact sur votre déploiement.

Le temps nécessaire pour effectuer n'importe quel type de téléchargement de données depuis Firepower Management Center vers un périphérique géré dépend de la taille du package de données et de la bande passante réseau dédiée entre les deux appliances. Les téléchargements de données vers les périphériques gérés échoueront s'ils ne peuvent pas se terminer dans les délais impartis. Firepower applique les activités de téléchargement.

Note: Les besoins en bande passante cités dans le présent document présument des liaisons sans perte entre les appareils ; si votre réseau connaît une latence élevée ou des taux élevés de perte de paquets, une bande passante supplémentaire sera nécessaire pour terminer les téléchargements dans les délais requis par Firepower.

Si, après avoir ajusté votre environnement réseau à l'aide des informations contenues dans ce document, vous ne pouvez pas télécharger un package de mise à jour sur un périphérique géré dans le délai imparti, contactez le centre d'assistance technique de Cisco.

Téléchargement des mises à jour logicielles

La taille des packages de mise à jour logicielle varie considérablement ; reportez-vous aux notes de version de Firepower System pour votre version pour connaître le processus de mise à jour complet ainsi que la taille du package de données. Firepower applique un délai d'expiration d'1 heure aux téléchargements de logiciels. Le tableau suivant fournit des formules permettant d'estimer le temps nécessaire au téléchargement d'un logiciel en fonction de la taille du package et de la bande passante dédiée disponible entre les périphériques.

Attention : Étant donné que le processus de mise à jour peut affecter l'inspection du trafic, le flux de trafic et l'état de la liaison, et que le corrélateur de données est désactivé lors d'une mise à jour en cours, Cisco vous recommande d'effectuer la mise à jour logicielle dans une fenêtre de maintenance ou à un moment où l'interruption aura le moins d'impact sur votre déploiement.

Téléchargement des mises à jour de la base de données de vulnérabilité

La taille des mises à jour de la base de données de vulnérabilité est comprise entre 30 et 70 Mo. Le téléchargement d'une mise à jour VDB à partir de Firepower Management Center vers un périphérique géré échoue s'il ne se termine pas dans l'heure. Avec une bande passante réseau dédiée, le doublement de la bande passante disponible pour le téléchargement réduit de moitié environ le temps nécessaire pour terminer le téléchargement. Par exemple, le tableau ci-dessous présente les bandes passantes et les délais de téléchargement d'un package VDB de 65 Mo :

Les téléchargements de mises à jour VDB se produisent de manière asynchrone.

Attention : L'installation d'une mise à jour VDB redémarre le processus Snort lorsque vous déployez des modifications de configuration, interrompant temporairement l'inspection du trafic. Le fait que le trafic tombe en panne ou passe sans autre inspection dépend du modèle du périphérique géré et de la manière dont il gère le trafic. Pour plus d'informations, reportez-vous au Guide de configuration de Firepower Management Center.

Téléchargement des mises à jour des règles de contrôle d'accès et d'intrusion

La taille d'une stratégie de contrôle d'accès et d'une mise à jour de règle d'intrusion varie en fonction d'un certain nombre de facteurs, notamment le nombre de règles dans la mise à jour, les conditions dans les règles, le nombre d'objets réutilisables dans la référence de règles et le nombre de combinaisons de jeu de variables de stratégie d'intrusion dans la référence de règles. Bien qu'aucune formule fixe ne puisse prédire la taille du package pour les mises à jour des règles de contrôle d'accès et des règles d'intrusion, le tableau suivant fournit des exemples que vous pouvez utiliser pour estimer la taille de votre propre package. Pour chaque exemple de package, le tableau fournit la bande passante réseau dédiée minimale requise entre les deux appliances pour terminer le téléchargement dans le délai de 5 minutes que le système applique.

Le tableau ne présente que quelques exemples de scénarios de mise à jour de stratégie. Les packages de mise à jour de stratégie qui incluent des stratégies supplémentaires telles que les stratégies de fichiers ou de système seront plus volumineux et nécessiteront une bande passante supplémentaire pour le téléchargement dans le délai imparti par le système Firepower.

Attention : Le déploiement des mises à jour des règles de contrôle d'accès et d'intrusion peut augmenter les demandes de ressources et entraîner la perte d'un petit nombre de paquets sans inspection. En outre, le déploiement de certaines configurations redémarre le processus Snort, ce qui interrompt l'inspection du trafic. Le fait que le trafic tombe en panne ou passe sans autre inspection dépend du modèle du périphérique géré et de la manière dont il gère le trafic. Pour plus d'informations, reportez-vous au Guide de configuration de Firepower Management Center.

Téléchargement des listes d'URL

En raison de limitations de mémoire, certains modèles de périphériques exécutent la plupart des filtres d'URL avec un ensemble de catégories et de réputations plus petits, moins granulaires. Par conséquent, les téléchargements de listes d'URL varient en fonction du modèle de périphérique ; les tailles approximatives sont indiquées dans le tableau suivant :

Les périphériques de mémoire inférieure incluent la gamme 7100 et les modèles ASA suivants : ASA5506-X, ASA5506H-X, ASA5506W-X, ASA5508-X, ASA5512-X, ASA5515-X, ASA5516-X et ASA5525-X. (Pour NGIPSv, reportez-vous au Guide d'installation virtuelle de Firepower System pour plus d'informations sur l'allocation de la quantité de mémoire appropriée pour effectuer un filtrage des URL basé sur la catégorie et la réputation.)

Le téléchargement d'une liste d'URL ou d'une liste d'URL dont la taille varie de 1 à 100 Mo échoue s'il ne se termine pas dans les 10 minutes (600 secondes). Le téléchargement d'une liste d'URL ou d'une liste d'URL dont la taille varie de 100 Mo à 4 Go échoue s'il ne se termine pas dans l'heure (3 600 secondes).

En raison de la bande passante réseau dédiée, le doublement de la bande passante disponible pour le téléchargement représente environ la moitié du temps nécessaire pour terminer le téléchargement, comme indiqué dans les exemples ci-dessous : 

Les téléchargements des mises à jour de la liste d'URL se produisent de manière asynchrone.