Clarifier l'ensemble de commandes en ligne pour FTD sur FMC

Introduction

Ce document explique pourquoi l'ordre des interfaces pour les ensembles en ligne est différent même si la convention d'attribution de noms d'interface est la même pour tous les ensembles.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Protection pare-feu contre les menaces (FTD)
• Centre de gestion du pare-feu sécurisé (FMC)
• Système d'exploitation extensible Secure Firewall (FXOS)
• REST-API

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Pare-feu sécurisé version 7.2.5.1
• Secure Firewall Manager Center version 7.2.5.1
• Système d'exploitation extensible Secure Firewall 2.12(1.48)
• Gestionnaire de châssis de pare-feu sécurisé (FCM)

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Analyse

Exemple de cas

Dans cet exemple, un FTD avec six (6) interfaces est configuré par paires inline :

Ethernet1/1 (Inside-A)
Ethernet1/2 (Outside-A)
Ethernet1/3 (Inside-B)
Ethernet1/4 (Outside-B)
Ethernet1/5 (Inside-C)
Ethernet1/6 (Outside-C)

Liste des interfaces FTD

Les ensembles en ligne sont planifiés pour être configurés de Inside à Outside pour chaque paire, ce qui entraîne la configuration suivante :

Inline Set A: Inside-A <-> Outside-A
Inline Set B: Inside-B <-> Outside-B
Inline Set C: Inside-C <-> Outside-C

Les utilisateurs s'attendent à ce que l'ordre des interfaces soit affiché par ordre alphabétique en fonction du nom logique de l'interface ou du nom physique de l'interface. Cependant, cette configuration se traduit par un ordre différent, comme illustré dans l'image suivante :

Ensembles FTD en ligne

Les utilisateurs constatent que l'ensemble en ligne C a une commande différente des deux autres ensembles en ligne.

Explication

La commande d'interface des ensembles en ligne n'est pas attribuée par nom mais par ID, ce qui est vérifié via REST-API.

Étape 1. Pour vérifier cela, vous devez accéder à l'explorateur FMC REST-API. Pour ce faire, accédez à la syntaxe suivante de l'URL :

https://FMC  IP/api/api-explorer

Explorateur FMC REST-API

Étape 2. Accédez à Périphériques et développez le menu.

Menu Périphériques

Étape 3. Accédez à l'option GET pour :

​/api​/fmc_config​/v1​/domain​/{domainUUID}​/devices​/devicerecords​/{containerUUID}​/inlinesets

Option GET des jeux en ligne

Étape 4. Cliquez sur le bouton Try it Out.

Bouton d'essai GET Set en ligne

Étape 5. show versionRemplacez le champ containerUUID par l'UUID FTD (qui est affiché par la commande sur la ligne de commande FTD) et cliquez sur Execute (Exécuter).

Exécution des jeux en ligne

Étape 6. Faites défiler jusqu'au corps de réponse et copiez l'ID de l'interface qui est requise pour dépanner, dans ce cas, il s'agit de l'ensemble en ligne C.

"id": "005056B3-BB52-0ed3-0000-021474837838",

Jeux en ligne Corps de la réponse GET

Étape 7. Accédez à l'option GET pour :

/api/fmc_config/v1/domain/{domainUUID}/devices/devicerecords/{containerUUID}/inlinesets/{objectId}

Jeux en ligne GET ID objet

Étape 8. Cliquez sur le bouton Try it Out.

Jeux en ligne GET Object ID Essayez-le

Étape 9. Remplacez le champ objectId par l'ID pris à l'étape 6 et le containerUID par l'UUID FTD utilisé à l'étape 5. Ensuite, cliquez sur le bouton Execute.

Jeux en ligne Exécution de GET Object ID

Étape 10. Validez le corps Response de la requête REST-API.

Corps de réponse GET Object ID Inline Sets

L'interface Ethernet1/6 est ajoutée en tant que premier composant de l'ensemble en ligne, tandis qu'Ethernet1/5 est ajouté en tant que second composant. Cela est dû au fait que l'ID d'interface attribué pour Ethernet1/6 est alphabétiquement inférieur à Ethernet1/5. Ceci valide la logique que le FMC prend pour l'affectation d'interface sur les ensembles en ligne.

Solution de contournement

L'ID d'interface est attribué par FXOS au moment de la création du périphérique logique, de sorte que les interfaces doivent être supprimées au niveau FXOS et lues dans l'ordre souhaité pour que l'ID soit à nouveau attribué.

Étape 1. Connectez-vous au FMC et supprimez le jeu en ligne problématique sur le chemin suivant :

Devices > Device Management > Edit the desired FTD > Inline Sets.

Suppression du jeu en ligne

Étape 2. Enregistrez les modifications et déployez.

Déploiement de suppression des jeux en ligne

Étape 3. Connectez-vous au périphérique FCM, accédez à Logical Devices et modifiez le périphérique logique souhaité.

Modification du périphérique logique

Étape 4. Supprimez les deux interfaces appartenant à l'ensemble en ligne problématique, qui sont Ethernet1/5 et Ethernet1/6 dans cet exemple, et enregistrez les modifications.

Retrait d'interface de jeu en ligne

Étape 5. Sur FMC, accédez à Devices > Device Management, modifiez le FTD souhaité et accédez à l'onglet Interfaces, cliquez sur le bouton Sync Device, enregistrez les modifications et déployez.

Synchronisation FTD de définition en ligne après suppression

Étape 6. Modifiez à nouveau le périphérique logique, ajoutez à nouveau la première interface (Ethernet1/5) et enregistrez les modifications.

Inline Set First Interface Adding

Étape 7. Cliquez sur le Sync Device bouton, enregistrez les modifications et redéployez.

Synchronisation FTD après ajout de la première interface

Étape 8. Modifiez à nouveau le périphérique logique, ajoutez à nouveau la première interface (Ethernet1/6) et enregistrez les modifications.

Inline Set Second Interface Adding

Étape 9. Répétez l'étape 5 en cliquant sur le Sync Device bouton, en enregistrant les modifications, puis en déployant.

Synchronisation FTD après ajout de la seconde interface

Étape 10. Configurez les interfaces avec les mêmes paramètres que précédemment et ajoutez à nouveau le jeu en ligne.

Configuration du jeu en ligne

Cette fois, l'ordre des interfaces des ensembles en ligne est affiché de la manière attendue. Enregistrez les modifications et déployez une dernière fois.

Informations connexes

• Assistance technique de Cisco et téléchargements