Table des matières

Problème

Après avoir déplacé plusieurs sous-interfaces vers des interfaces physiques sur des paires de pare-feu FTD (Firewall Threat Defense) 1140 HA, les commandes monitor-interface qui étaient précédemment visibles dans le résultat de la commande show run ne sont plus affichées dans la vue de configuration standard. Les commandes apparaissent uniquement lorsque vous utilisez la commande show run all. Cette modification s'est produite même pour les interfaces qui n'ont pas été modifiées pendant la migration.

Nos interfaces d'origine étaient :

- E1/1 réseau1

- E1/2.1 net2

- E1/2.2 net3

- Réseau E1/2.34

- E1/2.4 à l'intérieur

La nouvelle disposition de l’interface est :

- E1/1 réseau1

- E1/2.4 à l'intérieur

- E1/3 net2

- E1/4 net3

- Réseau E1/54

Avant les modifications de l'interface, les commandes monitor-interface apparaissaient dans le résultat de la commande standard show run :

device# show running-config | include monitor-interface

monitor-interface net1

monitor-interface net2

monitor-interface net3

monitor-interface net4

monitor-interface inside

no monitor-interface service-module

Après le passage des sous-interfaces aux interfaces physiques, le résultat de la commande show run affiche seulement un sous-ensemble des commandes monitor-interface :

device# show running-config | include monitor-interface

monitor-interface inside

no monitor-interface service-module

Cependant, toutes les commandes monitor-interface sont visibles lors de l'exécution de la commande show run all :

device# show running-config all | include monitor-interface

monitor-interface net1

monitor-interface net2

monitor-interface net3

monitor-interface net4

monitor-interface inside

no monitor-interface service-module

Ce changement de comportement a eu un impact sur les stratégies de surveillance de la conformité qui reposent sur le fait que les commandes monitor-interface sont visibles dans le résultat de la commande standard show run.

Environnement

- Appliances Cisco Firewall Threat Defense (FTD) 1140 en configuration haute disponibilité (HA). D'autres plates-formes matérielles peuvent également être affectées.

- Version du logiciel FTD : 7.6.4. D’autres versions logicielles peuvent également être affectées.

- Modification de la configuration des sous-interfaces aux interfaces physiques effectuée.

Résolution

Ce comportement est attendu et n'indique pas de dysfonctionnement ou de défaut logiciel. Lorsque des interfaces sont changées de sous-interfaces en interfaces physiques, le comportement monitor-interface par défaut change, et les commandes qui correspondent à la configuration par défaut ne sont pas explicitement affichées dans le résultat de la commande standard show run. Les commandes monitor-interface sont toujours actives et fonctionnelles, mais elles sont maintenant considérées comme des configurations par défaut pour les interfaces physiques. Les configurations par défaut ne sont visibles que lors de l'utilisation du résultat de la commande show run all, qui affiche à la fois les configurations explicites et par défaut.

Étapes de vérification

Pour vérifier que la fonctionnalité monitor-interface est toujours active, utilisez ces commandes.

Étape 1: Vérifiez l'affichage de la configuration standard :

device# show running-config | include monitor-interface

Étape 2: Vérifier la configuration complète, y compris les paramètres par défaut :

device# show running-config all | include monitor-interface

Étape 3: Vérifiez l'état de surveillance du basculement :

device# show failover

Étape 4: Pour afficher des informations sur les interfaces surveillées pour le basculement :

device# show monitor-interface

La différence dans le résultat entre show run et show run all confirme que les commandes monitor-interface fonctionnent comme des configurations par défaut plutôt que comme des configurations explicites.

Motif

- Lorsque des interfaces sont migrées de sous-interfaces vers des interfaces physiques, le système FTD applique différents comportements par défaut pour les commandes monitor-interface.

- Les interfaces physiques ont monitor-interface activé par défaut, de sorte que ces commandes ne sont pas explicitement affichées dans la configuration en cours à moins qu'elles ne diffèrent du paramètre par défaut.

- Les sous-interfaces, quant à elles, nécessitent une configuration explicite de monitor-interface, ce qui explique pourquoi ces commandes étaient précédemment visibles dans le résultat standard de la commande show run.

- Il s’agit d’une différence comportementale entre les configurations par défaut des sous-interfaces et des interfaces physiques, et non d’un défaut logiciel.

Autres informations utiles

- https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/S/asa-command-ref-S/m_show_is-show_m.html#wp3555445722