Grappe ASA pour le Secure Firewall 3100

La mise en grappe vous permet de regrouper plusieurs ASA en un seul périphérique logique. Une grappe offre toute la commodité d’un seul appareil (gestion, intégration dans un réseau), tout en offrant le débit accru et la redondance de plusieurs périphériques.


Remarque

Certaines fonctionnalités ne sont pas prises en charge lors de l’utilisation de la mise en grappe. Consultez Fonctionnalités non prises en charge par la mise en grappe.

À propos de la mise en grappe d’ASA

Cette section décrit l’architecture de mise en grappe et son fonctionnement.

Intégration d’une grappe à votre réseau

La grappe se compose de plusieurs pare-feu agissant comme une seule unité. Pour agir comme une grappe, les pare-feu ont besoin de l’infrastructure suivante :

  • Réseau de fond de panier isolé à grande vitesse pour la communication intra-grappe, connu sous le nom de liaison de commande de grappe.

  • Accès de gestion à chaque pare-feu pour la configuration et la surveillance.

Exigences en matière d’infrastructure

Lorsque vous placez la grappe dans votre réseau, les routeurs en amont et en aval doivent être en mesure d’équilibrer la charge des données entrant dans la grappe et en sortant à l’aide de EtherChannels étendus. Les interfaces de plusieurs membres de la grappe sont regroupées dans un seul EtherChannel ; l’EtherChannel effectue l’équilibrage de charge entre les unités.

Membres de la grappe

Les membres de la grappe collaborent pour partager la politique de sécurité et les flux de trafic. Cette section décrit la nature de chaque rôle de membre.

Configuration du démarrage

Sur chaque appareil, vous configurez une configuration de démarrage minimale qui inclut le nom de la grappe, l’interface de la liaison de commande de grappe et les autres paramètres de la grappe. Le premier nœud sur lequel vous activez la mise en grappe devient généralement le nœud de contrôle. Lorsque vous activez la mise en grappe sur les nœuds suivants, ils rejoignent la grappe en tant que nœuds de données.

Rôles des nœuds de contrôle et de données

Un membre de la grappe est le nœud de contrôle. Si plusieurs nœuds de la grappe sont mis en ligne en même temps, le nœud de contrôle est déterminé par le paramètre de priorité dans la configuration de démarrage. La priorité est réglée entre 1 et 100, 1 étant la priorité la plus élevée. Tous les autres membres sont des nœuds de données. En règle générale, lorsque vous créez une grappe pour la première fois, le premier nœud que vous ajoutez devient le nœud de contrôle simplement parce que c’est le seul nœud de la grappe à ce moment-là.

Vous devez effectuer toute la configuration (à l’exception de la configuration de démarrage) sur le nœud de contrôle uniquement; la configuration est ensuite reproduite sur les nœuds de données. Dans le cas de ressources physiques, telles que les interfaces, la configuration du nœud de contrôle est reflétée sur tous les nœuds de données. Par exemple, si vous configurez Ethernet 1/2 comme interface interne et Ethernet 1/1 comme interface externe, ces interfaces sont également utilisées sur les nœuds de données en tant qu’interfaces interne et externe.

Certaines fonctionnalités ne sont pas évolutives en grappe, et le nœud de contrôle gère tout le trafic pour ces fonctionnalités.

Interfaces de grappe

Vous pouvez configurer des interfaces de données ou en tant qu’interfaces individuelles . Voir Interfaces de grappe pour plus d’informations.

Restrictions du type d’interface


Remarque

Les interfaces individuelles ne sont pas prises en charge, à l'exception d'une interface de gestion.

Liaisons de commande de grappe

Une liaison de commande de grappe est une interface matérielle dédiée que chaque unité doit allouer à la communication au sein de la grappe. Pour plus d’informations, consultez Liaison de commande de la grappe.

Réplication de la configuration

Tous les nœuds de la grappe partagent une configuration unique. Vous pouvez uniquement apporter des modifications à la configuration sur le nœud de contrôle (à l’exception de la configuration de démarrage) et les modifications sont automatiquement synchronisées avec tous les autres nœuds de la grappe.

Gestion de la grappe ASA

L’un des avantages de l’utilisation de la mise en grappe ASA est la facilité de gestion. Cette section décrit comment gérer la grappe.

Réseau de gestion

Nous vous recommandons de connecter toutes les unités à un seul réseau de gestion. Ce réseau est distinct de la liaison de commande de grappe.

Interface de gestion

Pour l’interface de gestion, nous vous conseillons d’utiliser l’une des interfaces de gestion dédiées. Vous pouvez configurer les interfaces de gestion en tant qu’interfaces individuelles (pour les modes routé et transparent) ou en tant qu’interface EtherChannel étendue.

Nous vous conseillons d’utiliser des interfaces individuelles pour la gestion, même si vous utilisez des EtherChannels étendus pour vos interfaces de données. Les interfaces individuelles vous permettent de vous connecter directement à chaque unité si nécessaire, tandis qu’une interface EtherChannel étendue ne permet qu’une connexion à distance à l’unité de contrôle actuelle.


Remarque

vous ne pouvez pas activer le routage dynamique pour l’interface de gestion. Vous devez utiliser une route statique.

Pour une interface individuelle, l’adresse IP de la grappe principale est une adresse fixe pour la grappe qui appartient toujours à l’unité de contrôle actuelle. Pour chaque interface, vous configurez également une plage d’adresses de sorte que chaque unité, y compris l’unité de contrôle actuelle, puisse utiliser une adresse locale de la plage. L’adresse IP de la grappe principale fournit un accès de gestion cohérent à une adresse; lorsqu’une unité de contrôle change, l’adresse IP de la grappe principale est déplacée vers la nouvelle unité de contrôle, de sorte que la gestion de la grappe se poursuit de façon transparente. L’adresse IP locale est utilisée pour le routage et est également utile pour la résolution de problèmes.

Par exemple, vous pouvez gérer la grappe en vous connectant à l’adresse IP de la grappe principale, qui est toujours associée à l’unité de contrôle actuelle. Pour gérer un membre, vous pouvez vous connecter à l’adresse IP locale.


Remarque

Le trafic vers la boîte doit être acheminé vers l’adresse IP de gestion du nœud; le trafic vers la boîte n’est pas transféré sur la liaison de commande de grappe vers un autre nœud.

Pour le trafic de gestion sortant tel que TFTP ou syslog, chaque unité, y compris l’unité de contrôle, utilise l’adresse IP locale pour se connecter au serveur.

Pour une interface EtherChannel étendue, vous ne pouvez configurer qu’une seule adresse IP, et cette adresse IP est toujours associée à l’unité de contrôle. Vous ne pouvez pas vous connecter directement à une unité de données à l’aide de l’interface EtherChannel; nous vous conseillons de configurer l’interface de gestion en tant qu’interface individuelle afin que vous puissiez vous connecter à chaque unité. Notez que vous pouvez utiliser un EtherChannel local au périphérique pour la gestion.

Gestion de l’unité de contrôle vs Gestion de l’unité de données

La gestion et la surveillance peuvent avoir lieu sur le nœud de contrôle. À partir du nœud de contrôle, vous pouvez vérifier les statistiques d’exécution, l’utilisation des ressources ou d’autres informations de surveillance sur tous les nœuds. Vous pouvez également transmettre une commande à tous les nœuds de la grappe et reproduire les messages de console des nœuds de données vers le nœud de contrôle.

Vous pouvez surveiller directement les nœuds de données si vous le souhaitez. Bien que cela soit également disponible à partir du nœud de contrôle, vous pouvez effectuer la gestion de fichiers sur les nœuds de données (y compris la sauvegarde de la configuration et la mise à jour des images). Les fonctions suivantes ne sont pas disponibles à partir du nœud de commande :

  • Surveillance des statistiques propres à la grappe par nœud.

  • Surveillance des journaux système par nœud (sauf pour les journaux système envoyés à la console lorsque la duplication de la console est activée).

  • SNMP

  • NetFlow

duplication de clé de chiffrement

Lorsque vous créez une clé de chiffrement sur le nœud de contrôle, la clé est répliquée sur tous les nœuds de données. Si vous avez une session SSH sur l’adresse IP de la grappe principale, vous serez déconnecté en cas de défaillance du nœud de contrôle. Le nouveau nœud de contrôle utilise la même clé pour les connexions SSH, de sorte que vous n’avez pas besoin de mettre à jour la clé d’hôte SSH mise en cache lorsque vous vous reconnectez au nouveau nœud de contrôle.

Incompatibilité d’adresse IP du certificat de connexion ASDM

Par défaut, un certificat autosigné est utilisé pour la connexion ASDM en fonction de l’adresse IP locale. Si vous vous connectez à l'adresse IP de la grappe principale à l'aide d'ASDM, un message d'avertissement concernant une adresse IP non concordante peut s'afficher, car le certificat utilise l'adresse IP locale, et non l'adresse IP de la grappe principale. Vous pouvez ignorer le message et établir la connexion ASDM. Cependant, pour éviter ce type d'avertissement, vous pouvez inscrire un certificat qui contient l'adresse IP de la grappe principale et toutes les adresses IP locales de l'ensemble d'adresses IP. Vous pouvez ensuite utiliser ce certificat pour chaque membre de la grappe. Consultez https://www.cisco.com/c/en/us/td/docs/security/asdm/identity-cert/cert-install.html pour de plus amples renseignements.

Mise en grappe inter-sites

Pour les installations inter-sites, vous pouvez profiter de la mise en grappe d’ASA tant que vous suivez les lignes directrices recommandées.

Vous pouvez configurer chaque châssis de grappe pour qu’il appartienne à un ID de site distinct.

Les ID de site fonctionnent avec des adresses MAC et des adresses IPspécifiques au site . Les paquets qui sortent de la grappe utilisent une adresse MAC et une adresse IPpropres au site, tandis que les paquets reçus par la grappe utilisent une adresse MAC et une adresse IPglobales. Cette fonctionnalité empêche les commutateurs d’apprendre la même adresse MAC globale à partir des deux sites sur deux ports différents, ce qui entraîne une oscillation MAC; au lieu de cela, ils connaissent uniquement l’adresse MAC du site. Les adresses MAC et les adresses IP spécifiques au site sont prises en charge pour le mode routé qui utilise uniquement les EtherChannels étendus.

Les ID de site sont également utilisés pour permettre la mobilité de flux à l’aide de l’inspection LISP, la localisation du directeur pour améliorer les performances et réduire la latence aller-retour pour la mise en grappe inter-sites pour les centres de données, et la redondance des sites pour les connexions où un propriétaire de secours d’un flux se trouve toujours sur un autre site que celui du propriétaire.

Consultez les sections suivantes pour en savoir plus sur la mise en grappe inter-sites :

Licences pour la mise en grappe d’ASA

Smart Software Manager standard et sur site

Chaque unité requiert la licence Essentials (activée par défaut) et la même licence de chiffrement. Nous vous conseillons d’accorder une licence à chaque unité avec le serveur de licences avant d’activer la mise en grappe pour éviter les problèmes de non-concordance de licences et, lors de l’utilisation de la licence de cryptage renforcé, des problèmes de chiffrement de la liaison de commande de grappe.

La fonctionnalité de mise en grappe elle-même ne nécessite aucune licence. Il n’y a pas de coût supplémentaire pour la licence de contexte sur les unités de données.

La licence de cryptage renforcé est automatiquement activée pour les clients qualifiés lorsque vous appliquez le jeton d’enregistrement. Pour la licence facultative de cryptage renforcé (3DES/AES) activée dans la configuration ASA, consultez ci-dessous.

Dans la configuration de la licence ASA, la licence Essentials est toujours activée par défaut sur toutes les unités. Vous pouvez uniquement configurer la licence Smart sur l’unité de contrôle. La configuration est répliquée sur les unités de données, mais pour certaines licences, elles n’utilisent pas la configuration; elle reste dans un état mis en mémoire cache et seule l’unité de contrôle demande la licence. Les licences sont agrégées en une licence de grappe unique partagée par les unités de grappe, et cette licence agrégée est également mise en mémoire cache sur les unités de données pour être utilisée si l’une d’elles devient l’unité de contrôle ultérieurement. Chaque type de licence est géré comme suit :

  • Essentials : chaque unité demande une licence Essentials au serveur.

  • Contexte : seule l’unité de contrôle demande la licence de contexte au serveur. La licence Essentials comprend 2 contextes par défaut et est présente sur tous les membres de la grappe. La valeur de la licence Essentials de chaque unité, plus la valeur de la licence de contexte sur l’unité de contrôle, sont combinées jusqu’à la limite de plateformes dans une licence de grappe agrégée. Par exemple :

    • Vous avez 6 appareils Secure Firewall 3100 dans la grappe. La licence Essentials comprend 2 contextes; pour 6 unités, ces licences ajoutent jusqu’à 12 contextes. Vous configurez une licence de 20 contextes supplémentaires sur l’unité de contrôle. Par conséquent, la licence de grappe agrégée comprend 32 contextes. Comme la limite de plateformes pour un châssis est de 100, la licence combinée autorise un maximum de 100 contextes; les 32 contextes sont dans la limite. Par conséquent, vous pouvez configurer jusqu’à 32 contextes sur l’unité de contrôle; chaque unité de données aura également 32 contextes par la réplication de la configuration.

    • Vous avez 3 appareils Secure Firewall 3100 dans la grappe. La licence Essentials comprend 2 contextes; pour 3 unités, ces licences ajoutent jusqu’à 6 contextes. Vous configurez une licence de 100 contextes supplémentaires sur l’unité de contrôle. Par conséquent, la licence de grappe agrégée comprend 106 contextes. Comme la limite de plateformes pour une unité est de 100, la licence combinée autorise un maximum de 100 contextes; les 106 contextes sont au-dessus de la limite. Par conséquent, vous ne pouvez configurer que 100 contextes sur l’unité de contrôle; chaque unité de données aura également 100 contextes par la réplication de la configuration. Dans ce cas, vous devez uniquement configurer la licence de contexte de l’unité de contrôle pour 94 contextes.

  • Cryptage renforcé (3DES) : si votre compte Smart n’est pas autorisé pour le cryptage renforcé, mais que Cisco a déterminé que vous êtes autorisé à utiliser le cryptage renforcé, vous pouvez ajouter manuellement une licence de cryptage renforcé à votre compte. Seule l’unité de contrôle demande cette licence et toutes les unités peuvent l’utiliser en raison de l’agrégation des licences.

Si une nouvelle unité de contrôle est choisie, la nouvelle unité de contrôle continue d’utiliser la licence agrégée. Elle utilise également la configuration de licence mise en mémoire cache pour demander à nouveau la licence de l’unité de contrôle. Lorsque l’ancienne unité de contrôle rejoint la grappe en tant qu’unité de données, elle libère le droit de licence de l’unité de contrôle. Avant que l’unité de données ne libère la licence, la licence de l’unité de contrôle peut être dans un état non conforme s’il n’y a aucune licence disponible dans le compte. La licence conservée est valide pendant 30 jours, mais si elle n’est toujours pas conforme après le délai de grâce, vous ne pourrez pas modifier la configuration des fonctionnalités nécessitant des licences spéciales; l’opération n’est pas affectée par le reste. La nouvelle unité active envoie une demande de renouvellement des droits d’utilisation toutes les 35 secondes jusqu’à ce que la licence soit conforme. Vous devez éviter de modifier la configuration jusqu’à ce que les demandes de licences soient complètement traitées. Si une unité quitte la grappe, la configuration de contrôle mise en mémoire cache est supprimée, tandis que les droits par unité sont conservés. En particulier, vous devrez demander à nouveau la licence de contexte sur les unités qui ne sont pas des grappes.

Réservation de licence permanente

Pour la réservation de licences permanentes, vous devez acheter des licences distinctes pour chaque châssis et activer les licences avant de configurer la mise en grappe.

Exigences et conditions préalables à la mise en grappe ASA

Exigences du modèle

  • Secure Firewall 3100 : maximum 8 nœuds

Configuration matérielle et logicielle requise pour l’ASA

Pour toutes les unités d’une grappe :

  • Doivent être du même modèle et disposer de la même mémoire DRAM. Vous n’avez pas besoin d’avoir la même quantité de mémoire flash.

  • Doit exécuter le logiciel identique, sauf lors d’une mise à niveau d’image. La mise à niveau rapide est prise en charge. Des versions logicielles non concordantes peuvent entraîner une dégradation des performances. Assurez-vous donc de mettre à niveau tous les nœuds dans la même fenêtre de maintenance.

  • Doivent être dans le même mode de contexte de sécurité, unique ou multiple.

  • (Mode de contexte unique) Doivent utiliser le même mode de pare-feu (routé ou transparent).

  • Les nouveaux membres de la grappe doivent utiliser le même paramètre de chiffrement SSL (la commande ssl encryption) que l’unité de contrôle pour la communication de la liaison de commande de grappe initiale avant la réplication de la configuration.

Exigences du commutateur

  • Assurez-vous d'achever la configuration du commutateur avant de configurer la mise en grappe sur les ASA.

  • Pour obtenir la liste des commutateurs pris en charge, consultez Compatibilité Cisco ASA.

Exigences ASA

  • Fournissez à chaque unité une adresse IP unique avant de les joindre au réseau de gestion.

    • Consultez le chapitre de démarrage pour en savoir plus sur la connexion à l’ASA et la définition de l’adresse IP de gestion.

    • À l’exception de l’adresse IP utilisée par l’unité de contrôle (généralement la première unité que vous ajoutez à la grappe), ces adresses IP de gestion sont uniquement destinées à un usage temporaire.

    • Après qu’une unité de données ait rejoint la grappe, la configuration de l’interface de gestion est remplacée par celle répliquée à partir de l’unité de contrôle.

dimensionnement de l’interconnexion du centre de données pour la mise en grappe inter-sites

Vous devez réserver la bande passante sur l’interconnexion des centres de données (DCI) pour un trafic de liaison de commande de grappe équivalent au calcul suivant :

Si le nombre de membres diffère sur chaque site, utilisez le plus grand nombre pour votre calcul. La bande passante minimale pour l’interface DCI ne doit pas être inférieure à la taille de la liaison de commande de grappe pour un membre.

Par exemple :

  • Pour 4 membres sur 2 sites :

    • 4 membres de la grappe au total

    • 2 membres sur chaque site

    • Liaison de commande de grappe de 5 Gbit/s par membre

    Bande passante DCI réservée = 5 Gbit/s (2/2 x 5 Gbit/s).

  • Pour 6 membres sur 3 sites, la taille augmente :

    • Six membres de la grappe au total

    • 3 membres sur le site 1, 2 membres sur le site 2 et 1 membre sur le site 3

    • Liaison de commande de grappe de 10 Gbit/s par membre

    Bande passante DCI réservée = 15 Gbit/s (3/2 x 10 Gbit/s).

  • Pour 2 membres sur 2 sites :

    • 2 membres de la grappe au total

    • Un membre sur chaque site

    • Liaison de commande de grappe de 10 Gbit/s par membre

    Bande passante DCI réservée = 10 Gbit/s (1/2 x 10 Gbit/s = 5 Gbit/s, mais la bande passante minimale ne doit pas être inférieure à la taille de la liaison de commande de grappe (10 Gbit/s)).

Autres exigences

Nous vous conseillons d’utiliser un serveur de terminaux pour accéder à tous les ports de console des unités membres de la grappe. Pour la configuration initiale et la gestion continue (par exemple, lorsqu’une unité tombe en panne), un serveur de terminaux est utile pour la gestion à distance.

Lignes directrices de la mise en grappe

Mode contextuel

Le mode doit correspondre sur chaque unité membre.

Mode pare-feu

Pour le mode unique, le mode de pare-feu doit correspondre sur toutes les unités.

Basculement

Le basculement n’est pas pris en charge avec la mise en grappe.

IPv6

La liaison de commande de grappe est uniquement prise en charge avec IPv4.

Commutateurs

  • Assurez-vous que les commutateurs connectés correspondent aux unités de transfert maximales MTU des interfaces de données et de l’interface de liaison de commande de grappe. Vous devez configurer la MTU de l’interface de la liaison de commande de grappe pour qu’elle soit au moins 100 octets supérieure à la MTU de l’interface de données. Assurez-vous donc de configurer le commutateur de connexion de la liaison de commande de grappe correctement. Étant donné que le trafic de liaison de commande de grappe comprend le transfert de paquets de données, la liaison de commande de grappe doit prendre en charge toute la taille d’un paquet de données plus la surcharge de trafic de grappe. De plus, nous ne conseillons pas de définir la MTU de la liaison de commande de grappe entre 2 561 et 8 362. En raison de la gestion du groupe de blocs, cette taille de MTU n’est pas optimale pour le fonctionnement du système.

  • Pour les systèmes Cisco IOS XR, si vous souhaitez définir une MTU autre que celle par défaut, définissez la MTU de l’interface IOS XR sur 14 octets au-dessus de la MTU du périphérique de la grappe. Sinon, les tentatives d’homologation de contiguïté OSPF peuvent échouer, sauf si l’option mtu-ignore est utilisée. Notez que la MTU du périphérique de grappe doit correspondre à la MTU IPv4 d’IOS XR. Cet ajustement n’est pas nécessaire pour les commutateurs Cisco Catalyst et Cisco Nexus.

  • Sur le ou les commutateurs pour les interfaces de liaison de commande de grappe, vous pouvez éventuellement activer Spanning Tree PortFast sur les ports de commutateur connectés à l’unité de la grappe pour accélérer le processus de jonction des nouvelles unités.

  • Sur le commutateur, nous vous conseillons d’utiliser l’un des algorithmes d’équilibrage de charges EtherChannel suivants : source-dest-ip or src-dst-mixed-ip-port (reportez-vous à la commande port-channel load-balance de Cisco Nexus OS et Cisco IOS-XE). N’utilisez pas de mot clé vlan dans l’algorithme d’équilibrage de charge, car cela pourrait entraîner une répartition inégale du trafic vers les périphériques d’une grappe. Ne modifiez pas l’algorithme d’équilibrage de charge par défaut sur le périphérique de la grappe.

  • Si vous modifiez l’algorithme d’équilibrage de charge de l’EtherChannel sur le commutateur, l’interface EtherChannel du commutateur arrête temporairement de transférer le trafic et le protocole Spanning Tree redémarre. Il faudra attendre un certain temps avant que le trafic ne redevienne fluide.

  • Les commutateurs sur le chemin de la liaison de commande de grappe ne doivent pas vérifier la somme de contrôle L4. Le trafic redirigé sur la liaison de commande de grappe n’a pas une somme de contrôle L4 correcte. Les commutateurs qui vérifient la somme de contrôle L4 pourraient entraîner l’abandon du trafic.

  • Le temps d’arrêt du groupage du canal de port ne doit pas dépasser l’intervalle Keepalive configuré.

  • Sur les EtherChannels de 2e génération, l’algorithme de distribution de hachage par défaut est adaptatif. Pour éviter le trafic symétrique dans une conception VSS, modifiez l’algorithme de hachage sur le canal de port connecté au périphérique de la grappe à fixe :

    router(config)# port-channel id hash-distribution fixed

    Ne modifiez pas l'algorithme globalement; vous pouvez profiter de l’algorithme adaptatif pour la liaison homologue VSS.

  • Vous devez désactiver la fonctionnalité de convergence progressive LACP sur toutes les interfaces EtherChannel face à la grappe pour les commutateurs Cisco Nexus.

EtherChannels

  • Dans les versions du logiciel Cisco IOS Catalyst 3750-X antérieures à la15.1(1)S2, l’unité de grappe ne prenait pas en charge la connexion d’un EtherChannel à une pile de commutateurs. Avec les paramètres par défaut du commutateur, si l’EtherChannel de l’unité de grappe est connecté de manière croisée et si le commutateur de l’unité de contrôle est hors tension, l’EtherChannel connecté au commutateur restant ne s’activera pas. Pour améliorer la compatibilité, définissez la commande stack-mac persistent timer sur une valeur suffisamment grande pour prendre en compte le temps de rechargement; par exemple, 8 minutes ou 0 pour indéfini. Vous pouvez également effectuer une mise à niveau vers une version plus stable du logiciel du commutateur, comme par exemple 15.1(1)S2.

  • Configuration des EtherChannels étendus vs. locaux au périphérique : veillez à configurer le commutateur de manière appropriée pour les EtherChannels étendus par rapport aux EtherChannels locaux au périphérique.

    • EtherChannels étendus : pour les EtherChannels étendus des unités de grappe, qui s’étendent sur tous les membres de la grappe, les interfaces sont combinées en un seul EtherChannel sur le commutateur. Vérifiez que chaque interface se trouve dans le même groupe de canaux sur le commutateur.

    • EtherChannels locaux au périphérique : pour les EtherChannels locaux au périphérique de grappe, y compris tous les EtherChannels configurés pour la liaison de commande de la grappe, veillez à configurer des EtherChannels isolés sur le commutateur; ne combinez pas plusieurs EtherChannels d’unités de grappe en un seul EtherChannel sur le commutateur.

Lignes directrices inter-sites

Consultez les consignes suivantes concernant la mise en grappe inter-sites :

  • La latence de la liaison de commande de grappe doit être inférieure à 20 ms temps aller-retour (RTT).

  • La liaison de commande de grappe doit être fiable, sans paquets dans le désordre ou abandonnés; par exemple, vous devez utiliser un lien dédié.

  • Ne configurez pas le rééquilibrage de connexion; il ne faut pas que les connexions soient rééquilibrées entre les membres de la grappe sur un site différent.

  • L'ASA ne chiffre pas le trafic de données transféré sur la liaison de commande de grappe, car il s’agit d’un lien dédié, même lorsqu’il est utilisé sur une interconnexion de centre de données (DCI). Si vous utilisez la virtualisation du transport par superposition (OTV), ou étendez la liaison de commande de grappe en dehors du domaine administratif local, vous pouvez configurer le chiffrement sur vos routeurs de frontière, comme 802.1AE MacSec sur OTV.

  • La mise en œuvre de la grappe ne fait pas de différence entre les membres de plusieurs sites pour les connexions entrantes; par conséquent, les rôles de connexion pour une connexion donnée peuvent s’étendre sur plusieurs sites. Il s’agit du comportement attendu. Toutefois, si vous activez la localisation de directeur, le rôle de directeur local est toujours choisi sur le même site que le propriétaire de la connexion (selon l’ID du site). En outre, le directeur local choisit un nouveau propriétaire sur le même site si le propriétaire d’origine tombe en panne (Remarque : si le trafic est dissymétrique entre les sites et qu’il y a un trafic continu en provenance du site distant après la défaillance du propriétaire d’origine, alors un nœud du site distant site peut devenir le nouveau propriétaire s’il reçoit un paquet de données pendant la fenêtre de réhébergement.).

  • Pour la localisation du directeur, les types de trafic suivants ne prennent pas en charge la localisation : le trafic NAT ou PAT; trafic inspecté par SCTP; requête du propriétaire de la fragmentation.

  • Dans un déploiement Nord-Sud avec des flux UDP persistants, des boucles de routage peuvent se produire si les nœuds du site propriétaire initial du flux tombent en panne, puis reviennent en ligne, ce qui entraîne une redirection du flux vers le site d’origine. Si le nouveau propriétaire, sur l’autre site, ne dispose pas d’une route vers la destination, il redirigera le flux vers Internet, créant ainsi une boucle. Dans ce cas, utilisez la commande clear conn sur le nouveau propriétaire pour forcer la réinitialisation du flux.

  • Pour le mode transparent, si la grappe est placée entre une paire de routeurs internes et externes (AKA insertion nord-sud), vous devez vous assurer que les deux routeurs internes partagent une adresse MAC et que les deux routeurs externes partagent une adresse MAC. Lorsqu’un membre de la grappe sur le site 1 transfère une connexion à un membre du site 2, l’adresse MAC de destination est conservée. Le paquet n’atteindra le routeur du site 2 que si l’adresse MAC est la même que celle du routeur du site 1.

  • Pour le mode transparent, si la grappe est placée entre les réseaux de données et le routeur de passerelle de chaque site pour le pare-feu entre les réseaux internes (AKA insertion est-ouest), chaque routeur de passerelle doit utiliser un protocole FHRP (First Hop Redundancy Protocol) comme HSRP pour fournir des destinations d’adresses IP et MAC virtuelles identiques sur chaque site. Les VLAN de données sont étendus à l’ensemble des sites à l’aide de la virtualisation du transport par superposition (OTV), ou d’un outil similaire. Vous devez créer des filtres pour empêcher le trafic destiné au routeur de la passerelle local d’être envoyé à l’autre site sur DCI. Si le routeur de la passerelle devient inaccessible sur un site, vous devez supprimer les filtres pour que le trafic puisse atteindre la passerelle de l’autre site.

  • Pour le mode transparent, si la grappe est connectée à un routeur HSRP, vous devez ajouter l’adresse MAC HSRP du routeur en tant qu’entrée de tableau d’adresses MAC statiques sur ASA (voir Ajouter une adresse MAC statique pour les groupes de ponts). Lorsque des routeurs adjacents utilisent HSRP, le trafic destiné à l’adresse IP HSRP sera envoyé à l’adresse MAC HSRP, mais le trafic retour proviendra de l’adresse MAC de l’interface d’un routeur particulier dans la paire HSRP. Par conséquent, le tableau d’adresses MAC ASA n’est généralement mis à jour que lorsque l’entrée du tableau ARP ASA pour l’adresse IP HSRP expire et que l'ASA envoie une demande ARP et reçoit une réponse. Étant donné que les entrées du tableau ARP de l'ASA expirent après 14 400 secondes par défaut, mais que l’entrée du tableau d’adresses MAC expire après 300 secondes par défaut, une entrée d’adresse MAC statique est requise pour éviter les pertes de trafic liées à l’expiration du tableau.

  • Pour le mode routé à l’aide de l’EtherChannel étendu, configurez les adresses MAC propres au site. Étendre les VLAN de données à tous les sites à l’aide d’OTV ou d’un outil similaire. Vous devez créer des filtres pour empêcher le trafic destiné à l’adresse MAC globale d’être envoyé à l’autre site par DCI. Si la grappe devient inaccessible sur un site, vous devez supprimer les filtres pour que le trafic puisse atteindre les nœuds de la grappe de l’autre site. Le routage dynamique n’est pas pris en charge lorsqu’une grappe inter-sites sert de routeur de premier saut pour un segment étendu.

Directives supplémentaires

  • Lorsque des modifications de topologie surviennent (par exemple, ajout ou suppression d’une interface de données, activation ou désactivation d’une interface sur le pare-feu ou le commutateur, ajout d’un commutateur supplémentaire pour former un VSS, vPC, StackWise, ou StackWise Virtual), vous devez désactiver le contrôle d’intégrité et désactiver la surveillance d’interface pour les interfaces désactivées. Lorsque la modification de la topologie est terminée et que la modification de la configuration est synchronisée avec toutes les unités, vous pouvez réactiver le contrôle d’intégrité.

  • Lors de l’ajout d’une unité à une grappe existante ou lors du rechargement d’une unité, il se produira une perte temporaire et limitée de paquets ou de connexion; c’est un comportement attendu. Dans certains cas, les paquets abandonnés peuvent bloquer votre connexion; par exemple, la suppression d’un paquet FIN/ACK pour une connexion FTP entraînera le blocage du client FTP. Dans ce cas, vous devez rétablir la connexion FTP.

  • Si vous utilisez un serveur Windows 2003 connecté à un EtherChannel étendu, lorsque le port du serveur de journal système est en panne et que le serveur ne gère pas les messages d’erreur ICMP, un grand nombre de messages ICMP sont renvoyés à la grappe. Ces messages peuvent faire en sorte que certaines unités de la grappe connaissent un niveau élevé de CPU, ce qui peut affecter les performances. Nous vous recommandons de limiter les messages d’erreur ICMP.

  • Il faut du temps pour répliquer les modifications sur toutes les unités d’une grappe. Si vous apportez une modification importante, par exemple, ajouter une règle de contrôle d’accès qui utilise des groupes d’objets (qui, lorsqu’ils sont déployés, sont divisés en plusieurs règles), le temps nécessaire pour effectuer la modification peut dépasser le délai d’expiration des unités de la grappe avec un message de réussite. Si cela se produit, vous pourriez voir le message « Échec de la réplication de la commande ». Vous pouvez ignorer le message.

Valeurs par défaut pour la mise en grappe

  • Lorsque vous utilisez des EtherChannels étendus, l’ID système cLACP est généré automatiquement et la priorité du système est 1 par défaut.

  • La fonction de vérification de l’intégrité de la grappe est activée par défaut avec un délai d’attente de 3 secondes. La surveillance de l’intégrité des interfaces est activée sur toutes les interfaces par défaut.

  • La fonction de jonction automatique de la grappe en cas d’échec de la liaison de commande de grappe offre des tentatives illimitées toutes les 5 minutes.

  • La fonction de jonction automatique de la grappe pour une interface de données défaillante effectue 3 essais toutes les 5 minutes, l’intervalle croissant étant fixé à 2.

  • Le rééquilibrage de la connexion est désactivé par défaut. Si vous activez le rééquilibrage de la connexion, l’intervalle par défaut entre les échanges d’informations de chargement est de 5 secondes.

  • Un délai de duplication de connexion de 5 secondes est activé par défaut pour le trafic HTTP.

Configurer la mise en grappe ASA

Pour configurer la mise en grappe, effectuez les tâches suivantes.


Remarque

Pour activer ou désactiver la mise en grappe, vous devez utiliser une connexion de console (pour l’interface de ligne de commande) ou une connexion ASDM.

Sauvegarder vos configurations (conseillé)

Lorsque vous activez la mise en grappe sur une unité de données, la configuration actuelle est remplacée par une configuration synchronisée à partir de l’unité active. Si vous souhaitez quitter complètement la grappe, il peut être utile d’avoir une configuration de sauvegarde avec une configuration d’interface de gestion utilisable.

Avant de commencer

Effectuez une sauvegarde sur chaque unité.

Procédure

Étape 1

Choisissez Tools (Outils) > Backup Configurations (Configurations de sauvegarde).

Étape 2

Sauvegardez au moins la configuration en cours d’exécution. Consultez Sauvegarde et restauration de configurations ou d’autres fichiers pour connaître la procédure détaillée.

Câbler les unités et configurer les interfaces

Avant de configurer la mise en grappe, câblez le réseau de liaisons de commande de grappe, le réseau de gestion et les réseaux de données. Configurez ensuite vos interfaces.

Interfaces de grappe

Vous pouvez configurer les interfaces de données EtherChannels étendus .

Chaque unité doit également dédier au moins une interface matérielle comme liaison de commande de grappe.

Liaison de commande de la grappe

Une liaison de contrôle de grappe est une interface matérielle dédiée qui permet la communication entre les unités de grappe et prend en charge la coordination du fonctionnement de la grappe.

Chaque unité doit dédier au moins une interface matérielle comme liaison de commande de grappe. Nous vous recommandons d’utiliser un EtherChannel pour le lien de commande de grappe, si disponible.

Présentation du trafic de liaison de commande de grappe

Le trafic de liaison de commande de grappe comprend à la fois un trafic de contrôle et un trafic de données.

Le trafic de contrôle comprend :

  • Choix du nœud de contrôle.

  • Duplication de la configuration.

  • Surveillance de l'intégrité

Le trafic de données comprend :

  • Duplication de l’état.

  • Requêtes de propriété de connexion et transfert de paquets de données.

Interfaces et réseau de la liaison de commande de grappe

Vous pouvez utiliser n’importe quelle interface de données pour la liaison de commande de grappe, avec les exceptions suivantes :

  • Vous ne pouvez pas utiliser une sous-interface VLAN comme liaison de commande de grappe.

  • Vous ne pouvez pas utiliser une interface de gestion Management x/x comme liaison de commande de grappe, seule ou en tant qu’EtherChannel.

Vous pouvez utiliser un EtherChannel.

Chaque liaison de commande de grappe possède une adresse IP sur le même sous-réseau. Ce sous-réseau doit être isolé de tout autre trafic et ne doit inclure que les interfaces de liaison de commande de grappe ASA.

Pour une grappe de deux membres, ne connectez pas directement la liaison de commande de grappe d’un nœud ASA à l’autre ASA. Si vous connectez directement les interfaces, lorsqu’une unité tombe en panne, la liaison de commande de grappe tombe en panne, et donc l’unité intègre restante. Si vous connectez la liaison de commande de grappe par l’intermédiaire d’un commutateur, cette dernière reste active pour l’unité intègre.

Dimensionnement de la liaison de commande de grappe

Le trafic de liaison de commande de grappe est principalement composé de mises à jour d’état et de paquets transférés. Le volume de trafic varie à un moment donné sur la liaison de commande de grappe. La quantité de trafic transféré dépend de l’efficacité de l’équilibrage de la charge et de l’importance du trafic pour les fonctionnalités centralisées.

Par exemple :

  • La NAT entraîne un mauvais équilibrage de la charge des connexions et la nécessité de rééquilibrer tout le trafic de retour vers les bonnes unités.

  • L’AAA pour l’accès réseau est une fonctionnalité centralisée, de sorte que tout le trafic est acheminé à l’unité de contrôle.

  • Lorsque les membres changent, la grappe doit rééquilibrer un grand nombre de connexions, utilisant ainsi temporairement une grande quantité de bande passante de la liaison de commande de grappe.

Une liaison de commande de grappe à bande passante plus élevée aide la grappe à converger plus rapidement lorsque les membres changent et empêche les goulots d’étranglement.


Remarque

Si votre grappe génère un trafic asymétrique (rééquilibreur) important, vous devez augmenter la taille du lien de commande de grappe.

Redondance de la liaison de commande de la grappe

Nous vous recommandons d’utiliser un EtherChannel pour la liaison de commande de la grappe, afin de pouvoir transférer le trafic sur plusieurs liaisons de l’EtherChannel tout en assurant la redondance.

Le diagramme suivant montre comment utiliser un EtherChannel comme liaison de commande de la grappe dans un système de commutation virtuelle (VSS), un canal de port virtuel (vPC), un StackWise ou un environnement StackWise Virtual. Tous les liens de l’EtherChannel sont actifs. Lorsque le commutateur fait partie d’un système redondant, vous pouvez connecter des interfaces de pare-feu dans le même EtherChannel pour séparer les commutateurs du système redondant. Les interfaces des commutateurs sont membres de la même interface de canal de port EtherChannel, car les commutateurs distincts se comportent comme un seul commutateur. Notez qu’il s’agit d’un EtherChannel local au périphérique et non d’un EtherChannel étendu.

Schéma d’une liaison de commande de grappe EtherChannel avec toutes les liaisons actives sur deux commutateurs dans une paire VSS, vPC, StackWise ou StackWise Virtual
Fiabilité de la liaison de commande de grappe pour la mise en grappe

Pour assurer la fonctionnalité de la liaison de commande de grappe, vérifiez que le temps aller-retour (RTT) entre les unités est inférieur à 20 ms. Cette latence maximale améliore la compatibilité avec les membres de la grappe installés à différents sites géographiques. Pour vérifier votre latence, envoyez un message Ping sur la liaison de commande de grappe entre les unités.

La liaison de commande de grappe doit être fiable, sans paquets en désordre ou abandonnés; par exemple, pour un déploiement intersite, vous devez utiliser un lien dédié.

Échec de la liaison de commande de grappe

Si le protocole de liaison de commande de grappe tombe en panne pour une unité, la mise en grappe est désactivée; les interfaces de données sont fermées. Après avoir corrigé la liaison de commande de grappe, vous devez rejoindre manuellement la grappe en réactivant la mise en grappe.


Remarque

Lorsque l’ASA devient inactif, toutes les interfaces de données sont fermées; seule l’interface de gestion uniquement peut envoyer et recevoir du trafic. L’interface de gestion reste active en utilisant l’adresse IP que l’unité a reçue de l’ensemble d’adresses IP de la grappe. Cependant, si vous rechargez et que l’unité est toujours inactive dans la grappe, l’interface de gestion n’est pas accessible (car elle utilise alors l’adresse IP principale, qui est la même que l’unité de contrôle). Vous devez utiliser le port de console pour toute autre configuration.

EtherChannels étendus

Vous pouvez regrouper une ou plusieurs interfaces par châssis dans un EtherChannel qui s’étend sur tous les châssis de la grappe. L’EtherChannel agrège le trafic sur toutes les interfaces actives disponibles dans le canal.

Un EtherChannel étendu peut être configuré dans les modes de pare-feu avec routage et transparent. En mode routé, l’EtherChannel est configuré comme une interface routée avec une seule adresse IP. En mode transparent, l’adresse IP est attribuée aux BVI, et non à l’interface du membre du groupe de ponts.

L’EtherChannel assure intrinsèquement l’équilibrage de la charge dans le cadre du fonctionnement de base.

Lignes directrices pour le débit maximal

Pour obtenir un débit maximal, suivez les directives suivantes :

  • Utilisez un algorithme de hachage pour l’équilibrage de la charge qui est « symétrique », ce qui signifie que les paquets des deux directions auront le même hachage et seront envoyés au même ASA dans l’EtherChannel étendu. Nous vous recommandons d’utiliser l’adresse IP source et de destination (par défaut) ou les ports source et destination comme algorithme de hachage.

  • Utilisez le même type de cartes de ligne lors de la connexion des ASAau commutateur afin que les algorithmes de hachage appliqués à tous les paquets soient les mêmes.

Équilibrage de charge

Le lien EtherChannel est sélectionné à l’aide d’un algorithme de hachage propriétaire, en fonction des adresses IP source ou de destination et des numéros de ports TCP et UDP.


Remarque

Sur le commutateur, nous vous recommandons d’utiliser l’un des algorithmes suivants : source-dest-IP ou source-dest-IP -port (consultez la commande d’équilibrage de la charge du canal de port du système d’exploitation Cisco Nexus ou Cisco IOS). N’utilisez pas le mot clé vlan dans l’algorithme d’équilibrage de charges, car cela pourrait entraîner une répartition inégale du trafic vers les nœuds d’une grappe.

Le nombre de liaisons dans l’EtherChannel affecte l’équilibrage de la charge.

L’équilibrage de charge symétrique n’est pas toujours possible. Si vous configurez la NAT, les paquets de transfert et de retour auront des adresses IP et/ou des ports différents. Le trafic de retour sera envoyé vers une autre unité en fonction du hachage, et la grappe devra rediriger la majeure partie du trafic de retour vers la bonne unité.

Redondance EtherChannel

L’EtherChannel a une redondance intégrée. Il surveille l’état du protocole de ligne de toutes les liaisons. Si une liaison échoue, le trafic est rééquilibré entre les liaisons restantes. Si tous les liens de l’EtherChannel échouent sur une unité particulière, mais que d’autres unités sont toujours actives, cette unité est supprimée de la grappe.

Connexion à un système de commutateurs redondants

Vous pouvez inclure plusieurs interfaces pour chaque ASA dans l’EtherChannel étendu. Plusieurs interfaces par ASA sont particulièrement utiles pour la connexion aux deux commutateurs dans un système VSS, vPC, StackWise ou StackWise Virtual.

Selon vos commutateurs, vous pouvez configurer jusqu’à 32 liens actifs dans l’EtherChannel étendu. Cette fonctionnalité nécessite que les deux commutateurs du vPC prennent en charge les canaux EtherChannels avec 16 liens actifs chacun (par exemple, le module Cisco Nexus 7000 avec le module Ethernet de 10 Gigabit de la gamme F2).

Pour les commutateurs qui prennent en charge 8 liens actifs dans l’EtherChannel, vous pouvez configurer jusqu’à 16 liens actifs dans l’EtherChannel étendu lors de la connexion à deux commutateurs dans un système redondant.

La figure suivante montre un EtherChannel de 16 liens actifs dans une grappe de 4 nœuds et une grappe de 8 nœuds.

Le diagramme illustre la configuration d’un EtherChannel étendu à 32 liens actifs se connectant à un système de commutation redondant, en mettant en évidence les fonctionnalités d’agrégation de liaisons et de redondance.

Câbler les unités de grappe et configurer les équipements en amont et en aval

Avant de configurer la mise en grappe, câblez le réseau de liaisons de commande de grappe, le réseau de gestion et les réseaux de données.

Procédure

Étape 1

Câblez le réseau de liaisons de commande de grappe, le réseau de gestion et les réseaux de données.


Remarque

Au minimum, un réseau de liaison de commande de grappe actif est requis avant de configurer les nœuds pour qu’ils se joignent à la grappe.

Étape 2

Vous devez également configurer les équipements en amont et en aval. Par exemple, si vous utilisez des EtherChannels, vous devez configurer les équipements en amont et en aval pour les EtherChannels.

Configurer le mode d’interface de grappe sur l’unité de contrôle

Avant d’activer la mise en grappe, vous devez convertir le pare-feu pour utiliser les EtherChannels étendus. Étant donné que la mise en grappe limite les types d’interfaces que vous pouvez utiliser, ce processus vous permet de vérifier votre configuration existante pour détecter les interfaces incompatibles, puis vous empêche de configurer des interfaces non prises en charge.


Remarque

Si vous n’ajoutez pas d’unités de données à partir de l’unité de contrôle, vous devez définir le mode d’interface manuellement sur toutes les unités conformément à cette section, pas seulement sur l’unité de contrôle; si vous ajoutez des unités secondaires à partir de l’unité de contrôle, ASDM définit automatiquement le mode d’interface sur l’unité de données.

Avant de commencer

  • Vous pouvez toujours configurer l’interface de gestion uniquement en tant qu’interface individuelle (conseillé). L’interface de gestion peut être une interface individuelle même en mode de pare-feu transparent.

  • si vous configurez l’interface de gestion en tant qu’interface individuelle, vous ne pouvez pas activer le routage dynamique pour l’interface de gestion. Vous devez utiliser une route statique.

Procédure

Étape 1

Dans ASDM sur l’unité de contrôle, choisissez Tools (Outils) > Command Line Interface (Interface de ligne de commande).Affichez toute configuration incompatible afin de pouvoir forcer le mode d’interface et corriger votre configuration ultérieurement; le mode n’est pas modifié avec cette commande :

cluster interface-mode spanned check-details

Exemple:

Mise en garde

Après avoir défini le mode d’interface, vous pouvez continuer à vous connecter à l’interface. Cependant, si vous rechargez l’ASA avant de configurer votre interface de gestion pour respecter les exigences de la mise en grappe (par exemple, l’ajout d’un ensemble d’adresses IP de grappe), vous ne pourrez pas vous reconnecter, car la configuration d’interface incompatible avec la grappe est supprimée. Dans ce cas, vous devrez vous connecter au port de console pour corriger la configuration d’interface.

Étape 2

Définissez le mode d’interface pour la mise en grappe :

cluster interface-mode spanned force

Exemple:

Il n’y a pas de paramètres par défaut; vous devez choisir explicitement le mode. Si vous n’avez pas défini le mode, vous ne pouvez pas activer la mise en grappe.

L’option force change le mode sans vérifier si votre configuration comporte des paramètres incompatibles. Vous devez résoudre manuellement tous les problèmes de configuration après avoir changé de mode. Étant donné que toute configuration d’interface ne peut être corrigée qu’après avoir défini le mode, nous vous conseillons d’utiliser l’option force afin de pouvoir au moins partir de la configuration existante. Vous pouvez réexécuter l’option check-details après avoir défini le mode pour obtenir plus de conseils.

Sans l’option force, en cas de configuration incompatible, vous êtes invité à effacer votre configuration et à la recharger, ce qui vous obligera à vous connecter au port de console pour reconfigurer votre accès de gestion. Si votre configuration est compatible (ce qui est rare), le mode est modifié et la configuration est conservée. Si vous ne souhaitez pas effacer votre configuration, vous pouvez quitter la commande en tapant n.

Pour supprimer le mode d’interface, saisissez la commande no cluster interface-mode.

Étape 3

Quittez ASDM et rechargez. ASDM doit être redémarré pour prendre correctement en compte le mode d’interface de la grappe. Après le rechargement, vous verrez l’onglet ASA Cluster (Grappe ASA) sur la page d’accueil :

(Recommandé; requis en mode de contexte multiple) Configurer les interfaces sur le nœud de contrôle

Vous devez modifier toute interface actuellement configurée avec une adresse IP pour qu'elle soit prête pour la grappe avant d'activer la mise en grappe. Vous devez au minimum modifier l’interface de gestion à laquelle ASDM est actuellement connecté. Pour les autres interfaces, vous pouvez les configurer avant ou après avoir activé la mise en grappe; nous vous recommandons de préconfigurer toutes vos interfaces afin que la configuration complète soit synchronisée avec les nouveaux membres de la grappe. En mode de contexte multiple, vous devez utiliser les procédures de cette section pour réparer les interfaces existantes ou pour configurer de nouvelles interfaces. Cependant, en mode unique, vous pouvez ignorer cette section et configurer les paramètres d’interface communs dans l’assistant de haute disponibilité et d’évolutivité (voir Créer ou joindre une grappe à l'aide de l'assistant de haute disponibilité). Notez que les paramètres d’interface avancés tels que la création des canaux EtherChannels pour les interfaces individuelles ne sont pas disponibles dans l’assistant.

Cette section décrit comment configurer les interfaces pour qu’elles soient compatibles avec la mise en grappe.

Configurer l’interface de gestion en tant qu’interface individuelle

Les interfaces individuelles sont des interfaces de routage normales, chacune ayant sa propre adresse IP prise dans un ensemble d’adresses IP. L’adresse IP de la grappe principale est une adresse fixe pour la grappe qui appartient toujours au nœud de contrôle.

nous conseillons de configurer l’interface de gestion en tant qu’interface individuelle. Les interfaces de gestion individuelles vous permettent de vous connecter directement à chaque unité si nécessaire, tandis qu’une interface EtherChannel étendue permet uniquement la connexion au nœud de contrôle.

Avant de commencer

  • Pour le mode de contexte multiple, effectuez cette procédure dans chaque contexte. SI vous n’êtes pas déjà en mode de configuration du contexte, dans le volet Configuration > Device List (Liste des périphériques) et double-cliquez sur le nom du contexte sous l’adresse IP du périphérique actif.

  • (Facultatif) Configurez l’interface en tant qu’interface EtherChannel locale du périphérique et/ou configurez les sous-interfaces.

    • Dans le cas d’un EtherChannel, celui-ci est local à l’unité et n’est pas un EtherChannel étendu.

  • Si vous vous connectez à distance à l’interface de gestion à l’aide d’ASDM, l’adresse IP actuelle des unités secondaires potentielles est à usage temporaire.

    • Une adresse IP sera attribuée à chaque membre dans l’ensemble d’adresses IP de la grappe défini sur l’unité principale.

    • L’ensemble d’adresses IP de la grappe ne peut pas inclure des adresses déjà utilisées sur le réseau, y compris de potentielles adresses IP secondaires.

      Par exemple :

      1. Vous configurez l’unité principale pour qu’elle utilise 10.1.1.1.

      2. Les autres unités utilisent 10.1.1.2, 10.1.1.3 et 10.1.1.4.

      3. Lorsque vous configurez l’ensemble d’adresses IP de la grappe sur l’unité principale, vous ne pouvez pas inclure les adresses .2, .3 ou .4 dans l’ensemble, car elles sont déjà utilisées.

      4. Vous devez plutôt utiliser d’autres adresses IP sur le réseau, telles que .5, .6, .7 et .8.


        Remarque

        L’ensemble a besoin d’autant d’adresses qu’il y a de membres dans la grappe, y compris l’unité principale; l’adresse .1 d’origine est l’adresse IP principale de la grappe qui appartient à l’unité principale actuelle.

      5. Après avoir rejoint la grappe, les anciennes adresses temporaires sont abandonnées et peuvent être utilisées ailleurs.

Procédure

Étape 1

Choisissez Configuration > Device Setup (Configuration de l’appareil) > Interface Settings (Paramètres d’interface) > Interfaces.

Étape 2

Choisissez la ligne d’interface, puis cliquez sur modifier (Edit). Définissez les paramètres d’interface. Consultez les consignes suivantes :

  • Dédiez cette interface à la gestion uniquement : définit l’interface en mode gestion uniquement afin qu’elle ne transmette pas de trafic. Par défaut, les interfaces de type de gestion sont configurées en tant que gestion uniquement. En mode transparent, cette commande est toujours activée pour une interface de type de gestion.

  • Use Static IP (Utiliser l’IP statique) : les protocoles DHCP et PPPoE ne sont pas pris en charge.

Étape 3

Pour ajouter l’ensemble d’adresses IP de la grappe IPv4, l’ensemble d’adresses MAC et les adresses MAC spécifiques au site, cliquez sur l’onglet Advanced (Avancé) et définissez les paramètres de la zone ASA Cluster (Grappe ASA).

  1. Créez un ensemble d’adresses IP de grappe en cliquant sur le bouton … à côté du champ IP Address Pool (Ensemble d’adresses IP). La plage valide affichée est déterminée par l’adresse IP principale que vous avez définie dans l’onglet General (Général).

  2. Cliquez sur Add (ajouter).

  3. Configurez une plage d’adresses qui ne comprend pas l’adresse IP principale de la grappe et qui n’inclut aucune adresse actuellement utilisée sur votre réseau. Vous devez définir une plage suffisamment large pour la taille de la grappe, par exemple, 8 adresses.

  4. Cliquez sur OK pour créer le nouvel ensemble.

  5. Sélectionnez le nouvel ensemble que vous avez créé, cliquez sur Assign (Affecter), puis cliquez sur OK.

    Le nom de l’ensemble apparaît dans le champ IP Address Pool (Ensemble d’adresses IP).

  6. (Facultatif) (Facultatif) Configurez un MAC Address Pool (Ensemble d’adresses MAC) si vous souhaitez configurer manuellement des adresses MAC.

Étape 4

Pour configurer une adresse IPv6, cliquez sur l’onglet IPv6.

  1. Cochez la case Enable IPv6 (activer IPv6).

  2. Dans la zone Interface IPv6 Addresses (Adresses IPv6 de l’interface), cliquez sur Add (Ajouter).

    L’option Enable address autoconfiguration (Activer l’autoconfiguration de l’adresse) n’est pas prise en charge. La configuration manuelle de l’adresse Link-Local n’est pas non plus prise en charge.

    La boîte de dialogue Add IPv6 Address for Interface (ajouter une adresse IPv6 pour l’interface) s’affiche.

  3. Dans le champ Address/Prefix Length (Longueur d’adresse/préfixe), saisissez l’adresse IPv6 globale et la longueur du préfixe IPv6. Par exemple : 2001:0DB8::BA98:0:3210/48.

  4. Cliquez sur le bouton ... pour configurer l’ensemble d’adresses IP de la grappe.

  5. Cliquez sur Add (ajouter).

  6. Configurez l’adresse IP de départ (préfixe de réseau), la longueur du préfixe et le nombre d’adresses dans le groupe d’adresses.

  7. Cliquez sur OK pour créer le nouvel ensemble.

  8. Sélectionnez le nouvel ensemble que vous avez créé, cliquez sur Assign (Affecter), puis cliquez sur OK.

    Le groupe apparaît dans le champ ASA Cluster IP Pool (Ensemble d’adresses IP de grappe ASA).

  9. Cliquez sur OK.

Étape 5

Cliquez sur OK pour revenir au volet Interfaces.

Étape 6

Cliquez sur Apply (Appliquer).

Configurer des EtherChannel étendus

Un EtherChannel étendu couvre tous les ASA de la grappe et assure l’équilibrage de charges dans le cadre de l’opération EtherChannel.

Avant de commencer

  • Vous devez être en mode d’interface EtherChannel étendu.

  • Pour le mode de contexte multiple, commencez cette procédure dans l’espace d’exécution du système. Si vous n’êtes pas déjà en mode de configuration système dans le volet Configuration > Device List (Liste des périphériques) et double-cliquez sur System (Système) sous l’adresse IP du périphérique actif.

  • Pour le mode transparent, configurez le groupe de ponts. Voir Configurer la BVI (Bridge Virtual Interface).

  • Lorsque vous utilisez des EtherChannels étendus, l’interface du canal de port ne s’affiche pas tant que la mise en grappe n’est pas complètement activée. Cette exigence empêche le trafic d’être transféré vers une unité qui n’est pas une unité active dans la grappe.

Procédure

Étape 1

Selon votre mode de contexte :

  • Pour le mode unique, choisissez le volet Configuration > Device Setup (Configuration de l’appareil) > Interface Settings (Paramètres d’interface) > Interfaces.

  • Pour le mode multiple dans l’espace d’exécution du système, choisissez le volet Configuration > Context Management (Gestion des contextes) > Interfaces .

Étape 2

Choisissez Add > EtherChannel Interface (Ajouter une interface EthernetChannel).

La boîte de dialogue Add EtherChannel Interface (Ajouter une interface EtherChannel) apparaît.

Étape 3

Activez les éléments suivants :

  • Port Channel ID (ID du canal de port)

  • Enable Interface (Activer l’interface) (coché par défaut)

  • Members in Group (Membres du groupe) : dans la liste Members in Group (Membres du groupe), vous devez ajouter au moins une interface. Les interfaces multiples dans l’EtherChannel par unité sont utiles pour se connecter à des commutateurs dans un VSS, vPC, StackWise ou StackWise Virtual.

    Vérifiez que toutes les interfaces sont du même type et ont la même vitesse. La première interface que vous ajoutez détermine le type et la vitesse de l’EtherChannel. Toutes les interfaces non correspondantes que vous ajoutez seront mises à l’état suspendu. ASDM ne vous empêche pas d’ajouter des interfaces non correspondantes.

Les autres champs de cet écran sont décrits plus loin au cours de cette procédure.

Étape 4

Pour configurer l’adresse MAC et les paramètres facultatifs, cliquez sur l’onglet Advanced (Avancé).

  • Dans la zone MAC Address Cloning (Clonage de l’adresse MAC), définissez une adresse MAC globale manuelle pour l’EtherChannel. Ne définissez pas l’adresse MAC en veille; elle est ignorée. Vous devez configurer une adresse MAC pour un EtherChannel étendu afin d’éviter d’éventuels problèmes de connectivité au réseau. Dans le cas d’une adresse MAC configurée manuellement, l’adresse MAC reste celle de l’unité de contrôle actuelle. Si vous ne configurez pas d’adresse MAC, si l’unité de contrôle change, la nouvelle unité de contrôle utilisera une nouvelle adresse MAC pour l’interface, ce qui peut provoquer une panne temporaire du réseau.

    En mode de contexte multiple, si vous partagez une interface entre les contextes, vous devez plutôt activer la génération automatique des adresses MAC pour ne pas avoir à définir l’adresse MAC manuellement. Notez que vous devez configurer manuellement l’adresse MAC à l’aide de cette commande pour les interfaces non partagées.

  • (Mode routé) Dans la zone ASA Cluster (Grappe ASA), pour la mise en grappe inter-sites, définissez Site specific MAC Addresses (Adresses MAC spécifiques au site) pour un site en cliquant sur Add (Ajouter) et en spécifiant une adresse MAC et une adresse IP pour l’ID de site (1 à 8). Répétez l’opération pour un maximum de 8 sites. Les adresses IP spécifiques au site doivent se trouver sur le même sous-réseau que l’adresse IP globale. L’adresse MAC spécifique au site et l’adresse IP utilisées par une unité dépendent de l’ID de site que vous spécifiez dans la configuration de démarrage de chaque unité.

Étape 5

(Facultatif) Configurez les sous-interfaces VLAN sur cet EtherChannel. Le reste de cette procédure s’applique aux sous-interfaces.

Étape 6

(Mode de contexte multiple) Avant de terminer cette procédure, vous devez attribuer des interfaces aux contextes.

  1. Cliquez sur OK pour accepter vos modifications.

  2. Allouez les interfaces.

  3. Passez au contexte que vous souhaitez configurer : dans le volet Device List (Liste des périphériques), double-cliquez sur le nom du contexte sous l’adresse IP du périphérique actif.

  4. Choisissez le volet Configuration > Device Setup (Configuration de l’appareil) > Interface Settings (Paramètres d’interface) > Interfaces, sélectionnez l’interface de canal de port que vous souhaitez personnaliser, puis cliquez sur Edit(Modifier).

    La boîte de dialogue Edit Interface (Modifier l’interface) s’affiche.

Étape 7

Cliquez sur l’onglet General (Général).

Étape 8

(Mode transparent) Dans la liste déroulante Bridge Group (Groupe de ponts), choisissez le groupe de ponts auquel vous souhaitez affecter cette interface.

Étape 9

Dans le champ Interface Name (Nom d’interface), saisissez un nom renfermant au maximum 48 caractères.

Étape 10

Dans le champ Security level (Niveau de sécurité), saisissez un niveau compris entre 0 (le plus bas) et 100 (le plus élevé).

Étape 11

(Mode routé) Pour une adresse IPv4, cliquez sur le bouton radio Use Static IP (Utiliser l’adresse IP statique) et saisissez l’adresse IP et le masque. Les protocoles DHCP et PPPoE ne sont pas pris en charge. Pour les connexions point à point, vous pouvez spécifier un filtre d’adresse locale de 31 bits (255.255.255.254). Dans ce cas, aucune adresse IP n'est réservée pour les adresses de réseau ou de diffusion. Pour le mode transparent, vous configurez l’adresse IP de l’interface de groupe de ponts, et non de l’interface EtherChannel.

Étape 12

(Mode routé) Pour configurer une adresse IPv6, cliquez sur l’onglet IPv6.

Pour le mode transparent, vous configurez l’adresse IP de l’interface de groupe de ponts, et non de l’interface EtherChannel.

  1. Cochez la case Enable IPv6 (Activer IPv6).

  2. Dans la zone Interface IPv6 Addresses (Adresses IPv6 de l’interface), cliquez sur Add (Ajouter).

    La boîte de dialogue Add IPv6 Address for Interface (ajouter une adresse IPv6 pour l’interface) s’affiche.


    Remarque

    L’option Enable address autoconfiguration (Activer l’autoconfiguration de l’adresse) n’est pas prise en charge. La configuration manuelle de l’adresse Link-Local n’est pas non plus prise en charge.

  3. Dans le champ Address/Prefix Length (Longueur d’adresse/préfixe), saisissez l’adresse IPv6 globale et la longueur du préfixe IPv6. Par exemple, 2001:DB8::BA98:0:3210/64.

  4. (Facultatif) Pour utiliser l’ID d'interface EUI-64 modifié comme adresse d’hôte, cochez la case EUI-64. Dans ce cas, saisissez le préfixe dans le champ Address/Prefix Length (Longueur d’adresse/préfixe).

  5. Cliquez sur OK.

Étape 13

Cliquez sur OK pour revenir à l’écran Interfaces.

Étape 14

Cliquez sur Apply (Appliquer).

Créer ou joindre une grappe à l'aide de l'assistant de haute disponibilité

Chaque nœud de la grappe nécessite une configuration de démarrage pour rejoindre la grappe. Exécutez l’assistant de haute disponibilité et évolutivité sur un nœud (qui deviendra le nœud de contrôle) pour créer la grappe, puis ajoutez-y des nœuds de données.


Remarque

L’assistant ne vous permet pas de modifier l’ID système cLACP par défaut et la priorité, qui ne peuvent être configurés que lorsque la mise en grappe est désactivée. Utilisez donc l’assistant puis désactivez la mise en grappe par la suite, ou consultez Configurer les paramètres de grappe ASA de base pour configurer la grappe manuellement.

Avant de commencer

  • Pour le mode de contexte multiple, effectuez cette procédure dans l’espace d’exécution du système. Si vous n'êtes pas déjà en mode de configuration système, dans le panneau Configuration > Device List (Liste des périphériques), double-cliquez sur System (Système).

  • Les interfaces que vous comptez utiliser pour l’interface de liaison de commande de grappe doivent être à l’état activées sur le commutateur connecté.

  • Lorsque vous ajoutez un nœud à une grappe en cours d’exécution, il se peut que vous constatiez des interruptions temporaires et limitées de paquets/connexions; c’est un comportement prévu.

Procédure

Étape 1

Sélectionnez Wizards (assistants) > High Availability and Scalability Wizard (assistant de haute disponibilité et d’évolutivité). Consultez les instructions relatives à l’assistant dans les étapes suivantes.

Étape 2

Dans l’écran Interfaces, vous ne pouvez pas créer de nouveaux canaux EtherChannels à partir de cet écran (à l’exception de la liaison de commande de grappe).

Étape 3

Dans l’écran ASA Cluster Configuration (Configuration de la grappe ASA), configurez les paramètres de démarrage, notamment :

  • Member Priority (Priorité des membres)— Définit la priorité de ce nœud pour les élections du nœud de contrôle, entre 1 et 100, où 1 est la priorité la plus élevée.

  • Index du site — Si vous utilisez la mise en grappe intersites, définissez l’ID de l’établissement pour ce nœud afin qu’il utilise une adresse MAC particulière à l’établissement, entre 1 et 8.

  • (Facultatif) Shared Key (Clé partagée) : Définit une clé de chiffrement pour le trafic de contrôle sur la liaison de commande de grappe. Le secret partagé est une chaîne ASCII comptant de 1 à 63 caractères. Le secret partagé est utilisé pour générer la clé de chiffrement. Ce paramètre n’influe pas sur le trafic datapath, y compris sur la mise à jour de l’état de connexion et les paquets transférés, qui sont toujours envoyés en clair. Vous devez configurer ce paramètre si vous activez également le service de chiffrement du mot de passe.

  • (Facultatif) Enable connection rebalancing for TCP traffic across all the ASAs in the cluster (Activer le rééquilibrage de connexion pour le trafic TCP sur tous les ASA de la grappe) : permet de rééquilibrer la connexion. Le paramètre par défaut de ce filtre est désactivé. Si cette option est activée, les ASA d’une grappe échangent périodiquement des informations de chargement et déchargent les nouvelles connexions des appareils plus chargés vers les appareils moins chargés. La fréquence, comprise entre 1 et 360 secondes, spécifie la fréquence à laquelle les informations de chargement sont échangées. Ce paramètre ne fait pas partie de la configuration de démarrage, et est répliqué du nœud de contrôle aux nœuds de données.


    Remarque

    Ne configurez pas le rééquilibrage de connexion pour les topologies inter-sites; il ne faut pas que les connexions soient rééquilibrées entre les membres de la grappe sur un site différent.

  • (Facultatif) Enable health monitoring of this device within the cluster (Activer la surveillance de l’intégrité de ce périphérique au sein de la grappe) : active la fonction de vérification de l’intégrité des nœuds de la grappe. Pour déterminer l’intégrité des nœuds, les nœuds de la grappe ASA envoient des messages heartbeat keepaliveheartbeat sur la liaison de commande de grappe aux autres nœuds. Si un nœud ne reçoit pas de messages heartbeat d’un nœud homologue pendant la période d’attente, le nœud homologue est considéré comme non réactif ou mort.


    Remarque

    Lorsque des modifications de topologie surviennent (par exemple, ajout ou suppression d’une interface de données, activation ou désactivation d’une interface sur l’ASA ou le commutateur, ajout d’un commutateur supplémentaire pour former un VSS ou un vPC), vous devez désactiver le contrôle d’intégrité et désactiver la surveillance d’interface pour les interfaces désactivées. Lorsque la modification de la topologie est terminée et que le changement de configuration est synchronisé avec tous les nœuds, vous pouvez réactiver le contrôle de l’intégrité.

    • Time to Wait Before Device Considered Failed (Temps d’attente avant que l’appareil ne soit reconnu comme défaillant) : cette valeur détermine la durée entre les messages d’état keepalive du nœud, entre .3 et 45 secondes; la valeur par défaut est de 3 secondes.

    • (Facultatif) Broadcast keepalive messages to all EtherChannel cluster control link ports for VSS/vPC support (Diffuser des messages keepalive sur tous les ports de liaison de commande grappe EtherChannel pour la prise en charge de VSS/vPC) : si vous configurez la liaison de commande de grappe comme EtherChannel (recommandé) et qu’il est connecté à une paire VSS ou vPC, vous devrez peut-être activer cette option. Pour certains commutateurs, lorsqu’un nœud du VSS/vPC s’arrête ou démarre, les interfaces membres d’EtherChannel connectées à ce commutateur peuvent sembler être en ligne avec l'ASA, mais elles ne font pas passer de trafic du côté du commutateur. L'ASA peut être supprimé par erreur de la grappe si vous définissez le délai d’attente ASA selon une faible valeur (par exemple 0,8 seconde) et qu’il envoie des messages heartbeat sur l’une des interfaces EtherChannel. Lorsque vous activez cette option, l’ASA envoie des messages heartbeat sur toutes les interfaces EtherChannel dans la liaison de commande de grappe pour s’assurer qu’au moins l’un des commutateurs peut les recevoir.

  • (Facultatif) Replicate console output (Répliquer l’extrant de la console) : permet la réplication de la console des nœuds de données vers le nœud de contrôle. Par défaut, cette fonction est désactivée. L’ASA peut imprimer certains messages directement sur la console pour certains événements critiques. Si vous activez la réplication de la console, les nœuds de données envoient les messages de la console au nœud de contrôle de sorte que vous ne devez surveiller qu’un seul port de console pour la grappe. Ce paramètre ne fait pas partie de la configuration de démarrage, et est répliqué du nœud de contrôle aux nœuds de données.

  • Cluster Control Link (Liaison de commande de grappe) : spécifie l’interface de liaison de commande de grappe.

    • MTU : spécifie le nœud de transmission maximal pour l’interface de liaison de commande de grappe qui doit être supérieur d’au moins 100 octets au MTU le plus élevé des interfaces de données, entre 1 400 et 9 198 octets, mais pas entre 2 561 et 8 362. En raison de la gestion du groupe de blocs, cette taille MTU n’est pas optimale pour le fonctionnement du système. Par défaut, la MTU est de 1500 octets.nous vous suggérons de régler le MTU au maximum. Étant donné que le trafic de liaison de commande de grappe comprend le transfert de paquets de données, la liaison de commande de grappe doit prendre en charge toute la taille d’un paquet de données plus la surcharge de trafic de grappe. Par exemple, comme la MTU maximale est de 9198 octets, la MTU de l’interface de données la plus élevée peut s’établir à 9098, tandis que la liaison de commande de grappe peut être définie sur 9198.

Étape 4

Sur l’écran Interfaces for Health Monitoring (Interfaces de contrôle d’intégrité), vous pouvez exempter certaines interfaces de la surveillance en cas d’échec. Vous pouvez désactiver la surveillance de l’intégrité des interfaces non essentielles, par exemple, l’interface de gestion.


Remarque

Lorsque des modifications de topologie surviennent (par exemple, ajout ou suppression d’une interface de données, activation ou désactivation d’une interface sur l’ASA ou le commutateur, ajout d’un commutateur supplémentaire pour former un VSS ou un vPC), vous devez désactiver le contrôle d’intégrité et désactiver la surveillance d’interface pour les interfaces désactivées. Lorsque la modification de la topologie est terminée et que le changement de configuration est synchronisé avec tous les nœuds, vous pouvez réactiver le contrôle de l’intégrité.

Étape 5

Dans l’écran Interface Auto Rejoin settings (Paramètres de la jonction automatique de l’interface), personnalisez les paramètres de la jonction automatique en cas de défaillance de l’interface ou de la liaison de commande de grappe. Pour chaque type, vous pouvez définir les paramètres suivants :

  • Maximum Rejoin Attempts (Nombre maximal de tentatives de jonction) : Permet de définir le nombre de tentatives de jonction à la grappe en sélectionnant Unlimited (Illimité) ou une valeur comprise entre 0 et 65 535. 0 désactive la jonction automatique. La valeur par défaut est Unlimited (Illimité) pour l’interface de grappe et 3 pour l’interface de données.

  • Rejoin Interval (Intervalle de jonction) : permet de définir la durée de l’intervalle en minutes entre les tentatives de jonction en sélectionnant un intervalle entre 2 et 60. La valeur par défaut est 5 minutes. Le temps total maximum pendant lequel le nœud tente de rejoindre la grappe est limité à 14400 minutes (10 jours) à partir du moment de la dernière défaillance.

  • Interval Variation (Variation de l’intervalle) : définit si la durée de l'intervalle augmente en définissant la variation d’intervalle entre 1 et 3 : 1 (pas de changement); 2 (2 x la durée précédente) ou 3 (3 x la durée précédente). Par exemple, si vous définissez la durée de l’intervalle à 5 minutes et la variation à 2, la première tentative survient après 5 minutes; la deuxième tentative, après 10 minutes (2 x 5); la troisième tentative, après 20 minutes (2 x 10), etc. La valeur par défaut est 1 pour l’interface de grappe et 2 pour l’interface de données.

Étape 6

Cliquez sur Finish (Terminer).

Étape 7

L’ASA analyse la configuration en cours à la recherche de commandes incompatibles, en vue de cerner des fonctionnalités qui ne sont pas prises en charge avec la grappe, y compris les commandes pouvant être présentes dans la configuration par défaut. Cliquez sur OK pour supprimer les commandes incompatibles. Si vous cliquez sur Cancel (annuler), la mise en grappe n'est pas activée.

Après un certain temps, pendant qu’ASDM active la mise en grappe et se reconnecte à l’ASA, l’écran d’information apparaît pour confirmer que l’ASA a été ajouté à la grappe.


Remarque

Dans certains cas, il se peut qu’une erreur se produise lors de la connexion à la grappe, une fois que le processus de l’assistant est terminé. Si ASDM a été déconnecté, ASDM ne recevra aucune erreur subséquente de l’ASA. Si la mise en grappe demeure désactivée après la reconnexion d'ASDM, vous devez vous connecter au port de console d’ASA pour déterminer la condition d'erreur exacte qui a désactivé la mise en grappe; par exemple, la liaison de commande de grappe peut être inactive.

Étape 8

Pour ajouter un nœud de données, cliquez sur Yes (oui).

Si vous réexécutez l'assistant à partir du nœud de contrôle, vous pouvez ajouter des nœuds de données en choisissant l'option Add another member to the cluster (ajouter un autre membre à la grappe) lorsque vous lancez l'assistant pour la première fois.

Étape 9

Dans la zone des options de déploiement (Deployment Options), choisissez l’une des options suivantes (Deploy By) :

  • Envoi de commandes de l'interface de ligne de commande à l'unité distante maintenant— Envoi de la configuration de démarrage à l'adresse IP de gestion du nœud de données (temporaire). Saisissez l'adresse IP de gestion du nœud de données, le nom d'utilisateur et le mot de passe.

  • Copie des commandes de l'interface de ligne de commande générées pour les coller manuellement sur l'unité distante— génère les commandes afin que vous puissiez les couper et les coller sur l'interface de commande du nœud de données ou à l'aide de l'outil de l'interface de ligne de commande dans ASDM. Dans la zone des commandes à déployer, sélectionnez et copiez les commandes générées pour une utilisation ultérieure.

Personnaliser l’opération de mise en grappe

Vous pouvez personnaliser la surveillance de l’intégrité de la mise en grappe, le délai de réplication de la connexion TCP, la mobilité des flux et d’autres optimisations.

Exécutez ces procédures sur le nœud de contrôle.

Configurer les paramètres de grappe ASA de base

Vous pouvez personnaliser les paramètres de grappe sur le nœud de contrôle. Si vous n’utilisez pas l’assistant pour ajouter un nœud à la grappe, vous pouvez configurer les paramètres de grappe manuellement. Si vous avez déjà activé la mise en grappe, vous pouvez modifier certains paramètres de grappe; d’autres qui ne peuvent pas être modifiés lorsque la mise en grappe est activée sont grisés. Cette procédure inclut également les paramètres avancés qui ne sont pas inclus dans l’assistant.

Pour les paramètres qui ne peuvent être modifiés que lorsque la mise en grappe est désactivée, vous devez désactiver la mise en grappe sur tous les nœuds, puis la réactiver, ce qui nécessite un accès à l’interface de ligne de commande de la console.

Avant de commencer

  • Si vous n’avez pas utilisé l’assistant et que vous souhaitez joindre manuellement la grappe, vous devez préconfigurer les interfaces de liaison de commande de grappe sur chaque nœud avant de joindre la grappe. Pour une interface unique, vous devez l’activer; ne configurez aucun autre paramètre. Pour une interface EtherChannel, activez-la et définissez le mode EtherChannel sur Activé.

  • Pour le mode de contexte multiple, effectuez cette procédure dans l’espace d’exécution du système sur le nœud de contrôle. Si vous n’êtes pas déjà en mode de configuration système, dans le volet Configuration > Device List (Liste des périphériques), double-cliquez sur System (Système) sous l’adresse IP du périphérique actif.

Procédure

Étape 1

Choisissez Configuration > Device Management (Gestion des périphériques) > High Availability and Scalability (Haute disponibilité et évolutivité) > ASA Cluster (Grappe ASA).

Si votre périphérique est déjà dans la grappe et qu’il s’agit du nœud de contrôle, ce volet se trouve dans l’onglet Cluster Configuration (Configuration de la grappe).

Illustration 1. Configuration de grappe
Configuration de la grappe

Étape 2

Si la mise en grappe a déjà été activée et que vous souhaitez configurer les paramètres grisés, désactivez la mise en grappe sur tous les nœuds.

Lorsqu’un ASA devient inactif, toutes les interfaces de données sont fermées; seule l’interface de gestion uniquement peut envoyer et recevoir du trafic. L’interface de gestion reste active en utilisant l’adresse IP que le nœud a reçue de l’ensemble d’adresses IP de la grappe, et non l’adresse IP principale.

  1. Vous pouvez afficher l’adresse IP locale du nœud de contrôle en cliquant sur l’onglet Cluster Members (Membres de la grappe). Vous devrez vous reconnecter à cette adresse après avoir désactivé la mise en grappe; veuillez donc noter l’adresse IP du nœud de contrôle.

    Illustration 2. Adresse IP de gestion du nœud de contrôle
    Supprimer un nœud

  2. Dans l’onglet Cluster Members (Membres de la grappe), sélectionnez chaque nœud de données, puis cliquez sur Delete (Supprimer).

    Illustration 3. Supprimer un nœud
    Supprimer un nœud

    La configuration de démarrage du nœud de données reste inchangée afin que vous puissiez rajouter le nœud de données ultérieurement sans perdre votre configuration.

  3. Dans l’onglet Cluster Configuration (Configuration de la grappe), décochez la case Participate in ASA cluster (Participer à la grappe ASA), puis cliquez sur Apply (Appliquer).

    Vous serez déconnecté d’ASDM.

  4. Reconnectez ASDM à l’adresse IP locale du nœud de contrôle.

  5. Poursuivez vos modifications conformément au reste de cette procédure. Pour configurer chaque nœud de données afin qu’il joigne la grappe après la fin de cette procédure, vous pouvez soit ajouter chaque nœud en tant que nouveau nœud, soit accéder au port de console de chaque nœud de données et réactiver la mise en grappe au niveau de l’interface de ligne de commande.

    Exemple:
    
node2(config)# cluster group cluster1
node2(cfg-cluster)# enable

Étape 3

Cochez la case Configure ASA cluster settings (Configurer les paramètres de grappe ASA).

Si vous décochez la case, les paramètres sont effacés. Ne cochez pas Participate in ASA cluster (Participer à la grappe ASA) avant d’avoir défini tous vos paramètres.


Remarque

Après avoir activé la mise en grappe, ne décochez pas la case Configure ASA cluster settings (Configurer les paramètres de grappe ASA) sans comprendre les conséquences. Cette action efface toute la configuration de la grappe et désactive également toutes les interfaces, y compris l’interface de gestion à laquelle ASDM est connecté. Pour rétablir la connectivité dans ce cas, vous devez accéder à l’interface de ligne de commande au niveau du port de console.

Étape 4

Configurez les paramètres de démarrage suivants :

  • Cluster Name (Nom de la grappe) : nomme la grappe. Le nom doit être une chaîne ASCII comptant de 1 à 38 caractères. Vous ne pouvez configurer qu’une seule grappe par nœud. Tous les membres de la grappe doivent utiliser le même nom.

  • Member Name (Nom de membre) : nomme ce membre de la grappe avec une chaîne ASCII unique de 1 à 38 caractères.

  • Member Priority (Priorité des membres) : définit la priorité de ce nœud pour les élections du nœud de contrôle, entre 1 et 100, où 1 est la priorité la plus élevée.

  • Index du site : si vous utilisez la mise en grappe inter-sites, définissez l’ID de site pour ce nœud afin qu’il utilise une adresse MAC propre au site, entre 1 et 8.

  • (Facultatif) Site Periodic GARP (GARP périodique du site) : l’ASA génère des paquets ARP gratuits (GARP) pour maintenir l’infrastructure de commutation à jour : le membre ayant la priorité la plus élevée sur chaque site génère périodiquement du trafic GARP pour les adresses MAC et IP globales. Le GARP est activé par défaut lorsque vous définissez l’ID de site pour chaque nœud et l’adresse MAC et IP du site pour chaque EtherChannel étendu. Définissez l’intervalle GARP entre 1 et 1 000 000 secondes. La valeur par défaut est de 290 secondes.

    Lorsque vous utilisez des adresses MAC et IP par site, les paquets provenant de la grappe utilisent une adresse MAC et une adresse IP propres au site, tandis que les paquets reçus par la grappe utilisent une adresse MAC et une adresse IP globales. Si le trafic n’est pas généré périodiquement à partir de l’adresse MAC globale, vous pourriez rencontrer un délai d’expiration de l’adresse MAC sur vos commutateurs pour l’adresse MAC globale. Après un délai d’expiration, le trafic destiné à l’adresse MAC globale sera inondé dans l’ensemble de l’infrastructure de commutation, ce qui peut entraîner des problèmes de performance et de sécurité.

  • (Facultatif) Shared Key (Clé partagée) : définit une clé de chiffrement pour le trafic de contrôle sur la liaison de commande de grappe. Le secret partagé est une chaîne ASCII comptant de 1 à 63 caractères. Le secret partagé est utilisé pour générer la clé de chiffrement. Ce paramètre n’influe pas sur le trafic datapath, y compris sur la mise à jour de l’état de connexion et les paquets transférés, qui sont toujours envoyés en clair. Vous devez configurer ce paramètre si vous activez également le service de chiffrement du mot de passe.

  • (Facultatif) Enable connection rebalancing for TCP traffic across all the ASAs in the cluster (Activer le rééquilibrage de connexion pour le trafic TCP sur tous les ASA de la grappe) : permet de rééquilibrer la connexion. Le paramètre par défaut de ce filtre est désactivé. Ce paramètre ne fait pas partie de la configuration de démarrage, et est répliqué du nœud de contrôle aux nœuds de données. Si cette option est activée, les ASA échangent périodiquement des renseignements sur les connexions par seconde et déchargent les nouvelles connexions des appareils ayant plus de connexions par seconde vers les appareils moins chargés. Les connexions existantes ne sont jamais déplacées. De plus, comme cette commande rééquilibre uniquement en fonction des connexions par seconde, le nombre total de connexions établies sur chaque nœud n’est pas pris en compte, et le nombre total de connexions peut ne pas être égal. La fréquence, comprise entre 1 et 360 secondes, spécifie la fréquence à laquelle les informations de chargement sont échangées. La valeur par défaut est de 5 secondes.

    Une fois qu’une connexion est déchargée sur un autre nœud, elle devient une connexion asymétrique.

    Ne configurez pas le rééquilibrage de connexion pour les topologies inter-sites; il ne faut pas que les nouvelles connexions soient rééquilibrées entre les membres de la grappe sur un site différent.

  • Enable cluster load monitor (Activer le moniteur de charge de la grappe) : vous pouvez superviser la charge de trafic pour les membres de la grappe, y compris le nombre total de connexions, l’utilisation du CPU et de la mémoire, ainsi que les abandons de tampon. Si la charge est trop élevée, vous pouvez choisir de désactiver manuellement la mise en grappe sur le nœud si les nœuds restants peuvent gérer la charge ou de régler l’équilibrage de charges sur le commutateur externe. Cette fonction est activée par défaut. Vous pouvez superviser périodiquement la charge de trafic. Si la charge est trop élevée, vous pouvez choisir de désactiver manuellement la mise en grappe sur le nœud.

    Définissez les paramètres suivants :

    • Time Interval (Intervalle de temps) : définit le temps en secondes entre les messages de supervision, entre 10 et 360 secondes. La valeur par défaut est de 20 secondes.

    • Number of Intervals (Nombre d’intervalles) : définit le nombre d’intervalles pour lesquels l’ASA conserve les données, entre 1 et 60. La valeur par défaut est 30.

    Consultez Monitoring (Supervision) > ASA Cluster (Grappe ASA) > Cluster Load-Monitoring (Supervision de la charge de la grappe) pour afficher la charge de trafic.

  • (Facultatif) Enable health monitoring of this device within the cluster (Activer la surveillance de l’intégrité de ce périphérique dans la grappe) : active la fonctionnalité de vérification de l’intégrité des nœuds de la grappe et détermine le temps entre les messages d’état heartbeat des nœuds, entre 0,3 et 45 secondes; la valeur par défaut est de 3 secondes. Remarque : lorsque vous ajoutez de nouveaux nœuds à la grappe et apportez des modifications de topologie à l’ASA ou au commutateur, vous devez désactiver temporairement cette fonctionnalité jusqu’à ce que la grappe soit terminée et désactiver la supervision d’interface pour les interfaces désactivées (Configuration > Device Management [Gestion des périphériques] > High Availability and Scalability [Haute disponibilité et évolutivité] > ASA Cluster [Grappe ASA] > Cluster Interface Health Monitoring [Surveillance de l’intégrité de l’interface de grappe]). Vous pouvez réactiver cette fonctionnalité une fois les modifications apportées à la grappe et à la topologie terminées. Pour déterminer l’intégrité des nœuds, les nœuds de la grappe ASA envoient des messages heartbeat keepaliveheartbeat sur la liaison de commande de grappe aux autres nœuds. Si un nœud ne reçoit pas de messages heartbeat d’un nœud homologue pendant la période d’attente, le nœud homologue est considéré comme non réactif ou mort.

    • (Facultatif) Broadcast keepalive messages to all EtherChannel cluster control link ports for VSS/vPC support (Diffuser des messages keepalive sur tous les ports de liaison de commande grappe EtherChannel pour la prise en charge de VSS/vPC) : si vous configurez la liaison de commande de grappe comme EtherChannel (recommandé) et qu’il est connecté à une paire VSS ou vPC, vous devrez peut-être activer cette option. Pour certains commutateurs, lorsqu’un nœud du VSS/vPC s’arrête ou démarre, les interfaces membres d’EtherChannel connectées à ce commutateur peuvent sembler être en ligne avec l'ASA, mais elles ne font pas passer de trafic du côté du commutateur. L'ASA peut être supprimé par erreur de la grappe si vous définissez le délai d’attente ASA selon une faible valeur (par exemple 0,8 seconde) et qu’il envoie des messages heartbeat sur l’une des interfaces EtherChannel. Lorsque vous activez cette option, l’ASA envoie des messages heartbeat sur toutes les interfaces EtherChannel dans la liaison de commande de grappe pour s’assurer qu’au moins l’un des commutateurs peut les recevoir.

  • (Facultatif) Debounce Time (Délai antirebond) : configure le délai antirebond avant que l’ASA considère une interface comme défaillante et que le nœud ne soit supprimé de la grappe. Cette fonctionnalité permet une détection plus rapide des défaillances d’interface. Notez que la configuration d’un délai antirebond inférieur augmente les risques de faux positifs. Lorsqu’une mise à jour d’état d’interface se produit, l’ASA attend le nombre de millisecondes spécifié avant de marquer l’interface comme en échec, et le nœud est supprimé de la grappe. Dans le cas d’un EtherChannel qui passe d’un état inactif à un état opérationnel (par exemple, le commutateur a rechargé ou le commutateur a activé un EtherChannel), un délai antirebond plus long peut empêcher l’interface de sembler être défaillante sur un nœud de la grappe simplement parce qu’un autre nœud de la grappe a été plus rapide à regrouper les ports. Le délai antirebond par défaut est de 500 ms, avec une plage de 300 ms à 9 secondes.

  • (Facultatif) Replicate console output (Répliquer l’extrant de la console) : permet la réplication de la console des nœuds de données vers le nœud de contrôle. Par défaut, cette fonction est désactivée. L’ASA peut imprimer certains messages directement sur la console pour certains événements critiques. Si vous activez la réplication de la console, les nœuds de données envoient les messages de la console au nœud de contrôle de sorte que vous ne devez surveiller qu’un seul port de console pour la grappe. Ce paramètre ne fait pas partie de la configuration de démarrage, et est répliqué du nœud de contrôle aux nœuds de données.

  • (Facultatif) Enable Clustering Flow Mobility (Activer la mobilité des flux de grappes). Consultez Configurer l’inspection LISP.

  • (Facultatif) Enable Director Localization for inter-DC cluster (Activer la localisation de directeur pour la grappe inter-DC) : pour améliorer les performances et réduire la latence d’aller-retour dans le cas de la mise en grappe inter-sites pour les centres de données, vous pouvez activer la localisation de directeur. Les nouvelles connexions sont généralement équilibrées et appartiennent aux membres de la grappe d’un site donné. Cependant, l’ASA attribue le rôle de directeur à un membre sur n’importe quel site. La localisation du directeur permet des rôles de directeur supplémentaires : un directeur local sur le même site que le propriétaire et un directeur global qui peut se trouver sur n’importe quel site. Le fait de garder le propriétaire et le directeur sur le même site améliore les performances. De plus, en cas de défaillance du propriétaire d’origine, le directeur local choisit un nouveau propriétaire de connexion sur le même site. Le directeur global est utilisé si un membre d’une grappe reçoit des paquets pour une connexion appartenant à un autre site.

  • (Facultatif) Site Redundancy (Redondance de site) : pour protéger les flux contre une défaillance de site, vous pouvez activer la redondance de site. Si le propriétaire de connexion de secours se trouve sur le même site que le propriétaire, un propriétaire de secours supplémentaire sera choisi dans un autre site pour protéger les flux d’une défaillance du site. La localisation de directeur et la redondance de site sont des fonctionnalités distinctes; vous pouvez configurer l’un ou l’autre, ou configurer les deux.

  • (Facultatif) Enable config sync acceleration (Activer l’accélération de la synchronisation de la configuration) : lorsqu’un nœud de données a la même configuration que le nœud de contrôle, il ignorera la synchronisation de la configuration et se joindra plus rapidement. Cette fonction est activée par défaut. Cette fonctionnalité est configurée sur chaque nœud et n’est pas répliquée du nœud de contrôle au nœud de données.


    Remarque

    Certaines commandes de configuration ne sont pas compatibles avec la jonction accélérée de grappes; si ces commandes sont présentes sur le nœud, même si la jonction accélérée de grappes est activée, la synchronisation de la configuration se produira toujours. Vous devez supprimer la configuration incompatible pour que la jonction accélérée de grappes fonctionne. Utilisez la commande show cluster info unit-join-acceleration incompatible-config pour afficher la configuration incompatible.

  • Enable parallel configuration replicate (Activer la réplication de configuration parallèle) : permet au nœud de contrôle de synchroniser les modifications de configuration avec les nœuds de données en parallèle. Sinon, la synchronisation a lieu de manière séquentielle et peut prendre plus de temps.

  • Cluster Control Link (Liaison de commande de grappe) : spécifie l’interface de liaison de commande de grappe. Aucun nom ne peut être configuré pour cette interface; les interfaces disponibles sont affichées dans la liste déroulante.

    • Interface : spécifie l’ID de l’interface, de préférence un EtherChannel. Les sous-interfaces et les interfaces de type de gestion ne sont pas autorisées.

    • IP Address (Adresse IP) : spécifie une adresse IPv4 pour l’adresse IP; IPv6 n’est pas pris en charge pour cette interface.

    • Subnet Mask (Filtre d’adresse locale) : spécifie le filtre d’adresse locale.

    • MTU— Spécifie le nœud de transmission maximal pour l’interface de liaison de commande de grappe qui doit être supérieur d’au moins 100 octets au MTU le plus élevé des interfaces de données, entre 1400 et 9198 octets. Par défaut, la MTU est de 1500 octets. Étant donné que le trafic de liaison de commande de grappe comprend le transfert de paquets de données, la liaison de commande de grappe doit prendre en charge toute la taille d’un paquet de données plus la surcharge de trafic de grappe. Nous vous suggérons de régler la MTU de liaison de commande de grappe au maximum de . Par exemple, comme la MTU maximale est de 9198 octets, la MTU de l’interface de données la plus élevée peut s’établir à 9098, tandis que la liaison de commande de grappe peut être définie sur 9198.

  • (Facultatif) Cluster LACP (LACP de grappe) : lorsqu’il utilise des EtherChannels étendus, l’ASA utilise cLACP pour négocier l’EtherChannel avec le commutateur voisin. Les ASA d’une grappe collaborent à la négociation du cLACP afin qu’ils apparaissent comme un seul périphérique (virtuel) pour le commutateur.

    • Virtual System MAC Address (Adresse MAC du système virtuel) : définit l’ID système cLACP, qui est au format d’une adresse MAC. Tous les ASA utilisent le même ID système : généré automatiquement par le nœud de contrôle (par défaut) et répliqué sur toutes les unités secondaires; ou spécifié manuellement sous le format H.H.H, où H est un chiffre hexadécimal de 16 bits. Par exemple, l'adresse MAC 00-0C-F1-42-4C-DE est saisie comme suit : 000C.F142.4CDE. Ce paramètre ne fait pas partie de la configuration de démarrage, et est répliqué du nœud de contrôle aux nœuds de données. Cependant, vous ne pouvez modifier cette valeur que si vous désactivez la mise en grappe.

    • System Priority (Priorité système) : définit la priorité système, entre 1 et 65535. La priorité est utilisée pour déterminer quel nœud est chargé de prendre une décision de regroupement. Par défaut, l’ASA utilise la priorité 1, qui est la priorité la plus élevée. La priorité doit être supérieure à celle du commutateur. Ce paramètre ne fait pas partie de la configuration de démarrage, et est répliqué du nœud de contrôle aux nœuds de données. Cependant, vous ne pouvez modifier cette valeur que si vous désactivez la mise en grappe.

Étape 5

Cochez la case Participate in ASA cluster (Participer à la grappe ASA) pour rejoindre la grappe.

Étape 6

Cliquez sur Apply (Appliquer).

Configurer les paramètres de surveillance de l’intégrité de l’interface et de jonction automatique

Vous pouvez désactiver la surveillance de l’intégrité des interfaces non essentielles, par exemple, l’interface de gestion. Vous pouvez superviser n’importe quel ID de canal de port, ID redondant ou ID d’interface physique unique. La surveillance de l’intégrité n’est pas effectuée sur les sous-interfaces VLAN ou les interfaces virtuelles telles que les VNI ou les BVI. Vous ne pouvez pas configurer la surveillance pour la liaison de commande de grappe; elle est toujours surveillée.

Procédure

Étape 1

Choisissez Configuration > Device Management (Gestion des périphériques) > High Availability and Scalability (Haute disponibilité et évolutivité) > ASA Cluster (Grappe ASA) > Cluster Interface Health Monitoring (Surveillance de l’intégrité de l’interface de grappe).

Étape 2

Dans la zone Monitored Interfaces (Interfaces surveillées), sélectionnez une interface et cliquez sur Add (Ajouter) pour la déplacer vers la zone Unmonitored Interfaces (Interfaces non surveillées).

Les messages d’état de l’interface détectent une défaillance de liaison. Si tous les ports physiques d’une interface logique donnée tombent en panne sur un nœud particulier, mais qu’il y a des ports actifs sous la même interface logique sur d’autres nœuds, le nœud est supprimé de la grappe. Si un nœud ne reçoit pas de messages d’état d’interface dans le délai de rétention, le temps avant que l’ASA ne supprime un membre de la grappe dépend du type d’interface et du fait que le nœud soit un membre établi ou en voie de se joindre à la grappe. Le contrôle de l’intégrité est activé par défaut pour toutes les interfaces.

Vous pouvez désactiver la surveillance de l’intégrité des interfaces non essentielles, par exemple, l’interface de gestion. Vous pouvez spécifier n’importe quel ID de canal de port, ID redondant ou ID d’interface physique unique. La surveillance de l’intégrité n’est pas effectuée sur les sous-interfaces VLAN ou les interfaces virtuelles telles que les VNI ou les BVI. Vous ne pouvez pas configurer la surveillance pour la liaison de commande de grappe; elle est toujours surveillée.

Lorsque des modifications de topologie surviennent (par exemple, ajout ou suppression d’une interface de données, activation ou désactivation d’une interface sur l’ASA ou le commutateur, ajout d’un commutateur supplémentaire pour former un VSS, vPC, StackWise ou StackWise Virtual), vous devez désactiver le contrôle d’intégrité (Configuration > Device Management (Gestion des périphériques) > High Availability and Scalability (Haute disponibilité et évolutivité) > ASA Cluster (Grappe ASA)) et désactiver la surveillance d’interface pour les interfaces désactivées. Lorsque la modification de la topologie est terminée et que la modification de la configuration est synchronisée avec tous les nœuds, vous pouvez réactiver le contrôle d’intégrité.

Étape 3

Cliquez sur l’onglet Auto Rejoin (Jonction automatique) pour personnaliser les paramètres de la jonction automatique en cas de défaillance de l’interface, du système ou de la liaison de commande de grappe. Pour chaque type, cliquez sur Edit (Modifier) pour définir les éléments suivants :

  • Maximum Rejoin Attempts (Nombre maximal de tentatives de jonction) : Permet de définir le nombre de tentatives de jonction à la grappe en sélectionnant Unlimited (Illimité) ou une valeur comprise entre 0 et 65 535. 0 désactive la jonction automatique. La valeur par défaut est Unlimited (Illimité) pour l’interface de grappe et 3 pour l’interface de données et le système.

  • Rejoin Interval (Intervalle de jonction) : permet de définir la durée de l’intervalle en minutes entre les tentatives de jonction en sélectionnant un intervalle entre 2 et 60. La valeur par défaut est 5 minutes. Le temps total maximum pendant lequel le nœud tente de rejoindre la grappe est limité à 14400 minutes (10 jours) à partir du moment de la dernière défaillance.

  • Interval Variation (Variation de l’intervalle) : définit si la durée de l'intervalle augmente en définissant la variation d’intervalle entre 1 et 3 : 1 (pas de changement); 2 (2 x la durée précédente) ou 3 (3 x la durée précédente). Par exemple, si vous définissez la durée de l’intervalle à 5 minutes et la variation à 2, la première tentative survient après 5 minutes; la deuxième tentative, après 10 minutes (2 x 5); la troisième tentative, après 20 minutes (2 x 10), etc. La valeur par défaut est 1 pour l’interface de grappe et 2 pour l’interface de données et le système.

Cliquez sur Restore Defaults pour rétablir les paramètres par défaut.

Étape 4

Cliquez sur Apply (Appliquer).

Configurer le délai de réplication TCP de la grappe

Activez le délai de réplication de la grappe pour les connexions TCP pour aider à éliminer le « travail inutile » lié aux flux de courte durée en retardant la création du flux directeur/de sauvegarde. Notez que si une unité tombe en panne avant la création du flux directeur/de sauvegarde, ces flux ne peuvent pas être récupérés. De même, si le trafic est rééquilibré vers une autre unité avant la création du flux, le flux ne peut pas être récupéré. Vous ne devez pas activer la réplication TCP pour le trafic sur lequel vous désactivez la répartition aléatoire TCP.

Procédure

Étape 1

Choisissez Configuration > Device Management (Gestion des périphériques) > High Availability and Scalability (Haute disponibilité et évolutivité) > ASA Cluster Replication (Réplication de la grappe ASA).

Étape 2

Cliquez sur Add (Ajouter) et réglez les valeurs suivantes :

  • Replication delay (Délai de réplication) : définissez les secondes entre 1 et 15.

  • HTTP : définissez le délai pour tout le trafic HTTP.

  • Critères de source

    • Source : définissez l’adresse IP source.

    • Service : (Facultatif) Définissez le port source. En général, vous définissez soit le port source, soit le port de destination, mais pas les deux.

  • Critères de destination

    • Source : définissez l’adresse IP de destination.

    • Service : (Facultatif) Définissez le port de destination. En général, vous définissez soit le port source, soit le port de destination, mais pas les deux.

Étape 3

Cliquez sur OK.

Étape 4

Cliquez sur Apply (Appliquer).

Configurer les fonctionnalités inter-sites

Pour la mise en grappe inter-sites, vous pouvez personnaliser votre configuration pour améliorer la redondance et la stabilité.

Configurer la mobilité des flux de grappes

Vous pouvez inspecter le trafic LISP pour activer la mobilité des flux lorsqu’un serveur se déplace entre les sites.

À propos de l’inspection LISP

Vous pouvez inspecter le trafic LISP pour activer la mobilité des flux entre les sites.

À propos de LISP

La mobilité des machines virtuelles de centres de données, comme VMware VMotion, permet aux serveurs de migrer entre les centres de données tout en maintenant les connexions avec les clients. Pour prendre en charge une telle mobilité de serveur de centre de données, les routeurs doivent être en mesure de mettre à jour la route d’entrée vers le serveur lorsqu’il se déplace. L’architecture Cisco Locator/Protocole de séparation d’ID (LISP) sépare l’identité du périphérique, ou l’identifiant de terminal (EID), de son emplacement, ou localisateur de routage, dans deux espaces de numérotation différents, ce qui rend la migration du serveur transparente pour les clients. Par exemple, lorsqu’un serveur est déplacé vers un nouveau site et qu’un client envoie du trafic vers le serveur, le routeur redirige le trafic vers le nouvel emplacement.

LISP nécessite des routeurs et des serveurs dans certains rôles, tels que le routeur de tunnel de sortie (ETR) LISP, le routeur de tunnel d’entrée (ITR), les routeurs de premier saut, le résolveur de carte (MR) et le serveur de carte (MS). Lorsque le routeur du premier saut du serveur détecte que le serveur est connecté à un autre routeur, il met à jour tous les autres routeurs et les bases de données afin que l’ITR connectée au client puisse intercepter, encapsuler et envoyer le trafic vers le nouvel emplacement du serveur.

Prise en charge du LISP ASA

L’ASA n’exécute pas le LISP lui-même; il peut, cependant, inspecter le trafic LISP pour détecter les changements d’emplacement, puis utiliser ces informations pour un fonctionnement de mise en grappe transparent. Sans l’intégration du LISP, lorsqu’un serveur est déplacé vers un nouveau site, le trafic est acheminé vers un membre de la grappe ASA sur le nouveau site plutôt que vers le propriétaire d’origine du flux. Le nouvel ASA transfère le trafic vers l’ASA au niveau de l’ancien site, puis l’ancien ASA doit renvoyer le trafic vers le nouveau site pour qu’il atteigne le serveur. Ce flux de trafic est sous-optimal et est connu comme « tromboning » ou « épingle à cheveux ».

Grâce à l’intégration du LISP, les membres de la grappe ASA peuvent inspecter le trafic LISP passant entre le routeur du premier saut et l’ETR ou l’ITR, puis peuvent changer le propriétaire du flux pour qu’il se trouve sur le nouveau site.

Lignes directrices LISP

  • Les membres de la grappe ASA doivent se trouver entre le routeur du premier saut et l’ITR ou l’ETR du site. La grappe ASA elle-même ne peut pas être le premier routeur de saut pour un segment étendu.

  • Seuls les flux entièrement distribués sont pris en charge; les flux centralisés, les flux semi-distribués ou les flux appartenant à des nœuds individuels ne sont pas transférés vers de nouveaux propriétaires. Les flux semi-distribués comprennent des applications, telles que SIP, où tous les flux enfants appartiennent au même ASA qui possède le flux parent.

  • La grappe déplace uniquement les états de flux de couche 3 et 4; certaines données d’application pourraient être perdues.

  • Pour les flux de courte durée ou non essentiels pour l’entreprise, le déplacement du propriétaire peut ne pas valoir la peine. Vous pouvez contrôler les types de trafic pris en charge avec cette fonctionnalité lorsque vous configurez la politique d’inspection. Vous devez limiter la mobilité de flux au trafic essentiel.

Mise en œuvre du LISP ASA

Cette fonctionnalité comprend plusieurs configurations interdépendantes (qui sont toutes décrites dans ce chapitre) :

  1. (Facultatif) Limiter les EID inspectés en fonction de l'adresse IP de l'hôte ou du serveur : le routeur de premier saut pourrait envoyer des messages de notification d’EID pour les hôtes ou les réseaux dans lesquels la grappe ASA n'est pas impliquée, vous pouvez donc limiter les EID à ces serveurs ou réseaux pertinents pour votre grappe. Par exemple, si la grappe ne concerne que 2 sites, mais que le LISP est exécuté sur 3 sites, vous ne devez inclure les EID que pour les 2 sites de la grappe.

  2. Inspection du trafic LISP : l’ASA inspecte le trafic LISP sur le port UDP 4342 pour détecter le message EID-notify envoyé entre le premier saut du routeur et l’ITR ou l’ETR. L’ASA gère un tableau EID qui met en corrélation l’EID et l’ID de site. Par exemple, vous devez inspecter le trafic LISP avec une adresse IP source du routeur du premier saut et une adresse de destination de l’ITR ou de l’ETR. Remarque : le trafic LISP n’a pas de directeur affecté et le trafic LISP en lui-même ne participe pas au partage de l’état de la grappe.

  3. Politique de service pour activer la mobilité des flux sur le trafic spécifié : vous devez activer la mobilité des flux sur le trafic critique. Par exemple, vous pouvez limiter la mobilité de flux au trafic HTTPS uniquement et/ou au trafic vers des serveurs spécifiques.

  4. ID de sites : l’ASA utilise l’ID de site pour chaque nœud de la grappe afin de déterminer le nouveau propriétaire.

  5. Configuration au niveau de la grappe pour activer la mobilité de flux : vous devez également activer la mobilité de flux au niveau de la grappe. Ce bouton bascule marche/arrêt vous permet d’activer ou de désactiver facilement la mobilité de flux pour une classe particulière de trafic ou d’applications.

Configurer l’inspection LISP

Vous pouvez inspecter le trafic LISP pour activer la mobilité des flux lorsqu’un serveur se déplace entre les sites.

Avant de commencer

  • Affectez chaque unité de grappe à un ID de site en fonction de Configurer les paramètres de grappe ASA de base.

  • Le trafic LISP n’est pas inclus dans la classe de trafic d’inspection par défaut. Vous devez donc configurer une classe distincte pour le trafic LISP dans le cadre de cette procédure.

Procédure

Étape 1

(Facultatif) Configurez une carte d’inspection LISP pour limiter les EID inspectés en fonction de l’adresse IP et pour configurer la clé partagée LISP :

  1. Choisissez Configuration > Firewall (Pare-feu) > Objects (Objets) > Inspect Maps (Cartes d’inspection) > LISP.

  2. Cliquez sur Add (Ajouter) pour ajouter une nouvelle carte.

  3. Saisissez un nom (40 caractères maximum) et une description.

  4. Pour la commande Allowed-EID access-list, cliquez sur Manage (Gérer).

    Le gestionnaire ACL s’ouvre.

    Le routeur de premier saut ou l’ITR/ETR pourrait envoyer des messages de notification d’EID pour les hôtes ou les réseaux dans lesquels la grappe ASA n’est pas impliquée; vous pouvez donc limiter les EID à ces serveurs ou réseaux pertinents pour votre grappe. Par exemple, si la grappe ne concerne que 2 sites, mais que le LISP est exécuté sur 3 sites, vous ne devez inclure les EID que pour les 2 sites de la grappe.

  5. Ajoutez une ACL avec au moins un ACE en fonction du guide de configuration du pare-feu.

  6. Si nécessaire, saisissez la Validation Key (Clé de validation).

    Si vous avez copié une clé chiffrée, cliquez sur le bouton radio Encrypted (Chiffré).

  7. Cliquez sur OK.

Étape 2

Ajoutez une règle de politique de service pour configurer l’inspection LISP :

  1. Choisissez Configuration > Firewall (Pare-feu) > Service Policy Rules (Règles de politique de service).

  2. Cliquez sur Add (ajouter).

  3. Dans la page Service Policy (Politique de service), appliquez la règle à une interface ou globalement.

    Si vous avez une politique de service existante que vous souhaitez utiliser, ajoutez une règle à cette politique. Par défaut, l’ASA comprend une politique globale appelée global_policy. Vous pouvez également créer une politique de service par interface si vous ne souhaitez pas appliquer la politique à l’échelle mondiale. L’inspection LISP est appliquée au trafic de manière bidirectionnelle, vous n’avez donc pas besoin d’appliquer la politique de service sur les interfaces source et de destination; tout le trafic qui entre ou sort de l’interface à laquelle vous appliquez la règle est affecté si le trafic correspond à la carte dans les deux sens.

  4. Sur la page Traffic Classification Criteria (Critères de classification du trafic), cliquez sur Create a new traffic class (Créer une nouvelle classe de trafic), et sous Traffic Match Criteria (Critères de correspondance du trafic), cochez la case Source and Destination IP Address (uses ACL) (Adresse IP source et de destination (utilise ACL)).

  5. Cliquez sur Next (suivant).

  6. Spécifiez le trafic que vous souhaitez inspecter. Vous devez spécifier le trafic entre le routeur de premier saut et l’ITR ou l’ETR sur le port UDP 4342. Les ACL IPv4 et IPv6 sont acceptées.

  7. Cliquez sur Next (suivant).

  8. Sur la page ou l’onglet de l’assistant Rule Actions (Actions de règles), sélectionnez l’onglet Protocol Inspection (Inspection du protocole).

  9. Cochez la case LISP.

  10. (Facultatif) Cliquez sur Configure (Configurer) pour choisir la carte d’inspection que vous avez créée.

  11. Cliquez sur Finish (Terminer) pour enregistrer la règle de politique de service.

Étape 3

Ajoutez une règle de politique de service pour activer la mobilité des flux pour le trafic critique :

  1. Choisissez Configuration > Firewall (Pare-feu) > Service Policy Rules (Règles de politique de service).

  2. Cliquez sur Add (ajouter).

  3. Sur la page Service Policy (Politique de service), choisissez la même politique de service que vous avez utilisée pour l’inspection LISP.

  4. Sur la page Traffic Classification Criteria (Critères de classification du trafic), cliquez sur Create a new traffic class (Créer une nouvelle classe de trafic), et sous Traffic Match Criteria (Critères de correspondance du trafic), cochez la case Source and Destination IP Address (uses ACL) (Adresse IP source et de destination (utilise ACL)).

  5. Cliquez sur Next (suivant).

  6. Spécifiez le trafic opérationnel critique que vous souhaitez réaffecter au site le plus optimal lorsque les serveurs changent de site. Par exemple, vous pouvez limiter la mobilité de flux au trafic HTTPS uniquement et/ou au trafic vers des serveurs spécifiques. Les ACL IPv4 et IPv6 sont acceptées.

  7. Cliquez sur Next (suivant).

  8. Sur la page ou l’onglet de l’assistant Rule Actions (Actions de règles), sélectionnez l’onglet Cluster (Grappe).

  9. Cochez la case Enable Cluster flow-mobility triggered by LISP EID messages (Activer la mobilité des flux de grappe déclenchée par les messages LISP EID).

  10. Cliquez sur Finish (Terminer) pour enregistrer la règle de politique de service.

Étape 4

Choisissez Configuration > Device Management (Gestion des périphériques) > High Availability and Scalability (Haute disponibilité et évolutivité) > ASA Cluster (Grappe ASA) > Cluster Configuration (Configuration de la grappe) > et cochez la case Enable Clustering flow mobility (Activer la mobilité des flux de la grappe).

Étape 5

Cliquez sur Apply (Appliquer).

Gérer les nœuds de la grappe

Après avoir déployé la grappe, vous pouvez modifier la configuration et gérer les nœuds de cette dernière.

Ajouter un nouveau nœud de données à partir du nœud de contrôle

Vous pouvez ajouter des nœuds de données supplémentaires à la grappe à partir du nœud de contrôle. Vous pouvez également ajouter des nœuds de données à l’aide de l’assistant de haute disponibilité et d’évolutivité. L’ajout d’un nœud de données à partir du nœud de contrôle a l’avantage de configurer la liaison de commande de grappe et de définir le mode d’interface de grappe sur chaque nœud de données que vous ajoutez.

Vous pouvez également vous connecter au nœud de données et configurer la mise en grappe directement sur ce dernier. Cependant, après avoir activé la mise en grappe, votre session ASDM sera déconnectée et vous devrez vous reconnecter.

Avant de commencer

  • Pour le mode de contexte multiple, effectuez cette procédure dans l’espace d’exécution du système. Si vous n'êtes pas déjà en mode de configuration système, dans le panneau Configuration > Device List (Liste des périphériques), double-cliquez sur System (Système).

  • Si vous souhaitez envoyer la configuration de démarrage sur le réseau de gestion, assurez-vous que le nœud de données a une adresse IP accessible.

Procédure

Étape 1

Choisissez Configuration > Device Management (Gestion des périphériques) > High Availability and Scalability (Haute disponibilité et évolutivité) > ASA Cluster (Grappe ASA) > Cluster Members (Membres de la grappe).

Étape 2

Cliquez sur Add (ajouter).

Étape 3

Configurez selon les paramètres suivants :

  • Member Name (Nom de membre) : nomme ce membre de la grappe avec une chaîne ASCII unique de 1 à 38 caractères.

  • Member Priority (Priorité des membres) : définit la priorité de ce nœud pour les élections du nœud de contrôle, entre 1 et 100, où 1 est la priorité la plus élevée.

  • Cluster Control Link > IP Address (Liaison de commande de grappe > Adresse IP) : spécifie une adresse IP unique pour ce membre pour la liaison de commande de grappe, sur le même réseau que la liaison de commande de grappe du nœud de contrôle.

  • Dans la zone Deployment Options (Options de déploiement), choisissez l’une des options Deploy By (Déployer par) suivantes :

    • Sending CLI commands to the remote unit now (Envoi des commandes de l’interface de ligne de commande vers l’unité distante maintenant) : permet d’envoyer la configuration de démarrage à l’adresse IP de gestion (temporaire) de l’unité de données. Saisissez l'adresse IP de gestion du nœud de données, le nom d'utilisateur et le mot de passe.

    • Copie des commandes de l'interface de ligne de commande générées pour les coller manuellement sur l'unité distante— génère les commandes afin que vous puissiez les couper et les coller sur l'interface de commande du nœud de données ou à l'aide de l'outil de l'interface de ligne de commande dans ASDM. Dans la zone des commandes à déployer, sélectionnez et copiez les commandes générées pour une utilisation ultérieure.

Étape 4

Cliquez sur OK, puis sur Apply (Appliquer).

Devenir un nœud inactif

Pour devenir un membre inactif de la grappe, désactivez la mise en grappe sur le nœud tout en laissant intacte la configuration de mise en grappe.


Remarque

Lorsqu’un ASA devient inactif (soit manuellement, soit à la suite d’un échec du contrôle d’intégrité), toutes les interfaces de données sont fermées; seule l’interface de gestion uniquement peut envoyer et recevoir du trafic. Pour reprendre le flux de trafic, réactivez la mise en grappe; ou vous pouvez supprimer complètement le nœud de la grappe. L’interface de gestion reste active en utilisant l’adresse IP que le nœud a reçue de l’ensemble d’adresses IP de la grappe. Cependant, si vous rechargez et que le nœud est toujours inactif dans la grappe (par exemple, vous avez enregistré la configuration avec la mise en grappe désactivée), alors l’interface de gestion est désactivée. Vous devez utiliser le port de console pour toute autre configuration.

Avant de commencer

  • Pour le mode de contexte multiple, réalisez cette procédure dans l’espace d’exécution du système. Si vous n’êtes pas déjà en mode de configuration système dans le volet Configuration > Device List (Liste des périphériques) et double-cliquez sur System (Système) sous l’adresse IP du périphérique actif.

Procédure

Étape 1

Choisissez Configuration > Device Management (Gestion des périphériques) > High Availability and Scalability (Haute disponibilité et évolutivité) > ASA Cluster (Grappe ASA) > Cluster Configuration (Configuration de la grappe).

Étape 2

Décochez la case Participer à la grappe ASA.


Remarque

Ne décochez pas la case Configurer les paramètres de grappe ASA. Cette action efface toute la configuration de la grappe et désactive également toutes les interfaces, y compris l’interface de gestion à laquelle ASDM est connecté. Pour rétablir la connectivité dans ce cas, vous devez accéder à l’interface de ligne de commande au niveau du port de console.

Étape 3

Cliquez sur Apply (Appliquer).

Désactiver un nœud de données du nœud de contrôle

Pour désactiver un nœud de données, procédez comme suit.


Remarque

Lorsqu’un ASA devient inactif, toutes les interfaces de données sont fermées; seule l’interface de gestion uniquement peut envoyer et recevoir du trafic. Pour reprendre le flux de trafic, réactivez la mise en grappe. L’interface de gestion reste active en utilisant l’adresse IP que le nœud a reçue de l’ensemble d’adresses IP de la grappe. Cependant, si vous rechargez et que le nœud est toujours inactif dans la grappe (par exemple, vous avez enregistré la configuration avec la mise en grappe désactivée), l’interface de gestion est désactivée. Vous devez utiliser le port de console pour toute autre configuration.

Avant de commencer

Pour le mode de contexte multiple, réalisez cette procédure dans l’espace d’exécution du système. Si vous n’êtes pas déjà en mode de configuration système dans le volet Configuration > Device List (Liste des périphériques) et double-cliquez sur System (Système) sous l’adresse IP du périphérique actif.

Procédure

Étape 1

Choisissez Configuration > Device Management (Gestion des périphériques) > High Availability and Scalability (Haute disponibilité et évolutivité) > ASA Cluster (Grappe ASA) > Cluster Members (Membres de la grappe).

Étape 2

Sélectionnez le nœud de données que vous souhaitez supprimer et cliquez sur Delete (Supprimer).

Illustration 4. Supprimer un nœud
Supprimer un nœud

La configuration de démarrage du nœud de données reste inchangée afin que vous puissiez rajouter le nœud de données ultérieurement sans perdre votre configuration.

Étape 3

Cliquez sur Apply (Appliquer).

Rejoindre la grappe

Si un nœud a été supprimé de la grappe, par exemple pour une interface défaillante ou si vous avez désactivé manuellement un membre, vous devez rejoindre manuellement la grappe.

Avant de commencer

  • Vous devez utiliser le port de console pour réactiver la mise en grappe. Les autres interfaces sont fermées. L’exception est que si vous avez désactivé manuellement la mise en grappe dans ASDM, vous pouvez réactiver la mise en grappe dans ASDM si vous n’avez pas enregistré la configuration et ne l’avez pas rechargée. Après le rechargement, l’interface de gestion est désactivée. L’accès à la console est donc la seule méthode pour réactiver la mise en grappe.

  • Pour le mode de contexte multiple, réalisez cette procédure dans l’espace d’exécution du système. Si vous n’êtes pas déjà en mode de configuration système dans le volet Configuration > Device List (Liste des périphériques) et double-cliquez sur System (Système) sous l’adresse IP du périphérique actif.

  • Assurez-vous que le problème est résolu avant d’essayer de rejoindre la grappe.

Procédure

Étape 1

Si vous avez toujours l’accès à ASDM, vous pouvez réactiver la mise en grappe dans ASDM en connectant ASDM au nœud que vous souhaitez réactiver.

Vous ne pouvez pas réactiver la mise en grappe pour un nœud de données à partir du nœud de contrôle, sauf si vous l’ajoutez en tant que nouveau membre.

  1. Choisissez Configuration > Device Management (Gestion des périphériques) > High Availability and Scalability (Haute disponibilité et évolutivité) > ASA Cluster (Grappe ASA).

  2. Cochez la case Participate in ASA cluster (Participer à la grappe ASA).

  3. Cliquez sur Apply (Appliquer).

Étape 2

Si vous ne pouvez pas utiliser ASDM : Sur la console, passez en mode de configuration de grappe :

cluster group name

Exemple:


ciscoasa(config)# cluster group pod1

Étape 3

Activez la mise en grappe.

enable

Quitter la grappe

Si vous souhaitez quitter complètement la grappe, vous devez supprimer toute la configuration de démarrage de la grappe. Étant donné que la configuration actuelle sur chaque nœud est la même (synchronisée à partir de l’unité active), quitter la grappe implique également de restaurer une configuration antérieure à la grappe à partir d’une sauvegarde ou d’effacer votre configuration et de recommencer pour éviter les conflits d’adresses IP.

Avant de commencer

Vous devez utiliser le port de console; lorsque vous supprimez la configuration de la grappe, toutes les interfaces sont fermées, y compris l’interface de gestion et la liaison de commande de grappe.

Procédure

Étape 1

Pour un nœud de données, désactivez la mise en grappe :

cluster group cluster_name no enable

Exemple:


ciscoasa(config)# cluster group cluster1
ciscoasa(cfg-cluster)# no enable

Vous ne pouvez pas modifier la configuration lorsque la mise en grappe est activée sur un nœud de données.

Étape 2

Effacez la configuration de la grappe :

clear configure cluster

L’ASA désactive toutes les interfaces, y compris l’interface de gestion et la liaison de commande de grappe.

Étape 3

Désactivez le mode d’interface de la grappe :

no cluster interface-mode

Le mode n’est pas stocké dans la configuration et doit être réinitialisé manuellement.

Étape 4

Si vous avez une configuration de sauvegarde, copiez-la dans la configuration en cours d’exécution :

copy backup_cfg running-config

Exemple:


ciscoasa(config)# copy backup_cluster.cfg running-config

Source filename [backup_cluster.cfg]?

Destination filename [running-config]?
ciscoasa(config)#

Étape 5

Enregistrez la configuration pour le démarrage :

write memory

Étape 6

Si vous n’avez pas de configuration de sauvegarde, reconfigurez l’accès de gestion. Par exemple, assurez-vous de modifier les adresses IP de l’interface et de restaurer le bon nom d’hôte.

Modifier le nœud de contrôle


Mise en garde

La méthode recommandée pour changer le nœud de contrôle est de désactiver la mise en grappe sur celui-ci en attendant un nouveau choix de contrôle, puis de réactiver la mise en grappe. Si vous devez spécifier le nœud exact que vous souhaitez voir devenir le nœud de contrôle, utilisez la procédure décrite dans cette section. Notez toutefois que pour les fonctionnalités centralisées, si vous forcez un changement de nœud de contrôle à l’aide de cette procédure, toutes les connexions sont abandonnées et vous devez rétablir les connexions sur le nouveau nœud de contrôle.

Pour modifier le nœud de contrôle, procédez comme suit.

Avant de commencer

Pour le mode de contexte multiple, réalisez cette procédure dans l’espace d’exécution du système. Si vous n’êtes pas déjà en mode de configuration système dans le volet Configuration > Device List (Liste des périphériques) et double-cliquez sur System (Système) sous l’adresse IP du périphérique actif.

Procédure

Étape 1

Choisissez Monitoring (Supervision) > ASA Cluster (Grappe ASA) > Cluster Summary (Résumé de la grappe).

Étape 2

Dans la liste déroulante, choisissez un nœud de données pour devenir le contrôle et cliquez sur le bouton pour en faire le nœud de contrôle.

Étape 3

Vous êtes invité à confirmer le changement de nœud de contrôle. Cliquez sur Oui.

Étape 4

Quittez ASDM et reconnectez-vous en utilisant l’adresse IP de la grappe principale.

Exécuter une commande à l’échelle de la grappe

Pour envoyer une commande à tous les nœuds de la grappe ou à un nœud en particulier, procédez comme suit. L’envoi d’une commande show à tous les nœuds collecte toutes les sorties et les affiche sur la console du nœud actuel. D’autres commandes, telles que capture et copy, peuvent également profiter d’une exécution à l’échelle de la grappe.

Avant de commencer

Effectuez cette procédure au niveau de l’outil d’interface de ligne de commande : choisissez Tools (Outils) > Command Line Interface (Interface de ligne de commande).

Procédure

Envoyez une commande à tous les nœuds ou, si vous spécifiez le nom du nœud, à un nœud en particulier :

cluster exec [unit node_name] command

Exemple:


ciscoasa# cluster exec show xlate

Pour afficher les noms de nœud, saisissez cluster exec unit ? (unité d’exécution de grappe?) (pour voir tous les noms à l’exception du nœud actuel), ou saisissez la commande show cluster info.

Exemples

Pour copier simultanément le même fichier de capture de tous les nœuds de la grappe vers un serveur TFTP, saisissez la commande suivante sur le nœud de contrôle : 


ciscoasa# cluster exec copy /pcap capture: tftp://10.1.1.56/capture1.pcap

Plusieurs fichiers PCAP, un pour chaque nœud, sont copiés sur le serveur TFTP. Le nom du fichier de capture de destination est automatiquement associé au nom du nœud, par exemple capture1_asa1.pcap, capture1_asa2.pcap, etc. Dans cet exemple, asa1 et asa2 sont des noms de nœuds de grappe.

L’exemple de sortie suivant pour la commande cluster exec show port-channel summary affiche les renseignements de l’EtherChannel pour chaque nœud de la grappe : 


ciscoasa# cluster exec show port-channel summary
control node(LOCAL):***********************************************************
 Number of channel-groups in use: 2
Group  Port-channel  Protocol  Span-cluster  Ports
------+-------------+-----------+-----------------------------------------------
1         Po1              LACP      	Yes  Gi0/0(P)
2         Po2              LACP      	Yes  Gi0/1(P)
 slave:******************************************************************
 Number of channel-groups in use: 2
Group  Port-channel  Protocol  Span-cluster   Ports
------+-------------+-----------+-----------------------------------------------
1         Po1              LACP      	Yes   Gi0/0(P)
2         Po2              LACP      	Yes   Gi0/1(P)

Supervision de la grappe ASA

Vous pouvez superviser et dépanner l’état de la grappe et les connexions.

Supervision de l’état de la grappe

Consultez les écrans suivantes pour superviser l’état de la grappe :

  • Monitoring (Supervision) > ASA Cluster (Grappe ASA) > Cluster Summary (Résumé de la grappe)

    Ce volet affiche des renseignements sur la grappe concernant le nœud auquel vous êtes connecté, ainsi que les autres nœuds de la grappe. Vous pouvez également modifier le nœud principal à partir de ce volet.

  • Tableau de bord de la grappe

    Sur la page d’accueil du nœud principal, vous pouvez superviser la grappe à l’aide des tableaux de bord de grappe et de pare-feu de grappe.

Capture des paquets à l’échelle de la grappe

Consultez l’écran suivante pour capturer des paquets dans une grappe :

Wizards (Assistants) > Packet Capture Wizard (Assistant de capture de paquets)

Pour prendre en charge le dépannage à l’échelle de la grappe, vous pouvez activer la capture du trafic spécifique à la grappe sur le nœud de contrôle, qui est ensuite automatiquement activée sur tous les nœuds de données de la grappe.

Supervision des ressources de la grappe

Consultez les écrans suivants pour surveiller les ressources de la grappe :

  • Monitoring (Supervision) > ASA Cluster (Grappe ASA) > System Resources Graphs (Graphiques de ressources système) > CPU (Processeur)

    Ce volet vous permet de créer des graphiques ou des tableaux montrant l’utilisation du processeur sur les nœuds de la grappe.

  • Monitoring (Supervision) > ASA Cluster (Grappe ASA) > System Resources Graphs (Graphiques de ressources système) > Memory (Mémoire). Ce volet vous permet de créer des graphiques ou des tableaux montrant la mémoire libre et la mémoire utilisée sur les nœuds de la grappe.

Supervision du trafic de la grappe

Consultez les commandes suivants pour superviser le trafic de la grappe :

  • Monitoring (Supervision) > ASA Cluster (Grappe ASA) > Trafic Graphs (Graphiques du trafic) > Connections (Connexions).

    Ce volet vous permet de créer des graphiques ou des tableaux montrant les connexions entre les membres de la grappe.

  • Monitoring (Supervision) > ASA Cluster (Grappe ASA) > Trafic Graphs (Graphiques du trafic) > Throughput (Débit).

    Ce volet vous permet de créer des graphiques ou des tableaux montrant le débit du trafic entre les membres de la grappe.

  • Monitoring (Supervision) > ASA Cluster (Grappe ASA) > Cluster Load-Monitoring (Supervision de la charge de la grappe)

    Cette section comprend les volets Load Monitor-Information (Renseignements sur le moniteur de charge) et Load-Monitor Details (Détails du moniteur de charge). Load Monitor-Information (Renseignements sur le moniteur de charge) affiche la charge de trafic pour les membres de la grappe pour le dernier intervalle ainsi que la moyenne du nombre total d’intervalles configurés (30 par défaut). Utilisez le volet Load-Monitor Details (Détails du moniteur de charge) pour afficher la valeur de chaque mesure à chaque intervalle.

Supervision de la liaison de commande de grappe

Consultez l’écran suivant pour superviser l’état de la grappe :

Monitoring (Supervision) > Properties (Propriétés) > System Resources Graphs (Graphiques des ressources du système) > Cluster Control Link (Liaison de commande de grappe).

Ce volet vous permet de créer des graphiques ou des tableaux indiquant l’utilisation de la capacité de réception et de transmission de la liaison de commande de grappe.

Supervision du routage de la grappe

Consultez l’écran suivant pour le routage de la grappe :

  • Monitoring (Supervision) > Routing (Routage) > LISP-EID Table (Tableau LISP-EID)

    Affiche le tableau EID de l’ASA qui indique les EID et les ID de site.

Configuration de la journalisation pour la mise en grappe

Consultez l’écran suivante pour configurer la journalisation pour la mise en grappe :

Configuration > Device Management (Gestion des périphériques) > Logging (Journalisation) > Syslog Setup (Configuration du journal système)

Chaque nœud de la grappe génère des messages de journal système de manière indépendante. Vous pouvez pour générer des messages de journal système avec des ID de périphérique identiques ou différents afin de faire apparaître les messages comme provenant de nœuds identiques ou différents dans la grappe.

Exemples de mise en grappe ASA

Ces exemples incluent toutes les configurations ASA liées aux grappes pour les déploiements typiques.

Exemple de configuration ASA et du commutateur

Les exemples de configuration suivants connectent les interfaces suivantes entre l’ASA et le commutateur :

Interface ASA

Interface du commutateur

Ethernet 1/2

GigabitEthernet 1/0/15

Ethernet 1/3

GigabitEthernet 1/0/16

Ethernet 1/4

GigabitEthernet 1/0/17

Ethernet 1/5

GigabitEthernet 1/0/18

Configuration ASA

Mode d’interface sur chaque unité

cluster interface-mode spanned force
Configuration de démarrage de l’unité de contrôle ASA1

interface Ethernet1/6
 channel-group 1 mode on
 no shutdown
!
interface Ethernet1/7
 channel-group 1 mode on
 no shutdown
!
interface Port-channel1
 description Clustering Interface
!
cluster group Moya
 local-unit A
 cluster-interface Port-channel1 ip 10.0.0.1 255.255.255.0
 priority 10
 key emphyri0
 enable noconfirm
Configuration de démarrage de l’unité de données ASA2

interface Ethernet1/6
 channel-group 1 mode on
 no shutdown
!
interface Ethernet1/7
 channel-group 1 mode on
 no shutdown
!
interface Port-channel1
 description Clustering Interface
!
cluster group Moya
 local-unit B
 cluster-interface Port-channel1 ip 10.0.0.2 255.255.255.0
 priority 11
 key emphyri0
 enable as-data-node
Configuration de l'interface de l'unité de contrôle

ip local pool mgmt-pool 10.53.195.231-10.53.195.232

interface Ethernet1/2
 channel-group 10 mode active
 no shutdown
!
interface Ethernet1/3
 channel-group 10 mode active
 no shutdown
!
interface Ethernet1/4
 channel-group 11 mode active
 no shutdown
!
interface Ethernet1/5
 channel-group 11 mode active
 no shutdown
!
interface Management1/1
 management-only
 nameif management
 ip address 10.53.195.230 cluster-pool mgmt-pool
 security-level 100
 no shutdown
!
interface Port-channel10
 mac-address aaaa.bbbb.cccc
 nameif inside
 security-level 100
 ip address 209.165.200.225 255.255.255.224
!
interface Port-channel11
 mac-address aaaa.dddd.cccc
 nameif outside
 security-level 0
 ip address 209.165.201.1 255.255.255.224

Configuration du commutateur Cisco IOS


interface GigabitEthernet1/0/15
 switchport access vlan 201
 switchport mode access
 spanning-tree portfast
 channel-group 10 mode active
!
interface GigabitEthernet1/0/16
 switchport access vlan 201
 switchport mode access
 spanning-tree portfast
 channel-group 10 mode active
!
interface GigabitEthernet1/0/17
 switchport access vlan 401
 switchport mode access
 spanning-tree portfast
 channel-group 11 mode active
!
interface GigabitEthernet1/0/18
 switchport access vlan 401
 switchport mode access
 spanning-tree portfast
 channel-group 11 mode active

interface Port-channel10
 switchport access vlan 201
 switchport mode access

interface Port-channel11
 switchport access vlan 401
 switchport mode access

Pare-feu sur une seule interface

Le trafic de données de différents domaines de sécurité est associé à différents VLAN. Par exemple, VLAN 10 pour le réseau interne et VLAN 20 pour le réseau externe. Chaque ASA dispose d’un seul port physique connecté au commutateur ou routeur externe. Le regroupement de liaisons est activé de sorte que tous les paquets sur la liaison physique soient encapsulés dans une norme 802.1q. L'ASA sert de pare-feu entre le VLAN 10 et le VLAN 20.

Lorsque vous utilisez des EtherChannels étendus, toutes les liaisons de données sont regroupées dans un seul EtherChannel du côté du commutateur. Si l'ASA n’est plus disponible, le commutateur rééquilibre le trafic entre les unités restantes.

Le diagramme illustre une configuration de pare-feu sur une seule interface et montre comment le trafic de données provenant de différents domaines de sécurité est associé à différents VLAN au moyen d’un seul port physique connecté à un commutateur ou à un routeur externe. Il met en évidence l’utilisation de solutions de liaisons et de l’encapsulation 802.1Q pour la transmission des paquets.

Mode d’interface sur chaque unité


cluster interface-mode spanned force

Configuration de démarrage de l’unité de contrôle de l’unité 1


interface ethernet1/8
no shutdown
description CCL

cluster group cluster1
local-unit asa1
cluster-interface ethernet1/8 ip 192.168.1.1 255.255.255.0
priority 1
key chuntheunavoidable
enable noconfirm

Configuration de démarrage de l’unité de données de l’unité 2


interface ethernet1/8
no shutdown
description CCL

cluster group cluster1
local-unit asa2
cluster-interface ethernet1/8 ip 192.168.1.2 255.255.255.0
priority 2
key chuntheunavoidable
enable as-data-node

Configuration de démarrage de l’unité de données de l’unité 3


interface ethernet1/8
no shutdown
description CCL

cluster group cluster1
local-unit asa3
cluster-interface ethernet1/8 ip 192.168.1.3 255.255.255.0
priority 3
key chuntheunavoidable
enable as-data-node

Configuration de l’interface de l’unité de contrôle


ip local pool mgmt 10.1.1.2-10.1.1.9
ipv6 local pool mgmtipv6 2001:DB8::1002/64 8

interface management 1/1
nameif management
ip address 10.1.1.1 255.255.255.0 cluster-pool mgmt
ipv6 address 2001:DB8::1001/32 cluster-pool mgmtipv6
security-level 100
management-only
no shutdown

interface ethernet1/1
channel-group 1 mode active
no shutdown

interface port-channel 1

interface port-channel 1.10
vlan 10
nameif inside
ip address 10.10.10.5 255.255.255.0
ipv6 address 2001:DB8:1::5/64
mac-address 000C.F142.4CDE

interface port-channel 1.20
vlan 20
nameif outside
ip address 209.165.201.1 255.255.255.224
ipv6 address 2001:DB8:2::8/64
mac-address 000C.F142.5CDE

Séparation du trafic

Vous pourriez souhaiter une séparation physique du trafic entre le réseau interne et le réseau externe.

Comme le montre le diagramme ci-dessus, il y a un EtherChannel étendu sur le côté gauche qui se connecte au commutateur interne et l’autre sur le côté droit au commutateur externe. Vous pouvez également créer des sous-interfaces VLAN sur chaque EtherChannel, au besoin.

Mode d’interface sur chaque unité


cluster interface-mode spanned force

Configuration de démarrage de l’unité de contrôle de l’unité 1


interface ethernet 1/6
 channel-group 1 mode on
 no shutdown

interface ethernet 1/7
 channel-group 1 mode on
 no shutdown

interface port-channel 1
 description CCL

cluster group cluster1
 local-unit asa1
 cluster-interface port-channel1 ip 192.168.1.1 255.255.255.0
 priority 1
 key chuntheunavoidable
 enable noconfirm

Configuration de démarrage de l’unité de données de l’unité 2


interface ethernet 1/6
 channel-group 1 mode on
 no shutdown

interface ethernet 1/7
 channel-group 1 mode on
 no shutdown

interface port-channel 1
 description CCL

cluster group cluster1
 local-unit asa2
 cluster-interface port-channel1 ip 192.168.1.2 255.255.255.0
 priority 2
 key chuntheunavoidable
 enable as-data-node

Configuration de démarrage de l’unité de données de l’unité 3


interface ethernet 1/6
 channel-group 1 mode on
 no shutdown

interface ethernet 1/7
 channel-group 1 mode on
 no shutdown

interface port-channel 1
 description CCL

cluster group cluster1
 local-unit asa3
 cluster-interface port-channel1 ip 192.168.1.3 255.255.255.0
 priority 3
 key chuntheunavoidable
 enable as-data-node

Configuration de l’interface de l’unité de contrôle


ip local pool mgmt 10.1.1.2-10.1.1.9
ipv6 local pool mgmtipv6 2001:DB8::1002/64 8

interface management 1/1
 nameif management
 ip address 10.1.1.1 255.255.255.0 cluster-pool mgmt
 ipv6 address 2001:DB8::1001/32 cluster-pool mgmtipv6
 security-level 100
 management-only
 no shutdown

interface ethernet 1/8
 channel-group 2 mode active
 no shutdown

interface port-channel 2
 nameif inside
 ip address 10.10.10.5 255.255.255.0
 ipv6 address 2001:DB8:1::5/64
 mac-address 000C.F142.4CDE

interface ethernet 2/1
 channel-group 3 mode active
 no shutdown

interface port-channel 3 
 nameif outside
 ip address 209.165.201.1 255.255.255.224
 ipv6 address 2001:DB8:2::8/64
 mac-address 000C.F142.5CDE

Configuration OTV pour la mise en grappe inter-sites en mode routé

La réussite de la mise en grappe inter-sites pour le mode routé avec les EtherChannels étendus dépend de la configuration et de la supervision appropriées de l’OTV. L’OTV joue un rôle majeur en transférant les paquets sur l’interface DCI. L’OTV transfère les paquets de monodiffusion sur l’interface DCI uniquement lorsqu’il apprend l’adresse MAC dans sa table de transfert. Si l’adresse MAC n’est pas apprise dans la table de transfert OTV, il abandonnera les paquets de monodiffusion.

Exemple de configuration OTV


//Sample OTV config:
//3151 – Inside VLAN, 3152 – Outside VLAN, 202 – CCL VLAN
//aaaa.1111.1234 – ASA inside interface global vMAC
//0050.56A8.3D22 – Server MAC

feature ospf
feature otv

mac access-list ALL_MACs
  10 permit any any
mac access-list HSRP_VMAC
  10 permit aaaa.1111.1234 0000.0000.0000 any
  20 permit aaaa.2222.1234 0000.0000.0000 any
  30 permit any aaaa.1111.1234 0000.0000.0000
  40 permit any aaaa.2222.1234 0000.0000.0000
vlan access-map Local 10
  match mac address HSRP_VMAC
  action drop
vlan access-map Local 20
  match mac address ALL_MACs
  action forward
vlan filter Local vlan-list 3151-3152


//To block global MAC with ARP inspection:
arp access-list HSRP_VMAC_ARP    
  10 deny aaaa.1111.1234 0000.0000.0000 any
  20 deny aaaa.2222.1234 0000.0000.0000 any
  30 deny any aaaa.1111.1234 0000.0000.0000
  40 deny any aaaa.2222.1234 0000.0000.0000
  50 permit ip any mac
ip arp inspection filter HSRP_VMAC_ARP 3151-3152

no ip igmp snooping optimise-multicast-flood
vlan 1,202,1111,2222,3151-3152

otv site-vlan 2222
mac-list GMAC_DENY seq 10 deny aaaa.aaaa.aaaa ffff.ffff.ffff
mac-list GMAC_DENY seq 20 deny aaaa.bbbb.bbbb ffff.ffff.ffff
mac-list GMAC_DENY seq 30 permit 0000.0000.0000 0000.0000.0000
route-map stop-GMAC permit 10
  match mac-list GMAC_DENY

interface Overlay1
  otv join-interface Ethernet8/1
  otv control-group 239.1.1.1
  otv data-group 232.1.1.0/28
  otv extend-vlan 202, 3151
  otv arp-nd timeout 60
  no shutdown

interface Ethernet8/1
  description uplink_to_OTV_cloud
  mtu 9198
  ip address 10.4.0.18/24
  ip igmp version 3
  no shutdown

interface Ethernet8/2

interface Ethernet8/3
  description back_to_default_vdc_e6/39
  switchport
    switchport mode trunk
    switchport trunk allowed vlan 202,2222,3151-3152
  mac packet-classify
  no shutdown

otv-isis default
  vpn Overlay1
    redistribute filter route-map stop-GMAC
otv site-identifier 0x2
//OTV flood not required for ARP inspection:
otv flood mac 0050.56A8.3D22 vlan 3151

Modifications du filtre OTV requises en raison d’une défaillance du site

Si un site tombe en panne, les filtres doivent être supprimés de l’OTV, car il n’est plus nécessaire de bloquer l’adresse MAC globale. Certaines configurations supplémentaires sont nécessaires.

Vous devez ajouter une entrée statique pour l’adresse MAC globale ASA sur le commutateur OTV dans le site qui est fonctionnel. Cette entrée permettra à l’OTV à l’autre extrémité d’ajouter ces entrées sur l’interface de superposition. Cette étape est nécessaire, car si le serveur et le client ont déjà l’entrée ARP pour l’ASA, ce qui est le cas pour les connexions existantes, ils n’enverront pas à nouveau l’ARP. Par conséquent, l’OTV n’aura pas la possibilité d’apprendre l’adresse MAC globale ASA dans sa table de transfert. Étant donné que l’OTV n’a pas l’adresse MAC globale dans sa table de transfert et que, conformément à sa conception, il ne diffusera pas de paquets de monodiffusion sur l’interface de superposition, il abandonnera les paquets de monodiffusion à l’adresse MAC globale du serveur, et les connexions existantes seront interrompues. 


//OTV filter configs when one of the sites is down

mac-list GMAC_A seq 10 permit 0000.0000.0000 0000.0000.0000
route-map a-GMAC permit 10
  match mac-list GMAC_A

otv-isis default
  vpn Overlay1
    redistribute filter route-map a-GMAC

no vlan filter Local vlan-list 3151

//For ARP inspection, allow global MAC:
arp access-list HSRP_VMAC_ARP_Allow    
  50 permit ip any mac
ip arp inspection filter HSRP_VMAC_ARP_Allow 3151-3152

mac address-table static aaaa.1111.1234 vlan 3151 interface Ethernet8/3
//Static entry required only in the OTV in the functioning Site

Lorsque l’autre site est restauré, vous devez ajouter de nouveau les filtres et supprimer cette entrée statique sur l’OTV. Il est très important d’effacer le tableau des adresses MAC dynamiques sur les deux OTV pour effacer l’entrée de superposition pour l’adresse MAC globale.

Effacement du tableau d’adresses MAC

Lorsqu’un site tombe en panne et qu’une entrée statique pour l’adresse MAC globale est ajoutée à l’OTV, vous devez laisser l’autre OTV apprendre l’adresse MAC globale sur l’interface de superposition. Une fois l’autre site rétabli, ces entrées doivent être effacées. Assurez-vous d’effacer la table d’adresses MAC pour vous assurer que l’OTV ne conserve aucune de ces entrées dans sa table de transfert. 


cluster-N7k6-OTV# show mac address-table
Legend:
* - primary entry, G - Gateway MAC, (R) - Routed MAC, O - Overlay MAC
age - seconds since last seen,+ - primary entry using vPC Peer-Link,
(T) - True, (F) - False
VLAN MAC Address Type age Secure NTFY Ports/SWID.SSID.LID
---------+-----------------+--------+---------+------+----+------------------
G -    d867.d900.2e42 static  -  F F sup-eth1(R)
O 202  885a.92f6.44a5 dynamic -  F F Overlay1
* 202  885a.92f6.4b8f dynamic 5  F F Eth8/3
O 3151 0050.5660.9412 dynamic -  F F Overlay1
* 3151 aaaa.1111.1234 dynamic 50 F F Eth8/3

Supervision du cache OTV ARP

Le service OTV gère un cache ARP pour mandataire ARP pour les adresses IP qu’il a apprises sur l’interface OTV. 


cluster-N7k6-OTV# show otv arp-nd-cache
OTV ARP/ND L3->L2 Address Mapping Cache

Overlay Interface Overlay1
VLAN MAC Address Layer-3 Address Age Expires In
3151 0050.5660.9412 10.0.0.2 1w0d 00:00:31
cluster-N7k6-OTV#

Exemples de mise en grappe inter-sites

Les exemples suivants montrent les déploiements de grappe pris en charge.

Exemple de mode de routage EtherChannel étendu avec des adresses MAC et IP propres au site

L’exemple suivant montre deux membres de la grappe dans chacun des deux centres de données, placés entre le routeur de passerelle et un réseau interne sur chaque site (insertion est-ouest). Les membres de la grappe sont connectés par la liaison de commande de grappe sur DCI. Les membres de la grappe de chaque site se connectent aux commutateurs locaux en utilisant des EtherChannels étendus pour le réseau interne et externe. Chaque EtherChannel est réparti sur tous les châssis de la grappe.

Les VLAN de données sont étendus entre les sites à l’aide de la virtualisation du transport par superposition (OTV) (ou d’un outil similaire). Vous devez ajouter des filtres bloquant l’adresse MAC globale pour empêcher le trafic de traverser l’interface DCI vers l’autre site lorsqu’il est destiné à la grappe. Si les nœuds de la grappe d’un site deviennent inaccessibles, vous devez supprimer les filtres pour que le trafic puisse être dirigé vers les nœuds de la grappe de l’autre site. Vous devez utiliser les adresses VACL pour filtrer l’adresse MAC globale.Pour certains commutateurs, comme le Nexus avec la carte de ligne de la gamme F3, vous devez également utiliser l’inspection ARP pour bloquer les paquets ARP de l’adresse MAC globale. L’inspection ARP nécessite que vous définissiez à la fois l’adresse MAC et l’adresse IP du site sur l’ASA. Si vous configurez uniquement l’adresse MAC du site N’oubliez pas de désactiver l’inspection ARP.

La grappe sert de passerelle pour les réseaux internes. Le MAC virtuel global, qui est partagé sur tous les nœuds de la grappe, est utilisé uniquement pour recevoir des paquets. Les paquets sortants utilisent une adresse MAC spécifique au site pour chaque grappe de contrôleurs de domaine. Cette fonctionnalité empêche les commutateurs d’apprendre la même adresse MAC globale à partir des deux sites sur deux ports différents, ce qui entraîne une oscillation MAC; au lieu de cela, ils connaissent uniquement l’adresse MAC du site.

Dans ce scénario :

  • Tous les paquets de sortie envoyés par la grappe utilisent l’adresse MAC du site et sont localisés dans le centre de données.

  • Tous les paquets entrants vers la grappe sont envoyés à l’aide de l’adresse MAC globale, de sorte qu’ils peuvent être reçus par n’importe quel nœud des deux sites; les filtres de l’OTV localisent le trafic dans le centre de données.



Exemple intersites nord-sud de mode transparent de l’EtherChannel étendu

L'exemple suivant montre 2 membres de la grappe dans chacun des 2 centres de données placés entre les routeurs internes et externes (insertion nord-sud). Les membres de la grappe sont connectés par la liaison de commande de grappe sur DCI. Les membres de la grappe de chaque site se connectent aux commutateurs locaux en utilisant des EtherChannels étendus pour l’intérieur et l’extérieur. Chaque EtherChannel est réparti sur tous les châssis de la grappe.

Les routeurs internes et externes de chaque centre de données utilisent le protocole OSPF, qui est transmis par les périphériques ASA transparents. Contrairement aux MAC, les adresses IP des routeurs sont uniques sur tous les routeurs. En attribuant un routage à coût plus élevé sur l’interface DCI, le trafic reste dans chaque centre de données, sauf si tous les membres de la grappe d’un site donné tombent en panne. La voie de routage la moins dispendieuse qui traverse les ASA doit traverser le même groupe de ponts sur chaque site pour que la grappe puisse maintenir des connexions dissymétriques. En cas de défaillance de tous les membres de la grappe sur un site, le trafic passe de chaque routeur sur l’interface DCI aux membres de la grappe sur l’autre site.

La mise en œuvre des commutateurs sur chaque site peut inclure :

  • VSS inter-sites, vPC, StackWise ou StackWise Virtual : dans ce scénario, vous installez un commutateur au centre de données 1, et l'autre au centre de données 2. Une option consiste à ce que les nœuds de la grappe de chaque centre de données se connectent uniquement au commutateur local, tandis que le trafic du commutateur redondant traverse le DCI. Dans ce cas, les connexions sont pour la plupart conservées localement à chaque centre de données. Vous pouvez éventuellement connecter chaque nœud aux deux commutateurs de la DCI si la DCI peut gérer le trafic supplémentaire. Dans ce cas, le trafic est réparti entre les centres de données, il est donc essentiel que l’interface DCI soit très robuste.

  • Local VSS, vPC, StackWise ou StackWise Virtual sur chaque site : Pour une meilleure redondance des commutateurs, vous pouvez installer 2 paires de commutateurs redondants distincts sur chaque site. Dans ce cas, bien que les nœuds de la grappe aient toujours un EtherChannel étendu avec le châssis du centre de données 1 connecté uniquement aux deux commutateurs locaux et le châssis du centre de données 2 connecté à ces commutateurs locaux, l’EtherChannel étendu est essentiellement « divisé ». Chaque système de commutation local redondant voit l’EtherChannel étendu comme un EtherChannel local au site.

Exemple inter-sites est-ouest en mode transparent de l’EtherChannel étendu

L’exemple suivant montre deux membres de la grappe dans chacun des deux centres de données, placés entre le routeur de la passerelle et deux réseaux internes sur chaque site, le réseau d’applications et le réseau de base de données (insertion est-ouest). Les membres de la grappe sont connectés par la liaison de commande de grappe sur DCI. Les membres de la grappe de chaque site se connectent aux commutateurs locaux au moyen d’EtherChannels étendus pour les réseaux App et DB à l’intérieur et à l’extérieur. Chaque EtherChannel est réparti sur tous les châssis de la grappe.

Le routeur de la passerelle de chaque site utilise un FHRP comme le HSRP pour fournir les mêmes adresses MAC virtuelles et IP de destination sur chaque site. Une bonne pratique pour éviter le basculement involontaire des adresses MAC consiste à ajouter de manière statique les adresses MAC réelles des routeurs de passerelle au tableau d’adresses MAC de l’ASA. Sans ces entrées, si la passerelle du site 1 communique avec la passerelle du site 2, ce trafic pourrait passer par l’ASA et tenter d’atteindre le site 2 à partir de l’interface interne, ce qui poserait des problèmes. Les VLAN de données sont étendus entre les sites à l’aide de la virtualisation du transport par superposition (OTV) (ou d’un outil similaire). Vous devez ajouter des filtres pour empêcher le trafic de traverser l’interface DCI vers l’autre site lorsqu’il est destiné au routeur de la passerelle. Si le routeur de la passerelle d’un site devient inaccessible, vous devez supprimer les filtres pour que le trafic puisse être dirigé vers le routeur de la passerelle de l’autre site.



Référence pour la mise en grappe

Cette section comprend des renseignements supplémentaires sur le fonctionnement de la mise en grappe.

Fonctionnalités et mise en grappe de l’ASA

Certaines fonctionnalités d’ASA ne sont pas prises en charge avec la mise en grappe d’ASA, et d’autres le sont uniquement sur le nœud de contrôle. Pour une utilisation correcte, d’autres fonctionnalités peuvent comporter des mises en garde.

Fonctionnalités non prises en charge par la mise en grappe

Ces fonctionnalités ne peuvent pas être configurées lorsque la mise en grappe est activée, et les commandes seront rejetées.

  • Fonctionnalités de communication unifiée qui reposent sur le mandataire TLS

  • VPN d'accès à distance (VPN SSL et VPN IPsec)

  • Interfaces de tunnel virtuel (VTI)

  • Les inspections d'application suivantes :

    • CTIQBE

    • H323, H225 et RAS

    • Intercommunication IPsec

    • MGCP

    • MMP

    • RTSP

    • SCCP (Skinny)

    • WAAS

    • WCCP

  • Filtre de trafic de réseau de zombies

  • Auto Update Server

  • Client DHCP, serveur et serveur mandataire. Le relais DHCP est pris en charge.

  • Équilibrage de la charge VPN

  • Basculement

  • Routage et pont intégrés

  • Mode FIPS

Fonctionnalités centralisées pour la mise en grappe

Les fonctionnalités suivantes ne sont prises en charge que sur le nœud de contrôle et ne sont pas adaptées à la grappe.


Remarque

Le trafic pour les fonctionnalités centralisées est acheminé des nœuds membres vers le nœud de contrôle par la liaison de commande de grappe.

Si vous utilisez la fonctionnalité de rééquilibrage, le trafic des fonctionnalités centralisées peut être rééquilibrage vers des nœuds sans contrôle avant que le trafic ne soit classé comme fonctionnalité centralisée. Si cela se produit, le trafic est renvoyé au nœud de contrôle.

Pour les fonctionnalités centralisées, si le nœud de contrôle tombe en panne, toutes les connexions sont abandonnées et vous devez rétablir les connexions sur le nouveau nœud de contrôle.

  • Ces inspections d’application sont prises en charge :

    • DCERPC et ESMTP

    • IM

    • NetBIOS et PPTP

    • RADIUS

    • RSH

    • SNMP

    • SQLNET et SUNRPC

    • TFTP

    • XDMCP

  • Surveillance du routage statique

  • Autorisation et authentification pour l’accès réseau La comptabilité est décentralisée.

  • Services de filtrage

  • VPN de site à site

  • Traitement du protocole du plan de contrôle de multidiffusion IGMP (le transfert du plan de données est distribué dans la grappe)

  • Traitement du protocole du plan de contrôle de multidiffusion PIM (le transfert du plan de données est distribué dans la grappe)

  • Routage dynamique

Fonctionnalités appliquées aux nœuds individuels

Ces fonctionnalités sont appliquées à chaque nœud ASA, plutôt qu’à la grappe dans son ensemble ou au nœud de contrôle.

  • QoS : la politique QoS est synchronisée dans la grappe dans le cadre de la duplication de la configuration. Cependant, la politique est appliquée sur chaque nœud indépendamment. Par exemple, si vous configurez le contrôle en sortie, les valeurs de débit de conformité et de rafale de conformité s’appliquent au trafic sortant d’un ASA particulier. Dans une grappe à 3 nœuds et avec le trafic réparti uniformément, le taux de conformité devient en fait trois fois supérieur au débit de la grappe.

  • Détection des menaces : la détection des menaces fonctionne sur chaque nœud indépendamment; par exemple, les statistiques principales sont propres au nœud. La détection de l’analyse de port, par exemple, ne fonctionne pas, car l’analyse du trafic sera équilibrée entre tous les nœuds et un nœud ne verra pas tout le trafic.

  • Gestion des ressources : la gestion des ressources en mode contexte multiple est appliquée séparément sur chaque nœud en fonction de l’utilisation locale.

  • Trafic LISP : le trafic LISP sur le port UDP 4342 est inspecté par chaque nœud de réception, mais aucun directeur n’est affecté. Chaque nœud ajoute au tableau EID qui est partagé dans la grappe, mais le trafic LISP lui-même ne participe pas au partage de l’état de la grappe.

AAA pour l’accès réseau et la mise en grappe

L’AAA pour l’accès réseau comprend trois composants : l’authentification, l’autorisation et la gestion de comptes. L’authentification et l’autorisation sont mises en œuvre en tant que fonctionnalités centralisées sur le nœud de contrôle de mise en grappe avec la duplication des structures de données sur les nœuds de données de grappe. Si un nœud de contrôle est choisi, le nouveau nœud de contrôle disposera de toute l’information nécessaire pour continuer le fonctionnement ininterrompu des utilisateurs authentifiés établis et de leurs autorisations associées. Les délais d’inactivité et absolus pour l’authentification des utilisateurs sont conservés lorsqu'un changement de nœud de contrôle se produit.

La comptabilité est mise en œuvre en tant que fonctionnalité distribuée dans une grappe. La comptabilité est effectuée flux par flux, de sorte que le nœud de la grappe possédant un flux enverra les messages de démarrage et d’arrêt de comptabilité au serveur AAA lorsque la comptabilité est configurée pour un flux.

Paramètres de connexion et mise en grappe

Les limites de connexion s’appliquent à l’ensemble de la grappe (voir Configuration > Firewall > Service Policy, page). Chaque nœud dispose d’une estimation des valeurs de compteur à l’échelle de la grappe en fonction des messages de diffusion. Pour des raisons d’efficacité, la limite de connexion configurée dans la grappe pourrait ne pas être appliquée exactement au nombre limite. Chaque nœud peut surévaluer ou sous-évaluer la valeur du compteur à l’échelle de la grappe à tout moment. Cependant, les informations seront mises à jour au fil du temps dans une grappe à charge équilibrée.

FTP et mise en grappe

  • Si le canal de données et les flux du canal de contrôle FTP appartiennent à différents membres de la grappe, le propriétaire du canal de données enverra périodiquement des mises à jour du délai d’inactivité au propriétaire du canal de contrôle et mettra à jour la valeur du délai d’inactivité. Cependant, si le propriétaire du flux de contrôle est rechargé et que le flux de contrôle est réhébergé, la relation de flux parent/enfant ne sera plus maintenue; le délai d’inactivité du flux de contrôle ne sera pas mis à jour.

  • Si vous utilisez l’AAA pour l’accès FTP, le flux du canal de contrôle est centralisé sur le nœud de contrôle.

Inspection ICMP et mise en grappe

Le flux des paquets d’erreurs ICMP et ICMP dans la grappe varie selon que l’inspection d’erreurs ICMP ou ICMP est activée ou non. Sans inspection ICMP, ICMP est un flux unidirectionnel et il n’y a pas de prise en charge de flux directeur. Avec l’inspection ICMP, le flux ICMP devient bidirectionnel et est soutenu par un flux directeur/de sauvegarde. L’une des différences avec un flux ICMP inspecté réside dans le traitement par le directeur du paquet transféré : le directeur transmettra le paquet de réponse d’écho ICMP au propriétaire du flux au lieu de retourner le paquet au transitaire.

Routage multidiffusion et mise en grappe

Routage multidiffusion en mode EtherChannel étendu

En mode EtherChannel étendu : l’unité de contrôle gère tous les paquets de routage de multidiffusion et les paquets de données jusqu’à ce que le transfert rapide soit établi. Une fois la connexion établie, chaque unité de données peut transférer des paquets de données en multidiffusion.

NAT et mise en grappe

La NAT peut affecter le débit global de la grappe. Les paquets NAT entrants et sortants peuvent être envoyés à différents périphériques dans la grappe, car l’algorithme d’équilibrage de charge repose sur les adresses IP et les ports, et la NAT fait en sorte que les paquets entrants et sortants aient des adresses IP ou des ports différents. Lorsqu’un paquet arrive à un périphérique qui n’est pas le propriétaire NAT, il est transféré sur la liaison de commande de grappe vers le propriétaire, ce qui entraîne un trafic important sur la liaison de commande de grappe.

Notez que le nœud de réception ne crée pas de flux de transfert vers le propriétaire, car le propriétaire de la NAT peut ne pas créer de connexion pour le paquet en fonction des résultats des vérifications de sécurité et des politiques.

Routage et mise en grappe dynamiques

Cette section décrit comment utiliser le routage dynamique avec la mise en grappe.

Routage dynamique en mode EtherChannel étendu

Le processus de routage ne s’exécute que sur le nœud de contrôle, et les routes sont apprises par le nœud de contrôle et répliquées sur les nœuds de données. Si un paquet de routage arrive à un nœud de données, il est redirigé vers le nœud de contrôle.


Remarque

IS-IS n’est pas pris en charge en mode EtherChannel étendu.

Illustration 5. Routage dynamique en mode EtherChannel étendu
Routage dynamique en mode EtherChannel étendu

Une fois que le nœud de données a appris les routes du nœud de contrôle, chaque nœud prend des décisions de transfert indépendamment.

La base de données du LSA OSPF n’est pas synchronisée du nœud de contrôle avec les nœuds de données. S’il y a basculement du nœud de contrôle, le routeur voisin détectera un redémarrage; le basculement n’est pas transparent. Le processus OSPF choisit une adresse IP comme ID de routeur. Bien que cela ne soit pas obligatoire, vous pouvez attribuer un ID de routeur statique pour vous assurer qu’un ID de routeur cohérent est utilisé dans la grappe. Consultez la fonctionnalité de transfert sans arrêt OSPF pour gérer l’interruption.

SCTP et mise en grappe

Une association SCTP peut être créée sur n’importe quel nœud (en raison de l’équilibrage de la charge); ses connexions multi-hébergement doivent résider sur le même nœud.

Inspection SIP et mise en grappe

Un flux de contrôle peut être créé sur n’importe quel nœud (en raison de l’équilibrage de la charge); ses flux de données enfants doivent résider sur le même nœud.

La configuration du mandataire TLS n’est pas prise en charge.

SNMP et mise en grappe

Vous devez toujours utiliser l’adresse locale, et non l’adresse IP de la grappe principale pour l’interrogation SNMP. Si l’agent SNMP interroge l’adresse IP de la grappe principale, si un nouveau nœud de contrôle est choisi, l’interrogation du nouveau nœud de contrôle échouera.

Lorsque vous utilisez SNMPv3 avec la mise en grappe et que vous ajoutez un nouveau nœud de grappe après la formation initiale de la grappe, les utilisateurs SNMPv3 ne seront pas répliqués sur le nouveau nœud.Vous devez les rajouter sur le nœud de contrôle pour forcer les utilisateurs à se reproduire vers le nouveau nœud, ou directement sur le nœud de données.

STUN et mise en grappe

L’inspection STUN est prise en charge dans les modes de basculement et de grappe, car les sténopés sont dupliqués. Cependant, l’ID de transaction n’est pas répliqué sur les nœuds. Dans le cas où un nœud tombe en panne après avoir reçu une demande STUN et qu’un autre nœud a reçu la réponse STUN, la réponse STUN sera abandonnée.

Syslog, NetFlow et mise en grappe

Syslog, NetFlow et la mise en grappe constituent une configuration de gestion de réseau qui permet la journalisation et la surveillance des flux dans les environnements réseau en grappe.

  • Syslog : chaque nœud de la grappe génère ses propres messages de journal système. Vous pouvez configurer la journalisation de sorte que chaque nœud utilise le même ID d’appareil ou un ID d’appareil différent dans le champ d’en-tête du message syslog. Par exemple, la configuration du nom d’hôte est répliquée et partagée par tous les nœuds de la grappe. Si vous configurez la journalisation pour utiliser le nom d’hôte comme ID d’appareil, les messages syslog générés par tous les nœuds semblent provenir d’un seul nœud. Si vous configurez la journalisation pour utiliser le nom de nœud local attribué dans la configuration de démarrage de la grappe comme ID d’appareil, les messages du journal système semblent provenir de nœuds différents.

  • NetFlow : chaque nœud de la grappe génère son propre flux NetFlow. Le collecteur NetFlow peut traiter chaque appareil ASA uniquement comme un exportateur NetFlow distinct.

Cisco TrustSec et la mise en grappe

Seul le nœud de contrôle reçoit les informations des balises de groupe de sécurité (SGT). Le nœud de contrôle remplit ensuite la balise SGT pour les nœuds de données, et les nœuds de données peuvent prendre une décision de correspondance pour la balise SGT en fonction de la politique de sécurité.

VPN et mise en grappe

Le VPN de site à site est une fonctionnalité centralisée; seul le nœud de contrôle prend en charge les connexions VPN.


Remarque

L’accès VPN à distance n’est pas pris en charge avec la mise en grappe.

La fonctionnalité VPN est limitée au nœud de contrôle et ne tire pas parti des capacités de haute disponibilité de la grappe. Si le nœud de contrôle tombe en panne, toutes les connexions VPN existantes sont perdues, et les utilisateurs de VPN verront une perturbation de service. Lorsqu’un nouveau nœud de contrôle est choisi, vous devez rétablir les connexions VPN.

Lorsque vous connectez un tunnel VPN à une adresse EtherChannel étendu, les connexions sont automatiquement transférées au nœud de contrôle.

Les clés et les certificats liés au VPN sont répliqués sur tous les nœuds.

Facteur d’évolutivité de rendement

Lorsque vous combinez plusieurs unités dans une grappe, vous pouvez vous attendre à ce que les performances totales de la grappe atteignent environ 80 % du débit combiné maximal.

Calcul du débit

Par exemple, si votre modèle peut gérer environ 10 Gbit/s de trafic lorsqu’il est exécuté seul, pour une grappe de 8 unités, le débit combiné maximal sera d’environ 80 % de 80 Gbit/s (8 unités x 10 Gbit/s) : 64 Gbit/s.

Élection du nœud de contrôle

Summary

Les composants clés concernés dans le processus d’élection du nœud de contrôle sont les suivants :

  • Nœuds de grappe : communiquent par la liaison de commande de grappe et participent au processus d’élection

  • Demandes d’élection : diffusées toutes les 3 secondes par les nœuds lorsque la mise en grappe est activée

  • Valeurs de priorité : définies entre 1 et 100, où 1 correspond à la priorité la plus élevée

  • Nœud de contrôle : le nœud choisi qui coordonne les opérations de la grappe

Workflow

Ces étapes décrivent comment les nœuds de la grappe élisent un nœud de contrôle :

  1. Lorsque la mise en grappe est activée pour un nœud (ou lorsque celui-ci démarre pour la première fois alors que la mise en grappe est déjà activée), le nœud diffuse une demande d’élection toutes les 3 secondes.
  2. Tout autre nœud ayant une priorité plus élevée répond à la demande d’élection. La priorité est comprise entre 1 et 100, 1 représentant la priorité la plus élevée.
  3. Si, après 45 secondes, un nœud ne reçoit pas de réponse d’un autre nœud de priorité plus élevée, il devient le nœud de contrôle.

    Remarque

    Si plusieurs nœuds sont à égalité pour la priorité la plus élevée, le nom du nœud de la grappe, suivi du numéro de série, est utilisé pour déterminer le nœud de contrôle.

  4. Si un nœud rejoint ultérieurement la grappe avec une priorité plus élevée, il ne devient pas automatiquement le nœud de contrôle. Le nœud de contrôle existant conserve toujours son rôle, sauf s’il cesse de répondre, auquel cas un nouveau nœud de contrôle est élu.
  5. Dans un scénario de « split brain », où plusieurs nœuds de contrôle sont temporairement présents, le nœud ayant la priorité la plus élevée conserve son rôle tandis que les autres nœuds reprennent leur rôle de nœud de données.

    Remarque

    Vous pouvez forcer manuellement un nœud à devenir le nœud de contrôle. Pour les fonctionnalités centralisées, si vous forcez un changement de nœud de contrôle, toutes les connexions sont abandonnées et vous devez rétablir les connexions sur le nouveau nœud de contrôle.

Haute accessibilité au sein des grappes

La mise en grappe assure une disponibilité élevée en surveillant l’intégrité des nœuds et de l’interface et en reproduisant les états de la connexion entre les nœuds.

Supervision de l’intégrité du nœud

Chaque nœud envoie périodiquement un paquet de diffusion heartbeat sur la liaison de commande de grappe. Si le nœud de contrôle ne reçoit aucun paquet heartbeat ou autre paquet d’un nœud de données au cours du délai d’expiration configurable, le nœud de contrôle supprime le nœud de données de la grappe. Si les nœuds de données ne reçoivent pas de paquets du nœud de contrôle, un nouveau nœud de contrôle est élu parmi les nœuds restants.

Scénario de déconnexion cérébrale

Si les nœuds ne peuvent pas se joindre sur le lien de commande de grappe en raison d’une défaillance du réseau et non parce qu’un nœud est réellement défaillant, la grappe peut entrer dans un scénario de « scission du cœur » où les nœuds de données isolés éliront leurs propres nœuds de contrôle. Par exemple, si un routeur tombe en panne entre deux emplacements de grappe, le nœud de contrôle d’origine à l’emplacement 1 supprimera les nœuds de données de l’emplacement 2 de la grappe. Pendant ce temps, les nœuds de l’emplacement 2 éliront leur propre nœud de contrôle et formeront leur propre grappe. Notez que le trafic symétrique peut échouer dans ce scénario. Une fois la liaison de commande de grappe restauré, le nœud de contrôle qui a la priorité la plus élevée conservera le rôle de nœud de contrôle.

Supervision des interfaces

Chaque nœud surveille l’état de la liaison de toutes les interfaces matérielles désignées utilisées et signale les modifications d’état au nœud de contrôle.

  • Spanned EtherChannel (EtherChannel étendu) : utilise le protocole cLACP (cluster Link Aggregation Control Protocol). Chaque nœud surveille l’état de la liaison et les messages du protocole cLACP pour déterminer si le port est toujours actif dans l’EtherChannel. L’état est signalé au nœud de contrôle.

Lorsque vous activez la surveillance de l’intégrité, toutes les interfaces physiques (y compris les interfaces EtherChannel principales) sont surveillées par défaut; vous pouvez éventuellement désactiver la surveillance par interface. Seules les interfaces nommées peuvent être surveillées. Par exemple, l’EtherChannel désigné doit échouer pour être considéré comme en échec, ce qui signifie que tous les ports membres d’un EtherChannel ne doivent pas déclencher la suppression de la grappe (selon le paramètre minimal de groupement de ports).

Un nœud est supprimé de la grappe en cas de défaillance de ses interfaces surveillées. Le délai avant que ASA ne supprime un membre de la grappe dépend dépend du fait que le nœud est un membre établi ou en train de se joindre à la grappe. si l’interface est en panne sur un membre établi, l'ASA supprime le membre après 9 secondes. L'ASA ne surveille pas les interfaces pendant les 90 premières secondes où un nœud rejoint la grappe. Les changements d’état de l’interface pendant cette période n’entraîneront pas le retrait de l'ASA de la grappe. Pour les non-EtherChannels, le nœud est supprimé après 500 ms, quel que soit l’état membre.

État après l’échec

Lorsqu’un nœud de la grappe tombe en panne, les connexions hébergées par ce nœud sont transférées en toute transparence vers d’autres nœuds; Les renseignements d’état sur les flux de trafic sont partagés sur la liaison de commande de grappe du nœud de contrôle.

Si le nœud de contrôle échoue, un autre membre de la grappe ayant la priorité la plus élevée (numéro le plus bas) devient le nœud de contrôle.

Le périphérique tente automatiquement de rejoindre la grappe, selon l’événement de défaillance.


Remarque

Lorsque le périphérique devient inactif et ne parvient pas à rejoindre automatiquement la grappe, toutes les interfaces de données sont désactivées ; seule l’interface de gestion peut envoyer et recevoir du trafic. L’interface de gestion reste active en utilisant l’adresse IP que le nœud a reçue de l'ensemble d’adresses IP de la grappe. Cependant, si vous rechargez et que le nœud est toujours inactif dans la grappe, l'interface de gestion est désactivée. Vous devez utiliser le port de console pour toute autre configuration.

Rejoindre la grappe

Après le retrait d’un nœud de la grappe, la façon dont il peut rejoindre la grappe dépend de la raison de sa suppression :

  • Échec de la liaison de commande de grappe lors de la jonction : après avoir résolu le problème avec la liaison de commande de grappe, vous devez rejoindre manuellement la grappe en réactivant la mise en grappe.

  • Échec de la liaison de commande de la grappe après avoir rejoint la grappe : l’ASA essaie automatiquement de la rejoindre toutes les 5 minutes, indéfiniment. Ce comportement est configurable.

  • Échec de l’interface de données : l’ASA tente automatiquement de rejoindre à 5 minutes, puis à 10 minutes et enfin à 20 minutes. Si la jonction échoue après 20 minutes, l’ASA désactive la mise en grappe. Après avoir résolu le problème de l’interface de données, vous devez activer manuellement la mise en grappe. Ce comportement est configurable.

  • Nœud en échec : si le nœud a été supprimé de la grappe en raison d’un échec de vérification de l’intégrité du nœud, la jonction avec la grappe dépend de la source de la défaillance. Par exemple, une panne de courant temporaire signifie que le nœud rejoindra la grappe au redémarrage, à condition que la liaison de commande de grappe soit active et que la mise en grappe soit toujours activée. L’ASA tente de rejoindre la grappe toutes les 5 secondes.

  • Erreur interne : les défaillances internes comprennent : le dépassement du délai de synchronisation de l'application, les statuts incohérents de l'application, etc. Un nœud tentera de rejoindre la grappe automatiquement aux intervalles suivants : 5 minutes, 10 minutes, puis 20 minutes. Ce comportement est configurable.

Consultez Configurer les paramètres de grappe ASA de base.

duplication de l’état de la connexion du chemin de données

Chaque connexion a un propriétaire et au moins un propriétaire secondaire dans la grappe. Le propriétaire de secours ne prend pas en charge la connexion en cas d’échec; au lieu de cela, il stocke les informations d’état TCP/UDP, de sorte que la connexion puisse être transférée de manière transparente à un nouveau propriétaire en cas de défaillance. Le propriétaire de la sauvegarde est généralement aussi le directeur.

Certains trafics nécessitent des informations d’état au-dessus de la couche TCP ou UDP. Consultez le tableau suivant pour connaître la prise en charge ou l’absence de prise en charge de ce type de trafic.

Tableau 1. Fonctionnalités répliquées dans la grappe

Trafic

Soutien relatif à l’état

Notes

Temps de disponibilité

Oui

Assure le suivi de la disponibilité du système.

Table ARP

Oui

—

Tableau d’adresses MAC

Oui

—

Identité de l’utilisateur

Oui

Comprend les règles AAA (uauth).

Base de données du voisin IPv6

Oui

—

Routage dynamique

Oui

—

ID du moteur SNMP

Non

—

VPN distribué (site à site)

Oui

La session de sauvegarde devient la session active, puis une nouvelle session de sauvegarde est créée.

Gestion des connexions par la grappe

Les connexions peuvent être équilibrées vers plusieurs nœuds de la grappe. Les rôles de connexion déterminent la façon dont les connexions sont gérées, à la fois en fonctionnement normal et en situation de disponibilité élevée.

Rôles de connexion

Ces rôles sont définis pour chaque connexion :

  • Owner (Propriétaire) : généralement, le nœud qui reçoit initialement la connexion. Le propriétaire gère l’état TCP et traite les paquets. Une connexion n’a qu’un seul propriétaire. Si le propriétaire d’origine échoue, lorsque les nouveaux nœuds reçoivent des paquets de la connexion, le directeur choisit un nouveau propriétaire dans ces nœuds.

  • Backup Owner (Propriétaire de sauvegarde) : nœud qui stocke les informations d’état TCP/UDP reçues du propriétaire, de sorte que la connexion puisse être transférée en toute transparence à un nouveau propriétaire en cas de défaillance. Le propriétaire de secours ne prend pas en charge la connexion en cas d’échec. Si le propriétaire devient indisponible, le premier nœud à recevoir les paquets de la connexion (selon l’équilibrage de la charge) contacte le propriétaire de secours pour obtenir les informations d’état pertinentes, afin qu’il puisse devenir le nouveau propriétaire.

    Tant que le directeur (voir ci-dessous) n’est pas le même nœud que le propriétaire, le directeur est également le propriétaire secondaire. Si le propriétaire se choisit lui-même directeur, un propriétaire de secours distinct est choisi.

    Pour la mise en grappe sur le périphérique Firepower 9300, qui peut inclure jusqu’à 3 nœuds de grappe dans un châssis, si le propriétaire de secours se trouve sur le même châssis que le propriétaire, un propriétaire de secours supplémentaire sera choisi dans un autre châssis pour protéger les flux d’une défaillance du châssis.

    Si vous activez la localisation du directeur pour la mise en grappe inter-sites, il existe deux rôles de propriétaire de la sauvegarde : le rôle de sauvegarde locale et de sauvegarde globale. Le propriétaire choisit toujours une sauvegarde locale sur le même site que lui (en fonction de l’ID du site). La sauvegarde globale peut se trouver sur n’importe quel site et peut même se trouver sur le même nœud que la sauvegarde locale. Le propriétaire envoie des informations sur l’état de la connexion aux deux sauvegardes.

    Si vous activez la redondance de sites et que le propriétaire de secours se trouve sur le même site que le propriétaire, un propriétaire de secours supplémentaire sera choisi dans un autre site pour protéger les flux d’une défaillance du site. La sauvegarde de châssis et la sauvegarde de site sont indépendantes. Par conséquent, dans certains cas, un flux comportera à la fois une sauvegarde de châssis et une sauvegarde de site.

  • Director (Directeur) : nœud qui gère les demandes de recherche de propriétaire provenant des transitaires. Lorsque le propriétaire reçoit une nouvelle connexion, il choisit un directeur en fonction d’un hachage de l’adresse IP source/de destination et des ports (voir ci-dessous pour les détails du hachage ICMP) et envoie un message au directeur pour enregistrer la nouvelle connexion. Si les paquets arrivent à un nœud autre que le propriétaire, le nœud interroge le directeur sur quel nœud est le propriétaire afin qu’il puisse transférer les paquets. Une connexion n’a qu’un seul directeur. En cas de défaillance d’un directeur, le propriétaire en choisit un nouveau.

    Tant que le directeur ne se trouve pas sur le même nœud que le propriétaire, le directeur est également le propriétaire suppléant (voir ci-dessus). Si le propriétaire se choisit lui-même directeur, un propriétaire de secours distinct est choisi.

    Si vous activez la localisation de directeur pour la mise en grappe inter-sites, il y a deux rôles de directeur : le directeur local et le directeur global. Pour un paquet de nouveau flux, le membre de réception sélectionne le directeur local parmi les membres du site du membre de réception. Le directeur global peut se trouver sur n’importe quel site et peut être le même membre que le directeur local. En cas de défaillance du propriétaire d’origine et si la localisation s’applique, le directeur local choisit un nouveau propriétaire de connexion sur le site du directeur local.

    Détails du hachage ICMP/ICMPv6 :

    • Pour les paquets Echo, le port source correspond à l’identifiant ICMP et le port de destination est 0.

    • Pour les paquets de réponse, le port source est 0 et le port de destination est l’identifiant ICMP.

    • Pour les autres paquets, les ports source et de destination sont à 0.

  • Forwarder (Transitaire) : nœud qui transfère les paquets au propriétaire. Si un transitaire reçoit un paquet pour une connexion qu’il ne possède pas, il interroge le directeur à propos du propriétaire, puis établit un flux vers le propriétaire pour tout autre paquet qu’il reçoit pour cette connexion. Le directeur peut également être un transitaire. Si vous activez la localisation de directeur, le transitaire interroge le directeur local lorsque la localisation s’applique. Le transitaire interroge le directeur global si le directeur local ne reconnaît pas le propriétaire, si la connexion appartient à un autre site ou si la localisation est contournée. Une requête de directeur intersite est le comportement attendu dans ces cas. Notez que si un transitaire reçoit le paquet SYN-ACK, il peut en dériver le propriétaire directement d’un témoin SYN dans le paquet, donc il n’a pas besoin d’interroger le directeur. (Si vous désactivez la répartition aléatoire de la séquence TCP, le témoin SYN n’est pas utilisé; une requête au directeur est requise.) Pour les flux de courte durée tels que DNS et ICMP, au lieu d’interroger, le redirecteur envoie immédiatement le paquet au directeur, qui l’envoie ensuite au propriétaire. Une connexion peut avoir plusieurs redirecteurs; le débit le plus efficace est obtenu par une bonne méthode d’équilibrage de la charge où il n’y a pas de redirecteurs et où tous les paquets d’une connexion sont reçus par le propriétaire.


    Remarque

    Nous vous déconseillons de désactiver la répartition aléatoire de la séquence TCP lors de l’utilisation de la mise en grappe. Il y a un faible risque que certaines sessions TCP ne soient pas établies, car le paquet SYN/ACK sera abandonné.

  • Fragment Owner (Propriétaire de fragment) : pour les paquets fragmentés, les nœuds de la grappe qui reçoivent un fragment déterminent le propriétaire du fragment à l’aide d’un hachage de l’adresse IP source du fragment, de l’adresse IP de destination et de l’ID de paquet. Tous les fragments sont ensuite transférés au propriétaire du fragment sur la liaison de commande de grappe. Les fragments peuvent être équilibrés en charge vers différents nœuds de grappe, car seul le premier fragment comprend le quintuple utilisé dans le hachage d’équilibrage de charge du commutateur. Les autres fragments ne contiennent pas les ports source et de destination et peuvent être répartis en charge vers d’autres nœuds de la grappe. Le propriétaire du fragment rassemble temporairement le paquet afin de pouvoir déterminer le directeur en fonction d’un hachage de l’adresse IP source/de destination et des ports. S’il s’agit d’une nouvelle connexion, le propriétaire du fragment s’enregistrera en tant que propriétaire de la connexion. S'il s’agit d’une connexion existante, le propriétaire du fragment transfère tous les fragments au propriétaire de la connexion fourni par la liaison de commande de grappe. Le propriétaire de la connexion rassemblera ensuite tous les fragments.

Connexions par traduction d’adresse de port

Lorsqu’une connexion utilise la traduction d’adresses de port (PAT), le type de PAT (par session ou multisession) influence quel membre de la grappe devient propriétaire de la nouvelle connexion :

  • PAT par session : le propriétaire est le nœud qui reçoit le paquet initial dans la connexion.

    Par défaut, le trafic TCP et DNS UDP utilise une PAT par session.

  • PAT multisession : le propriétaire est toujours le nœud de contrôle. Si une connexion PAT multisession est initialement reçue par un nœud de données, le nœud de données transfère la connexion au nœud de contrôle.

    Par défaut, le trafic UDP (à l’exception du trafic UDP DNS) et ICMP utilise la PAT multisession. Ces connexions appartiennent donc toujours au nœud de contrôle.

Vous pouvez modifier les valeurs par défaut de PAT par session pour les protocoles TCP et UDP afin que les connexions à ces protocoles soient gérées par session ou multisession selon la configuration. Pour ICMP, vous ne pouvez pas modifier la PAT multisession par défaut. Référez-vous au guide de configuration du pare-feu pour obtenir plus de renseignements sur les serveurs mandataires TLS.

Nouvelle propriété de connexion

Lorsqu’une nouvelle connexion est acheminée vers un nœud de la grappe par l’équilibrage de la charge, ce nœud possède les deux sens de connexion. Si des paquets de connexion arrivent à un nœud différent, ils sont acheminés au nœud propriétaire sur la liaison de commande de grappe. Pour de meilleures performances, un bon équilibrage de la charge externe est nécessaire pour que les deux directions d’un flux arrivent au même nœud et pour que les flux soient répartis uniformément entre les nœuds. Si un flux inverse arrive sur un autre nœud, il est redirigé vers le nœud d’origine.

Exemple de flux de données pour TCP

Summary

L’exemple suivant montre l’établissement d’une nouvelle connexion.

Workflow

Exemple de flux de données pour TCP
  1. Le paquet SYN provient du client et est livré à un périphérique (selon la méthode d’équilibrage de la charge), qui devient le propriétaire. Le propriétaire crée un flux, code les renseignements sur le propriétaire dans un témoin SYN et transfère le paquet au serveur.
  2. Le paquet SYN-ACK provient du serveur et est livré à un périphérique différent (selon la méthode d’équilibrage de la charge). Ce périphérique est le transitaire.
  3. Comme le transitaire n’est pas propriétaire de la connexion, il décode les informations sur le propriétaire à partir du témoin SYN, crée un flux de transfert vers le propriétaire et transmet le SYN-ACK au propriétaire.
  4. Le propriétaire envoie une mise à jour de l’état au directeur et transmet le SYN-ACK au client.
  5. Le directeur reçoit la mise à jour d’état du propriétaire, crée un flux à destination du propriétaire et enregistre les informations d’état TCP ainsi que le propriétaire. Le directeur agit en tant que propriétaire secondaire pour la connexion.
  6. Tous les paquets suivants livrés au transitaire seront transférés au propriétaire.
  7. Si des paquets sont livrés à d’autres nœuds, il interrogera le directeur à propos du propriétaire et établira un flux.
  8. Tout changement d’état du flux entraîne une mise à jour d’état du propriétaire au directeur.

Exemple de flux de données pour ICMP et UDP

Summary

L’exemple suivant montre l’établissement d’une nouvelle connexion.

Workflow

Flux de données ICMP et UDP
  1. Le premier paquet UDP provient du client et est remis à un périphérique (selon la méthode d’équilibrage de la charge).
  2. Le nœud qui a reçu le premier paquet interroge le nœud directeur qui est choisi en fonction d’un hachage de l’adresse IP et des ports source/de destination.
  3. Le directeur ne trouve aucun flux existant, crée un flux de directeur et renvoie le paquet au nœud précédent. Autrement dit, le directeur a choisi un propriétaire pour ce flux.
  4. Le propriétaire crée le flux, envoie une mise à jour d’état au directeur et transfère le paquet au serveur.
  5. Le deuxième paquet UDP provient du serveur et est livré au redirecteur.
  6. Le transitaire interroge le directeur pour fournir les renseignements sur la propriété. Pour les flux de courte durée tels que le DNS, au lieu d’interroger, le redirecteur envoie immédiatement le paquet au directeur, qui l’envoie ensuite au propriétaire.
  7. Le directeur répond au transitaire avec les renseignements de propriété.
  8. Le transitaire crée un flux de transfert pour enregistrer les informations sur le propriétaire et transfère le paquet au propriétaire.
  9. Le propriétaire transfère le paquet au client.

Rééquilibrage des nouvelles connexions TCP dans la grappe

Si les capacités d’équilibrage de charges des routeurs en amont ou en aval entraînent une répartition non équilibrée des flux, vous pouvez configurer un rééquilibrage des nouvelles connexions afin que les nœuds ayant le plus de nouvelles connexions par seconde redirigent les nouveaux flux TCP vers d’autres nœuds. Aucun flux existant ne sera déplacé vers d’autres nœuds.

Comme cette commande rééquilibre uniquement en fonction des connexions par seconde, le nombre total de connexions établies sur chaque nœud n’est pas pris en compte, et le nombre total de connexions peut ne pas être égal.

Une fois qu’une connexion est déchargée sur un autre nœud, elle devient une connexion asymétrique.

Ne configurez pas le rééquilibrage de connexion pour les topologies inter-sites; il ne faut pas que les nouvelles connexions soient rééquilibrées entre les membres de la grappe sur un site différent.

Historique de la mise en grappe d’ASA pour le Secure Firewall 

Nom de la caractéristique

Version

Renseignements sur les fonctionnalités

VPN site à site distribué avec mise en grappe sur le modèle Cisco Secure Firewall 4200

9.23(1)

Une grappe ASA sur le modèle Cisco Secure Firewall 4200 prend en charge le VPN de site à site en mode distribué. Le mode distribué permet d’avoir de nombreuses connexions VPN IPsec IKEv2 de site à site réparties sur les membres d’une grappe ASA, pas seulement sur le nœud de contrôle (comme en mode centralisé). Cela étend considérablement la prise en charge des VPN au-delà des capacités VPN centralisées et offre une haute disponibilité.

Écrans nouveaux ou modifiés :

Monitoring (Supervision) > ASA Cluster (Grappe ASA) > ASA Cluster (Grappe ASA) > VPN Cluster Summary (Résumé de la grappe VPN)

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques de VPN) > Sessions

Configuration > Device Management (Gestion des périphériques) > High Availablility and Scalability (Haute disponibilité et évolutivité) > ASA Cluster (Grappe ASA)

Wizards (Assistants) > Site-to-Site (Site à site)

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques de VPN) > Sessions

Monitoring (Supervision) > ASA Cluster (Grappe ASA) > ASA Cluster (Grappe ASA) > VPN Cluster Summary (Résumé de la grappe VPN)

Monitoring (Supervision) > ASA Cluster (Grappe ASA) > ASA Cluster (Grappe ASA) > System Resource Graphs (Graphique de ressources du système) > CPU/Memory (Processeur/mémoire)

Monitoring (Supervision) > Logging (Journalisation) > Real-Time Log Viewer (Visionneuse de journal en temps réel)

Suppression des propos tendancieux

9.19(1)

Les commandes, les sorties de commande et les messages syslog qui contenaient les termes « Master » (maître) et « Slave » (esclave) ont été remplacés par « Control » (contrôle) et « Data » (données).

Commandes nouvelles/modifiées : cluster control-node , enable as-data-node , prompt , show cluster history , show cluster info

La prise en charge de la mise en grappe sur le pare-feu Secure Firewall 3100 a été introduite

9.17(1)

Vous pouvez mettre en grappe jusqu’à 8 nœuds Secure Firewall 3100 en mode EtherChannel étendu.