冗長ソリューションを統合してセキュアなファイアウォールとL3スイッチを実現

はじめに

このドキュメントでは、ハイアベイラビリティでCisco CatalystスイッチとCisco Secure Firewallsの間の冗長接続を行うためのベストプラクティスについて説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• セキュアファイアウォール脅威対策(FTD)
• セキュアファイアウォール管理センター(FMC)
• Cisco IOS® XE
• 仮想スイッチングシステム(VSS)
• ハイアベイラビリティ(HA)

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• Secure Firewall Threat Defenseバージョン7.2.5.1
• Secure Firewall Manager Centerバージョン7.2.5.1
• Cisco IOS XEバージョン16.12.08

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ネットワーク図

HA FTDのペアに対する1つの論理Catalystスイッチ（VSSまたはスタック型）間の単一の接続リンク（ポートチャネル）は、1つのユニットまたはリンクに障害が発生した場合に備えた完全な冗長ソリューションで十分であると考えるユーザもいます。これは、VSSまたはスタックスイッチのセットアップが単一の論理デバイスとして動作するという一般的な誤解です。同時に、1組のHA FTDが2つの異なる論理デバイスとして機能し、一方がアクティブ、もう一方がスタンバイになります。

次の図は、単一のポートチャネルがFTD HAペアに向けて設定されたスイッチから設定される無効な設計です。

無効な設計

このポートチャネルは2つの異なるデバイスに接続された単一のリンクとして機能するため、前述の設定は有効ではありません。そのため、ネットワークの競合が発生し、スパニングツリープロトコル(SPT)によっていずれかのFTDからの接続がブロックされます。

次の図は、スイッチVSSまたはスタックの各メンバに2つの異なるポートチャネルが設定されている有効な設計です。

有効設計

コンフィギュレーション

スイッチの設定

ステップ 1：ポートチャネルとそれぞれの仮想ローカルエリアネットワーク(VLAN)を設定します。

MXC.PS.A.06-3850-02#configure terminal
MXC.PS.A.06-3850-02(config)#interface GigabitEthernet 1/0/1
MXC.PS.A.06-3850-02(config-if)#shutdown
MXC.PS.A.06-3850-02(config-if)#switchport mode access
MXC.PS.A.06-3850-02(config-if)#switchport access vlan 300
% Access VLAN does not exist. Creating vlan 300
MXC.PS.A.06-3850-02(config-if)#channel-group 2 mode active
Creating a port-channel interface Port-channel 2
MXC.PS.A.06-3850-02(config-if)#no shutdown
MXC.PS.A.06-3850-02(config-if)#exit
!
MXC.PS.A.06-3850-02(config)#interface GigabitEthernet 2/0/1
MXC.PS.A.06-3850-02(config-if)#shutdown
MXC.PS.A.06-3850-02(config-if)#switchport mode access
MXC.PS.A.06-3850-02(config-if)#switchport access vlan 300
MXC.PS.A.06-3850-02(config-if)#channel-group 2 mode active
MXC.PS.A.06-3850-02(config-if)#exit
!
MXC.PS.A.06-3850-02(config)#interface GigabitEthernet 1/0/2
MXC.PS.A.06-3850-02(config-if)#shutdown
MXC.PS.A.06-3850-02(config-if)#switchport mode access
MXC.PS.A.06-3850-02(config-if)#switchport access vlan 300
MXC.PS.A.06-3850-02(config-if)#channel-group 3 mode active
Creating a port-channel interface Port-channel 3
MXC.PS.A.06-3850-02(config-if)#no shutdown
MXC.PS.A.06-3850-02(config-if)#exit
!
MXC.PS.A.06-3850-02(config)#interface GigabitEthernet 2/0/2
MXC.PS.A.06-3850-02(config-if)#shutdown
MXC.PS.A.06-3850-02(config-if)#switchport mode access
MXC.PS.A.06-3850-02(config-if)#switchport access vlan 300
MXC.PS.A.06-3850-02(config-if)#channel-group 3 mode active

ステップ 2：ポートチャネルVLANのスイッチ仮想インターフェイス(SVI)IPアドレスを設定します。

MXC.PS.A.06-3850-02(config-if)#exit
MXC.PS.A.06-3850-02(config)#interface VLAN 300
MXC.PS.A.06-3850-02(config-if)#ip address 10.8.4.31 255.255.255.0
MXC.PS.A.06-3850-02(config-if)#no shutdown

FTD HAの設定

ステップ 1：FMCのGUIにログインします。

FMCログイン

ステップ 2：[Device] > [Device Management]に移動します。

デバイス管理

ステップ 3：目的のHAデバイスを編集し、Interfaces > Add Interfaces > Ether Channel Interfaceの順に移動します。

EtherChannelの作成

ステップ 4：インターフェイス名、Ether Channel ID、およびメンバーインターフェイスを追加します。

Ether-Channel名

EtherChannel IDおよびメンバ

注:FTDのEther Channel IDは、スイッチのPort-Channel IDと一致する必要はありません。

ステップ 5：IPv4タブに移動し、スイッチのVLAN 300と同じサブネット上にIPアドレスを追加します。

Ether-Channel IPアドレス

手順 6：変更を保存して展開します。

保存して展開します。

確認

ステップ 1：スイッチの観点から、VLANおよびポートチャネルインターフェイスのStatusがupであることを確認します。

MXC.PS.A.06-3850-02#show ip interface brief
Interface IP-Address OK? Method Status Protocol
***OUTPUT OMITTED FOR BREVITY***
Vlan300 10.8.4.31 YES manual up up
***OUTPUT OMITTED FOR BREVITY***
Port-channel2 unassigned YES unset up up
Port-channel3 unassigned YES unset up up

ステップ 2：両方のFTDユニットでport-channel Statusがupになっていることを、デバイスのコマンドラインインターフェイスにアクセスして確認します。

> system support diagnostic-cli
Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.
firepower> en
Password:
firepower# show interface ip brief
***OUTPUT OMITTED FOR BREVITY***
Port-channel1 10.8.4.30 YES unset up up
***OUTPUT OMITTED FOR BREVITY***

ステップ 3：スイッチSVIとFTDポートチャネルIPアドレスの間の到達可能性をチェックします。

MXC.PS.A.06-3850-02#ping 10.8.4.30 source vlan 300
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.8.4.34, timeout is 2 seconds:
Packet sent with a source address of 10.8.4.31
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/2 ms