セキュアなファイアウォールとL3スイッチのための冗長ソリューションの統合

はじめに

このドキュメントでは、Cisco CatalystスイッチとハイアベイラビリティのCisco Secure Firewallsの間の冗長接続のベストプラクティスについて説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• セキュアファイアウォール脅威対策(FTD)
• セキュアファイアウォール管理センター(FMC)
• Cisco IOS® XE
• 仮想スイッチングシステム(VSS)
• ハイアベイラビリティ(HA)

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• Secure Firewall Threat Defenseバージョン7.2.5.1
• Secure Firewall Manager Center(FMC)バージョン7.2.5.1
• Cisco IOS XEバージョン16.12.08

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ネットワーク図

HA FTDのペアに対する1つの論理Catalystスイッチ（VSSまたはスタック型）間の単一の接続リンク（ポートチャネル）は、1つのユニットまたはリンクに障害が発生した場合に備えた完全冗長ソリューションで十分であると考えるユーザがいます。VSSまたはスタックスイッチのセットアップは単一の論理デバイスとして動作するため、これは一般的な誤解です。同時に、1組のHA FTDが2つの異なる論理デバイスとして動作し、一方がアクティブ、もう一方がスタンバイです。

次の図は、FTD HAペアに向けて設定されたスイッチから単一のポートチャネルが設定されている無効な設計です。

無効な設計

このポートチャネルは2つの異なるデバイスに接続された単一のリンクとして機能するため、前述の設定は有効ではありません。これにより、ネットワークのコリジョンが発生し、スパニングツリープロトコル(SPT)によりいずれかのFTDからの接続がブロックされます。

次の図は、2つの異なるポートチャネルがスイッチVSSまたはスタックの各メンバに対して設定されている有効な設計です。

有効設計

コンフィギュレーション

スイッチの設定

ステップ 1：ポートチャネルをそれぞれの仮想ローカルエリアネットワーク(VLAN)で設定します。

MXC.PS.A.06-3850-02#configure terminal
MXC.PS.A.06-3850-02(config)#interface GigabitEthernet 1/0/1
MXC.PS.A.06-3850-02(config-if)#shutdown
MXC.PS.A.06-3850-02(config-if)#switchport mode access
MXC.PS.A.06-3850-02(config-if)#switchport access vlan 300
% Access VLAN does not exist. Creating vlan 300
MXC.PS.A.06-3850-02(config-if)#channel-group 2 mode active
Creating a port-channel interface Port-channel 2
MXC.PS.A.06-3850-02(config-if)#no shutdown
MXC.PS.A.06-3850-02(config-if)#exit
!
MXC.PS.A.06-3850-02(config)#interface GigabitEthernet 2/0/1
MXC.PS.A.06-3850-02(config-if)#shutdown
MXC.PS.A.06-3850-02(config-if)#switchport mode access
MXC.PS.A.06-3850-02(config-if)#switchport access vlan 300
MXC.PS.A.06-3850-02(config-if)#channel-group 2 mode active
MXC.PS.A.06-3850-02(config-if)#exit
!
MXC.PS.A.06-3850-02(config)#interface GigabitEthernet 1/0/2
MXC.PS.A.06-3850-02(config-if)#shutdown
MXC.PS.A.06-3850-02(config-if)#switchport mode access
MXC.PS.A.06-3850-02(config-if)#switchport access vlan 300
MXC.PS.A.06-3850-02(config-if)#channel-group 3 mode active
Creating a port-channel interface Port-channel 3
MXC.PS.A.06-3850-02(config-if)#no shutdown
MXC.PS.A.06-3850-02(config-if)#exit
!
MXC.PS.A.06-3850-02(config)#interface GigabitEthernet 2/0/2
MXC.PS.A.06-3850-02(config-if)#shutdown
MXC.PS.A.06-3850-02(config-if)#switchport mode access
MXC.PS.A.06-3850-02(config-if)#switchport access vlan 300
MXC.PS.A.06-3850-02(config-if)#channel-group 3 mode active

ステップ 2：ポートチャネルVLANのスイッチ仮想インターフェイス(SVI)のIPアドレスを設定します。

MXC.PS.A.06-3850-02(config-if)#exit
MXC.PS.A.06-3850-02(config)#interface VLAN 300
MXC.PS.A.06-3850-02(config-if)#ip address 10.8.4.31 255.255.255.0
MXC.PS.A.06-3850-02(config-if)#no shutdown

FTD HAの設定

ステップ 1：FMCのGUIにログインします。

FMCログイン

ステップ 2：[Device] > [Device Management]に移動します。

デバイス管理

ステップ 3：目的のHAデバイスを編集し、Interfaces > Add Interfaces > Ether Channel Interfaceの順に選択します。

Etherチャネルの作成

ステップ 4：インターフェイス名、Ether Channel ID、およびメンバーインターフェイスを追加します。

Ether-Channel名

Ether-Channel IDおよびメンバ

注:FTDのEther Channel IDは、スイッチのPort-Channel IDと一致している必要はありません。

ステップ 5：IPv4タブに移動し、スイッチのVLAN 300と同じサブネット上のIPアドレスを追加します。

Ether-Channel IPアドレス

手順 6：変更を保存して展開します。

保存して展開します。

確認

ステップ 1：スイッチの観点から、VLANとポートチャネルのインターフェイスのステータスがupであることを確認します。

MXC.PS.A.06-3850-02#show ip interface brief
Interface IP-Address OK? Method Status Protocol
***OUTPUT OMITTED FOR BREVITY***
Vlan300 10.8.4.31 YES manual up up
***OUTPUT OMITTED FOR BREVITY***
Port-channel2 unassigned YES unset up up
Port-channel3 unassigned YES unset up up

ステップ 2：両方のFTDユニットでport-channel Statusがupになっていることを、デバイスのコマンドラインインターフェイスにアクセスして確認します。

> system support diagnostic-cli
Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.
firepower> en
Password:
firepower# show interface ip brief
***OUTPUT OMITTED FOR BREVITY***
Port-channel1 10.8.4.30 YES unset up up
***OUTPUT OMITTED FOR BREVITY***

ステップ 3：スイッチSVIとFTDポートチャネルIPアドレスの間の到達可能性を確認します。

MXC.PS.A.06-3850-02#ping 10.8.4.30 source vlan 300
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.8.4.34, timeout is 2 seconds:
Packet sent with a source address of 10.8.4.31
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/2 ms