FMCによって管理されるFTD上のIP SLAを使用したECMPの設定

Edit Physical InterfaceウィンドウのGeneralタブで、次のコマンドを実行します。

1. Nameを設定します(この場合はOutside1)。
2. Enabledチェックボックスにチェックマークを入れて、インターフェイスを有効にします。
3. Security Zoneドロップダウンリストで、既存のセキュリティゾーンを選択するか、新しいセキュリティゾーンを作成します(この例ではOutside1_Zone)。

インターフェイスGi0/0 General

IPv4タブで、次の操作を実行します。

1. IP Typeドロップダウンリストからオプションを1つ選択します(この例では、Use Static IP)。
2. IPアドレス(この例では10.1.1.1/24)を設定します。
3. [OK] をクリックします。

インターフェイスGi0/0 IPv4

同様の手順を繰り返して、GigabitEthernet0/1インターフェイスを設定します。Edit Physical InterfaceウィンドウのGeneralタブで、次のように設定します。

1. Nameを設定します(この場合はOutside2)。
2. Enabledチェックボックスにチェックマークを入れて、インターフェイスを有効にします。
3. Security Zoneドロップダウンリストで、既存のセキュリティゾーンを選択するか、新しいセキュリティゾーンを作成します(この例ではOutside2_Zone)。

インターフェイスGi0/1汎用

IPv4タブで、次の操作を実行します。

1. IP Typeドロップダウンリストからオプションを1つ選択します(この例では、Use Static IP)。
2. IPアドレス(この例では10.1.2.1/24)を設定します。
3. [OK] をクリックします。
   インターフェイスGi0/1 IPv4
   

同様の手順を繰り返して、GigabitEthernet0/2インターフェイスを設定します。Edit Physical InterfaceウィンドウのGeneralタブで、次のように設定します。

1. Name(この場合はInside)を設定します。
2. Enabledチェックボックスにチェックマークを入れて、インターフェイスを有効にします。
3. Security Zoneドロップダウンリストで、既存のセキュリティゾーンを選択するか、新しいセキュリティゾーンを作成します(この例ではInside_Zone)。

インターフェイスGi0/2 General

IPv4タブで、次の操作を実行します。

1. IP Typeドロップダウンリストからオプションを1つ選択します(この例では、Use Static IP)。
2. IPアドレス(この例では10.1.3.1/24)を設定します。
3. [OK] をクリックします。

インターフェイスGi0/2 IPv4

Saveをクリックし、設定をDeployします。

Objects > Object Managementの順に移動し、オブジェクトタイプのリストからNetworkを選択し、Add NetworkドロップダウンメニューからAdd Objectを選択して、最初のISPゲートウェイのオブジェクトを作成します。

ネットワークオブジェクト

New Network Objectウィンドウで、次の操作を行います。

1. Nameを設定します(この例ではgw-outside1)。
2. Networkフィールドで必要なオプションを選択し、適切な値(この例ではHostと10.1.1.2)を入力します。
3. [Save] をクリックします。

オブジェクトGw-outside1

同様の手順を繰り返して、2番目のISPゲートウェイ用に別のオブジェクトを作成します。New Network Objectウィンドウで、次の操作を行います。

1. Nameを設定します(この例ではgw-outside2)。
2. Networkフィールドで必要なオプションを選択し、適切な値(この例ではHostと10.1.2.2)を入力します。
3. [Save] をクリックします。

オブジェクトGw-outside2

ステップ 1：ECMPゾーンの設定

Devices > Device Managementの順に移動し、脅威対策デバイスを編集して、Routingをクリックします。virtual routerドロップダウンから、ECMPゾーンを作成する仮想ルータを選択します。ECMPゾーンは、グローバル仮想ルータとユーザ定義仮想ルータに作成できます。この例では、Globalを選択します。 

ECMPをクリックし、次にAddをクリックします。

ECMPゾーンの設定

Add ECMPウィンドウで、次の手順を実行します。

1. ECMPゾーンのNameを設定します(この例ではOutside)。
2. インターフェイスを関連付けるには、Available Interfacesボックスでインターフェイスを選択し、Addをクリックします。この例では、Outside1とOutside2です。
3. [OK] をクリックします。

外部のECMPゾーンの設定

Saveをクリックし、設定をDeployします。

ステップ 2：IP SLAオブジェクトの設定

Objects > Object Managementの順に移動し、オブジェクトタイプのリストからSLA Monitorを選択し、Add SLA Monitorをクリックして、最初のISPゲートウェイの新しいSLAモニタを追加します。

SLAモニタの作成

New SLA Monitor Objectウィンドウで、次の操作を行います。

1. SLAモニタオブジェクトの名前(この場合はsla-outside1)を設定します。
2. SLA動作のID番号をSLA Monitor IDフィールドに入力します。値の範囲は1 ～ 2147483647です。1つのデバイスに最大2000のSLA動作を作成できます。各ID番号は、ポリシーおよびデバイス設定に固有である必要があります。この例では、1です。
3. SLA動作によってアベイラビリティがモニタされるIPアドレスを、Monitored Addressフィールドに入力します。この例では、10.1.1.2です。
4. Available Zones/Interfacesリストには、ゾーンとインターフェイスグループの両方が表示されます。Zones/Interfacesリストで、デバイスが管理ステーションとの通信に使用するインターフェイスを含むゾーンまたはインターフェイスグループを追加します。単一のインターフェイスを指定するには、インターフェイスのゾーンまたはインターフェイスグループを作成する必要があります。この例では、Outside1_Zoneです。
5. [Save] をクリックします。

SLAオブジェクトSla-outside1

同様の手順を繰り返して、2番目のISPゲートウェイに別のSLAモニタを作成します。

New SLA Monitor Objectウィンドウで、次の操作を行います。

1. SLAモニタオブジェクトの名前(この場合はsla-outside2)を設定します。
2. SLA動作のID番号をSLA Monitor IDフィールドに入力します。値の範囲は1 ～ 2147483647です。1つのデバイスに最大2000のSLA動作を作成できます。各ID番号は、ポリシーおよびデバイス設定に固有である必要があります。この例では、2です。
3. SLA動作によってアベイラビリティがモニタされるIPアドレスを、Monitored Addressフィールドに入力します。この例では、10.1.2.2です。
4. Available Zones/Interfacesリストには、ゾーンとインターフェイスグループの両方が表示されます。Zones/Interfacesリストで、デバイスが管理ステーションとの通信に使用するインターフェイスを含むゾーンまたはインターフェイスグループを追加します。単一のインターフェイスを指定するには、インターフェイスのゾーンまたはインターフェイスグループを作成する必要があります。この例では、Outside2_Zoneです。
5. [Save] をクリックします。

SLAオブジェクトSla-outside2

ステップ 3：ルートトラックを使用したスタティックルートの設定

Devices > Device Managementの順に移動し、脅威対策デバイスを編集して、Routingをクリックします。virtual routersドロップダウンリストから、スタティックルートを設定する仮想ルータを選択します。この例では、Globalです。

Static Routeを選択し、Add Routeをクリックして、最初のISPゲートウェイにデフォルトルートを追加します。

スタティックルートの設定

Add Static Route Configurationウィンドウで、次のコマンドを実行します。

1. 追加するスタティックルートのタイプに応じて、IPv4またはIPv6をクリックします。この例では、IPv4です。
2. このスタティックルートを適用するインターフェイスを選択します。この例では、Outside1です。
3. Available Networkリストで、宛先ネットワークを選択します。この例では、any-ipv4です。
4. GatewayまたはIPv6 Gatewayフィールドで、このルートのネクストホップであるゲートウェイルータを入力または選択します。IPアドレスまたはNetworks/Hostsオブジェクトを指定できます。この例では、gw-outside1です。
5. Metricフィールドに、宛先ネットワークへのホップ数を入力します。有効な値の範囲は1 ～ 255で、デフォルト値は1です。この例では、1です。
6. ルートの可用性をモニタするには、モニタリングポリシーを定義するSLAモニタオブジェクトの名前をRoute Trackingフィールドに入力するか選択します。この例では、sla-outside1です。
7. [OK] をクリックします。

最初のISPへのスタティックルートの追加

同様の手順を繰り返して、2番目のISPゲートウェイにデフォルトルートを追加します。Add Static Route Configurationウィンドウで、次のコマンドを実行します。

1. 追加するスタティックルートのタイプに応じて、IPv4またはIPv6をクリックします。この例では、IPv4です。
2. このスタティックルートを適用するインターフェイスを選択します。この例では、Outside2です。
3. Available Networkリストで、宛先ネットワークを選択します。この例では、any-ipv4です。
4. GatewayまたはIPv6 Gatewayフィールドで、このルートのネクストホップであるゲートウェイルータを入力または選択します。IPアドレスまたはNetworks/Hostsオブジェクトを指定できます。この例では、gw-outside2です。
5. Metricフィールドに、宛先ネットワークへのホップ数を入力します。有効な値の範囲は1 ～ 255で、デフォルト値は1です。この例では、最初のルートと同じメトリックを必ず1で指定してください。
6. ルートの可用性をモニタするには、モニタリングポリシーを定義するSLAモニタオブジェクトの名前をRoute Trackingフィールドに入力するか選択します。この例では、sla-outside2です。
7. [OK] をクリックします。

2番目のISPへのスタティックルートの追加

Saveをクリックし、設定をDeployします。

FTDのCLIにログインし、コマンドを実行して、各ゾーンshow zone  に属するインターフェイスを含むECMPトラフィックゾーンに関する情報を確認します。

> show zone
Zone: Outside ecmp
Security-level: 0
Zone member(s): 2
Outside2 GigabitEthernet0/1
Outside1 GigabitEthernet0/0

コマンドを実行してshow running-config route、ルーティング設定の実行コンフィギュレーションを確認します。この場合、ルートトラックを持つ2つのスタティックルートがあります。

> show running-config route
route Outside1 0.0.0.0 0.0.0.0 10.1.1.2 1 track 1
route Outside2 0.0.0.0 0.0.0.0 10.1.2.2 1 track 2

show route コマンドを実行してルーティングテーブルを確認します。この場合、等コストのoutside1およびoutside2インターフェイスを経由する2つのデフォルトルートがあり、トラフィックを2つのISP回線間で分散できます。

> show route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.1.2.2 to network 0.0.0.0

S* 0.0.0.0 0.0.0.0 [1/0] via 10.1.2.2, Outside2
                   [1/0] via 10.1.1.2, Outside1
C 10.1.1.0 255.255.255.0 is directly connected, Outside1
L 10.1.1.1 255.255.255.255 is directly connected, Outside1
C 10.1.2.0 255.255.255.0 is directly connected, Outside2
L 10.1.2.1 255.255.255.255 is directly connected, Outside2
C 10.1.3.0 255.255.255.0 is directly connected, Inside
L 10.1.3.1 255.255.255.255 is directly connected, Inside

コマンドを実行show sla monitor configurationして、SLAモニタの設定を確認します。

> show sla monitor configuration
SA Agent, Infrastructure Engine-II
Entry number: 1
Owner: 
Tag: 
Type of operation to perform: echo
Target address: 10.1.1.2
Interface: Outside1
Number of packets: 1
Request size (ARR data portion): 28
Operation timeout (milliseconds): 5000
Type Of Service parameters: 0x0
Verify data: No
Operation frequency (seconds): 60
Next Scheduled Start Time: Start Time already passed
Group Scheduled : FALSE
Life (seconds): Forever
Entry Ageout (seconds): never
Recurring (Starting Everyday): FALSE
Status of entry (SNMP RowStatus): Active
Enhanced History:

Entry number: 2
Owner: 
Tag: 
Type of operation to perform: echo
Target address: 10.1.2.2
Interface: Outside2
Number of packets: 1
Request size (ARR data portion): 28
Operation timeout (milliseconds): 5000
Type Of Service parameters: 0x0
Verify data: No
Operation frequency (seconds): 60
Next Scheduled Start Time: Start Time already passed
Group Scheduled : FALSE
Life (seconds): Forever
Entry Ageout (seconds): never
Recurring (Starting Everyday): FALSE
Status of entry (SNMP RowStatus): Active
Enhanced History:

コマンドを実行してshow sla monitor operational-state、SLAモニタの状態を確認します。この場合、コマンド出力に「Timeout occurred: FALSE」と表示されていれば、ゲートウェイへのICMPエコーが応答しているため、ターゲットインターフェイス経由のデフォルトルートがアクティブで、ルーティングテーブルに登録されています。

> show sla monitor operational-state
Entry number: 1
Modification time: 09:31:28.785 UTC Thu Feb 15 2024
Number of Octets Used by this Entry: 2056
Number of operations attempted: 82
Number of operations skipped: 0
Current seconds left in Life: Forever
Operational state of entry: Active
Last time this entry was reset: Never
Connection loss occurred: FALSE
Timeout occurred: FALSE
Over thresholds occurred: FALSE
Latest RTT (milliseconds): 1
Latest operation start time: 10:52:28.785 UTC Thu Feb 15 2024
Latest operation return code: OK
RTT Values:
RTTAvg: 1 RTTMin: 1 RTTMax: 1
NumOfRTT: 1 RTTSum: 1 RTTSum2: 1

Entry number: 2
Modification time: 09:31:28.785 UTC Thu Feb 15 2024
Number of Octets Used by this Entry: 2056
Number of operations attempted: 82
Number of operations skipped: 0
Current seconds left in Life: Forever
Operational state of entry: Active
Last time this entry was reset: Never
Connection loss occurred: FALSE
Timeout occurred: FALSE
Over thresholds occurred: FALSE
Latest RTT (milliseconds): 1
Latest operation start time: 10:52:28.785 UTC Thu Feb 15 2024
Latest operation return code: OK
RTT Values:
RTTAvg: 1 RTTMin: 1 RTTMax: 1
NumOfRTT: 1 RTTSum: 1 RTTSum2: 1

ロード バランシング

FTDを介した最初のトラフィックによる、ECMPによるECMPゾーン内のゲートウェイ間でのトラフィックのロードバランシングの確認show connこの場合、Inside-Host1(10.1.3.2)とInside-Host2(10.1.3.4)からInternet-Host(10.1.5.2)に向けてTelnet接続を開始し、コマンドを実行して、トラフィックが2つのISPリンク間でロードバランスされていることを確認します。Inside-Host1(10.1.3.2)はoutside1インターフェイスを通過し、Inside-Host2(10.1.3.4)はインターフェイスoutside2インターフェイスをを通過します。

> show conn
2 in use, 3 most used
Inspect Snort:
preserve-connection: 2 enabled, 0 in effect, 2 most enabled, 0 most in effect

TCP Inside 10.1.3.2:46069 Outside1 10.1.5.2:23, idle 0:00:24, bytes 1329, flags UIO N1
TCP Inside 10.1.3.4:61915 Outside2 10.1.5.2:23, idle 0:00:04, bytes 1329, flags UIO N1

注意：トラフィックは、送信元と宛先のIPアドレス、着信インターフェイス、プロトコル、送信元ポートおよび宛先ポートをハッシュするアルゴリズムに基づいて、指定されたゲートウェイ間でロードバランシングされます。テストを実行すると、シミュレートしたトラフィックは、ハッシュアルゴリズムにより同じゲートウェイにルーティングされる可能性があります。これは、ハッシュ結果を変更するために、6つのタプル（送信元IP、宛先IP、着信インターフェイス、プロトコル、送信元ポート、宛先ポート）間のの値を変更します。

失われたルート

最初のISPゲートウェイへのリンクがダウンしている場合は、シミュレートする最初のゲートウェイルータをシャットダウンします。FTDがSLAモニタオブジェクトで指定されたしきい値タイマー内に最初のISPゲートウェイからエコー応答を受信しない場合、そのホストは到達不能と見なされ、ダウン状態としてマークされます。最初のゲートウェイへのトラッキング対象ルートも、ルーティングテーブルから削除されます。

コマンドを実行してshow sla monitor operational-state、SLAモニタの現在の状態を確認します。この場合、コマンド出力に「Timeout occurred: True」と表示されており、最初のISPゲートウェイへのICMPエコーが応答していないことを示しています。

> show sla monitor operational-state
Entry number: 1
Modification time: 09:31:28.783 UTC Thu Feb 15 2024
Number of Octets Used by this Entry: 2056
Number of operations attempted: 104
Number of operations skipped: 0
Current seconds left in Life: Forever
Operational state of entry: Active
Last time this entry was reset: Never
Connection loss occurred: FALSE
Timeout occurred: TRUE
Over thresholds occurred: FALSE
Latest RTT (milliseconds): NoConnection/Busy/Timeout
Latest operation start time: 11:14:28.813 UTC Thu Feb 15 2024
Latest operation return code: Timeout
RTT Values:
RTTAvg: 0 RTTMin: 0 RTTMax: 0
NumOfRTT: 0 RTTSum: 0 RTTSum2: 0

Entry number: 2
Modification time: 09:31:28.783 UTC Thu Feb 15 2024
Number of Octets Used by this Entry: 2056
Number of operations attempted: 104
Number of operations skipped: 0
Current seconds left in Life: Forever
Operational state of entry: Active
Last time this entry was reset: Never
Connection loss occurred: FALSE
Timeout occurred: FALSE
Over thresholds occurred: FALSE
Latest RTT (milliseconds): 1
Latest operation start time: 11:14:28.813 UTC Thu Feb 15 2024
Latest operation return code: OK
RTT Values:
RTTAvg: 1 RTTMin: 1 RTTMax: 1
NumOfRTT: 1 RTTSum: 1 RTTSum2: 1

コマンドを実行して現在のルーティングテーブルをチェックshow routeします。インターフェイスoutside1を経由した1番目のISPゲートウェイへのルートが削除され、インターフェイスoutside2を経由した2番目のISPゲートウェイへのアクティブなデフォルトルートが1つしかありません。

> show route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.1.2.2 to network 0.0.0.0

S* 0.0.0.0 0.0.0.0 [1/0] via 10.1.2.2, Outside2
C 10.1.1.0 255.255.255.0 is directly connected, Outside1
L 10.1.1.1 255.255.255.255 is directly connected, Outside1
C 10.1.2.0 255.255.255.0 is directly connected, Outside2
L 10.1.2.1 255.255.255.255 is directly connected, Outside2
C 10.1.3.0 255.255.255.0 is directly connected, Inside
L 10.1.3.1 255.255.255.255 is directly connected, Inside

コマンドを実行するとshow conn、2つの接続がまだ確立されていることがわかります。telnetセッションは、Inside-Host1(10.1.3.2)とInside-Host2(10.1.3.4)でも中断なくアクティブです。

> show conn
2 in use, 3 most used
Inspect Snort:
preserve-connection: 2 enabled, 0 in effect, 2 most enabled, 0 most in effect

TCP Inside 10.1.3.2:46069 Outside1 10.1.5.2:23, idle 0:00:22, bytes 1329, flags UIO N1
TCP Inside 10.1.3.4:61915 Outside2 10.1.5.2:23, idle 0:00:02, bytes 1329, flags UIO N1

show conn 注：の出力で、Inside-Host1(10.1.3.2)からのTelnetセッションはインターフェイスoutside1を経由していますが、インターフェイスoutside1を経由するデフォルトルートはルーティングテーブルから削除されています。これは予期された動作であり、設計上、実際のトラフィックはインターフェイスoutside2を経由します。Inside-Host1(10.1.3.2)からInternet-Host(10.1.5.2)への新しい接続を開始すると、すべてのトラフィックがインターフェイスoutside2を通過していることがわかります。

ルーティングテーブルの変更を検証するには、コマンドdebug ip routingを実行します。

この例では、最初のISPゲートウェイへのリンクがダウンすると、インターフェイスoutside1を経由するルートがルーティングテーブルから削除されます。

> debug ip routing
IP routing debugging is on

RT: ip_route_delete 0.0.0.0 0.0.0.0 via 10.1.1.2, Outside1
ha_cluster_synced 0 routetype 0

RT: del 0.0.0.0 via 10.1.1.2, static metric [1/0]NP-route: Delete-Output 0.0.0.0/0 hop_count:1 , via 0.0.0.0, Outside1

RT(mgmt-only): NP-route: Update-Output 0.0.0.0/0 hop_count:1 , via 10.1.2.2, Outside2

NP-route: Update-Input 0.0.0.0/0 hop_count:1 Distance:1 Flags:0X0 , via 10.1.2.2, Outside2

コマンドを実行してshow route、現在のルーティングテーブルを確認します。

> show route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.1.2.2 to network 0.0.0.0

S* 0.0.0.0 0.0.0.0 [1/0] via 10.1.2.2, Outside2
C 10.1.1.0 255.255.255.0 is directly connected, Outside1
L 10.1.1.1 255.255.255.255 is directly connected, Outside1
C 10.1.2.0 255.255.255.0 is directly connected, Outside2
L 10.1.2.1 255.255.255.255 is directly connected, Outside2
C 10.1.3.0 255.255.255.0 is directly connected, Inside
L 10.1.3.1 255.255.255.255 is directly connected, Inside

最初のISPゲートウェイへのリンクが再びアップすると、インターフェイスoutside1を経由するルートがルーティングテーブルに追加されます。

> debug ip routing
IP routing debugging is on
NP-route: Update-Output 0.0.0.0/0 hop_count:1 , via 10.1.2.2, Outside2
NP-route: Update-Output 0.0.0.0/0 hop_count:1 , via 10.1.1.2, Outside2
NP-route: Update-Input 0.0.0.0/0 hop_count:2 Distance:1 Flags:0X0 , via 10.1.2.2, Outside2
 via 10.1.1.2, Outside1

コマンドを実行してshow route、現在のルーティングテーブルを確認します。

> show route

Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.1.2.2 to network 0.0.0.0

S* 0.0.0.0 0.0.0.0 [1/0] via 10.1.2.2, Outside2
                   [1/0] via 10.1.1.2, Outside1
C 10.1.1.0 255.255.255.0 is directly connected, Outside1
L 10.1.1.1 255.255.255.255 is directly connected, Outside1
C 10.1.2.0 255.255.255.0 is directly connected, Outside2
L 10.1.2.1 255.255.255.255 is directly connected, Outside2
C 10.1.3.0 255.255.255.0 is directly connected, Inside
L 10.1.3.1 255.255.255.255 is directly connected, Inside