Firepower インターフェイスについて
Firepower 4100/9300 シャーシは、物理インターフェイス、コンテナ インスタンス用の VLAN サブインターフェイス、および EtherChannel（ポートチャネル）インターフェイスをサポートします。EtherChannel のインターフェイスには、同じタイプのメンバ インターフェイスを最大で 16 個含めることができます。
シャーシ管理インターフェイス
シャーシ管理インターフェイスは、SSH または Firepower Chassis Manager で、FXOS シャーシの管理に使用されます。このインターフェイスは MGMTとして、[Interfaces] タブの上部に表示されます。[Interfaces] タブでは、このインターフェイスの有効化または無効化のみを実行できます。このインターフェイスは、アプリケーション管理のために論理デバイスに割り当てる mgmt-type タイプのインターフェイスとは区別されます。
このインターフェイスのパラメータを設定するには、CLI から設定する必要があります。FXOS の CLI にこのインターフェイスに関する情報を表示するには、ローカル管理に接続し、管理ポートを表示します。
FirePOWER connect local-mgmt
firepower(local-mgmt) # show mgmt-port
物理ケーブルまたは SFP モジュールが取り外されている場合や mgmt-port shut コマンドが実行されている場合でも、シャーシ管理インターフェイスは稼働状態のままである点に注意してください。
インターフェイス タイプ
各インターフェイスは、次のいずれかのタイプになります。
-
Data：通常のデータに使用します。データ インターフェイスは論理デバイス間で共有できません。データ インターフェイスを論理デバイス間で共有することはできません。また、論理デバイスからバックプレーンを介して他の論理デバイスに通信することはできません。データ インターフェイスのトラフィックの場合、すべてのトラフィックは別の論理デバイスに到達するために、あるインターフェイスでシャーシを抜け出し、別のインターフェイスで戻る必要があります。
-
Data-sharing：通常のデータに使用します。コンテナ インスタンスでのみサポートされ、これらのデータ インターフェイスは 1 つまたは複数の論理デバイス/コンテナ インスタンス（FTD 専用）で共有できます。各コンテナ インスタンスは、このインターフェイスを共有する他のすべてのインスタンスと、バック プレーン経由で通信できます。共有インターフェイスは、展開可能なコンテナ インスタンスの数に影響することがあります。共有インターフェイスの拡張性を参照してください。共有インターフェイスは、ブリッジ グループ メンバ インターフェイス（トランスペアレント モードまたはルーテッド モード）、インライン セット、パッシブ インターフェイス、またはフェールオーバー リンクではサポートされません。
-
Mgmt：アプリケーション インスタンスの管理に使用します。これらのインターフェイスは、外部ホストにアクセスするために 1 つまたは複数の論理デバイスで共有できます。論理デバイスが、このインターフェイスを介して、インターフェイスを共有する他の論理デバイスと通信することはできません。各論理デバイスには、管理インターフェイスを 1 つだけ割り当てることができます。
-
Firepower-eventing：FTD デバイスのセカンダリ管理インターフェイスとして使用します。このインターフェイスを使用するには、FTD CLI で IP アドレスなどのパラメータを設定する必要があります。たとえば、イベント（Web イベントなど）から管理トラフィックを分類できます。 管理インターフェイスを参照してください。Firepower イベント インターフェイスは、外部ホストにアクセスするために 1 つまたは複数の論理デバイスで共有できます。論理デバイスはこのインターフェイスを介してインターフェイスを共有する他の倫理デバイスと通信することはできません。
-
Cluster：クラスタ化された論理デバイスのクラスタ制御リンクとして使用します。デフォルトでは、クラスタ制御リンクは 48 番のポートチャネル上に自動的に作成されます。このタイプは、EtherChannel インターフェイスのみでサポートされます。
シャーシとアプリケーションの独立したインターフェイスの状態
管理上、シャーシおよびアプリケーションの両方で、インターフェイスを有効および無効にできます。インターフェイスを動作させるには、両方のオペレーティング システムで、インターフェイスを有効にする必要があります。インターフェイスの状態は個別に制御されるので、シャーシとアプリケーションの間の不一致が生じることがあります。
アプリケーションのインターフェイスのデフォルトの状態は、インターフェイスのタイプによって異なります。たとえば、物理インターフェイスまたは EtherChannel は、アプリケーション内ではデフォルトで無効になっていますが、サブインターフェイスはデフォルトで有効になっています。
共有インターフェイスの拡張性
コンテナ インスタンスは、data-sharing タイプのインターフェイスを共有できます。この機能を使用すると、柔軟なネットワーキング展開をサポートするだけでなく、物理インターフェイスの使用率を一定に維持することができます。インターフェイスを共有する場合、シャーシは一意の MAC アドレスを使用して適切なインスタンスにトラフィックを転送します。ただし、共有インターフェイスではシャーシ内のフル メッシュ トポロジのニーズによって転送テーブルが大きくなることがあります（すべてのインスタンスが同じインターフェイスを共有しているその他すべてのインスタンスと通信できる必要があります）。そのため、共有できるインターフェイスの数には制限があります。
転送テーブルに加えて、シャーシは VLAN サブインターフェイスの転送用に VLAN グループ テーブルも保持します。 親インターフェイスの数とその他の導入決定に応じて、最大 500 個の VLAN サブインターフェイスを作成できます。
共有インターフェイスの割り当てに次の制限を参照してください。
共有インターフェイスのベスト プラクティス
転送テーブルの拡張性を最適にするには、共有するインターフェイスの数をできる限り少なくします。代わりに、1 つまたは複数の物理インターフェイスに最大 500 個の VLAN サブインターフェイスを作成し、コンテナ インスタンスで VLAN を分割できます。
インターフェイスを共有する場合は、拡張性の高いものから低いものの順に次の手順を実行します。
-
最適：単一の親の下のサブインターフェイスを共有し、論理デバイス グループと同じサブインターフェイスのセットを使用します。
たとえば、同じ種類のインターフェイスをすべてバンドルするための大規模な EtherChannel を作成し、Port-Channel1、Port-Channel2、Port-Channel3 の代わりに、その EtherChannel のサブインターフェイス（Port-Channel1.100、200、300）を共有します。単一の親のサブインターフェイスを共有する場合、物理/EtherChannel インターフェイスまたは複数の親にわたるサブインターフェイスを共有するときの VLAN グループ テーブルの拡張性は転送テーブルよりも優れています。
論理デバイスのグループと同じサブインターフェイスのセットを共有しない場合は、（VLAN グループよりも）より多くのリソースを設定で使用することになる可能性があります。たとえば、Port-Channel1.100 を論理デバイス 1 および 2 と共有するとともに、Port-Channel1.200 を論理デバイス 2 および 3 と共有するのではなく、Port-Channel1.100 および 200 を論理デバイス 1、2、3（1 つの VLAN グループ）と共有します。
-
普通：親の間でサブインターフェイスを共有します。
たとえば、Port-Channel1、Port-Channel2、Port-Channel3 の代わりに Port-Channel1.100、Port-Channel2.200、Port-Channel3.300 を共有します。この使用方法は同じ親のサブインターフェイスのみを共有するよりも効率は劣りますが、VLAN グループを利用しています。
-
最悪：個々の親インターフェイス（物理または EtherChannel）を共有します。
この方法は、最も多くの転送テーブル エントリを使用します。
共有インターフェイスの使用状況の例
インターフェイス共有および拡張性の例については、次の表を参照してください。以下のシナリオは、すべてのインスタンス間で共有されている管理用の 1 つの物理/EtherChannel インターフェイスと、ハイ アベイラビリティで使用する専用のサブインターフェイスを含むもう 1 つの物理/EtherChannel インターフェイスを使用していることを前提としています。
3 つの SM-44 と Firepower 9300
次の表は、物理インターフェイスまたは Etherchannel のみを使用している 9300 の 3 つの SM-44 セキュリティ モジュールに適用されます。サブインターフェイスがなければ、インターフェイスの最大数が制限されます。さらに、複数の物理インターフェイスを共有するには、複数のサブインターフェイスを共有するよりも多くの転送テーブル リソースを使用します。
各 SM-44 モジュールは、最大 14 のインスタンスをサポートできます。インスタンスは、制限内に収める必要に応じてモジュール間で分割されます。
|
専用インターフェイス |
共有インターフェイス |
Number of Instances |
転送テーブルの使用率（%） |
|---|---|---|---|
|
32：
|
0 |
4：
|
16 % |
|
30：
|
0 |
2:
|
14% |
|
14：
|
1 |
14：
|
46 % |
|
33：
|
3：
|
33：
|
98% |
|
33：
|
3：
|
34：
|
102 % 許可しない |
|
30：
|
1 |
6：
|
25 % |
|
30：
|
3：
|
6：
|
23 % |
|
30：
|
2 |
5：
|
28% |
|
30：
|
4：
|
5：
|
26 % |
|
24：
|
7 |
4：
|
44 % |
|
24：
|
14：
|
4：
|
41% |
次の表は、単一の親物理インターフェイス上でサブインターフェイスを使用している 9300 上の 3 つの SM-44 セキュリティ モジュールに適用されます。たとえば、同じ種類のインターフェイスをすべてバンドルするための大規模な EtherChannel を作成し、EtherChannel のサブインターフェイスを共有します。複数の物理インターフェイスを共有するには、複数のサブインターフェイスを共有するよりも多くの転送テーブル リソースを使用します。
各 SM-44 モジュールは、最大 14 のインスタンスをサポートできます。インスタンスは、制限内に収める必要に応じてモジュール間で分割されます。
|
専用サブインターフェイス |
共有サブインターフェイス |
Number of Instances |
転送テーブルの使用率（%） |
|---|---|---|---|
|
168：
|
0 |
42：
|
33% |
|
224：
|
0 |
14：
|
27 % |
|
14：
|
1 |
14：
|
46 % |
|
33：
|
3：
|
33：
|
98% |
|
70：
|
1 |
14：
|
46 % |
|
165：
|
3：
|
33：
|
98% |
|
70：
|
2 |
14：
|
46 % |
|
165：
|
6：
|
33：
|
98% |
|
70：
|
10 |
14：
|
46 % |
|
165：
|
30：
|
33：
|
102 % 許可しない |
1 つの SM-44 を備えた Firepower 9300
次の表は、物理インターフェイスまたは Etherchannel のみを使用している 1 つの SM-44 を備えた Firepower 9300 に適用されます。サブインターフェイスがなければ、インターフェイスの最大数が制限されます。さらに、複数の物理インターフェイスを共有するには、複数のサブインターフェイスを共有するよりも多くの転送テーブル リソースを使用します。
1 つの SM-44 を備えた Firepower 9300 は、最大 14 のインスタンスをサポートできます。
|
専用インターフェイス |
共有インターフェイス |
Number of Instances |
転送テーブルの使用率（%） |
|---|---|---|---|
|
32：
|
0 |
4：
|
16 % |
|
30：
|
0 |
2:
|
14% |
|
14：
|
1 |
14：
|
46 % |
|
14：
|
2:
|
14：
|
37 % |
|
32：
|
1 |
4：
|
21 % |
|
32：
|
2 |
4：
|
20 % |
|
32：
|
2 |
4：
|
25 % |
|
32：
|
4：
|
4：
|
24 % |
|
24：
|
8 |
3：
|
37 % |
|
10：
|
10 |
5：
|
69% |
|
10：
|
20：
|
5：
|
59% |
|
14：
|
10 |
7：
|
109% 許可しない |
次の表は、単一の親物理インターフェイス上でサブインターフェイスを使用している 1 つの SM-44 を備えた Firepower 9300 に適用されます。たとえば、同じ種類のインターフェイスをすべてバンドルするための大規模な EtherChannel を作成し、EtherChannel のサブインターフェイスを共有します。複数の物理インターフェイスを共有するには、複数のサブインターフェイスを共有するよりも多くの転送テーブル リソースを使用します。
1 つの SM-44 を備えた Firepower 9300 は、最大 14 のインスタンスをサポートできます。
|
専用サブインターフェイス |
共有サブインターフェイス |
Number of Instances |
転送テーブルの使用率（%） |
|---|---|---|---|
|
112：
|
0 |
14：
|
17% |
|
224：
|
0 |
14：
|
17% |
|
14：
|
1 |
14：
|
46 % |
|
14：
|
2:
|
14：
|
37 % |
|
112：
|
1 |
14：
|
46 % |
|
112：
|
2:
|
14：
|
37 % |
|
112：
|
2 |
14：
|
46 % |
|
112：
|
4：
|
14：
|
37 % |
|
140：
|
10 |
14：
|
46 % |
|
140：
|
20：
|
14：
|
37 % |
共有インターフェイス リソースの表示
転送テーブルと VLAN グループの使用状況を表示するには、scope fabric-interconnect で show detail コマンドを入力します。次に例を示します。
Firepower# scope fabric-interconnect
DFirepower /fabric-interconnect # show detail
Fabric Interconnect:
ID: A
Product Name: Cisco FPR9K-SUP
PID: FPR9K-SUP
VID: V02
Vendor: Cisco Systems, Inc.
Serial (SN): JAD104807YN
HW Revision: 0
Total Memory (MB): 16185
OOB IP Addr: 10.10.5.14
OOB Gateway: 10.10.5.1
OOB Netmask: 255.255.255.0
OOB IPv6 Address: ::
OOB IPv6 Gateway: ::
Prefix: 64
Operability: Operable
Thermal Status: Ok
Ingress VLAN Group Entry Count (Current/Max): 0/500
Switch Forwarding Path Entry Count (Current/Max): 16/1021
Current Task 1:
Current Task 2:
Current Task 3:
Firepower Threat Defense のインライン セット リンク ステートの伝達
インライン セットはワイヤ上のバンプのように動作し、2 つのインターフェイスを一緒にバインドし、既存のネットワークに組み込みます。この機能によって、隣接するネットワーク デバイスの設定がなくても、任意のネットワーク環境にシステムをインストールすることができます。インライン インターフェイスはすべてのトラフィックを無条件に受信しますが、これらのインターフェイスで受信されたすべてのトラフィックは、明示的にドロップされない限り、インライン セットの外部に再送信されます。
FTD アプリケーションでインライン セットを設定し、リンク ステート伝達を有効にすると、FTD はインライン セット メンバーシップを FXOS シャーシに送信します。リンク ステート伝達により、インライン セットのインターフェイスの 1 つが停止した場合、シャーシは、インライン インターフェイス ペアの 2 番目のインターフェイスも自動的に停止します。停止したインターフェイスが再び起動すると、2 番目のインターフェイスも自動的に起動します。つまり、1 つのインターフェイスのリンク ステートが変化すると、シャーシはその変化を検知し、その変化に合わせて他のインターフェイスのリンク ステートを更新します。ただし、シャーシからリンク ステートの変更が伝達されるまで最大 4 秒かかります。障害状態のネットワーク デバイスを避けてトラフィックを自動的に再ルーティングするようルータが設定された復元力の高いネットワーク環境では、リンク ステート伝播が特に有効です。
）
）
![[Reinitialize] アイコン）](/c/dam/en/us/td/i/400001-500000/430001-440000/434001-435000/434615.jpg)
![[sharing] アイコン](/c/dam/en/us/td/i/400001-500000/420001-430000/429001-430000/429673.jpg)
）
。特定のインターフェイス モジュールでは、インライン セット インターフェイスに対してのみハードウェア バイパス機能を有効にできます（
）をクリックします。[インターフェイス（Interfaces）]
フィードバック