Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Conventies

Achtergrondinformatie

Probleem

Oplossing 1

Oplossing 2

Gerelateerde informatie

Inleiding

Dit document beschrijft hoe een foutmelding wordt opgelost die kan worden weergegeven wanneer u een nieuwe adaptieve security applicatie (ASA) probeert toe te voegen aan een bestaand cluster van ASA's.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Basiskennis van clustering

- Basiskennis van het configureren van clustering op de ASA

- Basiskennis van de Secure Socket Layer (SSL) handshake

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- ASA-softwareversie 9.0 of hoger

- ASA 5580 of ASA 5585-X Series toestellen

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg Cisco Technical Tips Convention voor informatie over documentconventies.

Achtergrondinformatie

Dankzij clusteren kunt u meerdere fysieke ASA's in één logische eenheid combineren, wat een hogere doorvoersnelheid en redundantie oplevert. Raadpleeg voor meer informatie over clustering de Cisco ASA Series CLI Configuration Guide, 9.0.

In dit scenario is clustering in de ASA-masteropleiding ingesteld en ingeschakeld; op de slaaf ASA is clustering geconfigureerd maar niet ingeschakeld.

Probleem

Wanneer u clustering op de slaaf ASA toelaat, wordt het onmiddellijk uitgeschakeld met een RPC (Remote Procedure call) foutmelding. Dit is een voorbeeld van de foutmelding:

ASA2/ClusterDisabled(config)# cluster group TEST-Group

ASA2/ClusterDisabled(cfg-cluster)# enable as-slave

INFO: This unit will be enabled as a cluster slave without sanity check and confirmation.

ASA2/ClusterDisabled(cfg-cluster)# cluster_ccp_make_rpc_call failed to clnt_call. msg is CCP_MSG_REGISTER,

ret is RPC_SYSTEMERROR

Cluster disable is performing cleanup..done.

All data interfaces have been shutdown due to clustering being disabled. To recover either enable clustering

or remove cluster group configuration.

Eén mogelijke oorzaak van deze fout is een SSL algoritme van het algoritme van de SSL tussen de meester en de slaaf ASA. Voor het bundelen van clusters is vereist dat er ten minste één overeenkomende SSL-algoritme tussen de master en de slaveneenheid aanwezig is die aan het cluster moet worden toegevoegd. Raadpleeg dit vereiste in de Cisco ASA Series CLI Configuration Guide, 9.0:

Nieuwe clusterleden moeten dezelfde SSL-encryptie-instelling (de SSL-encryptie-opdracht) gebruiken als de master-unit.

Bij een foutief scenario wordt een syslogbericht ingelogd:

%ASA-7-725014: SSL lib error. Function: SSL23_GET_SERVER_HELLO Reason: sslv3 alert handshake failure

Een voorbeeld van een mismatch is deze encryptie op de master ASA:

ASA1/master# sh run all ssl

ssl server-version any

ssl client-version any

ssl encryption rc4-sha1 aes128-sha1 aes256-sha1 3des-sha1

En deze encryptie op de slaaf ASA die aan het cluster wordt toegevoegd:

ASA2/ClusterDisabled# sh run all ssl

ssl server-version any

ssl client-version any

ssl encryption des-sha1

Dit verschil doet zich vaak voor wanneer een sterke encryptie (3DES/AES) licentie niet op de harde ASA is geïnstalleerd. De lijst met algoritmische reeksen op de slaaf-ASA standaardinstellingen van des-sha1 en wordt niet bijgewerkt wanneer de 3DES/AES-licentie wordt toegevoegd aan de slaaf-ASA.

Er zijn twee oplossingen voor deze mismatch.

Oplossing 1

Voeg des-sha1 toe als een geldig SSL-algoritme in de ASA-master:

ASA1/master# configuration terminal

ASA1/master(config)# ssl encryption des-sha1

Opmerking: Cisco raadt niet aan om des-sha1 in te schakelen omdat het een zwak algoritme is en kwetsbaar wordt geacht.

Oplossing 2

Voeg aan de slaaf ASA ten minste één van deze SSL-algoritmen toe: rc4-sha1, aes128-sha1, aes256-sha1 of 3des-sha1:

ASA2/ClusterDisabled# configuration terminal

ASA2/ClusterDisabled(config)# ssl encryption rc4-sha1

Gerelateerde informatie

- Cisco ASA Series CLI-configuratiegids, 9.0

- Technische ondersteuning en documentatie – Cisco Systems