VXLAN-interfaces op beveiligde FTD met beveiligde FMC configureren

Inleiding

Dit document beschrijft hoe u de VXLAN-interfaces op Secure Firewall Threat Defence (FTD) kunt configureren met het Secure Firewall Management Center (FMC)

Voorwaarden

Vereisten

Cisco raadt u aan deze onderwerpen te kennen:

• Basis VLAN/VXLAN-concepten.
• Basisnetwerkkennis.
• Basis Cisco Secure Management Center-ervaring.
• Basis ervaring met Cisco Secure Firewall Threat Defence.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Secure Firewall Management Center Virtual (FMCv) VMware met 7.2.4 release.
• Cisco Secure Firewall Threat Defence Virtual Appliance (FTDv) voor VMware met 7.2.4 release.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Virtual Extensible VLAN (VXLAN) biedt Ethernet Layer 2-netwerkservices zoals traditioneel VLAN. Wegens de hoge vraag naar VLAN-segmenten in virtuele omgevingen biedt VXLAN grotere rekbaarheid, flexibiliteit en definieert ook een MAC-in-UDP-inkapselingsschema waarin het oorspronkelijke Layer 2-frame een VXLAN-header heeft toegevoegd en vervolgens in een UDP-IP-pakket wordt geplaatst. Met deze MAC-in-UDP insluiting, tunnelt VXLAN Layer 2 netwerk via Layer 3 netwerk. VXLAN biedt de volgende voordelen:

• VLAN-flexibiliteit in segmenten met meerdere deelnemers:
• Hogere schaalbaarheid voor meer Layer 2 (L2)-segmenten.
• Verbeterd netwerkgebruik.

De Cisco Secure Firewall Threat Defence (FTD) ondersteunt twee typen VXLAN-insluiting.

• VXLAN (gebruikt voor alle beveiligde firewall-bedreigingsverdedigingsmodellen)
• Geneve (gebruikt voor virtuele applicatie voor beveiligde firewall-bedreigingsverdediging)

Geneve inkapseling is vereist voor transparante routing van pakketten tussen Amazon Web Services (AWS) Gateway-taakverdeling en -apparaten, en voor het verzenden van extra informatie.

VXLAN gebruikt het VXLAN Tunnel Endpoint (VTEP) om eindapparaten van huurders aan VXLAN-segmenten in kaart te brengen en VXLAN-insluiting en -decapsulatie uit te voeren. Elke VTEP heeft twee interfacetypen: een of meer virtuele interfaces, VXLAN Network Identifier (VNI) interfaces waar beveiligingsbeleid kan worden toegepast, en een reguliere interface, VTEP source interface, waar VNI interfaces worden getunneld tussen VTEP's. De VTEP-broninterface is gekoppeld aan het IP-netwerk voor VTEP-naar-VTEP-communicatie. VNI-interfaces zijn vergelijkbaar met VLAN-interfaces: het zijn virtuele interfaces die netwerkverkeer op een bepaalde fysieke interface gescheiden houden door gebruik te maken van tagging. Beveiligingsbeleid wordt toegepast op elke VNI-interface. Er kan één VTEP-interface worden toegevoegd en alle VNI-interfaces zijn gekoppeld aan dezelfde VTEP-interface. Er is een uitzondering voor de virtuele clustering van bedreigingsverdediging op AWS.

Er zijn drie manieren waarin de bedreigingsverdediging inkapselt en decapsuleert:

• Eén peer VTEP IP-adres kan statisch worden geconfigureerd voor de bescherming tegen bedreigingen.
• Een groep peer-VTEP IP-adressen kan op de bedreigingsverdediging statisch worden geconfigureerd.
• Op elke VNI-interface kan een multicast groep worden geconfigureerd.

Dit document is gericht op VXLAN-interfaces voor VXLAN-insluiting met een groep van twee statische peer-VTEP IP-adressen. Als u Geneve interfaces moet configureren, controleer dan de Officiële documentatie voor Geneve interfaces in AWS of configureer VTEP met één peer of multicast groep, controleer dan de VTEP interface met één peer of multicast groepsconfiguratiegids.

Netwerkdiagram

Netwerktopologie

In het gedeelte Configuration wordt ervan uitgegaan dat het onderliggenetwerk al is geconfigureerd voor bescherming tegen bedreigingen via het Secure Firewall Management Center. Dit document is gericht op overlay-netwerkconfiguratie.

Configureren

De VTEP-peer groep configureren

Stap 1: Ga naar Objecten > Objectbeheer.

Objecten - Objectbeheer

Stap 2: Klik op Network in het linkermenu. 

Netwerk

Stap 3: Maak netwerkhost-objecten voor de VTEP peer IP-adressen. Klik op Netwerk toevoegen > Object toevoegen.

Netwerk toevoegen - Object toevoegen

Stap 4: Maak een nieuw host Network Object voor de VTEP peer. Stel een objectnaam en IP-adres in en klik op Opslaan.

Nieuw netwerkobject

Stap 5: Maak een objectgroep, klik op Add Network > Add Group.

Netwerk toevoegen - Groep toevoegen

Stap 6: Maak de netwerkobjectgroep met alle VTEP peer IP-adressen. Stel een naam voor de netwerkgroep in en selecteer de gewenste netwerkobjectgroepen. Klik vervolgens op Opslaan.

Netwerkobjectgroep maken

Stap 7: Bevestig het netwerkobject en de netwerkobjectgroep vanuit het netwerkobjectfilter.

De VTEP-objectgroep valideren

De VTEP-broninterface configureren

Stap 1: Navigeer naar Apparaten > Apparaatbeheer en bewerk de beveiliging tegen bedreigingen.

Apparaten - Apparaatbeheer

Stap 2: Navigeer naar de VTEP-sectie.

VTEP-sectie

Stap 3: Selecteer het aanvinkvakje Enable VNE en klik op Add VTEP.

NVE inschakelen en VTEP toevoegen

Stap 4: Kies VxLAN als insluitingstype, voer de waarde voor insluitingshaven in en kies de interface die voor VTEP-bron wordt gebruikt bij deze bedreigingsverdediging (buiteninterface voor deze configuratiegids)

VTEP toevoegen

Opmerking: VxLAN-insluiting is de standaardinsluiting. Voor AWS kunt u kiezen tussen VxLAN en Geneve. De standaardwaarde is 4789, elke insluitingspoort kan worden gekozen tussen 1024 - 65535 bereik volgens ontwerp.

Stap 5: Selecteer Peer Group en kies de netwerkobjectgroep die in de vorige configuratiesectie is gemaakt. Klik vervolgens op OK.

Peer Group - netwerkobjectgroep

Stap 6: Sla de wijzigingen op.

Stap 7:Klik op Interfaces en bewerk de interface die wordt gebruikt voor de VTEP-broninterface. (Buiten interface op deze configuratiehandleiding)

Buiten als VTEP-broninterface

Stap 8 (optioneel): controleer op de algemene pagina het aankruisvakje alleen NVE, klik vervolgens op OK.

Configuratie alleen NVE

Stap 9: Sla de wijzigingen op.

De VTEP VLAN-interface configureren

Stap 1: Navigeer Apparaten > Apparaatbeheer, en bewerk de bedreigingsverdediging.

Apparaten - Apparaatbeheer

Stap 2: Klik onder het gedeelte Interfaces op Interfaces toevoegen > VNI-interfaces.

Interfaces - Interfaces toevoegen - VNI-interfaces

Stap 3: Stel onder de sectie Algemeen de VNI-interface in met naam, beschrijving, Security Zone, VNI-id en VNI-segment-id.

VNI-interface toevoegen

Stap 3: Selecteer het selectievakje NVE toegewezen aan VTEP-interface en klik op OK.

NVE toegewezen aan VTEP-interface

Stap 4: Configureer een statische route om de doelnetwerken voor VXLAN te adverteren naar de VNI peer interface. Navigeer routing > Statische route.

Statische routeconfiguratie

Stap 5: Opslaan en implementeren van de wijzigingen.

Verifiëren

Controleer de NVE configuratie.

firepower# show running-config nve
nve 1
encapsulation vxlan
source-interface OUTSIDE
peer-group FPR1-VTEP-Group-Object

firepower# show nve 1
nve 1, source-interface "OUTSIDE" is up (nve-only cluster is OFF)
IP address 172.16.203.1, subnet mask 255.255.255.0
Encapsulation: vxlan
Encapsulated traffic statistics:
1309 packets input, 128170 bytes
2009 packets output, 230006 bytes
142 packets dropped
Number of configured static peer VTEPs: 0
Configured static peer group: FPR1-VTEP-Group-Object
Configured static peer group VTEPs:
IP address 172.16.205.1 MAC address 0050.56b3.c30a (learned)
IP address 172.16.207.1 MAC address 0050.56b3.c30a (learned)
Number of discovered peer VTEPs: 1
Discovered peer VTEPs:
IP address 172.16.205.1
IP address 172.16.207.1
Number of VNIs attached to nve 1: 1
VNIs attached:
vni 100: proxy off, segment-id 10001, mcast-group none
NVE proxy single-arm channel is off.

firepower# show nve 1 summary
nve 1, source-interface "OUTSIDE" is up (nve-only cluster is OFF)
Encapsulation: vxlan
Number of configured static peer VTEPs: 0
Configured static peer group: FPR1-VTEP-Group-Object
Number of discovered peer VTEPs: 2
Number of VNIs attached to nve 1: 1
NVE proxy single-arm channel is off.

Controleer de configuratie van de VNI-interface.

firepower# show run interface
interface vni100
segment-id 10001
nameif VNI-1
security-level 0
ip address 172.16.209.1 255.255.255.0
vtep-nve 1

Controleer de MTU-configuratie op de VTEP-interface.

firepower# show interface GigabitEthernet0/1
Interface GigabitEthernet0/1 "OUTSIDE", is up, line protocol is up
Hardware is net_vmxnet3, BW 10000 Mbps, DLY 10 usec
Auto-Duplex(Full-duplex), Auto-Speed(10000 Mbps)
Input flow control is unsupported, output flow control is unsupported
MAC address 0050.56b3.26b8, MTU 1554
IP address 172.16.203.1, subnet mask 255.255.255.0
---
[Output omitted]
---

Controleer de statische routeconfiguratie voor doelnetwerken.

firepower# show run route
route OUTSIDE 0.0.0.0 0.0.0.0 172.16.203.3 10
route VNI-1 172.16.212.0 255.255.255.0 172.16.209.2 1
route VNI-1 172.16.215.0 255.255.255.0 172.16.209.3 1

Problemen oplossen

Controleer de connectiviteit met VTEP-peers.

Peer 1:

firepower# ping 172.16.205.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.16.205.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Peer 2:

firepower# ping 172.16.207.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.16.207.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Controleer de connectiviteit met VNI-peers.

.

Peer 1:

firepower# ping 172.16.209.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.16.209.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/10 ms

Peer 2:

firepower# ping 172.16.209.3
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.16.209.3, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/10 ms

Soms, kan een verkeerde statische route gevormd ARP onvolledige output produceren. Configureer een opname op de VTEP interface voor VXLAN-pakketten en download deze op een pcap-indeling. Elk pakketanalyzer-gereedschap helpt te bevestigen of er problemen zijn met de routes. Zorg ervoor dat u het VNI peer IP-adres als gateway gebruikt.

Probleem met routing

Configureer de ASP-drop-opnamen op beveiligde FTD in het geval van een Firewall-drop, controleer de ASP-drop-teller met de opdracht Snel drogen. Neem contact op met Cisco TAC voor analyse.

Zorg ervoor dat u toegangscontroleregels configureert om het VXLAN UDP-verkeer op de VNI/VTEP-interface toe te staan.

Soms kunnen de VXLAN-pakketten gefragmenteerd zijn en ervoor zorgen dat de MTU wordt gewijzigd in jumboframes op het onderlegnetwerk om fragmentatie te voorkomen.

Configureer de opname op de Ingress/VTEP-interface en download de opnamen op .pcap-formaat voor analyse. De pakketten moeten de VXLAN-header op de VTEP-interface bevatten.

Ping opgenomen met VXLAN-header

VXLAN-header

Gerelateerde informatie

• VXLAN-interfaces configureren
• VXLAN-gebruikscases
• VXLAN-pakketverwerking
• De VTEP-broninterface configureren
• De VPN-interface configureren
• Cisco Technical Support en downloads