Inline-instelvolgorde voor FTD op FMC verduidelijken

Inleiding

In dit document wordt beschreven waarom de interfacevolgorde voor inline sets anders is, zelfs als de conventie voor interfacenamen gelijk is voor alle sets.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Secure Firewall Threat Defense (FTD)
• Secure Firewall Management Center (FMC)
• Secure Firewall Extensible Operating System (FXOS)
• REST-API

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Secure Firewall Threat Defense versie 7.2.5.1
• Secure Firewall Manager Center versie 7.2.5.1
• Secure Firewall Extensible Operating System 2.12(1.48)
• Secure Firewall Chassis Manager (FCM)

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

analyse

voorbeeld

In dit geval wordt bijvoorbeeld een FTD met zes (6) interfaces opgezet in inline paren:

Ethernet1/1 (Inside-A)
Ethernet1/2 (Outside-A)
Ethernet1/3 (Inside-B)
Ethernet1/4 (Outside-B)
Ethernet1/5 (Inside-C)
Ethernet1/6 (Outside-C)

FTD-interfacelijst

Het is de bedoeling dat de Inline-sets worden geconfigureerd van binnen naar buiten voor elk paar, wat resulteert in de volgende configuratie:

Inline Set A: Inside-A <-> Outside-A
Inline Set B: Inside-B <-> Outside-B
Inline Set C: Inside-C <-> Outside-C

Gebruikers verwachten dat de volgorde van de interfaces in alfabetische volgorde wordt weergegeven door de logische naam van de interface of de fysieke naam van de interface. Deze instelling resulteert echter in een andere volgorde, zoals weergegeven in de volgende afbeelding:

FTD Inline Sets

Gebruikers merken dat de Inline set C een andere volgorde heeft dan de andere twee inline sets.

Opmerking: Het is belangrijk op te merken dat de bestelling van het Inline Set Interface Pair geen communicatie- of operationele problemen veroorzaakt, maar het kan betrekking hebben op esthetische doeleinden.

verklaring

Inline sets interface order wordt niet toegewezen door de naam, maar door ID, die wordt geverifieerd via REST-API.

Stap 1. Om dit te verifiëren moet FMC REST-API explorer worden geopend. Dit wordt bereikt door toegang te krijgen tot de volgende URL-syntaxis:

https://FMC  IP/api/api-explorer

FMC REST-API Explorer

Stap 2. Navigeer naar Apparaten en vouw het menu uit.

Menu Apparaten

Stap 3. Ga naar de optie GET voor:

​/api​/fmc_config​/v1​/domain​/{domainUUID}​/devices​/devicerecords​/{containerUUID}​/inlinesets

Inline Sets GET Option

Stap 4. Klik op de knop Probeer het uit.

Inline Set GET Try it Out-knop

Stap 5. Vervang het veld containerUUID door de FTD UUID (dit wordt weergegeven met de opdracht show version op de FTD-opdrachtregel) en klik op Uitvoeren.

Uitvoering van inline sets

Stap 6. Scroll naar beneden naar de Response Body en kopieer de ID van de interface die nodig is om problemen op te lossen, in dit geval is het Inline Set C.

"id": "005056B3-BB52-0ed3-0000-021474837838",

Inline sets GET-responsorgaan

Stap 7. Ga naar de optie GET voor:

/api/fmc_config/v1/domain/{domainUUID}/devices/devicerecords/{containerUUID}/inlinesets/{objectId}

Inline sets GET Object ID

Stap 8. Klik op de knop Probeer het uit.

Inline Sets GET Object ID Probeer het eens

Stap 9. Vervang het veld objectId door de ID in stap 6 en de containerUUID door de FTD UUID die in stap 5 wordt gebruikt. Klik daarna op de knop Uitvoeren.

Inline sets GET Object ID uitvoering

Stap 10. Valideer het antwoordgedeelte van de REST-API-query.

Inline sets GET Object ID Response Body

Interface Ethernet1/6 wordt toegevoegd als het eerste onderdeel van de inline set, terwijl Ethernet1/5 wordt toegevoegd als het tweede onderdeel. Dit gebeurt omdat de toegewezen interface-ID voor Ethernet1/6 alfabetisch lager is dan die voor Ethernet1/5. Hiermee wordt de logica gevalideerd die het FMC gebruikt voor interfacetoewijzing op inline-sets.

Tijdelijke oplossing

De interface-ID wordt toegewezen door FXOS op het moment van het maken van het logische apparaat, dus de interfaces moeten worden verwijderd op FXOS-niveau en gelezen in de gewenste volgorde zodat de ID opnieuw kan worden toegewezen.

Waarschuwing: de volgende oplossing is alleen van toepassing op FPR4100- en FPR9300-series, alle andere Secure Firewall-hardware moet opnieuw worden geconfigureerd. Ook verstoort deze workaround het verkeer, in deze zin worden FMC-, FTD- en FXOS-back-ups sterk aanbevolen, evenals een gepland onderhoudsvenster.

Stap 1. Meld u aan bij de FMC en verwijder de problematische inline set op het volgende pad:

Devices > Device Management > Edit the desired FTD > Inline Sets.

Inline set verwijderen

Stap 2. Wijzigingen opslaan en implementeren.

Inline Set Deletion Deployment

Stap 3. Log in op het FCM-apparaat en navigeer naar Logical Devices en bewerk het gewenste Logical Device.

Logisch apparaat bewerken

Stap 4. Verwijder beide interfaces die behoren tot de problematische inline set, die Ethernet1/5 en Ethernet1/6 zijn voor dit voorbeeld, en sla wijzigingen op.

Verwijdering van inline-set interface

Stap 5. Op FMC navigeert u naar Apparaten > Apparaatbeheer, bewerkt u de gewenste FTD en navigeert u naar het tabblad Interfaces, klikt u op Apparaatsynchronisatie, slaat u wijzigingen op en implementeert u.

Inline set FTD Sync na verwijdering

Stap 6. Bewerk het logische apparaat opnieuw, voeg de eerste interface (Ethernet1/5) opnieuw toe en sla de wijzigingen op.

Eerste interfacetoevoeging van inline-set

Stap 7. Klik op Sync Device knop, sla wijzigingen op en implementeer opnieuw.

FTD-synchronisatie na eerste interface toevoegen

Stap 8. Bewerk het logische apparaat opnieuw, voeg de eerste interface (Ethernet1/6) nogmaals toe en sla de wijzigingen op.

Inline Set Tweede interface toevoegen

Stap 9. Herhaal stap 5 door op Sync Device knop te klikken, wijzigingen op te slaan en vervolgens te implementeren.

FTD-synchronisatie na toevoegen van tweede interface

Stap 10. Configureer de interfaces met dezelfde parameters als voorheen en voeg de inline set opnieuw toe.

Inline set configureren

Ditmaal wordt de volgorde van de inline-sets op de verwachte manier weergegeven. Sla wijzigingen op en implementeer deze nog een laatste keer.

Opmerking: de sectie Voorbeeld van dit document moet nog een keer worden uitgevoerd om te bevestigen dat de interfaces-ID's nu in de juiste volgorde staan.

Gerelateerde informatie

• Cisco Technical Support en downloads