Inline set order voor FTD op FMC verduidelijken

Inleiding

In dit document wordt beschreven waarom de interfacevolgorde voor inline sets verschillend is, zelfs als de interfacenaamconventie gelijk is voor alle sets.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Beveiligde Firewall Threat Defence (FTD)
• Veilig Firewall Management Center (FMC)
• Secure Firewall Extensible Operating System (FXOS)
• REST-API

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Secure Firewall Threat Defense versie 7.2.5.1
• Secure Firewall Manager Center versie 7.2.5.1
• Secure Firewall Extensible Operating System 2.12(1.48)
• Secure Firewall Chassis Manager (FCM)

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

analyse

Voorbeeld casestudy

In dit geval wordt bijvoorbeeld een FTD met zes (6) interfaces in inline paren ingesteld:

Ethernet1/1 (Inside-A)
Ethernet1/2 (Outside-A)
Ethernet1/3 (Inside-B)
Ethernet1/4 (Outside-B)
Ethernet1/5 (Inside-C)
Ethernet1/6 (Outside-C)

FTD-interfacelijst

De inline sets zijn gepland om te worden geconfigureerd van binnen naar buiten voor elk paar, wat resulteert in de volgende set-up:

Inline Set A: Inside-A <-> Outside-A
Inline Set B: Inside-B <-> Outside-B
Inline Set C: Inside-C <-> Outside-C

Gebruikers verwachten dat de volgorde van de interfaces in alfabetische volgorde wordt weergegeven door de logische naam van de interface of de fysieke naam van de interface. Deze instelling resulteert echter in een andere volgorde, zoals weergegeven in de volgende afbeelding:

Inline FTD-sets

Gebruikers merken dat de Inline set C een andere volgorde heeft dan de andere twee inline sets.

Opmerking: Het is belangrijk op te merken dat Inline Set Interface Pair order geen communicatie of operationele problemen veroorzaakt, maar het kan betrekking hebben op esthetische doeleinden.

verklaring

Inline sets interface volgorde wordt niet toegewezen door de naam, maar door ID, die wordt geverifieerd via REST-API.

Stap 1. Om dit te verifiëren, moet FMC REST-API explorer worden geopend. Dit wordt bereikt door toegang te krijgen tot de volgende URL-syntaxis:

https://FMC  IP/api/api-explorer

FMC REST-API Explorer

Stap 2. Navigeer naar Apparaten en vouw het menu uit.

Menu Apparaten

Stap 3. Navigeer naar de GET optie voor:

​/api​/fmc_config​/v1​/domain​/{domainUUID}​/devices​/devicerecords​/{containerUUID}​/inlinesets

Inline Sets GET, optie

Stap 4. Klik op de knop Probeer het uit.

Inline Set GET Try it Out-knop

Stap 5. Vervang het veld containerUUID door het FTD UUID (dit wordt weergegeven door de opdrachtshow versionop de FTD-opdrachtregel) en klik op Uitvoeren.

Inline sets uitvoeren

Stap 6. Scroll naar beneden naar de Response Body en kopieer de ID van de interface die nodig is om problemen op te lossen, in dit geval is het Inline Set C.

"id": "005056B3-BB52-0ed3-0000-021474837838",

Inline sets GET Response Body

Stap 7. Navigeer naar de GET optie voor:

/api/fmc_config/v1/domain/{domainUUID}/devices/devicerecords/{containerUUID}/inlinesets/{objectId}

Inline Sets GET Object ID

Stap 8. Klik op de knop Probeer het uit.

Inline Sets GET Object ID Probeer het uit

Stap 9. Vervang het veld objectId door de ID uit stap 6 en de containerUUID door de FTD UUID uit stap 5. Klik vervolgens op de knop Execute.

Inline Sets GET Object ID Uitvoering

Stap 10. Valideer de Response body van de REST-API query.

Inline sets GET Object ID Response Body

Interface Ethernet1/6 wordt toegevoegd als het eerste onderdeel van de inline set, terwijl Ethernet1/5 wordt toegevoegd als het tweede onderdeel. Dit gebeurt omdat de toegewezen interface-ID voor Ethernet1/6 alfabetisch lager is dan die voor Ethernet1/5. Hiermee wordt de logica gevalideerd die de FMC gebruikt voor de toewijzing van interfaces aan inline-sets.

Tijdelijke oplossing

De interface-ID wordt toegewezen door FXOS op het moment van het maken van het logische apparaat, dus de interfaces moeten op FXOS-niveau worden verwijderd en in de gewenste volgorde worden gelezen om de ID opnieuw toe te wijzen.

Waarschuwing: de volgende tijdelijke oplossing is alleen van toepassing voor de FPR4100- en FPR9300-reeks. Alle andere beveiligde firewallhardware moet opnieuw worden ge-imaged. Ook verstoort deze oplossing het verkeer, in deze zin worden FMC-, FTD- en FXOS-back-ups sterk aanbevolen, evenals een gepland onderhoudsvenster.

Stap 1. Meld u aan bij de FMC en verwijder de problematische inline-set op het volgende pad:

Devices > Device Management > Edit the desired FTD > Inline Sets.

Inline set verwijderen

Stap 2. Wijzigingen opslaan en implementeren.

Implementatie van inline set-verwijdering

Stap 3. Meld u aan bij het FCM-apparaat en navigeer naar Logische apparaten en bewerk het gewenste Logische apparaat.

Logisch apparaat bewerken

Stap 4. Verwijder beide interfaces die behoren tot de problematische inline set, die Ethernet 1/5 en Ethernet 1/6 zijn voor dit voorbeeld, en sla wijzigingen op.

Interface voor inline set verwijderen

Stap 5. Navigeer in FMC naar Apparaten > Apparaatbeheer, bewerk de gewenste FTD en navigeer naar het tabblad Interfaces, klik op de knop Apparaat synchroniseren, sla wijzigingen op en implementeer deze.

Inline Set FTD Sync na verwijdering

Stap 6. Bewerk het logische apparaat opnieuw, voeg de eerste interface (Ethernet1/5) opnieuw toe en sla de wijzigingen op.

Eerste interface voor inline set toevoegen

Stap 7. Klik op de Sync Device knop, sla wijzigingen op en implementeer deze opnieuw.

FTD-synchronisatie na eerste toevoeging van interface

Stap 8. Bewerk het logische apparaat opnieuw, voeg de eerste interface (Ethernet1/6) opnieuw toe en sla de wijzigingen op.

Inline set tweede interface toevoegen

Stap 9. Herhaal stap 5 door op de Sync Device knop te klikken, wijzigingen op te slaan en vervolgens te implementeren.

FTD-synchronisatie na toevoeging van tweede interface

Stap 10. Configureer de interfaces met dezelfde parameters als voorheen en voeg de inline set opnieuw toe.

Inline set configureren

Deze keer wordt de volgorde van de inline sets interface weergegeven op de verwachte manier. Wijzigingen opslaan en één laatste keer implementeren.

Opmerking: het gedeelte Casestudy van dit document moet nog één keer worden uitgevoerd om te valideren dat interfaces-ID's nu in de juiste volgorde staan.

Gerelateerde informatie

• Cisco Technical Support en downloads