Verifique a configuração do modo, instância, alta disponibilidade e escalabilidade do Firepower
Contents
Introduction
Este documento descreve a verificação da configuração de alta disponibilidade e escalabilidade do Firepower, o modo de firewall e o tipo de implantação de instância.
Informações de Apoio
As etapas de verificação para a configuração de alta disponibilidade e escalabilidade, modo de firewall e tipo de implantação de instância são mostradas na interface do usuário (UI), na interface de linha de comando (CLI), através de consultas REST-API, SNMP e no arquivo de solução de problemas.
Prerequisites
Requirements
Conhecimento básico do produto, REST-API, SNMP.
Componentes Utilizados
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.
As informações neste documento são baseadas nestas versões de software e hardware:
- Firepower 11xx
- Firepower 21xx
- Firepower 31xx
- Firepower 41xx
- Firepower Management Center (FMC) versão 7.1.x
- Firepower eXtensible Operating System (FXOS) 2.11.1.x
- Firepower Device Manager (FDM) 7.1.x
- Firepower Threat Defense 7.1.x
- ASA 9.17.x
Verificar a alta disponibilidade e a configuração de escalabilidade
Alta disponibilidade refere-se à configuração de failover. A configuração de alta disponibilidade ou failover se junta a dois dispositivos de modo que, se um dos dispositivos falhar, o outro dispositivo pode assumir o controle.
Escalabilidade refere-se à configuração do cluster. Uma configuração de cluster permite agrupar vários nós FTD como um único dispositivo lógico. Um cluster oferece toda a conveniência de um único dispositivo (gerenciamento, integração em uma rede) e o aumento do throughput e da redundância de vários dispositivos.
Neste documento, essas expressões são usadas como sinônimos:
- alta disponibilidade ou failover
- escalabilidade ou cluster
Em alguns casos, a verificação da configuração ou status de alta disponibilidade e escalabilidade não está disponível. Por exemplo, não há nenhum comando de verificação para a configuração independente do FTD. Os modos de configuração independente, de failover e de cluster são mutuamente exclusivos. Se um dispositivo não tiver failover e configuração de cluster, ele será considerado como operando no modo autônomo.
Alta disponibilidade de FMC
A configuração e o status de alta disponibilidade do FMC podem ser verificados com o uso destas opções:
- UI FMC
- CLI FMC
- solicitação de API REST
- arquivo de solução de problemas do FMC
UI FMC
Siga estas etapas para verificar a configuração e o status de alta disponibilidade da FMC na interface do usuário da FMC:
1. Escolha Sistema > Integração > Alta disponibilidade:
2. Verifique a função do FMC. Nesse caso, a alta disponibilidade não é configurada e o FMC opera em uma configuração independente:
Se a alta disponibilidade for configurada, as funções locais e remotas serão mostradas:
CLI FMC
Siga estas etapas para verificar a configuração e o status de alta disponibilidade do FMC na CLI do FMC:
1. Acesse o FMC via SSH ou conexão de console.
2. Execute o comando expert e execute o comando sudo su:
> expert admin@fmc1:~$ sudo su Password: Last login: Sat May 21 21:18:52 UTC 2022 on pts/0 fmc1:/Volume/home/admin#
3. Execute o comando troubleshoot_HADC.pl e selecione a opção 1 Show HA Info of FMC. Se a alta disponibilidade não estiver configurada, esta saída será mostrada:
fmc1:/Volume/home/admin# troubleshoot_HADC.pl
**************** Troubleshooting Utility ************** 1 Show HA Info Of FMC 2 Execute Sybase DBPing 3 Show Arbiter Status 4 Check Peer Connectivity 5 Print Messages of AQ Task 6 Show FMC HA Operations History (ASC order) 7 Dump To File: FMC HA Operations History (ASC order) 8 Last Successful Periodic Sync Time (When it completed) 9 Print HA Status Messages 10 Compare active and standby device list 11 Check manager status of standby missing devices 12 Check critical PM processes details 13 Help 0 Exit ************************************************************** Enter choice: 1 HA Enabled: No
Se a alta disponibilidade for configurada, esta saída será mostrada:
fmc1:/Volume/home/admin# troubleshoot_HADC.pl **************** Troubleshooting Utility ************** 1 Show HA Info Of FMC
2 Execute Sybase DBPing
3 Show Arbiter Status
4 Check Peer Connectivity
5 Print Messages of AQ Task
6 Show FMC HA Operations History (ASC order)
7 Dump To File: FMC HA Operations History (ASC order)
8 Help
0 Exit **************************************************************
Enter choice: 1 HA Enabled: Yes This FMC Role In HA: Active - Primary
Status out put: vmsDbEngine (system,gui) - Running 29061
In vmsDbEngineStatus(): vmsDbEngine process is running at /usr/local/sf/lib/perl/5.24.4/SF/Synchronize/HADC.pm line 3471.
Sybase Process: Running (vmsDbEngine, theSybase PM Process is Running)
Sybase Database Connectivity: Accepting DB Connections.
Sybase Database Name: csm_primary
Sybase Role: Active
FMC REST-API
Siga estas etapas para verificar a configuração e o status de alta disponibilidade e escalabilidade do FMC por meio do FMC REST-API. Use um cliente REST-API. Neste exemplo, o curl é usado:
1. Solicite um token de autenticação:
# curl -s -k -v -X POST 'https://192.0.2.1/api/fmc_platform/v1/auth/generatetoken' -H 'Authentication: Basic' -u 'admin:Cisco123' | grep -i X-auth-access-token
... < X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb
2. Use o token nesta consulta para localizar o UUID do domínio global:
# curl -s -k -X 'GET' 'https://192.0.2.1/api/fmc_platform/v1/info/domain' -H 'accept: application/json' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
{ "items": [
{
"name": "Global",
"type": "Domain",
"uuid": "e276abec-e0f2-11e3-8169-6d9ed49b625f"
},
{
"name": "Global/LAB2",
"type": "Domain",
"uuid": "84cc4afe-02bc-b80a-4b09-000000000000"
},
{
"name": "Global/TEST1",
"type": "Domain",
"uuid": "ef0cf3e9-bb07-8f66-5c4e-000000000001"
},
{
"name": "Global/TEST2",
"type": "Domain",
"uuid": "341a8f03-f831-c364-b751-000000000001"
}
],
"links": {
"self": "https://192.0.2.1/api/fmc_platform/v1/info/domain?offset=0&limit=25"
},
"paging": {
"count": 4,
"limit": 25,
"offset": 0,
"pages": 1
}
}
3. Use o UUID de domínio global nesta consulta:
# curl -s -k -X 'GET' 'https://192.0.2.1/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-6d9ed49b625f/integration/fmchastatuses' -H 'accept: application/json' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
Se a alta disponibilidade não estiver configurada, esta saída será mostrada:
{
"links": {},
"paging": {
"count": 0,
"limit": 0,
"offset": 0,
"pages": 0
}
}
Se a alta disponibilidade for configurada, esta saída será mostrada:
{
"items": [
{
"fmcPrimary": {
"ipAddress": "192.0.2.1",
"role": "Active",
"uuid": "de7bfc10-13b5-11ec-afaf-a0f8cf9ccb46"
},
"fmcSecondary": {
"ipAddress": "192.0.2.2",
"role": "Standby",
"uuid": "a2de9750-4635-11ec-b56d-201c961a3600"
},
"haStatusMessages": [
"Healthy"
],
"id": "de7bfc10-13b5-11ec-afaf-a0f8cf9ccb46",
"overallStatus": "GOOD",
"syncStatus": "GOOD",
"type": "FMCHAStatus"
}
],
"links": {
"self": "https://192.0.2.1/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-6d9ed49b625f/integration/fmchastatuses?offset=0&limit=25"
},
"paging": {
"count": 1,
"limit": 25,
"offset": 0,
"pages": 1
}
}
arquivo de solução de problemas do FMC
Siga estas etapas para verificar a configuração e o status de alta disponibilidade do FMC no arquivo de solução de problemas do FMC:
1. Abra o arquivo de solução de problemas e navegue até a pasta <filename>.tar/results-<date>—xxxxxx/command-outputs
2. Abra o arquivo usr-local-sf-bin-troubleshoot_HADC.pl -a.output:
Se a alta disponibilidade não estiver configurada, esta saída será mostrada:
# pwd
/var/tmp/results-05-06-2022--199172/command-outputs
# cat "usr-local-sf-bin-troubleshoot_HADC.pl -a.output"
Output of /usr/local/sf/bin/troubleshoot_HADC.pl -a:
$VAR1 = [
'Mirror Server => csmEng',
{
'rcode' => 0,
'stderr' => undef,
'stdout' => 'SQL Anywhere Server Ping Utility Version 17.0.10.5745
Type Property Value
--------- ---------------- ------------------------------
Database MirrorRole NULL
Database MirrorState NULL
Database PartnerState NULL
Database ArbiterState NULL
Server ServerName csmEng
Ping database successful.
'
}
];
(system,gui) - Waiting
HA Enabled: No
Sybase Database Name: csmEng
Arbiter Not Running On This FMC.
Not In HA
Se a alta disponibilidade for configurada, esta saída será mostrada:
# pwd /var/tmp/results-05-06-2022--199172/command-outputs
# cat "usr-local-sf-bin-troubleshoot_HADC.pl -a.output" Output of /usr/local/sf/bin/troubleshoot_HADC.pl -a: Status out put: vmsDbEngine (system,gui) - Running 9399 In vmsDbEngineStatus(): vmsDbEngine process is running at /usr/local/sf/lib/perl/5.24.4/SF/Synchronize/HADC.pm line 3471. $VAR1 = [ 'Mirror Server => csm_primary', { 'stderr' => undef, 'stdout' => 'SQL Anywhere Server Ping Utility Version 17.0.10.5745 Type Property Value --------- ---------------- ------------------------------ Database MirrorRole primary Database MirrorState synchronizing Database PartnerState connected Database ArbiterState connected Server ServerName csm_primary Ping database successful. ', 'rcode' => 0 } ]; (system,gui) - Running 8185 ...
HA Enabled: Yes
This FMC Role In HA: Active - Primary
Sybase Process: Running (vmsDbEngine, theSybase PM Process is Running)
Sybase Database Connectivity: Accepting DB Connections.
Sybase Database Name: csm_primary
Sybase Role: Active
Sybase Database Name: csm_primary
Arbiter Running On This FMC.
Peer Is Connected
Alta disponibilidade de FDM
A configuração e o status de alta disponibilidade do FDM podem ser verificados com o uso destas opções:
- UI do FDM
- solicitação de API REST do FDM
- CLI FTD
- Pesquisa de SNMP FTD
- arquivo de solução de problemas do FTD
UI do FDM
Para verificar a configuração e o status de alta disponibilidade do FDM na interface do usuário do FDM, verifique a alta disponibilidade na página principal. Se a alta disponibilidade não estiver configurada, o valor de Alta Disponibilidade será Não Configurado:
Se a alta disponibilidade for configurada, as funções e a configuração de failover da unidade peer local e remota serão mostradas:
FDM REST-API
Siga estas etapas para verificar a configuração e o status de alta disponibilidade do FDM através da solicitação REST-API do FDM. Use um cliente REST-API. Neste exemplo, o curl é usado:
1. Solicite um token de autenticação:
# curl -k -X POST --header 'Content-Type: application/json' --header 'Accept: application/json' -d '{ "grant_type": "password", "username": "admin", "password": "Cisco123" }' 'https://192.0.2.3/api/fdm/latest/fdm/token'
{
"access_token":
"eyJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE2NTMyMDg1MjgsInN1YiI6ImFkbWluIiwianRpIjoiMjI1YWRhZWMtZDlhYS0xMWVjLWE5MmEtMjk4YjRjZTUxNmJjIiwibmJmIjoxNjUzMjA4NTI4LCJleHAiOjE2NTMyMTAzMjgsInJlZnJlc2hUb2tlbkV4cGlyZXNBdCI6MTY1MzIxMDkyODU2OSwidG9rZW5UeXBlIjoiSldUX0FjY2VzcyIsInVzZXJVdWlkIjoiYTNmZDA3ZjMtZDgxZS0xMWVjLWE5MmEtYzk5N2UxNDcyNTM0IiwidXNlclJvbGUiOiJST0xFX0FETUlOIiwib3JpZ2luIjoicGFzc3dvcmQiLCJ1c2VybmFtZSI6ImFkbWluIn0.ai3LUbnsLOJTN6exKOANsEG5qTD6L-ANd_1V6TbFe6M",
"expires_in": 1800,
"refresh_expires_in": 2400,
"refresh_token": "eyJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE2NTIzOTQxNjksInN1YiI6ImFkbWluIiwianRpIjoiMGU0NGIxYzQtZDI0Mi0xMWVjLTk4ZWMtYTllOTlkZGMwN2Y0IiwibmJmIjoxNjUyMzk0MTY5LCJleHAiOjE2NTIzOTY1NjksImFjY2Vzc1Rva2VuRXhwaXJlc0F0IjoxNjUyMzk1OTY5MDcwLCJyZWZyZXNoQ291bnQiOi0xLCJ0b2tlblR5cGUiOiJKV1RfUmVmcmVzaCIsInVzZXJVdWlkIjoiYTU3ZGVmMjgtY2M3MC0xMWVjLTk4ZWMtZjk4ODExNjNjZWIwIiwidXNlclJvbGUiOiJST0xFX0FETUlOIiwib3JpZ2luIjoicGFzc3dvcmQiLCJ1c2VybmFtZSI6ImFkbWluIn0.Avga0-isDjQB527d3QWZQb7AS4a9ea5wlbYUn-A9aPw",
"token_type": "Bearer"
}
2. Para verificar a configuração de alta disponibilidade, use o valor do token de acesso nesta consulta:
# curl -s -k -X GET -H 'Accept: application/json' -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE2NTMyMDg1MjgsInN1YiI6ImFkbWluIiwianRpIjoiMjI1YWRhZWMtZDlhYS0xMWVjLWE5MmEtMjk4YjRjZTUxNmJjIiwibmJmIjoxNjUzMjA4NTI4LCJleHAiOjE2NTMyMTAzMjgsInJlZnJlc2hUb2tlbkV4cGlyZXNBdCI6MTY1MzIxMDkyODU2OSwidG9rZW5UeXBlIjoiSldUX0FjY2VzcyIsInVzZXJVdWlkIjoiYTNmZDA3ZjMtZDgxZS0xMWVjLWE5MmEtYzk5N2UxNDcyNTM0IiwidXNlclJvbGUiOiJST0xFX0FETUlOIiwib3JpZ2luIjoicGFzc3dvcmQiLCJ1c2VybmFtZSI6ImFkbWluIn0.ai3LUbnsLOJTN6exKOANsEG5qTD6L-ANd_1V6TbFe6M' 'https://192.0.2.3/api/fdm/v6/devices/default/ha/configurations'
Se a alta disponibilidade não estiver configurada, esta saída será mostrada:
{
"items": [
{
"version": "issgb3rw2lixf",
"name": "HA",
"nodeRole": null,
"failoverInterface": null,
"failoverName": null,
"primaryFailoverIPv4": null,
"secondaryFailoverIPv4": null,
"primaryFailoverIPv6": null,
"secondaryFailoverIPv6": null,
"statefulFailoverInterface": null,
"statefulFailoverName": null,
"primaryStatefulFailoverIPv4": null,
"secondaryStatefulFailoverIPv4": null,
"primaryStatefulFailoverIPv6": null,
"secondaryStatefulFailoverIPv6": null,
"sharedKey": null,
"id": "76ha83ga-c872-11f2-8be8-8e45bb1943c0",
"type": "haconfiguration",
"links": {
"self": "https://192.0.2.2/api/fdm/v6/devices/default/ha/configurations/76ha83ga-c872-11f2-8be8-8e45bb1943c0"
}
}
],
"paging": {
"prev": [],
"next": [],
"limit": 10,
"offset": 0,
"count": 1,
"pages": 0
}
}
Se a alta disponibilidade for configurada, esta saída será mostrada:
{
"items": [
{
"version": "issgb3rw2lixf",
"name": "HA",
"nodeRole": "HA_PRIMARY",
"failoverInterface": {
"version": "ezzafxo5ccti3",
"name": "",
"hardwareName": "Ethernet1/1",
"id": "8d6c41df-3e5f-465b-8e5a-d336b282f93f",
"type": "physicalinterface"
},
...
3. Para verificar o status de alta disponibilidade, use esta consulta:
# curl -s -k -X GET -H 'Accept: application/json' -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE2NTMyMDg1MjgsInN1YiI6ImFkbWluIiwianRpIjoiMjI1YWRhZWMtZDlhYS0xMWVjLWE5MmEtMjk4YjRjZTUxNmJjIiwibmJmIjoxNjUzMjA4NTI4LCJleHAiOjE2NTMyMTAzMjgsInJlZnJlc2hUb2tlbkV4cGlyZXNBdCI6MTY1MzIxMDkyODU2OSwidG9rZW5UeXBlIjoiSldUX0FjY2VzcyIsInVzZXJVdWlkIjoiYTNmZDA3ZjMtZDgxZS0xMWVjLWE5MmEtYzk5N2UxNDcyNTM0IiwidXNlclJvbGUiOiJST0xFX0FETUlOIiwib3JpZ2luIjoicGFzc3dvcmQiLCJ1c2VybmFtZSI6ImFkbWluIn0.ai3LUbnsLOJTN6exKOANsEG5qTD6L-ANd_1V6TbFe6M' 'https://192.0.2.3/api/fdm/v6/devices/default/operational/ha/status/default'
Se a alta disponibilidade não estiver configurada, esta saída será mostrada:
{
"nodeRole" : null,
"nodeState" : "SINGLE_NODE",
"peerNodeState" : "HA_UNKNOWN_NODE",
"configStatus" : "UNKNOWN",
"haHealthStatus" : "HEALTHY",
"disabledReason" : "",
"disabledTimestamp" : null,
"id" : "default",
"type" : "hastatus",
"links" : {
"self" : "https://192.0.2.3/api/fdm/v6/devices/default/operational/ha/status/default"
}
}
Se a alta disponibilidade for configurada, esta saída será mostrada:
{
"nodeRole": "HA_PRIMARY",
"nodeState": "HA_ACTIVE_NODE",
"peerNodeState": "HA_STANDBY_NODE",
"configStatus": "IN_SYNC",
"haHealthStatus": "HEALTHY",
"disabledReason": "",
"disabledTimestamp": "",
"id": "default",
"type": "hastatus",
"links": {
"self": "https://192.0.2.3/api/fdm/v6/devices/default/operational/ha/status/default"
}
}
CLI FTD
Siga as etapas na seção.
Pesquisa de SNMP FTD
Siga as etapas na seção.
arquivo de solução de problemas do FTD
Siga as etapas na seção.
Alta disponibilidade e escalabilidade do FTD
A configuração e o status de alta disponibilidade e escalabilidade do FTD podem ser verificados com o uso destas opções:
- CLI FTD
- SNMP FTD
- arquivo de solução de problemas do FTD
- UI FMC
- FMC REST-API
- UI do FDM
- FDM REST-API
- UI do FCM
- CLI FXOS
- REST-API FXOS
- arquivo show-tech do chassi FXOS
CLI FTD
Siga estas etapas para verificar a configuração e o status de alta disponibilidade e escalabilidade do FTD na CLI do FTD:
1. Use estas opções para acessar a CLI do FTD de acordo com a plataforma e o modo de implantação:
- Acesso direto SSH ao FTD - todas as plataformas
- Acesso da CLI do console FXOS (Firepower 1000/2100/3100) através do comando connect ftd
- Acesso da CLI do FXOS via comandos (Firepower 4100/9300):
connect module <x> [console|telnet], onde x é o ID do slot, e connect ftd [instance], onde a instância é relevante apenas para a implantação de várias instâncias
- Para FTDs virtuais, acesso SSH direto ao FTD ou acesso de console a partir do hipervisor ou da IU da nuvem
2. Para verificar a configuração e o status do failover do FTD, execute os comandos show running-config failover e show failover state na CLI.
Se o failover não estiver configurado, esta saída será mostrada:
> show running-config failover
no failover
> show failover state
State Last Failure Reason Date/Time
This host - Secondary
Disabled None
Other host - Primary
Not Detected None
====Configuration State===
====Communication State==
Se o failover estiver configurado, essa saída será mostrada:
> show running-config failover
failover failover lan unit primary failover lan interface failover-link Ethernet1/1 failover replication http failover link failover-link Ethernet1/1 failover interface ip failover-link 10.30.34.2 255.255.255.0 standby 10.30.34.3
> show failover state
State Last Failure Reason Date/Time
This host - Primary
Active None
Other host - Secondary
Standby Ready Comm Failure 09:21:50 UTC May 22 2022
====Configuration State===
Sync Done
====Communication State===
Mac set
3. Para verificar a configuração e o status do cluster FTD, execute os comandos show running-config cluster e show cluster info na CLI.
Se o cluster não estiver configurado, esta saída será mostrada:
> show running-config cluster
> show cluster info
Clustering is not configured
Se o cluster estiver configurado, esta saída será mostrada:
> show running-config cluster cluster group ftd_cluster1 key ***** local-unit unit-1-1 cluster-interface Port-channel48.204 ip 10.173.1.1 255.255.0.0 priority 9 health-check holdtime 3 health-check data-interface auto-rejoin 3 5 2 health-check cluster-interface auto-rejoin unlimited 5 1 health-check system auto-rejoin 3 5 2 health-check monitor-interface debounce-time 500 site-id 1 no unit join-acceleration enable > show cluster info Cluster ftd_cluster1: On Interface mode: spanned Cluster Member Limit : 16 This is "unit-1-1" in state MASTER ID : 0 Site ID : 1 Version : 9.17(1) Serial No.: FLM1949C5RR6HE CCL IP : 10.173.1.1 CCL MAC : 0015.c500.018f Module : FPR4K-SM-24 Resource : 20 cores / 44018 MB RAM Last join : 13:53:52 UTC May 20 2022 Last leave: N/A Other members in the cluster: Unit "unit-2-1" in state SLAVE ID : 1 Site ID : 1 Version : 9.17(1) Serial No.: FLM2108V9YG7S1 CCL IP : 10.173.2.1 CCL MAC : 0015.c500.028f Module : FPR4K-SM-24 Resource : 20 cores / 44018 MB RAM Last join : 14:02:46 UTC May 20 2022 Last leave: 14:02:31 UTC May 20 2022
SNMP FTD
Siga estas etapas para verificar a alta disponibilidade e o status de escalabilidade do FTD através do SNMP:
- Verifique se o SNMP está configurado e ativado. Para FTD gerenciado pelo FDM, consulte Configurar e solucionar problemas de SNMP no Firepower FDM para obter as etapas de configuração. Para FTD gerenciado pelo FMC, consulte Configurar SNMP em dispositivos NGFW Firepower para obter as etapas de configuração.
- Para verificar a configuração e o status do failover do FTD, consulte o OID .1.3.6.1.4.1.9.9.147.1.2.1.1.1.
Se o failover não estiver configurado, esta saída será mostrada:
# snmpwalk -v2c -c cisco123 -On 192.0.2.5 .1.3.6.1.4.1.9.9.147.1.2.1.1.1 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.4 = STRING: "Failover LAN Interface" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.6 = STRING: "Primary unit" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.7 = STRING: "Secondary unit (this device)" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.4 = INTEGER: 3 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.6 = INTEGER: 3 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.7 = INTEGER: 3 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.4 = STRING: "not Configured" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.6 = STRING: "Failover Off" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.7 = STRING: "Failover Off"
Se o failover estiver configurado, essa saída será mostrada:
# snmpwalk -v2c -c cisco123 -On 192.0.2.5 .1.3.6.1.4.1.9.9.147.1.2.1.1.1 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.4 = STRING: "Failover LAN Interface" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.6 = STRING: "Primary unit (this device)" <-- This device is primary SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.7 = STRING: "Secondary unit" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.4 = INTEGER: 2 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.6 = INTEGER: 9 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.7 = INTEGER: 10 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.4 = STRING: "fover Ethernet1/2" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.6 = STRING: "Active unit" <-- Primary device is active SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.7 = STRING: "Standby unit"
3. Para verificar a configuração e o status do cluster, consulte o OID 1.3.6.1.4.1.9.9.491.1.8.1.
Se o cluster não estiver configurado, esta saída será mostrada:
# snmpwalk -v2c -c cisco123 192.0.2.5 .1.3.6.1.4.1.9.9.491.1.8.1
SNMPv2-SMI::enterprises.9.9.491.1.8.1.1.0 = INTEGER: 0
Se o cluster estiver configurado, mas não habilitado, esta saída será mostrada:
# snmpwalk -v2c -c cisco123 -On 192.0.2.7 .1.3.6.1.4.1.9.9.491.1.8.1 .1.3.6.1.4.1.9.9.491.1.8.1.1.0 = INTEGER: 0 <-- Cluster status, disabled .1.3.6.1.4.1.9.9.491.1.8.1.2.0 = INTEGER: 1 .1.3.6.1.4.1.9.9.491.1.8.1.3.0 = INTEGER: 0 <-- Cluster unit state, disabled .1.3.6.1.4.1.9.9.491.1.8.1.4.0 = INTEGER: 11 .1.3.6.1.4.1.9.9.491.1.8.1.5.0 = STRING: "ftd_cluster1" <-- Cluster group name .1.3.6.1.4.1.9.9.491.1.8.1.6.0 = STRING: "unit-1-1" <-- Cluster unit name
.1.3.6.1.4.1.9.9.491.1.8.1.7.0 = INTEGER: 0 <-- Cluster unit ID
.1.3.6.1.4.1.9.9.491.1.8.1.8.0 = INTEGER: 1 <-- Cluster side ID
...
Se o cluster estiver configurado, ativado e operacionalmente ativado, esta saída será mostrada:
# snmpwalk -v2c -c cisco123 -On 192.0.2.7 .1.3.6.1.4.1.9.9.491.1.8.1 .1.3.6.1.4.1.9.9.491.1.8.1.1.0 = INTEGER: 1 <-- Cluster status, enabled .1.3.6.1.4.1.9.9.491.1.8.1.2.0 = INTEGER: 1
.1.3.6.1.4.1.9.9.491.1.8.1.3.0 = INTEGER: 16 <-- Cluster unit state, control unit .1.3.6.1.4.1.9.9.491.1.8.1.4.0 = INTEGER: 10 .1.3.6.1.4.1.9.9.491.1.8.1.5.0 = STRING: "ftd_cluster1" <-- Cluster group name .1.3.6.1.4.1.9.9.491.1.8.1.6.0 = STRING: "unit-1-1" <-- Cluster unit name .1.3.6.1.4.1.9.9.491.1.8.1.7.0 = INTEGER: 0 <-- Cluster unit ID .1.3.6.1.4.1.9.9.491.1.8.1.8.0 = INTEGER: 1 <-- Cluster side ID
...
Para obter mais informações sobre as descrições do OID, consulte CISCO-UNIFIED-FIREWALL-MIB.
arquivo de solução de problemas do FTD
Siga estas etapas para verificar a configuração e o status de alta disponibilidade e escalabilidade do FTD no arquivo de solução de problemas do FTD:
1. Abra o arquivo de solução de problemas e navegue até a pasta <filename>-troubleshoot .tar/results-<date>—xxxxx/saída de comandos.
2. Abra o arquivo usr-local-sf-bin-sfcli.pl show_tech_support asa_lina_cli_util.output:
# pwd
/ngfw/var/common/results-05-22-2022--102758/command-outputs
# cat 'usr-local-sf-bin-sfcli.pl show_tech_support asa_lina_cli_util.output'
3. Para verificar a configuração e o status do failover, verifique a seção show failover.
Se o failover não estiver configurado, esta saída será mostrada:
------------------ show failover ------------------ Failover Off Failover unit Secondary Failover LAN Interface: not Configured Reconnect timeout 0:00:00 Unit Poll frequency 1 seconds, holdtime 15 seconds Interface Poll frequency 5 seconds, holdtime 25 seconds Interface Policy 1 Monitored Interfaces 3 of 1292 maximum MAC Address Move Notification Interval not set
Se o failover estiver configurado, essa saída será mostrada:
------------------ show failover ------------------ Failover On Failover unit Primary Failover LAN Interface: fover Ethernet1/2 (up) Reconnect timeout 0:00:00 Unit Poll frequency 1 seconds, holdtime 15 seconds Interface Poll frequency 5 seconds, holdtime 25 seconds Interface Policy 1 Monitored Interfaces 1 of 1291 maximum MAC Address Move Notification Interval not set failover replication http Version: Ours 9.17(1), Mate 9.17(1) Serial Number: Ours FLM2006EN9UR93, Mate FLM2006EQFWAGG Last Failover at: 13:45:46 UTC May 20 2022 This host: Primary - Active Active time: 161681 (sec) slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.17(1)) status (Up Sys) Interface diagnostic (0.0.0.0): Normal (Waiting) slot 1: snort rev (1.0) status (up) slot 2: diskstatus rev (1.0) status (up) Other host: Secondary - Standby Ready Active time: 0 (sec) slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.17(1)) status (Up Sys) Interface diagnostic (0.0.0.0): Normal (Waiting) slot 1: snort rev (1.0) status (up) slot 2: diskstatus rev (1.0) status (up)…
4. Para verificar a configuração e o status do cluster FTD, verifique a seção show cluster info.
Se o cluster não estiver configurado, esta saída será mostrada:
------------------ show cluster info ------------------
Clustering is not configured
Se o cluster estiver configurado e ativado, esta saída será mostrada:
------------------ show cluster info ------------------ Cluster ftd_cluster1: On Interface mode: spanned Cluster Member Limit : 16 This is "unit-1-1" in state MASTER ID : 0 Site ID : 1 Version : 9.17(1) Serial No.: FLM1949C5RR6HE CCL IP : 10.173.1.1 CCL MAC : 0015.c500.018f Module : FPR4K-SM-24 Resource : 20 cores / 44018 MB RAM Last join : 13:53:52 UTC May 20 2022 Last leave: N/A Other members in the cluster: Unit "unit-2-1" in state SLAVE ID : 1 Site ID : 1 Version : 9.17(1) Serial No.: FLM2108V9YG7S1 CCL IP : 10.173.2.1 CCL MAC : 0015.c500.028f Module : FPR4K-SM-24 Resource : 20 cores / 44018 MB RAM Last join : 14:02:46 UTC May 20 2022 Last leave: 14:02:31 UTC May 20 2022
UI FMC
Siga estas etapas para verificar a configuração e o status de alta disponibilidade e escalabilidade do FTD na interface do usuário do FMC:
1. Escolha Dispositivos > Gerenciamento de dispositivos:
2. Para verificar a alta disponibilidade e a configuração de escalabilidade do FTD, verifique os rótulos Alta disponibilidade ou Cluster. Se não existir, o FTD será executado em uma configuração independente:
3. Para verificar a alta disponibilidade e o status de escalabilidade do FTD, verifique a função da unidade entre parênteses. Se uma função não existir e o FTD não fizer parte de um cluster ou failover, o FTD será executado em uma configuração independente:
API REST do FMC
Nessas saídas, ftd_ha_1, ftd_ha_2, ftd_standalone, ftd_ha, ftc_cluster1 são nomes de dispositivos configuráveis pelo usuário. Esses nomes não se referem à configuração ou status real de alta disponibilidade e escalabilidade.
Siga estas etapas para verificar a configuração e o status de alta disponibilidade e escalabilidade do FTD via FMC REST-API. Use um cliente REST-API. Neste exemplo, o curl é usado:
- Solicite um token de autenticação:
# curl -s -k -v -X POST 'https://192.0.2.1/api/fmc_platform/v1/auth/generatetoken' -H 'Authentication: Basic' -u 'admin:Cisco123' | grep -i X-auth-access-token
< X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb
2. Identifique o domínio que contém o dispositivo. Na maioria das consultas REST API, o parâmetro domain é obrigatório. Use o token nesta consulta para recuperar a lista de domínios:
# curl -s -k -X 'GET' 'https://192.0.2.1/api/fmc_platform/v1/info/domain' -H 'accept: application/json' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
{
"items":
[
{
"name": "Global",
"type": "Domain",
"uuid": "e276abec-e0f2-11e3-8169-6d9ed49b625f"
},
{
"name": "Global/LAB2",
"type": "Domain",
"uuid": "84cc4afe-02bc-b80a-4b09-000000000000"
},
...
3. Use o UUID de domínio para consultar os registros de dispositivos específicos e o UUID de dispositivo específico:
# curl -s -k -X 'GET' 'https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devices/devicerecords' -H 'accept: application/json' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
{
"items": [
{
"id": "796eb8f8-d83b-11ec-941d-b9083eb612d8",
"links": {
"self": "https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devices/devicerecords/796eb8f8-d83b-11ec-941d-b9083eb612d8"
},
"name": "ftd_ha_1",
"type": "Device"
},
...
4. Para verificar a configuração de failover, use o UUID de domínio e o UUID de dispositivo/contêiner da Etapa 3 nesta consulta:
# curl -s -k -X GET 'https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devices/devicerecords/796eb8f8-d83b-11ec-941d-b9083eb612d8' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool ...
"containerDetails": { "id": "eec3ddfc-d842-11ec-a15e-986001c83f2f", "name": "ftd_ha", "type": "DeviceHAPair" },
...
5. Para verificar o status do failover, use o UUID de domínio e o UUID de DeviceHAPair da Etapa 4 desta consulta:
# curl -s -k -X GET 'https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devicehapairs/ftddevicehapairs/eec3ddfc-d842-11ec-a15e-986001c83f2f' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool ...
"primaryStatus": { "currentStatus": "Active", "device": { "id": "796eb8f8-d83b-11ec-941d-b9083eb612d8", "keepLocalEvents": false, "name": "ftd_ha_1" } }, "secondaryStatus": { "currentStatus": "Standby", "device": { "id": "e60ca6d0-d83d-11ec-b407-cdc91a553663", "keepLocalEvents": false, "name": "ftd_ha_2" } }
...
6. Para verificar a configuração do cluster, use o UUID de domínio e o UUID de dispositivo/contêiner da Etapa 3 nesta consulta:
# curl -s -k -X GET 'https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devices/devicerecords/3344bc4a-d842-11ec-a995-817e361f7ea5' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool ...
"containerDetails": { "id": "8e6188c2-d844-11ec-bdd1-6e8d3e226370", "links": { "self": "https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/deviceclusters/ftddevicecluster/8e6188c2-d844-11ec-bdd1-6e8d3e226370" }, "name": "ftd_cluster1", "type": "DeviceCluster" }, ...
- Para verificar o status do cluster, use o UUID de domínio e o UUID de dispositivo/contêiner da Etapa 6 nesta consulta:
# curl -s -k -X GET 'https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/deviceclusters/ftddevicecluster/8e6188c2-d844-11ec-bdd1-6e8d3e226370' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
{
"controlDevice": {
"deviceDetails": {
"id": "3344bc4a-d842-11ec-a995-817e361f7ea5",
"name": "10.62.148.188",
"type": "Device"
}
},
"dataDevices": [
{
"deviceDetails": {
"id": "a7ba63cc-d842-11ec-be51-f3efcd7cd5e5",
"name": "10.62.148.191",
"type": "Device"
}
}
],
"id": "8e6188c2-d844-11ec-bdd1-6e8d3e226370",
"name": "ftd_cluster1",
"type": "DeviceCluster"
}
UI do FDM
Siga as etapas na seção.
FDM REST-API
Siga as etapas na seção.
UI do FCM
A IU do FCM está disponível no Firepower 4100/9300 e no Firepower 2100 com ASA no modo de plataforma.
Siga estas etapas para verificar o status de alta disponibilidade e escalabilidade do FTD na IU do FCM:
1. Para verificar o status do failover do FTD, verifique o valor do atributo HA-ROLE na página Dispositivos lógicos:
2. Para verificar a configuração e o status do cluster FTD, verifique o rótulo clusterizado e o valor do atributo CLUSTER-ROLE na página Dispositivos lógicos:
CLI FXOS
A configuração de alta disponibilidade e escalabilidade do FTD e a verificação de status na CLI do FXOS estão disponíveis no Firepower 4100/9300.
Siga estas etapas para verificar a configuração e o status de alta disponibilidade e escalabilidade do FTD na CLI do FXOS:
1. Estabeleça uma conexão de console ou SSH para o chassi.
2. Para verificar o status de alta disponibilidade do FTD, execute o comando scope ssa e, em seguida, execute scope slot <x> para alternar para o slot específico onde o FTD é executado e execute o comando show app-instance expand:
firepower # scope ssa firepower /ssa # scope slot 1 firepower /ssa/slot # show app-instance expand Application Instance: App Name: ftd Identifier: ftd1 Admin State: Enabled Oper State: Online Running Version: 7.1.0.90 Startup Version: 7.1.0.90 Deploy Type: Container Turbo Mode: No Profile Name: RP20 Cluster State: Not Applicable Cluster Role: None App Attribute: App Attribute Key Value ----------------- ----- firepower-mgmt-ip 192.0.2.5 ha-lan-intf Ethernet1/2 ha-link-intf Ethernet1/2 ha-role active mgmt-url https://192.0.2.1/ uuid 796eb8f8-d83b-11ec-941d-b9083eb612d8 ...
3. Para verificar a configuração e o status do cluster FTD, execute o comando scope ssa, execute o comando show logical-device <name> detail expand, onde o nome é o nome do dispositivo lógico, e o comando show app-instance. Verifique a saída de um slot específico:
firepower # scope ssa firepower /ssa # show logical-device ftd_cluster1 detail expand Logical Device: Name: ftd_cluster1 Description: Slot ID: 1 Mode: Clustered Oper State: Ok Template Name: ftd Error Msg: Switch Configuration Status: Ok Sync Data External Port Link State with FTD: Disabled Current Task: … firepower /ssa # show app-instance App Name Identifier Slot ID Admin State Oper State Running Version Startup Version Deploy Type Turbo Mode Profile Name Cluster State Cluster Role ---------- ---------- ---------- ----------- ---------------- --------------- --------------- ----------- ---------- ------------ --------------- ------------ ftd ftd_cluster1 1 Enabled Online 7.1.0.90 7.1.0.90 Container No RP20 In Cluster Master
API REST FXOS
O FXOS REST-API é compatível com o Firepower 4100/9300.
Siga estas etapas para verificar a configuração e o status de alta disponibilidade e escalabilidade do FTD através da solicitação REST-API do FXOS. Use um cliente REST-API. Neste exemplo, o curl é usado:
1. Solicite um token de autenticação:
# curl -k -X POST -H 'USERNAME: admin' -H 'PASSWORD: Cisco123' 'https://192.0.2.100/api/login'
{
"refreshPeriod": "0",
"token": "3dba916cdfb850c204b306a138cde9659ba997da4453cdc0c37ffb888816c94d"
}
2. Para verificar o status do failover do FTD, use o token e a ID do slot nesta consulta:
# curl -s -k -X GET -H 'Accept: application/json' -H 'token: 3dba916cdfb850c204b306a138cde9659ba997da4453cdc0c37ffb888816c94d' 'https://192.0.2.100/api/slot/1/app-inst' ...
{ "smAppInstance": [ { "adminState": "enabled", "appDn": "sec-svc/app-ftd-7.1.0.90", "appInstId": "ftd_001_JAD201200R43VLP1G3", "appName": "ftd", "clearLogData": "available", "clusterOperationalState": "not-applicable", "clusterRole": "none", "currentJobProgress": "100", "currentJobState": "succeeded", "currentJobType": "start", "deployType": "container", "dn": "slot/1/app-inst/ftd-ftd1", "errorMsg": "", "eventMsg": "", "executeCmd": "ok", "externallyUpgraded": "no", "fsmDescr": "", "fsmProgr": "100", "fsmRmtInvErrCode": "none", "fsmRmtInvErrDescr": "", "fsmRmtInvRslt": "", "fsmStageDescr": "", "fsmStatus": "nop", "fsmTry": "0", "hotfix": "", "identifier": "ftd1", "operationalState": "online", "reasonForDebundle": "", "resourceProfileName": "RP20", "runningVersion": "7.1.0.90", "smAppAttribute": [ { "key": "firepower-mgmt-ip", "rn": "app-attribute-firepower-mgmt-ip", "urllink": "https://192.0.2.100/api/slot/1/app/inst/ftd-ftd1/app/attribute-firepower-mgmt-ip", "value": "192.0.2.5" }, { "key": "ha-link-intf", "rn": "app-attribute-ha-link-intf", "urllink": "https://192.0.2.100/api/slot/1/app/inst/ftd-ftd1/app/attribute-ha-link-intf", "value": "Ethernet1/2" }, { "key": "ha-lan-intf", "rn": "app-attribute-ha-lan-intf", "urllink": "https://192.0.2.100/api/slot/1/app/inst/ftd-ftd1/app/attribute-ha-lan-intf", "value": "Ethernet1/2" }, { "key": "mgmt-url", "rn": "app-attribute-mgmt-url", "urllink": "https://192.0.2.100/api/slot/1/app/inst/ftd-ftd1/app/attribute-mgmt-url", "value": "https://192.0.2.1/" }, { "key": "ha-role", "rn": "app-attribute-ha-role", "urllink": "https://192.0.2.100/api/slot/1/app/inst/ftd-ftd1/app/attribute-ha-role", "value": "active" }, { "key": "uuid", "rn": "app-attribute-uuid", "urllink": "https://192.0.2.100/api/slot/1/app/inst/ftd-ftd1/app/attribute-uuid", "value": "796eb8f8-d83b-11ec-941d-b9083eb612d8" } ],
...
- Para verificar a configuração do cluster FTD, use o identificador do dispositivo lógico nesta consulta:
# curl -s -k -X GET -H 'Accept: application/json' -H 'token: 3dba916cdfb850c204b306a138cde9659ba997da4453cdc0c37ffb888816c94d' 'https://192.0.2.102/api/ld/ftd_cluster1'
{
"smLogicalDevice": [
{
"description": "",
"dn": "ld/ftd_cluster1",
"errorMsg": "",
"fsmDescr": "",
"fsmProgr": "100",
"fsmRmtInvErrCode": "none",
"fsmRmtInvErrDescr": "",
"fsmRmtInvRslt": "",
"fsmStageDescr": "",
"fsmStatus": "nop",
"fsmTaskBits": "",
"fsmTry": "0",
"ldMode": "clustered",
"linkStateSync": "disabled",
"name": "ftd_cluster1",
"operationalState": "ok",
"slotId": "1",
"smClusterBootstrap": [
{
"cclNetwork": "10.173.0.0",
"chassisId": "1",
"gatewayv4": "0.0.0.0",
"gatewayv6": "::",
"key": "",
"mode": "spanned-etherchannel",
"name": "ftd_cluster1",
"netmaskv4": "0.0.0.0",
"poolEndv4": "0.0.0.0",
"poolEndv6": "::",
"poolStartv4": "0.0.0.0",
"poolStartv6": "::",
"prefixLength": "",
"rn": "cluster-bootstrap",
"siteId": "1",
"supportCclSubnet": "supported",
"updateTimestamp": "2022-05-20T13:38:21.872",
"urllink": "https://192.0.2.101/api/ld/ftd_cluster1/cluster-bootstrap",
"virtualIPv4": "0.0.0.0",
"virtualIPv6": "::"
}
],
...
4. Para verificar o status do cluster FTD, use esta consulta:
# curl -s -k -X GET -H 'Accept: application/json' -H 'token: 3dba916cdfb850c204b306a138cde9659ba997da4453cdc0c37ffb888816c94d' 'https://192.0.2.102/api/slot/1/app-inst'
{
"smAppInstance": [
{
"adminState": "enabled",
"appDn": "sec-svc/app-ftd-7.1.0.90",
"appInstId": "ftd_001_JAD19500BABIYA3OO58",
"appName": "ftd",
"clearLogData": "available",
"clusterOperationalState": "in-cluster",
"clusterRole": "master",
"currentJobProgress": "100",
"currentJobState": "succeeded",
"currentJobType": "start",
"deployType": "container",
"dn": "slot/1/app-inst/ftd-ftd_cluster1",
"errorMsg": "",
"eventMsg": "",
"executeCmd": "ok",
"externallyUpgraded": "no",
"fsmDescr": "",
"fsmProgr": "100",
"fsmRmtInvErrCode": "none",
"fsmRmtInvErrDescr": "",
"fsmRmtInvRslt": "",
"fsmStageDescr": "",
"fsmStatus": "nop",
"fsmTry": "0",
"hotfix": "",
"identifier": "ftd_cluster1",
"operationalState": "online",
"reasonForDebundle": "",
"resourceProfileName": "RP20",
"runningVersion": "7.1.0.90",
...
Arquivo show-tech do chassi FXOS
A configuração e o status de alta disponibilidade e escalabilidade do FTD podem ser verificados no arquivo show-tech do chassi Firepower 4100/9300.
Siga estas etapas para verificar a configuração e o status de alta disponibilidade e escalabilidade no arquivo show-tech do chassi FXOS:
- Para FXOS versões 2.7 e posteriores, abra o arquivo sam_techsupportinfo em <name>_BC1_all.tar/FPRM_A_TechSupport.tar.gz/FPRM_A_TechSupport.tar
Para versões anteriores, abra o arquivo sam_techsupportinfo em FPRM_A_TechSupport.tar.gz/FPRM_A_TechSupport.tar.
2. Para verificar o status do failover, verifique o valor do valor do atributo ha-role no slot específico na seção `show slot expand detail`:
# pwd
/var/tmp/20220313201802_F241-01-11-FPR-2_BC1_all/FPRM_A_TechSupport/
# cat sam_techsupportinfo
...
`show slot expand detail` Slot: Slot ID: 1 Log Level: Info Admin State: Ok Oper State: Online Disk Format State: Ok Disk Format Status: 100% Clear Log Data: Available Error Msg: Application Instance: App Name: ftd Identifier: ftd1 Admin State: Enabled Oper State: Online Running Version: 7.1.0.90 Startup Version: 7.1.0.90 Deploy Type: Container Turbo Mode: No Profile Name: RP20 Hotfixes: Externally Upgraded: No Cluster State: Not Applicable Cluster Role: None Current Job Type: Start Current Job Progress: 100 Current Job State: Succeeded Clear Log Data: Available Error Msg: Current Task: App Attribute: App Attribute Key: firepower-mgmt-ip Value: 10.62.148.89 App Attribute Key: ha-lan-intf Value: Ethernet1/2 App Attribute Key: ha-link-intf Value: Ethernet1/2 App Attribute Key: ha-role Value: active App Attribute Key: mgmt-url Value: https://10.62.184.21/
3. Para verificar a configuração do cluster FTD, verifique o valor do valor do atributo Mode sob o slot específico na seção `show logical-device detail expand`:
`show logical-device detail expand` Logical Device: Name: ftd_cluster1 Description: Slot ID: 1 Mode: Clustered Oper State: Ok Template Name: ftd Error Msg: Switch Configuration Status: Ok Sync Data External Port Link State with FTD: Disabled Current Task: Cluster Bootstrap: Name of the cluster: ftd_cluster1 Mode: Spanned Etherchannel Chassis Id: 1 Site Id: 1 Key: Cluster Virtual IP: 0.0.0.0 IPv4 Netmask: 0.0.0.0 IPv4 Gateway: 0.0.0.0 Pool Start IPv4 Address: 0.0.0.0 Pool End IPv4 Address: 0.0.0.0 Cluster Virtual IPv6 Address: :: IPv6 Prefix Length: IPv6 Gateway: :: Pool Start IPv6 Address: :: Pool End IPv6 Address: :: Last Updated Timestamp: 2022-05-20T13:38:21.872 Cluster Control Link Network: 10.173.0.0 ...
4. Para verificar o status do cluster do FTD, verifique o valor dos valores dos atributos do Estado do Cluster e Função do Cluster sob o slot específico na seção `show slot expand detail`:
`show slot expand detail` Slot: Slot ID: 1 Log Level: Info Admin State: Ok Oper State: Online Disk Format State: Ok Disk Format Status: Clear Log Data: Available Error Msg: Application Instance: App Name: ftd Identifier: ftd_cluster1 Admin State: Enabled Oper State: Online Running Version: 7.1.0.90 Startup Version: 7.1.0.90 Deploy Type: Native Turbo Mode: No Profile Name: Hotfixes: Externally Upgraded: No Cluster State: In Cluster Cluster Role: Master Current Job Type: Start Current Job Progress: 100 Current Job State: Succeeded Clear Log Data: Available Error Msg: Current Task:
Alta disponibilidade e escalabilidade do ASA
A configuração e o status de alta disponibilidade e escalabilidade do ASA podem ser verificados com o uso destas opções:
- CLI ASA
- Pesquisa SNMP ASA
- Arquivo show-tech do ASA
- UI do FCM
- CLI FXOS
- REST-API FXOS
- arquivo show-tech do chassi FXOS
CLI ASA
Siga estas etapas para verificar a configuração de alta disponibilidade e escalabilidade do ASA na CLI do ASA:
- Use estas opções para acessar a CLI do ASA de acordo com a plataforma e o modo de implantação:
- Acesso direto telnet/SSH ao ASA no Firepower 1000/3100 e Firepower 2100 no modo de dispositivo
- Acesso da CLI do console FXOS no Firepower 2100 no modo de plataforma e conexão com o ASA através do comando connect asa
- Acesso da CLI do FXOS via comandos (Firepower 4100/9300):
connect module <x> [console|telnet], onde x é o ID do slot, e conecte o asa
- Para ASA virtual, acesso SSH direto ao ASA ou acesso de console do hipervisor ou da interface de usuário da nuvem
2. Para verificar a configuração e o status do failover do ASA, execute os comandos show running-config failover e show failover state na CLI do ASA.
Se o failover não estiver configurado, esta saída será mostrada:
asa# show running-config failover
no failover
asa# show failover state
State Last Failure Reason Date/Time
This host - Secondary
Disabled None
Other host - Primary
Not Detected None
====Configuration State===
====Communication State==
Se o failover estiver configurado, essa saída será mostrada:
asa# show running-config failover
failover failover lan unit primary failover lan interface failover-link Ethernet1/1 failover replication http failover link failover-link Ethernet1/1 failover interface ip failover-link 10.30.35.2 255.255.255.0 standby 10.30.35.3
# show failover state
State Last Failure Reason Date/Time
This host - Primary
Active None
Other host - Secondary
Standby Ready Comm Failure 19:42:22 UTC May 21 2022
====Configuration State===
Sync Done
====Communication State===
Mac set
3. Para verificar a configuração e o status do cluster ASA, execute os comandos show running-config cluster e show cluster info na CLI.
Se o cluster não estiver configurado, esta saída será mostrada:
asa# show running-config cluster
asa# show cluster info
Clustering is not configured
Se o cluster estiver configurado, esta saída será mostrada:
asa# show running-config cluster cluster group asa_cluster1 key ***** local-unit unit-1-1 cluster-interface Port-channel48.205 ip 10.174.1.1 255.255.0.0 priority 9 health-check holdtime 3 health-check data-interface auto-rejoin 3 5 2 health-check cluster-interface auto-rejoin unlimited 5 1 health-check system auto-rejoin 3 5 2 health-check monitor-interface debounce-time 500 site-id 1 no unit join-acceleration enable asa# show cluster info Cluster asa_cluster1: On Interface mode: spanned Cluster Member Limit : 16 This is "unit-1-1" in state MASTER ID : 0 Site ID : 1 Version : 9.17(1) Serial No.: FLM2949C5232IT CCL IP : 10.174.1.1 CCL MAC : 0015.c500.018f Module : FPR4K-SM-24 ...
SNMP ASA
Siga estas etapas para verificar a configuração de alta disponibilidade e escalabilidade do ASA via SNMP:
- Verifique se o SNMP está configurado e ativado.
- Para verificar a configuração de failover e a pesquisa de status no OID .1.3.6.1.4.1.9.9.147.1.2.1.1.1.
Se o failover não estiver configurado, esta saída será mostrada:
# snmpwalk -v2c -c cisco123 -On 192.0.2.10 .1.3.6.1.4.1.9.9.147.1.2.1.1.1 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.4 = STRING: "Failover LAN Interface" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.6 = STRING: "Primary unit" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.7 = STRING: "Secondary unit (this device)" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.4 = INTEGER: 3 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.6 = INTEGER: 3 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.7 = INTEGER: 3 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.4 = STRING: "not Configured" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.6 = STRING: "Failover Off" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.7 = STRING: "Failover Off"
Se o failover estiver configurado, essa saída será mostrada:
# snmpwalk -v2c -c cisco123 -On 192.0.2.10 .1.3.6.1.4.1.9.9.147.1.2.1.1.1 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.4 = STRING: "Failover LAN Interface" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.6 = STRING: "Primary unit (this device)" <-- This device is primary SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.2.7 = STRING: "Secondary unit" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.4 = INTEGER: 2 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.6 = INTEGER: 9 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.3.7 = INTEGER: 10 SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.4 = STRING: "fover Ethernet1/2" SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.6 = STRING: "Active unit" <-- Primary device is active SNMPv2-SMI::enterprises.9.9.147.1.2.1.1.1.4.7 = STRING: "Standby unit"
3. Para verificar a configuração e o status do cluster, consulte o OID 1.3.6.1.4.1.9.9.491.1.8.1.
Se o cluster não estiver configurado, esta saída será mostrada:
# snmpwalk -v2c -c cisco123 192.0.2.12 .1.3.6.1.4.1.9.9.491.1.8.1
SNMPv2-SMI::enterprises.9.9.491.1.8.1.1.0 = INTEGER: 0
Se o cluster estiver configurado, mas não habilitado, esta saída será mostrada:
# snmpwalk -v2c -c cisco123 -On 192.0.2.12 .1.3.6.1.4.1.9.9.491.1.8.1 .1.3.6.1.4.1.9.9.491.1.8.1.1.0 = INTEGER: 0 <-- Cluster status, disabled .1.3.6.1.4.1.9.9.491.1.8.1.2.0 = INTEGER: 1 .1.3.6.1.4.1.9.9.491.1.8.1.3.0 = INTEGER: 0 <-- Cluster unit state, disabled .1.3.6.1.4.1.9.9.491.1.8.1.4.0 = INTEGER: 11 .1.3.6.1.4.1.9.9.491.1.8.1.5.0 = STRING: "asa_cluster1" <-- Cluster group name .1.3.6.1.4.1.9.9.491.1.8.1.6.0 = STRING: "unit-1-1" <-- Cluster unit name
.1.3.6.1.4.1.9.9.491.1.8.1.7.0 = INTEGER: 0 <-- Cluster unit ID
.1.3.6.1.4.1.9.9.491.1.8.1.8.0 = INTEGER: 1 <-- Cluster side ID
...
Se o cluster estiver configurado, ativado e operacionalmente ativado, esta saída será mostrada:
# snmpwalk -v2c -c cisco123 -On 192.0.2.12 .1.3.6.1.4.1.9.9.491.1.8.1 .1.3.6.1.4.1.9.9.491.1.8.1.1.0 = INTEGER: 1 <-- Cluster status, enabled .1.3.6.1.4.1.9.9.491.1.8.1.2.0 = INTEGER: 1
.1.3.6.1.4.1.9.9.491.1.8.1.3.0 = INTEGER: 16 <-- Cluster unit state, control unit .1.3.6.1.4.1.9.9.491.1.8.1.4.0 = INTEGER: 10 .1.3.6.1.4.1.9.9.491.1.8.1.5.0 = STRING: "asa_cluster1" <-- Cluster group name .1.3.6.1.4.1.9.9.491.1.8.1.6.0 = STRING: "unit-1-1" <-- Cluster unit name .1.3.6.1.4.1.9.9.491.1.8.1.7.0 = INTEGER: 0 <-- Cluster unit ID .1.3.6.1.4.1.9.9.491.1.8.1.8.0 = INTEGER: 1 <-- Cluster side ID
...
Para obter mais informações sobre as descrições do OID, consulte CISCO-UNIFIED-FIREWALL-MIB.
Arquivo show-tech do ASA
1. Para verificar a configuração e o status do failover do ASA, verifique a seção show failover.
Se o failover não estiver configurado, esta saída será mostrada:
------------------ show failover ------------------ Failover Off Failover unit Secondary Failover LAN Interface: not Configured Reconnect timeout 0:00:00 Unit Poll frequency 1 seconds, holdtime 15 seconds Interface Poll frequency 5 seconds, holdtime 25 seconds Interface Policy 1 Monitored Interfaces 3 of 1292 maximum MAC Address Move Notification Interval not set
Se o failover estiver configurado, essa saída será mostrada:
------------------ show failover ------------------ Failover On Failover unit Primary Failover LAN Interface: fover Ethernet1/2 (up) Reconnect timeout 0:00:00 Unit Poll frequency 1 seconds, holdtime 15 seconds Interface Poll frequency 5 seconds, holdtime 25 seconds Interface Policy 1 Monitored Interfaces 1 of 1291 maximum MAC Address Move Notification Interval not set failover replication http Version: Ours 9.17(1), Mate 9.17(1) Serial Number: Ours FLM2006EN9AB11, Mate FLM2006EQZY02 Last Failover at: 13:45:46 UTC May 20 2022 This host: Primary - Active Active time: 161681 (sec) slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.17(1)) status (Up Sys) Other host: Secondary - Standby Ready Active time: 0 (sec) slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.17(1)) status (Up Sys) ...
2. Para verificar a configuração e o status do cluster, verifique a seção show cluster info.
Se o cluster não estiver configurado, esta saída será mostrada:
------------------ show cluster info ------------------
Clustering is not configured
Se o cluster estiver configurado e ativado, esta saída será mostrada:
------------------ show cluster info ------------------ Cluster asa_cluster1: On
Interface mode: spanned
Cluster Member Limit : 16
This is "unit-1-1" in state MASTER
ID : 0
Site ID : 1
Version : 9.17(1)
Serial No.: FLM2949C5232IT
CCL IP : 10.174.1.1
CCL MAC : 0015.c500.018f
Module : FPR4K-SM-24
...
UI do FCM
Siga as etapas na seção.
CLI FXOS
Siga as etapas na seção.
REST-API FXOS
Siga as etapas na seção.
Arquivo show-tech do chassi FXOS
Siga as etapas na seção.
Verificar o modo de firewall
modo FTD Firewall
O modo de firewall refere-se a uma configuração de firewall roteada ou transparente.
O modo de firewall FTD pode ser verificado com o uso destas opções:
- CLI FTD
- FTD show-tech
- UI FMC
- FMC REST-API
- UI do FCM
- CLI FXOS
- REST-API FXOS
- arquivo show-tech do chassi FXOS
CLI FTD
Siga estas etapas para verificar o modo de firewall FTD na CLI do FTD:
1. Use estas opções para acessar a CLI do FTD de acordo com a plataforma e o modo de implantação:
- Acesso direto SSH ao FTD - todas as plataformas
- Acesso da CLI do console FXOS (Firepower 1000/2100/3100) através do comando connect ftd
- Acesso da CLI do FXOS via comandos (Firepower 4100/9300):
connect module <x> [console|telnet], onde x é o ID do slot, e
connect ftd [instance], onde a instância é relevante apenas para a implantação de várias instâncias.
- Para FTDs virtuais, acesso SSH direto ao FTD ou acesso de console a partir do hipervisor ou da IU da nuvem
2. Para verificar o modo de firewall, execute o comando show firewall na CLI:
> show firewall Firewall mode: Transparent
arquivo de solução de problemas do FTD
Siga estas etapas para verificar o modo de firewall FTD no arquivo de solução de problemas FTD:
1. Abra o arquivo de solução de problemas e navegue até a pasta <filename>-troubleshoot .tar/results-<date>—xxxxx/saída de comandos.
2. Abra o arquivo usr-local-sf-bin-sfcli.pl show_tech_support asa_lina_cli_util.output:
# pwd
/ngfw/var/common/results-05-22-2022--102758/command-outputs
# cat 'usr-local-sf-bin-sfcli.pl show_tech_support asa_lina_cli_util.output'
3. Para verificar o modo de firewall FTD, marque a seção show firewall:
------------------ show firewall ------------------ Firewall mode: Transparent
UI FMC
Siga estas etapas para verificar o modo de firewall FTD na interface do usuário do FMC:
1. Escolha Dispositivos > Gerenciamento de dispositivos:
2. Verifique as etiquetas Roteadas ou Transparentes:
FMC REST-API
Siga estas etapas para verificar o modo de firewall FTD via FMC REST-API. Use um cliente REST-API. Neste exemplo, o curl é usado:
- Solicite um token de autenticação:
# curl -s -k -v -X POST 'https://192.0.2.1/api/fmc_platform/v1/auth/generatetoken' -H 'Authentication: Basic' -u 'admin:Cisco123' | grep -i X-auth-access-token
< X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb
2. Identifique o domínio que contém o dispositivo. Na maioria das consultas REST API, o parâmetro domain é obrigatório. Use o token nesta consulta para recuperar a lista de domínios:
# curl -s -k -X 'GET' 'https://192.0.2.1/api/fmc_platform/v1/info/domain' -H 'accept: application/json' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
{
"items":
[
{
"name": "Global",
"type": "Domain",
"uuid": "e276abec-e0f2-11e3-8169-6d9ed49b625f"
},
{
"name": "Global/LAB2",
"type": "Domain",
"uuid": "84cc4afe-02bc-b80a-4b09-000000000000"
},
...
3. Use o UUID de domínio para consultar os registros de dispositivos específicos e o UUID de dispositivo específico:
# curl -s -k -X 'GET' 'https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devices/devicerecords' -H 'accept: application/json' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
{
"items": [
{
"id": "796eb8f8-d83b-11ec-941d-b9083eb612d8",
"links": {
"self": "https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devices/devicerecords/796eb8f8-d83b-11ec-941d-b9083eb612d8"
},
"name": "ftd_ha_1",
"type": "Device"
},
...
4. Use o UUID de domínio e o UUID de dispositivo/contêiner da Etapa 3 nesta consulta e verifique o valor de ftdMode:
# curl -s -k -X 'GET' 'https://192.0.2.1./api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devices/devicerecords/796eb8f8-d83b-11ec-941d-b9083eb612d8' -H 'accept: application/json' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
... { "accessPolicy": { "id": "00505691-3a23-0ed3-0006-536940224514", "name": "acp1", "type": "AccessPolicy" }, "advanced": { "enableOGS": false }, "description": "NOT SUPPORTED", "ftdMode": "ROUTED", ...
UI do FCM
O modo de firewall pode ser verificado para FTD no Firepower 4100/9300.
Siga estas etapas para verificar o modo de firewall FTD na interface do usuário do FCM:
1. Edite o dispositivo lógico na página Dispositivos lógicos:
2. Clique no ícone do aplicativo e marque o Modo de firewall na guia Configurações:
CLI FXOS
O modo de firewall pode ser verificado para FTD no Firepower 4100/9300.
Siga estas etapas para verificar o modo de firewall FTD na CLI do FXOS:
- Estabeleça uma conexão de console ou SSH para o chassi.
- Mude para o escopo ssa, em seguida mude para o dispositivo lógico específico, execute o comando show mgmt-bootstrap expand e verifique o valor do atributo FIREWALL_MODE:
firepower# scope ssa firepower /ssa # scope logical-device ftd_cluster1 firepower /ssa/logical-device # show mgmt-bootstrap expand Management Configuration: App Name: ftd Secret Bootstrap Key: Key Value ------------------------- ----- PASSWORD REGISTRATION_KEY IP v4: Slot ID Management Sub Type IP Address Netmask Gateway Last Updated Timestamp ---------- ------------------- --------------- --------------- --------------- ---------------------- 1 Firepower 10.62.148.188 255.255.255.128 10.62.148.129 2022-05-20T13:50:06.238 Bootstrap Key: Key Value ------------------------- ----- DNS_SERVERS 192.0.2.250 FIREPOWER_MANAGER_IP 10.62.184.21 FIREWALL_MODE routed PERMIT_EXPERT_MODE yes SEARCH_DOMAINS cisco.com
...
API REST FXOS
O FXOS REST-API é compatível com o Firepower 4100/9300.
Siga estas etapas para verificar o modo de firewall FTD através da solicitação FXOS REST-API. Use um cliente REST-API. Neste exemplo, o curl é usado:
- Solicite um token de autenticação:
# curl -k -X POST -H 'USERNAME: admin' -H 'PASSWORD: Cisco123' https://192.0.2.100/api/ld/ftd_cluster1
{
"refreshPeriod": "0",
"token": "3dba916cdfb850c204b306a138cde9659ba997da4453cdc0c37ffb888816c94d"
}
2. Use o identificador lógico do dispositivo nesta consulta e verifique o valor da chave FIREWALL_MODE:
# curl -s -k -X GET -H 'Accept: application/json' -H 'token: 3dba916cdfb850c204b306a138cde9659ba997da4453cdc0c37ffb888816c94d' https://192.0.2.100/api/ld/ftd_cluster1
... { "key": "FIREWALL_MODE", "rn": "key-FIREWALL_MODE", "updateTimestamp": "2022-05-20T13:28:37.093", "urllink": "https://192.0.2.100/api/ld/ftd_cluster1/mgmt-bootstrap/ftd/key/FIREWALL_MODE", "value": "routed" }, ...
Arquivo show-tech do chassi FXOS
O modo de firewall para FTD pode ser verificado no arquivo show-tech do Firepower 4100/9300.
Siga estas etapas para verificar o modo de firewall FTD no arquivo show-tech do chassi FXOS:
- Para FXOS versões 2.7 e posteriores, abra o arquivo sam_techsupportinfo em <name>_BC1_all.tar/ FPRM_A_TechSupport.tar.gz/FPRM_A_TechSupport.tar
Para versões anteriores, abra o arquivo sam_techsupportinfo em FPRM_A_TechSupport.tar.gz/ FPRM_A_TechSupport.tar.
- Verifique a seção `show logical-device detail expand` no identificador específico e no slot:
# pwd
/var/tmp/20220313201802_F241-01-11-FPR-2_BC1_all/FPRM_A_TechSupport/
# cat sam_techsupportinfo
...
`show logical-device detail expand`
Logical Device: Name: ftd_cluster1 Description: Slot ID: 1 Mode: Clustered Oper State: Ok Template Name: ftd Error Msg: Switch Configuration Status: Ok Sync Data External Port Link State with FTD: Disabled Current Task: ... Bootstrap Key: Key: DNS_SERVERS Value: 192.0.2.250 Last Updated Timestamp: 2022-05-20T13:28:37.093 Key: FIREPOWER_MANAGER_IP Value: 10.62.184.21 Last Updated Timestamp: 2022-05-20T13:28:37.093 Key: FIREWALL_MODE Value: routed Last Updated Timestamp: 2022-05-20T13:28:37.093 ...
modo ASA Firewall
O modo de firewall ASA pode ser verificado com o uso destas opções:
- CLI ASA
- show-tech do ASA
- UI do FCM
- CLI FXOS
- REST-API FXOS
- arquivo show-tech do chassi FXOS
CLI ASA
Siga estas etapas para verificar o modo de firewall ASA na CLI do ASA:
- Use estas opções para acessar a CLI do ASA de acordo com a plataforma e o modo de implantação:
- Acesso direto telnet/SSH ao ASA no Firepower 1000/3100 e Firepower 2100 no modo de dispositivo
- Acesso da CLI do console FXOS no Firepower 2100 no modo de plataforma e conexão com o ASA através do comando connect asa
- Acesso da CLI do FXOS via comandos (Firepower 4100/9300):
connect module <x> [console|telnet], onde x é o ID do slot, e conecte o asa
- Para ASA virtual, acesso SSH direto ao ASA ou acesso de console do hipervisor ou da interface de usuário da nuvem
2. Execute o comando show firewall na CLI:
asa# show firewall Firewall mode: Routed
Arquivo show-tech do ASA
Para verificar o modo de firewall ASA, marque a seção show firewall:
------------------ show firewall ------------------
Firewall mode: Routed
UI do FCM
Siga as etapas na seção.
CLI FXOS
Siga as etapas na seção.
REST-API FXOS
Siga as etapas na seção.
Arquivo show-tech do chassi FXOS
Siga as etapas na seção.
Verificar o tipo de implantação da instância
Há dois tipos de implantação de instância de aplicativo:
- Instância nativa - Uma instância nativa usa todos os recursos (CPU, RAM e espaço em disco) do módulo/mecanismo de segurança, de modo que você só pode instalar uma instância nativa.
- Instância do contêiner - Uma instância do contêiner usa um subconjunto de recursos do módulo/mecanismo de segurança. A capacidade de múltiplas instâncias só é suportada para o DTF gerido pelo CMC; não é compatível com o ASA ou o FTD gerenciado pelo FDM.
A configuração de instância do modo de contêiner é suportada somente para FTD no Firepower 4100/9300.
O tipo de implantação da instância pode ser verificado com o uso destas opções:
- CLI FTD
- FTD Show-tech
- UI FMC
- FMC REST-API
- UI do FCM
- CLI FXOS
- REST-API FXOS
- arquivo show-tech do chassi FXOS
CLI FTD
Siga estas etapas para verificar o tipo de implantação da instância FTD na CLI do FTD:
- Use estas opções para acessar a CLI do FTD de acordo com a plataforma e o modo de implantação:
- Acesso direto SSH ao FTD - todas as plataformas
- Acesso da CLI do FXOS via comandos (Firepower 4100/9300):
conecte o módulo <x> [console|telnet], onde x é o ID do slot, e conecte ftd [instance], onde a instância é relevante apenas para a implantação de várias instâncias.
- Execute o comando show version system e verifique a linha com a string SSP Slot Number. Se o Contêiner existir nessa linha, o FTD será executado em um modo de contêiner:
> show version system -------------------[ firepower ]-------------------- Model : Cisco Firepower 4120 Threat Defense (76) Version 7.1.0 (Build 90) UUID : 3344bc4a-d842-11ec-a995-817e361f7ea5 VDB version : 346 ---------------------------------------------------- Cisco Adaptive Security Appliance Software Version 9.17(1) SSP Operating System Version 2.11(1.154) Compiled on Tue 30-Nov-21 18:38 GMT by builders System image file is "disk0:/fxos-lfbff-k8.2.11.1.154.SPA" Config file at boot was "startup-config" firepower up 2 days 19 hours Start-up time 3 secs SSP Slot Number: 1 (Container) …
arquivo de solução de problemas do FTD
Siga estas etapas para verificar o tipo de implantação da instância FTD no arquivo de solução de problemas FTD:
- Abra o arquivo de solução de problemas e navegue até a pasta <filename>-troubleshoot .tar/results-<date>—xxxxx/saída de comandos.
- Abra o arquivo usr-local-sf-bin-sfcli.pl show_tech_support asa_lina_cli_util.output:
# pwd
/ngfw/var/common/results-05-22-2022--102758/command-outputs
# cat 'usr-local-sf-bin-sfcli.pl show_tech_support asa_lina_cli_util.output'
- Verifique a linha com a string SSP Slot Number. Se o Contêiner existir nessa linha, o FTD será executado em um modo de contêiner:
-------------------[ firepower ]-------------------- Model : Cisco Firepower 4120 Threat Defense (76) Version 7.1.0 (Build 90) UUID : 3344bc4a-d842-11ec-a995-817e361f7ea5 VDB version : 346 ---------------------------------------------------- Cisco Adaptive Security Appliance Software Version 9.17(1) SSP Operating System Version 2.11(1.154) Compiled on Tue 30-Nov-21 18:38 GMT by builders System image file is "disk0:/fxos-lfbff-k8.2.11.1.154.SPA" Config file at boot was "startup-config" firepower up 2 days 19 hours Start-up time 3 secs SSP Slot Number: 1 (Container) …
UI FMC
Siga estas etapas para verificar o tipo de implantação da instância do FTD na IU do FMC:
- Escolha Dispositivos > Gerenciamento de dispositivos:
- Verifique a coluna Chassis. Se o Contêiner existir na linha, o FTD será executado no modo de contêiner.
FMC REST-API
Siga estas etapas para verificar o tipo de implantação da instância FTD via FMC REST-API. Use um cliente REST-API. Neste exemplo, o curl é usado:
- Solicite um token de autenticação:
# curl -s -k -v -X POST 'https://192.0.2.1/api/fmc_platform/v1/auth/generatetoken' -H 'Authentication: Basic' -u 'admin:Cisco123' | grep -i X-auth-access-token
< X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb
2. Identifique o domínio que contém o dispositivo. Na maioria das consultas REST API, o parâmetro domain é obrigatório. Use o token nesta consulta para recuperar a lista de domínios:
# curl -s -k -X 'GET' 'https://192.0.2.1/api/fmc_platform/v1/info/domain' -H 'accept: application/json' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
{
"items":
[
{
"name": "Global",
"type": "Domain",
"uuid": "e276abec-e0f2-11e3-8169-6d9ed49b625f"
},
{
"name": "Global/LAB2",
"type": "Domain",
"uuid": "84cc4afe-02bc-b80a-4b09-000000000000"
},
...
3. Use o UUID de domínio para consultar os registros de dispositivos específicos e o UUID de dispositivo específico:
# curl -s -k -X 'GET' 'https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devices/devicerecords' -H 'accept: application/json' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
{
"items": [
{
"id": "796eb8f8-d83b-11ec-941d-b9083eb612d8",
"links": {
"self": "https://192.0.2.1/api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devices/devicerecords/796eb8f8-d83b-11ec-941d-b9083eb612d8"
},
"name": "ftd_ha_1",
"type": "Device"
},
...
4. Use o UUID de domínio e o UUID de dispositivo/contêiner da Etapa 3 nesta consulta e verifique o valor de isMultiInstance:
# curl -s -k -X 'GET' 'https://192.0.2.1./api/fmc_config/v1/domain/84cc4afe-02bc-b80a-4b09-000000000000/devices/devicerecords/796eb8f8-d83b-11ec-941d-b9083eb612d8' -H 'accept: application/json' -H 'X-auth-access-token: 5d817ef7-f12f-4dae-b0c0-cd742d3bd2eb' | python -m json.tool
...
"name": "ftd_cluster1",
"isMultiInstance": true, ...
UI do FCM
Para verificar o tipo de implantação da instância FTD, verifique o valor do atributo Perfil do Recurso em Dispositivos Lógicos. Se o valor não estiver vazio, o FTD será executado no modo contêiner:
CLI FXOS
Siga estas etapas para verificar o tipo de implantação da instância FTD na CLI do FXOS:
- Estabeleça uma conexão de console ou SSH para o chassi.
- Mude para o escopo ssa e execute o comando show app-instance, em seguida, verifique a coluna Deploy Type do FTD específico com base no slot e no identificador:
firepower # scope ssa
firepower /ssa # show app-instance App Name Identifier Slot ID Admin State Oper State Running Version Startup Version Deploy Type Turbo Mode Profile Name Cluster State Cluster Role ---------- ---------- ---------- ----------- ---------------- --------------- --------------- ----------- ---------- ------------ --------------- ------------ ftd ftd_cluster1 1 Enabled Online 7.1.0.90 7.1.0.90 Container No RP20 In Cluster Master
API REST FXOS
Siga estas etapas para verificar o tipo de implantação da instância FTD através de uma solicitação FXOS REST-API. Use um cliente REST-API. Neste exemplo, o curl é usado:
- Solicite um token de autenticação:
# curl -k -X POST -H 'USERNAME: admin' -H 'PASSWORD: Cisco123' 'https://10.62.148.88/api/login'
{
"refreshPeriod": "0",
"token": "3dba916cdfb850c204b306a138cde9659ba997da4453cdc0c37ffb888816c94d"
}
2. Especifique o token, a ID do slot nesta consulta e verifique o valor de DeploymentType:
# curl -s -k -X GET -H 'Accept: application/json' -H 'token: 3dba916cdfb850c204b306a138cde9659ba997da4453cdc0c37ffb888816c94d' https://192.0.2.100/api/slot/1/app-inst
… { "smAppInstance": [ { "adminState": "enabled", "appDn": "sec-svc/app-ftd-7.1.0.90", "appInstId": "ftd_001_JAD201200R43VLP1G3", "appName": "ftd", "clearLogData": "available", "clusterOperationalState": "not-applicable", "clusterRole": "none", "currentJobProgress": "100", "currentJobState": "succeeded", "currentJobType": "start", "deployType": "container",
...
Arquivo show-tech do chassi FXOS
Siga estas etapas para verificar o modo de firewall FTD no arquivo show-tech do chassi FXOS:
- Para FXOS versões 2.7 e posteriores, abra o arquivo sam_techsupportinfo em <name>_BC1_all.tar/ FPRM_A_TechSupport.tar.gz/FPRM_A_TechSupport.tar
Para versões anteriores, abra o arquivo sam_techsupportinfo em FPRM_A_TechSupport.tar.gz/ FPRM_A_TechSupport.tar.
- Verifique a seção `show slot expand detail` para o slot específico e o identificador:
# pwd
/var/tmp/20220313201802_F241-01-11-FPR-2_BC1_all/FPRM_A_TechSupport/
# cat sam_techsupportinfo
...
`show slot expand detail` Slot: Slot ID: 1 Log Level: Info Admin State: Ok Oper State: Online Disk Format State: Ok Disk Format Status: 100% Clear Log Data: Available Error Msg: Application Instance: App Name: ftd Identifier: ftd_cluster1 Admin State: Enabled Oper State: Online Running Version: 7.1.0.90 Startup Version: 7.1.0.90 Deploy Type: Container
Verificar o modo de contexto do ASA
O ASA oferece suporte a modos de contexto único e múltiplo. O FTD não suporta o modo multicontexto.
O tipo de contexto pode ser verificado com o uso destas opções:
- CLI ASA
- show-tech do ASA
CLI ASA
Siga estas etapas para verificar o modo de contexto ASA na CLI do ASA:
- Use estas opções para acessar a CLI do ASA de acordo com a plataforma e o modo de implantação:
- Acesso direto telnet/SSH ao ASA no Firepower 1000/3100 e Firepower 2100 no modo de dispositivo
- Acesso da CLI do console FXOS no Firepower 2100 no modo de plataforma e conexão com o ASA através do comando connect asa
- Acesso da CLI do FXOS via comandos (Firepower 4100/9300):
connect module <x> [console|telnet], onde x é o ID do slot, e conecte o asa
- Para ASA virtual, acesso SSH direto ao ASA ou acesso de console do hipervisor ou da interface de usuário da nuvem
2. Execute o comando show mode na CLI:
ASA# show mode
Security context mode: multiple
ASA# show mode
Security context mode: single
Arquivo show-tech do ASA
Siga estas etapas para verificar o modo de contexto ASA no arquivo show-tech do ASA:
1. Verifique a seção show context detail no arquivo show-tech. Nesse caso, o modo de contexto é múltiplo, pois há vários contextos:
------------------ show context detail ------------------ Context "system", is a system resource Config URL: startup-config Real Interfaces: Mapped Interfaces: Ethernet1/1, Ethernet1/10, Ethernet1/11, Ethernet1/12, Ethernet1/13, Ethernet1/14, Ethernet1/15, Ethernet1/16, Ethernet1/2, Ethernet1/3, Ethernet1/4, Ethernet1/5, Ethernet1/6, Ethernet1/7, Ethernet1/8, Ethernet1/9, Ethernet2/1, Ethernet2/2, Ethernet2/3, Ethernet2/4, Ethernet2/5, Ethernet2/6, Ethernet2/7, Ethernet2/8, Internal-Data0/1, Internal-Data1/1, Management1/1 Class: default, Flags: 0x00000819, ID: 0 Context "admin", has been created Config URL: disk0:/admin.cfg Real Interfaces: Ethernet1/1, Ethernet1/2, Management1/1 Mapped Interfaces: Ethernet1/1, Ethernet1/2, Management1/1 Real IPS Sensors: Mapped IPS Sensors: Class: default, Flags: 0x00000813, ID: 1 Context "null", is a system resource Config URL: ... null ... Real Interfaces: Mapped Interfaces: Real IPS Sensors: Mapped IPS Sensors: Class: default, Flags: 0x00000809, ID: 507
Verifique o modo Firepower 2100 com ASA
O Firepower 2100 com ASA pode ser executado em um destes modos:
-
Modo de plataforma - parâmetros operacionais básicos e configurações de interface de hardware são configurados no FXOS. Essas configurações incluem alteração de estado de administrador de interfaces, configuração de EtherChannel, NTP, gerenciamento de imagem e muito mais. A interface da Web do FCM ou CLI do FXOS pode ser usada para a configuração do FXOS.
-
Modo de aplicativo (o padrão) - O modo de aplicativo permite que os usuários configurem todas as políticas no ASA. Somente comandos avançados estão disponíveis na CLI do FXOS.
O modo Firepower 2100 com ASA pode ser verificado com o uso destas opções:
- CLI ASA
- CLI FXOS
- FXOS show-tech
CLI ASA
Siga estas etapas para verificar o modo Firepower 2100 com ASA na CLI do ASA:
1. Use telnet/SSH para acessar o ASA no Firepower 2100.
2. Execute o comando show fxos mode na CLI:
ciscoasa(config)# show fxos mode
Mode is currently set to plaftorm
Modo do dispositivo:
ciscoasa(config)# show fxos mode
Mode is currently set to appliance
CLI FXOS
Siga estas etapas para verificar o modo Firepower 2100 com ASA na CLI do FXOS:
1. Use telnet/SSH para acessar o ASA no Firepower 2100.
2. Execute o comando connect fxos:
ciscoasa/admin(config)# connect fxos
Configuring session.
.
Connecting to FXOS.
...
Connected to FXOS. Escape character sequence is 'CTRL-^X'.
3. Execute o comando show fxos-mode:
firepower-2140# show fxos mode
Mode is currently set to plaftorm
Modo do dispositivo:
firepower-2140#show fxos mode
Mode is currently set to appliance
FXOS show-tech file
Siga estas etapas para verificar o modo Firepower 2100 com ASA no arquivo show-tech do chassi FXOS:
1. Abra o arquivo tech_support_brief em <name>_FPRM.tar.gz/<name>_FPRM.tar
2. Verifique a seção `show fxos-mode:
# pwd
/var/tmp/fp2k-1_FPRM/
# cat tech_support_brief
...
`show fxos-mode`
Mode is currently set to platform
Modo do dispositivo:
# pwd
/var/tmp/fp2k-1_FPRM/
# cat tech_support_brief
...
`show fxos-mode`
Mode is currently set to appliance
Problemas conhecidos
ID de bug da Cisco CSCwb94424 
ENH: Adicionar um comando CLISH para verificação de configuração do FMC HA
ID de bug da Cisco CSCvn31622 ENH: Adicione OIDs SNMP FXOS para pesquisar a configuração de dispositivo lógico e de instância de aplicativo
ID de bug da Cisco CSCwb97767 ENH: Adicionar OID para verificação do tipo de implantação de instância FTD
ID de bug da Cisco CSCwb97772 ENH: Inclua a saída de 'show fxos mode' no show-tech do ASA no Firepower 2100
ID de bug da Cisco CSCwb97751 OID 1.3.6.1.4.1.9.9.491.1.6.1.1 para verificação transparente do modo de firewall não está disponível
Informações Relacionadas
- Guia de início rápido da API REST do Secure Firewall Management Center, versão 7.1
- Configurar SNMP em dispositivos Firepower NGFW
- Guia da API REST do Cisco Firepower Threat Defense
- Referência de API REST do Cisco FXOS
- Compatibilidade do Cisco ASA
- Pacotes Firepower 1000/2100 e Secure Firewall 3100 ASA e FXOS versões
- Componentes em pacote
- Solução de problemas do Firepower: procedimentos de geração de arquivos
- Guia de introdução ao Cisco Firepower 2100
- Guia de compatibilidade do Cisco Firepower Threat Defense
Histórico de revisões
| Revisão | Data de publicação | Comentários |
|---|---|---|
1.0 |
26-May-2022 |
Versão inicial |
FeedbackContate a Cisco
- Abrir um caso de suporte
- (É necessário um Contrato de Serviço da Cisco)