Após a atualização do software no Secure Firewall Threat Defense (FTD) na configuração de alta disponibilidade (HA), os seguintes sintomas são observados:
1. O nome de host Lina não corresponde ao nome de host do modo especialista que foi configurado anteriormente usando o comando configure network hostname CLISH, que neste artigo é chamado de nome de host do sistema. O nome de host Lina corresponde ao nome de host do sistema do peer. Neste exemplo, a unidade com o nome de host do sistema FPR1100-2 tem o FPR1100-1 como o nome de host Lina:
> show network ===============[ System Information ]=============== Hostname : FPR1100-2 <----- system hostname Domains : example.net … > show running-config hostname hostname FPR1100-1 <--- Lina hostname is different than the system hostname
Unidade correspondente:
> show network ===============[ System Information ]=============== Hostname : FPR1100-1 <----- system hostname Domains : example.net … > show running-config hostname hostname FPR1100-1 <--- Lina hostname
2. Com base no exemplo anterior, dependendo do estado pré-upgrade das unidades, o nome de host Lina muda da seguinte maneira:
2. 1 - Cenário 1
Estado pré-atualização: a unidade com o nome de host do sistema FPR1100-1 é primária/ativa e FPR1100-2 é secundária/standby.
Estado pós-atualização: o nome de host Lina em ambas as unidades é FPR1100-1.
2.2 - Cenário 2
Estado pré-atualização: a unidade com o nome de host do sistema FPR1100-1 é primária/standby, FPR1100-2 é secundária/ativa.
Estado pós-atualização: o nome de host Lina em ambas as unidades é FPR1100-2.
Além disso, o polling dos nomes de host de cada peer HA usando o identificador de objeto do protocolo de monitoramento de rede simples (SNMP - Simple Network Monitoring Protocol) .1.3.6.1.2.1.1.5.0 retorna o mesmo valor.
Por exemplo:
# snmpget -On -v2c -c cisco 192.0.2.1 .1.3.6.1.2.1.1.5.0 .1.3.6.1.2.1.1.5.0 = STRING: FPR1100-1
# snmpget -On -v2c -c cisco 192.0.2.2 .1.3.6.1.2.1.1.5.0 .1.3.6.1.2.1.1.5.0 = STRING: FPR1100-1
FMC-gerenciado Firepower 4112 executando FTD em HA. Outras plataformas de hardware também são afetadas.
Visto pela primeira vez após a atualização do software da versão 7.6.2.1 para 7.6.4. Outras versões também podem ser afetadas.
Os peers FTD em HA são configurados com nomes de host de sistema diferentes e personalizados usando o comando CLISH configure network hostname.
Os sintomas são reproduzidos e documentados na ID de bug da Cisco CSCwt25171.
Se a intenção for manter o nome de host Lina sincronizado com o nome de host na saída do comando show network, há duas opções alternativas conhecidas:
1. No peer afetado, reconfigure o nome do host desejado usando o comando configure network hostname. Este comando configura o nome do host do sistema e atualiza o nome do host Lina.
2. Reinicialize a unidade afetada. Observe que, dependendo do ambiente, a configuração e a ação de reinicialização do fluxo de tráfego podem ser arriscadas e impactar durante o horário comercial. Recomenda-se o uso de critério do usuário.
Os sintomas documentados na ID de bug da Cisco CSCwt25171.
Estes são os resultados adicionais da reprodução usando o Secure Firewall ASA e o FTD em configurações de alta disponibilidade:
ASA
O nome de host de Lina não é sincronizado da unidade ativa para a unidade em espera se qualquer uma destas for verdadeira, mas a menos que uma destas exceções de ASA ocorra:
1. Se o modo de firewall das unidades autônomas (pode ser inicialmente autônomo ou após interromper o HA) for alterado, nomes de host diferentes serão configurados e o failover será configurado. Se o log estiver ativado, a unidade em espera reportará uma correspondência de configuração, embora os nomes de host sejam inicialmente diferentes:
ASA2# . Detected an Active mate Secondary: Switching to Ok for reason Detected an Active peer. Configuration on Active and Standby is matching. <-----
2. Após as alterações no #1, o failover é suspenso com o comando no failover e retomado com o comando failover.
Exceções do ASA
O nome de host Lina será sincronizado se qualquer uma destas condições for verdadeira:
1. No caso #1, a diferença entre as configurações da unidade é diferente do nome do host. Em outras palavras, se juntamente com o nome do host houver quaisquer outras diferenças, será iniciada uma sincronização completa que resulta na sincronização do nome do host.
2. O ASA em standby foi atualizado ou reinicializado.
3. O failover é pausado (sem failover) na unidade em espera, algumas alterações feitas na unidade ativa são sincronizadas e o failover é retomado na unidade em espera (failover). Devido às alterações, ocorre a sincronização completa da configuração.
FTD
O nome do host não será sincronizado da unidade ativa para a unidade em espera se qualquer uma destas for verdadeira, mas a menos que uma destas exceções de FTD ocorra:
1. O FTD está em configuração de failover e, na unidade de standby, o usuário configura um nome de host diferente usando o comando CLISH configure network hostname.
2. Se as unidades autônomas inicializadas forem configuradas com nomes de host diferentes usando o comando CLISH configure network hostname.
3. Se o modo de firewall for alterado em unidades autônomas (pode ser inicialmente autônomo ou após a interrupção do failover), nomes de host diferentes serão configurados com o comando CLISH configure network hostname, e o failover será configurado.
4. Após as alterações na #1-3, a sincronização ocorrerá se o HA for suspenso e retomado, ou se a unidade em espera for reinicializada, ou se a unidade em espera for atualizada para um patch ou versão principal (somente FTD virtual).
Exceções de FTD
O nome do host sincronizado se qualquer uma destas afirmações for verdadeira:
1. No caso #3, a diferença entre as configurações das unidades é diferente do nome do host. Em outras palavras, se juntamente com o nome do host houver outras diferenças, será iniciada uma sincronização completa que resulta na sincronização do nome do host.
2. A unidade em standby é atualizada para a versão principal (exceto o FTD virtual, ou seja, mesmo com uma atualização para uma versão principal em FTDs virtuais, os nomes de host não são sincronizados).
3. O HA é suspenso, a configuração é alterada na unidade ativa (por exemplo, por meio da implantação da política) e o failover é retomado. Nesse caso, devido à diferença de configuração entre as unidades, a replicação completa da unidade ativa para o standby, incluindo o nome do host, ocorre e sincroniza o nome do host.
| Revisão | Data de publicação | Comentários |
|---|---|---|
1.0 |
03-Apr-2026
|
Versão inicial |