Inspeção de tráfego agregado de link por dispositivos Sourcefire FirePOWER e virtuais

Introdução

A agregação de links foi padronizada pelo IEEE em 802.3ad 802.3ax. Implementações comuns de Agregação de Enlaces são EtherChannel, Link Aggregation Control Protocol (LACP), Port Aggregation Protocol (PAgP), etc. Este artigo descreve como os dispositivos da Sourcefire lidam com o tráfego agregado de links.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento sobre os modelos de dispositivos Sourcefire FirePOWER, modelos de dispositivos virtuais, Link Aggregation Control Protocol (LACP), EtherChannel e Port Aggregation Protocol (PAgP).

Suporte de agregação de links

Um dispositivo da Sourcefire pode trabalhar com qualquer implementação de agregação de link padrão, pois um protocolo de agregação de link não adiciona nenhum dado adicional ao próprio pacote. Não há problemas conhecidos entre a implementação dos dispositivos Sourcefire e qualquer protocolo de agregação de links.

Pontos a serem considerados

Os seguintes pontos precisam ser considerados ao implantar um dispositivo Sourcefire em uma implantação agregada por link:

1. Se um dispositivo da Sourcefire estiver no modo passivo e todos os links do EtherChannel estiverem sendo monitorados pelo mesmo mecanismo de detecção, a configuração da agregação de links não importará.
2. Se um único mecanismo de detecção estiver monitorando apenas alguns dos links ou se o dispositivo estiver sendo implantado como um dispositivo em linha, é recomendável que a Agregação de links seja configurada para usar endereços MAC origem e destino. Isso evitará os problemas de desempenho relacionados ao roteamento assíncrono.
3. O Snort é capaz de processar tráfego agregado de link sem nenhum problema.  No entanto, o Snort não poderá decodificar os pacotes de controle de agregação de link enviados entre os switches.
4. Os métodos de balanceamento de carga no EtherChannel são baseados em cada fluxo de tráfego e não em cada quadro ou pacote, portanto, os fluxos são o que tem a carga balanceada. A configuração de "IP de origem e IP de destino" no EtherChannel pode afetar o balanceamento de carga nas instâncias de snort da Sourcefire. Isso ocorre somente se o hash executado resultar em um conjunto mais limitado de IPs para escolher. O uso de "MAC origem e MAC destino" pode ajudar na distribuição de carga.

Problema conhecido

O seguinte problema conhecido no LACP é relatado em todas as versões anteriores à 5.3.1.1, inclusive:

Em alguns casos, a aplicação de alterações à sua política de controle de acesso, política de intrusão, política de descoberta de rede ou configuração de dispositivo, ou a instalação de uma atualização de regra de intrusão ou atualização do banco de dados de vulnerabilidade (VDB) faz com que o sistema sofra uma interrupção no tráfego que usa o LACP (Link Aggregation Control Protocol) no modo rápido. Como solução alternativa, configure os links LACP no modo lento. (112070)

Documento relacionado

• Notas de versão do FireSIGHT System versão 5.3.1.1