关于 Firepower 4100/9300 机箱上的集群
在 Firepower 4100/9300 机箱 上部署集群时，它执行以下操作：
-
对于本地实例集群： 为设备间通信创建 集群控制链路 （默认情况下，使用端口通道 48）。
对于多实例集群：您应该在一个或多个集群类型 Etherchannel 上预配置子接口；每个实例都需要自己的集群控制链路。
对于同一个 Firepower 9300 机箱内的安全模块隔离的集群，此链路利用 Firepower 9300 背板进行集群通信。
对于多机箱集群，需要手动将物理接口分配到此 EtherChannel 以进行机箱间通信。
-
在应用中创建集群引导程序配置。
在部署集群时，机箱管理引擎将最低引导程序配置推送到包含集群名称、集群控制链路接口及其他集群设置的每个设备。
-
将数据接口作为跨网络 接口分配给集群。
对于同一个 Firepower 9300 机箱内的安全模块隔离的集群，跨网络接口不限于 EtherChannel，就像用于多个机箱的集群一样。 Firepower 9300 管理引擎在内部利用 EtherChannel 技术，将流量负载均衡到共享接口上的多个模块，使任何数据接口类型都可用于跨网络模式。 对于多机箱集群，必须对所有数据接口使用跨网络 EtherChannel。
注
除管理接口以外，不支持单个接口。
-
向集群中的所有设备分配管理接口。
有关集群的详细信息，请参阅以下各节：
引导程序配置
在部署集群时，Firepower 4100/9300 机箱管理引擎将最低引导程序配置推送到包含集群名称、集群控制链路接口及其他集群设置的每个设备。
集群成员
集群成员协调工作来实现安全策略和流量的共享。
一个集群成员是控制设备。系统自动确定控制设备。所有其他成员都是数据设备。
您必须仅在控制设备上执行所有配置；然后，配置将复制到数据设备。
有些功能在集群中无法扩展，控制设备将处理这些功能的所有流量。。
集群控制链路
对于本地实例集群：使用端口通道 48 接口自动创建集群控制链路。
对于多实例群集：您应该在一个或多个集群类型 Etherchannel 上预配置子接口；每个实例都需要自己的集群控制链路。
对于与一个 Firepower 9300 机箱内的安全模块隔离的集群，此接口没有成员接口。此群集类型 EtherChannel 利用 Firepower 9300 背板进行集群通信。 对于多机箱群集，必须将一个或多个接口添加到 EtherChannel。
对于 2 个机箱群集，请勿直接将群集控制链路从一个机箱连接到另一个机箱。如果直接连接两个接口，则当一台设备发生故障时，集群控制链路失效，会导致剩下的那台正常设备也发生故障。而如果通过交换机连接集群控制链路，则集群控制链路仍会对正常设备打开。
群集控制链路流量包括控制流量和数据流量。
确定集群控制链路规格
如果可能，应将集群控制链路的大小设定为与每个机箱的预期吞吐量匹配，以使集群控制链路可以处理最坏情况。
集群控制链路流量主要由状态更新和转发的数据包组成。集群控制链路在任一给定时间的流量大小不尽相同。转发流量的大小取决于负载均衡的效率或是否存在大量用于集中功能的流量。例如：
-
NAT 会使连接的负载均衡不佳，需要对所有返回流量进行再均衡，将其转发到正确的设备。
-
当成员身份更改时，集群需要对大量连接进行再均衡，因此会暂时耗用大量集群控制链路带宽。
带宽较高的集群控制链路可以帮助集群在发生成员身份更改时更快地收敛，并防止出现吞吐量瓶颈。
注 |
如果集群中存在大量不对称（再均衡）流量，应增加集群控制链路的吞吐量大小。 |
集群控制链路冗余
下图显示了如何在虚拟交换系统 (VSS)、虚拟端口通道 (vPC)、StackWise 或 StackWise Virtual 环境中使用 EtherChannel 作为集群控制链路。EtherChannel 中的所有链路都是活动链路。如果交换机是冗余系统的一部分，则您可以将同一个 EtherChannel 中的防火墙接口连接到冗余系统中单独的交换机。交换机接口是同一个 EtherChannel 端口通道接口的成员，因为两台不同的交换机的行为就像一台交换机一样。请注意，此 EtherChannel 是设备本地的，而非跨网络 EtherChannel。
机箱间集群的集群控制链路可靠性
为了确保集群控制链路的功能，设备之间的往返时间 (RTT) 务必要小于 20 毫秒。此最大延迟能够增强与不同地理位置安装的集群成员的兼容性。要检查延迟，请在设备之间的集群控制链路上执行 ping 操作。
集群控制链路必须可靠，没有数据包无序或丢弃数据包的情况；例如，站点间部署应使用专用链路。
集群控制链路网络
Firepower 4100/9300 机箱基于机箱 ID 和插槽 ID 自动为每个设备生成集群控制链路接口 IP 地址：127.2.chassis_id.slot_id。 对于多实例集群（通常使用同一 EtherChannel 的不同 VLAN 子接口），由于 VLAN 分离，同一 IP 地址可用于不同的集群。集群控制链路网络不能包括设备之间的任何路由器；仅可执行第 2 层交换。
管理网络
我们建议将所有设备都连接到一个管理网络。此网络与集群控制链路分隔开来。
管理接口
必须为集群分配管理类型的接口。此接口是与跨网络接口相对立的一种特殊接口。通过管理接口，可以直接连接到每个设备。此管理接口不同于设备上的其他接口。它用于设置设备并将其注册到 Cisco Secure Firewall Management Center。它会使用自己的本地身份验证、IP 地址和静态路由。每个集群成员都使用您作为部分引导程序配置的管理网络中的独立 IP 地址。
管理逻辑接口与诊断逻辑接口之间共用管理接口。诊断逻辑接口是可选的，不能作为引导程序配置的一部分进行配置。诊断接口可随同其余数据接口一起进行配置。如果选择配置诊断接口，请将主集群 IP 地址配置为始终属于当前控制单元的集群固定地址。您也可以配置一个地址范围，使每个设备（包括当前控制单元在内）都能使用该范围内的本地地址。主集群 IP 地址可一致地诊断访问地址；当控制单元更改时，主集群 IP 地址会移到新的控制单元上，从而继续无缝地访问集群。对于 TFTP 或系统日志等出站管理流量，包括控制设备在内的每台设备都使用本地 IP 地址连接到服务器。
集群接口
对于同一个 Firepower 9300 机箱内的安全模块隔离的集群，可以为集群分配物理接口或 EtherChannel 接口（也称为端口通道）。分配给集群的接口是对集群各个成员间的流量进行负载均衡的跨网络接口。
对于多机箱集群，只能为集群分配数据 EtherChannel 接口。这些跨网络 EtherChannel 在每个机箱上都包括相同的成员接口；在上游交换机上，所有这些接口都包括在一个 EtherChannel 内，因此交换机不知道它连接到多台设备。
除管理接口以外，不支持单个接口。
跨网络 EtherChannel
您可以将每个机箱的一个或多个接口组成跨集群中所有机箱的 EtherChannel。EtherChannel 汇聚通道中所有可用活动接口上的流量。在路由模式和透明防火墙模式下均可配置跨区以太网通道。在路由模式下，EtherChannel 配置为具有单个 IP 地址的路由接口。在透明模式下，IP 地址分配到 BVI 而非网桥组成员接口。负载均衡属于 EtherChannel 固有的基本操作。
对于多实例集群，每个集群都需要专用数据 Etherchannel，不能使用共享接口或 VLAN 子接口。
连接到冗余交换机系统
我们建议将 EtherChannel 连接到冗余交换机系统（例如 VSS、vPC、StackWise 或 StackWise Virtual 系统），以便为接口提供冗余。
配置复制
集群中的所有节点共享一个配置。您只能在控制节点上进行配置更改（引导程序配置除外），这些更改会自动同步到集群中的所有其他节点。
）
）
）
）
）
）
）
）
反馈