Konvertieren in Container (MI-Modus) in Firepower 4200 mit FTD 7.6

Einleitung

Dieses Dokument beschreibt die Konfiguration eines Containers (Multi-Instance-Modus) in Firepower 4200 Firewalls mit FTD 7.6 und zugehörigen Details.

Voraussetzungen, unterstützte Plattformen, Lizenzierung

Software- und Hardware-Mindestplattformen

Lizenzierung

• Feature-Lizenzen werden manuell jeder Instanz zugewiesen, aber Sie benötigen nur eine Lizenz pro Funktion pro Gerät der Serie 4200.
  • Beispielsweise benötigen Sie für eine 4200-Serie mit 3 FTD-Instanzen unabhängig von der Anzahl der verwendeten Instanzen nur eine URL-Lizenz, vorausgesetzt, Sie befinden sich im selben FMC.
• Alle Lizenzen werden pro Gerät der Serie 4200 und nicht pro Containerinstanz verbraucht, sofern sie sich auf demselben FMC befinden. Aus diesem Grund wird Ihnen aufgrund der Lizenzierungsimplementierung empfohlen, für alle Instanzen auf Geräten der Serie 4200 dasselbe FMC zu verwenden.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

• FTD unterstützt bereits Multi-Instance (MI) auf 3100-Modellen (sowie den Serien 9300 und 4100), jedoch gibt es keine Unterstützung für die 4200-Serie.
• 4200-Modelle werden nur im nativen Modus von FMC unterstützt.
• Es gibt keine Bestimmung zum Erstellen mehrerer Instanzen in 7.4.x in 4200.
• Multi-Instance (MI) auf 3100 wurde ab 7.4.1 unterstützt.
  • Instanzen können mit FMC erstellt und verwaltet werden (im Gegensatz zu den Serien 9300 und 4100, bei denen FCM verwendet werden muss).
  • Das FXOS kann im MI-Modus über die Benutzeroberfläche des FMC Upgrade Chassis aktualisiert werden.
  • Die Konvertierung in den MI-Modus erfolgt über eine CLI.

Neuerungen

• Sie können MI-Instanzen der Serie 4200 bereitstellen und verwalten.
• FMC - zentrale Verwaltungslösung für Instanzen der Serie 4200 (MI-Modus) und FTD
• Ermöglicht die einfache und vollständige Umwandlung nativer Geräte in den MI-Modus auf FMC für Geräte der Serien 3100 und 4200.
• Zielmarkt: Unternehmen/Großunternehmen - Internet-Edge, Rechenzentrum

Plattformen mit FTD-Unterstützung für mehrere Instanzen

Unterschiede zwischen der Serie 3100 und der Serie 4200

• Der 4200 verfügt über zwei Verwaltungsschnittstellen, von denen die eine für die Verwaltung und die andere für Veranstaltungen verwendet werden kann.
  • Sowohl die Management1/1- als auch die Management1/2-Schnittstelle werden für alle FTD-Containerinstanzen bootstrapping-fähig gemacht.
  • Im MI-Modus können eine oder beide Management-Schnittstellen verwendet werden.
    • Management1/1 für Management und Events oder
    • Management1/1 könnte für die Verwaltung und Management1/2 für Ereignisse verwendet werden. In diesem Fall gilt Folgendes:
      • Statische Routen müssen definiert werden, um den Datenverkehr über die Management 1/2-Schnittstelle weiterzuleiten.
• Aufgrund der größeren Größe können auf dem 4200 mehr Instanzen erstellt werden als auf dem 3100.

Unterstützte Bereitstellungen

• Management der Serie 4200 (MI-Modus) mit eigenständigen FTD-Instanzen
• Verwaltung der Serie 4200 (MI-Modus) mit HA FTD-Instanz(en)*

Funktionsbeschreibung und exemplarische Vorgehensweise

Änderungen an der Konfiguration mehrerer Instanzen in 7.6.0:

• Unterstützung der Serie 4200 im MI-Modus
• Änderungen in FMC, die sich auch auf das MI Mode Management der Serie 3100 beziehen:
  • Umwandlung des Geräts vom Nativen in den MI-Modus im FMC
  • Readiness-Prüfungen, um zu prüfen, ob das Gerät in den MI-Modus umgewandelt werden kann
  • FTD-Instanz in FMC nach Umwandlung automatisch registrieren

Serien 4200 - Instanzspezifikationen

Unterstützung für max. Instanzen

Die Instanzdichte basiert auf zwei Hauptfaktoren:

1. Die Anzahl der CPU-Kerne und der Festplattenspeicher auf einer bestimmten Plattform

2. Wie viele dieser Ressourcen stehen für die Bereitstellung für Instanzen zur Verfügung? Die kleinste Instanzgröße erfordert 3 physische CPU-Kerne (6 logische) und 48 GB Festplattenspeicher.

FTD-Instanzgrößen

Lina (Datenebene) Snort Core-Zuweisungen  

	4215	4225	4245
Instanzgröße	Kerne der Datenebene	Snort Cores	Kerne der Datenebene	Snort Cores	Kerne der Datenebene	Snort Cores
6	2	2	2	2	2	2
8	2	4	2	4	2	4
10	4	4	4	4	4	4
12	4	6	4	6	4	6
14	6	8	6	6	6	6
16	6	8	6	6	8	8
18	8	10	8	8	8	10
20	8	10	8	8	10	10
22	10	12	10	10	10	12
24	12	12	10	10	10	12
26	12	14	12	12	12	12
28	14	14	12	14	12	14
30	14	16	14	14	14	14
32	14	16	14	16	14	16
34	16	16	16	16	16	16
36	16	18	16	18	16	18
38	18	18	18	18	18	18
40	18	20	18	20	18	20
42	20	20	20	20	20	20
44	20	22	20	22	20	22
46	22	22	22	22	22	22
48	22	24	22	24	22	24
50	24	24	24	24	24	24
52	24	26	24	26	24	26
54	26	26	26	26	24	26
56	26	28	26	28	26	28
58	28	28	28	28	28	28
60	28	30	28	39	28	30
62	30	30	30	30	30	30
64			30	32	30	32
66			30	34	30	34
68			32	34	32	34
70			32	36	32	36
72			34	36	34	36
74			34	38	34	38
76			36	38	36	38
78			36	40	36	40
80			38	40	38	40
82			38	42	38	42
84			40	42	40	42
86			40	44	40	44
88			42	44	42	44
90			42	46	42	46
92			44	46	44	46
94			44	48	44	48
96			46	48	46	48
98			46	50	46	50
100			48	50	48	50
102			48	52	48	52
104			50	52	50	52
106			50	54	50	54
108			52	54	52	54
110			52	56	52	56
112			54	56	54	56
114			54	58	54	58
116			56	58	56	58
118			56	60	56	60
120			58	60	58	60
122			58	62	58	62
124			60	62	60	62
128					60	64
130					60	66
132					62	66
134					62	68
136					64	68
138					64	70
140					66	70
142					66	72
144					68	72
146					68	74
148					70	74
150					70	76
152					72	76
154					72	78
156					74	78
158					74	80
254					120	130

Konfigurieren

Überblick über die Konfiguration

1. Registrieren Sie das Gerät der Serie 4200 (nativer Modus) im FMC.
2. Neu! Wählen Sie auf FMC das Gerät aus, und konvertieren Sie es vom Native in den MI-Modus.
3. Neu! MI Chassis registriert sich nach der Konvertierung automatisch bei FMC.
4. Aktualisieren physischer Schnittstellen
5. FTD-Instanz(en) erstellen und Schnittstelle(n) zuweisen
6. Erstellen/Aktualisieren/Löschen des Port-Channels und der Subschnittstellen vom FMC
7. Konfigurieren der Plattformeinstellungen
8. Bereitstellen von Konfigurationsänderungen auf dem Gerät
9. FTD-Instanz(en) registriert sich automatisch bei FMC.

Konvertieren der Serie 4200 in den Multi-Instance-Modus in FMC

Standardmäßig befinden sich 4200s im nativen Modus. So konvertieren Sie die Serie 4200 in den Multi-Instance-Modus in FMC:

1. Stellen Sie eine Verbindung zum Gerät her, und erstellen Sie einen Manager (bereits dokumentiert).
2. Registrieren Sie das native Gerät beim FMC (bereits dokumentiert).
3. Mit FMC in mehrere Instanzen konvertieren.
4. Wählen Sie auf FMC die Geräte aus, die in mehrere Instanzen umgewandelt werden sollen, und lösen Sie die Umwandlung aus. Es können ein oder mehrere Geräte ausgewählt werden.

Konvertieren eines einzelnen Geräts

1. Um die Konvertierung zu starten, navigieren Sie zu Geräte > Geräteverwaltung.

2. Validieren Sie das ausgewählte Gerät, und klicken Sie auf Weiter:

Validierung ausgewählter Geräte

3. Bereitschaftsprüfung und Erstumstellung:

Bereitschaftsprüfung

Konvertieren mehrerer Geräte (Massenkonvertierung)

1. Ausgewählte Geräte:

2. Auswahl bestätigen:

3. Bereitschaftsprüfung und Konvertierung starten:

Überwachung des Fortschritts und Fertigstellen des UP

1. Konvertierungsstartmeldung:

2. Automatische Chassis-Registrierung:

3. Benachrichtigung nach der Umwandlung:

Ergebnis der Seite für das Gerätemanagement mit Geräten der Serie 4200 (MI-Modus):

FMC-Chassis - Übersichtsseite

Übersicht über das FMC-Chassis - Seite

Die Seite FMC Chassis Overview (Übersicht über FMC-Chassis) bietet eine vollständige Übersicht über die Geräte der Serie 4200 (MI-Modus). Sie umfasst:

• Bildliche Rückansicht des Geräts, einschließlich verfügbarer Netzwerkmodule.
• Fehlerübersicht mit ihrer Wichtigkeit.
• Schnittstellenübersicht, Status.
• FTD-Instanzübersicht, Status.
• Hardware-Statistiken - einschließlich Lüfter, Netzteil, Arbeitsspeicher, CPU-Auslastung und Speicher.

Klicken Sie auf Verwalten, um zu Chassis Overview (Chassis-Übersicht) zu navigieren:

Registerkarte "Chassis-Seitenübersicht":

Abschnitte auf der Chassis-Seite - Übersicht

Die Registerkarte "Übersicht" enthält Abschnitte. Klicken Sie hier, um weitere Informationen zu erhalten:

• Rückseite
• Fehler
• Schnittstellen
• Instanzen
• Hardware-Statistiken

Die Abschnitte sind, wie in dieser Abbildung dargestellt, nummeriert:

1. Rückansicht:

2. Abschnitt "Störungen":

3. Abschnitt "Schnittstellen":

4. Abschnitt "Instanzen":

Der Übergang von Instanzen von offline zu online wird im vorhergehenden Bild dargestellt.

• Nach der Bereitstellung (1)
• Die Instanz ist offline, bis sie online geht (2)
• Zwischenzustände werden ebenfalls reflektiert (3)

5. Hardware-Statistiken:

Schnittstellen verwalten

Die Registerkarte "Von Schnittstellen unterstützte Vorgänge":

• Aktualisierung der physischen Schnittstelle.
• Erstellen/Aktualisieren/Löschen von Subschnittstellen.
• Erstellen/Aktualisieren/Löschen von EtherChannel-Schnittstellen.
• Synchronisieren von Schnittstellenkonfigurationen
• OIR des Netzwerkmoduls.
• Unterbrechung/Verbindung der physischen Schnittstelle.

Zusammenfassung der Registerkarte Schnittstellen

Auf der Landing Page der Registerkarte Interfaces (Schnittstellen) werden alle Schnittstellentypen angezeigt, die für ein Chassis verwaltet werden, z. B. physische Schnittstellen, Subschnittstellen sowie EtherChannel- und EtherChannel-Subschnittstellen.

Physische Schnittstellenkonfigurationen ändern

Die folgenden Attribute einer physischen Schnittstelle können aktualisiert werden:

• Status (aktiviert/deaktiviert)
• Port-Typ (Daten) | Datenfreigabe)
• Admin-Duplex
• Admin-Geschwindigkeit
• Automatische Aushandlung

Unterschnittstelle verwalten

Wählen Sie die Option Sub-interface (Subschnittstelle) aus der Schaltfläche Add (Hinzufügen), um eine neue Schnittstelle hinzuzufügen.

Diese Attribute einer Subschnittstelle können geändert werden:

• Übergeordnete Schnittstelle
• Port-Typ (Daten/Datenfreigabe)
• SubInterface-ID
• VLAN-ID

EtherChannel verwalten

Um eine neue EtherChannel-Schnittstelle zu erstellen, verwenden Sie die EtherChannel-Schnittstelle unter der Schaltfläche Add (Hinzufügen).

Folgende Attribute können für einen EtherChannel konfiguriert werden:

•  EtherChannel-ID
•  Port-Typ (Daten/Datenfreigabe)
• Mitgliedsschnittstellen
• Admin-Geschwindigkeit
• Admin-Duplex
• LACP-Modus
• LACP-Rate
• Automatische Aushandlung

Gerätekonfigurationen synchronisieren

Es gibt Fälle, in denen die FMC-Konfiguration und die Gerätekonfiguration nicht mehr synchron sind. Ein Fall ist, wenn ein Benutzer ein Netzwerkmodul entfernt oder einfügt. Das Synchronisierungsgerät kann in solchen Fällen ausgeführt werden.

NetMod Hot-Swap-/Break-out-Unterstützung

"Hot Swap", das in Ihren Dokumenten verwendet wird, wird in anderen internen Dokumenten als Online Insertion and Removal oder OIR bezeichnet.

Bei Aktivierung/Deaktivierung des Netzwerkmoduls oder Unterbrechung oder Beitritt von Schnittstellen erfolgt eine sofortige Bereitstellung. Der Multi-Instance-Modus ist im nativen Modus mit dem Modus der Serie 4200 identisch.

FMC vergleicht die empfangene Antwort mit der aktuellen Konfiguration und erstellt dann eine Schnittstellenänderungsbenachrichtigung, die der Benutzer bestätigen muss.

4200 Native unterstützt EPM Hot Swap und Breakout

EPM OIR und Breakout werden bereits auf der eigenständigen Secure Firewall der Serie 4200 im nativen Modus unterstützt.

EPM OIR- und Breakout FMC-Dokumentation der Serie 4200:

• https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/hardware/4200/fw-4200-install/m-overview.html

OIR: EPM-Bestätigung aktivieren/deaktivieren

Wenn der Benutzer zum Aktivieren des Moduls wechselt, wird eine Warnung angezeigt, die sicherstellt, dass es sich nicht um ein versehentliches Klicken handelt.

EPM Enable Complete: Schnittstellenbenachrichtigung erhalten

• Wenn Sie einen EPM aktivieren, werden neue Schnittstellen auf dem Gerät zugeordnet.
• FMC erhält die Benachrichtigung über die zugeordneten Schnittstellen.
• Bei FMC muss der Benutzer die Änderungen akzeptieren.

Dieser Screenshot zeigt die Option zum Anzeigen der zugehörigen Schnittstellen:

Änderungsbenachrichtigung für EPM-Schnittstelle

Auf der Seite für die Schnittstellenauflistung werden die Schnittstellen aufgeführt, die hinzugefügt werden, wenn EPM aktiviert ist. Klicken Sie hier, um weitere Informationen zu erhalten, um den Dialog Schnittstellenänderungen zu öffnen.
Klicken Sie auf, um zu erfahren, dass nach dem Speichern keine weiteren Informationen verfügbar sind.

Seite "Break/Join-Optionen in Chassis"

Der Schnittstellenunterbrechungsbestätigungsassistent wird bei einer Unterbrechung geöffnet, und die Option wird ausgelöst. 

Die Benachrichtigung zur Schnittstellenaktualisierung wird auf der Chassis-Seite angezeigt, nachdem die Schnittstellenunterbrechung bestätigt wurde.

Schnittstellenänderungen nach Break/Join

Wenn Sie auf Accept Changes (Änderungen akzeptieren) klicken, werden diese Schnittstellen im zu verwendenden FMC verfügbar:

Auswirkungen von Schnittstellenänderungen auf Instanzen

Instanzmanagement

Instanzverwaltung ermöglicht Ihnen Folgendes:

• Zeigen Sie alle vorhandenen FTD-Instanzen und deren Details auf einem Gerät der Serie 4200 (MI-Modus) an.
• FTD-Instanzen mit der gewünschten CPU-Kern- und Softwareversion erstellen/aktualisieren.
• Löschen einer vorhandenen FTD-Instanz.
• Ermöglicht dem Benutzer, FTD-Richtlinien auszuwählen - Zugriffsrichtlinie und Plattformeinstellungsrichtlinie für FTD-Instanz.
• FTD-Instanz automatisch bei FMC registrieren, sobald sie online ist.

Instanz erstellen

Starten Sie den Assistenten, indem Sie auf Instanz hinzufügen klicken.

Schritt 1. Vereinbarung:

Schritt 2:

• Grundlagen der Instanzkonfiguration:

• Instanz-Konfigurations-IPs:

Schritt 3: Schnittstellenzuweisungen:

Schritt 4: Geräteverwaltung:

Schritt 5. Zusammenfassung:

Speichern und Bereitstellen, um die Konfiguration abzuschließen.

Automatische Registrierung einer FTD-Instanz nach erfolgreicher Bereitstellung:

Instanz, die beim Management Center registriert ist:

Instanz bearbeiten

Klicken Sie auf das Bleistiftsymbol, um eine FTD-Instanz zu bearbeiten:

Schritt 1: FTD-Instanz bearbeiten:

Schritt 2: Schnittstellenzuweisungen für eine Instanz bearbeiten:

Schritt 3. Übersicht der Bearbeitungsinstanz:

Instanz löschen

SNMP-Konfiguration

Navigieren Sie zur Registerkarte Systemkonfiguration, um SNMP zu konfigurieren:

Chassis-Import/-Export

Konfiguration exportieren

Navigieren Sie zu Chassis verwalten > Systemkonfiguration > Importieren/Exportieren:

Konfiguration importieren

Navigieren Sie zu Chassis verwalten > Systemkonfiguration > Importieren/Exportieren:

Wissenswertes über Chassis-Import/-Export

• Alle vorhandenen Konfigurationen im Chassis werden durch die Konfiguration in der importierten Datei ersetzt.
• Die Plattform-Softwareversion, in die die Konfiguration importiert wird, muss mit der exportierten Version übereinstimmen.
• Auf dem Chassis, in das Sie die Konfiguration importieren, muss die gleiche Anzahl von Netzwerkmodulen installiert sein, die beim Exportieren installiert wurde.
• Auf dem Chassis, in das die Konfiguration importiert wird, muss dasselbe Anwendungs-Image für logische Geräte installiert sein.
• Anwendungsspezifische Konfigurationseinstellungen werden nicht exportiert. Nur Chassis-Konfigurationen werden exportiert.
• Die Sicherung von FTD-Instanzen muss separat durchgeführt werden.

Richtlinie für Chassis-Plattformeinstellungen

Die Richtlinie für Chassis-Plattformeinstellungen ermöglicht es Benutzern, die folgenden plattformspezifischen Konfigurationen zu konfigurieren:

• Zeitsynchronisierung (NTP)
• DNS
• Syslog
• Zeitzone
• Benutzer können eine neue Richtlinie für die "Chassis-Plattformeinstellung" erstellen und sie mehreren Chassis der Serie 4200 (MI-Modus) zuweisen.

1. Navigieren Sie zur Richtlinie "Chassis-Plattformeinstellungen":

2. Chassis-Plattformeinstellungen erstellen:

3. Seite "Chassis-Plattform-Einstellungen - Richtlinie":

Chassis-Plattformeinstellungen: DNS

Aktivieren und Hinzufügen von DNS-Servergruppen im Abschnitt "DNS" der Chassis-Plattform-Einstellungsrichtlinie:

Chassis-Plattformeinstellungen: SSH

• Aktivieren und Hinzufügen eines SSH-Servers im Abschnitt zu den SSH-Einstellungen der Chassis-Plattform-Richtlinie:

• SSH-Client aktivieren und hinzufügen:

Chassis-Plattformeinstellungen: SSH-Zugriffsliste

Diese Registerkarte wird nur angezeigt, nachdem SSH unter den SSH-Abschnitt der Chassis-Plattformeinstellungen aktiviert wurde.

• SSH-Zugriffsliste erstellen:

• Netzwerkobjekte für SSH-Zugriffsliste hinzufügen:

• Neues Netzwerkobjekt hinzufügen:

• Netzwerkobjekt(e) anzeigen:

• Netzwerkobjekt(e) auswählen:

• Netzwerkobjekte können wie in diesem Bild dargestellt erstellt werden:

• Hinzugefügte Netzwerkobjekte anzeigen:

Chassis-Plattformeinstellungen: Zeitsynchronisierung

Die Zeitsynchronisierung kann auf zwei Arten durchgeführt werden:

1. Über NTP vom Management Center
2. Auf dem benutzerdefinierten NTP-Server

Vom NTP vom Management Center

Auf dem benutzerdefinierten NTP-Server

Chassis-Plattformeinstellungen: Zeitzonen

Zeitzonen festlegen:

Chassis-Plattformeinstellungen: Syslog

• Registerkarte "Syslog Lokale Ziele":

• Registerkarte "Syslog-Remote-Ziele":

• Registerkarte "Syslog Local Sources":

Chassis-Plattformeinstellungen: Speichern und Bereitstellen

Speichern Sie die Änderungen der Chassis-Plattformeinstellungen, und stellen Sie sie dann bereit:

Chassis-Registrierung aufheben

Um die Registrierung eines Chassis bei FMC aufzuheben, navigieren Sie zu Devices > Device Management > delete.

Vom Multi-Instance- in den Native-Modus konvertieren

Derzeit unterstützt FMC nur die Konvertierung von nativer in mehrere Instanzen. Um ein Gerät wieder in den nativen Modus zu konvertieren, muss der Benutzer daher die CLI verwenden.

Schritt 1: Entfernen Sie die Chassis-Registrierung vom FMC.

Phase 2: Verwenden Sie diesen CLI-Befehl, um ein Gerät der Serie 4200 in den nativen Modus zu konvertieren:

firepower-4215# scope system
firepower-4215 /system # set deploymode native 

REST-APIs für FMC

Öffentliche REST-APIs von FMC stehen für alle von FMC unterstützten Vorgänge zur Verfügung.

REST-APIs für die Umwandlung von nativen in mehrere Instanzen

POST-API zur Überprüfung, ob das native Gerät für die Multi-Instance-Konvertierung bereit ist:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/operating/switchmodereadinescheck

Beispiel für POST-Anfrage JSON:

{
  "devices": [
    {
      "id": "DeviceUUID",
      "type": "Device"
    }
  ],
  "conversionType": "NATIVE_TO_MULTI_INSTANCE"
}

POST-API zum Auslösen einer nativen Umwandlung in mehrere Instanzen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/operating/switchmode

Beispiel für POST-Anfrage JSON:

{
  "items": [
    {
      "id": "
    
    
      ", "displayName": "Sample_Chassis_Name1" } ], "conversionType": "NATIVE_TO_MULTI_INSTANCE" } 
    

POST-API zum Auslösen von nativem Massen für Multi-Instance-Konvertierung:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/operating/switchmode

Beispiel für POST-Anfrage JSON:

{
  "items": [
    {
      "id": "
    
    
      ", "displayName": "Sample_Chassis_Name1" }, { "id": " 
     
       ", "displayName": "Sample_Chassis_Name2" } ], "conversionType": "NATIVE_TO_MULTI_INSTANCE" } 
      
    

REST-APIs für Chassis-Management

POST Hinzufügen eines Chassis zum Management Center:

/api/fmc_config/v1/domain/{domainUID}/chassis/fmcmanagedchassis

Alle Chassis herunterladen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/

Rufen Sie ein bestimmtes Chassis über die UUID ab:

/api/fmc_config/v1/domain/{domainUID}/chassis/fmcmanagedchassis/{objectId}

Chassis mit UUID löschen:

/api/fmc_config/v1/domain/{domainUID}/chassis/fmcmanagedchassis/{objectId}

Beispiel für POST-Anfrage JSON:

{
  "type": "FMCManagedChassis",
  "chassisName": "CHASSIS123",
  "chassisHostName": "192.168.xx.74",
  "regKey": "*****"
}

REST-APIs zur Verwaltung von Netzwerkmodulen (Netzwerkmodule)

Rufen Sie ein Netzwerkmodul über uuid ab:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/networkModules/{objectId}

ALLE Netzwerkmodule herunterladen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/networkModules/

PUT - Bearbeiten eines vorhandenen Netzwerkmoduls mit der UUID:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/networkModules/{objectId}

PUT - Abrufen von Netzwerkmoduldaten von FXOS und Update Management Center:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/operating/syncnetworkmodule

Beispiel für GET-Reaktion

{
  "metadata": {
    "timestamp": 1688670821060,
    "domain": {
      "name": "Global",
      "id": "e276abec-e0f2-11e3-8169-************",
      "type": "Domain"
    }
  },
  "links": {
    "self": "https://u32c01p10-vrouter.cisco.com:32300/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-************/chassis/fmcmanagedchassis/f0f11b69-4229-4025-b0b9-************/networkmodules/0050568A-3F3F-0ed3-0000-0************"
  },
  "id": "0050568A-3F3F-0ed3-0000-************",
  "moduleState": "ENABLED",
  "type": "NetworkModule",
  "description": "Cisco FPR 8X1G 8X10G 1RU Module",
  "model": "FPR-3120",
  "operationState": "ok",
  "numOfPorts": 16,
  "slotId": "1",
  "vendor": "Cisco Systems, Inc.",
  "name": "Network Module 1"
}

REST-APIs für das Instanzmanagement

POST Hinzufügen eines Chassis zum Management Center:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/logicaldevices

Alle Chassis herunterladen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/logicaldevices

Eine bestimmte Instanz über uuid abrufen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/logicaldevices/{objectId}

PUT - Eine Instanz über uuid bearbeiten:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/logicaldevices/{objectId}

Chassis mit UUID löschen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/logicaldevices/{objectId}

Beispiel für PUT-Anforderung:

{
  "name": "ftd1",
  "operationalState": "string",
  "deviceRegistration": {
    "licenseCaps": [
      "MALWARE",
      "URLFilter",
      "CARRIER",
      "PROTECT"
    ],
    "accessPolicy": {
      "name": "AC Policy name",
      "id": "
    
    
      ", "type": "AccessPolicy" }, "deviceGroup": { "name": "DeviceGroup name", "id": " 
     ", "type": "DeviceGroup" } }, "managementBootstrap": { "ipv4": { "gateway": "192.168.xx.68", "ip": "192.168.xx.78", "mask": "255.255.255.0" }, "adminState": "enable", "firepowerManagerIP": "192.168.xx.32", "permitExpertMode": "yes", "searchDomain": "string", "firewallMode": "Routed", "dnsServers": "192.168.xx.123", "natId": "natId", "registrationKey": "regKey", "adminPassword": "adminPwd", "fqdn": "fqdn" }, "externalPortLink": [ { "name": "Ethernet1/1", "id": " 
      
        ", "type": "ChassisInterface" }, { "name": "Ethernet2/2.1", "id": " 
       
         ", "type": "ChassisInterface" } ], "type": "LogicalDevice" } 
        
       
    

REST-APIs für die SNMP-Verwaltung

SNMP-Einstellung über uuid abrufen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/snmpsettings/{objectId}

ALLE SNMP-Einstellungen abrufen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/snmpsettings/

PUT - Bearbeiten eines vorhandenen Netzwerkmoduls mit der UUID:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/snmpsettings/{objectId}

Beispiel für GET-Antwort:

{
  "snmpAdminInstance": {
    "id": "logicalDeviceUuid",
    "type": "LogicalDevice",
    "name": "ftd3"
  },
  "id": "snmpsettingsUUID2",
  "type": "SnmpSetting"
}

REST-APIs zum Abrufen der Zusammenfassung

Diese Liste enthält detaillierte Informationen zu den REST-APIs zum Abrufen der Zusammenfassung:

• Fehler
• Instanzen
• Bestand
• Schnittstellen
• App-Informationen

GET-Fehlerübersicht für ein Chassis:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/faultsummary

Beispielantwort:

{
  "links": {
    "self": "
    
    
      /api/fmc_config/v1/domain/domainUUID/chassis/fmcmanagedchassis/containerUUID/faultsummary?offset=0&limit=25&expanded=true" }, "items": [ { "faultList": [ { "id": 27429, "isAcknowledged": "no", "cause": "device-registration-pending", "gateway": "3::1", "ip": "3::2", "prefixLength": "33" } ], "managementPort": "Management1", "operationalState": "online", "adminState": "enabled", "deployType": "container" } ], "modifiedTime": "2022-07-05T06:39:25Z", "type": "InstanceSummary" ], "paging": { "offset": 0, "limit": 25, "count": 1, "pages": 1 } } 
    

Zusammenfassung der GET-Instanzen für ein Chassis:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/instancesummary

Beispielantwort:

{
  "links": {
    "self": "
    
    
      /api/fmc_config/v1/domain/domainUUID/chassis/fmcmanagedchassis/containerUUID/instancesummary?offset=0&limit=25&expanded=true" }, "items": [ { "instanceList": [ { "name": "ftdmi2", "startupVersion": "7.3.0.1402", "coresUsed": 6, "ipv4": { "gateway": "192.168.xx.68", "ip": "192.168.xx.78", "mask": "255.255.255.0" }, "ipv6": { "gateway": "3::1", "ip": "3::2", "prefixLength": "33" }, "managementPort": "Management1", "operationalState": "online", "adminState": "enabled", "deployType": "container" } ], "modifiedTime": "2022-07-05T06:39:25Z", "type": "InstanceSummary" } ], "paging": { "offset": 0, "limit": 25, "count": 1, "pages": 1 } } 
    

GET-Bestandsübersicht für ein Chassis:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/InventorySummary

Beispielantwort:

{
  "links": {
    "self": "
    
    
      /api/fmc_config/v1/domain/domainUUID/chassis/fmcmanagedchassis/containerUUID/inventorysummary?offset=0&limit=25&expanded=true" }, "items": [ { "fanList": [ { "operationalState": "operable", "operability": "operable", "power": "on", "thermalStatus": "ok", "module": 1, "tray": 1, "id": 1, "model": "N/A", "vendor": "N/A" }, { "operationalState": "operable", "operability": "operable", "power": "on", "thermalStatus": "ok", "module": 1, "tray": 1, "id": 2, "model": "N/A", "vendor": "N/A" } ], "powerSupplyList": [ { "id": 2, "operationalState": "operable", "operability": "operable", "serialNumber": "***********", "thermalStatus": "ok", "model": "FPR2K-PWR-AC-400", "vendor": "Cisco Systems, Inc" } ], "processorList": [ { "id": 1, "operationalState": "operable", "operability": "operable", "vendor": "AuthenticAMD", "model": "49 AMD EPYC 7282 16-Core Processor", "type": "CPU", "thermalStatus": "ok" } ], "securityModuleList": [ { "id": 1, "operationalState": "ok", "operability": "operable", "serialNumber": "***********", "vendor": "Cisco Systems, Inc", "model": "FPR-3120", "availableCores": 24, "totalCores": 32 } ], "memoryList": [ { "capacity": 65536, "id": 1, "array": 1, "bank": 0, "model": "HMAA8GR7AJR4N-XN", "operationalState": "operable", "operability": "operable", "performance": "ok", "power": "not-supported", "serialNumber": "********", "thermalStatus": "ok", "vendor": "Hynix" } ], "model": "FPR-3120", "availableCores": 24, "totalCores": 32 } ], "paging": { "offset": 0, "limit": 25, "count": 1, "pages": 1 } } 
    

GET-Schnittstellenübersicht für ein Chassis:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/interfaceZusammenfassung

Beispielantwort:

{
  "links": {
    "self": "
    
    
      /api/fmc_config/v1/domain/domainUUID/chassis/fmcmanagedchassis/containerUUID/interfacesummary?offset=0&limit=25" }, "items": [ { "interfaceList": [ { "name": "Ethernet1/8", "operationalState": "up", "adminState": "disabled", "portType": "data", "operationalSpeed": "10mbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Ethernet1/7", "operationalState": "up", "adminState": "disabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Ethernet1/6", "operationalState": "up", "adminState": "disabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Ethernet1/3", "operationalState": "up", "adminState": "disabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Ethernet1/2", "operationalState": "up", "adminState": "enabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Ethernet1/1", "operationalState": "up", "adminState": "enabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Port-channel48", "operationalState": "up", "adminState": "enabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "EtherChannelInterface" } ], "modifiedTime": "2022-07-05T06:39:25Z", "type": "InterfaceSummary" } ], "paging": { "offset": 0, "limit": 25, "count": 1, "pages": 1 } } 
    

GET-App-Info für ein Chassis:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID} /InventorySummary

Beispielantwort:

{
  "links": {
    "self": "
    
    
      /api/fmc_config/v1/domain/domainUUID/chassis/fmcmanagedchassis/containerUUID/appinfo?offset=0&limit=25&expanded=true" }, "items": [ { "appVersion": "7.4.0.1024", "type": "AppInfo" }, { "appVersion": "7.4.0.1075", "type": "AppInfo" } ], "paging": { "offset": 0, "limit": 25, "count": 1, "pages": 1 } } 
    

REST-APIs für das Schnittstellenmanagement

Dieser Abschnitt enthält detaillierte Informationen zu den REST-APIs für das Schnittstellenkonfigurationsmanagement:

• URLs für Schnittstellenkonfigurationsänderungen
• URLs für Break/Join von Schnittstellen
• URLs für Konfigurationen von Synchronisierungsgeräten

Physische Schnittstelle aktualisieren

Um die Aktualisierung von physischen Schnittstellen zu unterstützen, wurden diese URLs eingeführt.

Abrufen aller physischen Schnittstellen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/physicalinterfaces

Rufen Sie eine bestimmte physische Schnittstelle über die Schnittstelle uuid ab:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/physicalinterface s/{interfaceUUID}

Aktualisieren Sie die Schnittstelle über die Schnittstelle uuid:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/physicalinterface s/{interfaceUUID}

Das physische Schnittstellenmodell sieht wie folgt aus:

{
  "metadata": {
    "supportedSpeed": "TEN_GBPS,ONE_GBPS,TWENTY_FIVE_GBPS,DETECT_SFP",
    "mediaType": "sfp",
    "sfpType": "none",
    "isBreakoutCapable": false,
    "isSplitInterface": false,
    "timestamp": 1692344434067,
    "domain": {
      "name": "Global",
      "id": "e276abec-e0f2-11e3-8169-**********",
      "type": "Domain"
    }
  },
  "type": "PhysicalInterface",
  "name": "Ethernet2/2",
  "portType": "DATA",
  "adminState": "DISABLED",
  "hardware": {
    "flowControlSend": "OFF",
    "fecMode": "AUTO",
    "autoNegState": true,
    "speed": "DETECT_SFP",
    "duplex": "FULL"
  },
  "LLDP": {
    "transmit": false,
    "receive": false
  },
  "id": "*************************************"
}

Subschnittstellen konfigurieren

Um die Verwaltung von Subschnittstellen zu unterstützen, wurden diese URLs eingeführt.

Alle Subschnittstellen abrufen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/subinterfaces

Rufen Sie eine bestimmte Subschnittstelle über die Schnittstelle uuid ab:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/subinterfaces/{interfaceUID}

POST einer neuen Subschnittstelle:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/subinterfaces

UPDATE-Schnittstelle durch Schnittstelle UUID:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/subinterfaces/{interfaceUID}

LÖSCHEN Sie eine Subschnittstelle über die Schnittstelle uuid:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/subinterfaces/{interfaceUID}

Das Subschnittstellenmodell sieht wie folgt aus:

{
  "metadata": {
    "isBreakoutCapable": false,
    "isSplitInterface": false,
    "timestamp": 1692536476265,
    "domain": {
      "name": "Global",
      "id": "e276abec-e0f2-11e3-8169-**********",
      "type": "Domain"
    }
  },
  "type": "SubInterface",
  "name": "Ethernet1/3.3",
  "portType": "DATA",
  "subIntfId": 3,
  "parentInterface": {
    "type": "PhysicalInterface",
    "id": "00505686-9A51-0ed3-0000-**********",
    "name": "Ethernet1/3"
  },
  "vlanId": 3,
  "id": "*************************************"
}

Konfigurieren von EtherChannel-Schnittstellen

Um die Verwaltung von EtherChannel-Schnittstellen zu unterstützen, wurden diese URLs eingeführt.

Alle EtherChannel-Schnittstellen abrufen:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/etherchannelinterfaces/{interfaceUUID}

Rufen Sie eine bestimmte Etherchannel-Schnittstelle über die Schnittstelle uuid ab:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/etherchannelinterfaces/{interfaceUUID}

POST einer neuen Etherchannel-Schnittstelle:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/etherchannelinterfaces

UPDATE-Schnittstelle durch Schnittstelle UUID:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/etherchannelinterfaces/{interfaceUUID}

LÖSCHEN Sie eine EtherChannel-Schnittstelle über die Schnittstelle uuid:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/etherchannelinterfaces/{interfaceUUID}

Das EtherChannel-Schnittstellenmodell sieht wie folgt aus:

{
  "metadata": {
    "supportedSpeed": "HUNDRED_MBPS,TEN_MBPS,ONE_GBPS",
    "timestamp": 1692536640172,
    "domain": {
      "name": "Global",
      "id": "e276abec-e0f2-11e3-8169-**********",
      "type": "Domain"
    }
  },
  "type": "EtherChannelInterface",
  "name": "Port-channel45",
  "portType": "DATA",
  "etherChannelId": 45,
  "selectedInterfaces": [
    {
      "type": "PhysicalInterface",
      "id": "00505686-9A51-0ed3-0000-**********",
      "name": "Ethernet1/4"
    },
    {
      "type": "PhysicalInterface",
      "id": "00505686-9A51-0ed3-0000-**********",
      "name": "Ethernet1/5"
    }
  ],
  "lacpMode": "ON",
  "lacpRate": "FAST",
  "adminState": "DISABLED",
  "hardware": {
    "flowControlSend": "OFF",
    "autoNegState": true,
    "speed": "ONE_GBPS",
    "duplex": "FULL"
  },
  "LLDP": {
    "transmit": true,
    "receive": true
  },
  "id": "00505686-9A51-0ed3-0000-**********"
}

REST-APIs Break/Join-Schnittstellen

Zur Unterstützung von Breakout/Join von Schnittstellen der Serie 4200 können die folgenden URLs verwendet werden:

ABRUFEN:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/chassisinterfaces/{interfaceUID}/evaluateoperation

Bewertet die Machbarkeit von Break/Join für eine Schnittstelle

POST:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/Operational/Breakoutinterfaces

Unterbricht eine Schnittstelle

POST:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/operating/joininterfaces
Verbindet mehrere unterbrochene Schnittstellen

REST-Fluss für Schnittstellenunterbrechung

1. Suchen Sie das von FMC verwaltete Chassis-Gerät (4200) mithilfe des Chassis-Endpunkts fmcmanagedchassis.

GET /api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis

Gibt die Liste der von FMC verwalteten Chassis-Geräte zusammen mit Multi Instance-Geräten mit den Details wie ID, Name, Modell jedes Geräts zurück. Wählen Sie die "MULTIINSTANCE"-Geräte.

Beispielantwort:

{
  "id": "fcaa9ca4-85e5-4bb0-b049-**********",
  "type": "FMCManagedChassis",
  "chassisName": "192.168.0.75",
  "chassisMode": "MULTIINSTANCE",
  "links": {
    "self": "https://u32c01p06-vrouter.cisco.com:22512/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/chassis/fmcmanagedchassis/fcaa9ca4-85e5-4bb0-b049-**********"
  }
}

2. Überprüfen Sie mithilfe des Schnittstellen-/physischen Schnittstellen-Endpunkts, ob die Schnittstelle Breakout-fähig ist.

Breakout ist nur möglich, wenn "isBreakoutCapable" true ist und "mediaType" QSFP ist.

GET /api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/interfaces

Beispielantwort:

{
  "metadata": {
    "supportedSpeed": "FORTY_GBPS,DETECT_SFP",  >>>>>>>>>
    "mediaType": "qsfp",                        >>>>>>>>>
    "sfpType": "none",
    "isBreakoutCapable": true,                  >>>>>>>>>
    "breakoutFactor": "4",                      >>>>>>>>>
    "isSplitInterface": false,
    "timestamp": 1692344434067,
    "domain": {
      "name": "Global",
      "id": "e276abec-e0f2-11e3-8169-**********",
      "type": "Domain"
    }
  },
  "type": "PhysicalInterface",
  "name": "Ethernet2/4",
  "portType": "DATA",
  "adminState": "DISABLED",
  "hardware": {
    "flowControlSend": "OFF",
    "fecMode": "AUTO",
    "autoNegState": true,
    "speed": "DETECT_SFP",
    "duplex": "FULL"
  },
  "LLDP": {
    "transmit": false,
    "receive": false
  },
  "id": "00505686-9A51-0ed3-0000-**********"
}

3. Bewerten Sie an der Schnittstelle die Machbarkeit des Break-Vorgangs mit dem EvaluateOperation-Endpunkt.

GET /api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/chassisinterfaces/{interfaceUID}/evaluateoperation

Wenn die Antwort keine Warnungen/Fehler enthält, kann der Benutzer eine Unterbrechung durchführen.

Beispielantwort:

Wenn die Antwort Fehler enthält, kann der Benutzer keinen Unterbrechungsvorgang durchführen:

{
  "operationType": "BREAKOUT",
  "interfaceUsages": [
    {
      "conflictType": "Interface usage on instance(s)",
      "severity": "ERROR",              >>>>>>>>>
      "description": "Interface Ethernet2/4 can not be split. Remove it from instances [FTD1] and try again.\n"
    }
  ],
  "readinessState": "NOT_READY",        >>>>>>>>>
  "links": {
    "self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/chassis/fmcmanagedchassis/19d967e6-ef81-4f2e-b311-**********/chassisinterfaces/00505686-662F-0ed3-0000-004294969274/evaluateoperation/00505686-662F-0ed3-0000-**********"
  },
  "type": "ChassisInterface",
  "id": "00505686-662F-0ed3-0000-**********"
}

4. Wenn die Schnittstelle Breakout-fähig ist und der Bereitschaftsstatus "READY" lautet, brechen Sie die Schnittstelle mithilfe des Breakout-Schnittstellen-Endpunkts.

POST /api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/Operational/Breakoutinterfaces

Anforderung:

{
  "targetInterfaces": [
    {
      "id": "***************ed3-0000-004294969276",
      "metadata": {
        "type": "PhysicalInterface"
      }
    }
  ],
  "type": "BreakoutInterface"
}

Antwort:

{
  "id": "4294969716",
  "type": "TaskStatus",
  "links": {
    "self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/job/taskstatuses/4294969716"
  },
  "taskType": "DEVICE_DEPLOYMENT",
  "message": "Deployment status for ************************************: SUCCEEDED",
  "status": "Interface notification received"
}

5. Verfolgen Sie den Aufgabenabschluss mit der Aufgaben-ID in der Unterbrechungsantwort. Setzen Sie den Task-Status auf "Interface Notification received" (Schnittstellenbenachrichtigung empfangen).

GET /api/fmc_config/v1/domain/{domainUUID}/job/taskstatuses/{objectId}

{
  "metadata": {
    "task": {
      "id": "4294969699",
      "links": {
        "self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/job/taskstatuses/4294969699"
      }
    }
  },
  "targetInterfaces": [
    {
      "id": "00505686-662F-0ed3-0000-**********",
      "type": "PhysicalInterface"
    }
  ],
  "type": "BreakoutInterface"
}

{
  "id": "4294969716",
  "type": "TaskStatus",
  "links": {
    "self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/job/taskstatuses/4294969716"
  },
  "taskType": "DEVICE_DEPLOYMENT",
  "message": "Deployment status for ************************************: SUCCEEDED",
  "status": "Interface notification received"
}

6. Abrufen der Schnittstellenänderungen mithilfe des ChassisSinterfaceevents-Endpunkts

GET /api/fmc_config/v1/domain/{domainUUID}/chassis/ fmcmanagedchassis/{containerUID}/chassisinterfaceevents

Beispielantwort:

[
  {
    "change": "Interface is deleted",
    "type": "PhysicalInterface",
    "state": "DISASSOCIATED",
    "name": "Ethernet2/3"
  },
  {
    "change": "Interface is associated",
    "type": "PhysicalInterface",
    "state": "ASSOCIATED",
    "name": "Ethernet2/3/2"
  },
  {
    "change": "Interface is associated",
    "type": "PhysicalInterface",
    "state": "ASSOCIATED",
    "name": "Ethernet2/3/3"
  },
  {
    "change": "Interface is associated",
    "type": "PhysicalInterface",
    "state": "ASSOCIATED",
    "name": "Ethernet2/3/4"
  }
]

7. Wenn die Schnittstellenbenachrichtigung nicht empfangen wird, synchronisieren Sie das Gerät mit dem Endpunkt chassisinterfaceevents, und überprüfen Sie, ob Änderungen ausstehen.

POST /api/fmc_config/v1/domain/{domainUUID}/devices/deviceRecords/{containerUID}/ ChassisInterfaceEvents

Anforderung:

{
  "action": "SYNC_WITH_DEVICE"
}

Antwort:

{
  "action": "SYNC_WITH_DEVICE",
  "hasPendingChanges": true
}

8. Nachdem die Benachrichtigung empfangen wurde, akzeptieren Sie die Änderungen mithilfe des ChassisinterfaceEvent-Endpunkts.

POST /api/fmc_config/v1/domain/{domainUUID}/devices/deviceRecords/{containerUID}/ ChassisInterfaceEvents

Anforderung:

{
   "action":"ACCEPT_CHANGES"
} 

9. Rufen Sie alle Chassis-Schnittstellen ab, und suchen Sie die geteilten (abgebrochenen) Schnittstellen mithilfe des Schnittstellen-Endpunkts.

GET /api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/interfaces

Eine 40G-Schnittstelle, beispielsweise eth2/2, ist in 4x10G-Schnittstellen aufgeteilt - eth2/2/1, eth2/2/2, eth2/2/3 und eth2/2/4

REST-Fluss für Schnittstellen-Join

1. Überprüfen Sie mithilfe des Schnittstellen-/physischen Schnittstellen-Endpunkts, ob die Schnittstelle defekt ist.

Der Join-Vorgang ist nur möglich, wenn "isSplitInterface" auf "true" und "mediaType" auf "SFP" festgelegt ist.

GET /api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/interfaces

{
  "metadata": {
    "supportedSpeed": "TEN_GBPS,DETECT_SFP",
    "mediaType": "sfp",
    "sfpType": "none",
    "isBreakoutCapable": false,
    "breakoutFactor": "4",
    "isSplitInterface": true,
    "timestamp": 1692541554935,
    "domain": {
      "name": "Global",
      "id": "e276abec-e0f2-11e3-8169-**********",
      "type": "Domain"
    }
  },
  "type": "PhysicalInterface",
  "name": "Ethernet2/3/4",
  "portType": "DATA",
  "adminState": "DISABLED",
  "LLDP": {
    "transmit": false,
    "receive": false
  },
  "hardware": {
    "flowControlSend": "OFF",
    "speed": "DETECT_SFP",
    "duplex": "FULL",
    "fecMode": "AUTO",
    "autoNegState": true
  },
  "id": "00505686-662F-0ed3-0001-**********"
}

2. Bewerten Sie die Machbarkeit des Join-Vorgangs mithilfe des Endpunkts für den Evaluierungsvorgang auf einer der vier geteilten Schnittstellen.

GET /api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/ch assisinterfaces/{interfaceUID}/evaluateoperation

• Wenn die Antwort keine Warnungen/Fehler enthält, kann der Benutzer den Join-Vorgang ausführen.

{
  "operationType": "JOIN",
  "readinessState": "READY",
  "links": {
    "self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/chassis/fmcmanagedchassis/19d967e6-ef81-4f2e-b311-**********/chassisinterfaces/00505686-662F-0ed3-0001-**********/evaluateoperation/00505686-662F-0ed3-0001-**********"
  },
  "type": "ChassisInterface",
  "id": "00505686-662F-0ed*******************"
}

• Wenn die Antwort Fehler enthält, kann der Benutzer keine Join-Operation durchführen.

{
  "operationType": "JOIN",
  "interfaceUsages": [
    {
      "conflictType": "Interface used in EtherChannel Configuration",
      "severity": "ERROR",
      "description": "Interface (Ethernet2/3/4) referred to in Ether Channel Interface (Port-channel32) configurations will be impacted due to the JOIN operation."
    }
  ],
  "readinessState": "NOT_READY",
  "links": {
    "self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-*********/chassis/fmcmanagedchassis/19d967e6-ef81-4f2e-b311-********/chassisinterfaces/00505686-662F-0ed3-0001-692539698200/evaluateoperation/00505686-662F-0ed3-0001-***********"
  },
  "type": "ChassisInterface",
  "id": "00505686-662F-0ed*******************"
}

3. Wenn die Schnittstelle defekt ist und der Bereitschaftsstatus "READY" lautet, treten Sie der Schnittstelle mithilfe des Endpunkts "joininterfaces" bei. Interface_uuid kann eine ID von einer von vier unterbrochenen Schnittstellen sein.

POST/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/operating/joininterfaces

Anforderung:

{
  "targetInterfaces": [
    {
      "id": "***************ed3-0001-692539698200",
      "type": "PhysicalInterface"
    }
  ],
  "type": "JoinInterface"
}

Antwort:

{
  "metadata": {
    "task": {
      "id": "4294970217",
      "links": {
        "self": "
    
    
      /api/fmc_config/v1/domain/e27"***************-8169-6d9ed49b625f/job/taskstatuses/4294970217" } } }, "targetInterfaces": [ { "id": "***************ed3-0001-692539698200", "type": "PhysicalInterface" }, { "id": "***************ed3-0001-692539698201", "type": "PhysicalInterface" }, { "id": "***************ed3-0001-692539698202", "type": "PhysicalInterface" }, { "id": "***************ed3-0001-692539698203", "type": "PhysicalInterface" } ], "type": "JoinInterface" } 
    

4. Verfolgen Sie den Aufgabenabschluss mit der Task-ID in der Join-Antwort. Setzen Sie den Task-Status auf "Interface Notification received" (Schnittstellenbenachrichtigung empfangen).

GET /api/fmc_config/v1/domain/{domainUUID}/job/taskstatuses/{objectId}

Antwort:

{
  "id": "4294970237",
  "type": "TaskStatus",
  "links": {
    "self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-6d9ed49b625f/job/taskstatuses/4294970237"
  },
  "taskType": "SSP_EPM_OIR",
  "message": "Deployment status for 19d967e6-xxxx-xxxx-xxxx-85ff6cef6d3f: SUCCEEDED",
  "status": "Interface notification received"
}

5. Abrufen der Schnittstellenänderungen mithilfe des ChassisSchnittstelleEreignisendpunkts.

GET /api/fmc_config/v1/domain/{domainUUID}/devices/deviceRecords/{containerUID}/chassisinterfaceevents

Antwort:

[
  {
    "change": "Interface is associated",
    "type": "PhysicalInterface",
    "state": "ASSOCIATED",
    "name": "Ethernet2/3"
  },
  {
    "change": "Interface is deleted",
    "type": "PhysicalInterface",
    "state": "DISASSOCIATED",
    "name": "Ethernet2/3/1"
  },
  {
    "change": "Interface is deleted",
    "type": "PhysicalInterface",
    "state": "DISASSOCIATED",
    "name": "Ethernet2/3/2"
  },
  {
    "change": "Interface is deleted",
    "type": "PhysicalInterface",
    "state": "DISASSOCIATED",
    "name": "Ethernet2/3/3"
  },
  {
    "change": "Interface is deleted",
    "type": "PhysicalInterface",
    "state": "DISASSOCIATED",
    "name": "Ethernet2/3/4"
  }
]

6. Wenn die Schnittstellenbenachrichtigung nicht empfangen wird, synchronisieren Sie das Gerät mit dem Endpunkt chassisinterfaceEvents, und überprüfen Sie, ob Änderungen ausstehen.

POST /api/fmc_config/v1/domain/{domainUUID}/devices/deviceRecords/{containerUID}/chassisinterfaceevents

Anforderung:

{
   "action":"SYNC_WITH_DEVICE"
} 

Antwort:

{
   "action":"SYNC_WITH_DEVICE",
   "hasPendingChanges":true
} 

7. Nachdem die Benachrichtigung empfangen wurde, akzeptieren Sie die Änderungen mithilfe des ChassisinterfaceEvent-Endpunkts.

POST /api/fmc_config/v1/domain/{domainUUID}/devices/deviceRecords/{containerUID}/chassisinterface events

Anforderung:

{
   "action":"ACCEPT_CHANGES"
} 

8. Rufen Sie alle Chassis-Schnittstellen ab, und suchen Sie nach den verbundenen Schnittstellen sowie nach den anderen Schnittstellen, die den Schnittstellen-Endpunkt verwenden.

GET /api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/interfaces

Say Join wurde auf 10G-Schnittstelle sagen eth2/2/1, dann eine 40G-Schnittstelle eth2/2 ist in der Antwort.

REST-APIs für Geräte synchronisieren

Zur Unterstützung der Synchronisierung von Netzwerkmodulen und Schnittstellen wurden diese URLs eingeführt.

POST:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/chassisinterface-Ereignisse

Mit Payload

{"Aktion": "SYNC_WITH_DEVICE"} - > Synchronisierung wird ausgelöst

{"Aktion": "ACCEPT_CHANGES"} - > Änderungen akzeptieren

ABRUFEN:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUID}/chassisinterface-Ereignisse

Listet die generierten geänderten Ereignisse auf

Fehlerbehebung/Diagnose

FXOS-Protokollierung

Wenn die Registrierung fehlschlägt, können diese FXOS-CLIs verwendet werden, um zu überprüfen, ob die sftunnel- und sfipproxy-Prozesse aktiv sind.

firepower# connect local-mgmt
firepower-4215(local-mgmt)# show processes | include sftunnel grep: (standard input): binary file matches 
3323 root 20 0 80328 2024 1544 S 0.0 0.0 0:11.53 /opt/cisco/sftunnel/sfipproxy -d –f /etc/sf/sfipproxy.conf 
22066 root 20 0 376880 7140 5944 S 0.0 0.0 0:41.18 /opt/cisco/sftunnel/sftunnel -d -f /etc/sf/sftunnel.conf 

Wenn Sie die Terminalkonsole für die CLI verwenden, stellen Sie sicher, dass die Ausgabe von Anzeigeprozessen nicht gekürzt wird, indem Sie die Terminalbreite mithilfe der folgenden CLI auf einen geeigneten Wert festlegen:

firepower-4215(local-mgmt)# terminal width 100 

Wenn der SFTunnel-Prozess läuft und die Registrierung dennoch fehlschlägt, können diese Befehle verwendet werden, um einen möglichen Fehlergrund zu finden.

Neue CLI in FXOS von connect local-mgmt zur Anzeige von Syslog-Meldungen in /opt/cisco/platform/logs/sfmessages

firepower# connect local-mgmt
firepower(local-mgmt)# tail-mgmt-log sfmessages

    
    
      Dec 9 18:31:17 firepower Ipc [30483]: add ep: 1,0x5613aa0e2fe8 total = 1 Dec 9 18:31:17 firepower Ipc [30483]: add ep: 1,0x5613aa0ec528 total = 2 Dec 9 18:31:17 firepower Ipc [30483]: add ep: 1,0x5613aa0f5ea8 total = 3 Dec 9 18:31:18 firepower SF-IMS[12621]: [12625] sftunneld:SYNC_PROC [INFO] Change in directory /var/sf/sync detected (0 vs 1670610348) 
    

FMC-Protokollierung

• Wenn die Geräteregistrierung fehlschlägt, suchen Sie an dieser Stelle nach usmsharedsvcs.log und vmssharedsvcs.log, und suchen Sie nach der Zeichenfolge "CHASSIS DISCOVERY" oder "NATIVE_TO_MULTI_INSTANCE", um die potenzielle Fehlerursache zu ermitteln.
  • Suchen Sie außerdem in /var/log/action_queue.log und /var/sf/messages nach SFTunnel-Problemen.
  • /var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log /var/opt/CSCOpx/MDC/log/operation/vmssharedsvcs.log
• Wenn die automatische Chassis-Registrierung fehlschlägt, suchen Sie nach usmsharedsvcs.log und vmssharedsvcs.log, und suchen Sie nach der Zeichenfolge "CHASSIS DISCOVERY" und "NATIVE_TO_MULTI_INSTANCE", um die potenzielle Fehlerursache zu ermitteln.
• Wenn die automatische Instanzregistrierung fehlschlägt, suchen Sie usmsharedsvcs.log und vmssharedsvcs.log und suchen Sie nach der Zeichenfolge "MI_FTD_INSTANCE_AUTO_REGISTRATION", um die potenzielle Fehlerursache zu finden.
• Wenn auf dem Gerät ein Bereitstellungsfehler auftritt, navigieren Sie zu Deploy -> Deployment History -> Click on the failed deployment -> Open Transcript (Bereitstellen -> Bereitstellungsverlauf -> Klicken Sie auf die fehlgeschlagene Bereitstellung -> Open Transcript). Diese Datei enthält den Grund für den Fehler.

Chassis-Fehlerbehebung

FMC unterstützt die Generierung einer Chassis-Fehlerbehebung (FPRM) über die Seite für die Geräteverwaltung.

• Wie das FTD-Gerät gibt es auch für das Chassis-Gerät eine Fehlerbehebungsoption, die eine Chassis-Fehlerbehebung generiert und es dem Benutzer ermöglicht, das Fehlerbehebungspaket von FMC herunterzuladen.
• Dabei wird das Paket mit dem "Formular für technischen Support anzeigen" aus dem Chassis gesammelt:

Optionen für die Chassis-Fehlerbehebung und Generierung:

Status und Download der Chassis-Fehlerbehebung:

Beispiele für Probleme bei der Fehlerbehebung Exemplarische Vorgehensweisen

Automatische Registrierung von Chassis-Ausfällen in FMC

Problem: Automatische Chassis-Registrierung in FMC fehlgeschlagen.

Erwartetes Ergebnis:

• Sobald die Konvertierung mit FMC beginnt, wird sie voraussichtlich abgemeldet und automatisch in FMC registriert.

Tatsächliches Ergebnis

• Chassis-Autoregistrierung fehlgeschlagen

Fehlerbehebung:

1. Konvertierung prüfen:

• Stellen Sie sicher, dass die Umwandlung auf FMC ausgelöst wurde.
• Melden Sie sich beim Gerät an, und überprüfen Sie, ob das Gerät in den Containermodus konvertiert wurde.
• Führen Sie die folgenden Befehle aus, um festzustellen, ob das Gerät konvertiert wurde:

firepower# scope sys
firepower /system # show
Systems:
Name Mode Deploy Mode System IP Address System IPv6 Address
---------- ----------- ----------- ----------------- -------------------
firepower Stand Alone Container 192.168.xx.xx ::

2. Überprüfen Sie den Gerätemanager:

• Überprüfen Sie, ob der Gerätemanager ordnungsgemäß eingerichtet wurde:

firepower# show device-manager 
    Device manager:
        Name: manager
        Hostname: 10.10.xx.xx
        NAT id: 3ab4bb1a-d723-11ee-a694-89055xxxxxxx
        Registration Status: Completed
        Error Msg:

3. Zu prüfende Protokolle:

3.1. Navigieren Sie zu /var/opt/CSCOpx/MDC/log/operation/vmssharedsvcs.log und /var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log.

3.2. Suchen Sie in den Dateien nach den Schlüsselwörtern"NATIVE_TO_MI_CONVERSION" und"CHASSIS DISCOVERY", um den Grund für den Fehler zu finden.

Automatische Registrierung von Instanzen im FÜZ

Problem: Automatische Registrierung der Instanz in FMC fehlgeschlagen.

Erwartetes Ergebnis:

• Sobald die Instanz von FMC bereitgestellt wurde, wird sie voraussichtlich automatisch in FMC registriert.

Tatsächliches Ergebnis

• Automatische Instanzregistrierung fehlgeschlagen

Fehlerbehebung:

• Sicherstellen, dass die Bereitstellung nach der Instanzerstellung ausgelöst wurde
  • Wenn die Bereitstellung nicht erfolgt, stellen Sie sicher, dass die Änderungen auf dem Gerät bereitgestellt werden.
  • Wenn bei der Bereitstellung ein Fehler auftritt, fahren Sie mit Bereitstellungsverlauf fort -> Klicken Sie auf Transkript. Überprüfen Sie die Fehlerursache, beheben Sie die Fehler, und wiederholen Sie den Bereitstellungsversuch.

• Stellen Sie sicher, dass die Instanz installiert ist und ihr Betriebsstatus online ist. Sie können die Übersichtsseite des Chassis verwenden, um den Status der Instanzbereitstellung zu überprüfen.

• Überprüfen Sie mithilfe des folgenden Befehls, ob SFTunnel auf der Instanz FTD ausgeführt wird:

ps -ef | grep -i "sftunnel”

• Wenn SFTunnel nicht ausgeführt wird, versuchen Sie, einen Befehl zum Neustart auszuführen:

pmtool restartById sftunnel

• Navigieren Sie zu /var/opt/CSCOpx/MDC/log/operation/vmssharedsvcs.log und /var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log.
• Suchen Sie in der Datei nach dem Schlüsselwort "MI_FTD_INSTANCE_AUTO_REGISTRATION", um den Grund für den Fehler zu finden.

Native Geräteregistrierung in FMC

Problem: Die native Geräteregistrierung in FMC schlägt fehl, nachdem das Gerät wieder in den nativen Modus konvertiert wurde.

• Wenn der Benutzer das Chassis (MI-Modus) wieder in den nativen Modus konvertiert, aber vergisst, das Chassis vom FMC zu löschen, wird das Gerät auf dem FMC offline geschaltet.
• Wenn der Benutzer versucht, dieses native Gerät erneut beim FMC zu registrieren, schlägt die Registrierung fehl.

Fehlerbehebung:

• Vergewissern Sie sich, dass der Chassis-Eintrag aus dem FMC gelöscht wurde, bevor Sie das Gerät wieder in den nativen Modus zurücksetzen.
• Wenn der Eintrag gelöscht wurde, versuchen Sie, das native Gerät erneut bei FMC zu registrieren.

Nützliche Verweise

• Informationen zu freigegebenen Schnittstellen:

https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/threat-defense/use-case/multi-instance-sec-fw/multi-instance-sec-fw.html#shared-interface-scalability-WGUIEF

• Seite "3100 Multi-Instance" auf der Cisco Support-Website:

https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/threat-defense/use-case/multi-instance-sec-fw/multi-instance-sec-fw.html

Schnittstellenoptionen und hohe Verfügbarkeit

Schnittstellenoptionen

Standalone oder Hochverfügbarkeit

Nutzung der dualen Managementschnittstellen

• Wie der 4200 im nativen Modus werden die beiden physischen Management-Ports bereitgestellt, um die Schnittstellenredundanz für den Management-Datenverkehr oder separate Schnittstellen für Management und Ereignisverwaltung zu unterstützen.
  • Die Geräte 9300 und 4100 sowie die Serie 4200 verfügen über duale Verwaltungsschnittstellen. Die zweite Verwaltungsoberfläche, Management 1/2, ist für die Verwendung bei Ereignissen vorgesehen.
• Im Multi-Instance-Modus (auch Container genannt) können Sie diese Schnittstelle in jeder Instanz über die Threat Defence-CLI konfigurieren. Weisen Sie für jede Instanz eine IP-Adresse im gleichen Netzwerk zu.
• Im Containermodus sind jeder FTD-Instanz automatisch sowohl Management 1/1- als auch Management 1/2-Schnittstellen zugewiesen.
  • Die zweite Management-Schnittstelle ist standardmäßig deaktiviert.
  • Management1/2 kann nicht mit FMC konfiguriert werden. Sie müssen es über die FTD CLISH (auf dem 9300/4100, die. dagegen über die FXOS-CLI). Verwenden Sie diesen Befehl mit dem gewünschten IP-Adresstyp, der gewünschten Adresse, dem gewünschten Subnetz und der gewünschten statischen Route:

configure network ipv4 manual 192.168.0.xx 255.255.255.0 192.168.0.1 management1