Inspección del tráfico agregado de enlaces mediante FirePOWER y appliances virtuales de Sourcefire

Introducción

La agregación de enlaces ha sido estandarizada por IEEE en 802.3ad y 802.3ax. Las implementaciones comunes de la agregación de enlaces son EtherChannel, protocolo de control de agregación de enlaces (LACP), protocolo de agregación de puertos (PAgP), etc. En este artículo se describe cómo gestionan los appliances de Sourcefire el tráfico agregado de enlaces.

Prerequisites

Requirements

Cisco recomienda tener conocimientos sobre los modelos de dispositivos FirePOWER de Sourcefire, los modelos de dispositivos virtuales, el protocolo de control de agregación de enlaces (LACP), EtherChannel y el protocolo de agregación de puertos (PAgP).

Compatibilidad con la agregación de enlaces

Un dispositivo de Sourcefire puede funcionar con cualquier implementación de agregación de enlaces estándar, ya que un protocolo de agregación de enlaces no agrega datos adicionales al paquete en sí. No hay problemas conocidos entre la implementación de los dispositivos Sourcefire y los protocolos de agregación de enlaces.

Puntos a considerar

Al implementar un dispositivo Sourcefire en una implementación agregada de enlaces, deben tenerse en cuenta los siguientes aspectos:

1. Si un dispositivo de Sourcefire está en modo pasivo y todos los enlaces de EtherChannel están siendo supervisados por el mismo motor de detección, la configuración de agregación de enlaces no importa.
2. Si un único motor de detección solo va a supervisar algunos de los enlaces o el dispositivo se está implementando como un dispositivo en línea, se recomienda que la agregación de enlaces se configure para utilizar las direcciones MAC de origen y destino. Esto evitará los problemas de rendimiento relacionados con el enrutamiento asincrónico.
3. Snort es capaz de procesar el tráfico agregado de enlaces sin problemas.  Sin embargo, Snort no podrá descodificar los paquetes de control de agregación de enlaces enviados entre los switches.
4. Los métodos de balanceo de carga en EtherChannel se basan en cada flujo de tráfico y no en cada trama o paquete, por lo que los flujos son los que equilibran la carga. La configuración de "IP de origen e IP de destino" en EtherChannel puede afectar al equilibrio de carga en las instancias de snort de Sourcefire. Esto es solo si el hashing realizado da como resultado un conjunto más limitado de IP entre las que elegir. El uso de "MAC de origen y MAC de destino" puede ayudar con la distribución de la carga.

Problema conocido

El siguiente problema conocido en el LACP se informa en todas las versiones anteriores a la 5.3.1.1 inclusive:

En algunos casos, la aplicación de cambios en la directiva de control de acceso, la directiva de intrusiones, la directiva de detección de red o la configuración del dispositivo, o la instalación de una actualización de reglas de intrusión o de la base de datos de vulnerabilidades (VDB), provoca que el sistema experimente una interrupción en el tráfico que utiliza el protocolo de control de agregación de enlaces (LACP) en modo rápido. Como solución alternativa, configure los links LACP en modo lento. (112070)

Documento relacionado

• Notas de la versión del sistema FireSIGHT versión 5.3.1.1