Uso de un equilibrador de carga externo con un clúster de appliances de Threat Grid

• Introducción
• Prerequisites
• Componentes Utilizados 
• P. ¿Puede utilizar un equilibrador de carga con dos o más dispositivos ThreatGrid no agrupados para proporcionar Alta ...

Introducción

En este documento se describen los requisitos para utilizar un equilibrador de carga externo con un clúster de appliances ThreatGrid

Prerequisites

Cisco recomienda que tenga conocimiento sobre estos temas:

• Dispositivo Cisco ThreatGrid 
• Cisco Firepower Management Center
• Dispositivos Cisco Email and Web Security

Configuración

P. ¿Se puede utilizar un equilibrador de carga con dos o más dispositivos ThreatGrid independientes para proporcionar alta disponibilidad/uso compartido de recursos?

A. Los appliances ThreatGrid (TGA) configuran un nombre de usuario de API + clave única para cada dispositivo durante el proceso de registro; por lo tanto, el dispositivo final solo se registra con uno de los dispositivos TGA. Esto elimina cualquier posibilidad de opciones de failover/equilibrio de recursos. 

Sin embargo, a partir de 2.4, TGA admite agrupamiento, lo que permite que los recursos TGA administren la carga a través de varios TGA unidos para proporcionar la administración de recursos/funcionalidad HA de forma nativa dentro del propio software. Como el clúster proporciona la capacidad de procesar una solicitud a través de cualquier dispositivo unido disponible, un dispositivo final puede unirse y utilizar todos los recursos del conjunto sin las preocupaciones de las coincidencias de claves de API en varios dispositivos o mediante el uso de un dispositivo de tipo de equilibrador de carga externo. No obstante, tenga en cuenta que se puede agregar un equilibrador de carga externo delante de los TGA para proporcionar una arquitectura más parecida a Pool. 

Resumen

Se puede agregar un equilibrador de carga delante de un clúster TG para facilitar un nombre de host único para que los dispositivos se unan y luego se les puede dirigir a cualquier nodo disponible. Esta es una función opcional y no necesariamente necesaria, ya que el software TGA lo hace de forma nativa para cualquier solicitud enviada a cualquier miembro del clúster.

     -Esta configuración requiere el uso de un certificado SAN en el cual el nombre CN es el nombre de host del equilibrador de carga y las entradas SAN contienen el nombre de host del equilibrador de carga y las entradas para cada uno de los dispositivos TGA.

Varios TGA separados detrás de un equilibrador de carga trabajan con advertencias

1. El LB debe pasar el dispositivo final al mismo dispositivo final 100% del tiempo debido al registro 1 a 1/intercambio de claves que se produce entre los dispositivos. Si un dispositivo llega al otro análisis de dispositivos TGA y las búsquedas fallan, lo que conduce a problemas en cascada.
2. La conmutación por fallas del dispositivo TGA no sería posible debido al intercambio de claves 1 a 1.