Configurazione di FTD Multi-Instance High-availability su Firepower 4100

Introduzione

In questo documento viene descritto come configurare il failover nelle istanze del contenitore FTD (a più istanze).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza di Firepower Management Center e Firewall Threat Defense.

Componenti usati

Cisco Firepower Management Center Virtual 7.2.5
Appliance Cisco Firepower 4145 NGFW (FTD) 7.2.5
Firepower eXtensible Operating System (FXOS) 2.12 (0.498)
Windows 10

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Prima di distribuire FTD Multi-Instance, è importante capire come può influire sulle prestazioni del sistema e pianificare di conseguenza. Per garantire un'installazione e una configurazione ottimali, consultare sempre la documentazione ufficiale Cisco o un rappresentante tecnico Cisco.

Premesse

Multi-Instance è una funzione di Firepower Threat Defense (FTD) simile alla modalità a contesto multiplo ASA. Consente di eseguire più istanze di FTD di contenitori separati su un singolo componente hardware. Ogni istanza contenitore consente la separazione delle risorse hardware, la gestione di configurazione separata, ricaricamenti separati, aggiornamenti software separati e il supporto completo delle funzionalità di difesa dalle minacce. Ciò è particolarmente utile per le organizzazioni che richiedono criteri di sicurezza diversi per reparti o progetti diversi, ma che non desiderano investire in più appliance hardware separate. La funzione Multi-Instance è attualmente supportata sulle appliance di sicurezza Firepower serie 3100, 4100, 4200 e 9300 con FTD 6.4 e versioni successive.

In questo documento viene utilizzato Firepower4145, che supporta al massimo 14 istanze di contenitore. Per il numero massimo di istanze supportate in Firepower Appliance, vedere Numero massimo di istanze del contenitore e di risorse per modello.

Esempio di rete

Questo documento introduce la configurazione e la verifica di HA in istanze multiple in questo diagramma.

Diagramma di configurazione logica

Diagramma configurazione fisica

Configurazioni

Passaggio 1. Preconfigurare le interfacce

r. Passare a Interfacce su FCM. Impostare 2 interfacce di gestione. Nell'esempio, Ethernet1/3 e Ethernet1/7.

Interfacce pre-configurate

Passaggio 2. Aggiungere 2 profili di risorse per le istanze del contenitore.

r. Passare a Impostazioni piattaforma > Profili risorse > Aggiungi a FCM. Impostare il primo profilo risorsa.

Nell'esempio: 
・Nome: Istanza01
·Numero di core: 10

Aggiungi primo profilo di risorsa

b. Ripetere un'operazione. nel passaggio 2, per configurare il secondo profilo della risorsa.

Nell'esempio: 
・Nome: Istanza02
·Numero di core: 20

Aggiungi secondo profilo risorse

c. Verificare che 2 profili di risorse siano stati aggiunti correttamente.

Conferma profilo risorsa

Passaggio 3. (Facoltativo)Aggiungere un prefisso del pool MAC dell'indirizzo MAC virtuale per le interfacce dell'istanza del contenitore.

È possibile impostare manualmente l'indirizzo MAC virtuale per l'interfaccia attiva/standby. Se gli indirizzi MAC virtuali non sono impostati per la funzionalità multi-istanza, lo chassis genera automaticamente indirizzi MAC per le interfacce di istanza e garantisce che un'interfaccia condivisa in ciascuna istanza utilizzi un indirizzo MAC univoco. 

Per ulteriori dettagli sull'indirizzo MAC, selezionare Aggiungi prefisso pool MAC e Visualizza indirizzi MAC per interfacce istanze contenitore. 

Passaggio 4. Aggiungere un'istanza autonoma.

r. Selezionare Dispositivi logici > Aggiungi standalone. Impostare la prima istanza.

Nell'esempio: 
·Nome dispositivo: FTD01
·Tipo di istanza: Contenitore

Aggiungi istanza

Passaggio 5. Configurazione delle interfacce

r. Impostare Resource Profile (Profilo risorsa), Management Interface (Interfaccia di gestione), Management IP (IP gestione) per Instance01.

Nell'esempio:
·Profilo delle risorse: Istanza01
·Interfaccia di gestione: Ethernet 1/3
·ManagementIP: x.x.1.1

Configurazione profilo/interfaccia di gestione/IP di gestione

b. Imposta interfacce dati.

Nell'esempio:

·Ethernet1/1 (per l'interno)

·Ethernet1/2 (per uso esterno)

·Ethernet1/4 (utilizzato per il collegamento HA)

Imposta interfacce dati

c. Passare a Dispositivi logici. In attesa dell'avvio dell'istanza.

Conferma stato dell'istanza 01

d. Ripetere a. nel passo 4.a e dal passo 5.a al passo c per aggiungere la seconda istanza e impostarne i dettagli.

Nell'esempio:

·Nome dispositivo: FTD11
·Tipo di istanza: Contenitore

·Profilo delle risorse: Istanza02
·Interfaccia di gestione: Ethernet 1/7
·ManagementIP: x.x.10.1

·Ethernet1/5 = interno 

·Ethernet1/6 = esterno

·Ethernet1/8 = collegamento HA

e. Confermare che 2 istanze siano in linea su FCM.

Conferma Stato Istanza Nel Dispositivo Principale

f. (Facoltativo) Eseguire scope ssa,  scope slot 1  e  show app-Instance  il comando per confermare che 2 istanze sono in linea sulla CLI di Firepower.

FPR4145-ASA-K9# scope ssa
FPR4145-ASA-K9 /ssa # scope slot 1
FPR4145-ASA-K9 /ssa/slot # show app-Instance

Application Instance:
App Name Identifier Admin State Oper State Running Version Startup Version Deploy Type Turbo Mode Profile Name Cluster State Cluster Role
---------- ---------- ----------- ---------------- --------------- --------------- ----------- ---------- ------------ --------------- ------------
ftd FTD01 Enabled Online 7.2.5 208 7.2.5 208 Container No Instance01 Not Applicable None     --> FTD01 Instance is Online
ftd FTD11 Enabled Online 7.2.5 208 7.2.5 208 Container No Instance02 Not Applicable None     --> FTD11 Instance is Online

g. Eseguire la stessa operazione sul dispositivo secondario. Confermare che 2 istanze siano in linea.

Conferma stato istanza nel dispositivo secondario

Passaggio 6. Aggiungere Una Coppia Di Disponibilità Elevata Per Ogni Istanza.

r. Selezionare Dispositivi > Aggiungi dispositivo in FMC. Aggiungere tutte le istanze a FMC.

Nell'esempio:

·Nome visualizzato per Instance01 di FTD1: FTD1_FTD01
·Nome visualizzato per Instance02 di FTD1: FTD1_FTD11
·Nome visualizzato per Instance01 di FTD2: FTD2_FTD02
·Nome visualizzato per Instance02 di FTD2: FTD2_FTD12

Nell'immagine è illustrata l'impostazione per FTD1_FTD01.

Aggiungi istanza FTD a FMC

b. Confermate che tutte le varianti siano normali.

Conferma stato istanza in FMC

c. Passare a Dispositivi > Aggiungi alta disponibilità. Impostare la prima coppia di failover.

Nell'esempio:

・Nome: FTD01_FTD02_HA

·Peer primario : FTD1_FTD01 

·Peer secondario: FTD2_FTD02

Aggiungi prima coppia di failover

d. Impostare IP per il collegamento di failover nella prima coppia di failover.

Nell'esempio:

·Collegamento ad alta disponibilità: Ethernet 1/4

·Collegamento stato: Ethernet 1/4

·IP primario: 192.168.90.1/24

·IP secondario: 192.168.90.2/24

Impostare l'interfaccia HA e l'indirizzo IP per la prima coppia di failover

e. Conferma lo stato del failover

·FTD1_FTD01: Principale, attiva

·FTD2_FTD02 : Secondario, Standby

Confermare Lo Stato Della Prima Coppia Di Failover

f. Selezionare Dispositivi > Fare clic su FTD01_FTD02_HA (in questo esempio) > Interfacce. Impostare IP attivo per Interfaccia dati.

Nell'esempio:
·Ethernet1/1 (interno) : 192.168.10.254/24
·Ethernet1/2 (esterno) : 192.168.20.254/24
·Ethernet1/3 (diagnostica) : 192.168.80.1/24

L'immagine mostra l'impostazione per l'IP attivo di Ethernet1/1.

Imposta IP attivo per interfaccia dati

g. Selezionare Devices > Click FTD01_FTD02_HA (in questo esempio) > High Availability. Impostare Standby IP per Data Interface.

Nell'esempio:
·Ethernet1/1 (interno) : 192.168.10.253/24
·Ethernet1/2 (esterno) : 192.168.20.253/24
·Ethernet1/3 (diagnostica) : 192.168.80.2/24

Questa immagine mostra l'impostazione per Standby IP di Ethernet1/1.

Imposta IP standby per interfaccia dati

h.  Ripetere i passi da 6.c a g per aggiungere la seconda coppia di failover.

Nell'esempio:

・Nome: FTD11_FTD12_HA
·Primary Peer : FTD1_FTD11 
·Peer secondario: FTD2_FTD12

·Collegamento ad alta disponibilità: Ethernet 1/8
·State Link: Ethernet 1/8
·Ethernet1/8 (ha_link attivo) : 192.168.91.1/24

·Ethernet1/5 (interno attivo) : 192.168.30.254/24
·Ethernet1/6 (esterno attivo) : 192.168.40.254/24
·Ethernet1/7 (diagnostica attiva) : 192.168.81.1/24

·Ethernet1/8 (ha_link Standby) : 192.168.91.2/24

·Ethernet1/5 (in standby) : 192.168.30.253/24
·Ethernet1/6 (fuori dallo standby) : 192.168.40.253/24
·Ethernet1/7 (standby diagnostico) : 192.168.81.2/24

i. Selezionare Dispositivi logici > Aggiungi standalone. Impostare la regola del provider di servizi di audioconferenza per consentire il traffico dall'interno all'esterno.

Imposta regola ACP

j. Distribuire l'impostazione su FTD.

k. Conferma stato HA nella CLI

Lo stato HA di ciascuna istanza è confermato anche nella CLI di Firepower, che è uguale allo stato di ASA.

Eseguire  show running-config failover  e  show failover  il comando per confermare lo stato HA di FTD1_FTD01 (istanza primaria01).

// confrim HA status of FTD1_FTD01 (Instance01 of Primary Device)
> show running-config failover 
failover
failover lan unit primary
failover lan interface ha_link Ethernet1/4
failover replication http
failover link ha_link Ethernet1/4
failover interface ip ha_link 192.168.90.1 255.255.255.0 standby 192.168.90.2

> show failover 
Failover On 
Failover unit Primary
Failover LAN Interface: ha_link Ethernet1/4 (up)
......
This host: Primary - Active  <---- Instance01 of FPR01 is Active
Interface diagnostic (192.168.80.1): Normal (Monitored)
Interface inside (192.168.10.254): Normal (Monitored)
Interface outside (192.168.20.254): Normal (Monitored)
......
Other host: Secondary - Standby Ready  <---- Instance01 of FPR02 is Standby
Interface diagnostic (192.168.80.2): Normal (Monitored)
Interface inside (192.168.10.253): Normal (Monitored)
Interface outside (192.168.20.253): Normal (Monitored)

Eseguire  show running-config failover  e  show failover  il comando per confermare lo stato HA di FTD1_FTD11 (istanza primaria02).

// confrim HA status of FTD1_FTD11 (Instance02 of Primary Device)
> show running-config failover 
failover
failover lan unit primary
failover lan interface ha_link Ethernet1/8
failover replication http
failover link ha_link Ethernet1/8
failover interface ip ha_link 192.168.91.1 255.255.255.0 standby 192.168.91.2

> show failover 
Failover On 
Failover unit Primary
Failover LAN Interface: ha_link Ethernet1/8 (up)
......
This host: Primary - Active  <---- Instance02 of FPR01 is Active
Interface diagnostic (192.168.81.1): Normal (Monitored)
Interface inside (192.168.30.254): Normal (Monitored)
Interface outside (192.168.40.254): Normal (Monitored)
......
Other host: Secondary - Standby Ready  <---- Instance02 of FPR02 is Standby
Interface diagnostic (192.168.81.2): Normal (Monitored)
Interface inside (192.168.30.253): Normal (Monitored)
Interface outside (192.168.40.253): Normal (Monitored)

Eseguire  show running-config failover  e  show failover  il comando per confermare lo stato HA di FTD2_FTD02 (Istanza secondaria01).

// confrim HA status of FTD2_FTD02 (Instance01 of Secondary Device)
> show running-config failover 
failover
failover lan unit secondary
failover lan interface ha_link Ethernet1/4
failover replication http
failover link ha_link Ethernet1/4
failover interface ip ha_link 192.168.90.1 255.255.255.0 standby 192.168.90.2

> show failover 
Failover On 
Failover unit Secondary
Failover LAN Interface: ha_link Ethernet1/4 (up)
......
This host: Secondary - Standby Ready  <---- Instance01 of FPR02 is Standby
Interface diagnostic (192.168.80.2): Normal (Monitored)
Interface inside (192.168.10.253): Normal (Monitored)
Interface outside (192.168.20.253): Normal (Monitored)
......
Other host: Primary - Active <---- Instance01 of FPR01 is Active
Active time: 31651 (sec)
slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.18(3)53) status (Up Sys)
Interface diagnostic (192.168.80.1): Normal (Monitored)
Interface inside (192.168.10.254): Normal (Monitored)
Interface outside (192.168.20.254): Normal (Monitored)

Eseguire  show running-config failover  e  show failover  il comando per confermare lo stato HA di FTD2_FTD12 (Istanza secondaria02).

// confrim HA status of FTD2_FTD12 (Instance02 of Secondary Device)
> show running-config failover 
failover
failover lan unit secondary
failover lan interface ha_link Ethernet1/8
failover replication http
failover link ha_link Ethernet1/8
failover interface ip ha_link 192.168.91.1 255.255.255.0 standby 192.168.91.2

> show failover 
Failover On 
Failover unit Secondary
Failover LAN Interface: ha_link Ethernet1/8 (up)
......
This host: Secondary - Standby Ready <---- Instance02 of FPR02 is Standby
Interface diagnostic (192.168.81.2): Normal (Monitored)
Interface inside (192.168.30.253): Normal (Monitored)
Interface outside (192.168.40.253): Normal (Monitored)
......
Other host: Primary - Active <---- Instance02 of FPR01 is Active
Active time: 31275 (sec)
slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.18(3)53) status (Up Sys)
Interface diagnostic (192.168.81.1): Normal (Monitored)
Interface inside (192.168.30.254): Normal (Monitored)
Interface outside (192.168.40.254): Normal (Monitored)

l. Conferma utilizzo licenze

Tutte le licenze vengono utilizzate per motore/chassis di sicurezza e non per istanza del contenitore.

·Le licenze di base vengono assegnate automaticamente: uno per motore/chassis di sicurezza.

·Le licenze per le funzionalità vengono assegnate manualmente a ciascuna istanza, ma si utilizza solo una licenza per ogni motore/chassis di protezione delle funzionalità. Per una licenza per una funzionalità specifica, è sufficiente un totale di 1 licenza, indipendentemente dal numero di istanze in uso.

Nella tabella viene mostrato come usare le licenze in questo documento.

PR01	Istanza01	Base, Filtro URL, Malware, minaccia
	Istanza02	Base, Filtro URL, Malware, minaccia
PR02	Istanza01	Base, Filtro URL, Malware, minaccia
	Istanza02	Base, Filtro URL, Malware, minaccia

Numero totale di licenze

Base	Filtro URL	Malware	Minaccia
2	2	2	2

Confermare il numero di licenze utilizzate nell'interfaccia utente grafica di FMC.

Conferma licenze usate

Verifica

Quando si verifica un crash su FTD1_FTD01 (Istanza primaria01), viene attivato il failover di Instance01 e le interfacce dati sul lato Standby rilevano l'indirizzo IP/MAC dell'interfaccia attiva originale, garantendo che il traffico (connessione FTP in questo documento) venga continuamente passato da Firepower.

Prima dell'arresto

Durante l'arresto anomalo

Failover Attivato

Passaggio 1. Avviare la connessione FTP da Win10-01 a Win10-02.

Passaggio 2. Eseguire il  show conn  comando per confermare che la connessione FTP è stabilita in entrambe le istanze di Instance01.

// Confirm the connection in Instance01 of FPR01
> show conn 
TCP outside 192.168.20.1:21 inside 192.168.10.1:49723, idle 0:00:11, bytes 529, flags UIO N1

// Confirm the connection in Instance01 of FPR02
> show conn
TCP outside 192.168.20.1:21 inside 192.168.10.1:49723, idle 0:00:42, bytes 530, flags UIO N1

Passaggio 3. Avviare la connessione FTP da Win10-03 a Win10-04.

Passaggio 4. Eseguire il  show conn  comando per confermare che la connessione FTP è stabilita in entrambe le istanze di Instance02.

// Confirm the connection in Instance02 of FPR01
> show conn
TCP outside 192.168.40.1:21 inside 192.168.30.1:52144, idle 0:00:02, bytes 530, flags UIO N1

// Confirm the connection in Instance02 of FPR02
> show conn
TCP outside 192.168.40.1:21 inside 192.168.30.1:52144, idle 0:00:13, bytes 530, flags UIO N1

Passaggio 5. Eseguire connect ftd FTD01e system support diagnostic-cliil comando per accedere alla CLI di ASA. Eseguire enablee  crashinfo force watchdog  il comando per forzare l'arresto anomalo di Instance01 nell'unità primaria/attiva.

Firepower-module1>connect ftd FTD01
> system support diagnostic-cli 
FTD01> enable
Password: 
FTD01#

FTD01# crashinfo force watchdog
reboot. Do you wish to proceed? [confirm]:

Passaggio 6. Il failover si verifica in Instance01 e la connessione FTP non viene interrotta. Eseguire show failovere show connil comando per confermare lo stato di Instance01 in FPR02.

> show failover 
Failover On 
Failover unit Secondary
Failover LAN Interface: ha_link Ethernet1/4 (up)
......
This host: Secondary - Active <---- Instance01 of FPR02 is Switching to Active
Interface diagnostic (192.168.80.1): Normal (Waiting)
Interface inside (192.168.10.254): Unknown (Waiting)
Interface outside (192.168.20.254): Unknown (Waiting)
......
Other host: Primary - Failed 
Interface diagnostic (192.168.80.2): Unknown (Monitored)
Interface inside (192.168.10.253): Unknown (Monitored)
Interface outside (192.168.20.253): Unknown (Monitored)

> show conn
TCP outside 192.168.20.1:21 inside 192.168.10.1:49723, idle 0:02:25, bytes 533, flags U N1

Passaggio 7. L'arresto anomalo si è verificato in Instance01 e non ha avuto effetto su Instance02. Eseguire show failovere show connil comando per confermare lo stato di Instance02.

> show failover 
Failover On 
Failover unit Secondary
Failover LAN Interface: ha_link Ethernet1/8 (up)
......
This host: Secondary - Standby Ready 
Interface diagnostic (192.168.81.2): Normal (Monitored)
Interface inside (192.168.30.253): Normal (Monitored)
Interface outside (192.168.40.253): Normal (Monitored)
......
Other host: Primary - Active 
Interface diagnostic (192.168.81.1): Normal (Monitored)
Interface inside (192.168.30.254): Normal (Monitored)
Interface outside (192.168.40.254): Normal (Monitored)

> show conn
TCP outside 192.168.40.1:21 inside 192.168.30.1:52144, idle 0:01:18, bytes 533, flags UIO N1

Passaggio 8. Passare a Dispositivi > Tutti in FMC. Confermare lo stato HA.

·FTD1_FTD01: Primario, Standby

·FTD2_FTD02 : Secondario, Attivo

Conferma stato HA

Passaggio 9. (Facoltativo)Dopo che Instance01 di FPR01 è tornata normale, è possibile modificare manualmente lo stato di HA. Questa operazione può essere eseguita dalla GUI di FMC o dalla CLI di FRP.

In FMC, selezionare Devices > All (Dispositivi > Tutti). Fare clic su Switch Active Peer per passare allo stato HA per FTD01_FTD02_HA.

Stato switch HA

Dalla CLI di Firepower, eseguire connect ftd FTD01e system support diagnostic-cliil comando per accedere alla CLI di ASA. Eseguire enablee  failover active  il comando per commutare HA per FTD01_FTD02_HA.

Firepower-module1>connect ftd FTD01
> system support diagnostic-cli 
Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.

firepower> enable
firepower# failover active

Risoluzione dei problemi

Per convalidare lo stato del failover, eseguire  show failover e  show failover history  il comando. 

> show failover 
Failover On 
Failover unit Secondary
Failover LAN Interface: ha_link Ethernet1/8 (up)
......
This host: Secondary - Standby Ready 
Interface diagnostic (192.168.81.2): Normal (Monitored)
Interface inside (192.168.30.253): Normal (Monitored)
Interface outside (192.168.40.253): Normal (Monitored)
......
Other host: Primary - Active 
Interface diagnostic (192.168.81.1): Normal (Monitored)
Interface inside (192.168.30.254): Normal (Monitored)
Interface outside (192.168.40.254): Normal (Monitored)

> show failover history 
==========================================================================
From State                 To State                   Reason
==========================================================================
07:26:52 UTC Jan 22 2024
Negotiation                Cold Standby               Detected an Active peer

07:26:53 UTC Jan 22 2024
Cold Standby               App Sync                   Detected an Active peer

07:28:14 UTC Jan 22 2024
App Sync                   Sync Config                Detected an Active peer

07:28:18 UTC Jan 22 2024
Sync Config                Sync File System           Detected an Active peer

07:28:18 UTC Jan 22 2024
Sync File System           Bulk Sync                  Detected an Active peer

07:28:33 UTC Jan 22 2024
Bulk Sync                  Standby Ready              Detected an Active peer

Eseguire il  debug fover  comando per abilitare il registro di debug del failover.

> debug fover 
  auth       Failover Cloud authentication
  cable      Failover LAN status
  cmd-exec   Failover EXEC command execution
  conn       Failover Cloud connection
  fail       Failover internal exception
  fmsg       Failover message
  ifc        Network interface status trace
  open       Failover device open
  rx         Failover Message receive
  rxdmp      Failover recv message dump (serial console only)
  rxip       IP network failover packet recv
  snort      Failover NGFW mode snort processing
  switch     Failover Switching status
  sync       Failover config/command replication
  synccount  Failover Sync Count
  tx         Failover Message xmit
  txdmp      Failover xmit message dump (serial console only)
  txip       IP network failover packet xmit
  verbose    Enable verbose logging
  verify     Failover message verify

Riferimento

https://www.cisco.com/c/en/us/support/docs/security/firepower-management-center/212699-configure-ftd-high-availability-on-firep.html
https://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/multi-Instance/multi-Instance_solution.html

https://www.cisco.com/c/en/us/support/docs/availability/high-availability/217763-troubleshoot-firepower-threat-defense-hi.html#toc-hId-46641497