Entender a Alocação de Portas no PAT Dinâmico para o Cluster FTD 7.0

Introdução

Este documento descreve como a distribuição baseada em bloco de porta opera no PAT dinâmico para o cluster de firewall após a versão 7.0 e posterior.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Network Address Translation (NAT) no Cisco Secure Firewall

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Firepower Management Center 7.3.0
• Firepower Threat Defense 7.2.0

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Configurar

Diagrama de Rede

Topologia lógica

Configuração da interface

• Configure o membro da interface Inside da Zona Interna.

Por exemplo, configure uma interface com o endereço IP 192.168.10.254 e nomeie-a Inside. Essa interface interna é o Gateway para a rede interna 192.168.10.0/24.

• Configure o membro da interface Externa da Zona Externa.

Por exemplo, configure uma interface com o endereço IP 10.10.10.254 e nomeie-a como Outside. Essa interface externa está voltada para redes externas.

Configuração de objeto de rede

Embora o PAT do cluster possa trabalhar com a interface de saída ou mesmo com um único IP para mapear todo o tráfego, a prática recomendada é usar um pool de IPs com pelo menos o mesmo número de IPs que o número de unidades de FTD no cluster. 

Por exemplo, os objetos de rede usados para endereços IP reais e mapeados são Inside-Network e Mapped-IPGroup, respectivamente.

Inside-Network representa a rede interna 192.168.10.0/24. 

Mapped-IPGroup (feito de Mapped-IP-1 10.10.10.100 e Mapped-IP-2 10.10.10.101), é usado para mapear todo o tráfego interno para a Zona Externa. 

Configuração de PAT dinâmico

• Configure uma regra de NAT dinâmico para o tráfego de saída. Esta regra de NAT mapeia a sub-rede da rede interna para o pool de NAT externo.

Por exemplo, o tráfego de Zona Interna para Zona Externa de Rede Interna é convertido em Pool Mapped-IPGroup.

Configuração final

Configuração Final do Laboratório.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

Verificar a interface IP e a configuração do NAT

> show ip
System IP Addresses:
Interface Name IP address Subnet mask Method
Port-channel1 Inside 192.168.10.254 255.255.255.0 manual
Port-channel2 Outside 10.10.10.254 255.255.255.0 manual

> show running-config nat
!
object network Inside-Network
nat (Inside,Outside) dynamic pat-pool Mapped_IPGroup

Verificar Alocação de Bloco de Porta

Após o Firepower 7.0, a alocação de bloco de porta PAT aprimorada garante que a unidade de controle mantenha as portas na reserva para unir nós e recupere proativamente as portas não utilizadas. É assim que funciona a alocação de porta:

• Em um cluster que acaba de ser criado, a unidade de controle possui inicialmente 50% das portas e o restante é reservado.
• O número de blocos de porta possuídos por unidade é ajustado à medida que mais nós ingressam no cluster.
• A unidade de controle reserva blocos de porta para nós (N+1) até que o cluster esteja cheio. O limite de membros do cluster é definido pelo comandocluster-member-limit  , configurado no nível de configuração do grupo de clusters.
• Por padrão, cluster-member-limit é 16.

  > show cluster info
  Cluster FTD-Cluster: On
  Interface mode: spanned
  Cluster Member Limit : 16
  [...]
• Quando a quantidade de membros do cluster atinge o valor configurado com  cluster-member-limit, todos os blocos de porta são distribuídos entre os membros do cluster.

Por exemplo, em um grupo de cluster composto de duas unidades (N=2) com um valor padrão de limite de membro de cluster de 16, observa-se que a alocação de porta é definida para membros N+1, neste caso, 3. Isso deixa algumas portas reservadas para a próxima unidade até que o limite máximo de cluster seja atingido.

Além disso, é uma prática recomendada configurar o   cluster-member-limit  para corresponder ao número de unidades planejadas para a implantação do cluster. 

Por exemplo, em um grupo de cluster composto de duas unidades (N=2) com o valor do limite de membro de cluster de 2, observa-se que a alocação de porta é distribuída uniformemente em todas as unidades de cluster. Nenhuma das portas reservadas foi deixada.

Verificar Recuperação de Bloco de Porta

• Sempre que um novo nó ingressa ou sai de um cluster, as portas não utilizadas e os blocos de portas em excesso de todas as unidades devem ser liberados para a unidade de controle.
• Se os blocos de portas já estiverem sendo usados, os menos usados serão marcados para recuperação.
• Novas conexões não são permitidas em blocos de porta recuperados. Eles são liberados para a unidade de controle quando a última porta é limpa.

Comandos para Troubleshooting

Esta seção fornece informações que podem ser usadas para o troubleshooting da sua configuração.

• Verifique o valor de cluster-member-limit configurado:

> show cluster info
Cluster FTD-Cluster: On
Interface mode: spanned
Cluster Member Limit : 2 
[...]

> show running-config cluster
cluster group FTD-Cluster
key *****
local-unit unit-2-1
cluster-interface Port-channel48 ip 172.16.2.1 255.255.0.0
cluster-member-limit 2 
[...]

• Exiba um resumo da distribuição dos blocos de porta entre as unidades no cluster:

> show nat pool cluster summary

• Exiba a atribuição atual de blocos de porta por endereço PAT para o proprietário e a unidade de backup:

> show nat pool cluster
IP Outside:Mapped_IPGroup 10.10.10.100
[1024-1535], owner unit-1-1, backup unit-2-1
[1536-2047], owner unit-1-1, backup unit-2-1
[2048-2559], owner unit-1-1, backup unit-2-1
[2560-3071], owner unit-1-1, backup unit-2-1
[...]
IP Outside:Mapped_IPGroup 10.10.10.101
[1024-1535], owner unit-1-1, backup unit-2-1
[1536-2047], owner unit-1-1, backup unit-2-1
[2048-2559], owner unit-1-1, backup unit-2-1
[2560-3071], owner unit-1-1, backup unit-2-1
[...]

• Exibir informações relacionadas à distribuição e ao uso de blocos de porta:

> show nat pool detail
TCP PAT pool Outside, address 10.10.10.100
        range 17408-17919, allocated 2 *
        range 27648-28159, allocated 2
TCP PAT pool Outside, address 10.10.10.101
        range 17408-17919, allocated 1 *
        range 27648-28159, allocated 2
[...]

Informações Relacionadas

• Suporte técnico e downloads da Cisco