Usando um balanceador de carga externo com um cluster do Threat Grid Appliance

• Introduction
• Prerequisites
• Componentes Utilizados 
• P. Você pode usar um balanceador de carga com dois ou mais dispositivos ThreatGrid não agrupados para fornecer alta ...

Introduction

Este documento descreve os requisitos relacionados ao uso de um balanceador de carga externo com um cluster do ThreatGrid Appliance

Prerequisites

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Cisco ThreatGrid Appliance 
• Cisco Firepower Management Center
• Dispositivos de segurança de e-mail e Web da Cisco

Configuração

P. É possível usar um balanceador de carga com dois ou mais dispositivos separados do ThreatGrid para fornecer alta disponibilidade/compartilhamento de recursos?

A. Os dispositivos ThreatGrid (TGA) configuram um nome de usuário API + chave exclusiva para cada dispositivo durante o processo de registro; portanto, o dispositivo final se registra apenas com um dos dispositivos TGA. Isso remove qualquer chance de opções de failover/balanceamento de recursos. 

No entanto, a partir do 2.4, o TGA oferece suporte a clustering que permite que os recursos do TGA gerenciem a carga através de vários TGAs associados para fornecer a funcionalidade de gerenciamento de recursos/HA nativamente dentro do próprio software. Como o cluster oferece a capacidade de processar uma solicitação por meio de qualquer dispositivo associado disponível, um dispositivo final pode se unir e usar todos os recursos no pool sem as preocupações de correspondência de chave de API em vários dispositivos ou através do uso de um dispositivo tipo Balanceador de Carga externo. Observe, no entanto, um Balanceador de carga externo pode ser adicionado em frente aos TGAs para fornecer uma arquitetura mais parecida com o Pool. 

Resumo:

Um balanceador de carga pode ser adicionado em frente a um cluster TG para facilitar um único nome de host para que os dispositivos se juntem e sejam direcionados para qualquer nó disponível. Esta é uma função opcional e não necessariamente necessária, pois o software TGA faz isso nativamente para qualquer solicitação enviada a qualquer membro do cluster.

     -Essa configuração exige o uso de um certificado SAN no qual o nome CN é o nome do host do balanceador de carga e as entradas de SAN contêm o nome do host do balanceador de carga e as entradas para cada um dos dispositivos TGA.

Vários TGAs separados atrás de um balanceador de carga funcionam com caveats

1. O LB deve passar o dispositivo final para o mesmo dispositivo final 100% do tempo devido ao registro 1 para 1/troca de chave que ocorre entre os dispositivos. Se um dispositivo alcançar o outro dispositivo TGA, a análise e as pesquisas falham, o que leva a problemas de envio em cascata.
2. Não seria possível failover para dispositivo TGA devido à troca de chaves 1 para 1.