按Sourcefire FirePOWER和虚拟设备检查链路聚合流量
简介
链路聚合已由IEEE在802.3ad 802.3ax上标准化。链路聚合的常见实施包括EtherChannel、链路聚合控制协议(LACP)、端口聚合协议(PAgP)等。本文介绍Sourcefire设备如何处理链路汇聚流量。
先决条件
要求
思科建议您了解Sourcefire FirePOWER设备型号、虚拟设备型号、链路聚合控制协议(LACP)、EtherChannel和端口聚合协议(PAgP)的相关知识。
支持链路聚合
Sourcefire设备能够与任何标准链路聚合实施配合使用，因为链路聚合协议不会向数据包本身添加任何其他数据。实施Sourcefire设备与任何链路聚合协议之间没有已知问题。
注意事项
在链路聚合部署中部署Sourcefire设备时，需要考虑以下几点：
- 如果Sourcefire设备处于被动模式，并且EtherChannel的所有链路都由同一检测引擎监控，则链路聚合配置并不重要。
- 如果单个检测引擎仅监控某些链路，或者设备部署为内联设备，则建议将链路汇聚配置为使用源MAC地址和目标MAC地址。这将避免与异步路由相关的性能问题。
- Snort能够毫无问题地处理链路聚合流量。 但是，Snort将无法对交换机之间发送的链路聚合控制数据包进行解码。
- EtherChannel中的负载均衡方法基于每个流量而不是每个帧或数据包，因此这些流量是负载均衡的对象。在EtherChannel中配置“源IP和目标IP”可能会影响Sourcefire snort实例间的负载均衡。仅当执行的散列操作导致可供选择的IP集更有限时，才会出现这种情况。使用“源MAC和目标MAC”可能有助于负载分配。
已知问题
在低于5.3.1.1且包括5.3.1的所有版本中报告LACP上的以下已知问题：
在某些情况下，对访问控制策略、入侵策略、网络发现策略或设备配置应用更改，或者安装入侵规则更新或漏洞数据库(VDB)更新，会导致系统在快速模式下使用链路汇聚控制协议(LACP)的流量中断。解决方法是在慢速模式下配置LACP链路。(112070)
相关文档
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
1.0 |
09-Jul-2014 |
初始版本 |
反馈