按Sourcefire FirePOWER和虛擬裝置檢查鏈路聚合流量
簡介
鏈路聚合已由IEEE在802.3ad 802.3ax上標準化。鏈路聚合的常見實現包括EtherChannel、鏈路聚合控制協定(LACP)、埠聚合協定(PAgP)等。本文介紹Sourcefire裝置如何處理鏈路聚合流量。
必要條件
需求
思科建議您瞭解Sourcefire FirePOWER裝置型號、虛擬裝置型號、鏈路聚合控制協定(LACP)、EtherChannel和埠聚合協定(PAgP)。
支援鏈路聚合
Sourcefire裝置能夠與任何標準的鏈路聚合實施配合使用，因為鏈路聚合協定不會向資料包本身增加任何附加資料。在實施Sourcefire裝置和任何鏈路聚合協定之間沒有已知問題。
需要考慮的事項
在鏈路聚合部署中部署Sourcefire裝置時，需要考慮以下幾點：
- 如果Sourcefire裝置處於被動模式，並且同一檢測引擎正在監控EtherChannel的所有鏈路，則鏈路聚合配置無關緊要。
- 如果單個檢測引擎僅監控某些鏈路，或者裝置部署為內聯裝置，則建議配置鏈路匯聚以同時使用源和目標MAC地址。這樣可避免與非同步路由相關的效能問題。
- Snort能夠毫無問題地處理鏈路聚合流量。 但是，Snort將無法對交換機之間傳送的鏈路聚合控制資料包進行解碼。
- EtherChannel中的負載均衡方法基於每個流量而不是每個幀或資料包，因此這些流量是負載均衡的對象。在EtherChannel中配置「源IP和目標IP」可能會影響Sourcefire snort例項間的負載均衡。僅當執行雜湊操作導致可供選擇的IP集較有限時，才會出現這種情況。使用「源MAC和目的MAC」可能有助於負載分配。
已知問題
以下是LACP上的已知問題在5.3.1.1之前和之前的所有版本中報告：
在某些情況下，對訪問控制策略、入侵策略、網路發現策略或裝置配置應用更改，或者安裝入侵規則更新或更新漏洞資料庫(VDB)會導致系統在快速模式下使用鏈路聚合控制協定(LACP)的流量中斷。解決方法是在慢速模式下配置LACP鏈路。(112070)
相關檔案
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
09-Jul-2014 |
初始版本 |
意見