Informationen zur Portzuweisung auf dynamischer PAT für FTD-Cluster 7.0

Download-Optionen

  • PDF     (1.0 MB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (885.6 KB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (767.7 KB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:10. August 2023
Dokument-ID:220720

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

    Einleitung

    In diesem Dokument wird beschrieben, wie die auf Port-Blöcken basierende Verteilung in Dynamic PAT für Firewall-Cluster nach Version 7.0 und höher funktioniert.

    Voraussetzungen

    Anforderungen

    Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

    • Network Address Translation (NAT) auf der Cisco Secure Firewall

    Verwendete Komponenten

    Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

    • FirePOWER Management Center 7.3.0
    • Firepower Threat Defense 7.2.0

    Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

    Konfigurieren

    Netzwerkdiagramm

    Logical TopologyLogische Topologie

    Schnittstellenkonfiguration

    • Konfigurieren Sie den internen Schnittstellenmember der internen Zone.

    Konfigurieren Sie beispielsweise eine Schnittstelle mit der IP-Adresse 192.168.10.254, und nennen Sie sie Inside. Diese interne Schnittstelle ist das Gateway für das interne Netzwerk 192.168.10.0/24.

    Configure Interface and Name it Inside.

    Edit Ether Channel Interface

    • Konfigurieren Sie den externen Schnittstellenmember der externen Zone.

    Konfigurieren Sie beispielsweise eine Schnittstelle mit der IP-Adresse 10.10.10.254, und nennen Sie sie Outside (Außerhalb). Diese externe Schnittstelle ist mit externen Netzwerken verbunden.

    Configure Interface and Name it Outside.

    Edit Ether Channel Interface

    Konfiguration von Netzwerkobjekten

    Obwohl Cluster-PAT mit der Ausgangsschnittstelle oder sogar einer einzelnen IP-Adresse zusammenarbeiten kann, um den gesamten Datenverkehr abzubilden, empfiehlt es sich, einen IP-Pool mit mindestens der gleichen Anzahl von IPs wie FTD-Einheiten im Cluster zu verwenden. 

    Die für Real- und zugeordnete IP-Adressen verwendeten Netzwerkobjekte sind beispielsweise Inside-Network und Mapped-IPGroup.

    Inside-Network stellt das interne Netzwerk 192.168.10.0/24 dar. 

    New Network Object for Inside-Network

    Mapped-IPGroup (bestehend aus Mapped-IP-1, 10.10.10.100 und Mapped-IP-2, 10.10.10.101) dient der Zuordnung des gesamten internen Datenverkehrs zur Außenzone. 

    Edit Network Object – Mapped-IP-1

    Edit Network Object – Mapped-IP-2

    Edit Network Object

    Dynamische PAT-Konfiguration

    • Konfigurieren Sie eine dynamische NAT-Regel für ausgehenden Datenverkehr. Diese NAT-Regel ordnet das Subnetz des internen Netzwerks dem externen NAT-Pool zu.

    Beispielsweise wird der Inside-Zone-zu-Outside-Zone-Datenverkehr vom Inside-Network in den Mapped-IPGroup-Pool umgewandelt.

    Add NAT Rule

    NAT configuration screen 2

    NAT configuration screen 3

    Auto NAT Rules

    Abschließende Konfiguration

    Final Lab SetupAbschließende Einrichtung

    Überprüfung

    Nutzen Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

    Überprüfung der IP-Schnittstelle und der NAT-Konfiguration

    > show ip
    System IP Addresses:
    Interface Name IP address Subnet mask Method
    Port-channel1 Inside 192.168.10.254 255.255.255.0 manual
    Port-channel2 Outside 10.10.10.254 255.255.255.0 manual
    > show running-config nat
    !
    object network Inside-Network
    nat (Inside,Outside) dynamic pat-pool Mapped_IPGroup

    Portblockzuweisung überprüfen

    Nach FirePOWER 7.0 stellt die verbesserte PAT-Portblockzuweisung sicher, dass die Steuereinheit Ports für das Zusammenführen von Knoten reserviert hält und nicht genutzte Ports proaktiv zurückfordert. So funktioniert die Portzuweisung:

    • Auf einem Cluster, der gerade hochgefahren wird, besitzt die Steuereinheit zunächst 50 % der Ports und der Rest ist reserviert.
    • Die Anzahl der Port-Blöcke pro Einheit wird angepasst, wenn weitere Knoten zum Cluster hinzugefügt werden.
    • Die Steuereinheit reserviert Port-Blöcke für (N+1)-Knoten, bis der Cluster voll ist. Die Cluster-Mitgliedergrenze wird durch dencluster-member-limit  Befehl definiert, der auf der Cluster-Gruppen-Konfigurationsebene konfiguriert wird.
    • Standardmäßig ist "cluster-member-limit" 16. 
      > show cluster info
      Cluster FTD-Cluster: On
      Interface mode: spanned
      Cluster Member Limit : 16
      [...]
    • Wenn die Anzahl der Cluster-Elemente den für konfigurierten Wert erreicht, werden  cluster-member-limitalle Port-Blöcke auf die Cluster-Elemente verteilt.

    Beispielsweise wird in einer Clustergruppe aus zwei Einheiten (N=2) mit einem Standardwert von 16 Clustergruppengrenzen beobachtet, dass die Portzuweisung für N+1 Mitglieder definiert ist, in diesem Fall 3. Dadurch bleiben einige Ports für die nächste Einheit reserviert, bis die maximale Cluster-Grenze erreicht ist.

    Some Ports Reserved for the Next Unit Until Maximum Cluster Limits is Reached - 1

    Some Ports Reserved for the Next Unit Until Maximum Cluster Limits is Reached – 2

    Reserve Code


    Darüber hinaus empfiehlt es sich, die so   cluster-member-limit  zu konfigurieren, dass sie der Anzahl der für die Cluster-Bereitstellung geplanten Einheiten entspricht. 

    Beispielsweise wird in einer aus zwei Einheiten (N=2) bestehenden Clustergruppe mit dem Wert der Cluster-Mitgliedergrenze von 2 beobachtet, dass die Portzuweisung gleichmäßig auf alle Cluster-Einheiten verteilt ist. Keiner der reservierten Ports bleibt übrig.

    None of the Reserved Ports are Left - 1

    None of the Reserved Ports are Left - 2

    Reserve Ports

    Überprüfung der Port-Blockreklamation

    • Immer wenn ein neuer Knoten zu einem Cluster hinzukommt oder diesen verlässt, müssen ungenutzte Ports und überschüssige Portblöcke aller Einheiten an die Steuereinheit freigegeben werden.
    • Wenn die Port-Blöcke bereits verwendet werden, werden die am wenigsten genutzten für die Rückgewinnung markiert.
    • Neue Verbindungen sind auf freigegebenen Port-Blöcken nicht zulässig. Sie werden bei Freigabe des letzten Ports an die Regelung abgegeben.

    Verify Port Block Reclamation

    Befehle für die Fehlerbehebung

    In diesem Abschnitt finden Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration.

    • Überprüfen Sie den konfigurierten Grenzwert für Cluster-Mitglieder:
    > show cluster info
    Cluster FTD-Cluster: On
    Interface mode: spanned
    Cluster Member Limit : 2 
    [...]

    > show running-config cluster
    cluster group FTD-Cluster
    key *****
    local-unit unit-2-1
    cluster-interface Port-channel48 ip 172.16.2.1 255.255.0.0
    cluster-member-limit 2 
    [...]
    • Zeigt eine Zusammenfassung der Port-Blöcke an, die auf die Einheiten im Cluster verteilt sind:
    > show nat pool cluster summary

    Summary of the Port Blocks Distribution Among the Units in the Cluster

    • Zeigt die aktuelle Zuweisung der Port-Blöcke pro PAT-Adresse zum Eigentümer und zur Sicherungseinheit an:
    > show nat pool cluster
    IP Outside:Mapped_IPGroup 10.10.10.100
    [1024-1535], owner unit-1-1, backup unit-2-1
    [1536-2047], owner unit-1-1, backup unit-2-1
    [2048-2559], owner unit-1-1, backup unit-2-1
    [2560-3071], owner unit-1-1, backup unit-2-1
    [...]
    IP Outside:Mapped_IPGroup 10.10.10.101
    [1024-1535], owner unit-1-1, backup unit-2-1
    [1536-2047], owner unit-1-1, backup unit-2-1
    [2048-2559], owner unit-1-1, backup unit-2-1
    [2560-3071], owner unit-1-1, backup unit-2-1
    [...]
    • Informationen zur Verteilung und Nutzung von Port-Blöcken anzeigen:
    > show nat pool detail
    TCP PAT pool Outside, address 10.10.10.100
            range 17408-17919, allocated 2 *
            range 27648-28159, allocated 2
    TCP PAT pool Outside, address 10.10.10.101
            range 17408-17919, allocated 1 *
            range 27648-28159, allocated 2
    [...]

    Zugehörige Informationen

    Revisionsverlauf

    Überarbeitung Veröffentlichungsdatum Kommentare
    1.0
    10-Aug-2023
    Erstveröffentlichung
    TAC Authored

    Beiträge von Cisco Ingenieuren

    • Benjamin Cabrera Romero
      Cisco Technical Consulting Engineer

    War dieses Dokument hilfreich?

    FeedbackFeedback

    Cisco kontaktieren

    Dieses Dokument gilt für folgende Produkte.