Sourcefire Firepower 및 가상 어플라이언스별 링크 집계 트래픽 검사

소개

링크 어그리게이션은 802.3ad 802.3ax에서 IEEE에 의해 표준화되었습니다. 링크 통합의 일반적인 구현으로는 EtherChannel, LACP(Link Aggregation Control Protocol), PAgP(Port Aggregation Protocol) 등이 있습니다. 이 문서에서는 Sourcefire 어플라이언스가 링크 집계 트래픽을 처리하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

Cisco에서는 Sourcefire Firepower 디바이스 모델, 가상 디바이스 모델, LACP(Link Aggregation Control Protocol), EtherChannel 및 PAgP(Port Aggregation Protocol)에 대해 알고 있는 것이 좋습니다.

링크 어그리게이션 지원

Sourcefire 어플라이언스는 표준 링크 집계 구현과 함께 작동할 수 있습니다. 링크 집계 프로토콜은 패킷 자체에 추가 데이터를 추가하지 않기 때문입니다. Sourcefire 어플라이언스의 구현과 모든 링크 어그리게이션 프로토콜 간에는 알려진 문제가 없습니다.

고려할 사항

링크 집계 구축에서 Sourcefire 어플라이언스를 구축할 때 다음 사항을 고려해야 합니다.

1. Sourcefire 어플라이언스가 패시브 모드에 있고 EtherChannel의 모든 링크가 동일한 탐지 엔진에 의해 모니터링되는 경우, Link Aggregation 컨피그레이션은 중요하지 않습니다.
2. 단일 탐지 엔진이 일부 링크만 모니터링하거나 디바이스가 인라인 디바이스로 구축되는 경우, 링크 어그리게이션은 소스 및 대상 MAC 주소를 모두 사용하도록 구성하는 것이 좋습니다. 그러면 비동기 라우팅과 관련된 성능 문제가 발생하지 않습니다.
3. Snort는 아무런 문제 없이 링크 집계 트래픽을 처리할 수 있습니다.  그러나 Snort는 스위치 간에 전송된 링크 어그리게이션 제어 패킷을 디코딩할 수 없습니다.
4. EtherChannel의 로드 밸런싱 방법은 각 프레임 또는 패킷이 아니라 각 트래픽 플로우를 기반으로 하므로 플로우가 로드 밸런싱됩니다. EtherChannel에서 "Source IP and Destination IP"의 컨피그레이션은 Sourcefire snort 인스턴스 간 로드 밸런싱에 영향을 줄 수 있습니다. 이는 해싱을 수행하면 선택할 수 있는 IP 세트가 더 제한된 경우에만 해당됩니다. "Source MAC and Destination MAC"을 사용하면 로드 분배에 도움이 될 수 있습니다.

알려진 문제

LACP에 대한 다음과 같은 알려진 문제는 5.3.1.1 이전의 모든 버전에서 보고됩니다.

액세스 제어 정책, 침입 정책, 네트워크 검색 정책 또는 디바이스 컨피그레이션에 변경 사항을 적용하거나, 침입 규칙 업데이트 또는 취약성 데이터베이스(VDB)의 업데이트를 설치하면 시스템이 고속 모드에서 LACP(Link Aggregation Control Protocol)를 사용하는 트래픽에 중단을 경험하는 경우가 있습니다. 이를 해결하려면 LACP 링크를 슬로우 모드로 구성합니다. (112070)

관련 설명서

• FireSIGHT System 버전 5.3.1.1 릴리스 정보