Foro - Config y Trbl de Alta Disponibilidad en Cisco Secure Firewall

[Cisco Moderador]

Foro Ask Me Anything (del 11 al 19 de enero de 2024)

Este foro está dedicado a las preguntas relacionadas con el webinar "Configuración y Resolución de Problemas de Alta Disponibilidad en Cisco Secure Firewall", del pasado jueves 11 de enero de 2024. Revisen la grabación, envíenos sus dudas o comentarios, y compartan su experiencia. 
Nota: Favor de publicar su post como comentario aquí abajo a más tardar el 19 de enero de 2024. 

Publique su pregunta a continuación dando clic en "Responder"

(Las respuestas serán tratadas en función de la disponibilidad de los expertos)
¡ No olvide agradecer al experto dándole un voto de utilidad !

Documentación Ver el Video

---

Nuestros expertos

Oscar Montoya egresó de la Facultad de Ingeniería de la Universidad Nacional Autónoma de México (UNAM) de la carrera de Ingeniería en Telecomunicaciones. Se unió a Cisco en 2019 al equipo de Security Firewall como Ingeniero Consultor Técnico (TCE). Actualmente ocupa el cargo de Capitán del Equipo de Seguridad y continúa apoyando a los clientes y al equipo, impartiendo cursos así como asesorando escalamientos. Asimismo, Oscar participó en Cisco Live en el Technical Solutions Center (TSC), ha publicado documentación oficial en Cisco.com y colaborado en diversos proyectos.

Benjamín Cabrera es egresado del Instituto Politécnico Nacional (IPN) de México en Ingeniería en Comunicaciones y Electrónica. Se unió a Cisco en 2017 a través del programa CX Academy. Se especializó en Cisco Secure Firewall Adaptive Security Appliance (ASA) y Firepower Threat Defense (FTD), resolviendo problemas técnicos para los clientes y apoyando internamente al equipo. Luego de tres años se unió al equipo de Solution Support, donde actualmente es Ingeniero de Escalamiento para la tecnología Secure Firewall. Durante este tiempo Benjamín ha participado en diferentes programas de creación de contenidos y formación técnica para miembros en los centros para América.

Próximos Eventos Eventos Anteriores

Para obtener más información, visite los contenidos de la sección de Seguridad
Si usted tiene dudas o está experimentando problemas técnicos con alguno de los productos Cisco, publique su pregunta, solicite información o utilice el motor de búsqueda de la Comunidad de Cisco en español, antes de abrir un caso con el TAC.

[rortiznajera]

Se puede tener 2 cluster en alta disponibilidad, lo que pasa es que tengo por diseño dos cluster en un sitio pero quiero ver si se puede implementar redundancia entre estos dos cluster.

[Cesar Gustavo Lopez Zamarripa]

Hola @rortiznajera! 

Sí podemos tener dos unidades en un cluster. Que al estar en clustering, automáticamente tienes redundancia. Si se cae uno, la otra unidad va a tomar el tráfico de la unidad fallida. Si te refieres a dos clusters distintos o grupos, eso también sigue siendo posible. Tendrías todas las unidades dentro del mismo grupo para eso. Lo único que no se puede es configurar clustering y failover al mismo tiempo. Sin embargo, no necesitarías failover si ya tienes tus unidades en cluster para tener redundancia. Espero haber contestado lo que buscabas. Si necesitas más clarificación, déjamelo saber. 

[rortiznajera]

gracias por la respuesta, fue de mucha ayuda.

[Jimena Saez]

¡Muchas gracias a @becabrer, Oscar Montoya y @Cesar Gustavo Lopez Zamarripa por este gran evento!

Tenemos dos preguntas más que por alguna razón no fueron contestadas al final de la sesión, me permito compartirlas con ustedes para que nos apoyen a reponderlas:
1.- ¿Se pueden configurar MAC estáticas en la configuración del FailOver? - Oscar (min.18)
2.- Tengo en un cliente dos FMCs en HA, pero tenemos problema en que la configuración como NTP, snmp, radius no replica. Solo se queda en el FMc activo. - Luis R. (min.110)

[Cesar Gustavo Lopez Zamarripa]

1.- ¿Se pueden configurar MAC estáticas en la configuración del FailOver? - Oscar (min.18)

R - Sí se pueden configurar gracias a la funcionalidad de failover virtual MAC y como lo menciona Benjamín en la grabación, es incluso recomendable configurar estas direcciones estáticamente. También en la misma grabación Benjamín muestra como hacerlo. 

2.- Tengo en un cliente dos FMCs en HA, pero tenemos problema en que la configuración como NTP, snmp, radius no replica. Solo se queda en el FMc activo. - Luis R. (min.110)

R - La funcionalidad de HA en FMC solamente replica configuración de los dispositivos administrados y no replica protocolos o configuración referente al mismo FMC. En esta liga se pueden encontrar los elementos replicables:

https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/management-center/admin/710/management-center-admin-71/system-ha.html#id_52483

[rortiznajera]

Se puede manejar VRF en un mode de operacion transparente y manejar un contexto para cada VRF?

[becabrer]

Hola @rortiznajera! 

Si tu cuentas con un Secure Firewall ASA y el objetivo es mantener las tablas de ruteo separadas, puedes configurar multicontext y asi cada contexto usará su propia configuracion ruteo. En multicontext puedes tener firewalls en modo ruteo o transparente. Solo hay que confirmar que el modo que escojas cumpla con las necesidades. 

Por otra parte, si tu cuentas con un Secure Firewall Threat Defense, el uso de VRF (Virtual Routing and Forwarding) está soportado únicamente en modo de ruteo.