Configurar FTD que aglomera-se em FP9300 (os intra-chassis)

Transcrição

1 Configurar FTD que aglomera-se em FP9300 (os intra-chassis) Índice Introdução Pré-requisitos Requisitos Componentes Utilizados Informações de Apoio Configurar Diagrama de Rede A tarefa 1. cria relações necessárias para o conjunto FTD A tarefa 2. cria o conjunto FTD Conjunto do registro FTD da tarefa 3. a FMC A tarefa 4. configura subinterfaces do canal de porta em FMC A tarefa 5. verifica a conectividade básica Dispositivo secundário da supressão da tarefa 6. do conjunto A tarefa 7. adiciona o dispositivo para aglomerar-se Verificar Troubleshooting Informações Relacionadas Introdução Este original descreve como configurar e verificar a característica do conjunto no dispositivo FPR9300. Pré-requisitos Requisitos Não existem requisitos específicos para este documento. Componentes Utilizados As informações neste documento são baseadas nestas versões de software e hardware: Corredor da ferramenta de segurança de Cisco FirePOWER (4.95) Defesa da ameaça de FirePOWER (FTD) que executa (construção 1213) Centro de gerenciamento de FireSIGHT (FMC) sendo executado (construção 1023) Tempo da conclusão do laboratório: 1 hora. As informações neste documento foram criadas a partir de dispositivos em um ambiente de

2 laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se sua rede está viva, assegure-se de que você compreenda o impacto potencial do comando any. Informações de Apoio No FPR9300 com dispositivo FTD, você pode configurar os intra-chassis que aglomeram-se em todas as versões suportadas. a aglomeração Inter-chassing foi introduzida em 6.2. O canal de porta 48 é criado como um link do conjunto-controle. Para os intra-chassis que aglomeram-se, este link utiliza o backplane de FirePOWER 9300 para comunicações do conjunto. As relações dos dados individuais não são apoiadas, à excecpção de uma interface de gerenciamento. As interfaces de gerenciamento são atribuídas a todas as unidades no conjunto. Configurar Diagrama de Rede A tarefa 1. cria relações necessárias para o conjunto FTD Exigência da tarefa: Crie um conjunto, uma interface de gerenciamento e uma interface de dados do canal de porta. Solução: Etapa 1. Crie a interface de dados do canal de porta. A fim criar uma relação nova, você tem que registrar no gerente do chassi FPR9300 e navegar à aba das relações. Seleto adicionar o Canal de porta e crie uma relação de Canal de porta nova com estes

3 parâmetros: Canal de porta ID 5 Tipo Dados Enable Yes Membro ID Ethernet1/3, Ethernet 1/4 Selecione ESTÁ BEM para salvar a configuração segundo as indicações da imagem. Etapa 2. Crie a interface de gerenciamento. Nas relações catalogue, escolha a relação, clique sobre Edit e configurar o tipo relação do Gerenciamento. Clique a APROVAÇÃO para salvar a configuração segundo as indicações da imagem.

4 Etapa 3. Crie a interface de link do Conjunto-controle. Clique sobre o botão do Canal de porta Add e crie uma relação de Canal de porta nova com estes parâmetros e segundo as indicações da imagem. Canal de porta ID 48 Tipo Conjunto Enable Yes Membro ID -

5 A tarefa 2. cria o conjunto FTD Exigência da tarefa: Crie uma unidade de conjunto FTD. Solução: Etapa 1. Navegue aos dispositivos lógicos e clique sobre o botão do dispositivo Add. Crie o FTD que aglomera-se como segue: Nome de dispositivo FTD_cluster Molde Defesa da ameaça de Cisco FirePOWER Versão da imagem Modo de dispositivo Conjunto A fim adicionar o dispositivo, APROVAÇÃO do clique segundo as indicações da imagem.

6 Etapa 2. Configurar e distribua o conjunto FTD. Depois que você cria um dispositivo FTD, você está reorientado ao indicador do nome do dispositivo do fornecimento. Clique sobre o ícone do dispositivo para começar a configuração segundo as indicações da imagem. Configurar a aba da informação de cluster FTD com estes ajustes e segundo as indicações da imagem. Aglomere a chave Nome do grupo do conjunto Interface de gerenciamento cisco FTD_cluster Ethernet1/1

7 Configurar a aba dos ajustes FTD com estes ajustes e segundo as indicações da imagem. Chave do registro cisco Senha Admin123 IP do centro de gerenciamento de FirePOWER Domínios da busca cisco.com Modo de firewall Roteado Servidores DNS Hostname totalmente qualificado ksec-fpr9k cisco.com Relação de Eventing Nenhum

8 Configurar a aba da informação da relação FTD com estes ajustes e segundo as indicações da imagem. Tipo de endereço IPv4 somente Módulo 1 da Segurança IP de gerenciamento Máscara de rede Gateway Módulo 2 da Segurança IP de gerenciamento Máscara de rede Gateway Módulo 3 da Segurança IP de gerenciamento Máscara de rede Gateway

9 Aceite o acordo na aba do acordo e clique a APROVAÇÃO segundo as indicações da imagem.

10 Etapa 3. Atribua interfaces de dados a FTD. Expanda a área de portas dos dados e clique sobre cada relação que você quer atribuir a FTD. Após a conclusão, selecione a salvaguarda para criar um conjunto FTD segundo as indicações da imagem.

11 Espere por alguns minutos pelo conjunto a ser distribuído, depois do qual a eleição mestra da unidade ocorre. Verificação: Do FPR9300 GUI segundo as indicações da imagem. Do FPR9300 CLI FPR9K-1-A# FPR9K-1-A# scope ssa FPR9K-1-A /ssa # show app-instance Application Name Slot ID Admin State Operational State Running Version Startup Version Cluster Oper State ftd 1 Enabled Online In Cluster ftd 2 Enabled Online In Cluster ftd 3 Enabled Online In Cluster Da LINA (ASA) CLI firepower# show cluster info Cluster FTD_cluster: On Interface mode: spanned This is "unit-1-1" in state MASTER ID : 0 Version : 9.6(1) Serial No.: FLM19216KK6 CCL IP : CCL MAC : 0015.c f Last join : 21:51:03 CEST Aug Last leave: N/A Other members in the cluster: Unit "unit-1-3" in state SLAVE ID : 1 Version : 9.6(1) Serial No.: FLM19206H7T CCL IP : CCL MAC : 0015.c f

12 Last join : 21:51:05 CEST Aug Last leave: N/A Unit "unit-1-2" in state SLAVE ID : 2 Version : 9.6(1) Serial No.: FLM19206H71 CCL IP : CCL MAC : 0015.c f Last join : 21:51:30 CEST Aug Last leave: N/A firepower# cluster exec show cluster interface-mode cluster interface-mode spanned unit-1-3:************************************************************* cluster interface-mode spanned unit-1-2:************************************************************* cluster interface-mode spanned firepower# firepower# cluster exec show cluster history ========================================================================== From State To State Reason ========================================================================== 21:49:25 CEST Aug DISABLED DISABLED Disabled at startup 21:50:18 CEST Aug DISABLED ELECTION Enabled from CLI 21:51:03 CEST Aug ELECTION MASTER_POST_CONFIG Enabled from CLI 21:51:03 CEST Aug MASTER_POST_CONFIG MASTER Master post config done and waiting for ntfy ========================================================================== unit-1-3:************************************************************* ========================================================================== From State To State Reason ========================================================================== 21:49:44 CEST Aug DISABLED DISABLED Disabled at startup 21:50:37 CEST Aug DISABLED ELECTION Enabled from CLI 21:50:37 CEST Aug :50:41 CEST Aug :50:41 CEST Aug :50:46 CEST Aug

13 21:50:46 CEST Aug :50:51 CEST Aug :50:51 CEST Aug :50:56 CEST Aug :50:56 CEST Aug :51:01 CEST Aug :51:01 CEST Aug :51:04 CEST Aug ONCALL SLAVE_COLD Received cluster control message 21:51:04 CEST Aug SLAVE_COLD SLAVE_APP_SYNC Client progression done 21:51:05 CEST Aug SLAVE_APP_SYNC SLAVE_CONFIG Slave application configuration sync done 21:51:17 CEST Aug SLAVE_CONFIG SLAVE_BULK_SYNC Configuration replication finished 21:51:29 CEST Aug SLAVE_BULK_SYNC SLAVE Configuration replication finished ========================================================================== unit-1-2:************************************************************* ========================================================================== From State To State Reason ========================================================================== 21:49:24 CEST Aug DISABLED DISABLED Disabled at startup 21:50:16 CEST Aug DISABLED ELECTION Enabled from CLI 21:50:17 CEST Aug :50:21 CEST Aug :50:21 CEST Aug :50:26 CEST Aug :50:26 CEST Aug

14 21:50:31 CEST Aug :50:31 CEST Aug :50:36 CEST Aug :50:36 CEST Aug :50:41 CEST Aug :50:41 CEST Aug :50:46 CEST Aug :50:46 CEST Aug :50:51 CEST Aug :50:51 CEST Aug :50:56 CEST Aug :50:56 CEST Aug :51:01 CEST Aug :51:01 CEST Aug :51:06 CEST Aug :51:06 CEST Aug :51:12 CEST Aug :51:12 CEST Aug :51:17 CEST Aug :51:17 CEST Aug :51:22 CEST Aug

15 21:51:22 CEST Aug :51:27 CEST Aug :51:27 CEST Aug :51:30 CEST Aug ONCALL SLAVE_COLD Received cluster control message 21:51:30 CEST Aug SLAVE_COLD SLAVE_APP_SYNC Client progression done 21:51:31 CEST Aug SLAVE_APP_SYNC SLAVE_CONFIG Slave application configuration sync done 21:51:43 CEST Aug SLAVE_CONFIG SLAVE_BULK_SYNC Configuration replication finished 21:51:55 CEST Aug SLAVE_BULK_SYNC SLAVE Configuration replication finished ========================================================================== firepower# Conjunto do registro FTD da tarefa 3. a FMC Exigência da tarefa: Adicionar os dispositivos lógicos ao FMC e agrupe-o então em um conjunto. Solução: Etapa 1. Adicionar dispositivos lógicos ao FMC. O log no FMC e navega à aba dos dispositivos > do Gerenciamento de dispositivos e o clique adiciona o dispositivo. Adicionar o primeiro dispositivo lógico com os ajustes como mencionado na imagem. Clique sobre o registro para começar o registro. Depois que a primeira unidade foi registrada, repita as mesmas etapas para as duas unidades seguintes segundo as indicações da imagem.

16 A verificação é segundo as indicações da imagem. Etapa 2. Agrupe as unidades a um conjunto. Navegue aos dispositivos > ao Gerenciamento de dispositivos e selecione o botão do conjunto do > Add adicionar. Escolha a unidade primária e encha o campo de nome. Selecione o botão Add segundo as indicações da imagem.

17 A verificação é segundo as indicações da imagem. A tarefa 4. configura subinterfaces do canal de porta em FMC Exigência da tarefa: Configurar subinterfaces para a interface de dados do canal de porta. Solução: Etapa 1. Do FMC GUI, selecione o botão Edit de FTD_cluster. Navegue à aba das relações e clique sobre adicionar conecta > relação do sub segundo as indicações da imagem.

18 Configurar a primeira secundário-relação com estes detalhes. Selecione ESTÁ BEM para aplicar as mudanças e segundo as indicações das imagens. Nome Interna Tab geral Interface Port-channel5 Secundário-relação ID 201 ID da VLAN 201 Aba do IPv4 Tipo IP Use o IP Estático IP Address /24

19 Configurar a segunda secundário-relação com estes detalhes. Nome Externa Tab geral Interface Port-channel5 Secundário-relação ID 210 ID da VLAN 210 Aba do IPv4 Tipo IP Use o IP Estático IP Address /24 APROVAÇÃO do clique para criar a secundário-relação. Clique a salvaguarda e distribua então mudanças ao FTD_cluster segundo as indicações da imagem. Verificação:

20 A tarefa 5. verifica a conectividade básica Exigência da tarefa: Crie captações e verifique a Conectividade entre dois VM. Solução: Etapa 1. Crie captações em todas as unidades de conjunto. Navegue a LINA (ASA) CLI da unidade mestra e crie captações para as interfaces internas e externas. firepower# firepower# cluster exec capture capi interface inside match icmp any any unit-1-1(local):****************************************************** unit-1-3:************************************************************* unit-1-2:************************************************************* firepower# firepower# cluster exec capture capo interface outside match icmp any any unit-1-1(local):****************************************************** unit-1-3:************************************************************* unit-1-2:************************************************************* firepower# Verificação: firepower# cluster exec show capture unit-1-1(local):****************************************************** capture capi type raw-data interface Inside [Capturing - 0 bytes] match icmp any any capture capo type raw-data interface Outside [Capturing - 0 bytes] match icmp any any unit-1-3:************************************************************* capture capi type raw-data interface Inside [Capturing - 0 bytes]

21 match icmp any any capture capo type raw-data interface Outside [Capturing - 0 bytes] match icmp any any unit-1-2:************************************************************* capture capi type raw-data interface Inside [Capturing - 0 bytes] match icmp any any capture capo type raw-data interface Outside [Capturing - 0 bytes] match icmp any any firepower# Etapa 2. Faça o teste de ping do VM1 ao VM2. Faça o teste com 4 pacotes. Verifique a captação output após o teste: firepower# cluster exec show capture unit-1-1(local):****************************************************** capture capi type raw-data interface Inside [Capturing - 0 bytes] match icmp any any capture capo type raw-data interface Outside [Capturing - 0 bytes] match icmp any any unit-1-3:************************************************************* capture capi type raw-data interface Inside [Capturing bytes] match icmp any any capture capo type raw-data interface Outside [Capturing bytes] match icmp any any unit-1-2:************************************************************* capture capi type raw-data interface Inside [Capturing - 0 bytes] match icmp any any capture capo type raw-data interface Outside [Capturing - 0 bytes] match icmp any any firepower# Execute o comando a fim verificar a captação output na unidade específica: firepower# cluster exec unit unit-1-3 show capture capi 8 packets captured 1: 12:58: Q vlan#201 P > : icmp: echo request 2: 12:58: Q vlan#201 P > : icmp: echo reply 3: 12:58: Q vlan#201 P > : icmp: echo request 4: 12:58: Q vlan#201 P > : icmp: echo reply 5: 12:58: Q vlan#201 P > : icmp: echo request 6: 12:58: Q vlan#201 P > : icmp: echo reply 7: 12:58: Q vlan#201 P > : icmp: echo request 8: 12:58: Q vlan#201 P > : icmp: echo reply 8 packets shown firepower# cluster exec unit unit-1-3 show capture capo 8 packets captured

22 1: 12:58: Q vlan#210 P > : icmp: echo request 2: 12:58: Q vlan#210 P > : icmp: echo reply 3: 12:58: Q vlan#210 P > : icmp: echo request 4: 12:58: Q vlan#210 P > : icmp: echo reply 5: 12:58: Q vlan#210 P > : icmp: echo request 6: 12:58: Q vlan#210 P > : icmp: echo reply 7: 12:58: Q vlan#210 P > : icmp: echo request 8: 12:58: Q vlan#210 P > : icmp: echo reply 8 packets shown firepower# Depois que você termina esta tarefa, suprima das captações com o comando seguinte: firepower# cluster exec no capture capi unit-1-1(local):****************************************************** unit-1-3:************************************************************* unit-1-2:************************************************************* firepower# cluster exec no capture capo unit-1-1(local):****************************************************** unit-1-3:************************************************************* unit-1-2:************************************************************* Etapa 3. Transfira um arquivo do VM2 ao VM1. O VM1 PRE-foi configurado como um servidor FTP, VM2 como um cliente de FTP. Crie captações novas com o estes: firepower# cluster exec capture capi interface inside match ip host host unit-1-1(local):****************************************************** unit-1-3:************************************************************* unit-1-2:************************************************************* firepower# cluster exec capture capo interface outside match ip host host unit-1-1(local):****************************************************** unit-1-3:************************************************************* unit-1-2:************************************************************* Transfira o arquivo do VM2 ao VM1, com o uso do cliente de FTP.

23 Verifique o show conn output: firepower# cluster exec show conn all unit-1-1(local):****************************************************** 20 in use, 21 most used Cluster: fwd connections: 0 in use, 2 most used dir connections: 0 in use, 52 most used centralized connections: 0 in use, 6 most used TCP Outside :49175 Inside :21, idle 0:00:32, bytes 665, flags UIOeN UDP cluster :49495 NP Identity Ifc :49495, idle 0:00:00, bytes , flags - TCP cluster :10844 NP Identity Ifc :38296, idle 0:00:33, bytes 5496, flags UI. TCP cluster :59588 NP Identity Ifc :10850, idle 0:00:33, bytes 132, flags UO unit-1-3:************************************************************* 12 in use, 16 most used Cluster: fwd connections: 0 in use, 4 most used dir connections: 1 in use, 10 most used centralized connections: 0 in use, 0 most used TCP Outside :49175 Inside :21, idle 0:00:34, bytes 0, flags y TCP cluster :10851 NP Identity Ifc :48493, idle 0:00:52, bytes 224, flags UI.. TCP cluster :64070 NP Identity Ifc :10847, idle 0:00:11, bytes 806, flags UO unit-1-2:************************************************************* 12 in use, 15 most used Cluster: fwd connections: 0 in use, 2 most used dir connections: 0 in use, 3 most used centralized connections: 0 in use, 0 most used TCP cluster :10851 NP Identity Ifc :64136, idle 0:00:53, bytes 224, flags UI.. TCP cluster :15859 NP Identity Ifc :10847, idle 0:00:11, bytes 807, flags UO Mostre a captação output: firepower# cluster exec show cap unit-1-1(local):****************************************************** capture capi type raw-data interface Inside [Buffer Full bytes] match ip host host capture capo type raw-data interface Outside [Buffer Full bytes] match ip host host unit-1-3:************************************************************* capture capi type raw-data interface Inside [Buffer Full bytes] match ip host host capture capo type raw-data interface Outside [Buffer Full bytes] match ip host host

24 unit-1-2:************************************************************* capture capi type raw-data interface Inside [Capturing - 0 bytes] match ip host host capture capo type raw-data interface Outside [Capturing - 0 bytes] match ip host host Dispositivo secundário da supressão da tarefa 6. do conjunto Exigência da tarefa: O log no FMC e suprime da unidade secundária do conjunto. Solução: Etapa 1. O log no FMC e navega ao dispositivo > ao Gerenciamento de dispositivos. Note: Não suprima do membro se é ainda uma saudável parte do conjunto de acordo com o gerente do chassi de FirePOWER; mesmo que você a remova do centro de gerenciamento, é ainda um operacional parte do conjunto, que pode causar problemas, se torna-se a unidade primária e o gerente do chassi de FirePOWER podem já não controlá-lo. Clique o ícone do lixo ao lado da unidade secundária segundo as indicações da imagem. A janela de confirmação aparece. Selecione sim para confirmar segundo as indicações da imagem. Verificação:

25 Do FMC segundo as indicações da imagem. Dos FXO CLI. FPR9K-1-A# scope ssa FPR9K-1-A /ssa # show app-instance Application Name Slot ID Admin State Operational State Running Version Startup Version Cluster Oper State ftd 1 Enabled Online In Cluster ftd 2 Enabled Online In Cluster ftd 3 Enabled Online In Cluster Da LINA (ASA) CLI. firepower# show cluster info Cluster FTD_cluster: On Interface mode: spanned This is "unit-1-1" in state MASTER ID : 0 Version : 9.6(1) Serial No.: FLM19216KK6 CCL IP : CCL MAC : 0015.c f Last join : 21:51:03 CEST Aug Last leave: N/A Other members in the cluster: Unit "unit-1-3" in state SLAVE ID : 1 Version : 9.6(1) Serial No.: FLM19206H7T CCL IP : CCL MAC : 0015.c f Last join : 21:51:05 CEST Aug Last leave: N/A Unit "unit-1-2" in state SLAVE ID : 2 Version : 9.6(1) Serial No.: FLM19206H71 CCL IP : CCL MAC : 0015.c f Last join : 21:51:30 CEST Aug Last leave: N/A firepower# Note: O dispositivo foi removido registro do FMC mas é ainda funções no FPR9300. A tarefa 7. adiciona o dispositivo para aglomerar-se Exigência da tarefa:

26 O log no FMC e adiciona um dispositivo de volta ao conjunto. Solução: Etapa 1. O Shell Seguro (ssh) à interface de gerenciamento FTD e navega a CLISH CLI. Depois que você suprime do dispositivo do FMC a configuração dos gerentes esteve suprimida do FTD. > show managers No managers configured. A fim adicionar a configuração dos gerentes execute o comando: > configure manager add cisco Manager successfully configured. Please make note of reg_key as this will be required while adding Device in FMC. Verificação: > show managers Host : Registration Key : **** Registration : pending RPC Status : Type : Manager Host : Registration : Pending > Etapa 2. O log no FMC GUI e registra o dispositivo. Navegue aos dispositivos > ao Gerenciamento de dispositivos e clique o botão do dispositivo do > Add adicionar. Adicionar o dispositivo lógico para trás segundo as indicações da imagem.

27 Etapa 3. Inclua o dispositivo ao conjunto. Depois que o registro é feito, clique sobre o botão do conjunto do > Add Add. Escolha a unidade primária, o nome de grânulos auto-é enchido e todos os dispositivos secundários elegíveis são adicionados à caixa dos dispositivos secundários, que inclui a unidade que nova você apenas adicionou ao centro de gerenciamento segundo as indicações da imagem.

28 A verificação é segundo as indicações da imagem. Verificar Use esta seção para confirmar se a sua configuração funciona corretamente. A verificação é terminada e coberta nas tarefas individuais. Troubleshooting Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração. Informações Relacionadas Todas as versões do manual de configuração do centro de gerenciamento de Cisco FirePOWER podem ser encontradas aqui: Todas as versões dos guias do gerente e de configuração de CLI do chassi FXO podem ser encontradas aqui:

29 O centro de assistência técnica (TAC) global de Cisco recomenda fortemente este guia visual para o conhecimento prático detalhado em tecnologias de segurança da próxima geração de Cisco FirePOWER, incluindo esses mencionados neste artigo: Para toda a configuração e TechNotes do Troubleshooting que se refere Tecnologias de FirePOWER. Suporte Técnico e Documentação - Cisco Systems