المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

التكوين

قالب Azure ARM

تطبيق الدالة

التطبيق المنطقي

الرسم التخطيطي للشبكة

التكوينات

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

المقدمة

يوضح هذا المستند كيفية نشر ميزة الدفاع الظاهري (FTDv) الخاصة بتهديد الحماية (FirePOWER) التي تم قياسها تلقائيا من Cisco في Azure في بيئة تتسم بثقة عالية.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- يجب أن يتصل NGFW ومركز إدارة FirePOWER عبر IP الخاص

- يجب ألا يحتوي موازن التحميل الخارجي على IP عام.

- يجب أن يكون تطبيق Function قادرا على الاتصال ب IP الخاص

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- لازوردي

- مركز إدارة Firepower

- مجموعة مقاييس الأجهزة الافتراضية

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

يوفر برنامج FTDv وظائف جدار الحماية من الجيل التالي من Cisco Firepower للبيئات الافتراضية، مما يتيح سياسات أمان متناسقة لمتابعة أحمال العمل عبر البيئات المادية والافتراضية وبيئات الشبكات وبين السحب.

ونظرا لأن عمليات النشر هذه متوفرة في بيئة افتراضية، فإن دعم التوفر التوفر (HA) غير متوفر حاليا لجدار الحماية من الجيل التالي (NGFW). وبالتالي، لتوفير حل فائق التوفر يستخدم جدار حماية الجيل التالي (NGFW) من Cisco الميزات الأصلية ل Azure مثل مجموعات التوفر ومجموعة مقياس الجهاز الظاهري (VMSS) لجعل جدار الحماية من الجيل التالي (NGFW) متاحا بدرجة كبيرة وملائما لزيادة حركة مرور البيانات عند الطلب.

يركز هذا المستند على تكوين Cisco NGFW للقياس التلقائي استنادا إلى معلمات مختلفة حيث يعمل NGFW على التطوير أو التطوير حسب الطلب. وهذا يغطي حالة الاستخدام حيث يكون لدى العميل متطلب إستخدام مركز إدارة FirePOWER (FMC) المتوفر في مركز بيانات التجميع والمطلوب لإدارة جميع قواعد بيانات الشبكة (NGFW) مركزيا، فضلا عن العملاء الذين لا يرغبون في الحصول على FMC و FTD للاتصال عبر بروتوكول الإنترنت (IP) العام لحركة مرور بيانات الإدارة.

قبل التعمق في إعتبار التكوين والتصميم فيما يلي هي المفاهيم القليلة التي يجب فهمها جيدا بالنسبة ل Azure:

- منطقة التوفر: تعد "منطقة التوفر" عرضا فائق التوفر يحمي تطبيقاتك وبياناتك من حالات فشل مراكز البيانات. مناطق التوفر هي مواقع فعلية فريدة داخل منطقة Azure. وتتكون كل منطقة من مركز بيانات واحد أو أكثر مجهز بأنظمة مستقلة للطاقة والتبريد والشبكات.

- VNET:  شبكة Azure الظاهرية (VNet) هي كتلة الإنشاء الأساسية لشبكتك الخاصة في Azure. يتيح VNet لأنواع عديدة من موارد Azure، مثل الأجهزة الافتراضية (VM) من Azure، إمكانية الاتصال بأمان مع بعضها البعض، والإنترنت، والشبكات المحلية. يماثل VNet شبكة تقليدية كنت تعمل في مركز البيانات الخاص بك ولكن يجلب معه فوائد إضافية من البنية الأساسية ل Azure مثل النطاق والتوافر والعزل. يمكن الوصول إلى كل شبكة فرعية ضمن شبكة VNET بعضها البعض بشكل افتراضي، ولكن لا ينطبق الأمر نفسه على الشبكات الفرعية في شبكات VNET مختلفة.

- مجموعة التوفر:  مجموعات التوفر هي تكوين آخر لمراكز البيانات لتوفير إمكانية تكرار الأجهزة الافتراضية (VM) وتوفرها. يضمن هذا التكوين الموجود داخل مركز البيانات توفر جهاز افتراضي واحد على الأقل أثناء حدث صيانة مخطط أو غير مخطط له ويتوافق مع إتفاقية مستوى الخدمة Azure بنسبة 99.95٪.

- VMSS: تتيح لك مجموعات مقاييس الجهاز الظاهري من Azure إنشاء مجموعة من الأجهزة الافتراضية المتوازنة مع الأحمال وإدارتها. يمكن أن يزيد عدد مثيلات الأجهزة الافتراضية أو ينقص تلقائيا إستجابة للطلب أو لجدول محدد. توفر مجموعات التطوير إمكانية توفر عالية لتطبيقاتك وتسمح لك بإدارة عدد كبير من الأجهزة الافتراضية وتكوينها وتحديثها مركزيا. باستخدام مجموعات تطوير الأجهزة الافتراضية، يمكنك بناء خدمات على نطاق واسع في مجالات مثل الحوسبة والبيانات الكبيرة وحمولات عمل الحاويات.

- Functions App: Azure Functions هي خدمة سحابية متوفرة عند الطلب توفر جميع البنية الأساسية المحدثة باستمرار والموارد اللازمة لتشغيل تطبيقاتك. تركز على قطع التعليمات البرمجية التي تهمك كثيرا، وتتعامل دالات Azure مع باقي الأجزاء. يمكنك إستخدام وظائف Azure لإنشاء واجهات برمجة تطبيقات ويب والاستجابة لتغييرات قاعدة البيانات ومعالجة تدفقات IoT وإدارة قوائم انتظار الرسائل وغير ذلك. في هذا الحل الذي تم قياسه تلقائيا، فإن Azure Function هي طلبات مختلفة من API إلى FMC لإنشاء كائنات، وتسجيل/إلغاء تسجيل FTDv، والتحقق من المعلمات، وما إلى ذلك.

- تطبيق Logic: تعد تطبيقات Azure Logic بمثابة خدمة شبكات تساعدك على جدولة المهام وعمليات الأعمال ومهام سير العمل وأتمتتها وتنسيقها عند إحتياجك إلى دمج التطبيقات والبيانات والأنظمة والخدمات عبر المؤسسات أو المؤسسات. تعمل التطبيقات المنطقية على تبسيط كيفية تصميم وإنشاء حلول قابلة للتطوير من أجل دمج التطبيقات ودمج البيانات ودمج الأنظمة ودمج تطبيقات المؤسسات (EAI) والاتصالات بين الشركات (B2B)، سواء أكنت في الشبكة أم داخل الشركة أم في كليهما. يوفر هذا الحل تسلسلا منطقيا للوظائف التي سيتم تنفيذها لتشغيل الحل الذي تم قياسه تلقائيا.

حاليا، لا يوفر حل AutoScale المتوفر ل NGFW خطة إدارة للاتصال مع IP المحلي الخاص إلى VNet ويتطلب IP العام لتبادل الاتصال بين مركز إدارة Firepower و NGFW.

يهدف هذا المقال إلى حل هذه المشكلة حتى يتوفر الحل الذي تم التحقق منه لمركز إدارة FirePOWER واتصال NGFW عبر IP الخاص.

التكوين

لإنشاء حل NGFW مقاس تلقائيا يتم إستخدام دليل التكوين هذا:

https://www.cisco.com/c/en/us/td/docs/security/firepower/quick_start/azure/ftdv-azure-gsg/ftdv-azure-autoscale.html#Cisco_Concept.dita_c0b3cf0d-9690-4342-8cba-e66730e70c47

مع عدة تعديلات بحيث يمكن معالجة حالات الاستخدام التالية:

- يجب أن يكون تطبيق Function قادرا على الاتصال بمقطع IP الداخلي الخاص بالعميل

- يجب ألا يحتوي موازن التحميل على IP عام

- يجب تبادل حركة مرور البيانات الإدارية بين NGFW و FMC عبر مقطع IP الخاص.

in order to خلقت mise à niveau حل، مع المذكور أعلاه إستعمال حالة أنت تحتاج أن يعدل هذا في ال steps يذكر في cisco مرشد رسمي:

1. قالب Azure ARM

يتم إستخدام قالب ARM لتمكين التشغيل التلقائي في Azure. قدمت Cisco قالب ARM تم التحقق منه والذي يمكن الاستفادة منه لإنشاء حل مقياس تلقائي. ولكن قالب ARM هذا المتاح على Public Github https://github.com/CiscoDevNet/cisco-ftdv/tree/master/autoscale/azure/NGFWv6.6.0/ARM%20Template ينشئ تطبيق وظائف لا يمكن جعله للاتصال بالشبكة الداخلية للعميل على الرغم من إمكانية الوصول إليه عبر المسارات السريعة. لذلك نحن بحاجة إلى تعديل هذا قليلا حتى يمكن تطبيق الوظيفة الآن إستخدام، الوضع Premium بدلا من وضع الاستهلاك. وبالتالي يتوفر قالب تقنية إدارة الراديو التكييفية المطلوب على الموقع https://github.com/Madhuri150791/FunctionApp_with_Premiium_Plan.git

2. تطبيق الدالة

تطبيق الدالة هو مجموعة من وظائف Azure. وتتضمن الوظيفة الأساسية ما يلي:

- الاتصال/التحقق من مقاييس Azure بشكل دوري.

- مراقبة حمل بروتوكول FTDv وقابلية تطوير المشغل لعمليات الإدخال/التطوير.

- تسجيل برنامج FTDv جديد مع FMC.

- تكوين FTDv جديد عبر FMC.

- قم بإلغاء تسجيل (إزالة) FTDv موسع من FMC.

كما هو مذكور في المتطلب، يتم إنشاء دالة مختلفة لإنشاء NGFW حسب الطلب أو حذفها بناء على IP العام ل NGFW. وبالتالي نحتاج إلى تعديل الرمز C# للحصول على IP خاص بدلا من IP العام. بعد تعديل الرمز، يتوفر ملف zip لإنشاء تطبيق الدالة على https://github.com/Madhuri150791/FunctionApp_with_Premiium_Plan.git

مع الاسم ASM_Function.zip. هذا يمكن تطبيق الوظائف من الاتصال بالموارد الداخلية بدون وجود عنوان IP العام.

3. التطبيق المنطقي

يعد "التطبيق المنطقي للقياس التلقائي" بمثابة سير عمل، أي مجموعة من الخطوات في تسلسل. وظائف Azure هي كيانات مستقلة ولا يمكنها الاتصال ببعضها البعض. يقوم هذا orchestrator بتسلسل تنفيذ هذه الوظائف وتبادل المعلومات فيما بينها.

- يستخدم التطبيق المنطقي لتنسيق وتمرير المعلومات بين وظائف المقياس التلقائي Azure.

- تمثل كل خطوة وظيفة القياس التلقائي Azure أو منطق قياسي مدمج.

- يتم تسليم تطبيق Logic كملف JSON.

- يمكن تخصيص التطبيق المنطقي من خلال ملف GUI أو JSON.

ملاحظة: يجب تعديل تفاصيل التطبيق المنطقي المتوفرة على https://github.com/Madhuri150791/FunctionApp_with_Premiium_Plan.git بعناية ويجب إستبدال العناصر التالية بتفاصيل النشر واسم FUNSTonapp واسم مجموعة الموارد ومعرف الاشتراك.

الرسم التخطيطي للشبكة

تظهر هذه الصورة كيفية تدفق حركة المرور الواردة والصادرة داخل بيئة Azure من خلال NGFW.

التكوينات

قم الآن بإنشاء مكونات مختلفة مطلوبة لحل تم قياسه تلقائيا.

1. إنشاء مكونات منطق القياس التلقائي.

أستخدم قالب ARM وقم بإنشاء VMSS، وتطبيق منطقي، وتطبيق دالة، وتطبيق App Insight، ومجموعة أمان الشبكة.

انتقل إلى الصفحة الرئيسية > إنشاء مورد > البحث عن قالب ثم حدد نشر القالب. انقر الآن فوق إنشاء القالب الخاص بك وإنشائه في المحرر.

2. انقر فوق حفظ.

قم بإجراء التغييرات المطلوبة على هذا القالب وانقر فوق مراجعة +إنشاء.

3. يؤدي هذا إلى إنشاء كافة المكونات ضمن مجموعة الموارد المذكورة.

4. تسجيل الدخول إلى عنوان URL

https://<function_app_name>.scm.azurewebsites.net/DebugConsole

قم بتحميل الملف ASM_Function.zip وftdssh.exe إلى الموقع/wwot/المجلد (من الإلزامي تحميله إلى الموقع المحدد غير أن تطبيق وظيفة أخرى لا يحدد وظائف مختلفة.)

لازم تكون متل هالصورة:

5. تحقق من تطبيق الوظيفة > الوظيفة. يجب أن ترى جميع الوظائف.

6. قم بتغيير إذن الوصول بحيث يمكن ل VMSS تنفيذ الوظائف داخل تطبيق الوظيفة.

انتقل إلى <prefix>-vmss> التحكم في الوصول (IAM) > إضافة تعيين الدور. توفير VMSS هذا وصول مساهم إلى <prefix>-function-app

طقطقة حفظ.

7. انتقل إلى تطبيق منطقي > عرض التعليمات البرمجية المنطقية وقم بتغيير التعليمات البرمجية المنطقية مع توفر التعليمات البرمجية على

https://github.com/CiscoDevNet/cisco-ftdv/tree/master/autoscale/azure/NGFWv6.6.0/Logic%20App

يجب إستبدال اشتراك Azure واسم مجموعة الموارد واسم تطبيق الدالة قبل الاستخدام، وإلا فلن يسمح بالحفظ بنجاح.

8. طقطقة حفظ. انتقل إلى نظرة عامة على تطبيق Logic وقم بتمكين تطبيق Logic.

التحقق من الصحة

بمجرد تمكين التطبيق المنطقي، يبدأ التطبيق فورا في التنفيذ في فترة 5 دقائق.

إذا تم تكوين كل شيء بشكل صحيح، فإنك ترى إجراءات المشغل تحقق النجاح.

أيضا، خلقت VM تحت VMSS.

سجل الدخول إلى FMC وتحقق من اتصال FMC و NGFW عبر IP الخاص ب FTDv:

أثناء قيامك بتسجيل الدخول إلى واجهة سطر الأوامر (CLI) التي تدعم نظام NGFW، يمكنك مشاهدة ما يلي :

وبالتالي، تتصل FMC ب NGFW عبر الشبكة الفرعية VNet الخاصة من Azure.

استكشاف الأخطاء وإصلاحها

في بعض الأحيان يفشل التطبيق المنطقي أثناء إنشاء NGFW جديد، لاستكشاف أخطاء هذه الحالة وإصلاحها يمكن إتخاذ هذه الخطوات:

1. تحقق مما إذا كان تطبيق Logic قيد التشغيل بنجاح.

2. حدد سبب الفشل.

انقر على المشغل الفاشل.

حاول تحديد نقطة الفشل من تدفق التعليمات البرمجية. من المقتطف أعلاه، من الواضح أن منطق ASM فشل لأنه لم يكن قادرا على الاتصال ب FMC. بعد ذلك، تحتاج إلى تحديد سبب عدم إمكانية الوصول إلى FMC وفقا للتدفق داخل Azure.