Bereitstellen eines FTDv-Gateways in AWS mithilfe von MCD

Download-Optionen

PDF (3.3 MB)
Mit Adobe Reader auf verschiedenen Geräten anzeigen
ePub (3.1 MB)
In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
Mobi (Kindle) (1.8 MB)
Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen

Aktualisiert:19. Oktober 2026

Dokument-ID:226449

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

Aktivierung von Cisco Multicloud Defense auf dem SCC-Tenant

Einbindung eines AWS-Kontos (CSP-Konto)

Erstellen eines Service-vPC

FTDv Gateway-Assistenten starten

Konfigurieren der Gateway-Eigenschaften

Erweiterte Einstellungen konfigurieren (optional)

Überprüfen und Bereitstellen

Überprüfung

Fehlerbehebung

Zusammenfassung

Zugehörige Informationen

Einleitung

In diesem Dokument wird beschrieben, wie Sie Ihr AWS-Konto in Cisco Multicloud Defense (MCD) integrieren und FTDv-Gateways mithilfe des Cisco MCD-Controllers bereitstellen.

Voraussetzungen

Ein Cloud-fähiges Firewall Management Center (cdFMC), das für den SCC-Tenant bereitgestellt wird.
Ein AWS EC2 Key Pair ist in der Region erhältlich, die für die Bereitstellung vorgesehen ist.
Ein AWS-Konto mit ausreichenden IAM-Berechtigungen zum Bereitstellen eines CloudFormation-Stacks.
Ein aktives Cisco Multicloud Defense-Abonnement/-Recht auf dem SCC-Tenant, zusammen mit den entsprechenden FTDv-Lizenztypen und Leistungs-Tier-Ansprüchen.
Administratorzugriff mit Rechten zur Verwaltung von Plattformabonnements und der Multi-Cloud-Verteidigungsinfrastruktur
Zugriff auf die AWS-Konsole mit Berechtigungen zum Erstellen und Überwachen von CloudFormation-Stacks und EC2-Ressourcen.

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

Cisco Security Cloud Control (SCC) - Navigation
Grundlegende AWS-Netzwerkkonzepte (VPC, CIDR, Transit Gateway, Availability Zones)
Bereitstellung und Prüfung des AWS CloudFormation-Stacks

Verwendete Komponenten

Cisco Security Cloud Control
Cisco Multicloud Defense (MCD)
Cisco Secure Firewall Threat Defense Virtual (FTDv)
Cloud-bereitgestelltes Firewall Management Center (cdFMC)
Amazon Web Services (AWS) - CloudFormation, EC2, VPC, Transit Gateway

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

In diesem Dokument wird eine erstmalige MCD-Bereitstellung unter Verwendung eines TGW-Netzwerktyps (Transit Gateway) in einem AWS-Konto und einer AWS-Region beschrieben. AWS Cloud WAN-Netzwerktypen und Bereitstellungen von Eingangs-Gateways werden in diesem Dokument nicht behandelt, da Eingangs-Gateways derzeit von MCD nicht unterstützt werden.

Anmerkung: Eingangs-Gateways werden derzeit nicht von Multicloud Defense unterstützt. In diesem Dokument werden nur Bereitstellungen von Egress-/Ost-West-Gateways behandelt.

Anmerkung: Wenn der erste cdFMC-Registrierungsversuch fehlschlägt oder eine Zeitüberschreitung auftritt, wird dieses Verhalten erwartet. Planen Sie dem Cluster mehr Zeit ein, um die Registrierung automatisch zu wiederholen, bevor Sie die Fehlerbehebung fortsetzen.

Konfigurieren

Aktivierung von Cisco Multicloud Defense auf dem SCC-Tenant

Navigieren Sie in der Cisco Security Cloud Control (SCC)-Konsole zu Home > Platform Management > Subscriptions (Startseite > Plattformverwaltung > Abonnements).
Aktivieren Sie das Multicloud Defense-Abonnement für den Tenant.

Enable the Multicloud Defense Subscription for the Client

Einbindung eines AWS-Kontos (CSP-Konto)

Bei diesem Schritt wird ein AWS-Konto mit dem Multicloud Defense Controller verbunden, sodass MCD Ressourcen in seinem Namen bereitstellen und verwalten kann. In diesem Beispiel wird AWS als Cloud Service Provider (CSP) verwendet.

Wählen Sie im linken Navigationsbereich des SCC die Option Multicloud Defense (Multicloud-Schutz) aus.
Navigieren Sie zu Infrastruktur > CSP-Konten.
Wählen Sie Konto hinzufügen aus.
Wählen Sie im Dropdown-Menü Kontotyp die Option AWS aus.
Wählen Sie Launch Stack aus. Dadurch wird eine neue Browserregisterkarte geöffnet, und es wird ein AWS CloudFormation-Stack gestartet, der die IAM-Rollen und -Ressourcen bereitstellt, die für die Integration von MCD in das AWS-Konto erforderlich sind.
Bestätigen Sie in der AWS-Konsole, dass der CloudFormation-Stack erfolgreich abgeschlossen wurde.
Öffnen Sie die Registerkarte Outputs des CloudFormation-Stacks. Diese Werte werden im nächsten Schritt benötigt.
Geben Sie im MCD Add Account-Formular folgende Werte ein:
AWS-Kontonummer: Die AccountNumber-Ausgabe des CloudFormation-Stacks.
AWS-Kontoname: Ein benutzerfreundlicher, identifizierbarer Name für dieses AWS-Konto in MCD.
Controller-IAM-Rolle: Die MCDControllerRoleArn-Ausgabe des CloudFormation-Stacks.
Rolle der Bestandsüberwachung: Die MCDInventoryRoleArn-Ausgabe des CloudFormation-Stacks.

Enter Values in MCD Account

9. Speichern Sie das Konto. Das AWS-Konto ist auf MCD integriert.

Erstellen eines Service-vPC

Der Service-VPC hostet die Netzwerkinfrastruktur (Subnetze, Routing-Tabellen, Transit-Gateway), die vom FTDv-Gateway verwendet wird.

Navigieren Sie zu Multicloud Defense > Infrastructure > Service VPCs/VNets.
Wählen Sie Erstellen aus.
Konfigurieren Sie die vPC-Einstellungen:
Name: Ein eindeutiger, leicht identifizierbarer Name für die vPC.
CSP-Konto: Das in Schritt 2 integrierte AWS-Konto.
Region: Die AWS-Region, in der das FTDv-Cluster gestartet wird.
CIDR-Block: Ein für diese MCD-Bereitstellung dedizierter CIDR-Bereich (darf sich nicht mit vorhandenen VPCs überschneiden).
Verfügbarkeitsbereiche: mindestens eine AZ; Zwei werden aus Redundanzgründen empfohlen.
Netzwerktyp: Wählen Sie Transit Gateway (TGW) aus. CloudWAN ist ein separater Netzwerktyp, der speziell für AWS Cloud WAN-Bereitstellungen verwendet wird. Er wird in diesem Dokument nicht behandelt.
Transit-Gateway: Wählen Sie create_new mit einem eindeutigen Namen für das neue Transit-Gateway aus.
NAT-Gateway (optional): Ermöglicht die Weiterleitung des gesamten ausgehenden Datenverkehrs über ein NAT-Gateway. In diesem Beispiel nicht aktiviert. Die NAT-Gateway-Konfiguration ist nicht Bestandteil des vorliegenden Dokuments.

Configure VPC Settings

4. Wählen Sie Speichern.

FTDv Gateway-Assistenten starten

Navigieren Sie zu Multicloud Defense > Infrastructure > Gateways.
Wählen Sie Gateway hinzufügen aus.
Konfigurieren Sie die Anfangseinstellungen:
Kunden: Das in Schritt 2 integrierte CSP-Konto.
Gateway-Typ: Wählen Sie FTDv Gateway aus.
Name: Der Anzeigename für dieses Cluster in MCD.
Instanztyp: Die Instanzgröße, die den Anforderungen an Durchsatz und Leistung entspricht. In diesem Beispiel wird der mindestens unterstützte Typ C5_XLARGE verwendet.
Mindest-/Höchstinstanzen: Der gewünschte Skalierungsbereich. Der Mindestwert ist 1 Instanz. Der Höchstwert ist 10.
HealthCheck-Port: Der Standardwert ist 65534. nur ändern, wenn ein anderer Port für den MCD Load Balancer angegeben wurde. Bei einer Änderung muss der Port in allen mit den FTDv-Instanzen verknüpften Datenpfad-Sicherheitsgruppen zugelassen werden.
Wählen Sie „Next“ (Weiter) aus.

Konfigurieren der Gateway-Eigenschaften

Eigenschaften: Ausgehend/Ost-West auswählen. Eingangs-Gateways werden derzeit nicht unterstützt.
FTDv-Version: Die am besten auf die Umgebung abgestimmte Softwareversion.
Richtlinienregeln: Die Zugriffskontrollrichtlinie (ACP, Access Control Policy) für diesen FTDv-Cluster.
Kennwort: Ein Passwort für die FTDv-Instanzen.
Lizenzmodell: Das gewünschte Lizenzierungsmodell.
Leistungsstufe: Die Ebene, die für den erwarteten Gerätedurchsatz geeignet ist.
Lizenztypen: Die für diese Bereitstellung erworbenen Lizenztypen.
Region: Die Region, in der diese FTDv-Instanzen bereitgestellt werden.
VPC/VNet-ID: Der in Schritt 3 erstellte Service-VPC.
Schlüsselpaar: Ein vorhandenes AWS-Schlüsselpaar.
Gateway-IAM-Rolle: Die Rolle, die das Gateway im Namen enthält, entsprechend dem MCDFirewallRoleName -Wert aus dem CloudFormation-Stack in Schritt 2. Durch Auswahl dieser Rolle werden automatisch die zugeordneten Sicherheitsgruppen aufgefüllt.
EBS-Verschlüsselung: Standardmäßig ist die von AWS verwaltete Verschlüsselung ausgewählt. Amazon EBS verschlüsselt automatisch und transparent Blockspeicher-Volumes, übertragene Daten und Snapshots.

1. Wählen Sie Weiter.

Configure Gateway Properties

Configure Management Security Group

Erweiterte Einstellungen konfigurieren (optional)

Die erweiterten Einstellungen ermöglichen die Konfiguration von Optionen, z. B. die Deaktivierung öffentlicher IP-Adressen für FTDv-Instanzen. Erweiterte Einstellungen sind in diesem Beispiel nicht konfiguriert.

Überprüfen und Bereitstellen

Überprüfen Sie alle konfigurierten Einstellungen auf ihre Richtigkeit.
Wählen Sie Beenden, um die Bereitstellung zu starten.

Anmerkung: Die Bereitstellung kann bis zu 30 Minuten dauern. Während dieser Zeit stellt MCD die angegebene Anzahl von FTDv-Instanzen bereit und gruppiert diese bei cdFMC.

Überprüfung

Verwenden Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

Die erfolgreiche Bereitstellung und Registrierung kann von mehreren Standorten aus bestätigt werden:

cdFMC: Unmittelbar nach der Auswahl von Finish (Fertig stellen) wird der neue Cluster in cdFMC unter Devices (Geräte) > Device Management (Gerätemanagement) angezeigt.
MCD-Gateway-Details: Wenn Sie den Gateway-Namen auswählen, wird ein Detailfenster mit dem Startfortschritt geöffnet.

Wählen Sie den angegebenen Namen aus, und klicken Sie dann auf die Registerkarte Instanzen.
AWS EC2-Konsole: Der Status einzelner Instanzen kann direkt in EC2 > Instanzen überwacht werden.
Registerkarte "cdFMC-Aufgaben": Der Registrierungsfortschritt wird hier verfolgt:
Anmeldung läuft:

Registrierung erfolgreich:
Endzustand: Nach erfolgreicher Registrierung zeigt das Gateway den Status "Aktiv - Ausstehend" an, bevor es zu "vollständig Aktiv" wechselt. Dadurch wird bestätigt, dass der Cluster bereitgestellt und betriebsbereit ist.

Fehlerbehebung

In diesem Abschnitt erhalten Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration.

Fehler beim ersten Registrierungsversuch oder Zeitüberschreitung auf der Registerkarte "cdFMC Tasks" - Erwartetes Verhalten beim ersten Registrierungsversuch. Planen Sie dem Cluster vor der weiteren Fehlerbehebung zusätzliche Zeit ein, um die Registrierung automatisch zu wiederholen.
Der CloudFormation-Stack kann nicht abgeschlossen werden. Überprüfen Sie, ob der AWS IAM-Benutzer bzw. die AWS IAM-Rolle, die den Stack bereitstellt, über ausreichende Berechtigungen verfügt, und überprüfen Sie die Registerkarte "Ereignisse" auf den jeweiligen Fehlergrund.
Gateway-IAM-Rolle oder Sicherheitsgruppen werden im Gateway-Assistenten nicht ausgefüllt. Bestätigen Sie, dass der CloudFormation-Stack in Schritt 2 erfolgreich abgeschlossen wurde und dass das richtige CSP-Konto und die richtige CSP-Region ausgewählt wurden.