Konfigurieren von FMC mit Ansible zur Erstellung einer FTD-Hochverfügbarkeit

Einleitung

In diesem Dokument werden die Schritte zur Automatisierung von FirePOWER Management Center (FMC) zur Erstellung von FirePOWER Threat Defense (FTD) High Availability mit Ansible beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Ansible
• Ubuntu-Server
• Cisco FirePOWER Management Center (FMC) - Virtuell
• Cisco FirePOWER Threat Defense (FTD) - virtuell

Im Kontext dieser Laborsituation wird Ansible unter Ubuntu bereitgestellt. 

Es ist wichtig sicherzustellen, dass Ansible erfolgreich auf jeder von Ansible unterstützten Plattform installiert wird, um die in diesem Artikel genannten Ansible-Befehle auszuführen.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Ubuntu-Server 22.04
• Ansible 2.10.8
• Python 3,10
• Cisco FirePOWER Threat Defense Virtual 7.4.1
• Cisco FirePOWER Management Center Virtual 7.4.1

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Ansible ist ein äußerst vielseitiges Tool, das eine erhebliche Effizienz bei der Verwaltung von Netzwerkgeräten demonstriert. Für die Ausführung automatisierter Aufgaben mit Ansible können zahlreiche Methoden eingesetzt werden. Das in diesem Artikel verwendete Verfahren dient als Referenz für Testzwecke.

In diesem Beispiel werden die FTD-Hochverfügbarkeit und die Standby-IP-Adresse erstellt, nachdem das Beispiel des strategischen Leitfadens erfolgreich ausgeführt wurde.

Konfigurieren

Netzwerkdiagramm

Topologie

Konfigurationen

Weil Cisco bietet keine Unterstützung für Beispielskripte oder kundenspezifische Skripte. Es gibt einige Beispiele, die Sie je nach Bedarf testen können. 

Schritt 1: Stellen Sie über SSH oder die Konsole eine Verbindung mit der CLI des Ansible-Servers her.

Schritt 2: Führen Sie den Befehlansible-galaxy collection install cisco.fmcansibleaus, um die Ansible-Sammlung von FMC auf dem Ansible-Server zu installieren. 

cisco@inserthostname-here:~$ ansible-galaxy collection install cisco.fmcansible

Schritt 3: Führen Sie den Befehlmkdir /home/cisco/fmc_ansibleaus, um einen neuen Ordner zum Speichern der zugehörigen Dateien zu erstellen. In diesem Beispiel ist das Basisverzeichnis /home/cisco/, und der neue Ordnername lautet fmc_ansible.

cisco@inserthostname-here:~$ mkdir /home/cisco/fmc_ansible

Schritt 4: Navigieren Sie zum Ordner /home/cisco/fmc_ansible, und erstellen Sie eine Inventardatei. In diesem Beispiel lautet der Name der Bestandsdatei Inventory.ini.

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
inventory.ini

Sie können diesen Inhalt duplizieren und zur Verwendung einfügen, indem Sie die fett gedruckten Abschnitte mit genauen Parametern ändern.

[fmc]
10.0.5.11

[fmc:vars]
ansible_user=cisco
ansible_password=cisco
ansible_httpapi_port=443
ansible_httpapi_use_ssl=True
ansible_httpapi_validate_certs=False
network_type=HOST
ansible_network_os=cisco.fmcansible.fmc

Schritt 5: Navigieren Sie zum Ordner /home/cisco/fmc_ansible, erstellen Sie eine variable Datei zum Erstellen von FTD HA. In diesem Beispiel lautet der Dateiname der Variablen fmc-create-ftd-ha-vars.yml. 

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-vars.yml  inventory.ini 

Sie können diesen Inhalt duplizieren und zur Verwendung einfügen, indem Sie die kühn Abschnitte mit den genauen Parametern.

user:
  domain: 'Global'
device_name:
  ftd1: 'FTDA'
  ftd2: 'FTDB'
ftd_ha:
  name: 'FTD_HA'
  active_ip: '192.168.1.1'
  standby_ip: '192.168.1.2'
  key: cisco
  mask24: '255.255.255.0'

Schritt 6: Navigieren Sie zum Ordner /home/cisco/fmc_ansible, cPlaybook-Datei zum Erstellen von FTD HA erstellen. In diesem Beispiel lautet der Dateiname des strategischen Leitfadens fmc-create-ftd-ha-playbook.yaml.

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-playbook.yaml fmc-create-ftd-ha-vars.yml inventory.ini

Sie können diesen Inhalt duplizieren und zur Verwendung einfügen, indem Sie die fett gedruckten Abschnitte mit genauen Parametern ändern.

---

- name: FMC Create FTD HA
  hosts: fmc
  connection: httpapi

  tasks:

    - name: Task01 - Get User Domain
      cisco.fmcansible.fmc_configuration:
        operation: getAllDomain
        filters:
          name: "{{ user.domain }}"
        register_as: domain

    - name: Task02 - Get FTD1
      cisco.fmcansible.fmc_configuration:
        operation: getAllDevice
        path_params:
          domainUUID: '{{ domain[0].uuid }}'
        filters:
          name: "{{ device_name.ftd1 }}"
        register_as: ftd1_list

    - name: Task03 - Get FTD2
      cisco.fmcansible.fmc_configuration:
        operation: getAllDevice
        path_params:
          domainUUID: '{{ domain[0].uuid }}'
        filters:
          name: "{{ device_name.ftd2 }}"
        register_as: ftd2_list

    - name: Task04 - Get Physical Interfaces
      cisco.fmcansible.fmc_configuration:
        operation: getAllFTDPhysicalInterface
        path_params:
          containerUUID: '{{ ftd1_list[0].id }}'
          domainUUID: '{{ domain[0].uuid }}'
        register_as: primary_physical_interfaces

    - name: Task05 - Configure FTD HA
      cisco.fmcansible.fmc_configuration:
        operation: "createFTDHADeviceContainer"
        data:
            primary: {'id': '{{ ftd1_list[0].id }}'}
            secondary: {'id': '{{ ftd2_list[0].id }}'}
            name: "{{ ftd_ha.name }}"
            type: "DeviceHAPair"
            ftdHABootstrap: {
              'isEncryptionEnabled': false,
              'encKeyGenerationScheme': 'CUSTOM',
              'sharedKey': "{{ ftd_ha.key }}",
              'useSameLinkForFailovers': true,
              'lanFailover': {
                'useIPv6Address': false,
                'subnetMask': "{{ ftd_ha.mask24 }}",
                'interfaceObject': {
                  'id': '{{ primary_physical_interfaces[7].id }}',
                  'type': 'PhysicalInterface',
                  'name': 'GigabitEthernet0/7'
                  },
                'standbyIP': "{{ ftd_ha.standby_ip }}",
                'logicalName': 'LAN-INTERFACE',
                'activeIP': "{{ ftd_ha.active_ip }}"
              },
              'statefulFailover': {
                'useIPv6Address': false,
                'subnetMask': "{{ ftd_ha.mask24 }}",
                'interfaceObject': {
                  'id': '{{ primary_physical_interfaces[7].id }}',
                  'type': 'PhysicalInterface',
                  'name': 'GigabitEthernet0/7'
                  },
                'standbyIP': "{{ ftd_ha.standby_ip }}",
                'logicalName': 'STATEFUL-INTERFACE',
                'activeIP': "{{ ftd_ha.active_ip }}"
              }
            }
        path_params:
            domainUUID: "{{ domain[0].uuid }}"

    - name: Task06 - Wait for FTD HA Ready
      ansible.builtin.wait_for:
        timeout: 360
      delegate_to: localhost

    - name: Task07 - Get FTD HA object
      cisco.fmcansible.fmc_configuration:
        operation: "getAllFTDHADeviceContainer"
        path_params:
          domainUUID: "{{ domain[0].uuid }}"
        query_params:
          expanded: true
        register_as: ftd_ha_container
      delay: 15

    - name: Task08 - Confirm Standby Ready Status
      cisco.fmcansible.fmc_configuration:
        operation: "getFTDHADeviceContainer"
        path_params:
          objectId: "{{ ftd_ha_container[0].id }}"
          domainUUID: "{{ domain[0].uuid }}"
        register_as: ha_status
      until: ha_status.metadata.secondaryStatus.currentStatus is match("Standby")
      retries: 1000
      delay: 2

Schritt 7. Navigieren Sie zum Ordner /home/cisco/fmc_ansible, rBefehl ausführen  ansible-playbook -i .ini  .yaml  -e@" .yml" um die ansible Aufgabe zu spielen. 

In diesem Beispiel lautet der Befehlansible-playbook -i inventory.ini fmc-create-ftd-ha-playbook.yaml -e@"fmc-create-ftd-ha-vars.yml". 

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/

ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-playbook.yaml fmc-create-ftd-ha-vars.yml inventory.ini

cisco@inserthostname-here:~/fmc_ansible$ ansible-playbook -i inventory.ini fmc-create-ftd-ha-playbook.yaml -e@"fmc-create-ftd-ha-vars.yml"

PLAY [FMC Create FTD HA] *****************************************************************************************************************************************

TASK [Gathering Facts] *******************************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task01 - Get User Domain] **********************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task02 - Get FTD1] *****************************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task03 - Get FTD2] *****************************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task04 - Get Physical Interfaces] **************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task05 - Configure FTD HA] *********************************************************************************************************************************
changed: [10.0.5.11]

TASK [Task06 - Wait for FTD HA Ready] ****************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task07 - Get FTD HA object] ********************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task08 - Confirm Standby Ready Status] *********************************************************************************************************************
ok: [10.0.5.11]

PLAY RECAP *******************************************************************************************************************************************************
10.0.5.11                  : ok=9    changed=1    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

Schritt 8: Navigieren Sie zum Ordner /home/cisco/fmc_ansible, und erstellen Sie eine variable Datei zum Aktualisieren der FTD HA-Standby-IP-Adresse. In diesem Beispiel lautet der Dateiname der Variablen fmc-create-ftd-ha-standby-ip-vars.yml. 

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-playbook.yaml fmc-create-ftd-ha-standby-ip-vars.yml fmc-create-ftd-ha-vars.yml inventory.ini

Sie können diesen Inhalt duplizieren und zur Verwendung einfügen, indem Sie die fett gedruckten Abschnitte mit genauen Parametern ändern.

user:
  domain: 'Global'

ftd_data:
  outside_name: 'Outside'
  inside_name: 'Inside'
  outside_ip: '10.1.1.1'
  inside_ip: '10.1.2.1'
  mask24: '255.255.255.0'

ftd_ha:
  name: 'FTD_HA'
  outside_standby: '10.1.1.2'
  inside_standby: '10.1.2.2'

Schritt 9. Navigieren Sie zum Ordner /home/cisco/fmc_ansible, und erstellen Sie eine Playbook-Datei für die Aktualisierung der FTD HA-Standby-IP-Adresse. In diesem Beispiel lautet der Dateiname des strategischen Leitfadens fmc-create-ftd-ha-standby-ip-playbook.yaml.

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-playbook.yaml fmc-create-ftd-ha-standby-ip-playbook.yaml fmc-create-ftd-ha-standby-ip-vars.yml fmc-create-ftd-ha-vars.yml inventory.ini

Sie können diesen Inhalt duplizieren und zur Verwendung einfügen, indem Sie die fett gedruckten Abschnitte mit genauen Parametern ändern.

--- - name: FMC Update FTD HA Interface Standby IP hosts: fmc connection: httpapi tasks: - name: Task01 - Get User Domain cisco.fmcansible.fmc_configuration: operation: getAllDomain filters: name: "{{ user.domain }}" register_as: domain - name: Task02 - Get FTD HA Object cisco.fmcansible.fmc_configuration: operation: "getAllFTDHADeviceContainer" path_params: domainUUID: "{{ domain[0].uuid }}" query_params: expanded: true register_as: ftd_ha_container - name: Task03 - Get Outside Interface cisco.fmcansible.fmc_configuration: operation: "getAllFTDHAMonitoredInterfaces" path_params: containerUUID: "{{ ftd_ha_container[0].id }}" domainUUID: "{{ domain[0].uuid }}" filters: name: "{{ ftd_data.outside_name }}" register_as: outside_interface - name: Task04 - Get Inside Interface cisco.fmcansible.fmc_configuration: operation: "getAllFTDHAMonitoredInterfaces" path_params: containerUUID: "{{ ftd_ha_container[0].id }}" domainUUID: "{{ domain[0].uuid }}" filters: name: "{{ ftd_data.inside_name }}" register_as: inside_interface - name: Task05 - Configure Standby IP-Outside cisco.fmcansible.fmc_configuration: operation: "updateFTDHAMonitoredInterfaces" data: id: "{{ outside_interface[0].id }}" name: "{{ outside_interface[0].name }}" ipv4Configuration: {'standbyIPv4Address': "{{ ftd_ha.outside_standby }}"} monitorForFailures: true path_params: objectId: "{{ outside_interface[0].id }}" containerUUID: "{{ ftd_ha_container[0].id }}" domainUUID: "{{ domain[0].uuid }}" - name: Task06 - Config Standby IP-Inside cisco.fmcansible.fmc_configuration: operation: "updateFTDHAMonitoredInterfaces" data: id: "{{ inside_interface[0].id }}" name: "{{ inside_interface[0].name }}" ipv4Configuration: {'standbyIPv4Address': "{{ ftd_ha.inside_standby }}"} monitorForFailures: true path_params: objectId: "{{ inside_interface[0].id }}" containerUUID: "{{ ftd_ha_container[0].id }}" domainUUID: "{{ domain[0].uuid }}" - name: Task07 - Get Deployable Devices cisco.fmcansible.fmc_configuration: operation: getDeployableDevice path_params: domainUUID: '{{ domain[0].uuid }}' query_params: expanded: true register_as: deploy_devices - name: Task08 - Start Deployment cisco.fmcansible.fmc_configuration: operation: createDeploymentRequest data: version: '{{ deploy_devices[0].version }}' deviceList: - '{{ deploy_devices[0].device.id }}' forceDeploy: True path_params: domainUUID: '{{ domain[0].uuid }}' register_as: deployment_job - name: Task09 - Wait for Deployment Complete ansible.builtin.wait_for: timeout: 240 delegate_to: localhost - name: Task10 - Poll Deployment Status Until Deployment Successful cisco.fmcansible.fmc_configuration: operation: getDeploymentDetail path_params: containerUUID: '{{ deploy_devices[0].device.id }}' domainUUID: '{{ domain[0].uuid }}' register_as: deployment_status until: deployment_status[0].status is match("SUCCEEDED") retries: 1000 delay: 3 - name: Task11 - Stop The Playbook If The Deployment Failed fail: msg: 'Deployment failed. Status: {{ deployment_status[0].status }}' when: deployment_status[0].status is not match("SUCCEEDED")

Schritt 10. Navigieren Sie zum Ordner /home/cisco/fmc_ansible, rBefehl ausführen  ansible-playbook -i .ini  .yaml  -e@" .yml" um die ansible Aufgabe zu spielen. 

In diesem Beispiel lautet der Befehlansible-playbook -i inventory.ini fmc-create-ftd-ha-standby-ip-playbook.yaml -e@"fmc-create-ftd-ha-standby-ip-vars.yml". 

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-playbook.yaml fmc-create-ftd-ha-standby-ip-playbook.yaml fmc-create-ftd-ha-standby-ip-vars.yml fmc-create-ftd-ha-vars.yml inventory.ini

cisco@inserthostname-here:~/fmc_ansible$ ansible-playbook -i inventory.ini fmc-create-ftd-ha-standby-ip-playbook.yaml -e@"fmc-create-ftd-ha-standby-ip-vars.yml"

PLAY [FMC Update FTD HA Interface Standby IP] ********************************************************************************************************************

TASK [Gathering Facts] *******************************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task01 - Get User Domain] **********************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task02 - Get FTD HA Object] ********************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task03 - Get Outside Interface] ****************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task04 - Get Inside Interface] *****************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task05 - Configure Standby IP-Outside] *********************************************************************************************************************
changed: [10.0.5.11]

TASK [Task06 - Config Standby IP-Inside] *************************************************************************************************************************
changed: [10.0.5.11]

TASK [Task07 - Get Deployable Devices] ***************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task08 - Start Deployment] *********************************************************************************************************************************
changed: [10.0.5.11]

TASK [Task09 - Wait for Deployment Complete] *********************************************************************************************************************
ok: [10.0.5.11]

TASK [Task10 - Poll Deployment Status Until Deployment Successful] ***********************************************************************************************
ok: [10.0.5.11]

TASK [Task11 - Stop The Playbook If The Deployment Failed] *******************************************************************************************************
skipping: [10.0.5.11]

PLAY RECAP *******************************************************************************************************************************************************
10.0.5.11                  : ok=11   changed=3    unreachable=0    failed=0    skipped=1    rescued=0    ignored=0   

Überprüfung

Melden Sie sich vor dem Ausführen der ansible Aufgabe in der FMC-GUI an. Navigieren Sie zu Devices (Geräte) > Device Management (Geräteverwaltung), zwei FTDs wurden erfolgreich auf dem FMC registriert und haben die Zugriffskontrollrichtlinie konfiguriert. 

Vor dem Ausführen einer möglichen Aufgabe

Melden Sie sich nach dem Ausführen der Task "Ansible" in der FMC-GUI an. Navigieren Sie zu Devices > Device Management (Geräte > Geräteverwaltung). FTD HA wurde erfolgreich erstellt.

Nach erfolgreicher Ausführung der ansible Aufgabe

Klicken Sie auf Edit of FTD HA (FTD-HA bearbeiten), die Failover-IP-Adresse und die Standby-IP-Adresse der Schnittstelle wurden erfolgreich konfiguriert.

FTD - Details zur Hochverfügbarkeit

Fehlerbehebung

In diesem Abschnitt finden Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration.

Um mehr Logs von ansible playbook zu sehen, können Sie ansible playbook mit -vvv ausführen.

cisco@inserthostname-here:~/fmc_ansible$ ansible-playbook -i inventory.ini fmc-create-ftd-ha-standby-ip-playbook.yaml -e@"fmc-create-ftd-ha-standby-ip-vars.yml" -vvv 

Zugehörige Informationen

Cisco DevNet FMC-fähig