Implementación de una puerta de enlace FTDv en AWS con MCD

Introducción

Este documento describe cómo incorporar su cuenta de AWS a Cisco Multicloud Defense (MCD) e implementar gateways FTDv mediante el controlador Cisco MCD.

Prerequisites

• Firewall Management Center (cdFMC) suministrado en la nube para el arrendatario de SCC.
• Par de claves AWS EC2 disponible en la región de destino para la implementación.
• Una cuenta AWS con suficientes permisos IAM para implementar una pila CloudFormation.
• Una suscripción/derechos de Cisco Multicloud Defense activos en el arrendatario de SCC, junto con los tipos de licencia de FTDv aplicables y los derechos de nivel de rendimiento.
• Acceso administrativo a SCC con derechos para administrar suscripciones a plataformas e infraestructura de defensa de varias nubes.
• Acceso a la consola de AWS con permisos para crear y supervisar pilas CloudFormation y recursos EC2.

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Navegación por Cisco Security Cloud Control (SCC)
• Conceptos básicos de redes AWS (VPC, CIDR, gateway de tránsito, zonas de disponibilidad)
• Implementación y revisión de la pila de AWS CloudFormation

Componentes Utilizados

• Cisco Security Cloud Control (SCC)
• Cisco Multicloud Defense (MCD)
• Cisco Secure Firewall Threat Defence Virtual (FTDv)
• Centro de gestión de firewall en la nube (cdFMC)
• Servicios web de Amazon (AWS): formación en la nube, EC2, VPC, gateway de tránsito

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Este documento describe una implementación de MCD por primera vez en una sola cuenta y región de AWS mediante un tipo de red de gateway de tránsito (TGW). Los tipos de red WAN de la nube de AWS y las implementaciones de gateway de ingreso están fuera del alcance de este documento, ya que las gateways de ingreso no son soportadas actualmente por MCD.

Configurar

Habilite Cisco Multicloud Defense en el arrendatario de SCC

1. En la consola de Cisco Security Cloud Control (SCC), navegue hasta Inicio > Administración de plataformas > Suscripciones.
   
   
   
   
2. Habilite la suscripción Multicloud Defense para el arrendatario.

Incorporación de una cuenta AWS (cuenta CSP)

Este paso conecta una cuenta de AWS al controlador de defensa de la nube múltiple para que MCD pueda implementar y administrar recursos en su nombre. Este ejemplo utiliza AWS como proveedor de servicios en la nube (CSP).

1. En el panel de navegación izquierdo de SCC, seleccione Multicloud Defense.
2. Vaya a Infraestructura > Cuentas CSP.
3. Seleccione Agregar cuenta.
4. En el menú desplegable Tipo de cuenta, seleccione AWS.
5. Seleccione Iniciar pila. Se abre una nueva pestaña del navegador y se inicia una pila de AWS CloudFormation que implementa los roles y recursos de IAM necesarios para que MCD se integre con la cuenta de AWS.
6. En la Consola de AWS, confirme que la pila de CloudFormation se haya completado correctamente.
    
   
7. Abra la pestaña Salidas de la pila de CloudFormation. Estos valores son obligatorios en el paso siguiente.
8. En el formulario MCD Add Account, introduzca estos valores:
   Número de cuenta de AWS: El resultado AccountNumber de la pila CloudFormation.
   Nombre de cuenta de AWS: Un nombre descriptivo e identificable para esta cuenta de AWS dentro de MCD.
   Función IAM del controlador: El resultado MCDControllerRoleArn de la pila CloudFormation.
   Función de supervisión de inventario: El resultado de MCDInventoryRoleArn de la pila CloudFormation.

9. Guarde la cuenta. La cuenta de AWS se incorpora a MCD.

Creación de un VPC de servicio

El VPC de servicio aloja la infraestructura de red (subredes, tablas de ruta, puerta de enlace de tránsito) que utiliza el gateway FTDv.

1. Vaya a Defensa de la nube múltiple > Infraestructura > VPCs/VNets de servicio.
2. Seleccione Create.
3. Configure los parámetros de VPC:
   Nombre: Un nombre único y fácilmente identificable para el VPC.
   Cuenta CSP: La cuenta de AWS integrada en el paso 2.
   Región: La región AWS donde se inicia el clúster FTDv.
   Bloque CIDR: Un rango CIDR dedicado a esta implementación MCD (no debe solaparse con los VPC existentes).
   Zonas de disponibilidad: al menos una AZ; se recomiendan dos para redundancia.
   Tipo de red: Seleccione Transit Gateway (TGW). CloudWAN es un tipo de red independiente que se utiliza específicamente para las implementaciones de WAN en la nube de AWS y está fuera del alcance de este documento.
   Gateway de tránsito: Seleccione create_new, con un nombre único para la nueva puerta de enlace de tránsito.
   Gateway NAT (opcional): Habilita todo el tráfico de salida para rutear a través de un gateway NAT. No está habilitado en este ejemplo; La configuración de la puerta de enlace NAT está fuera del alcance de este documento.

4. Seleccione Guardar.

Iniciar el asistente para puertas de enlace FTDv

1. Vaya a Multicloud Defense > Infrastructure > Gateways.
2. Seleccione Add Gateway.
3. Configure los parámetros iniciales:
   Cuentas: La cuenta CSP integrada en el paso 2.
   Tipo de gateway: Seleccione FTDv Gateway.
   Nombre: El nombre para mostrar de este clúster en MCD.
   Tipo de instancia: El tamaño de instancia que coincide con las necesidades de rendimiento y rendimiento requeridas. Este ejemplo utiliza el tipo mínimo admitido, C5_XLARGE.
   Instancias Mínima/Máxima: El intervalo de escalado deseado. El mínimo es 1 instancia; el máximo es 10.
   Puerto HealthCheck: El valor predeterminado es 65534;  cambiar sólo si se ha especificado un puerto diferente para el equilibrador de carga MCD. Si se cambia, se debe permitir el puerto en cualquier grupo de seguridad de ruta de datos asociado a las instancias de FTDv.
   
   
   
   
4. Seleccione Next.

Configurar propiedades de gateway

Propiedades: Seleccione Egress/East-West. Actualmente no se admiten gateways de entrada.
Versión de FTDv: La versión de software más adecuada para el entorno.
Conjunto de reglas de políticas: La política de control de acceso (ACP) que se aplicará a este clúster FTDv.
Contraseña: Una contraseña para las instancias de FTDv.
Modelo de licencia: El modelo de licencia deseado.
Nivel de rendimiento: El nivel adecuado para el rendimiento esperado del dispositivo.
Tipos de licencias: Los tipos de licencia adquiridos para esta implementación.
Región: La región en la que se despliegan estas instancias de FTDv.
ID de VPC/VNet: El VPC de servicio creado en el paso 3.
Par de claves: Par de claves AWS existente.
Función IAM de gateway: Función que contiene la puerta de enlace en su nombre, correspondiente a MCDFifirewallRoleName valor de la pila de CloudFormation en el paso 2. Al seleccionar este rol, se rellenan automáticamente los grupos de seguridad asociados.
Cifrado EBS: El cifrado administrado por AWS está seleccionado de forma predeterminada. Amazon EBS cifra de forma automática y transparente los volúmenes de almacenamiento de bloques, los datos en tránsito y las instantáneas.

1. Seleccione Siguiente.

Configuración de los parámetros avanzados (opcional)

Los parámetros avanzados permiten configurar opciones como la desactivación de direcciones IP públicas para las instancias de FTDv. En este ejemplo no se han configurado los parámetros avanzados.

Revisar e implementar

1. Revise todos los parámetros configurados para ver si son precisos.
2. Seleccione Finish para comenzar la implementación.

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	19-Oct-2026	Versión inicial