Étape 1

Dans la console GCP, choisissez VPC networking (réseaux VPC), puis cliquez sur Create VPC Network (créer un réseau VPC).

Étape 2

Dans le champ Name (nom), saisissez le nom souhaité.

Étape 3

Dans le menu déroulant Maximum transmission unit (MTU) (unité de transmission maximale; MTU), choisissez une valeur appropriée.

Étape 4

Dans l’option Subnet creation mode (mode de création de sous-réseau), cliquez sur Custom (personnalisé).

Étape 5

Dans la section Subnet (sous-réseau), cliquez sur ADD SUBNET pour créer un nouveau sous-réseau.

Étape 6

Dans le champ Name (Nom) sous New subnet (nouveau sous-réseau), saisissez le nom souhaité.

Étape 7

Dans la liste déroulante Region (région), sélectionnez la région appropriée pour votre déploiement. Les quatre réseaux doivent se trouver dans la même région.

Étape 8

Dans le champ IP address range (plage d’adresses IP), saisissez le sous-réseau du premier réseau au format CIDR, par exemple 10.10.0.0/24.

Étape 9

Acceptez les valeurs par défaut de tous les autres paramètres, puis cliquez sur Create (Créer).

Étape 10

Répétez les étapes 1 à 7 pour créer les trois autres réseaux VPC.

Étape 1

Dans la console GCP, choisissez Networking (réseautage) > VPC network (réseau VPC) > Firewall (pare-feu), puis cliquez sur Create Firewall Rule (créer une règle de pare-feu).

Étape 2

Dans le champ Name (nom), saisissez un nom descriptif pour votre règle de pare-feu, par exemple, vpc-asiasouth-inside-fwrule.

Étape 3

Dans la liste déroulante Network (réseau), sélectionnez le nom du réseau VPC pour lequel vous créez la règle de pare-feu, par exemple, ftdv-south-inside.

Étape 4

Dans la liste déroulante Targets ( (cibles), sélectionnez l’option applicable à votre règle de pare-feu, par exemple, All instances in the network (toutes les instances du réseau).

Étape 5

Dans la liste déroulante Source filter (filtre de source), sélectionnez le type d'adresse IP pris en charge, par exemple, IPv4 ranges pour les plages IPv4.

Étape 6

Dans le champ Source IP ranges (plages IP sources), saisissez les plages d’adresses IP sources au format CIDR, par exemple, 0.0.0.0/0.

Étape 7

Sous Protocols and ports (protocoles et ports ), sélectionnez Specified protocols and ports (protocoles et ports spécifiés).

Étape 8

Ajoutez vos règles de sécurité.

Étape 9

Cliquez sur Create (créer).

Étape 1

Connectez-vous à la console GCP.

Étape 2

Cliquez sur Navigation menu (menu de navigation) > Marketplace (Marché).

Étape 3

Effectuez une recherche sur le Marché pour l’offre « Cisco Firepower NGFW virtual firewall (NGFWv) ».

Étape 4

Cliquez sur Launch (lancer).

1. Deployment name (nom de déploiement)  : Précisez un nom unique pour l’instance.

2. Zone : Sélectionnez la zone dans laquelle vous souhaitez déployer défense contre les menaces virtuelles.

3. Type de machine  : Choisissez le bon type de machine en fonction de Configuration système requise.

4. SSH key (clé SSH, facultatif) : Collez la clé publique de la paire de clés SSH.

   La paire de clés se compose d’une clé publique que GCP stocke et d’un fichier de clé privée que l’utilisateur stocke. Ensemble, ils vous permettent de vous connecter à votre instance en toute sécurité. Assurez-vous d’enregistrer la paire de clés à un emplacement connu, car elle devra se connecter à l’instance.

5. Choisissez d’autoriser ou de bloquer les clés SSH à l’échelle du projet pour l’accès à cette instance. Consultez la documentation de Google Autoriser ou bloquer les clés SSH publiques à l’échelle du projet à partir d’une instance Linux.

6. Script de démarrage : Vous pouvez créer un script de démarrage pour votre instance défense contre les menaces virtuelles afin d’effectuer des tâches automatisées à chaque démarrage de votre instance.

   L’exemple suivant montre une configuration Day0 (jour 0) que vous pouvez copier et coller dans le champ Startup script (script de démarrage) :

   {
   "AdminPassword": "Cisco@123123",
   "Hostname": "ftdv-gcp",
   "DNS1": "8.8.8.8",
   "FirewallMode": "routed",
   "IPv4Mode": "dhcp",
   "ManageLocally": "No"
   }

   Astuces

   Pour éviter les erreurs d’exécution, vous devez valider votre configuration de jour 0 à l’aide d’un programme de validation JSON.

7. Network interfaces (interfaces réseau) : Configurez les interfaces : 1) gestion, 2) diagnostic, 3) interne, 4) externe.
   
   

   Remarque

   Vous ne pouvez pas ajouter des interfaces à une instance après l’avoir créée. Si vous créez l’instance avec une configuration d’interface incorrecte, vous devez supprimer l’instance et la recréer avec la configuration d’interface appropriée.

   1. Dans la liste déroulante Network (réseau), sélectionnez un réseau VPC, par exemple, vpc-asiasouth-mgmt.

   2. Dans la liste déroulante Subnetwork (sous-réseau), sélectionnez un sous-réseau.

   3. Dans la liste déroulante External IP (adresse IP externe), sélectionnez l’option appropriée.

      Pour l’interface de gestion, sélectionnez External IP (adresse IP externe) à Ephemeral (éphémère). Cette opération est facultative pour les interfaces interne et externe.

   4. Cliquez sur Done (Terminé).

8. Firewall (pare-feu) : Appliquez les règles de pare-feu.
   
   

   • Cochez la case Allow TCP port 22 traffic from the Internet (SSH access) (autoriser le trafic du port TCP 22 de l’Internet, accès SSH) pour autoriser SSH.

   • Cochez la case Allow HTTPS traffic from the Internet (FMC access) (autoriser le trafic HTTPS de l’Internet (accès FMC) pour permettre au centre de gestion et aux périphériques gérés de communiquer à l’aide d’un canal de communication chiffré SSL bidirectionnel (SFTunnel).

9. Cliquez sur More (plus) pour développer l’affichage et assurez-vous que IP Forwarding (transfert IP) est défini sur On (activé).

Étape 5

Cliquez sur Deploy (déployer).

Étape 1

Dans la console GCP, choisissez Compute Engine > VM instances pour accéder aux instances de machine virtuelle du service Compute Engine.

Étape 2

Cliquez sur le nom de l’instance défense contre les menaces virtuelles pour ouvrir la page des renseignements de l’instance de machine virtuelle (VM instance details).

Étape 3

Sous l’onglet Details (détails), cliquez sur le menu déroulant du champ SSH.

Étape 4

Sélectionnez l’option souhaitée dans le menu déroulant SSH.

• Tout autre outil client SSH ou tiers : consultez l’information sur la connexion à l’aide d’outils tiers de la documentation de Google pour en savoir plus.

Étape 1

Dans la console GCP, choisissez Compute Engine > VM instances pour accéder aux instances de machine virtuelle du service Compute Engine.

Étape 2

Cliquez sur le nom de l’instance défense contre les menaces virtuelles pour ouvrir la page des renseignements de l’instance de machine virtuelle (VM instance details).

Étape 3

Sous l’onglet Details (détails), cliquez sur Connect to serial console (se connecter à la console de série).

Étape 1

Dans la console GCP, choisissez Compute Engine > VM instances pour accéder aux instances de machine virtuelle du service Compute Engine.

Étape 2

Cliquez sur le nom de l’instance défense contre les menaces virtuelles pour ouvrir la page des renseignements de l’instance de machine virtuelle (VM instance details).

Étape 3

Sous l’onglet Details (détails), cliquez sur le menu déroulant du champ SSH.

Étape 4

Cliquez sur View gcloud command (voir la commande gcloud) > Run in Cloud Shell (exécuter dans Cloud Shell).

Étape 1

Copiez le référentiel Git dans un dossier local.

git clone git_url -b branch_name 

Étape 2

Créez le compartiment dans l’interface de ligne de commande gcloud.

gsutil mb -c nearline gs://bucket_name

Étape 3

Créez des paquets zip compressés :

1. Créez des paquets zip compressés contenant les fichiers suivants à partir des dossiers ftdv_scaleout et ftdv_scalein.

   • main.py

   • basic_functions.py

   • fmc_functions.py

   • requirements.txt

   Remarque

   Dans le fichier main.py, utilisez la commande ssh_ip = response[‘networkInterfaces’] [2] [‘networkIP’] si une adresse IP interne est utilisée. Si une adresse IP externe est utilisée, saisissez la commande ssh_ip = response[‘networkInterfaces’] [2] [‘accessConfigs’] [0] [‘natIP’] . De plus, deux routes statiques sont ajoutées dans cette fonction. Vous pouvez modifier les routes statiques à l’aide des commandes fmc.create_static_network_route (vm_name, ‘outside’, ‘any_ipv4’, os.getenv(“OUTSIDE_GW_NAME”), metric=1) et fmc.create_static_network_route (vm_name, ‘inside’, ‘any_ipv4’, os.getenv(“INSIDE_GW_NAME”), metric=2) .

2. Renommez les paquets zip compressés en ftdv_scaleout.zip et ftdv_scalein.zip.

   Remarque

   Naviguez dans le dossier, sélectionnez les fichiers, cliquez avec le bouton droit et sélectionnez « compress | archive » (compresser | archiver) pour créer un fichier.zip que GCP peut lire.

Étape 4

Chargez les paquets zip compressés (ftdv_scaleout.zip et ftdv_scalein.zip) dans l’espace de travail de l’éditeur en nuage.

Étape 5

Chargez les fichiers suivants du modèle de gestionnaire de déploiement dans l’espace de travail de l’éditeur en nuage.

Étape 6

Copiez les paquets zip compressés dans le compartiment de stockage.

Étape 7

Créez un VPC et un sous-réseau pour les interfaces internes, externes et de gestion.

Étape 8

Vous avez besoin de quatre règles de pare-feu pour les interfaces interne, externe, de gestion et de diagnostic. En outre, vous devez avoir une règle de pare-feu pour autoriser les sondes de vérification de l’intégrité.

Étape 9

Créez deux secrets pour les éléments suivants à l’aide de l’interface graphique utilisateur de Secret Manager. Consultez https://console.cloud.google.com/security/secret-manager.

Étape 10

Créez le connecteur VPC.

gcloud beta compute networks vpc-access connectors create <vpc-connector-name> 
--region <region> --subnet=</28 subnet name>

gcloud beta compute networks vpc-access connectors create demo-vpc-connector 
--region us-central1 --subnet=outside-connect-28
Create request issued for: [demo-vpc-connector]
Waiting for operation [projects/asavgcp-poc-4krn/locations/us-central1/operations/
10595de7-837f-4c19-9396-0c22943ecf15] to complete...done.
Created connector [demo-vpc-connector].

Étape 11

Déployez centre de gestion virtuel sur n’importe quelle plateforme en nuage public avec une adresse IP publique. Consultez le Guide de démarrage de Cisco Secure Firewall Management Center Virtual pour en savoir plus sur le déploiement de centre de gestion virtuel sur diverses plateformes de nuage public.

Étape 12

Sur l’instance centre de gestion virtuel , créez un utilisateur restapi pour centre de gestion virtuel et utilisez le même mot de passe que celui enregistré dans le secret fmcpassword. Consultez la section sur les utilisateurs (Users) pour en savoir plus.

Étape 13

Sur l’instance centre de gestion virtuel , créez un groupe d’appareils, une politique de contrôle d’accès et une règle de contrôle d’accès. Consultez l’information sur l’ajout d’un groupe d’appareils, la création d’une politique de contrôle d’accès de base et de Création et de modification des règles de contrôle d’accès pour de plus amples renseignements.

Étape 14

Sur l'instance centre de gestion virtuel , créez les objets ci-dessous. Consultez la gestion des objets pour plus d’informations sur la création d’objets sur centre de gestion virtuel .

object network hc1
  subnet 35.191.0.0 255.255.0.0
object network metadata
  host 169.254.169.254
object network ilb-ip
  host 10.52.1.218
object network hc2
  subnet 130.211.0.0 255.255.252.0
object network elb-ip
  host 34.85.214.40
object network hc3
  subnet 209.85.152.0 255.255.252.0
object network hc4
  subnet 209.85.204.0 255.255.252.0
object network inside-linux
  host 10.52.1.217
object network outside-gateway
  host <>
object network inside-gateway
  host <>

Étape 15

Sur l’instance centre de gestion virtuel  : Créez des zones de sécurité (objets d’interface). Consultez la création d’objets de zone de sécurité et de groupe d’interface pour en savoir plus.

Étape 16

Sur l’instance centre de gestion virtuel , créez la politique de NAT et les règles de NAT. Pour en savoir plus, consultez l’information sur la traduction d’adresses réseau.

nat (inside,outside) source dynamic hc1 interface destination static ilb-ip metadata service
SVC_4294968559 SVC_4294968559
nat (inside,outside) source dynamic hc2 interface destination static ilb-ip metadata service
SVC_4294968559 SVC_4294968559
nat (inside,outside) source dynamic any interface
nat (outside,inside) source dynamic hc1 interface destination static elb-ip metadata service
SVC_4294968559 SVC_4294968559
nat (outside,inside) source dynamic hc2 interface destination static elb-ip metadata service
SVC_4294968559 SVC_4294968559
nat (outside,inside) source dynamic hc3 interface destination static elb-ip metadata service
SVC_4294968559 SVC_4294968559
nat (outside,inside) source dynamic hc4 interface destination static elb-ip metadata service
SVC_4294968559 SVC_4294968559
nat (outside,inside) source dynamic any interface destination static elb-ip inside-linux

Étape 17

Mettez à jour les paramètres dans les fichiers Jinja et YAM pour les prédéploiements préalables et le déploiement de l’évolutivité automatique Défense contre les menaces virtuelles.

1. Ouvrez le fichier ftdv_predeployment.yaml et mettez à jour les paramètres suivants.

   • resourceNamePrefix : <resourceNamePrefix>

   • region : <region>

   • serviceAccountMailId : <serviceAccountMailId>

   • vpcConnectorName :<VPC-Connector-Name>

   • bucketName :<bucketName>

   • fmcIP : <centre de gestion-IP-address>

   • IregID : <registration-ID>

   • natID :<unique-NAT-ID>

   • grpID :<device-group-name>

   • policyID : <acl-policy-name>

   • licenseCAPS : <licenses>

   • fmcPasswordSecret : <centre de gestion-password>

   • newFtdPasswordSecret : <new-défense contre les menaces virtuelles-password>

   • fmcUsername : <username>

   • ftdvPassword : <password>

   • outsideGwName : <outside-gateway-name>

   • insideGwName : <inside-gateway-name>

   • outsideSecZone : <outside-security-zone>

   • insideSecZone : <inside-security-zone>

   • sshUsingExternalIP : <true/false>

2. Le fichier ftdv_predeployment.jinja prend les paramètres du fichier ftdv_predeployment.yaml.

3. Ouvrez le fichier ftdv_parameters.yml et mettez à jour les paramètres suivants.

   VPC and Firewall Parameters

   • mgmtVpcName : <mgmt-vpc-name>

   • diagVpcName : <diagnostic-vpc-name>

   • outsideVpcName : <outside-vpc-name>

   • insideVpcName : <inside-vpc-name>

   • mgmtSubnetworkName : <mgmt-subnet-name>

   • diagSubnetworkName : <diagnostic-subnet-name>

   • outsideSubnetworkName : <outside-subnet-name>

   • insideSubnetworkName : <inside-subnet-name>

   • mgmtFirewallRule : <mgmt-firewall-rule>

   • diagFirewallRule : <diagnostic-firewall-rule>

   • outsideFirewallRule : <outside-firewall-rule>

   • insideFirewallRule  : <inside-firewall-rule>

   • healthCheckFirewallRule : <healthcheck-firewall-rule>

   • adminPassword : <initial-défense contre les menaces virtuelles-password>

   • deployUsingExternalIP : <true/false>

   Instance Template parameters

   • Type de machine : <machine-type>

   • source ImageURL : <source-image-URL>

   FTDv Health Check

   • ftdvHealthCheckPort : <port-number>

   • ftdvCheckIntervalSec : <interval-in-seconds>

   • ftdvTimeoutSec : <timeout-in-seconds>

   • ftdvHealthCheckProtocolName : <protocol-name>

   • ftdvUnhealthyThreshold : <threshold-count>

   FTDv Autoscaler

   • cpuUtilizationTarget : <percentage-in-decimals (for example, 0.7)>

   • coolDownPeriodSec: <cooldown-period-in-seconds>

   • minFTDReplicas : <min-number-of-FTDv-instances>

   • maxFTDReplicas : <max-number-of-FTDv-instances>

   ELB Services

   • elbPort : <port-number>

   • elbPortName : <port-name>

   • elbProtocol : <protocol-name>

   • elbTimeoutSec : <timeout-in-seconds>

   • elbProtocolName : <protocol-name>

   • elbUnhealthyThreshold : <threshold-number-for-failed-health-checks>

   • elbIpProtocol : <IP-Protocol>

   • elbPortRange : <port-range>

   • elbFePorts : <fast-ethernet-ports>

   ILB Services

   • ilbProtocol : <protocol-name>

   • ilbDrainingTimeoutSec :<timeout-in-seconds>

   • ilbPort : <port-number>

   • ilbCheckIntervalSec : <interval-in seconds>

   • ilbCheckIntervalSec : <interval-in seconds>

   • ilbProtocolName : <protocol-name>

   • ilbUnhealthyThreshold : <threshold-number-for-failed-health-checks>

   Remarque

   Pour l’évolutivité automatique dedéfense contre les menaces virtuelles, le paramètre cpuUtilizationTarget: 0.5 est défini et vous pouvez le modifier en fonction de vos besoins. Cette valeur signifie une utilisation du processeur de 50 % de tout le groupe d’instances défense contre les menaces virtuelles.

4. Le fichier ftdv_template.jinja prend les paramètres du fichier ftdv_parameters.yaml .

Étape 18

Déployez la configuration YAML de pré-déploiement.

gcloud deployment-manager deployments create <pre-deployment-name> 
--config ftdv_predeployment.yaml

gcloud deployment-manager deployments create demo-predeployment 
--config ftdv_predeployment.yaml                                                                      
The fingerprint of the deployment is b'9NOy0gsTPgg16SqUEVsBjA=='
Waiting for create [operation-1624383045917-5c55e266e596d-4979c5b6-66d1025c]...done.
Create operation operation-1624383045917-5c55e266e596d-4979c5b6-66d1025c 
completed successfully

Étape 19

Créez le déploiement d’évolutivité automatique de défense contre les menaces virtuelles.

gcloud deployment-manager deployments create <deployment-name> 
--config ftdv_parameters.yaml

gcloud deployment-manager deployments create demo-asav-autoscale 
--config ftdv_parameters.yaml
The fingerprint of the deployment is b'1JCQi7Il-laWOY7vOLza0g=='
Waiting for create [operation-1624383774235-5c55e51d79d01-1a3acf92-4f3daf16]...done.
Create operation operation-1624383774235-5c55e51d79d01-1a3acf92-4f3daf16 
completed successfully.

Étape 20

Créez une route pour qu’ILB transfère les paquets de l’application interne à Internet.

gcloud beta compute routes create <ilb-route-name> 
--network=<inside-vpc-name> --priority=1000 --destination-range=0.0.0.0/0 
--next-hop-ilb=<ilb-forwarding-rule-name> --next-hop-ilb-region=<region>

gcloud beta compute routes create demo-ilb --network=sdt-test-asav-inside 
--priority=1000 --destination-range=0.0.0.0/0 --next-hop-ilb=demo-asav-fr-ilb 
--next-hop-ilb-region=us-central1
Created [https://www.googleapis.com/compute/beta/projects/asavgcp-poc-4krn/global
/routes/demo-ilb].