Étape 1

Dans gestionnaire de châssis, sélectionner Logical Devices (dispositifs logiques).

Étape 2

Cliquez sur Add > Standalone, puis définissez les paramètres suivants :

1. Indiquez un nom de dispositif (Device Name).

   Ce nom est utilisé par le superviseur du châssis pour configurer les paramètres de gestion et affecter des interfaces; ce n'est pas le nom de dispositif utilisé dans la configuration de l'application.

   Remarque

   Vous ne pouvez pas modifier ce nom après avoir ajouté le dispositif logique.

2. Pour le modèle (Template), choisissez Cisco Firepower Threat Defense.

3. Choisissez la version de l’image (Image Version).

4. Choisissez le type d'instance (Instance Type ): instance de conteneur (Container) ou instance native (Native).

   Une instance native utilise toutes les ressources (CPU, RAM et espace disque) de security module/engine. Vous ne pouvez donc installer qu’une seule instance native. Une instance de conteneur utilise un sous-ensemble de ressources de security module/engine. Vous pouvez donc installer plusieurs instances de conteneur.

5. Cliquez sur OK.

   Vous voyez la fenêtre Provisioning - device name (provisionnement, nom du dispositif).

Étape 3

Développez la zone des ports de données (Data Ports), puis cliquez sur chaque interface que vous souhaitez affecter au dispositif.

Vous pouvez uniquement affecter des données et des interfaces de partage de données que vous avez précédemment activées dans la page Interfaces. Vous activerez et configurerez plus tard ces interfaces dans le centre de gestion, y compris la définition des adresses IP.

Vous pouvez affecter au maximum 10 interfaces de partage de données à une instance de conteneur. En outre, chaque interface de partage de données peut être affectée à tout au plus 14 instances de conteneur. Une interface de partage de données est indiquée par icône partage ().

Hardware Bypass : Les ports compatibles sont représentés par l'icône suivante : . Pour certains modules d'interface, vous pouvez activer la fonction de contournement matériel pour les interfaces en ensemble en ligne uniquement (voir le Guide de configuration de Firepower Management Center pour obtenir plus de renseignements sur les ensembles en ligne). Le contournement matériel garantit que le trafic continue de circuler entre une paire d’interfaces en ligne pendant une panne de courant. Cette fonctionnalité peut servir à maintenir la connectivité du réseau en cas de défaillance matérielle ou logicielle. Si vous n'affectez pas les deux interfaces dans une paire de Hardware Bypass, un message d'avertissement s'affiche pour vous assurer que votre affectation est intentionnelle. Vous n'avez pas besoin d'utiliser la fonctionnalité Hardware Bypass, vous pouvez donc affecter des interfaces uniques si vous préférez.

Étape 4

Cliquez sur l'icône de dispositif au centre de l'écran.

Étape 5

Dans la page des informations générales (General Information), procédez comme suit :

1. Sous Security Module Selection (sélection du module de sécurité), cliquez sur le module de sécurité que vous souhaitez utiliser pour ce dispositif logique.

2. Pour une instance de conteneur, spécifiez le profil des ressources (Resource Profile).

   Si vous affectez ultérieurement un profil de ressource différent, l'instance sera rechargée, ce qui peut prendre environ 5 minutes. Remarque : En ce qui concerne les grappes ou les paires à haute disponibilité établies, si vous affectez un profil de ressource de taille différente, faites le nécessaire pour que tous les membres aient la même taille dès que possible.

3. Choisissez l’interface de gestion (Management Interface).

   Cette interface est utilisée pour gérer le dispositif logique. Cette interface est distincte du port de gestion du châssis.

4. Choisissez le type d'adresse de l'interface de gestion (Address Type) : IPv4 only (IPv4 seulement), IPv6 only (IPv6 seulement), ou IPv4 and IPv6 (IPv4 et IPv6).

5. Configurez l’adresse IP de gestion (Management IP).

   Définissez une adresse IP unique pour cette interface.

6. Saisissez un masque de réseau (Network Mask) ou une longueur de préfixe (Prefix Length).

7. Entrez une adresse Network Gateway (passerelle réseau).

Étape 6

Sous l’onglet Settings (paramètres), procédez comme suit :

1. Pour une instance native, dans la liste déroulante Management type of application instance (type de gestion de l’instance d’application), choisissez FMC.

   Les instances natives prennent également en charge le gestionnaire d'appareilcomme gestionnaire. Après avoir déployé le dispositif logique, vous ne pouvez pas modifier le type de gestionnaire.

2. Entrez l'adresse IP du Cisco Firepower Management Center ou le nom d'hôte du gestionnaire de centre de gestion. Si vous ne connaissez pas l’adresse IP de centre de gestion, laissez ce champ vide et saisissez une phrase d’accès dans le champ Firepower Management Center NAT ID.

3. Pour une instance de conteneur, à la question sur l’autorisation du mode expert à partir de sessions SSD FTD (Permit Expert mode from FTD SSH sessions ): répondez oui (Yes) ou non (No). Le mode expert fournit l'accès à shell défense contre les menaces pour un dépannage avancé.

   Si vous choisissez Yes (oui) pour cette option, les utilisateurs qui accèdent à l'instance de conteneur directement à partir d'une séance SSH peuvent passer en mode expert. Si vous choisissez No (non), seuls les utilisateurs qui accèdent à l'instance de conteneur à partir de l’interface de ligne de commande de FXOS peuvent passer en mode expert. Nous vous recommandons de choisir No (non) pour augmenter l'isolement entre les instances.

   Utilisez le mode expert uniquement si une procédure documentée vous indique que c’est nécessaire ou si le Centre d’assistance technique (TAC) de Cisco vous demande de l’utiliser. Pour entrer dans ce mode, utilisez la commande expert dans l’interface de ligne de commande de défense contre les menaces.

4. Entrez les domaines de recherche (Search Domains) sous forme de liste dont les éléments sont séparés par des virgules.

5. Choisissez le mode du pare-feu (Firewall Mode) : Transparent ou Routed (routage).

   En mode routage, l'défense contre les menaces est considéré comme un saut de routeur dans le réseau. Chaque interface par laquelle vous souhaitez acheminer le trafic réseau se trouve sur un sous-réseau différent. Un pare-feu transparent, en revanche, est un pare-feu de couche 2 qui agit comme une « présence sur le réseau câblé » ou un « pare-feu furtif », et qui n’est pas considéré comme un saut de routeur vers les appareils connectés.

   Le mode pare-feu est uniquement défini lors du déploiement initial. Si vous appliquez à nouveau les paramètres de démarrage, ce paramètre n'est pas utilisé.

6. Entrez les serveurs DNS ( DNS Servers) sous forme de liste dont les éléments sont séparés par des virgules.

   Par exemple, défense contre les menaces utilise DNS si vous spécifiez un nom d'hôte pour centre de gestion.

7. Entrez le nom complet du domaine (Fully Qualified Hostname) pour défense contre les menaces.

8. Saisissez une clé d’enregistrement (Registration Key) à partager entre centre de gestion et l’appareil lors de l’enregistrement.

   Vous pouvez choisir n'importe quelle chaîne de texte pour cette clé entre 1 et 37 caractères; vous entrez la même clé sur centre de gestion lorsque vous ajoutez défense contre les menaces.

9. Saisissez un mot de passe (Password) pour l’utilisateur admin défense contre les menaces pour l’accès à l’interface de ligne de commande.

10. Choisissez l'interface d'événements sur laquelle les événements doivent être envoyés. Si aucune interface d’événement n’est pas spécifiée, l’interface de gestion sera utilisée.

    Cette interface doit être définie comme une interface pour événements Firepower.

11. Pour une instance de conteneur, définissez Hardware Crypto sur activé ( Enabled) ou désactivé (Disabled).

    Ce paramètre active l’accélération cryptographique TLS dans le matériel et améliore les performances pour certains types de trafic. Pour obtenir plus d'informations, reportez-vous à la Guide de configuration de Firepower Management Center. Cette fonctionnalité n'est pas prise en charge pour les instances natives. Pour afficher le pourcentage de ressources matérielles de chiffrement allouées à cette instance, entrez la commande show hw-crypto .

Étape 7

Sous l’onglet Agreement (accord), lisez et acceptez le contrat de licence d’utilisateur final.

Étape 8

Cliquez sur OK pour fermer la boîte de dialogue de configuration.

Étape 9

Cliquez sur Save (enregistrer).

Le châssis déploie le dispositif logique en téléchargeant la version de logiciel spécifiée et en envoyant les paramètres de l’interface de gestion et de configuration du démarrage à l’instance d’application. Consultez l’état du nouveau dispositif logique dans la page Logical Devices. Lorsque le dispositif logique indique que son état (Status) est en ligne (online), vous pouvez commencer à configurer la politique de sécurité dans l'application.

Étape 1

À l'aide d'un navigateur pris en charge, entrez l'URL suivante.

Étape 2

Saisissez votre nom d’utilisateur et votre mot de passe.

Étape 3

Cliquez sur Log In (Ouvrir une session).

Étape 1

Assurez-vous que votre compte de licences Smart contient les licences disponibles dont vous avez besoin.

Lorsque vous avez acheté votre appareil auprès de Cisco ou d’un revendeur, vos licences doivent avoir été associées à votre compte de gestion des licences Smart Software. Cependant, si vous devez ajouter des licences vous-même, utilisez le champ de recherche de produits et de solutions (Find Products and Solutions) de Cisco Commerce Workspace. Recherchez les identifiants de produit (PID) de licences suivants :

Remarque

Si un PID est introuvable, vous pouvez l'ajouter manuellement à votre commande.

• Combinaison de licences englobant IPS, les , la défense contre les programmes malveillants et les URL :

  • L-FPR9K-40T-TMC=

  • L-FPR9K-48T-TMC=

  • L-FPR9K-56T-TMC=

  Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée déterminée correspondant à l'un des PID suivants :

  • L-FPR9K-40T-TMC-1Y

  • L-FPR9K-40T-TMC-3Y

  • L-FPR9K-40T-TMC-5Y

  • L-FPR9K-48T-TMC-1Y

  • L-FPR9K-48T-TMC-3Y

  • L-FPR9K-48T-TMC-5Y

  • L-FPR9K-56T-TMC-1Y

  • L-FPR9K-56T-TMC-3Y

  • L-FPR9K-56T-TMC-5Y

• Cisco Secure Client—Consultez le guide de commande Cisco Secure Client.

• Licence d’opérateur :

  • L-FPR9K-FTD-CAR=

Étape 2

Si ce n'est pas déjà fait, enregistrez centre de gestion auprès du serveur de licences Smart.

Étape 1

Dans le centre de gestion, sélectionnez Devices (appareils) > Device Management (gestion des appareils).

Étape 2

Dans la liste déroulante Add (ajouter), choisissez Add Device (ajouter un appareil).

Définissez les paramètres suivants :

• Host (Hôte) : saisissez l'adresse IP ou le nom d'hôte de défense contre les menacesque vous souhaitez ajouter. Vous pouvez laisser ce champ vide si vous avez spécifié à la fois l'adresse IP centre de gestion et un ID NAT dans la configuration initiale de démarrage du dispositif de défense contre les menaces.

  Remarque

  Dans un environnement haute disponibilité, lorsque à la fois centre de gestion et défense contre les menaces se trouvent derrière une NAT, vous pouvez enregistrer le centre de gestion sans adresse IP ni nom d’hôte dans le serveur principal. Cependant, pour enregistrer le dispositif de défense contre les menaces dans un centre de gestion secondaire, vous devez fournir l’adresse IP ou le nom d’hôte du défense contre les menaces.

• Display Name (afficher le nom) : saisissez le nom du défense contre les menaces comme vous souhaitez qu’il apparaisse dans centre de gestion.

• Registration Key (clé d'enregistrement) : saisissez la clé d'enregistrement que vous avez spécifiée dans la défense contre les menacesconfiguration initiale du programme d'amorçage.

• Domain (domaine) : attribuez le dispositif à un domaine feuille si vous avez un environnement multidomaine.

• Group (groupe) : attribuez-le à un groupe de dispositifs si vous utilisez des groupes.

• Access Control Policy (politique de contrôle d'accès) : choisissez une politique initiale. Sauf si vous avez déjà une politique personnalisée que vous savez que vous devez utiliser, choisissez Create new policy (créer une nouvelle politique) et Block all traffic (bloquer tout le trafic). Vous pourrez modifier ce réglage ultérieurement pour autoriser le trafic; voir Permettre le trafic de l'intérieur vers l'extérieur.

  

• Smart Licensing (licences Smart) : attribuez les licences Smart dont vous avez besoin pour les fonctionnalités que vous souhaitez déployer : Malware (Programmes malveillants) (si vous avez l'intention d'utiliser l'inspection des programmes malveillants), Threat (Menance) (si vous avez l'intention d'utiliser la prévention des intrusions), et URL (si vous avez l'intention de mettre en œuvre le filtrage des URL par catégorie). Remarque : Vous pouvez appliquer une licence VPN d'accès à distance Secure Client (services client sécurisés) après avoir ajouté le dispositif, à partir de la page System (système) > Licenses (licences) > Smart Licenses (licences smart).

• Unique NAT ID : indiquez l’identifiant NAT que vous avez indiqué dans la configuration initiale de démarrage de défense contre les menaces.

• Transfer Packets (transférer des paquets) : permet au dispositif de transférer des paquets vers centre de gestion. Lorsque des événements comme IPS ou Snort sont déclenchés avec cette option activée, l’appareil envoie des informations sur les métadonnées d’événement et des données de paquets vers centre de gestion pour l’inspection. Si vous le désactivez, seules les informations d’événement seront envoyées vers centre de gestion, mais les données de paquets ne sont pas envoyées.

Étape 3

Cliquez sur Register (enregistrer) ou si vous souhaitez ajouter un autre appareil, cliquez sur Register and Add Another (enregistrer et ajouter un autre appareil) et confirmez la réussite de l’enregistrement.

Étape 1

(Option 1) SSH directement lié à l'adresse IP de l'interface de gestion de Défense contre les menaces.

Étape 2

(Option 2) À partir de l’interface de ligne de commande de FXOS, connectez-vous à l’interface de ligne de commande du module à l’aide d’une connexion de console ou d’une connexion Telnet.

1. Connectez-vous au security module.

   connect module numéro_de_logement { console | telnet}

   Les avantages de l’utilisation d’une connexion Telnet sont que vous pouvez avoir plusieurs sessions sur le module en même temps et que la vitesse de connexion est plus rapide.

   Exemple:

   
   Firepower# connect module 1 console
   Telnet escape character is '~'.
   Trying 127.5.1.1...
   Connected to 127.5.1.1.
   Escape character is '~'.
   
   CISCO Serial Over LAN:
   Close Network Connection to Exit
   
   Firepower-module1> 
   
   

2. Connectez-vous à la console de Défense contre les menaces.

   connect ftd nom

   Si vous avez plusieurs instances d'application, vous devez préciser le nom de l'instance. Pour afficher les noms des instances, entrez la commande sans nom.

   Exemple:

   
   Firepower-module1> connect ftd FTD_Instance1
   
   ============================= ATTENTION ==============================
   You are connecting to ftd from a serial console. Please avoid
   executing any commands which may produce large amount of output.
   Otherwise, data cached along the pipe may take up to 12 minutes to be
   drained by a serial console at 9600 baud rate after pressing Ctrl-C.
   
   To avoid the serial console, please login to FXOS with ssh and use
   'connect module <slot> telnet' to connect to the security module.
   ======================================================================
   
   Connecting to container ftd(FTD_Instance1) console... enter "exit" to return to bootCLI
   > 
   
   

3. Quittez la console d’application pour l’interface de ligne de commande du module FXOS en saisissant exit.

   Remarque

   Pour les versions antérieures à la version 6.3, entrez Ctrl-a, d.

4. Revenez au niveau de superviseur du Interface de ligne de commande FXOS.

   Pour quitter la console :

   1. Entrez ~

      Vous quittez l'application Telnet.

   2. Pour quitter l'application Telnet, entrez :

      telnet>quit

   Pour quitter la session Telnet :

   Entrez Ctrl-], .