SDC に関する Docker ネットワークの考慮事項

SDC は Docker コンテナとして実行されます。Docker は通常、デフォルトのブリッジネットワークである docker0 に 172.17.0.0/16 サブネットを使用します。

172.17.0.0/16または Docker によって割り当てられたネットワークスペースの一部が既存のネットワーク IP スペースと重複している場合は、SDC を展開する前に Docker ネットワークのデフォルト値を変更します。代替ネットワークを使用するには、/etc/docker/daemon.json の設定を編集します。

たとえば、Docker ネットワークアドレスプールでスーパーネット 10.198.0.1/24 を使用し、サブネット 10.198.0.0/24 から、IP アドレス 10.198.128.0/17 をデフォルト Docker ブリッジインターフェイスである docker0 として使用します。

sudo vi /etc/docker/daemon.json

{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "100m",
    "max-file": "5"
  },
    "bip": "10.198.0.1/24",
    "default-address-pools": [
        {
            "base": "10.198.128.0/17",
            "size": 24
        }
    ]
}

(save and exit)

sudo reboot (required)

詳細については、「ネットワークの概要」を参照してください。

Security Cloud Control は、クラウドコネクタまたは Secure Device Connector（SDC）を介して管理対象デバイスに接続します。

クラウドコネクタを介して Security Cloud Control Firewall Management をデバイスに直接接続する場合、EMEA、米国、または APJ 地域のさまざまな IP アドレスに、ポート 443（またはデバイス管理用に設定したポート）でのインバウンドアクセスを許可する必要があります。

サポートされているインストール

• Security Cloud Control は、vSphere Web クライアントまたは ESXi Web クライアントを使用した SDC VM OVF イメージのインストールをサポートしています。

• Security Cloud Control は、vSphere デスクトップクライアントを使用した SDC VM OVF イメージのインストールをサポートしていません。

• Security Cloud Control は、独自の Ubuntu インスタンスへの SDC のインストールをサポートしています。現在、バージョン 20LTS ～ 24LTS がサポートされています。

• ESXi 5.1 ハイパーバイザ。

システム要件

• 1 つの SDC を持つ VM のシステム要件は、次のとおりです。

  • 2 vCPU

  • 2 GB のメモリ

  • 64 GB のディスク容量

• ホストに追加する各 SDC には、追加の 1 つの vCPU と 1 GB の RAM が必要です。

• 1 つの SEC（Cisco Security Analytics and Logging で使用されるコンポーネント）を持つ VM のシステム要件は、次のとおりです。

  • 4 つの vCPU（最小）

  • 8 GB のメモリ

• ホストに追加する SEC ごとにリソースを倍にする必要があります。そのため、これらは 1 つの SDC と 1 つの SEC を持つ VMware ESXi ホストの要件です。

  • 6 vCPU

  • 10 GB のメモリ

  • 64 GB のディスク容量

設置の準備

• ホストにおいてネットワーキングを手動で設定するには、次の情報を収集します。

  • VM に使用する静的 IP アドレス

  • cdo ユーザー（または sudo アクセスを持つユーザー）と sdc ユーザー（Docker を実行するユーザー）に使用するパスワード

  • 組織で使用する DNS サーバーの IP アドレス

  • SDC アドレスが存在するネットワークのゲートウェイ IP アドレス

  • タイム/NTP サーバーの FQDN または IP アドレス

• SDC 仮想マシンは、セキュリティパッチを定期的にインストールするように設定されており、これを行うには、ポート 80 のアウトバウンドを開く必要があります。

  ネットワークでアウトバウンド接続に許可/拒否リストを使用している場合は、ubuntu.com への接続を許可して、それらのセキュリティ更新を適用できるようにする必要があります。

  （注）	Ubuntu はチェックサムで更新を保護し、HTTPS ではなく HTTP のみを使用します。セキュリティ更新をプルするには、ubuntu.com への HTTP 接続を許可する必要があります。

VM の展開

SDC と SEC の実行に使用される VM を展開するには、2 つのオプションがあります。

1. Security Cloud Control が提供する VMware イメージをダウンロードするには、次の手順を実行します。

2. Ubuntu 20、22、または 24 を自分で展開する場合、独自の Ubuntu インスタンスを展開するときは、次のセクションをスキップして、「VM の設定」セクションに進むことができます。

手順

1. Security Cloud Control のホームページで、[ファイアウォール（Firewall）] をクリックします。

2. 左側のペインで 管理（Administration） > 統合（Integrations） > セキュアコネクタ（Secure Connectors） をクリックします。

3. [Services] ページの [Secure Connectors] タブを選択し、青いプラスボタンをクリックして、[Secure Device Connector] を選択します。

4. [Download the SDC VM] のイメージをクリックします。新しいタブで表示されます。

5. .zip ファイルからすべてのファイルを抽出します。これらは次のようなものです。

   • CDO-SDC-VM-ddd50fa.ovf

   • CDO-SDC-VM-ddd50fa.mf

   • CDO-SDC-VM-ddd50fa-disk1.vmdk

6. vSphere Web クライアントを使用して、管理者として VMware サーバーにログインします。

   （注）	ESXi Web クライアントは使用しないでください。

   プロンプトに従って、OVF テンプレートから Secure Device Connector 仮想マシンを展開します。

7. セットアップが完了したら、SDC VM の電源を入れます。

8. 新しい SDC VM のコンソールを開きます。

9. cdo というユーザー名でログインします。デフォルトのパスワードは adm123 です。

VM の設定

これで、展開した VM イメージのコンソールを起動できます（また、VM を自作しており、SSH を有効にしている場合は、その VM に SSH 接続できます）。ホストで SDC または SEC Docker コンテナを実行できるようにするには、設定スクリプトを実行する必要があります。

1. Security Cloud Control 提供の VM をダウンロードした場合は、CLI がすでにインストールされているため、手順 2 に進むことができます。独自の VM を展開した場合は、その VM に SSH 接続し、次のコマンドを実行して CLI をインストールします。

   curl -O https://s3.us-west-2.amazonaws.com/download.defenseorchestrator.com/sdc-cli/sdc-cli-package-latest.tgz && tar -xvf sdc-cli-package-latest.tgz && chmod +x ./install.sh && ./install.sh
   

2. 次のコマンドを実行して、ホストの構成を開始します：

   sudo sdc host configure

3. パスワードの入力を求められたら、Security Cloud Control 提供の VM 場合は adm123 を入力し、独自の VM の場合は、選択した管理者パスワードを入力します。

4. プロンプトに従って、sdc ユーザーを設定します。

5. ネットワークの設定を求められたら、次のいずれかを選択します。

   • [このホストを静的 IP で手動設定する（Manually configure this host with a static IP）]：このホストの IP、ゲートウェイ、DNS サーバーなどを指定し、それを VM 上のシステム設定に書き込みます。

   • [DHCP]：VM に静的 IP を割り当てる DHCP サーバーがある場合。

   • [静的 IP が設定済みで、今すぐネットワーキングを変更したくない。（Static IP is already configured and I don't want to change my networking now.）]

6. プロンプトが表示されたら、プロキシ設定に関する質問に回答します。このトピックの上部にある詳細なリストで、すべての前提条件と、可能なプロキシ設定オプションを確認してください。

7. プロキシが設定済みである場合は、すべてのプロキシ設定を有効にするために VM を再起動することを求められます。設定していない場合は、再起動することを求められず、手順 8 に進むことができます。

8. カスタム インターネット アクセス テスト URL を設定します。これを行う必要があるのは、デフォルトですべてのアウトバウンド接続を拒否する場合のみです。その場合は、許可リストにある https://google.com などのパブリックにアクセス可能な Web URL を指定します。

9. 最新のセキュリティパッチをインストールします。一部のパッチには OS ツールと Docker サーバーが必要です。

10. プロンプトが表示されたら、スクリプトで SSH 設定を強化するかどうかを指定します。

    シスコの VM を使用している場合は、続行します。独自の VM を使用しており、SSH を自分で設定している場合は、現在の設定を変更しないように、この手順をスキップすることができます。

11. SDC、SEC、CLI 自体の自動更新を有効にするように求められた場合は、これを実行して、バグ修正、パッチ、および新機能を最新の状態に保つことを推奨します。ポリシーによって自動更新が許可されない場合は、「Secure Device Connector の更新」を参照してください。

移行する前に

• SDC には TCP ポート 443 でのインターネットへの完全なアウトバウンドアクセスが必要です。

• SDC を実行している Ubuntu 仮想マシンには、ASA や Cisco IOS デバイスなど、通信するデバイスの管理インターフェイスへのネットワークアクセスが必要です。

• デバイスに到達するため、元の SDC VM の IP アドレスまたは FQDN で作成されたネットワークルールを、新しい SDC VM の IP アドレスまたは FQDN を使用して作成し直す必要があります。

• 移行には 10 ～ 15 分かかります。移行中、デバイスは引き続きセキュリティポリシーを適用し、ネットワークトラフィックを回送しますが、SDC を介した通信はできません。

前提条件

「Secure Device Connector および Secure Event Connector を実行するための VM の展開」の手順に従って新しいホストを展開します。

ホストの設定

SDC や SEC を移行する場合は、次の手順に従います。

1. こちらから新しい VM イメージをダウンロードします。

2. CDO-SDC_VM.zip ファイルを解凍します。次のような名前の 3 つの VM ファイルが表示されます。

   • CDO-SDC-VM-708cd33-2024-05-30-2031-disk1.vmdk

   • CDO-SDC-VM-708cd33-2024-05-30-2031.mf

   • CDO-SDC-VM-708cd33-2024-05-30-2031.ovf

3. ダウンロードした VM を展開します。

4. 新しい VM に割り当てられた静的 IP アドレスまたは FQDN をメモします。

5. SSH を使用して、CDO ユーザーとして新しい VM にログインします。

6. プロンプトに次のコマンドを入力します。

   sudo sdc host configure

   （注）	移行スクリプトのプロンプトに厳密に従ってください。このスクリプトは適切に文書化されており、手順ごとの説明で移行プロセスをガイドします。 移行スクリプトの最後に、SDC が新しい VM に移行されたことを示すメッセージが表示されます。SDC の名前は、移行後も保持されます。

SDC の移行

手順：

1. SSH を使用して、CDO ユーザーとして元の（CentOS）SDC にログインします。

2. 次のコマンドを使用して CLI をインストールします。

   curl -O https://s3.us-west-2.amazonaws.com/download.defenseorchestrator.com/sdc-cli/sdc-cli-package-latest.tgz && tar -xvf sdc-cli-package-latest.tgz && chmod +x ./install.sh && ./install.sh

3. 次のコマンドを実行し、プロンプトに従います。

   sudo sdc migrate now

確認：

1. Security Cloud Control テナントにログインします。

2. 移行先の SDC を選択して、[操作（Actions）] ペインで [ハートビートの要求（Request Heartbeat）] をクリックします。

（注）	SDC が [アクティブ（Active）] 状態であることを確認します。

SEC の移行

手順：

1. SSH を使用して、CDO ユーザーとして元の（CentOS）SDC にログインします。

2. 次のコマンドを使用して CLI をインストールします。

   curl -O https://s3.us-west-2.amazonaws.com/download.defenseorchestrator.com/sdc-cli/sdc-cli-package-latest.tgz && tar -xvf sdc-cli-package-latest.tgz && chmod +x ./install.sh && ./install.sh

3. 次のコマンドを実行し、プロンプトに従います。

   sudo sdc eventing migrate

4. SEC の新しい IP アドレスをポイントするようにデバイスを設定するか、元のホストをシャットダウンし、新しいホストに元のホストと同じ IP アドレスを割り当てます（この場合、デバイスの更新は不要です）。

確認：

SEC の状態に関する詳細は、「Secure Event Connector の状態を把握するためのヘルスチェックの使用」を参照してください。

追加手順

古い SDC を再起動しない

移行が完了したら、元の仮想マシンで古い SDC を再起動しないでください。

失敗した移行を元に戻す

何らかの理由で移行が失敗した場合、または期待どおりの結果でなかったため、元の SDC に戻す場合は、次の手順に従います。

1. 新しい VM にログインし、SDC ユーザーにスイッチします。

2. 次のコマンドを使用して、SDC が現在新しい VM で実行されていないことを確認します。

   docker ps

3. SDC が実行されている場合は、次のコマンドを実行します。

   sdc stop

4. 再度 docker ps を実行して、SDC が実行を停止したことを確認します。

5. 古い VM にログインし、次のコマンドを実行します。

   sdc migrate revert

6. 古い SDC がアクティブで UI に表示されたら、新しい VM に戻り、次のコマンドを実行します。

   sdc delete <your-tenant-name-here>

7. ブラウザを完全に更新し、SDC をクリックして、古いホストの IP がサイドバーに表示されていることを確認します。

   これらの手順を実行しても、新しい IP が表示される場合は、新しいヘルスチェックを要求し、ブラウザを更新して、もう一度確認してください。

8. SEC 移行を元に戻すには、以下のコマンドを実行します。

   sdc eventing revert