Configuratie van hoge beschikbaarheid op Series 3 Defense Centers
Inhoud
Inleiding
In dit document wordt de configuratie van hoge beschikbaarheid (HA) beschreven voor Series 3 Defense Centers (DC).
Voorwaarden
Vereisten
Cisco raadt kennis van de volgende onderwerpen aan:
- Firepower technologie
- Basisconcepten voor hoge beschikbaarheid
Gebruikte componenten
De informatie in dit document is gebaseerd op Firepower Defense Center Series 3 apparaten (DC1500,DC2000,DC3500,DC4000) die van softwareversie 5.3 tot softwareversie 5.4.1.6 lopen
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.
Achtergrondinformatie
Om de continuïteit van operaties te verzekeren, staat de hoge beschikbaarheid optie u toe om overtollige defensiecentra aan te wijzen om apparaten te beheren.Het Defense Center handhaaft eventgegevensstromen van beheerde apparaten en bepaalde configuratieelementen van deze apparaten. Als een Defense Center faalt, kunt u uw netwerk controleren zonder onderbreking door het andere Centrum van de Defensie.
Functies met hoge beschikbaarheid
- HA-synchronisatie is bidirectioneel, wat betekent dat, ook al is er een aangewezen primair en secundair apparaat, de veranderingen die op een van de apparaten zijn toegevoegd, aan de andere worden herhaald.
- HA vereist niet dat de apparaten direct worden aangesloten. De HA verbinding kan over een schakelaar worden gedaan maar deze verbinding moet in het zelfde uitzending domein zijn.
- HA-apparaten communiceren over hun beheer-IP in poort 8305.
- HA synchronisatietijd voor een apparaat is vijf minuten, wat betekent dat na elke vijf minuten een apparaat probeert zijn configuratie te synchroniseren met zijn peer. Aangezien de tijd die voor de synchronisatie nodig is, specifiek is voor apparaten, kan de synchronisatietijd cumulatief worden maximaliseerd tot tien minuten.
- Als er een nieuwe afbeelding nodig is voor een specifieke HA-peer, wordt aanbevolen om de HA te breken en dan de afbeelding opnieuw te maken.
- Als u van plan bent het HA-cluster te verbeteren, is het niet nodig om de HA te breken. Wanneer u van versie 5.3.0 tot 5.4.0 upgradt u de apparaten één voor één en wanneer zij worden bijgewerkt, voert u een synchronisatietaak uit op het primaire defensiecentrum.
- De aanwezigheid van een toegangsbeleid met dezelfde naam op beide DC's creëert twee toegangscontrolebeleid met dezelfde naam. Het ene beleid wordt lokaal ingesteld en het andere wordt gesynchroniseerd via de peer DC.
- Licenties worden niet gesynchroniseerd tussen gelijkstroompeers, zodat ze afzonderlijk aan de gelijkstroomkringen moeten worden toegevoegd.
- Alle beheerde apparaten worden slechts aan één DC toegevoegd. De configuratie is gesynchroniseerd tussen de peer DC's.
- Beheerde apparaten verzenden logbestanden naar beide DC's.
- DC's synchroniseren de laatste acties. Als u bijvoorbeeld een gebruiker uit DC-1 verwijdert, synchroniseert de andere peer DC-2 de gebruikersconfiguratie niet naar DC-1. Deze synchroniseert de verwijdert actie en de gebruiker wordt verloren van zowel DC-1 als DC-2.
Configuratie gedeeld bidirectioneel tussen peers
HA DC's synchroniseren het beleid bidirectioneel. Deze configuraties zijn bidirectioneel tussen gelijken. U kunt de meeste van deze configuraties ook bekijken met het pad dat net naast dit is gedefinieerd:
Identificaties en verificatie
- Externe LDAP-configuratie - Navigatie naar systeem > Lokaal > Gebruikersbeheer > Externe verificatie
- Gebruikers (intern en extern) - navigeer naar systeem > Lokaal> Gebruikersbeheer> Gebruikers
- Aangepaste gebruikersrollen - Navigeren naar systeem > Lokaal > Gebruikersbeheer > Gebruikersrollen
Rapporten
- Rapportsjablonen - Navigeren naar Overzicht > Rapportage > sjablonen
Configureerbaar beleid (onder beleidssectie)
- Toegangsbeheer, inbraakbeleid, bestandsbeleid, SSL-beleid, beleid, beleid voor netwerktoegang, correlatiebeleid en -regels, naleving van blanke en verkeersprofielen.
- Inbraakregels (lokaal en SRU) - Navigeren in naar beleid > Inbraakbeleid > Regeleditor > Lokale regels.
- Netwerkontdekking, hosteigenschappen, feedback van de gebruiker op het netwerk, inclusief opmerkingen en hostkritiek, het wissen van hosts, toepassingen en netwerken uit de netwerkkaart en de deactivering of wijziging van kwetsbaarheden.
- Aangepaste toepassingsdetectie
- LDAP-verbindingen in gebruikersbeleid - Navigeren naar beleid > Gebruikers
- Waarschuwingen - navigeren naar beleid > Handelingen > Waarschuwingen (onder antwoord)
Apparaatinformatie
- NAT-regels - navigeer naar apparaten> NAT
- VPN-regels - navigeren naar apparaten > VPN
- Alle informatie over het apparaat, inclusief de naam en de groep ervan, is in twee richtingen samengevoegd. De locatie voor logopslag voor elk apparaat is ook gesynchroniseerd tussen peers - Navigeren naar Apparaten > Apparaatbeheer
- Aangepaste inbraakregelclassificaties
- Geactiveerde aangepaste vingerafdrukken
- Systeembeleid en gezondheidsbeleid
- Aangepaste dashboards, aangepaste werkstromen en aangepaste tabellen
- Verzoening, momentopnamen en rapportage-instellingen wijzigen
- Sourcefire-regel-updates (SRU), Geolocation-database (GeoDB) en kwetsbaarheidsdatabases (VDB)
Configuratie niet gesynchroniseerd tussen DC’s
- Informatie over gebruikersagent in gebruikersbeleid
- NMAP-scans
- Antwoordgroepen
- Remediatiemodules
- Remediatie-omstandigheden
- E-slingerclient en host-ingangsclient
- Reserve-profielen
- Planningen
- Licenties
- updates
- Waarschuwingen voor gezondheid
Configureren
Voorwaarden om hoge beschikbaarheid te configureren
- De apparaten moeten van dezelfde software en hardwareversie zijn.
- De apparatuur moet dezelfde VDB hebben geïnstalleerd.
- De apparaten moeten dezelfde SRU hebben.
- Zorg ervoor dat beide defensiecentra een gebruikersaccount hebben met de naam admin met Administrator-rechten. Deze rekeningen moeten hetzelfde wachtwoord gebruiken.
- Zorg ervoor dat, behalve de admin-account, de twee Defense Centers geen gebruikersaccount met identieke gebruikersnamen hebben. Verwijder of noem een van de dubbele gebruikersaccount voordat u een hoge beschikbaarheid instelt.
- Zorg ervoor dat beide apparaten geen toegangscontrolebeleid met dezelfde naam hebben. Als er twee toegangscontrolemiddelen met dezelfde naam zijn, bestaan beide op de DC's samen. Ze kunnen echter niet aan een apparaat worden gekoppeld.Zodra u dit beleid opslaat na een doelapparaat te hebben toegevoegd, wordt deze configuratie verworpen met een fout zoals in de afbeelding:
- Beide defensiecentra moeten toegang hebben tot internet.
Hoge beschikbaarheid instellen
Dit zijn de 8 stappen om hoge beschikbaarheid te configureren.
Stap 1. Bevestig dat de software- en hardwareversie samen met de VDB-versie en de regel-update versie hetzelfde zijn.
Stap 2. Om uw apparaat secundair te maken, navigeer dan naar Systeem > Lokaal > Registratie, zoals in de afbeelding. Zorg ervoor dat u geen configuratie op deze DC hebt.
Stap 3. Onder het tabblad Hoge beschikbaarheid klikt u op hier om dit als een secundair defensiecentrum vast te stellen, zoals in de afbeelding:
Stap 4. Als u Stap 3 voltooit, wordt een pagina weergegeven zoals in de afbeelding. Voeg het IP van de primaire DC en de pass sleutel toe. Zorg ervoor dat u een unieke NAT-id toevoegt voor apparaten, die achter een netwerkadresomzetting zitten.
Stap 5. Nadat het IP-adres is geverifieerd, klikt u indien nodig op Registreer. U ziet een pagina zoals in de afbeelding:
Dit betekent dat HA is ingesteld op de Secundaire DC en u moet hem configureren op de Primaire DC.
Stap 6. Meld u aan bij het apparaat dat u als primaire DC wilt configureren. Navigeer naar Systeem > Lokaal > Registratie.
Klik onder het tabblad Hoge beschikbaarheid op Klik hier om toe te voegen als het primaire defensiecentrum, zoals in de afbeelding:
Stap 7. Nadat u Stap 6 hebt voltooid, wordt een pagina weergegeven zoals in het beeld:
Voeg de secundaire DC IP toe. Geef dezelfde registratiesleutel en NAT-id op als u de secundaire DC hebt ingesteld.
Stap 8. Nadat de gegevens van het IP zijn geverifieerd, klikt u op Registreer. Zodra de registratie is voltooid, wordt de Success pagina gezien zoals in de afbeelding:
Na 5-10 minuten zijn de configuratie en synchronisatie van HA voltooid.
Het duurt bijna 5 tot 10 minuten om de configuratie en synchronisatie van HA te voltooien
Verifiëren
Stap voor stap configuratie om te verifiëren dat uw DC's correct zijn ingesteld voor een hoge beschikbaarheid.
Stap 1. Navigeer naar Systeem >Local >Registration op het primaire apparaat zoals in de afbeelding:
Stap 2. Navigatie in naar systeem >Local >Registration op de secundaire voorziening zoals in de afbeelding getoond:
Problemen oplossen
Deze sectie verschaft basisstappen voor het oplossen van problemen voor hoge beschikbaarheid.
- Zorg ervoor dat beide DC's op TCP poort 8305 luisteren, aangezien HA deze poort gebruikt om informatie en hartslagen te synchroniseren.
- Zorg ervoor dat TCP poort 8305 niet in het netwerk of door intermediaire apparaten wordt geblokkeerd.
- HA creatie faalt als er een stabiele ingang van een eerder peer apparaat is die wordt verwijderd of vervangen. De EM_Peers tabel geeft meer informatie over dergelijke peer apparaten.
Feedback