Beheertoegang tot FTD (HTTPS en SSH) configureren via FMC

Inleiding

In dit document wordt de configuratie beschreven van beheertoegang tot een Firepower Threat Defense (FTD) (HTTPS en SSH) via het Firesight Management Center (FMC).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Kennis van Firepower technologie
• Basiskennis van ASA (Adaptive Security Appliance)
• Kennis van Management Access op ASA via HTTPS en SSH (Secure Shell)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Adaptive Security Appliance (ASA) Firepower Threat Defense Image for ASA (5506X/5506H-X/5506W-X, ASA 5508-X, ASA 5516-X ), dat wordt uitgevoerd op de softwareversie 6.0.1 en hoger.
• ASA Firepower Threat Defense Image voor ASA (5515-X, ASA 5525-X, ASA 5545-X, ASA 5555-X, ASA 5585-X), die draait op de softwareversie 6.0.1 en hoger.
• Firepower Management Center (FMC) versie 6.0.1 en hoger.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Met het begin van Firepower Threat Defense (FTD) wordt de volledige ASA-gerelateerde configuratie uitgevoerd op de GUI.

Op FTD-apparaten waarop softwareversie 6.0.1 wordt uitgevoerd, wordt de diagnostische CLI van ASA geopend wanneer u de diagnostische cli voor systeemondersteuning invoert. Op FTD-apparaten met softwareversie 6.1.0 wordt de CLI echter geconvergeerd en worden volledige ASA-opdrachten geconfigureerd op de CLISH.

Om direct beheertoegang te krijgen via een extern netwerk, moet u beheertoegang configureren via HTTPS of SSH. Dit document biedt de vereiste configuratie om externe beheertoegang via SSH of HTTPS te verkrijgen.

Opmerking: op FTD-apparaten waarop softwareversie 6.0.1 wordt uitgevoerd, kan de CLI niet worden geopend door een lokale gebruiker. Er moet een externe verificatie worden geconfigureerd om de gebruikers te verifiëren. Op FTD-apparaten met softwareversie 6.1.0 heeft de lokale beheerder echter toegang tot de CLI, terwijl voor alle andere gebruikers een externe verificatie vereist is.

Opmerking: op FTD-apparaten met softwareversie 6.0.1 is de diagnostische CLI niet rechtstreeks toegankelijk via het IP dat is geconfigureerd voor br1 van de FTD. Op FTD-apparaten die softwareversie 6.1.0 uitvoeren, is de geconvergeerde CLI echter toegankelijk via elke interface die is geconfigureerd voor beheertoegang, maar de interface moet worden geconfigureerd met een IP-adres.

Configureren

Alle configuratie met betrekking tot beheertoegang wordt geconfigureerd terwijl u naar het tabblad Platforminstellingen in Apparaten navigeert, zoals weergegeven in de afbeelding:

Bewerk het beleid dat bestaat als u op het potloodpictogram klikt of maak een nieuw FTD-beleid terwijl u op de knop Nieuw beleid klikt en selecteer type als Instellingen voor bedreigingsverdediging, zoals weergegeven in de afbeelding:

Selecteer het FTD-toestel om dit beleid toe te passen en klik op Opslaan, zoals weergegeven in de afbeelding:

Beheertoegang configureren

Dit zijn de vier belangrijkste stappen die zijn genomen om de beheertoegang te configureren.

Stap 1. IP configureren op FTD-interface via FMC GUI.

Configureer een IP op de interface waarover de FTD toegankelijk is via SSH of HTTPS. Bewerk de interfaces die bestaan terwijl u naar het tabblad Interfaces van de FTD navigeert. 

Opmerking: op FTD-apparaten waarop softwareversie 6.0.1 wordt uitgevoerd, is de standaardbeheerinterface op de FTD de diagnostische 0/0-interface. Op FTD-apparaten waarop softwareversie 6.1.0 wordt uitgevoerd, ondersteunen alle interfaces echter beheertoegang, behalve de diagnostische interface.

Er zijn zes stappen om de diagnostische interface te configureren.

Stap 1. Navigeer naar Apparaat > Apparaatbeheer. 

Stap 2. Selecteer het apparaat of FTD HA-cluster.

Stap 3. Navigeer naar het tabblad Interfaces.

Stap 4. Klik op het potloodpictogram om de interface te configureren/bewerken om toegang tot het beheer te krijgen, zoals weergegeven in de afbeelding:

Stap 5. Schakel het selectievakje Inschakelen in om de interfaces in te schakelen. Navigeer naar het tabblad Ipv4 en kies het IP-type als statisch of DHCP. Voer nu een IP-adres in voor de interface en klik op OK, zoals weergegeven in de afbeelding:

Stap 6. Klik op Opslaan en implementeer het beleid vervolgens in de FTD.

Opmerking: de diagnostische interface kan niet worden gebruikt om toegang te krijgen tot de geconvergeerde CLI via SSH op apparaten met softwareversie 6.1.0

Stap 2. Externe verificatie configureren.

Externe verificatie vergemakkelijkt de integratie van de FTD met een Active Directory- of RADIUS-server voor gebruikersverificatie. Dit is een noodzakelijke stap omdat lokaal geconfigureerde gebruikers geen directe toegang hebben tot de diagnostische CLI. De diagnostische CLI en de GUI zijn alleen toegankelijk voor gebruikers die zijn geverifieerd via Lightweight Directory Access Protocol (LDAP) of RADIUS.

Er zijn 6 stappen om externe verificatie te configureren.

Stap 1. Navigeer naar Apparaten > Platforminstellingen.

Stap 2. Bewerk het beleid dat bestaat terwijl u op het potloodpictogram klikt of maak een nieuw FTD-beleid terwijl u op de knop Nieuw beleid klikt en selecteer typen als Instellingen voor bedreigingsverdediging.

Stap 3. Navigeer naar het tabblad Externe verificatie, zoals weergegeven in de afbeelding:

Stap 4. Als u op Toevoegen klikt, verschijnt er een dialoogvenster zoals weergegeven in de afbeelding:

• Inschakelen voor HTTP - Schakel deze optie in om toegang te geven tot de FTD via HTTPS.
  
  
• Inschakelen voor SSH - Schakel deze optie in om toegang tot de FTD via SSH te bieden.
  
  
• Naam- Voer de naam in voor de LDAP-verbinding.
  
  
• Beschrijving - Voer een optionele beschrijving in voor het object Externe verificatie.
  
  
• IP-adres - Voer een netwerkobject in dat het IP-adres van de externe verificatieserver opslaat. Als er geen netwerkobject is geconfigureerd, maakt u een nieuw object. Klik op het (+) icoon.
  
  
• Verificatiemethode-Selecteer RADIUS- of LDAP-protocol voor verificatie.
  
  
• Schakel SSL-Schakel deze optie in om het verificatieverkeer te coderen.
  
  
• Servertype - Selecteer het servertype. De bekende servertypen zijn MS Active Directory, Sun, OpenDAP en Novell. Standaard is de optie ingesteld om het servertype automatisch te detecteren.
  
  
• Poort - Voer de poort in waarover de verificatie plaatsvindt.
  
  
• Time-out - Voer een time-outwaarde in voor de verificatieaanvragen.
  
  
• Base DN - Voer een basis DN in om een bereik te bieden waarbinnen de gebruiker aanwezig kan zijn.
  
  
• LDAP Scope - Selecteer de LDAP scope om te bekijken. Het bereik is binnen hetzelfde niveau of om binnen de substructuur te kijken.
  
  
• Gebruikersnaam - Voer een gebruikersnaam in om te binden aan de LDAP-directory.
  
  
• Verificatiewachtwoord-Voer het wachtwoord voor deze gebruiker in.
  
  
• Bevestigen- Voer het wachtwoord opnieuw in.
  
  
• Beschikbare interfaces - Een lijst met beschikbare interfaces op de FTD wordt weergegeven.
  
  
• Geselecteerde zones en interfaces - Hier ziet u een lijst met interfaces van waaruit de verificatieserver wordt geopend.

Voor RADIUS-verificatie is er geen servertype Base DN of LDAP Scope. De haven is de RADIUS-poort 1645.

Geheim - Voer de geheime sleutel voor RADIUS in.

Stap 5. Zodra de configuratie is voltooid, klikt u op OK.

Stap 6. Sla het beleid op en implementeer het op het Firepower Threat Defense-apparaat.

Opmerking: externe verificatie kan niet worden gebruikt om toegang te krijgen tot de Converged CLI via SSH op apparaten met softwareversie 6.1.0

Stap 3. SSH-toegang configureren.

SSH biedt directe toegang tot de geconvergeerde CLI. Gebruik deze optie om rechtstreeks toegang te krijgen tot de CLI en foutopsporingsopdrachten uit te voeren. In deze sectie wordt beschreven hoe u SSH configureert om toegang te krijgen tot de FTD CLI.

Opmerking: op FTD-apparaten waarop softwareversie 6.0.1 wordt uitgevoerd, biedt de SSH-configuratie op Platforminstellingen rechtstreeks toegang tot de diagnostische CLI en niet tot de CLISH. U moet verbinding maken met het IP-adres dat is geconfigureerd op br1 om toegang te krijgen tot de CLISH. Op FTD-apparaten met softwareversie 6.1.0 navigeren alle interfaces echter naar de geconvergeerde CLI wanneer ze via SSH worden benaderd

Er zijn 6 stappen om SSH op de ASA te configureren

Alleen op 6.0.1-apparaten:

Deze stappen worden uitgevoerd op FTD-apparaten met een softwareversie van minder dan 6.1.0 en groter dan 6.0.1. Op 6.1.0-apparaten zijn deze parameters overgenomen van het besturingssysteem.

Stap 1. Navigeer naar Apparaten>Platforminstellingen.

Stap 2. Bewerk het beleid dat bestaat als u op het potloodpictogram klikt of maak een nieuw beleid voor Firepower Threat Defense terwijl u op de knop New Policy klikt en selecteer Type as Threat Defense Settings.

Stap 3. Navigeer naar de sectie Secure Shell. Er verschijnt een pagina, zoals weergegeven in de afbeelding:

SSH-versie: Selecteer de SSH-versie die u wilt inschakelen op de ASA. Er zijn drie opties:

• 1: Alleen SSH-versie 1 inschakelen
• 2: Alleen SSH-versie 2 inschakelen
• 1 en 2: zowel SSH versie 1 als 2 inschakelen

Time-out: Voer de gewenste SSH-time-out in minuten in.

Secure Copy inschakelen - Schakel deze optie in om het apparaat zodanig te configureren dat er verbindingen met Secure Copy (SCP) mogelijk zijn en als SCP-server te fungeren.

Op 6.0.1- en 6.1.0-apparaten:

Deze stappen zijn geconfigureerd om de beheertoegang via SSH te beperken tot specifieke interfaces en tot specifieke IP-adressen.

Stap 1. Klik op Toevoegen en configureer deze opties:

IP-adres: Selecteer een netwerkobject dat de subnetten bevat die toegang hebben tot de CLI via SSH. Als er geen netwerkobject aanwezig is, maakt u er een terwijl u op het (+) pictogram klikt.

Geselecteerde zones/interfaces: Selecteer de zones of interfaces van waaruit de SSH-server wordt geopend.

Stap 2. Klik op OK, zoals weergegeven in de afbeelding:

Configuratie voor SSH wordt weergegeven in de geconvergeerde CLI (ASA Diagnostic CLI in 6.0.1-apparaten) met behulp van deze opdracht.

> show running-config ssh
ssh 172.16.8.0 255.255.255.0 inside

Stap 3. Zodra de SSH-configuratie is voltooid, klikt u op Opslaan en implementeert u het beleid naar de FTD.

Stap 4. HTTPS-toegang configureren.

Om HTTPS-toegang tot een of meer interfaces mogelijk te maken, navigeert u naar de HTTP-sectie in platforminstellingen. HTTPS-toegang is met name handig om de pakketopnamen rechtstreeks van de diagnostische beveiligde webinterface te downloaden voor de analyse. 

Er zijn 6 stappen om HTTPS-toegang te configureren.

Stap 1. Navigeer naar Apparaten > Platforminstellingen

Stap 2. Bewerk het beleid voor platforminstellingen dat bestaat wanneer u op het potloodpictogram naast het beleid klikt of maak een nieuw FTD-beleid terwijl u op Nieuw beleid klikt. Selecteer het type als Firepower Threat Defense.

Stap 3. Terwijl u naar de HTTP-sectie navigeert, verschijnt een pagina zoals weergegeven in de afbeelding.

HTTP-server inschakelen: deze optie inschakelen om HTTP-server op de FTD in te schakelen.

Poort: Selecteer de poort waarop de FTD beheerverbindingen accepteert.

Stap 4.Klik op Toevoegen en een pagina verschijnt zoals weergegeven in de afbeelding:

IP-adres - Voer de subnetten in die HTTPS-toegang mogen hebben tot de diagnostische interface. Als er geen netwerkobject aanwezig is, maakt u er een en gebruikt u de optie (+).

Geselecteerde zones / interfaces - Net als SSH moet de HTTPS-configuratie een interface hebben geconfigureerd waarover deze toegankelijk is via HTTPS. Selecteer de zones of interface waarover de FTD via HTTPS moet worden benaderd.

Configuratie voor HTTPS wordt weergegeven in de geconvergeerde CLI (ASA Diagnostic CLI in 6.0.1-apparaten) en gebruikt deze opdracht.

> show running-config http
http 172.16.8.0 255.255.255.0 inside

Stap 5. Zodra de vereiste configuratie is voltooid, selecteert u OK.

Stap 6. Zodra alle vereiste informatie is ingevoerd, klikt u op Opslaan en implementeert u het beleid op het apparaat.

Verifiëren

Er is momenteel geen verificatieprocedure beschikbaar voor deze configuratie.

Problemen oplossen

Dit zijn de basisstappen om problemen met beheertoegang op de FTD op te lossen.

Stap 1. Zorg ervoor dat de interface is ingeschakeld en is geconfigureerd met een IP-adres.

Stap 2. Zorg ervoor dat een externe verificatie werkt zoals geconfigureerd en bereikbaar is via de juiste interface die is opgegeven in het gedeelte Externe verificatie van de platforminstellingen. 

Stap 3. Zorg ervoor dat de routering op de FTD nauwkeurig is. Navigeer in FTD-softwareversie 6.0.1 naar systeemondersteuning voor diagnostische cli. Voer de opdrachten uit om de route te tonen en alleen routebeheer weer te geven om de routes voor de FTD en de beheerinterfaces te zien.

Voer in FTD-softwareversie 6.1.0 de opdrachten rechtstreeks uit in de geconvergeerde CLI.

Gerelateerde informatie

• Technische ondersteuning en documentatie – Cisco Systems