Problemen met cloudconfiguratie oplossen op Firepower-apparaten

Inleiding

In dit document worden veelvoorkomende scenario's beschreven waarbij het Firepower-systeem een Health Alert: Threat Data Updates Cisco Cloud Configuration Failure activeert.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cloud-integratie
• Firepower-sensormodule
• Firepower Threat Defense
• Firepower Management Center
• DNS-resolutie en proxyconnectiviteit
• Cisco Threat Response (CTR)-integratie

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Smart Account Portal
• Cisco Secure Exchange Services (SSE)
• Firepower Management Center (FMC) versie 6.4.0 of hoger
• Firepower Threat Defense (FTD) of Firepower Sensor Module (SFR) versie 6.4.0 of hoger

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

De fout in de cloudconfiguratie wordt waargenomen omdat de FTD niet kan communiceren met api-sse.cisco.com. Dit is de site die Firepower-apparaten moeten bereiken om te integreren met SecureX- en cloudservices.

Deze waarschuwing maakt deel uit van de functie Rapid Threat Containment (RTC). Deze functie is standaard ingeschakeld op nieuwe Firepower-versies, waar FTD op internet met api-sse.cisco.com moet praten. Als deze communicatie niet beschikbaar is, wordt in de module voor de FTD-gezondheidsmonitor het volgende foutbericht weergegeven: Updates van bedreigingsgegevens - Cisco Cloud Configuration - Failure.

Netwerkdiagram

Probleem

Cisco bug ID CSCvr46845 legt uit wanneer het Firepower System de Health Alert Cisco Cloud Configuration activeert - Failure. Dit probleem is vaak gerelateerd aan de connectiviteit tussen FTD en api-sse.cisco.com. De waarschuwing is echter generiek en kan wijzen op verschillende problemen, zelfs met betrekking tot connectiviteit, maar in een andere context.

Er zijn twee mogelijke hoofdscenario's:

Scenario 1. In het geval dat Cloud Integration niet is ingeschakeld, wordt deze waarschuwing verwacht omdat de verbinding met het cloudportaal niet is toegestaan.

Scenario 2. In het geval dat cloudintegratie is ingeschakeld, is het noodzakelijk om een meer gedetailleerde analyse uit te voeren om omstandigheden te elimineren die een connectiviteitsstoring inhouden.

Voorbeeld van een waarschuwing voor een gezondheidsfout in de volgende afbeelding:

Voorbeeld van een waarschuwing voor een gezondheidsfout

Problemen oplossen

Oplossing voor scenario 1. De cloudconfiguratiefout wordt waargenomen omdat de FTD niet kan communiceren met https://api-sse.cisco.com/. Als u de waarschuwing Cisco Cloud Configuration-Failure wilt uitschakelen, gaat u naar System > Health > Policy > Edit policy > Threat Data Updates on Devices (Systeem > Gezondheid > Beleid > Beleid bewerken > Gegevensupdates voor bedreigingen op apparaten). Kies Ingeschakeld (uit) > Beleid opslaan > Afsluiten. Raadpleeg de richtlijnen voor inline sets en passieve interfaces voor Firepower Threat Defense voor inline configuraties.

Oplossing voor scenario 2. Wanneer de cloud-integratie moet worden ingeschakeld:

Handige opdrachten voor probleemoplossing:

curl -v -k https://api-sse.cisco.com <-- To verify connection with the external site
nslookup api-sse.cisco.com <-- To dicard any DNS error
/ngfw/etc/sf/connector.properties <-- To verify is configure properly the FQDN settings
netstat -na | grep 8989 <-- To verify the outbound connection to the cloud on port 8989/tcp is ESTABLISHED
netstat -na | grep 443 <-- To verify the outbound connection to the cloud on port 443/tcp is ESTABLISHED

Optie 1. DNS-configuratie afwezig

Stap 1. Controleer of DNS is geconfigureerd op de FTD. Als er geen DNS-configuraties zijn, gaat u als volgt te werk:

> show network

Stap 2. DNS toevoegen door deze opdracht uit te voeren:

> configure network dns servers dns_ip_addresses

Na het configureren van de DNS wordt de gezondheidswaarschuwing opgelost en wordt het apparaat weergegeven als gezond. Er is een korte time-lapse voordat de wijziging wordt weergegeven en de juiste DNS-servers worden geconfigureerd.

Optie 2. De DNS kon https:// niet oplossenapi-sse.cisco.com

Voer het commando curl uit. Als het apparaat de cloudsite niet kan bereiken, is er een uitvoer die vergelijkbaar is met dit voorbeeld.

FTD01:/home/ldap/abbac# curl -v -k https://api-sse.cisco.com
* Rebuilt URL to: https://api-sse.cisco.com/
* getaddrinfo(3) failed for api-sse.cisco.com:443
* Couldn't resolve host 'api-sse.cisco.com'
* Closing connection 0
curl: (6) Couldn't resolve host 'api-sse.cisco.com'

Een juiste curl output moet zijn:

root@fp:/home/admin# curl -v -k https://api-sse.cisco.com
* Rebuilt URL to: https://api-sse.cisco.com/
* Trying 10.6.187.110...
* Connected to api-sse.cisco.com (10.6.187.110) port 443 (#0)
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* successfully set certificate verify locations:
* CAfile: none
CApath: /etc/ssl/certs
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Client hello (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES128-GCM-SHA256
* ALPN, server accepted to use http/1.1
* Server certificate:
* subject: C=US; ST=California; L=San Jose; O=Cisco Systems, Inc.; CN=api-sse.cisco.com
* start date: 2019-12-03 20:57:56 GMT
* expire date: 2021-12-03 21:07:00 GMT
* issuer: C=US; O=HydrantID (Avalanche Cloud Corporation); CN=HydrantID SSL ICA G2
* SSL certificate verify result: self signed certificate in certificate chain (19), continuing anyway.
> GET / HTTP/1.1
> Host: api-sse.cisco.com
> User-Agent: curl/7.44.0
> Accept: */*
>
< HTTP/1.1 403 Forbidden
< Date: Wed, 30 Dec 2020 21:41:15 GMT
< Content-Type: text/plain; charset=utf-8
< Content-Length: 9
< Connection: keep-alive
< Keep-Alive: timeout=5
< ETag: "5fb40950-9"
< Cache-Control: no-store
< Pragma: no-cache
< Content-Security-Policy: default-src https: ;
< X-Content-Type-Options: nosniff
< X-XSS-Protection: 1; mode=block
< X-Frame-Options: SAMEORIGIN
< Strict-Transport-Security: max-age=31536000; includeSubDomains
<
* Connection #0 to host api-sse.cisco.com left intact
Forbidden

Curl naar de hostnaam van de server:

# curl -v -k https://cloud-sa.amp.cisco.com
*   Trying 10.21.117.50...
* TCP_NODELAY set
* Connected to cloud-sa.amp.cisco.com (10.21.117.50) port 443 (#0)
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* successfully set certificate verify locations:
*   CAfile: /etc/ssl/certs/ca-certificates.crt
  CApath: none
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):

Gebruik eenvoudige connectiviteitstools zoals de nslookup-, telnet- en ping-opdrachten om de juiste DNS-resolutie voor de Cisco Cloud-site te verifiëren.

Opmerking: Firepower Cloud Services moet een uitgaande verbinding hebben met de cloud op poort 8989/tcp.

Pas nslookup toe op de hostnamen van de server.

# nslookup cloud-sa.amp.sourcefire.com
# nslookup cloud-sa.amp.cisco.com
# nslookup api.amp.sourcefire.com
# nslookup panacea.threatgrid.com

root@fp:/home/admin# nslookup api-sse.cisco.com
Server: 10.25.0.1
Address: 10.25.0.1#53

Non-authoritative answer:
api-sse.cisco.com canonical name = api-sse.cisco.com.akadns.net.
Name: api-sse.cisco.com.akadns.net
Address: 10.6.187.110
Name: api-sse.cisco.com.akadns.net
Address: 10.234.20.16

Verbindingsproblemen met AMP Cloud zijn mogelijk te wijten aan DNS-resolutie. Controleer de DNS-instellingen of voer nslookup uit vanuit het FMC.

nslookup api.amp.sourcefire.com

Telnet

root@fp:/home/admin# telnet api-sse.cisco.com 8989
root@fp:/home/admin# telnet api-sse.cisco.com 443
root@fp:/home/admin# telnet cloud-sa.amp.cisco.com 443

pingelen

root@fp:/home/admin# ping api-sse.cisco.com

Meer opties voor probleemoplossing

Controleer de verbindingseigenschappen onder /ngfw/etc/sf/connector.properties. U moet deze uitvoer zien met de juiste connectorpoort (8989) en de connector_fqdn met de juiste URL.

root@Firepower-module1:sf# cat /ngfw/etc/sf/connector.properties
registration_interval=180
connector_port=8989
region_discovery_endpoint=https://api-sse.cisco.com/providers/sse/api/v1/regions
connector_fqdn=api-sse.cisco.com

Raadpleeg de Firepower Configuration Guide voor meer informatie.

Bekende problemen

Cisco bug ID CSCvs05084 FTD Cisco Cloud Configuration Failure vanwege proxy.

Cisco bug ID CSCvp56922 Gebruik update-context sse-connector API om de hostnaam en versie van het apparaat bij te werken.

Cisco bug ID CSCvu02123 DOC Bug: Update URL bereikbaar van Firepower Devices naar SSE in de CTR configuratiehandleiding.

Cisco bug ID CSCvr46845 ENH: Gezondheidsbericht Cisco Cloud Configuration - Failure needs improvement.

[Video] Firepower - FMC registreren bij SSE

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
4.0	09-Jul-2026	Bijgewerkte spelling, spatiëring, enkele grammatica, lijnen invoegen om secties te scheiden voor leesbaarheid, spatiëring voor alt-tekst en CCW-waarschuwingen.
3.0	01-Mar-2023	PII verwijderd. Bijgewerkte titel, inleiding, stijlvereisten, machinevertaling, gronden en opmaak.
2.0	05-Jan-2022	Video toegevoegd
1.0	05-Jan-2022	Eerste vrijgave