Beveiligde toegang configureren voor universele ZTNA met beheerde on-prem FMC op SCC

Downloadopties

  • PDF     (4.7 MB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (4.9 MB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (2.7 MB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:29 december 2025
Document-id:225406

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

    Inleiding

    In dit document wordt beschreven hoe u Universal ZTNA configureert met Secure Access en virtuele FTD die worden beheerd door een virtuele FMC op locatie.

    Voorwaarden

    • Firewall Management Center (FMC) en Firewall Threat Defense (FTD) moeten worden geïmplementeerd met behulp van 7.7.10 of een hogere softwareversie.
    • Firewall Threat Defense (FTD) moet worden beheerd door het Firewall Management Center (FMC)
    • Firewall Threat Defense (FTD) moet een licentie hebben met crypto (sterke codering moet zijn ingeschakeld met exportfunctie ingeschakeld), IPS- en Threat-licenties die vereist zijn voor beveiligingscontroles
    • Basisconfiguratie voor Firewall Threat Defense (FTD) moet worden uitgevoerd vanuit Firewall Management Center (FMC), zoals interface, routering enzovoort.
    • DNS-configuratie moet worden toegepast op het apparaat van FMC's om de FQDN van de app op te lossen
    • Cisco Secure Client-versie moet 5.1.10 of hoger zijn
    • Beveiligingscloudcontrole wordt aan klanten geleverd met Firewall en Secure Access Micro Apps en UZTNA-functievlaggen ingeschakeld

    Vereisten

    • Op alle Secure Firewall Management Center (FMC)-apparaten, inclusief cdFMC en Firewall Threat Defense (FTD), moet softwareversie 7.7.10 of hoger worden uitgevoerd.
    • Firewall Threat Defense (FTD) moet worden beheerd door Firewall Management Center; lokale Firewall Defense Manager (FDM) wordt niet ondersteund
    • Alle Firewall Threat Defense (FTD)-apparaten moeten worden geconfigureerd voor de routemodus; de transparante modus wordt niet ondersteund.
    • Geclusterde apparaten worden niet ondersteund.
    • High Availability (HA)-apparaten worden ondersteund; ze worden weergegeven als één entiteit.
    • Beveiligde client versie 5.1.10 of later

    Gebruikte componenten

    De informatie in dit document is gebaseerd op  

    • Security Cloud Control (SCC)
    • Secure Firewall Management Center (FMC) versie 7.7.10
    • Secure Firewall Threat Defense (FTD) virtual -100 versie 7.7.10
    • Beveiligde client voor Windows versie 5.1.10
    • beveiligde toegang

    De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

    Netwerkdiagram

    alt-tag-for-image

    Veilige toegang - Netwerktopologie

    achtergrondinformatie

    Ondersteunde apparaten

    Ondersteunde Secure Firewall Threat Defense-modellen:

    • FPR 1150
    • 3105,3110,3120,3130,3140 FPR
    • FPR4115,4125,4145,4112
    • FPR4215,4225,4245
    • Firewall Threat Defense (FTD) virtueel met minimaal 16 CPU-kernen

    Beperkingen

    • Objecten delen
    • IPv6 wordt niet ondersteund.
    • Alleen globale VRF wordt ondersteund.
    • Het universele ZTNA-beleid wordt niet gehandhaafd op het tunnelverkeer van site naar site naar een apparaat.
    • Geclusterde apparaten worden niet ondersteund.
    • FTD's die worden ingezet als containers op 4K- en 9K-vuurkrachtreeksen worden niet ondersteund
    • Universele ZTNA-sessies ondersteunen geen jumboframes

    Configureren

    FMC-versie controleren

    Controleer het Firewall Management Center en Firewall FTD die op de ondersteunde softwareversie voor universele ZTNA (kan 7.7.10 of hoger zijn) worden uitgevoerd:

    • Klik op ?( rechtsboven) en klik op About

    alt-tag-for-image

    alt-tag-for-image

    Secure Firewall Management Center - Softwareversie

    FTD-versie controleren

    Navigeer naar FMC UI:

    • Klik opDevices> Device Management

    alt-tag-for-image

    Secure Firewall Threat Defense - Softwareversie

    FTD-licenties controleren

    • Klik op Setting Icon > Licenses> Smart Licenses

    alt-tag-for-image

    alt-tag-for-image

    Beveiligde firewall-bescherming tegen bedreigingen - Slimme licenties 

    Platform-instellingen controleren en DNS correct configureren

    Aanmelden bij de FTD via CLI:

    • Voer de opdracht uit om te controleren of DNS is geconfigureerd: 
    show run dns

      

    In het FMC: 

    • Klik opDevices> Platform Settings , bewerk of maak een nieuw beleid

    alt-tag-for-image

    Beveiligde firewall - beleid voor platforms

    alt-tag-for-image

    Beveiligde firewallbeveiliging tegen bedreigingen - DNS-configuratie

    Verifieer via FTD cli dat u het IP-adres van de privébronnen en FQDN kunt pingen (als u toegang wilt krijgen tot PR met behulp van de FQDN).

    alt-tag-for-image

    Een Security Cloud Control-huurder maken op CDO

    note-icon

    Opmerking: als u al een SCC-tenant hebt geconfigureerd, hoeft u geen nieuwe tenant te maken.

     Navigeer naar Cloud Security Control:

    • Klik opOrganization > Create new organization

    alt-tag-for-image

    Secure Cloud Control - Organisatie

    • Klik op Create

    alt-tag-for-image

    Beveiligde cloudbesturing - Organisatie maken

    Nadat de SCC-tenant is gemaakt, verzamelt u de informatie over de tenant om Firewall en Secure Access-microapp in te schakelen en uZTNA in te schakelen.

    Controleer of de algemene instellingen van de SCC-firewall zijn geconfigureerd

    Navigeer naar CDO/SCC:

    • Klik opAdministration> General Settings
    • Controleer of de optie Auto onboard On-Prem FMCs from Cisco Security Cloud is ingeschakeld.
    note-icon

    Opmerking: de gebruiker die toegang probeert te krijgen tot de Secure Access MicroApp moet rollen hebbenSecure Accessen Security Cloud Control beheren.

    alt-tag-for-image

    alt-tag-for-image

    Beveiligde cloudbesturing - Organisatiegegevens

    Verifieer de integratie van de Secure Access Tenant en Security Control Firewall Management Base

    alt-tag-for-image

    Beveiligde cloudbesturing - Beveiligde toegangsactivering

    Zodra u de stap Maak een Security Cloud Control Tenant op CDO en Maak een Security Cloud Control Tenant op CDO dan kunt u in staat zijn om Firewall en Secure Access micro-apps te zien op SCC dashboard:

    alt-tag-for-image

    Beveiligde cloudbesturing - Micro Apps

    Firewall Threat Defense (FTD) CA-ondertekend certificaat genereren

    note-icon

    Opmerking: U kunt ook zelf ondertekende FTD-certificaten gebruiken FTD-certificaten (raadpleeg de sectie Zelf ondertekende interne en interne CA-certificaten genereren). Certificaat moet in PKCS12-indeling zijn en moet aanwezig zijn in de gebruikersmachineopslag onder vertrouwde root-CA.

    Om een CA-ondertekend certificaat te genereren met behulp van FTD in de functie build openssl:

    • Navigeer naar FTD
    • Uitvoeren,expertopdracht
    • MVO en sleutel genereren met behulp van openssl
      • OpenSSL-opdracht:
    openssl req -newkey rsa:2048 -nodes -keyout cert.key -out cert.csr

    alt-tag-for-image

    certificaatondertekeningsverzoek 

    • Kopieer de CSR en ontvang een door de CA ondertekend certificaat

    • Gebruik een door FTD CA ondertekend certificaat en sleutel en converteer het certificaat naar het PKCS12-formaat

      • OpenSSL-opdracht:

    openssl pkcs12 -export -out ftdcert.p12 -in cert.crt -inkey cert.key
    • Exporteer het certificaat met behulp van SCP of een ander hulpmiddel.

    Onboard On-Prem Firewall Management Center naar Cloud Security Control

    Navigeer naar de FMC:

    • Klik opIntegration> Cisco Security Cloud

    alt-tag-for-image

    Firewall Management Center en SCC-integratie

    • Kies de Cloud regio en klik vervolgens op Enable Cisco Security Cloud

    alt-tag-for-image

    Firewall Management Center Onboarding naar SCC

    Er wordt een nieuw browsertabblad geopend op het nieuwe tabblad:

    • Klik op Continue to Cisco SSO
    note-icon

    Opmerking: zorg ervoor dat u zich afmeldt bij SCC en dat er geen andere tabbladen geopend zijn.

    alt-tag-for-image

    Firewall Management Center Onboarding naar SCC

    • Kies uw SCC-tenant en klik op Authorize FMC

    alt-tag-for-image

    Firewall Management Center Onboarding naar SCC

    • Klik op Save

    alt-tag-for-image

    Firewall Management Center Onboarding naar SCC

    De status van Cloud Onboarding Status moet veranderen van Not Available naar Onboarding dan Onlinetoe.

    alt-tag-for-image

    alt-tag-for-image

    Status Firewall Management Center Onboarding

    • Navigeer naar SCC en controleer de FTD-status onderPlatform Services> Security Devices

    alt-tag-for-image

    Veilige firewall Threat Defense Status op SCC

    Inschrijven Universal Zero Trust Network Access (uZTNA) instellingen op FTD

    Navigeer naar SCC:

    • Klik op Platform Services > Security Devices > FTD > Device Management > Universal Zero Trust Network Access

    alt-tag-for-image

    Beveiligde firewallbeveiliging tegen bedreigingen - Universele ZTNA-configuratie

    alt-tag-for-image

    Beveiligde firewallbeveiliging tegen bedreigingen - Universele ZTNA-configuratie

    alt-tag-for-image

    Beveiligde firewallbeveiliging tegen bedreigingen - Universele ZTNA-configuratie

    alt-tag-for-image

    Beveiligde firewallbeveiliging tegen bedreigingen - Universele ZTNA-configuratie

    note-icon

    Opmerking: Wanneer u uZTNA inschakelt op FTD HA, worden de wijzigingen geïmplementeerd en worden beide Firewall Threat Defense (FTD)-eenheden tegelijkertijd opnieuw opgestart. Zorg ervoor dat u een goed onderhoudsvenster plant.

    • Klik op Workflow om de logs te controleren

    alt-tag-for-image

    Beveiligde firewallbeveiliging tegen bedreigingen - Universele ZTNA-configuratiestatus

    alt-tag-for-image

    Workflow voor cloudbeveiligingscontrole

    Onder Transcript Details kunt u zien Policy Deployment Status en wijzigingen op FMC.

    alt-tag-for-image

    Secure Firewall Management Center - Status beleidsimplementatie

    Meld de klant aan bij uZTNA

    Beveiligde toegangsconfiguratie

    note-icon

    Opmerking: U kunt SSO of een op certificaten gebaseerde ZTA-inschrijving gebruiken. De volgende zijn de stappen voor op certificaten gebaseerde ZTA-inschrijving  

    Navigeer naar Secure Access Dashboard:

    • Klik op Connect > End User Connectivity > Zero Trust Access
    • Klik op Manage

    alt-tag-for-image

    Veilige toegang - inschrijven voor ZTA-certificaten

    • Upload het Root CA-certificaat en download het inschrijvingsconfiguratiebestand

    alt-tag-for-image

    Veilige toegang - inschrijven voor ZTA-certificaten

    • Klik op Save

    Clientconfiguratie

    Kopieer het inschrijvingsconfiguratiebestand naar C:\ProgramData\Cisco\Cisco Secure Client\ZTA\enrollment_choices

    alt-tag-for-image

    • Een clientcertificaat maken, waarvoor UPN in SAN moet zijn ingediend

    alt-tag-for-image

    Certificaatinstallatie

    • Starten/opnieuw starten Cisco Secure Client - Zero Trust Access Agent

    alt-tag-for-image

    Windows Services

    • De status van de ZTA-module controleren

    alt-tag-for-image

    Veilige toegang - Status van inschrijving voor ZTA-certificaat

    Verifiëren

    Gebruik de volgende opdracht om de uZTNA-configuratie op Firewall Threat Defense (FTD) te controleren:

    show allocate-core profile
show running-config universal-zero-trust

    Gerelateerde informatie

    Revisiegeschiedenis

    Revisie Publicatiedatum Opmerkingen
    1.0
    29-Dec-2025
    Eerste vrijgave
    TAC Authored

    Bijgedragen door Cisco-engineers

    • Jaikishan Yadav
      technisch adviseur

    Was dit document nuttig?

    FeedbackFeedback

    Contact Cisco

    Dit document is van toepassing op deze producten