Inleiding
In dit document wordt FTD 7.7 beschreven Gebruik de herstelconfiguratiemodus voor noodconfiguratie op het apparaat.
Voorwaarden
Vereisten
Cisco raadt kennis van de volgende onderwerpen aan:
- Cisco Firepower Threat Defense (FTD)
- Cisco Firepower Management Center (FMC)
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Achtergrond
Deze functie is geïntroduceerd in versie 7.7.0 en kan worden gebruikt om out-of-band configuratiewijzigingen aan te brengen wanneer de beheerverbinding niet beschikbaar is.
Deze configuratiewijzigingen worden rechtstreeks op de CLI van het apparaat uitgevoerd om:
Zodra de beheerverbinding is hersteld:
- U moet de configuratieverschillen erkennen die worden weergegeven in de waarschuwing voor configuratie buiten de band.
- Voer dezelfde wijzigingen uit in de FMC voordat u deze implementeert, omdat lokale wijzigingen altijd worden overschreven door de FMC-implementatie.
U kunt deze functiegebieden configureren in de diagnostische CLI in de herstelconfiguratiemodus:
Configuratievoorbeeld
Labachtergrond
In dit scenario heeft een FTD-apparaat dat is geregistreerd bij een FMC (met behulp van data-interface als beheerinterface) de beheerverbinding verloren en om dit probleem op te lossen, wordt een statische route aan de FTD toegevoegd met behulp van de herstelconfiguratiefunctie.
FMC heeft twee bedreigingsverdedigingsapparaten geregistreerd (10.0.21.72 en 10.0.21.73), maar slechts één daarvan is bereikbaar zoals weergegeven in de volgende afbeeldingen (cli en GUI).


FTD maakt gebruik van data-interface voor het registratieproces naar FMC.

FTD heeft ook geen verbinding met FMC via sftunnel.

Configuratiestappen
1. Om de herstelconfiguratiefunctie te kunnen gebruiken, moet u zich aanmelden bij FTD CLI en naar de lina-modus gaan (diagnostische-cli voor systeemondersteuning).
2. Voer de opdracht recovery-config configureren uit.
3. Als u vraagteken (?) typt, worden alle ondersteunde opdrachten weergegeven, zoals wordt weergegeven in de volgende lijst.
firepower(recovery-config)# ?
access-list Configure an access control element
as-path BGP autonomous system path filter
bfd BFD configuration commands
bfd-template BFD template configuration
cluster Cluster configuration
community-list Add a community list entry
crypto Configure IPSec, ISAKMP, Certification authority, key
end Exit from configure mode
exit Exit from config mode
extcommunity-list Add a extended community list entry
group-policy Configure or remove a group policy
interface Select an interface to configure
ip Configure IP address pools
ipsec Configure transform-set, IPSec SA lifetime and PMTU
Aging reset timer
ipv6 Configure IPv6 address pools
ipv6 Global IPv6 configuration commands
isakmp Configure ISAKMP options
jumbo-frame Configure jumbo-frame support
management-interface Management interface
mtu Specify MTU(Maximum Transmission Unit) for an interface
no Negate a command or set its defaults
policy-list Define IP Policy list
prefix-list Build a prefix list
route Configure a static route for an interface
route-map Create route-map or enter route-map configuration mode
router Enable a routing process
sla IP Service Level Agreement
sysopt Set system functional options
tunnel-group Create and manage the database of connection specific
records for IPSec connections
vpdn Configure VPDN feature
vrf Configure a VRF
zone Create or show a Zone
Waarschuwing: u wordt geacht de opdrachten te kennen die nodig zijn voor herstel of noodgebruik. Als u niet zeker weet welke opdracht moet worden gebruikt, wordt u aangeraden contact op te nemen met Cisco TAC voor advies.
4. Nadat u de opdracht recovery-config configureren hebt uitgevoerd, wordt een waarschuwing weergegeven en wordt u gevraagd te bevestigen en door te gaan.

5. Nadat u de configuratie hebt bevestigd, kunt u de beschikbare configuratiecommando's gebruiken. In dit scenario wordt een statische route toegevoegd aan de buiteninterface. Nadat de configuratie is voltooid, voert u de opdracht Afsluiten uit om de herstelmodus te verlaten.
U wordt nu gevraagd om wijzigingen op te slaan en er wordt een waarschuwing weergegeven met de mededeling dat wijzigingen niet worden bewaard als het apparaat opnieuw wordt opgestart.

6. U kunt bevestigen dat de configuratie is toegepast. In dit geval door routes te tonen.

7. Na enkele minuten herstelt deze wijziging de communicatie met het VCC. De volgende afbeeldingen tonen de verbinding die is gemaakt, eerst in FTD en vervolgens in FMC CLI.


8. Nadat de configuratie is hersteld, kunt u in de FMC GUI naar Apparaat > Apparaatbeheer navigeren en op uw apparaat klikken (in dit geval is dit FTD2-HTZ).
Daar ziet u de waarschuwing voor de out-of-band-configuratie die is gedetecteerd. Klik in Details weergeven om configuratieverschillen te zien.

9. Bekijk details van de out-of-band configuratie en bevestig verschillen.

10. Nadat configuratieverschillen zijn bevestigd, configureert u dezelfde wijzigingen die in de herstelmodus zijn uitgevoerd, maar nu via de FMC GUI. In dit scenario wordt een statische route toegevoegd.


11. Zodra de configuratiewijzigingen zijn opgeslagen, gaat u verder met het implementeren van de wijzigingen. Er wordt een andere waarschuwing weergegeven die aangeeft dat wijzigingen in de out-of-band-configuratie zijn gedetecteerd en bevestigd en dat de wijzigingen worden overschreven door de huidige implementatie.
Zodra de implementatie is voltooid, wordt de configuratie opnieuw gesynchroniseerd.


Referenties