Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Configureren

ARM

Functie APP

Belapp

Netwerkdiagram

Configuraties

Verifiëren

Problemen oplossen

Inleiding

Dit document beschrijft hoe de geautomatiseerde Cisco Firepower Threat Defense Virtual (FTDv) in een brusselse omgeving kan worden ingezet.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- NGFW en FireSIGHT Management Center moeten communiceren via Private IP

- Externe taakverdeling mag geen openbare IP-telefoon hebben.

- De app moet kunnen communiceren met de particuliere IP

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- FireSIGHT Management Center

- Schaal virtuele machine instellen

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg er dan voor dat u de mogelijke impact van om het even welke opdracht begrijpt.

Achtergrondinformatie

FTDv brengt de functionaliteit van Cisco Firepower Next-generation firewall naar gevirtualiseerde omgevingen, waardoor een consistent beveiligingsbeleid mogelijk is om werkloads te volgen in uw fysieke, virtuele en cloud-omgevingen en tussen wolken.

Aangezien deze implementaties beschikbaar zijn in een gevirtualiseerde omgeving, is er momenteel geen ondersteuning voor HA beschikbaar voor NGFW. Daarom gebruikt Cisco Next-generation firewall (NGFW) om een zeer beschikbare oplossing te bieden de native functies van Klantenservice, zoals Availability ets en Virtual Machine Scale Set (VMSS), om NGFW hoogst beschikbaar te maken en om aan een toenemend verkeer op aanvraag te voldoen.

Dit document is gericht op het configureren van Cisco NGFW naar AutoScale op basis van verschillende parameters waardoor NGFW kan worden geschaald in of uitgebreid op ON-DEMAND. Dit betreft het gebruik wanneer de klant een vereiste heeft om FireSIGHT Management Center (FMC) te gebruiken, dat beschikbaar is in colocatiecentra en nodig is om alle NGFW centraal te beheren, en de klanten ook geen FMC en FTD willen hebben om over openbare IP te communiceren voor beheerverkeer.

Alvorens nader in te gaan op configuratie- en ontwerpoverwegingen, zijn de weinige concepten die goed begrepen zouden moeten worden in de tijd naar de Kuurtijd:

- Beschikbaarheidszone: Een Availability Zone is een voorziening met hoge beschikbaarheid die uw toepassingen en gegevens beschermt tegen fouten in datacenters. Beschikbaarheidszones zijn unieke fysieke locaties binnen een gebied in de tijd. Elke zone bestaat uit een of meer datacenters die zijn uitgerust met een onafhankelijk apparaat voor voeding, koeling en netwerkvorming.

- VNET:  karwei Virtual Network (VNet) is de fundamentele bouwsteen voor uw privénetwerk in Kuster. VNet stelt vele soorten van buren, zoals de lokale virtuele machines (VM), in staat om veilig met elkaar, het internet en de netwerken ter plaatse te communiceren. VNet is vergelijkbaar met een traditioneel netwerk dat je in je eigen datacentrum zou exploiteren maar levert daarbij extra voordelen op voor de lokale infrastructuur zoals schaal, beschikbaarheid en isolatie. Elk subnet binnen een VNET is bereikbaar aan elkaar door gebrek, maar het zelfde is niet waar voor subnetten in verschillende VNETs.

- Beschikbaarheid ingesteld:  Beschikbaarheidssets zijn een andere configuratie van datacenters om VM-redundantie en -beschikbaarheid te bieden. Deze configuratie binnen een datacenter garandeert dat tijdens een geplande of ongeplande onderhoudsbeurt ten minste één virtuele machine beschikbaar is en voldoet aan de 99,95% van de "burerSLA".

- VMSS: Klanten van de lokale virtuele machine laten u een groep van belastingsgebalanceerde VM's maken en beheren. Het aantal VM-instanties kan automatisch stijgen of dalen in reactie op de vraag of een bepaald schema. Schaalsets bieden een hoge beschikbaarheid voor uw toepassingen en stellen u in staat een groot aantal VM's centraal te beheren, te configureren en bij te werken. Met virtuele machines kunt u grootschalige services bouwen voor gebieden zoals computer-, grote gegevens- en containerwerkloads.

- App: Kuurfunctie is een on-demand cloudservice die alle voortdurend bijgewerkte infrastructuur en hulpmiddelen biedt die nodig zijn om je toepassingen te kunnen gebruiken. Je focust op de stukken code die het meest voor je belangrijk zijn, en de andere functie van de Kuurfunctie is de rest. U kunt vanaf de Kustfunctie web API's bouwen, reageren op wijzigingen in de database, IoT-stromen verwerken, berichtenwachtrijen beheren en meer. In deze autoscalade-oplossing zijn de Kuurfunctie verschillende API-verzoeken aan FMC voor het maken van objecten, het registreren/deregistreren van FTDv, het controleren van de parameters enz.

- App: Kapper Logic Apps is een cloudservice die u helpt bij het plannen, automatiseren en orkestreren van taken, bedrijfsprocessen en werkstromen wanneer u apps, gegevens, systemen en services wilt integreren tussen bedrijven of organisaties. De Logic-applicaties vereenvoudigt de manier waarop u schaalbare oplossingen ontwerpt en bouwt voor app-integratie, gegevensintegratie, systeemintegratie, Enterprise Application Integration (EAI) en business-to-business (B2B) communicatie, of dit nu in de cloud, op gebouwen of allebei is. Deze oplossing biedt een logische sequentie van de functies die moeten worden uitgevoerd voor het functioneren van de automatische geschaalde oplossing.

Momenteel biedt de AutoScale-oplossing die beschikbaar is voor NGFW geen beheerplan om te communiceren met de lokale Private IP aan de VPN-et en vereist deze dat openbare IP-communicatie tussen FireSIGHT Management Center en NGFW uitwisselt.

Dit artikel is bedoeld om dit probleem op te lossen totdat de geverifieerde oplossing beschikbaar is voor FireSIGHT Management Center en NGFW-communicatie via particuliere IP.

Configureren

Om een automatisch geschaalde NGFW-oplossing te maken, wordt deze configuratiegids gebruikt:

https://www.cisco.com/c/en/us/td/docs/security/firepower/quick_start/azure/ftdv-azure-gsg/ftdv-azure-autoscale.html#Cisco_Concept.dita_c0b3cf0d-9690-4342-8cba-e66730e70c47

met verschillende wijzigingen zodat de volgende gebruiksgevallen kunnen worden aangepakt:

- De app van de functie moet kunnen communiceren met het interne IP-segment van de klant

- Taakverdeling mag geen openbare IP-telefoon hebben

- Het beheerverkeer tussen NGFW en FMC moet via het particuliere IP-segment worden uitgewisseld.

Om een AutoScaled NGFW-oplossing te maken, moet u deze met de bovengenoemde gebruiksgevallen wijzigen in de stappen die in de officiële Gids van Cisco zijn vermeld:

1. ARM

ARM Sjabloon wordt gebruikt voor automatisering in de KRI. Cisco heeft een geverifieerde ARM-sjabloon geleverd die gebruikt kan worden voor het maken van een automatische schaaloplossing. Maar deze ARM-sjabloon beschikbaar op Public Github https://github.com/CiscoDevNet/cisco-ftdv/tree/master/autoscale/azure/NGFWv6.6.0/ARM%20Template maakt een functieapp die niet kan worden gemaakt om aan het interne netwerk van de klant te communiceren alhoewel ze bereikbaar zijn via Express Routes. Daarom moeten we dit iets aanpassen zodat de app nu Premium-modus kan gebruiken in plaats van de consumptiemodus. De vereiste ARM-sjabloon is dus beschikbaar op https://github.com/Madhuri150791/FunctionApp_with_Premiium_Plan.git

2. Functie APP

De Functie App is een set van buren functies. De basisfunctionaliteit omvat:

- Geef de volgende methoden periodiek door.

- Controleer de FTDv-lading en activeer de schaal in-/schaalbewerkingen.

- Registreer een nieuwe FTDv bij het FMC.

- Configureer een nieuwe FTDv via FMC.

- Registratie (verwijder) van een geïndexeerde FTDv uit het VCC.

Zoals vermeld in de vereiste, wordt de diverse functie die wordt gecreëerd voor het creëren of schrappen van NGFW op verzoek uitgevoerd op basis van de openbare IP van de NGFW. Vandaar dat we C#-code moeten bijstellen om private IP in plaats van openbare IP te krijgen. Nadat u de code hebt getweeten, is het zip-bestand om de app te maken beschikbaar op https://github.com/Madhuri150791/FunctionApp_with_Premiium_Plan.git

met de naam ASM_Functie.zip. Dit stelt de app in om te communiceren met interne bronnen zonder de openbare IP.

3. Belapp

De app Auto Scale Logic is een werkstroom, d.w.z. een verzameling stappen in een reeks. De "buren"-functies zijn onafhankelijke entiteiten en kunnen niet met elkaar communiceren. Deze orkestrator sequent de uitvoering van deze functies en wisselt informatie uit tussen deze functies.

- De Logic-app wordt gebruikt om informatie te orkestreren en door te geven tussen de automatische schaalfuncties van de AVC.

- Elke stap staat voor een Auto Scale-Koolfunctie of een ingebouwde standaardlogica.

- De Logic-app wordt geleverd als een JSON-bestand.

- De Logic-app kan via het GUI- of JSON-bestand worden aangepast.

Opmerking: De logische app detail beschikbaar op https://github.com/Madhuri150791/FunctionApp_with_Premiium_Plan.git moet zorgvuldig worden aangepast en de volgende items moeten worden vervangen door implementatiegegevens, FUNSTIONAPP-naam, Naam van de RESOURCE GROUP, SUBSCRIPTION-ID.

Netwerkdiagram

Deze afbeelding laat zien hoe inkomende en uitgaande verkeersstromen binnen een bekende omgeving door NGFW stromen.

Configuraties

Maak nu verschillende onderdelen die vereist zijn voor een geautoriseerde oplossing.

1. Componenten maken van Autoscale Logic.

Gebruik de ARM-sjabloon en maak VMSS, Logic APP, Functie APP, App Insight, Network Security Group.

Navigeer naar startpunt > Maak een bron > Zoeken naar sjabloon en selecteer vervolgens Sjabloonimplementatie. Klik nu op Maken en bouw uw eigen sjabloon in de editor.

2. Klik op Opslaan.

Breng de gewenste wijzigingen aan in deze sjabloon en klik op Review +Create.

3. Hierdoor worden alle componenten onder de genoemde brongroep gecreëerd.

4. Inloggen op URL

https://<functie_app_name>.scm.azurewebsites.net/DebugConsole

Upload het bestand ASM_Functie.zip en ftdssh.exe naar site/wwwroot/map (het is verplicht om het te uploaden naar de gespecificeerde locatie anders. De app identificeert geen verschillende functies.)

Het zou zo moeten zijn als deze afbeelding:

5. Controleer de app > Opties. U moet alle functies zien.

6. Wijzig de toegangstoestemming zodat VMSS de functies in de app kan uitvoeren.

Navigeren in op <prefix>-vmss> Access Control (IAM) > Add role asignement. Geef deze VMSS een toegang tot de <prefix>-functie-app

Klik op Opslaan.

7. Navigeer naar Logic-app > Logic-codeweergave en verander de Logic-code met de code die beschikbaar is op

https://github.com/CiscoDevNet/cisco-ftdv/tree/master/autoscale/azure/NGFWv6.6.0/Logic%20App

Hier moet de intrinsieke abonnement, de naam van de Resourcegroep en de App Name van de Functie worden vervangen voordat u ze gebruikt, anders is het niet toegestaan om succesvol op te slaan.

8. Klik op Opslaan. navigeren naar Logic-app - Overzicht en applicatie voor Logic inschakelen.

Verifiëren

Zodra de Logic-app is ingeschakeld, wordt onmiddellijk binnen 5 minuten begonnen met de uitvoering.

Als alles correct is ingesteld, dan ziet u dat de trigger-acties succesvol worden.

VM wordt ook gecreëerd onder VMSS.

Meld u aan bij FMC en controleer of FMC en NGFW zijn verbonden via FTDv Private IP:

Wanneer u inlogt bij de NGFW CLI, ziet u deze:

Vandaar dat FMC aan NGFW communiceert via de lokale website van de particuliere onderneming en Subnet.

Problemen oplossen

Soms slaagt de Logic-app er niet in om een nieuwe NGFW op te bouwen om zo een probleem op te lossen. Deze stappen kunnen worden genomen:

1. Controleer of de Logic-app goed werkt.

2. Identificeer de oorzaak van de fout.

Klik op de mislukte trigger.

Probeer het mislukkingspunt van de codestroom te identificeren. Uit het bovenstaande vloeit voort dat ASM Logic is mislukt, omdat deze niet in staat was verbinding te maken met FMC. Daarna moet je identificeren waarom FMC niet bereikbaar was als per flow in de KRK.