Implante um Gateway FTDv no AWS usando o MCD

Introdução

Este documento descreve como integrar sua conta AWS ao Cisco Multicloud Defense (MCD) e implantar gateways FTDv usando o controlador Cisco MCD.

Pré-requisitos

• Um Centro de gerenciamento de firewall (cdFMC) fornecido em nuvem provisionado para o locatário do SCC.
• Um par de chaves AWS EC2 disponível na região de destino para implantação.
• Uma conta AWS com permissões IAM suficientes para implantar uma pilha CloudFormation.
• Uma assinatura/qualificação ativa do Cisco Multicloud Defense no locatário SCC, junto com os tipos de licença FTDv aplicáveis e as qualificações de nível de desempenho.
• Acesso administrativo SCC com direitos para gerenciar as assinaturas da plataforma e a infraestrutura de defesa em várias nuvens.
• Acesso ao AWS Console com permissões para criar e monitorar pilhas CloudFormation e recursos EC2.

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Navegação pelo Cisco Security Cloud Control (SCC)
• Conceitos básicos de rede da AWS (VPC, CIDR, gateway de trânsito, zonas de disponibilidade)
• Implantação e revisão da pilha do AWS CloudFormation

Componentes Utilizados

• Controle de nuvem de segurança da Cisco (SCC)
• Cisco Multicloud Defense (MCD)
• Cisco Secure Firewall Threat Defense Virtual (FTDv)
• Centro de gerenciamento de firewall fornecido em nuvem (cdFMC)
• Amazon Web Services (AWS) - Formação em nuvem, EC2, VPC, gateway de trânsito

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Este documento aborda uma primeira implantação de MCD em uma única conta e região AWS usando um tipo de rede de Gateway de Trânsito (TGW). Os tipos de rede WAN de nuvem AWS e as implantações de gateway de entrada estão fora do escopo deste documento, pois os gateways de entrada não são suportados atualmente pelo MCD.

Configurar

Habilitar o Cisco Multicloud Defense no locatário do SCC

1. No console Cisco Security Cloud Control (SCC), navegue até Home > Platform Management > Subscriptions.
   
   
   
   
2. Habilite a assinatura do Multicloud Defense para o locatário.

Integrar uma Conta AWS (Conta CSP)

Esta etapa conecta uma conta AWS ao controlador de defesa em multicloud para que o MCD possa implantar e gerenciar recursos em seu nome. Este exemplo usa o AWS como o provedor de serviços de nuvem (CSP).

1. No painel de navegação à esquerda de SCC, selecione Defesa em várias nuvens.
2. Navegue até Infraestrutura > Contas CSP.
3. Selecione Add Account.
4. Na lista suspensa Tipo de conta, selecione AWS.
5. Selecione Launch Stack. Isso abre uma nova guia do navegador e inicia uma pilha do AWS CloudFormation que implanta as funções e os recursos do IAM necessários para a integração do MCD com a conta do AWS.
6. No AWS Console, confirme se a pilha CloudFormation foi concluída com êxito.
    
   
7. Abra a guia Saídas da pilha CloudFormation. Esses valores são obrigatórios na próxima etapa.
8. No formulário MCD Add Account, insira estes valores:
   Número da conta AWS: A saída de AccountNumber da pilha CloudFormation.
   Nome da conta AWS: Um nome amigável e identificável para esta conta AWS no MCD.
   Função IAM do controlador: A saída de MCDControllerRoleArn da pilha CloudFormation.
   Função do Monitor de Inventário: A saída de MCDInventoryRoleArn da pilha CloudFormation.

9. Salve a conta. A conta AWS é integrada ao MCD.

Criar um VPC de serviço

O VPC de Serviço hospeda a infraestrutura de rede (sub-redes, tabelas de rota, Gateway de Trânsito) usada pelo gateway FTDv.

1. Navegue até Defesa em várias nuvens > Infraestrutura > VPCs/VNets de serviço.
2. Selecione Criar.
3. Defina as configurações de VPC:
   Nome: Um nome exclusivo e facilmente identificável para o VPC.
   Conta do CSP: A conta AWS integrada na Etapa 2.
   Região: A região do AWS onde o cluster FTDv é iniciado.
   Bloco CIDR: Um intervalo CIDR dedicado a essa implantação MCD (não deve sobrepor-se aos VPCs existentes).
   Zonas de disponibilidade: Pelo menos um AZ; dois são recomendados para redundância.
   Tipo de rede: Selecione Transit Gateway (TGW). A CloudWAN é um tipo de rede separado usado especificamente para implantações de WAN de nuvem da AWS e está fora do escopo deste documento.
   Gateway de trânsito: Selecione create_new, com um nome exclusivo para o novo Gateway de Trânsito.
   Gateway NAT (opcional): Permite que todo o tráfego de saída seja roteado através de um gateway NAT. Não habilitado neste exemplo; A configuração do Gateway NAT está fora do escopo deste documento.

4. Selecione Salvar.

Iniciar o Assistente do Gateway FTDv

1. Navegue até Defesa em várias nuvens > Infraestrutura > Gateways.
2. Selecione Add Gateway.
3. Defina as configurações iniciais:
   Contas: A conta CSP integrada na Etapa 2.
   Tipo de gateway: Selecione FTDv Gateway.
   Nome: O nome para exibição deste cluster no MCD.
   Tipo de instância: O tamanho da instância que corresponde às necessidades de throughput e desempenho necessárias. Este exemplo usa o tipo mínimo suportado, C5_XLARGE.
   Instâncias Mínima/Máxima: O intervalo de dimensionamento desejado. Mínimo é 1 instância; o máximo é 10.
   Porta HealthCheck: O padrão é 65534;  altere somente se uma porta diferente tiver sido especificada para o balanceador de carga MCD. Se for alterada, a porta deverá ser permitida em todos os grupos de segurança de caminho de dados associados às instâncias de FTDv.
   
   
   
   
4. Selecione Avançar.

Configurar propriedades do gateway

Propriedades: Selecionar saída/leste-oeste. Os gateways de ingresso não são suportados no momento.
Versão do FTDv: A versão de software mais adequada ao ambiente.
Conjunto de regras de política: A política de controle de acesso (ACP) a ser aplicada a este cluster de FTDv.
Senha: Uma senha para as instâncias de FTDv.
Modelo de licença: O modelo de licenciamento desejado.
Nível de desempenho: A camada apropriada para a taxa de transferência esperada do dispositivo.
Tipos de licença: Os tipos de licença adquiridos para esta implantação.
Região: A região em que essas instâncias de FTDv são implantadas.
ID de VPC/VNet: O VPC de serviço criado na Etapa 3.
Par de chaves: Um par de chaves AWS existente.
Função IAM do gateway: A função que contém o gateway em seu nome, correspondente ao MCDFirewallRoleName da pilha CloudFormation na Etapa 2. A seleção dessa função preenche automaticamente os grupos de segurança associados.
Criptografia EBS: A criptografia gerenciada por AWS é selecionada por padrão. O Amazon EBS criptografa de forma automática e transparente volumes de armazenamento em bloco, dados em trânsito e snapshots.

1. Selecione Próximo.

Definir configurações avançadas (opcional)

As Configurações avançadas permitem a configuração de opções, como desabilitar endereços IP públicos para as instâncias de FTDv. As configurações avançadas não estão definidas neste exemplo.

Revisar e implantar

1. Verifique se todas as configurações configuradas estão corretas.
2. Selecione Finish para iniciar a implantação.

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	19-Oct-2026	Versão inicial