在 Azure Virtual WAN 上部署 Firewall Threat Defense Virtual

本章介绍如何在 Azure 虚拟 WAN 上使用解决方案模板部署 Firewall Threat Defense Virtual 实例。

Azure 虚拟 WAN 中的 Threat Defense Virtual 简介

Microsoft Azure 虚拟 WAN 采用“中心辐射型”架构来管理各种虚拟网络和分支机构位置之间的流量。在 Azure 虚拟 WAN 中，将 Threat Defense Virtual 与 Azure 虚拟中心集成有助于在通过中心时对源自组织的本地（辐射）网络（如总部、分支机构和远程用户）的流量进行有效的管理和检查访问 Azure 网络上的 Vnet。此集成通过使用 Threat Defense Virtual 防火墙的专用连接通道，促进网络流量的管理、检查、过滤和路由。


注

Azure 虚拟 WAN 支持仅具有三个接口的 Threat Defense Virtual 部署模型。

在 Azure 虚拟 WAN 中心部署 Threat Defense Virtual 具有多种优势，包括：

  • 无需在连接到中心的每个中心内实施防火墙解决方案。

  • 利用 Azure 的内部负载均衡器 (ILB) 的内置功能。

  • 在部署期间使用预定义配置扩展实例。

通过 Azure 虚拟 WAN 上 Threat Defense Virtual 进行流量路由

Azure 虚拟 WAN 中的路由流量方法

Azure 虚拟 WAN 提供边界网关协议 (BGP)，这是一种动态路由协议，可帮助确定在不同 Azure 网络之间发送流量的最佳路由，同时不断更新和共享路由表。虚拟 WAN 中心提供一组 BGP 终端（用于实现高可用性）和自治系统编号 (ASN)，您必须在管理中心将其配置为 Threat Defense Virtual 的 BGP 邻居。

您还可以使用静态路由方法在 Threat Defense Virtual 中手动配置路由。

有关 Azure 中路由的详细信息，请参阅 Azure 文档中的关于 BGP 和 VPN 网关。

路由意图

路由意图是 Azure 虚拟 WAN 中心中的一种路由功能，可简化将互联网绑定和专用流量转发到中心中部署的 Threat Defense Virtual 防火墙进行检查的过程。

有关详细信息，请参阅 Azure 文档中的路由意图。

系统要求

扩展单元

实现最大吞吐量所需的扩展取决于在 Azure 虚拟 WAN 中心部署期间选择或配置的 Firewall Threat Defense Virtual 实例 (NVA) 的实例大小和数量。

例如：如果大小为 D3_V2 的两个 Firewall Threat Defense Virtual 实例可以支持 3.2 Gbps，则 NVA 吞吐量定义为 Scale-Unit-4: 3.2 Gbps。

表 1. 基于实例类型的 Firewall Threat Defense Virtual 吞吐量级别

扩展单元

Threat Defense Virtual 实例

实例类型

吞吐量支持级别

4

2

Standard_D3_v2

3.2 Gbps

10

2

Standard_D4_v2

4.8 Gbps

20

2

Standard_D5_v2

12 Gbps

40

3

Standard_D5_v2

18 Gbps

60

4

Standard_D5_v2

24 Gbps

80

5

Standard_D5_v2

30 Gbps

限制

接口

Firewall Threat Defense Virtual 支持三个接口进行部署，因为 Azure 限制 NVA 最多只能支持三个网络接口。


注

支持三种接口模式的 Firewall Threat Defense Virtual 7.4.1 及更高版本与在 Azure 虚拟 WAN 上部署兼容。

Firewall Threat Defense Virtual 网络接口的三个子网如下：

  • 管理接口 - 它是使用公用 IP 地址将 Firewall Threat Defense Virtual 连接到管理中心的第一个接口。

  • 外部接口（必需） - 它是将 Firewall Threat Defense Virtual 连接到不受信任的公用 IP 地址的第二个接口。

  • 内部接口（必需） - 它是将 Firewall Threat Defense Virtual 连接到虚拟 WAN 集线器和内部主机网络的受信任专用 IP 地址的第三个接口。

Firewall Threat Defense Virtual 作为网络虚拟设备 (NVA)

以下是与 Azure 虚拟 WAN 中的 Firewall Threat Defense Virtual 作为 NVA 的网络配置相关的主要功能。

  • 在 Azure 虚拟 WAN 上部署 Firewall Threat Defense Virtual 期间，Azure 会在内部创建 VNet 和子网。因此，在部署完成后无法修改或创建它们。但是，您可以在部署后查看连接到实例的所有 IP 地址。

  • 您无法在网络安全组中为每个接口选择端口，但这些端口是在部署期间预定义的。管理接口上仅允许 TCP 端口 443、8305 和 22 连接到互联网。

  • 内部接口仅允许在 Azure 虚拟 WAN 中心和与其连接的内部网络内进行通信。

Azure 虚拟 WAN 中心上对 Firewall Threat Defense Virtual 的访问限制

您需要授权才能访问在中心上作为托管应用部署到托管资源组中的 Firewall Threat Defense Virtual 实例。管理员可以授予对此托管资源组的有限或受限访问权限。

Azure 托管应用提供实时 (JIT) 访问功能，它允许您定义对托管应用的访问权限。有关 JIT 的信息，请参阅 Azure 文档中的 Azure 托管应用概述和即时应用。

IP 支持

  • 仅支持 IPv4。

不支持的功能

  • 不支持通过 Day 0/自定义数据进行引导。

  • Firewall Threat Defense Virtual 不支持将指标流传输到 Azure。

  • 不支持通过更换操作系统磁盘来升级虚拟机。

  • 不支持基于 SSH 密钥登录到 Firewall Threat Defense Virtual。

  • 不支持 PAYG。

许可

使用思科智能许可证帐户的 BYOL

网络拓扑

作为 Azure 虚拟 WAN 中心中的 NVA，Firewall Threat Defense Virtual 会通过中心的网络流量路由来检测来自不同本地网络（辐射型）（例如互联网、分支 [站点] 或作为 VNET）的网络流量。

网络流量通过的这些流量路由分类为以下拓扑：

  • 东西：分支到分支

  • 东西：VNet 到 VNet

  • 南北：分支到互联网

  • 南北：VNet 到互联网


注

不支持通过 Firewall Threat Defense Virtual 从 互联网 到 VNet 或分支 的流量。


注

您可以跨 Azure 区域部署多个中心，并连接到虚拟 WAN。此外，您还可以将每个中心配置为拥有自己的 Firewall Threat Defense Virtual，用于东西和南北流量检测。

单个虚拟 WAN 中心上按 Firewall Threat Defense Virtual 划分的南北流量检测拓扑

此拓扑引用 Firewall Threat Defense Virtual 检查在以下设备之间导航的网络流量：

  • 分支和 VNET（反之亦然）连接到虚拟 WAN 中心。

图 1. Azure 虚拟 WAN 中心中的 Firewall Threat Defense Virtual 南北流量检测拓扑


以下步骤介绍了南北流量检测中的流量流程。

  1. 本地网络将流量发送到 Azure 网关。

  2. 网关转发到 ILB。

  3. ILB 发送到 Firewall Threat Defense Virtual (NVA)

  4. NVA SNAT 到实例 PIP 并发送到互联网。

  5. Web 服务器回复实例 PIP Firewall Threat Defense Virtual (NVA) 会撤消 SNAT 并转发到网关。

  6. 网关转发到本地网络。

单个虚拟 WAN 中心上按 Firewall Threat Defense Virtual 划分的东西流量检测拓扑

此拓扑引用 Firewall Threat Defense Virtual 检查在以下设备之间导航的网络流量：

  • 分支和 VNET（反之亦然）连接到虚拟 WAN 中心。

  • 从互联网到连接到虚拟 WAN 中心的分支或 VNET。

图 2. Azure 虚拟 WAN 中心中的 Firewall Threat Defense Virtual 东西流量检测拓扑
此拓扑是指 Firewall Threat Defense Virtual 检查连接到虚拟 WAN 中心的站点到站点（分支和分支）和 VNET 到 VNET 之间导航的网络流量。

以下步骤介绍了东西流量检测中的流量流程。

  1. VNet1 将流量发送到 ILB。

  2. ILB 选择其中一个活动实例。

  3. Firewall Threat Defense Virtual (NVA) 直接发送到目标 (VNet 2)。

  4. VNet 将流量发送到 ILB。

  5. ILB 将流量完全转发到相应的 Firewall Threat Defense Virtual (NVA) 状态。

  6. Firewall Threat Defense Virtual (NVA) 将流量发送回 VNet 1。

入口流量的拓扑示例

考虑这样一个场景：您想要发布在 Azure VNET 中托管的应用程序，其中 Firewall Threat Defense Virtual NVA 作为前端面向公众的终端。为了支持这种场景，Microsoft 在 Azure 虚拟 WAN 基础设施中引入了两个新组件：

  • 标准负载均衡器 (SLB) - 此负载均衡器是一个跨租户负载均衡器，将配置为使用客户租户的公共 IP 地址资源作为 SLB 的前端配置。

  • 网络安全组 (NSG) - 此选项分配给 Firewall Threat Defense Virtual NVA 的不受信任接口。必须将此 NSG 配置为接收从 SLB 转发的流量，然后将其转发到后端 VM 实例。

此拓扑示例描述了预期的流量流向。

以下是 IPv4 地址分配的示例：

  1. Web 客户端的公共 IP 地址：1.1.x.x

  2. 与 SLB 关联的公共 IP 1：2.2.x.x

  3. Firewall Threat Defense Virtual (NVA) 上受信任接口的专用 IP 地址：10.0.x、x 10.0.x.x

  4. 客户 VNET 中部署的 VM 的专用 IP 地址：192.168.x.x

  5. SLB 配置为在 443 端口将流量转发到 Firewall Threat Defense Virtual (NVA)。

发生流量或数据包流的步骤顺序如下所示：

  1. Web 客户端向应用发出请求。数据包通过互联网路由到 SLB。

  2. SLB 使用负载均衡规则来对流量进行负载均衡，并将数据包转发到后端池。NSG 被配置为允许此流量。

  3. Firewall Threat Defense Virtual (NVA) 应用 DNAT 规则，并对数据包进行 SNAT，将其发送到防火墙信任的专用 IP 地址。NVA 将数据包发送到 VM 分支。

  4. VM 通过向防火墙实例的私有 IP 地址发送数据包来应答数据包。

  5. 防火墙会撤消 SNAT 并将数据包转发到不受信任接口。

  6. 数据包将路由回 Web 客户端。

在 Azure 虚拟 WAN 上部署 Threat Defense Virtual

您可以使用 Azure 市场上提供的适用于 Azure 虚拟 WAN 的 Cisco Secure Firewall Threat Defense Virtual 产品，在 Azure 虚拟 WAN 中心部署 Threat Defense Virtual。

前提条件

  • Microsoft Azure 帐户。您可以在 https://azure.microsoft.com/en-us/ 创建一个。

  • 在虚拟 WAN 上创建一个中心。有关在 Azure 中创建虚拟中心的信息，请参阅 Azure 文档中的创建中心。

  • 确保虚拟 WAN 中心地址空间小于或等于 /23。


    Note

    Microsoft Azure 允许使用 /24 地址空间的虚拟 WAN 中心。但是，由于未来的增强功能，Microsoft 不建议部署此类中心。不支持在地址空间为 /24 的虚拟 WAN 中心部署 Firewall Threat Defense Virtual。

  • 思科智能账户。您可以在 Cisco 软件中心创建一个。


Note

部署 Threat Defense Virtual 实例后，您可以查看附加到该实例的所有公共和专用 IP。

通信路径

  • 管理接口 - 用于将威胁防御虚拟连接到管理中心。

  • 内部接口（必需）- 用于将威胁防御虚拟连接到内部主机。

  • 外部接口（必需）- 用于将威胁防御虚拟连接到公共网络。

基于角色的访问控制

在 Azure 虚拟 WAN 上将 Firewall Threat Defense Virtual 部署为网络虚拟设备 (NVA) 需要托管身份。它通过利用基于角色的访问控制和管理，为 NVA 提供了一种安全高效的方式来访问必要的 Azure 资源，而无需显式凭证。此设置是每个订用的一次性操作，同一托管身份可重复用于同一订用内的任何 Threat Defense Virtual (NVA) 部署。

创建托管标识

您需要为订用的资源组创建唯一标识符。确保在创建托管身份之前创建资源组。

过程

步骤 1

使用您的 Microsoft 帐户用户名和密码登录 Microsoft Azure 门户。

步骤 2

搜索托管身份，然后点击服务。系统将显示托管身份页面。

步骤 3

点击创建 (Create)。

步骤 4

在以下字段中输入值：

  • 选择您计划部署 Firewall Threat Defense Virtual (NVA) 的订用和资源组。此标识符将在部署期间分配给 Threat Defense Virtual (NVA)，以提供对资源组的访问权限。

  • 提供名称，并在实例详细信息下选择所需的区域。

步骤 5

点击下一步。

步骤 6

在标记菜单中输入所需的名称和值。

步骤 7

点击下一步以查看托管身份详细信息。

步骤 8

点击查看 + 创建以创建托管身份。新创建的托管身份将显示在托管身份页面中。

创建自定义角色

您必须在 Azure 资源中设置一个角色，以管理对资源组或订阅的访问权限。这需要创建一个角色，并为其配置访问这些 Azure 资源所需的权限。

过程

步骤 1

转到 Azure 门户中的订用服务。

步骤 2

点击要在其中创建自定义角色的订用。

步骤 3

点击访问控制 (IAM) (Access control [IAM])。

步骤 4

从添加下拉列表中点击添加自定义角色。

步骤 5

在以下字段中输入值：

  • 自定义角色名称和说明：为角色输入唯一的名称和说明。

  • 基准权限：点击从 JSON 启动。

步骤 6

点击下一步进入可分配范围页面。

步骤 7

查看并确保将范围分配给所需的订用。

步骤 8

点击下一步。

步骤 9

编辑 JSON 并使用以下权限更新 actions 字段。 

"actions": [
"Microsoft.Network/virtualHubs/read",
"Microsoft.Network/publicIPAddresses/join/action",
"Microsoft.Network/networkVirtualAppliances/*",
"Microsoft.Network/networkVirtualAppliances/inboundSecuri
tyRules/*"
]

步骤 10

点击保存。

步骤 11

点击下一步以查看自定义角色详细信息。

步骤 12

点击查看 + 创建。新创建的角色显示在访问控制 (IAM) 页面的角色菜单中。

分配自定义角色

创建自定义角色后，您可以将与订用或资源组关联的角色分配给托管身份。

过程

步骤 1

转到托管身份页面。

步骤 2

点击要为其分配自定义角色的身份。系统将显示身份页面。

步骤 3

在左窗格的菜单中，点击 Azure 角色分配。

步骤 4

点击添加角色分配。系统将显示添加角色分配对话框。

步骤 5

从作用域下拉列表中选择订用。请注意，您创建的托管身份已与订用和资源组相关联。

步骤 6

从角色下拉列表中选择自定义角色以分配给托管身份。请注意，您必须分配为此订用新创建的自定义角色。

步骤 7

点击保存以保存角色分配。

在托管身份页面中身份旁边的“分配的角色”列中，您可以看到分配给身份的角色。
下一步做什么
使用解决方案模板在 Azure 虚拟 WAN 上部署 Threat Defense Virtual。

使用解决方案模板在 Azure 虚拟 WAN 上部署 Threat Defense Virtual

以下说明介绍了如何使用 Azure 市场提供的解决方案模板在 Azure 虚拟广域网上部署 Threat Defense Virtual。这是在 Microsoft Azure 虚拟 WAN 环境中设置 Threat Defense Virtual 所需的顶级步骤列表。

有关 Azure 设置步骤的详细信息，请参阅《Azure 入门》。

Procedure

Step 1

登录到 Azure 资源管理器 (ARM) 门户。

Azure 门户显示与当前帐户和订用相关联的虚拟要素，与数据中心位置无关。

Step 2

依次选择 Azure 市场 > 虚拟机。

Step 3

在市场中搜索适用于 Azure VWAN 的 Cisco Secure Firewall Threat Defense Virtual，选择产品，然后点击创建以显示基本页面。
基本设置

Step 4

配置 Basics 设置。

  1. 选择您的订用。

  2. 选择虚拟 WAN 中心的地理位置或区域。每个部署都有多个资源，例如虚拟 WAN 中心、Threat Defense Virtual、网络和存储账户。确保为所有资源选择相同的地理位置。

Step 5

配置托管应用详细信息 (Managed Application Details) 设置。

  1. 输入托管应用的名称。

  2. 选择部署 Threat Defense Virtual 实例的托管资源组。

Step 6

配置用户分配的托管标识。

  1. 点击下一步以显示 NVA 应用设置页面。

  2. 点击添加以分配托管标识。

  3. 从下拉列表中选择订用，并在用户分配的托管标识字段中选择托管标识。

  4. 点击添加进行分配。

Step 7

点击下一步 ，显示 Cisco Secure Firewall Threat Defense Virtual - NVA 页面。

Step 8

(Optional) 对于入口支持，请选中启用入口复选框以允许外部入站流量（入口）到达 NVA。


Cisco Secure Firewall Threat Defense Virtual - NVA

Step 9

从公共 IP 地址下拉列表中，选择标准负载均衡器的 IP 地址，以便将外部流量路由到 Azure 环境。请注意，您必须已创建此公共 IP 地址。需要由 NVA 处理的所有传入流量都使用此 IP 地址作为入口点。

Step 10

配置虚拟中心和 NVA 详细信息：

  1. 从 vWAN 中心 (vWAN Hub) 下拉列表中选择虚拟 WAN 中心，以部署 Threat Defense Virtual 实例。

  2. 为要部署的 Threat Defense Virtual 实例输入适当的名称。

  3. 选择定义要部署的 Threat Defense Virtual 实例数量的扩展单元。

    您可以选择所需的扩展单位，以实现所需的 NVA 吞吐量级别。例如，选择 4 个扩展单元 - 3.2 Gbps (2 x Standard_D3_v2_instances) 意味着“扩展单元数量 - 吞吐量级别（具有实例类型的 2 Threat Defense Virtual）。

    Note

     

    扩展单元定义您在中心中部署的 Threat Defense Virtual 实例及其关联实例类型的数量。

  4. 输入虚拟设备 ASN。

    Note

     

    输入的 ASN 值必须在 64512 - 65534 范围内。

Step 11

点击下一步以显示 Threat Defense Virtual - 配置页面。
Threat Defense Virtual - 配置

Step 12

从下拉列表选择相应的 NVA 软件版本兼容版本。

Note

 

此字段提供与您正在部署的相应 Threat Defense Virtual 版本兼容的 NVA 软件版本列表。确保从列表中选择合适的版本。

Step 13

创建并确认访问包含 Threat Defense Virtual 实例的托管资源组所需的管理员密码。这是用于访问 Threat Defense Virtual 实例的密码。

Step 14

点击是输入 FMC 注册信息。

  1. 输入 FMC IP 地址。

  2. 输入用于注册 Threat Defense Virtual 实例的 FMC 注册密钥。

    Note

     

    • FMC 注册密钥必须是长度为 1 至 37 个字符的字母数字字符串。在添加 Threat Defense Virtual 时，您将在管理中心上输入此密钥。

  3. [可选] 输入在实例注册期间使用的管理中心 NAT ID。

    Note

     

    • NAT ID 必须是长度在 1 - 37 个字符之间的字母数字字符串，仅在一方未指定 IP 地址时，在管理中心和设备之间的注册过程中使用。NAT ID 本质上是一个一次性密码，因此必须是唯一的，而且不能被其他等待注册的设备使用。为确保注册成功，请务必在添加 Threat Defense Virtual 时在 FMC 上指定相同的 NAT ID。

Step 15

点击下一步以配置标记。
标签配置

Step 16

点击下一步以显示 JIT 配置页面。
JIT 配置

默认情况下，启用 JIT 访问选项设置为是，这样将启用 JIT 调配访问，以管理 Threat Defense Virtual 实例并进行故障排除。

Step 17

点击下一步以显示查看+创建页面。
查看和创建页面

Step 18

在部署之前，您必须查看订用、NVA、Threat Defense Virtual 和 JIT 配置详细信息，接受条款和条件，然后点击创建 (Create) 以在虚拟 WAN 中心上部署 Threat Defense Virtual (NVA)。

Step 19

转至主页 > 安全 > 第三方提供商，然后点击网络虚拟设备，查看在集线器上创建的 NVA。
网络虚拟设备

Step 20

点击 NVA 以查看已部署的所有 Threat Defense Virtual 实例。

您可以使用实例的管理公用 IP 地址访问 Threat Defense Virtual，并使用 SSH 登录。

Note

 

您在中心上部署的每个 Threat Defense Virtual 实例的公用 IP 地址用于在管理中心注册实例。

What to do next

注册并配置您在管理中心的中心部署的 Threat Defense Virtual 实例。

在管理中心中配置 Threat Defense Virtual

您可以通过管理中心配置在中心部署的每个 Threat Defense Virtual 实例。

创建 Threat Defense Virtual 配置和管理所需的所有对象，包括设备组，以便您能够轻松地在多个设备上部署策略和安装更新。设备组上应用的所有配置都将被推送到 Threat Defense Virtual 实例。

本节简要概述在管理中心中配置 Threat Defense Virtual 实例的基本步骤。

有关详细信息，请参阅《Cisco Secure Firewall Management Center 设备配置指南》。

在管理中心注册 Threat Defense Virtual 实例

您必须在管理中心的通用设备组下注册虚拟 WAN 中心部署的所有 Threat Defense Virtual 实例。它可以帮助您快速将策略和配置部署到这些实例。

Before you begin

  • 需要 Azure 虚拟 WAN 中心中部署的每个Threat Defense Virtual 实例的管理公用 IP 地址。它用于在管理中心中设置和注册实例。

  • 在管理中心创建设备组。请参阅添加设备组。

  • 创建访问控制策略。请参阅创建基本访问控制策略。

  • 在中心中部署 Threat Defense Virtual 期间创建的 FMC 注册密钥。

Procedure

Step 1

登录管理中心。

Step 2

依次选择设备 > 设备管理。

Step 3

点击添加 > 设备

Step 4

输入中心中部署的 Threat Defense Virtual 实例的公用 IP 地址。

Step 5

提供 Threat Defense Virtual 实例的显示名称。

Step 6

输入您在中心中部署 Threat Defense Virtual 期间创建的管理中心的注册密钥。

Step 7

从组 (Group) 下拉列表中，选择要向其添加 Threat Defense Virtual 实例的设备组。

Step 8

从访问控制策略 (Access Control Policy) 下拉列表中，选择要应用于 Threat Defense Virtual 实例的策略。

Step 9

根据需要输入其他详细信息。

Step 10

点击注册 (Register)。

Step 11

重复步骤 1 至步骤 10，注册其他 Threat Defense Virtual 实例。

What to do next

配置 Threat Defense Virtual 实例的接口。

配置接口

注册 Threat Defense Virtual 实例后，必须在管理中心配置其接口。

Azure 虚拟 WAN 仅支持三个接口，其配置如下：

  • 管理接口，将公用 IP 作为第一个接口。

  • 外部接口，将公用 IP 作为第二个接口。

  • 内部接口，将专用 IP 用作第三个接口（只有专用 IP）。

Procedure

Step 1

登录管理中心。

Step 2

转至设备页面。

Step 3

点击与已注册的 Threat Defense Virtual 对应的编辑图标。

Step 4

点击与接口对应的编辑图标。例如 GigbitEthernet0/0。

Step 5

输入 outside 作为第一个接口的名称。

Step 6

选中已启用 (Enabled) 复选框以启用该接口。

Step 7

在安全区域 (Security Zone) 下拉列表中，选择 Outside。

Step 8

点击 IPv4 菜单，为接口分配 IP 类型。

Step 9

从 IP 类型 (IP Type) 下拉列表中，选择使用 DHCP (Use DHCP) 将接口配置为从 DHCP 获取 IP 地址。

Step 10

选中使用 DHCP 获取默认路由 (Obtain default route using DHCP) 复选框。

Step 11

在默认路由 (Default route) 指标中输入 1。

Step 12

点击 OK 以保存配置。

Step 13

重复步骤 1 至步骤 10 以配置内部接口。

What to do next

为接口配置路由。

为接口配置路由

通过创建网络对象并分配网关 IP 地址，为外部和内部接口配置静态路由。

  • 外部接口路由配置使用网关 IP 地址作为所有数据包的默认路由。

  • 内部接口路由配置使用网关 IP 地址作为运行状况探测数据包和以中心网络范围为目标的数据包的默认路由。

使用每个接口的 IP 地址和子网掩码地址计算网关 IP 地址。

计算外部和内部接口的网关 IP 地址

本节通过示例说明计算“外部”和“内部”接口的网关 IP 地址的过程。

Procedure

Step 1

登录管理中心。

Step 2

转至设备 > 设备管理。

Step 3

访问您在中心部署的 Firewall Threat Defense Virtual 实例。

Step 4

在 >_Command 自动中，输入 show interface GigbitEthernet 0/0 以获取外部接口配置，或者输入 show interface GigbitEthernet 0/1 以获取内部接口配置详细信息。

Step 5

重复步骤 1 至步骤 4，以获取内部接口或外部接口的 IP 地址和子网掩码地址。

Step 6

记下命令结果中的 IP 地址和子网掩码地址。

Step 7

按照以下示例计算内部和外部的网关 IP 地址：

  • 要计算外部接口的网关 IP 地址，请执行以下操作：

    例如：对于 GigabitEthernet0/0（外部接口）

    IP 地址 - 15.0.112.136

    子网掩码 - 255.255.255.128

    因此，网关 IP 地址计算为（即此子网中的第一个 IP 地址）15.0.112.129。

  • 要计算内部接口的网关 IP 地址，请执行以下操作：

    例如：对于 GigabitEthernet0/1（内部接口）

    IP 地址 - 15.0.112.10

    子网掩码 - 255.255.255.128

    因此，网关 IP 计算为（即此子网中的第一个 IP 地址）15.0.112.1。

What to do next

为内部和外部接口配置默认路由。

为外部接口配置默认路由

Procedure

Step 1

登录管理中心。

Step 2

转至设备 > 设备管理。

Step 3

点击 Firewall Threat Defense Virtual 实例。

Step 4

点击路由 (Routing) > 静态路由 (Static Route)。

Step 5

点击添加路由。

Step 6

在接口 (Interface) 下拉列表中，选择 Outside。

Step 7

在可用网络下为外部接口选择 any-ipv4，然后点击添加。

Step 8

输入网关 IP 地址：

  1. 点击 + 图标以添加网路对象。

  2. 输入网络对象的名称和说明。

  3. 点击主机 (Host) 网络。

  4. 输入已计算的外部接口的网关 IP 地址。

  5. 点击保存。

为内部接口配置默认路由

Before you begin

您必须在集线器上部署 Firewall Threat Defense Virtual 的 CIDR IP 地址。您需要此信息才能配置内部接口。

Procedure

Step 1

登录管理中心。

Step 2

转至设备 > 设备管理。

Step 3

点击 Firewall Threat Defense Virtual 实例。

Step 4

点击路由 (Routing) > 静态路由 (Static Route)。

Step 5

点击添加路由。

Step 6

在接口 (Interface) 下拉列表中，选择 Inside。

Step 7

添加网络对象，以使用集线器的 CIDR IP 地址来配置内部接口。

  1. 点击 + 图标以添加网路对象。

  2. 输入网络对象的名称和说明。

  3. 点击主机 (Host) 网络。

  4. 输入中心的 CIDR IP 地址（专用地址空间）。

  5. 点击保存。

Step 8

添加网络对象，以使用负载均衡器运行状况探测 IP 地址来配置内部接口。

  1. 点击 + 图标以添加网路对象。

  2. 输入网络对象的名称和说明。

  3. 点击主机 (Host) 网络。

  4. 输入负载均衡器运行状况探测的 IP 地址。例如：168.63.129.16。

    此 IP 地址是标准地址或固定地址。

Step 9

输入网关 IP 地址：

  1. 点击 + 图标以添加网路对象。

  2. 输入对象的名称和说明。

  3. 点击主机 (Host) 网络。

  4. 输入已计算的内部接口的网关 IP 地址。

  5. 点击保存。

配置流量路由

请注意，您可以配置静态路由或边界网关协议 (BGP)，用于 Threat Defense Virtual 实例与中心之间的数据交换。这是可以为虚拟 WAN 中心中的网络流量配置的两种不同的路由方法。

BGP 是一种动态路由协议，它根据中心与 Threat Defense Virtual 设备之间的实时流量交换来考虑路由。而静态路由使用预配置的路由协议来交换流量。

有关 Azure 虚拟 WAN 的详细信息，请参阅 Microsoft Azure 虚拟 WAN 文档。

配置静态路由

Procedure

Step 1

登录管理中心。

Step 2

转至设备 > 设备管理。

Step 3

点击 Threat Defense Virtual 实例。

Step 4

点击路由 (Routing) > 静态路由 (Static Route)。

Step 5

点击添加路由。

Step 6

在接口 (Interface) 下拉列表中，选择 Outside。

如果要配置内部接口，请选择 Inside。

Step 7

添加网络对象 IP 地址：

  1. 点击 + 图标以添加网路对象。

  2. 输入对象的名称和说明。

  3. 点击主机 (Host) 网络。

  4. 输入 IP 地址。

  5. 点击保存。

启用 BGP 路由

Procedure

Step 1

登录管理中心。

Step 2

依次选择设备 > 设备管理。

Step 3

点击 Threat Defense Virtual 实例。

Step 4

点击路由 (Routing) 菜单。

Step 5

点击常规设置 (General Settings) 下的 BGP。

Step 6

选中启用 BGP (Enable BGP) 复选框。

Step 7

输入虚拟中心的 AS 编号。

Step 8

点击保存。

What to do next

配置 BGP 邻居。

配置 BGP 邻居

Procedure

Step 1

登录管理中心。

Step 2

选择 BGP > IPv4 > 邻居 (Neighbor)。

Step 3

选中 Enable IPv4 复选框。

Step 4

输入虚拟中心的自治系统 (AS) 编号。

Step 5

点击添加以添加帐户。

Step 6

输入您记下的 BGP 终端的第一个 IP 地址。

Step 7

选中已启用的地址 (Enabled address) 复选框。

Step 8

在远程 AS (Remote AS) 字段中输入 AS 编号。

Step 9

选中高级 (Advanced) 菜单上的禁用连接验证 (Disable Connection Verification) 复选框。

Step 10

点击保存。

Step 11

重复步骤 1 至步骤 8，添加 BGP 终端的第二个 IP 地址。

What to do next

验证 BGP 路由配置。

验证 BGP 路由配置

Before you begin

配置 BGP 终端后，必须验证是否已通过 BGP 终端在 Threat Defense Virtual 和虚拟 WAN 中心之间建立连接。

Procedure

Step 1

登录管理中心。

Step 2

依次选择设备 > 设备管理。

Step 3

点击 Threat Defense Virtual 实例。

Step 4

点击设备 > 常规构件中的 CLI。

Step 5

在 _Command 字段中，输入 show route 以查看并验证连接状态。

Note

 

代码 B 表示 BGP 终端与 Threat Defense Virtual 的连接状态。

配置运行状况探测功能

要确保 Threat Defense Virtual 保持稳定状态，您必须配置连接到内部负载均衡器 (ILB) 的内部接口（受信任）。ILB 通过 TCP 端口 443 执行定期运行状况检查探测，以验证来自 Threat Defense Virtual 的响应。

Procedure

Step 1

登录管理中心。

Step 2

依次选择设备 > 平台设置 > 新策略 > Threat Defense 设置。

Step 3

为 Threat Defense Virtual 添加新策略，以连接到负载均衡器。

Step 4

编辑已添加的新策略。

Step 5

选中启用 HTTP 服务器 (Enable HTTP Server) 复选框，然后在端口 (Port) 字段中输入 443。

Step 6

点击 + 添加 (+ Add) 以配置 HTTP 地址。

Step 7

选择运行状况探测器 IP 地址名称。

Step 8

从可用区域/接口中选择所需的 IP 地址，然后点击添加以将其添加到选定区域/接口。

Step 9

点击确定。

Step 10

依次选择设备 > 设备管理。

Step 11

点击已应用的策略 (Applied Policies) 构件中的编辑图标。

Step 12

从平台设置 (Platform Settings) 下拉列表中选择此策略。

Step 13

根据需要更新并应用安全策略。

有关配置 HTTP 访问的详细信息，请参阅配置 HTTP。

故障排除

以下是虚拟 WAN 中 Threat Defense Virtual 的常见错误情形和调试提示：

  • 流量不会路由到 Threat Defense Virtual。

    • 验证 Threat Defense Virtual 对管理中心运行状况探测检查的响应。

    • 验证内部和外部接口的派生网关 IP 地址是否正确。

    • 检查静态路由。

  • 未连接 Threat Defense Virtual 的非 RFC RFC 1918：确保在路由意图中明确指定为专用地址的非 RFC 1918 范围。

  • 威胁防御部署错误：如果在部署 Threat Defense Virtual 期间遇到错误：集线器前缀长度应小于或等于 23，请确保 HUB 地址空间的 CIDR 小于或等于 /23。