目錄

簡介

必要條件

需求

採用元件

背景資訊

執行Cisco IOS XE SD-WAN軟體(16.x)的路由器

執行Cisco IOS XE軟體(17.x)的路由器

設定

步驟 1.上傳虛擬映像

步驟 2.將安全策略和容器配置檔案子模板新增到裝置模板

步驟 3.使用安全策略和容器配置檔案更新或附加裝置模板

驗證

常見問題

問題1.錯誤：以下裝置沒有容器軟體服務

問題2.可用記憶體不足

問題3.非法引用

第四期。UTD已安裝且活動，但未啟用

影片

相關資訊

簡介

本檔案介紹如何安裝整合威脅防禦(UTD)安全虛擬映像，以在Cisco IOS® XE SD-WAN裝置上啟用安全功能。

必要條件

- 使用這些功能之前，請將相關的安全虛擬映像上傳到vManage儲存庫。

- Cisco Edge路由器必須處於vmanage模式，且必須預先連線模板。

- 為入侵防禦系統(IPS)、入侵檢測系統(IDS)、URL過濾(URL-F)或高級惡意軟體防護(AMP)過濾建立安全策略模板。

需求

- 4000整合式服務路由器Cisco IOS XE SD-WAN(ISR4k)

- 1000整合式服務路由器Cisco IOS XE SD-WAN(ISR1k)

- 1000v雲端服務路由器(CSR1kv),

- 1000v整合式服務路由器(ISRv)

- 支援8 GB DRAM的Cisco Edge平台。

採用元件

- Cisco UTD虛擬映像

- vManage控制器

- 思科邊緣路由器，帶有與控制器的控制連線。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

Cisco UTD映像需要在要安裝的裝置模板上安裝安全策略，並且在Cisco Edge路由器上啟用安全功能，例如入侵防禦系統(IPS)、入侵檢測系統(IDS)、URL過濾(URL-F)和高級惡意軟體防護(AMP)。

從軟體Cisco下載Cisco UTD Snort IP引擎軟體

使用當前Cisco IOS XE版本支援的Cisco UTD虛擬映像正規表示式。使用命令show utd engine standard version驗證推薦的和支援的UTD映像。

Router01# show utd engine standard version

IOS-XE Recommended UTD Version: 1.0.13_SV2.9.16.1_XE17.3

IOS-XE Supported UTD Regex: ^1\.0\.([0-9]+)_SV(.*)_XE17.3$

註意下載映像的路徑取決於路由器是執行Cisco IOS XE SD-WAN軟體(16.x)還是通用Cisco IOS XE軟體(17.x)。

執行Cisco IOS XE SD-WAN軟體(16.x)的路由器

獲取Cisco UTD Snort IPS引擎軟體的路徑為路由器/軟體定義WAN(SD-WAN)/XE SD-WAN路由器/和系列整合路由器。

選擇思科邊緣路由器的型號型別。

注意Series Aggregation Services Routers(ASR)不適用於UTD功能。

選擇型別路由器型號後，選擇Cisco IOS XE SD-WAN軟體選項，以獲取16.x版Cisco Edge的UTD包。

註意：為Cisco Edge路由器選擇Cisco UTD虛擬映像（適用於16.x代碼）的下載路徑還顯示Cisco IOS XE軟體選項。這是只為17.x選擇Cisco Edge升級代碼的路徑，但找不到版本17.x的UTD虛擬映像。17.x和最新版本上的Cisco統一常規Cisco IOS XE和Cisco IOS XE SD-WAN代碼，因此獲取17.x的Cisco UTD虛擬映像的路徑與常規Cisco IOS XE代碼相同。

選擇當前版本的Cisco Edge，然後下載該版本的UTD軟體包。

執行Cisco IOS XE軟體(17.x)的路由器

Cisco IOS XE版本17.2.1r和最新版本使用universalk9映像在Cisco IOS XE裝置上部署Cisco IOS XE SD-WAN和Cisco IOS XE。

UTD Snort IPS引擎軟體位於Routers > Branch Routers > Series Integrated Router中。

選擇路由器的型號型別後，請選擇UTD Snort IPS Engine Software。

選擇路由器的當前版本，並為選定的版本下載UTD軟體包。

註：運行Cisco IOS XE軟體而非Viptela代碼的Cisco ISR1100X系列路由器（Cisco Nutella路由器SR1100X-4G/6G）基於x86_x64。為ISR4K發佈的Cisco UTD虛擬映像可以在這些映像上運行。您可以在Nutella路由器上安裝當前Cisco IOS XE SD-WAN版本支援的同一Cisco UTD映像代碼版本regex。使用命令show utd engine standard version驗證建議且受支援的regex Cisco UTD映像。

設定

步驟 1.上傳虛擬映像

確保您的虛擬映像與Cisco Edge上當前的Cisco IOS XE SD-WAN代碼相匹配，然後將其上傳到vmanage儲存庫。

導航到維護>軟體儲存庫>虛擬映像>上傳虛擬映像> vManage。

成功上載Cisco UTD虛擬映像後，請仔細檢查其是否位於儲存庫中。

步驟 2.將安全策略和容器配置檔案子模板新增到裝置模板

將之前建立的安全策略新增到裝置模板。安全策略必須具有IPS/IDS、URL-F或AMP過濾策略，才能將其新增到裝置模板中。自動開啟容器配置檔案。使用預設容器配置檔案或在需要時對其進行修改。

步驟 3.使用安全策略和容器配置檔案更新或附加裝置模板

將模板更新或附加到思科邊緣路由器。請注意，在config diff中，已配置功能IPS/IDS、URL-F或AMP過濾的應用託管配置和UTD引擎。

由於vmanage注意到應用的配置具有UTD引擎功能，因此模板狀態更改為Done-scheduled，因此vmanage確定Cisco Edge需要安裝虛擬映像才能使用UTD安全功能。

將模板移動到計畫狀態後，任務選單中將顯示一個正在進行的新任務。新任務是Lxc安裝，這意味著vmanage在推送新配置之前自動開始將虛擬映像安裝到Cisco Edge。

安裝LX容器後，vManage會使用UTD功能推送計畫前配置。由於之前已計畫配置，因此沒有此任務的新任務。

驗證

驗證Cisco Edge是否與vManage同步，並且已連線模板。

導覽至Configuration > Devices

驗證是否已安裝Cisco UTD版本：

Router02# show utd engine standard version

UTD Virtual-service Name: utd

IOS-XE Recommended UTD Version: 1.0.12_SV2.9.16.1_XE17.4

IOS-XE Supported UTD Regex: ^1\.0\.([0-9]+)_SV(.*)_XE17.4$

UTD Installed Version: 1.0.12_SV2.9.16.1_XE17.4         <<<<<<<<<<<<<<<<<<<

注意:UTD安裝的版本不能處於UNSUPPORTED狀態。

檢查UTD是否處於運行狀態，並返回下一個輸出：

Router02# show app-hosting list

App id                                   State

---------------------------------------------------------

utd                                      RUNNING      <<<<<<<<<<<<<<<<<<<

下一個命令彙總了先前的命令並顯示當前狀態和版本：

Router02# show app-hosting detail appid utd

App id                 : utd

Owner                  : ioxm

State                  : RUNNING      <<<<<<<<<<<<<<<<<<<<<<<

Application

Type                 : LXC

Name                 : UTD-Snort-Feature

Version              : 1.0.12_SV2.9.16.1_XE17.4    <<<<<<<<<<<<<<<<<

Description          : Unified Threat Defense

Path                 : /bootflash/.UTD_IMAGES/iox-utd_1.0.12_SV2.9.16.1_XE17.4.tar

URL Path             :

Activated profile name : cloud-low

Resource reservation

Memory               : 2048 MB

Disk                 : 861 MB

CPU                  :

CPU-percent          : 7 %

VCPU                 : 0

Show utd engine standard status命令顯示UTD引擎的健康狀況以及獲取特徵碼更新的清單時間。

Router02# show utd engine standard status

Engine version       : 1.0.6_SV2.9.13.0_XE17.2

Profile              : Cloud-Low

System memory        :

Usage  : 20.10 %

Status : Green

Number of engines    : 1

Engine        Running    Health     Reason

===========================================

Engine(#1):   Yes        Green      None      <<<<<<<<<<<<<<<<<<<<<<<<<<<

=======================================================

Overall system status: Green    <<<<<<<<<<<<<<<<<<<<<<<<<<

Signature update status:

=========================

Current signature package version: 29130.156.s

Last update status: Successful

Last successful update time: Wed Nov 25 07:27:35 2020 EDT   <<<<<<<<<<<<<<<<<<<<

Last failed update time: None

Last failed update reason: None

Next update scheduled at: None

Current status: Idle

使用下一命令驗證啟用的功能：

Router02# show platform hardware qfp active feature utd config

Global configuration

NAT64: disabled

Drop pkts: disabled

Multi-tenancy: enabled

Data plane initialized: yes

TLS Decryption Policy: disabled

Divert controller mode: enabled

SN threads: 12

CFT inst_id 0 feat id 2 fo id 2 chunk id 13

Max flows: 55000

SN Health: channel: Threat Defense : Green

SN Health: channel: Service : Down

Context Id: 0, Name: Global domain Security Context

Ctx Flags: (0x1c70001)

Engine: Standard

State            : Enabled

SN Redirect Mode : Fail-open, Divert

Threat-inspection: Enabled, Mode: IPS

Domain Filtering : Not Enabled

URL Filtering    : Enabled   <<<<<<<<<<<

File Inspection  : Enabled   <<<<<<<<<<<

All Interfaces   : Enabled

常見問題

問題1.錯誤：以下裝置沒有容器軟體服務

啟用虛擬映像。

導航到維護>軟體>啟用

虛擬映像傳送錯誤： Devices so not have container software refs（裝置沒有容器軟體版本）。如果所選的Cisco Edge路由器沒有容器配置檔案子模板的安全策略。

如果您使用的安全策略包括需要UTD軟體包的安全功能(如入侵防禦系統(IPS)、入侵檢測系統(IDS)、URL過濾(URL-F)和高級惡意軟體防護(AMP))，則會自動新增此模板。並非所有可用的安全功能都需要UTD引擎，例如簡單ZBFW功能。

使用容器配置檔案子模板推送模板後，vmanage將自動安裝虛擬映像。

問題2.可用記憶體不足

確保Cisco Edge路由器具有8 GB DRAM記憶體，如果沒有，則Lxc安裝過程會將裝置配置為接受新配置。可用記憶體不足錯誤。Cisco Edge路由器使用UTD功能的要求是至少有8 GB的DRAM。

在此案例中，CSRv只有4 GB DRAM。將記憶體升級到8GB DRAM後，安裝成功。

使用show sdwan system status輸出驗證當前的總記憶體：

Router01# show sdwan system status

Memory usage:            8107024K total,    3598816K used,   4508208K free

349492K buffers,  2787420K cache

注意：必須提供足夠的可用記憶體才能安裝UTD。如果安裝的DRAM已足夠，但由於記憶體不足而安裝仍失敗，請檢查show processes memory platform sorted中的當前使用情況

問題3.非法引用

確保已在思科邊緣路由器中配置用於任何安全策略功能的VPN/VRF，以避免安全策略序列的非法引用。

在本示例中，安全策略具有用於VPN/VRF 1的入侵防禦策略，但裝置未配置任何VRF 1。因此，vmanage會為該策略序列傳送非法引用。

配置安全策略中提到的VRF後，不會出現Illegal引用，並且已成功推送模板。

第四期。UTD已安裝且活動，但未啟用

裝置已配置安全策略，UTD已安裝並處於活動狀態，但未啟用。

此問題與問題3相關，但是vManage允許配置引用未在裝置中配置的VRF，並且策略未應用於任何VRF。

要確定路由器是否遇到此問題，您需要看到UTD處於活動狀態。UTD未啟用消息，並且策略未引用任何VRF。

Router01# show utd engine standard status

UTD engine standard is not enabled <<<<<<<<<<<

ISR01#show sdwan virtual-application utd

VERSION                                ACTIVE  PREVIOUS                      TIMESTAMP

-----------------------------------------------------------------------

1.0.16_SV2.9.16.1_XE17.3       true        true            2022-06-10T13:29:43-00:00

對於解決方案，請驗證目標VPN並確保將策略應用到配置的VRF。

影片

在cEdge路由器上安裝UTD安全虛擬映像

相關資訊

- 路由器安全：路由器上的Snort IPS

- Cisco SD-WAN安全配置指南，Cisco IOS XE版本

- 技術支援與文件 - Cisco Systems