使用Ansible配置FMC以建立FTD高可用性

已更新: 2024 年 2 月 6 日

文件 ID:221633

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹使用Ansible自動執行Firepower管理中心(FMC)以建立Firepower威脅防禦(FTD)高可用性的步驟。

必要條件

需求

思科建議您瞭解以下主題：

Ansible
Ubuntu伺服器
Cisco Firepower管理中心(FMC)虛擬
Cisco Firepower威脅防禦(FTD)虛擬

在這個實驗室的背景下，Ansible被部署在Ubuntu。

必須確保Ansible成功安裝在Ansible支援的任何平台上，以便運行本文中提到的Ansible命令。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

Ubuntu伺服器22.04
Ansible 2.10.8
Python 3.10
Cisco Firepower威脅防禦虛擬7.4.1
Cisco Firepower管理中心虛擬7.4.1

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

Ansible是一個高度通用的工具，在管理網路裝置方面顯示了顯著的功效。使用Ansible可以採用多種方法運行自動任務。本文所採用的方法為試驗提供了參考。

在本範例中，成功執行行動手冊範例後，會建立FTD的高可用性和備用IP位址。

設定

網路圖表

Topology 拓撲

組態

因為思科不支援示例指令碼或客戶編寫的指令碼，我們提供一些示例，您可以根據需要進行測試。

必須確保適當地完成初步核查。

Ansible伺服器具有Internet連線。
Ansible伺服器能夠成功與FMC GUI埠通訊（FMC GUI的預設埠為443）。
兩部FTD裝置成功註冊到FMC。
主FTD設定為介面IP位址。

步驟 1. 通過SSH或控制檯連線到Ansible伺服器的CLI。

步驟 2.運行命令ansible-galaxy collection install cisco.fmcansible，以便在Ansible伺服器上安裝Ansible FMC集合。

cisco@inserthostname-here:~$ ansible-galaxy collection install cisco.fmcansible

步驟 3.運行命令mkdir /home/cisco/fmc_ansible，以建立新的資料夾來儲存相關檔案。在本示例中，主目錄為/home/cisco/，新資料夾名稱為fmc_ansible。

cisco@inserthostname-here:~$ mkdir /home/cisco/fmc_ansible

步驟 4. 導航到/home/cisco/fmc_ansible資料夾，建立清單檔案。在本示例中，清單檔名是inventory.ini。

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
inventory.ini

您可以複製此內容並貼上它以供使用，並使用準確的引數更改bold部分。

[fmc]
10.0.5.11

[fmc:vars]
ansible_user=cisco
ansible_password=cisco
ansible_httpapi_port=443
ansible_httpapi_use_ssl=True
ansible_httpapi_validate_certs=False
network_type=HOST
ansible_network_os=cisco.fmcansible.fmc

步驟 5. 導航到/home/cisco/fmc_ansible資料夾，建立用於建立FTD HA的變數檔案。在本示例中，變數檔名是fmc-create-ftd-ha-vars.yml。

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-vars.yml  inventory.ini

您可以複製此內容並將其貼上以供使用，並更改粗體具有準確引數的截面。

user:
  domain: 'Global'
device_name:
  ftd1: 'FTDA'
  ftd2: 'FTDB'
ftd_ha:
  name: 'FTD_HA'
  active_ip: '192.168.1.1'
  standby_ip: '192.168.1.2'
  key: cisco
  mask24: '255.255.255.0'

步驟 6. 導航到資料夾/home/cisco/fmc_ansible， c建立用於建立FTD HA的手冊檔案。在本示例中，該手冊檔名為fmc-create-ftd-ha-playbook.yaml。

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-playbook.yaml fmc-create-ftd-ha-vars.yml inventory.ini

您可以複製此內容並貼上它以供使用，並使用準確的引數更改bold部分。

---

- name: FMC Create FTD HA
  hosts: fmc
  connection: httpapi

  tasks:

    - name: Task01 - Get User Domain
      cisco.fmcansible.fmc_configuration:
        operation: getAllDomain
        filters:
          name: "{{ user.domain }}"
        register_as: domain

    - name: Task02 - Get FTD1
      cisco.fmcansible.fmc_configuration:
        operation: getAllDevice
        path_params:
          domainUUID: '{{ domain[0].uuid }}'
        filters:
          name: "{{ device_name.ftd1 }}"
        register_as: ftd1_list

    - name: Task03 - Get FTD2
      cisco.fmcansible.fmc_configuration:
        operation: getAllDevice
        path_params:
          domainUUID: '{{ domain[0].uuid }}'
        filters:
          name: "{{ device_name.ftd2 }}"
        register_as: ftd2_list

    - name: Task04 - Get Physical Interfaces
      cisco.fmcansible.fmc_configuration:
        operation: getAllFTDPhysicalInterface
        path_params:
          containerUUID: '{{ ftd1_list[0].id }}'
          domainUUID: '{{ domain[0].uuid }}'
        register_as: primary_physical_interfaces

    - name: Task05 - Configure FTD HA
      cisco.fmcansible.fmc_configuration:
        operation: "createFTDHADeviceContainer"
        data:
            primary: {'id': '{{ ftd1_list[0].id }}'}
            secondary: {'id': '{{ ftd2_list[0].id }}'}
            name: "{{ ftd_ha.name }}"
            type: "DeviceHAPair"
            ftdHABootstrap: {
              'isEncryptionEnabled': false,
              'encKeyGenerationScheme': 'CUSTOM',
              'sharedKey': "{{ ftd_ha.key }}",
              'useSameLinkForFailovers': true,
              'lanFailover': {
                'useIPv6Address': false,
                'subnetMask': "{{ ftd_ha.mask24 }}",
                'interfaceObject': {
                  'id': '{{ primary_physical_interfaces[7].id }}',
                  'type': 'PhysicalInterface',
                  'name': 'GigabitEthernet0/7'
                  },
                'standbyIP': "{{ ftd_ha.standby_ip }}",
                'logicalName': 'LAN-INTERFACE',
                'activeIP': "{{ ftd_ha.active_ip }}"
              },
              'statefulFailover': {
                'useIPv6Address': false,
                'subnetMask': "{{ ftd_ha.mask24 }}",
                'interfaceObject': {
                  'id': '{{ primary_physical_interfaces[7].id }}',
                  'type': 'PhysicalInterface',
                  'name': 'GigabitEthernet0/7'
                  },
                'standbyIP': "{{ ftd_ha.standby_ip }}",
                'logicalName': 'STATEFUL-INTERFACE',
                'activeIP': "{{ ftd_ha.active_ip }}"
              }
            }
        path_params:
            domainUUID: "{{ domain[0].uuid }}"

    - name: Task06 - Wait for FTD HA Ready
      ansible.builtin.wait_for:
        timeout: 360
      delegate_to: localhost

    - name: Task07 - Get FTD HA object
      cisco.fmcansible.fmc_configuration:
        operation: "getAllFTDHADeviceContainer"
        path_params:
          domainUUID: "{{ domain[0].uuid }}"
        query_params:
          expanded: true
        register_as: ftd_ha_container
      delay: 15

    - name: Task08 - Confirm Standby Ready Status
      cisco.fmcansible.fmc_configuration:
        operation: "getFTDHADeviceContainer"
        path_params:
          objectId: "{{ ftd_ha_container[0].id }}"
          domainUUID: "{{ domain[0].uuid }}"
        register_as: ha_status
      until: ha_status.metadata.secondaryStatus.currentStatus is match("Standby")
      retries: 1000
      delay: 2

注意：本示例實戰手冊中的粗體名稱用作變數。這些變數的相應值將保留在變數檔案中。

步驟 7. 導航到檔案夾/home/cisco/fmc_ansible, runcommand ansible-playbook -i .ini .yaml -e@" .yml"才能演出不可能的任務。

在本例中，命令是ansible-playbook -i inventory.ini fmc-create-ftd-ha-playbook.yaml -e@"fmc-create-ftd-ha-vars.yml"。

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/

ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-playbook.yaml fmc-create-ftd-ha-vars.yml inventory.ini

cisco@inserthostname-here:~/fmc_ansible$ ansible-playbook -i inventory.ini fmc-create-ftd-ha-playbook.yaml -e@"fmc-create-ftd-ha-vars.yml"

PLAY [FMC Create FTD HA] *****************************************************************************************************************************************

TASK [Gathering Facts] *******************************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task01 - Get User Domain] **********************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task02 - Get FTD1] *****************************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task03 - Get FTD2] *****************************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task04 - Get Physical Interfaces] **************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task05 - Configure FTD HA] *********************************************************************************************************************************
changed: [10.0.5.11]

TASK [Task06 - Wait for FTD HA Ready] ****************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task07 - Get FTD HA object] ********************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task08 - Confirm Standby Ready Status] *********************************************************************************************************************
ok: [10.0.5.11]

PLAY RECAP *******************************************************************************************************************************************************
10.0.5.11                  : ok=9    changed=1    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

步驟 8. 導航到/home/cisco/fmc_ansible資料夾，建立用於更新FTD HA備用IP地址的變數檔案。在本示例中，變數檔名是fmc-create-ftd-ha-standby-ip-vars.yml。

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-playbook.yaml fmc-create-ftd-ha-standby-ip-vars.yml fmc-create-ftd-ha-vars.yml inventory.ini

您可以復制此內容並將其貼上以供使用，並使用準確的引數更改粗體部分。

user:
  domain: 'Global'

ftd_data:
  outside_name: 'Outside'
  inside_name: 'Inside'
  outside_ip: '10.1.1.1'
  inside_ip: '10.1.2.1'
  mask24: '255.255.255.0'

ftd_ha:
  name: 'FTD_HA'
  outside_standby: '10.1.1.2'
  inside_standby: '10.1.2.2'

步驟 9. 導航到資料夾/home/cisco/fmc_ansible，建立用於更新FTD HA備用IP地址的攻略檔案。在本示例中，該手冊檔名為fmc-create-ftd-ha-standby-ip-playbook.yaml。

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-playbook.yaml fmc-create-ftd-ha-standby-ip-playbook.yaml fmc-create-ftd-ha-standby-ip-vars.yml fmc-create-ftd-ha-vars.yml inventory.ini

您可以複製此內容並貼上它以供使用，並使用準確的引數更改bold部分。

--- - name: FMC Update FTD HA Interface Standby IP hosts: fmc connection: httpapi tasks: - name: Task01 - Get User Domain cisco.fmcansible.fmc_configuration: operation: getAllDomain filters: name: "{{ user.domain }}" register_as: domain - name: Task02 - Get FTD HA Object cisco.fmcansible.fmc_configuration: operation: "getAllFTDHADeviceContainer" path_params: domainUUID: "{{ domain[0].uuid }}" query_params: expanded: true register_as: ftd_ha_container - name: Task03 - Get Outside Interface cisco.fmcansible.fmc_configuration: operation: "getAllFTDHAMonitoredInterfaces" path_params: containerUUID: "{{ ftd_ha_container[0].id }}" domainUUID: "{{ domain[0].uuid }}" filters: name: "{{ ftd_data.outside_name }}" register_as: outside_interface - name: Task04 - Get Inside Interface cisco.fmcansible.fmc_configuration: operation: "getAllFTDHAMonitoredInterfaces" path_params: containerUUID: "{{ ftd_ha_container[0].id }}" domainUUID: "{{ domain[0].uuid }}" filters: name: "{{ ftd_data.inside_name }}" register_as: inside_interface - name: Task05 - Configure Standby IP-Outside cisco.fmcansible.fmc_configuration: operation: "updateFTDHAMonitoredInterfaces" data: id: "{{ outside_interface[0].id }}" name: "{{ outside_interface[0].name }}" ipv4Configuration: {'standbyIPv4Address': "{{ ftd_ha.outside_standby }}"} monitorForFailures: true path_params: objectId: "{{ outside_interface[0].id }}" containerUUID: "{{ ftd_ha_container[0].id }}" domainUUID: "{{ domain[0].uuid }}" - name: Task06 - Config Standby IP-Inside cisco.fmcansible.fmc_configuration: operation: "updateFTDHAMonitoredInterfaces" data: id: "{{ inside_interface[0].id }}" name: "{{ inside_interface[0].name }}" ipv4Configuration: {'standbyIPv4Address': "{{ ftd_ha.inside_standby }}"} monitorForFailures: true path_params: objectId: "{{ inside_interface[0].id }}" containerUUID: "{{ ftd_ha_container[0].id }}" domainUUID: "{{ domain[0].uuid }}" - name: Task07 - Get Deployable Devices cisco.fmcansible.fmc_configuration: operation: getDeployableDevice path_params: domainUUID: '{{ domain[0].uuid }}' query_params: expanded: true register_as: deploy_devices - name: Task08 - Start Deployment cisco.fmcansible.fmc_configuration: operation: createDeploymentRequest data: version: '{{ deploy_devices[0].version }}' deviceList: - '{{ deploy_devices[0].device.id }}' forceDeploy: True path_params: domainUUID: '{{ domain[0].uuid }}' register_as: deployment_job - name: Task09 - Wait for Deployment Complete ansible.builtin.wait_for: timeout: 240 delegate_to: localhost - name: Task10 - Poll Deployment Status Until Deployment Successful cisco.fmcansible.fmc_configuration: operation: getDeploymentDetail path_params: containerUUID: '{{ deploy_devices[0].device.id }}' domainUUID: '{{ domain[0].uuid }}' register_as: deployment_status until: deployment_status[0].status is match("SUCCEEDED") retries: 1000 delay: 3 - name: Task11 - Stop The Playbook If The Deployment Failed fail: msg: 'Deployment failed. Status: {{ deployment_status[0].status }}' when: deployment_status[0].status is not match("SUCCEEDED")

注意：本示例實戰手冊中的粗體名稱用作變數。這些變數的相應值將保留在變數檔案中。

步驟 10. 導航到檔案夾/home/cisco/fmc_ansible, runcommand ansible-playbook -i .ini .yaml -e@" .yml"才能演出不可能的任務。

在本例中，命令是ansible-playbook -i inventory.ini fmc-create-ftd-ha-standby-ip-playbook.yaml -e@"fmc-create-ftd-ha-standby-ip-vars.yml"。

cisco@inserthostname-here:~$ cd /home/cisco/fmc_ansible/
ccisco@inserthostname-here:~/fmc_ansible$ ls
fmc-create-ftd-ha-playbook.yaml fmc-create-ftd-ha-standby-ip-playbook.yaml fmc-create-ftd-ha-standby-ip-vars.yml fmc-create-ftd-ha-vars.yml inventory.ini

cisco@inserthostname-here:~/fmc_ansible$ ansible-playbook -i inventory.ini fmc-create-ftd-ha-standby-ip-playbook.yaml -e@"fmc-create-ftd-ha-standby-ip-vars.yml"

PLAY [FMC Update FTD HA Interface Standby IP] ********************************************************************************************************************

TASK [Gathering Facts] *******************************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task01 - Get User Domain] **********************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task02 - Get FTD HA Object] ********************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task03 - Get Outside Interface] ****************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task04 - Get Inside Interface] *****************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task05 - Configure Standby IP-Outside] *********************************************************************************************************************
changed: [10.0.5.11]

TASK [Task06 - Config Standby IP-Inside] *************************************************************************************************************************
changed: [10.0.5.11]

TASK [Task07 - Get Deployable Devices] ***************************************************************************************************************************
ok: [10.0.5.11]

TASK [Task08 - Start Deployment] *********************************************************************************************************************************
changed: [10.0.5.11]

TASK [Task09 - Wait for Deployment Complete] *********************************************************************************************************************
ok: [10.0.5.11]

TASK [Task10 - Poll Deployment Status Until Deployment Successful] ***********************************************************************************************
ok: [10.0.5.11]

TASK [Task11 - Stop The Playbook If The Deployment Failed] *******************************************************************************************************
skipping: [10.0.5.11]

PLAY RECAP *******************************************************************************************************************************************************
10.0.5.11                  : ok=11   changed=3    unreachable=0    failed=0    skipped=1    rescued=0    ignored=0

驗證

在運行可能的任務之前，請登入FMC GUI。導覽至Devices > Device Management，兩個FTD已成功在FMC上註冊，且已設定存取控制原則。

Before Running Ansible Task 運行Ansible任務之前

運行可能的任務後，登入FMC GUI。導覽至Devices > Device Management， FTD HA is successfully created。

After Running Ansible Task Successfully 成功運行Ansible任務後

按一下「Edit of FTD HA， failover ip address and interface standby ip address are successfully configured。

FTD High Availability Detail FTD高可用性詳細資訊

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

若要檢視更多ansible攻略的日誌，可以使用 — vv運行ansible攻略。

cisco@inserthostname-here:~/fmc_ansible$ ansible-playbook -i inventory.ini fmc-create-ftd-ha-standby-ip-playbook.yaml -e@"fmc-create-ftd-ha-standby-ip-vars.yml" -vvv

使用Ansible配置FMC以建立FTD高可用性

無偏見用語

關於此翻譯

目錄

簡介

必要條件

需求

採用元件

背景資訊

設定

網路圖表

組態

驗證

疑難排解

相關資訊

修訂記錄

由思科工程師貢獻

這份文件是否有所幫助？

讓思科協助您

本文件適用於這些產品