Secure Firewall Threat Defense | Secure Firewall ASA | Firepower 1000 Series | Cisco Secure Firewall ASDM Mode d'emploi
Ajouter à Mes manuels198 Des pages
▼
Scroll to page 2
of
198
Guide de mise en route de l'appliance Cisco Firepower 1010 Première publication : 13 juin 2019 Dernière modification : 28 février 2022 Americas Headquarters Cisco Systems, Inc. 170 West Tasman Drive San Jose, CA 95134-1706 USA http://www.cisco.com Tel: 408 526-4000 800 553-NETS (6387) Fax: 408 527-0883 CHAPITRE 1 Quel système d'exploitation et quel gestionnaire vous conviennent le mieux ? Votre plateforme matérielle peut exécuter l'un des deux systèmes d'exploitation. Pour chaque système d'exploitation, vous pouvez sélectionner différents gestionnaires. Dans ce chapitre, nous décrivons les systèmes d'exploitation et gestionnaires disponibles. • Systèmes d'exploitation, à la page 1 • Gestionnaires, à la page 1 Systèmes d'exploitation Vous pouvez utiliser l'ASA Secure Firewall ou le système d'exploitation Secure Firewall Threat Defense (anciennement Firepower Threat Defense) sur votre plateforme matérielle : • ASA : ASA est une appliance qui associe un pare-feu et un concentrateur VPN classiques et avancés. Vous pouvez utiliser l'ASA si vous n'avez pas l'intention d'utiliser les fonctionnalités avancées du threat defense, ou si vous souhaitez disposer d'une fonctionnalité propre à l'ASA qui n'est pas encore disponible sur le threat defense. Cisco fournit des outils de migration ASA vers threat defense pour vous aider à convertir votre ASA en pare-feu threat defense si vous commencez par utiliser ASA, puis passez au pare-feu threat defense. • Threat Defense : Le Threat Defense est un pare-feu de nouvelle génération qui associe un pare-feu avancé avec état, un concentrateur VPN et un système de prévention des intrusions de nouvelle génération. En d'autres termes, le threat defense dispose des fonctionnalités avancées de l'ASA et les combine avec un pare-feu et un système de prévention des intrusions de nouvelle génération. Nous vous recommandons d'utiliser le threat defense via le système d'exploitation ASA, car il contient la plupart des fonctionnalités principales de l'ASA, ainsi que des fonctionnalités de pare-feu et de prévention des intrusions de nouvelle génération. Pour réinstaller l'image entre l'appliance ASA et le threat defense, reportez-vous au Guide de réinstallation de Cisco Secure Firewall ASA et Threat Defense. Gestionnaires Le threat defense et l'ASA prennent en charge plusieurs gestionnaires. Guide de mise en route de l'appliance Cisco Firepower 1010 1 Quel système d'exploitation et quel gestionnaire vous conviennent le mieux ? Gestionnaires Threat Defense Gestionnaires Threat Defense Tableau 1 : Gestionnaires Threat Defense Gestionnaire Description Secure Firewall Management Center (anciennement Firepower Management Center) Le centre de gestion est un puissant gestionnaire multi-appareils basé sur le web qui s'exécute sur son propre serveur ou en tant qu'appareil virtuel sur un hyperviseur. Utilisez le centre de gestion si vous souhaitez disposer d'un gestionnaire multi-appareils et utiliser toutes les fonctionnalités du threat defense. Le centre de gestion est par ailleurs doté de puissantes fonctions d'analyse et de surveillance du trafic et des événements. Dans les versions 6.7 et ultérieures, le centre de gestion peut gérer les threat defense à partir de l'interface externe (ou d'une autre interface de données) plutôt que de l'interface de gestion standard. Cette fonctionnalité est utile pour les déploiements de succursales distantes. Remarque Le centre de gestion n'est pas compatible avec d'autres gestionnaires, car le centre de gestion détient la configuration du threat defense ; or, vous n'êtes pas autorisé à configurer le threat defense directement, c'est-à-dire en contournant le centre de gestion. Pour vous familiariser avec le centre de gestion sur le réseau de gestion, reportez-vous à la rubrique Déployer Threat Defense avec le Centre de gestion, à la page 5. Pour vous familiariser avec le centre de gestion sur un réseau distant, reportez-vous à la rubrique Déployer Threat Defense avec un Centre de gestion distant, à la page 49. Gestionnaire d'appareils Secure Firewall Le gestionnaire d'appareils est un gestionnaire web simplifié et intégré sur les appareils. (anciennement Firepower Device Manager) Dans la mesure où il s'agit d'un outil simplifié, certaines fonctionnalités du threat defense ne sont pas prises en charge dans le gestionnaire d'appareils. Vous devez utiliser le gestionnaire d'appareils si vous gérez uniquement un petit nombre d'appareils et n'avez pas besoin d'un gestionnaire multi-appareils. Remarque Le gestionnaire d'appareils et le CDO en mode FDM peuvent tous deux détecter la configuration sur le pare-feu. Vous pouvez donc utiliser le gestionnaire d'appareils ou le CDO pour gérer le même pare-feu. Le centre de gestion n'est pas compatible avec d'autres gestionnaires. Pour commencer avec le gestionnaire d'appareils, reportez-vous à la rubrique Déployer Threat Defense avec le Gestionnaire d'appareils, à la page 93. Guide de mise en route de l'appliance Cisco Firepower 1010 2 Quel système d'exploitation et quel gestionnaire vous conviennent le mieux ? Gestionnaires ASA Gestionnaire Description Cisco Defense Orchestrator (CDO) Le CDO propose deux modes de gestion : • (7.2 et versions ultérieures) Mode de centre de gestion fourni dans le cloud avec toutes les fonctionnalités de configuration d'un centre de gestion sur site. Pour la fonctionnalité d'analyse, vous pouvez utiliser Secure Cloud Analytics dans le cloud ou un centre de gestion sur site. • Mode de gestionnaire de périphériques avec une expérience utilisateur simplifiée. Ce mode n'est pas abordé dans ce guide. Étant donné que le CDO est basé dans le cloud, aucune surcharge ne se produit lors de l'exécution du CDO sur vos propres serveurs. Le gestionnaire CDO gère également d'autres appareils de sécurité, notamment les appliances ASA, de sorte que vous pouvez utiliser un seul gestionnaire pour tous vos appareils de sécurité. Pour commencer à utiliser le provisionnement du gestionnaire CDO, reportez-vous à rubrique Déployer Threat Defense avec le CDO, à la page 121. API REST de Secure Firewall Threat Defense L'API REST Threat Defense vous permet d'automatiser la configuration directe du threat defense. Cette API est compatible avec le gestionnaire d'appareils et le CDO, car tous deux peuvent détecter la configuration sur le pare-feu. Vous ne pouvez pas utiliser cette API si vous gérez le threat defense à l'aide du centre de gestion. L'API REST Threat Defense n'est pas abordée dans ce guide. Pour obtenir plus d'informations, reportez-vous à la section Guide de l'API REST de Cisco Secure Firewall Threat Defense. API REST de Secure Firewall Management L'API REST du centre de gestion vous permet d'automatiser la configuration des Center politiques de centre de gestion, puis d'appliquer ces politiques aux threat defense. Cette API ne gère pas le threat defense directement. L'API REST du centre de gestion n'est pas abordée dans ce guide. Pour obtenir plus d'informations, reportez-vous à la section Guide de démarrage rapide de l'API REST de Secure Firewall Management Center. Gestionnaires ASA Tableau 2 : Gestionnaires ASA Gestionnaire Description Adaptive Security Device Manager (ASDM) ASDM est un gestionnaire d'appareils basé sur Java qui fournit des fonctionnalités ASA complètes. Utilisez ASDM si vous préférez recourir à une interface graphique plutôt qu'à une interface de ligne de commande, et devez gérer un petit nombre d'ASA. ASDM peut détecter la configuration sur le pare-feu, de sorte que vous pouvez également utiliser l'interface de ligne de commande, le CDO ou le CSM avec ASDM. Pour commencer à utiliser ASDM, reportez-vous à la rubrique Déployer l'ASA avec le gestionnaire ASDM, à la page 173. Guide de mise en route de l'appliance Cisco Firepower 1010 3 Quel système d'exploitation et quel gestionnaire vous conviennent le mieux ? Gestionnaires ASA Gestionnaire Description CLI Vous devez utiliser l'interface de ligne de commande ASA si vous préférez les interfaces de ligne de commande aux interfaces graphiques. L'interface de ligne de commande n'est pas abordée dans ce guide. Pour en savoir plus, consultez les Guides de configuration de l'ASA. CDO CDO est un gestionnaire multi-appareils simplifié basé dans le cloud. Dans la mesure où il s'agit d'un outil simplifié, certaines fonctionnalités ASA ne sont pas prises en charge dans CDO. Utilisez CDO si vous souhaitez disposer d'un gestionnaire multi-appareils offrant une expérience de gestion simplifiée. Par ailleurs, étant donné que le CDO est basé dans le cloud, aucune surcharge ne se produit lors de l'exécution du CDO sur vos propres serveurs. CDO gère également d'autres périphériques de sécurité, notamment les threat defense, de sorte que vous pouvez utiliser un seul gestionnaire pour tous vos périphériques de sécurité. CDO peut détecter la configuration sur le pare-feu, de sorte que vous pouvez également utiliser l'interface de ligne de commande ou le gestionnaire ASDM. Le gestionnaire CDO n'est pas traité dans ce guide. Pour commencer à utiliser le CDO, consultez la page d'accueil du gestionnaire CDO. Cisco Security Manager (CSM) CSM est un puissant gestionnaire multi-appareils qui s'exécute sur son propre serveur. Vous devez utiliser le gestionnaire CSM si vous devez gérer un grand nombre d'ASA. CSM peut détecter la configuration sur le pare-feu, de sorte que vous pouvez également utiliser l'interface de ligne de commande ou le gestionnaire ASDM. Le gestionnaire CSM ne prend pas en charge la gestion des threat defense. Le gestionnaire CSM n'est pas traité dans ce guide. Pour en savoir plus, consultez le Guide d'utilisateur du gestionnaire CSM. API REST ASA L'API REST ASA vous permet d'automatiser la configuration de l'ASA. Cependant, cette API n'inclut pas toutes les fonctionnalités ASA et n'est plus mise à jour. L'API REST ASA n'est pas abordée dans ce guide. Pour obtenir plus d'informations, reportez-vous à la section Guide de démarrage rapide de l'API REST Cisco ASA Secure Firewall. Guide de mise en route de l'appliance Cisco Firepower 1010 4 CHAPITRE 2 Déployer Threat Defense avec le Centre de gestion Ce chapitre vous concerne-t-il ? Pour connaître tous les systèmes d'exploitation et gestionnaires disponibles, reportez-vous à la rubrique Quel système d'exploitation et quel gestionnaire vous conviennent le mieux ?, à la page 1. Ce chapitre s'applique au threat defense doté de centre de gestion. Dans ce chapitre, nous vous expliquons comment effectuer la configuration initiale de votre threat defense et comment enregistrer le pare-feu sur le centre de gestion situé sur votre réseau de gestion. Pour le déploiement dans une succursale distante, où le gestionnaire centre de gestion se trouve sur le siège central, reportez-vous à la rubrique Déployer Threat Defense avec un Centre de gestion distant, à la page 49. Dans un déploiement classique sur un réseau de grande envergure, vous installez plusieurs appareils gérés sur des segments de réseau. Chaque appareil contrôle, inspecte, surveille et analyse le trafic, puis envoie les informations recueillies à un gestionnaire centre de gestion. Le gestionnaire centre de gestion possède une console de gestion centralisée avec une interface web que vous pouvez utiliser pour effectuer des tâches d'administration, de gestion, d'analyse et de création de rapports afin de sécuriser votre réseau local. À propos du pare-feu L'appareil peut exécuter un logiciel threat defense ou un logiciel ASA. Pour basculer entre threat defense et ASA, vous devez reconfigurer l'appareil. Vous devez également recommencer l'installation si vous avez besoin d'une version logicielle différente de celle actuellement installée. Consultez la rubrique Réinstaller Cisco ASA ou Firepower Threat Defense. Le pare-feu exécute un système d'exploitation sous-jacent appelé Système d'exploitation Secure Firewall eXtensible (FXOS). Le pare-feu ne prend pas en charge le Gestionnaire de châssis Secure Firewall FXOS ; seule une CLI limitée est prise en charge à des fins de dépannage. Pour obtenir plus d'informations, reportez-vous à la section Guide de dépannage Cisco FXOS pour la série Firepower 1000/2100 exécutant Firepower Threat Defense. Déclaration de confidentialité—Le pare-feu ne requiert ni ne collecte activement aucune information permettant de vous identifier. Vous pouvez néanmoins utiliser des informations d'identification personnelle au cours de la configuration, notamment des noms d'utilisateur. Dans ce cas, un administrateur peut accéder à ces informations lors de l'utilisation de la configuration ou de l'utilisation du protocole SNMP. • Avant de commencer, à la page 6 • Procédure de bout en bout, à la page 6 • Vérifier le déploiement du réseau, à la page 8 • Raccorder l'appareil (6.5 et versions ultérieures), à la page 10 Guide de mise en route de l'appliance Cisco Firepower 1010 5 Déployer Threat Defense avec le Centre de gestion Avant de commencer • Raccorder l'appareil (6.4), à la page 12 • Mettre le pare-feu sous tension, à la page 13 • (Facultatif) Vérifier le logiciel et installer une nouvelle version, à la page 14 • Finaliser la configuration initiale de Threat Defense, à la page 15 • Se connecter au Centre de gestion, à la page 24 • Obtenir les licences du Centre de gestion, à la page 24 • Enregistrer le Threat Defense auprès du Centre de gestion, à la page 25 • Configurer une politique de sécurité de base, à la page 28 • Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS, à la page 44 • Mettre le pare-feu hors tension, à la page 45 • Et après ?, à la page 46 Avant de commencer Déployez et effectuez la configuration initiale du centre de gestion. Reportez-vous à la rubrique Guide d'installation matérielle pour Cisco Firepower Management Center 1600, 2600 et 4600 ou Guide de mise en route de Cisco Secure Firewall Management Center Virtual. Procédure de bout en bout Reportez-vous aux tâches suivantes pour déployer le threat defense avec le centre de gestion sur votre châssis. Guide de mise en route de l'appliance Cisco Firepower 1010 6 Déployer Threat Defense avec le Centre de gestion Procédure de bout en bout Configuration préalable Installez le pare-feu. Reportez-vous au guide d'installation matérielle. Configuration préalable Vérifier le déploiement du réseau, à la page 8. Configuration préalable Raccorder l'appareil (6.5 et versions ultérieures), à la page 10 Configuration préalable Mettre le pare-feu sous tension, à la page 13. Raccorder l'appareil (6.4), à la page 12. Guide de mise en route de l'appliance Cisco Firepower 1010 7 Déployer Threat Defense avec le Centre de gestion Vérifier le déploiement du réseau Interface de ligne de (Facultatif) Vérifier le logiciel et installer une nouvelle version, à la page 14 commande ou Gestionnaire d'appareils Interface de ligne de Finaliser la configuration initiale de Threat Defense, à la page 15. commande ou Gestionnaire d'appareils Centre de gestion Se connecter au Centre de gestion, à la page 24. Cisco Commerce Workspace Obtenir les licences du Centre de gestion, à la page 24 : acheter des licences de fonctionnalités. Smart Software Manager Obtenir les licences du Centre de gestion, à la page 24 : générer un jeton de licence pour le centre de gestion. Centre de gestion Obtenir les licences du Centre de gestion, à la page 24 : enregistrer le centre de gestion sur Smart Licensing Server. Centre de gestion Enregistrer le Threat Defense auprès du Centre de gestion, à la page 25 Centre de gestion Configurer une politique de sécurité de base, à la page 28 Vérifier le déploiement du réseau 6.5 et versions ultérieures L'interface de gestion 1/1 dédiée est une interface spéciale qui dispose de ses propres paramètres réseau. Par défaut, l'interface de gestion 1/1 est activée et configurée en tant que client DHCP. Si votre réseau n'inclut pas de serveur DHCP, vous pouvez configurer l'interface de gestion pour qu'elle utilise une adresse IP statique lors de la configuration initiale sur le port de console. Vous pouvez configurer d'autres interfaces après avoir connecté threat defense au centre de gestion. Notez que les ports Ethernet 1/2 à 1/8 sont activés en tant que ports de commutateur par défaut. Remarque Dans les versions 6.5 et antérieures, l'interface de gestion est configurée avec une adresse IP (192.168.45.45). La figure suivante illustre le déploiement réseau recommandé pour le Firepower 1010. Le centre de gestion peut communiquer uniquement avec threat defense sur l'interface de gestion. En outre, le centre de gestion et threat defense nécessitent un accès Internet via l'interface de gestion pour l'octroi de licences et les mises à jour. Dans le schéma suivant, le Firepower 1010 fait office de passerelle Internet pour l'interface de gestion et le centre de gestion en connectant l'interface de gestion 1/1 directement à un port de commutateur interne, et en Guide de mise en route de l'appliance Cisco Firepower 1010 8 Déployer Threat Defense avec le Centre de gestion Vérifier le déploiement du réseau connectant le centre de gestion et l'ordinateur de gestion à d'autres ports de commutateur internes. (Cette connexion directe est autorisée, car l'interface de gestion est séparée des autres interfaces sur threat defense.) Illustration 1 : Déploiement réseau suggéré Déploiement 6.4 L'interface de gestion 1/1 dédiée est une interface spéciale qui dispose de ses propres paramètres réseau. Par défaut, seule l'interface de gestion 1/1 est activée et configurée avec une adresse IP (192.168.45.45). Par ailleurs, cette interface exécute initialement un serveur DHCP ; après avoir sélectionné centre de gestion comme gestionnaire lors de la configuration initiale, le serveur DHCP est désactivé. Vous pouvez configurer d'autres interfaces après avoir connecté threat defense à centre de gestion. La figure suivante illustre le déploiement réseau recommandé pour le Firepower 1010. Le centre de gestion peut communiquer uniquement avec threat defense sur l'interface de gestion. En outre, le centre de gestion et threat defense nécessitent un accès Internet via l'interface de gestion pour l'octroi de licences et les mises à jour. Dans le schéma suivant, le Firepower 1010 fait office de passerelle Internet pour l'interface de gestion et le centre de gestion en connectant l'interface de gestion 1/1 à une interface interne via un commutateur de couche 2 et en connectant le centre de gestion et l'ordinateur de gestion au commutateur. (Cette connexion directe est autorisée, car l'interface de gestion est séparée des autres interfaces sur threat defense.) Guide de mise en route de l'appliance Cisco Firepower 1010 9 Déployer Threat Defense avec le Centre de gestion Raccorder l'appareil (6.5 et versions ultérieures) Illustration 2 : Déploiement réseau suggéré Raccorder l'appareil (6.5 et versions ultérieures) Pour raccorder l'appareil Firepower 1010 selon le schéma recommandé, reportez-vous à l'illustration suivante, qui présente un exemple de topologie utilisant Ethernet 1/1 comme interface externe et les autres interfaces comme ports de commutateur sur le réseau interne. Remarque Vous pouvez utiliser d'autres topologies, et votre déploiement varie en fonction de vos besoins. Par exemple, vous pouvez convertir les ports de commutateur en interfaces de pare-feu. Guide de mise en route de l'appliance Cisco Firepower 1010 10 Déployer Threat Defense avec le Centre de gestion Raccorder l'appareil (6.5 et versions ultérieures) Illustration 3 : Raccorder le Firepower 1010 Remarque Pour les versions 6.5 et antérieures, l'adresse IP par défaut de l'interface de gestion 1/1 est 192.168.45.45. Procédure Étape 1 Installez le châssis. Reportez-vous au guide d'installation matérielle. Étape 2 Connectez directement l'interface de gestion 1/1 à l'un des ports de commutateur, Ethernet 1/2 à 1/8. Étape 3 Raccordez les câbles suivants aux ports de commutateur, Ethernet 1/2 à 1/8 : • Centre de gestion • Ordinateur de gestion • Terminaux supplémentaires Étape 4 Connectez l'ordinateur de gestion au port de console. Vous devez utiliser le port de console pour accéder à l'interface de ligne de commande pour la configuration initiale si vous n'utilisez pas SSH pour l'interface de gestion ou utilisez le gestionnaire d'appareils pour la configuration initiale. Étape 5 Connectez Ethernet 1/1 à votre routeur externe. Guide de mise en route de l'appliance Cisco Firepower 1010 11 Déployer Threat Defense avec le Centre de gestion Raccorder l'appareil (6.4) Raccorder l'appareil (6.4) Pour raccorder l'appareil Firepower 1010 selon le schéma recommandé, reportez-vous à l'illustration suivante, qui présente un exemple de topologie utilisant un commutateur de couche 2. Remarque Vous pouvez utiliser d'autres topologies, et votre déploiement varie en fonction de vos besoins. Illustration 4 : Raccorder le Firepower 1010 Procédure Étape 1 Installez votre matériel et apprenez à l'utiliser à l'aide du guide d'installation matérielle. Étape 2 Raccordez les composants suivants à un commutateur Ethernet de couche 2 : • Interface interne (par exemple, Ethernet 1/2) • Interface de gestion 1/1 • Centre de gestion • Ordinateur de gestion Remarque L'appareil Firepower 1010 et le centre de gestion possèdent tous deux la même adresse IP de gestion par défaut, à savoir 192.168.45.45. Dans ce guide, nous partons du principe que vous définissez des adresses IP différentes pour vos appareils lors de la configuration initiale. Notez que le gestionnaire centre de gestion sur les versions 6.5 et ultérieures utilise par défaut un client DHCP pour l'interface de gestion ; cependant, en l'absence de serveur DHCP, il utilise l'adresse par défaut 192.168.45.45. Guide de mise en route de l'appliance Cisco Firepower 1010 12 Déployer Threat Defense avec le Centre de gestion Mettre le pare-feu sous tension Étape 3 Connectez l'ordinateur de gestion au port de console. Vous devez utiliser le port de console pour accéder à l'interface de ligne de commande pour la configuration initiale si vous n'utilisez pas SSH pour l'interface de gestion. Étape 4 Connectez l'interface externe (par exemple, Ethernet 1/1) à votre routeur externe. Étape 5 Connectez les autres réseaux aux interfaces restantes. Mettre le pare-feu sous tension L'alimentation du système est contrôlée par le cordon d'alimentation. Il n'y a pas de bouton d'alimentation. Remarque La première fois que vous démarrez le threat defense, l'initialisation peut prendre entre 15 et 30 minutes. Avant de commencer Il est important que vous utilisiez une source d'alimentation fiable pour alimenter votre appareil (à l'aide d'un système d'alimentation sans coupure, par exemple). Une panne de courant sans arrêt préalable peut endommager gravement le système de fichiers. De nombreux processus s'exécutent en arrière-plan en permanence, et une panne de courant ne permet pas l'arrêt normal de votre système. Procédure Étape 1 Raccordez le câble d'alimentation à l'appareil et branchez-le à une prise électrique. L'appareil se met automatiquement sous tension dès que vous le branchez. Étape 2 Observez le voyant d'alimentation situé à l'arrière de l'appareil. S'il est allumé en vert, l'appareil est sous tension. Étape 3 Observez le voyant d'état à l'arrière ou sur l'appareil. Lorsqu'il s'allume en vert, le système a terminé les diagnostics de mise sous tension. Guide de mise en route de l'appliance Cisco Firepower 1010 13 Déployer Threat Defense avec le Centre de gestion (Facultatif) Vérifier le logiciel et installer une nouvelle version (Facultatif) Vérifier le logiciel et installer une nouvelle version Pour vérifier la version du logiciel et, si nécessaire, installer une autre version, procédez comme suit. Nous vous recommandons d'installer votre version cible avant de configurer le pare-feu. Vous pouvez également effectuer une mise à niveau une fois que vous êtes opérationnel, mais la mise à niveau, qui préserve votre configuration, peut prendre plus de temps que cette procédure. Quelle version dois-je exécuter ? Cisco recommande d'exécuter une version Gold Star indiquée par une étoile dorée en regard du numéro de version sur la page de téléchargement du logiciel. Vous pouvez également vous reporter à la stratégie de publication décrite dans la rubrique https://www.cisco.com/c/en/us/products/collateral/security/firewalls/ bulletin-c25-743178.html ; par exemple, ce bulletin décrit la numérotation des versions à court terme (avec les dernières fonctionnalités), la numérotation des versions à long terme (versions de maintenance et correctifs pour une période plus longue) ou la numérotation des versions à très long terme (versions de maintenance et correctifs pour la période la plus longue, pour la certification gouvernementale). Procédure Étape 1 Connectez-vous à l'interface de ligne de commande. Pour plus d'informations, reportez-vous à la rubrique Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS, à la page 44. Cette procédure illustre l'utilisation du port de console, mais vous pouvez utiliser SSH si vous le souhaitez. Connectez-vous avec l'utilisateur admin et le mot de passe par défaut, Admin123. Vous vous connectez à la CLI FXOS. Lors de la première connexion, vous êtes invité à modifier le mot de passe par défaut. Ce mot de passe est également utilisé pour la connexion au threat defense pour SSH. Remarque Si vous avez modifié le mot de passe, mais que vous l'avez oublié, vous devez réinitialiser l'appareil pour rétablir le mot de passe par défaut. Consultez le Guide de dépannage de la console FXOS pour connaître la procédure pour rétablir les paramètres d'usine. Exemple : firepower login: admin Password: Admin123 Successful login attempts for user 'admin' : 1 [...] Hello admin. You must change your password. Enter new password: ******** Confirm new password: ******** Your password was updated successfully. [...] firepower# Étape 2 Dans l'interface de ligne de commande de la console FXOS, affichez la version en cours d'exécution. scope ssa show app-instance Guide de mise en route de l'appliance Cisco Firepower 1010 14 Déployer Threat Defense avec le Centre de gestion Finaliser la configuration initiale de Threat Defense Exemple : Firepower# scope ssa Firepower /ssa # show app-instance Application Name Slot ID Admin State Operational State Running Version Startup Version Cluster Oper State -------------------- ---------- --------------- -------------------- ----------------------------- -----------------ftd 1 Enabled Online 7.2.0.65 7.2.0.65 Not Applicable Étape 3 Si vous souhaitez installer une nouvelle version, procédez comme suit. a) Si vous devez définir une adresse IP statique pour l'interface de gestion, reportez-vous à la rubrique Finaliser la configuration initiale de Threat Defense à l'aide de l'interface de ligne de commande, à la page 20. Par défaut, l'interface de gestion utilise DHCP. Vous devrez télécharger la nouvelle image à partir d'un serveur accessible depuis l'interface de gestion. b) Suivez la procédure de réinstallation du guide de dépannage de la console FXOS. Finaliser la configuration initiale de Threat Defense Vous pouvez finaliser la configuration initiale de threat defense à l'aide de l'interface de ligne de commande ou du gestionnaire d'appareils. Finaliser la configuration initiale de Threat Defense à l'aide de l'interface du Gestionnaire d'appareils Connectez-vous au gestionnaire d'appareils pour effectuer la configuration initiale du threat defense. Lorsque vous effectuez la configuration initiale à l'aide du gestionnaire d'appareils, toutes les configurations d'interface effectuées dans le gestionnaire d'appareils sont conservées lorsque vous passez au centre de gestion pour la gestion, en plus des paramètres d'interface de gestion et d'accès du gestionnaire. Notez que les autres paramètres de configuration par défaut, tels que la politique de contrôle d'accès ou les zones de sécurité, ne sont pas conservés. Lorsque vous utilisez l'interface de ligne de commande, seuls les paramètres de l'interface de gestion et d'accès au gestionnaire sont conservés (par exemple, la configuration par défaut de l'interface interne n'est pas conservée). Avant de commencer • Déployez et effectuez la configuration initiale du centre de gestion. Reportez-vous à la section Guide d'installation matérielle pour Cisco Firepower Management Center 1600, 2600 et 4600. Vous devez connaître l'adresse IP ou le nom d'hôte du centre de gestion avant de configurer le threat defense. • Utilisez une version actuelle de Firefox, Chrome, Safari, Edge ou Internet Explorer. Guide de mise en route de l'appliance Cisco Firepower 1010 15 Déployer Threat Defense avec le Centre de gestion Finaliser la configuration initiale de Threat Defense à l'aide de l'interface du Gestionnaire d'appareils Procédure Étape 1 Connectez-vous au gestionnaire d'appareils. a) Saisissez l'une des URL suivantes dans votre navigateur. • Interne (Ethernet1/2 à 1/8)—https://192.168.95.1.Vous pouvez vous connecter à l'adresse interne sur n'importe quel port de commutateur interne (Ethernet 1/2 à 1/8). • Gestion—https://ip_gestion. Dans la mesure où l'interface de gestion est un client DHCP, l'adresse IP dépend de votre serveur DHCP. Vous devrez peut-être définir l'adresse IP de gestion sur une adresse statique dans le cadre de cette procédure. Nous vous recommandons donc d'utiliser l'interface interne afin de ne pas être déconnecté. b) Connectez-vous avec le nom d'utilisateur admin et le mot de passe par défaut Admin123. c) Vous êtes invité à lire et à accepter le contrat de licence de l'utilisateur final et à modifier le mot de passe admin. Étape 2 Utilisez l'assistant de configuration lors de votre première connexion au gestionnaire d'appareils pour terminer la configuration initiale. Vous pouvez éventuellement ignorer l'assistant de configuration en cliquant sur Ignorer la configuration de l'appareil au bas de la page. Une fois l'assistant de configuration terminé, outre la configuration par défaut de l'interface interne (Ethernet 1/2 à 1/8, qui sont des ports de commutateur sur le VLAN1), la configuration d'une interface externe (Ethernet 1/1) sera conservée lorsque vous passerez à la gestion du centre de gestion. a) Configurez les options suivantes pour les interfaces externes et de gestion, puis cliquez sur Suivant. 1. Adresse de l'interface externe : cette interface est généralement la passerelle Internet et peut être utilisée comme interface d'accès au gestionnaire. Vous ne pouvez pas sélectionner une autre interface externe lors de la configuration initiale de l'appareil. La première interface de données est l'interface externe par défaut. Si vous souhaitez utiliser une interface différente depuis l'interface externe (ou interne) pour l'accès au gestionnaire, vous devez la configurer manuellement après avoir terminé l'assistant de configuration. Configurer IPv4 : adresse IPv4 de l'interface externe. Vous pouvez utiliser DHCP ou saisir manuellement une adresse IP statique, un masque de sous-réseau et une passerelle. Vous pouvez également sélectionner Désactivé pour ne pas configurer d'adresse IPv4. Vous ne pouvez pas configurer PPPoE à l'aide de l'assistant de configuration. Le protocole PPPoE peut être nécessaire si l'interface est connectée à un modem ADSL, un modem câble ou une autre connexion à votre FAI et que votre FAI utilise PPPoE pour fournir votre adresse IP. Vous pouvez configurer PPPoE après avoir terminé l'assistant. Configurer IPv6 : adresse IPv6 de l'interface externe. Vous pouvez utiliser DHCP ou saisir manuellement une adresse IP statique, un préfixe et une passerelle. Vous pouvez également sélectionner Désactivé pour ne pas configurer d'adresse IPv6. 2. Interface de gestion Les paramètres de l'interface de gestion ne sont pas visibles si vous avez effectué la configuration initiale dans l'interface de ligne de commande. Notez que la configuration de l'adresse IP de l'interface de gestion ne fait pas partie de l'assistant de configuration. Reportez-vous à l'étape Étape 3, à la page 17 pour définir l'adresse IP de gestion. Serveurs DNS : serveur DNS pour l'interface de gestion du pare-feu. Saisissez une ou plusieurs adresses de serveurs DNS pour la résolution de noms. La valeur par défaut est Serveurs DNS publics Guide de mise en route de l'appliance Cisco Firepower 1010 16 Déployer Threat Defense avec le Centre de gestion Finaliser la configuration initiale de Threat Defense à l'aide de l'interface du Gestionnaire d'appareils OpenDNS. Si vous modifiez les champs et souhaitez rétablir les paramètres par défaut, cliquez sur Utiliser OpenDNS pour recharger les adresses IP appropriées dans les champs. Nom d'hôte du pare-feu : nom d'hôte de l'interface de gestion du pare-feu. b) Configurez les Paramètres relatifs au temps (NTP) et cliquez sur Suivant. 1. Fuseau horaire : sélectionnez le fuseau horaire du système. 2. Serveur de temps NTP : sélectionnez cette option pour utiliser les serveurs NTP par défaut ou saisir manuellement les adresses de vos serveurs NTP. Vous pouvez ajouter plusieurs serveurs pour fournir des sauvegardes. c) Sélectionnez Démarrer la période d'évaluation de 90 jours sans enregistrement. N'enregistrez pas le threat defense auprès de Smart Software Manager ; toutes les licences sont octroyées sur le centre de gestion. d) Cliquez sur Terminer. e) Vous êtes invité à sélectionner Gestion du cloud ou Autonome. Pour la gestion du centre de gestion, sélectionnez Autonome, puis J'ai compris. Étape 3 (Peut être obligatoire) Configurez une adresse IP statique pour l'interface de gestion. Sélectionnez Appareil, puis cliquez sur le lien Paramètres système > Accès de gestion. Si vous souhaitez configurer une adresse IP statique, veillez à définir également la passerelle par défaut sur une passerelle unique au lieu des interfaces de données. Si vous utilisez DHCP, vous n'avez rien à configurer. Étape 4 Si vous souhaitez configurer des interfaces supplémentaires, notamment une interface autre que l'interface externe ou interne, sélectionnez Appareil, puis cliquez sur le lien dans le récapitulatif Interfaces. Reportez-vous à la rubrique Configurer le pare-feu dans le Gestionnaire d'appareils, à la page 113 pour plus d'informations sur la configuration des interfaces dans le gestionnaire d'appareils. Les autres configurations du gestionnaire d'appareils ne sont pas conservées lorsque vous enregistrez l'appareil auprès du centre de gestion. Étape 5 Sélectionnez Appareil > Paramètres système > Centre de gestion, et cliquez sur Continuer pour configurer la gestion du centre de gestion. Étape 6 Configurez les Détails du centre de gestion/CDO. Guide de mise en route de l'appliance Cisco Firepower 1010 17 Déployer Threat Defense avec le Centre de gestion Finaliser la configuration initiale de Threat Defense à l'aide de l'interface du Gestionnaire d'appareils Illustration 5 : Détails du centre de gestion/CDO a) Pour le champ Connaissez-vous le nom d'hôte ou l'adresse IP du Centre de gestion/CDO, cliquez sur Oui si vous pouvez accéder au centre de gestion à l'aide d'une adresse IP ou d'un nom d'hôte, ou sur Non si le centre de gestion est derrière la NAT ou n'a pas d'adresse IP ou de nom d'hôte public. Guide de mise en route de l'appliance Cisco Firepower 1010 18 Déployer Threat Defense avec le Centre de gestion Finaliser la configuration initiale de Threat Defense à l'aide de l'interface du Gestionnaire d'appareils Au moins l'un des appareils, soit le centre de gestion soit le threat defense, doit disposer d'une adresse IP accessible pour établir le canal de communication bidirectionnel chiffré SSL entre les deux appareils. b) Si vous avez choisi Oui, saisissez le Nom d'hôte/adresse IP du Centre de gestion/CDO. c) Spécifiez la Clé d'enregistrement du Centre de gestion/CDO. Cette clé est une clé d'enregistrement unique de votre choix, que vous devez également spécifier sur le centre de gestion lorsque vous enregistrez l'appareil threat defense. La clé d'enregistrement ne doit pas comporter plus de 37 caractères. Les caractères valides incluent les caractères alphanumériques (A à Z, a à z, 0 à 9) et le trait d'union (-). Il est possible d'utiliser cet ID pour plusieurs appareils qui s'enregistrent auprès du centre de gestion. d) Spécifiez un ID NAT. Cet ID est une chaîne unique de votre choix, que vous spécifiez également sur le centre de gestion. Ce champ est obligatoire si vous spécifiez uniquement l'adresse IP sur l'un des appareils ; nous vous recommandons cependant de spécifier l'ID NAT même si vous connaissez les adresses IP des deux appareils. L'ID NAT ne doit pas comporter plus de 37 caractères. Les caractères valides incluent les caractères alphanumériques (A à Z, a à z, 0 à 9) et le trait d'union (-). Il est impossible d'utiliser cet ID pour d'autres appareils enregistrés auprès du centre de gestion. L'ID NAT est utilisé en combinaison avec l'adresse IP pour vérifier que la connexion provient de l'appareil correct ; ce n'est qu'après l'authentification de l'adresse IP/ID NAT que la clé d'enregistrement est vérifiée. Étape 7 Configurez la configuration de connectivité. a) Spécifiez le nom d'hôte du FTD. b) Spécifiez le groupe de serveurs DNS. Sélectionnez un groupe existant ou créez-en un nouveau. Le groupe DNS par défaut est appelé CiscoUmbrellaDNSServerGroup et inclut les serveurs OpenDNS. c) Pour Centre de gestion/Interface d'accès au CDO, choisissez gestion. Étape 8 Cliquez sur Connecter. La boîte de dialogue État d'enregistrement affiche l'état actuel du commutateur sur le centre de gestion. Après l'étape Sauvegarde des paramètres d'enregistrement du centre de gestion/CDO, accédez au centre de gestion, et ajoutez le pare-feu. Si vous souhaitez annuler le basculement sur centre de gestion, cliquez sur Annuler l'enregistrement. Sinon, ne fermez pas la fenêtre du navigateur gestionnaire d'appareils avant d'avoir terminé l'étape Sauvegarde des paramètres d'enregistrement du centre de gestion/CDO. Dans le cas contraire, le processus sera interrompu et ne reprendra que lorsque vous vous reconnecterez au gestionnaire d'appareils. Si vous restez connecté au gestionnaire d'appareils après l'étape Sauvegarde de l'enregistrement des paramètres du centre de gestion/CDO, la boîte de dialogue Connexion réussie avec le centre de gestion ou le CDO finit par d'afficher, puis vous êtes déconnecté du gestionnaire d'appareils. Guide de mise en route de l'appliance Cisco Firepower 1010 19 Déployer Threat Defense avec le Centre de gestion Finaliser la configuration initiale de Threat Defense à l'aide de l'interface de ligne de commande Illustration 6 : Connexion réussie Finaliser la configuration initiale de Threat Defense à l'aide de l'interface de ligne de commande Connectez-vous à l'interface de ligne de commande de threat defense pour procéder à la configuration initiale, notamment à la configuration de l'adresse IP de gestion, de la passerelle et d'autres paramètres réseau de base à l'aide de l'assistant de configuration. L'interface de gestion dédiée est une interface spéciale disposant de ses propres paramètres réseau. Dans les versions 6.7 et ultérieures : si vous ne souhaitez pas utiliser l'interface de gestion pour l'accès au gestionnaire, vous pouvez utiliser l'interface de ligne de commande pour configurer une interface de données. Vous configurerez également les paramètres de communication du centre de gestion. Lorsque vous effectuez la configuration initiale à l'aide de gestionnaire d'appareils (7.1 et versions ultérieures), toutes les configurations d'interface effectuées dans le gestionnaire d'appareils sont conservées lorsque vous passez au centre de gestion pour la gestion, en plus des paramètres d'interface de gestion et d'accès du gestionnaire. Notez que les autres paramètres de configuration par défaut, tels que la politique de contrôle d'accès, ne sont pas conservés. Procédure Étape 1 Connectez-vous à l'interface de ligne de commande de threat defense, soit à partir du port de console soit à l'aide de SSH à l'interface de gestion, qui obtient une adresse IP d'un serveur DHCP par défaut. Si vous souhaitez modifier les paramètres réseau, nous vous recommandons d'utiliser le port de console pour éviter toute déconnexion. Le port de console se connecte à l'interface de ligne de commande de FXOS. La session SSH se connecte directement à l'interface de ligne de commande de threat defense. Étape 2 Connectez-vous avec le nom d'utilisateur admin et le mot de passe Admin123. Guide de mise en route de l'appliance Cisco Firepower 1010 20 Déployer Threat Defense avec le Centre de gestion Finaliser la configuration initiale de Threat Defense à l'aide de l'interface de ligne de commande Sur le port de console, vous vous connectez à l'interface de ligne de commande de la console FXOS. Lors de la première connexion à FXOS, vous êtes invité à modifier le mot de passe par défaut. Ce mot de passe est également utilisé pour la connexion au threat defense pour SSH. Remarque Si vous avez modifié le mot de passe, mais que vous l'avez oublié, vous devez reconfigurer l'appareil pour réinitialiser le mot de passe par défaut. Consultez le Guide de dépannage de la console FXOS pour connaître la procédure de réinstallation. Exemple : firepower login: admin Password: Admin123 Successful login attempts for user 'admin' : 1 [...] Hello admin. You must change your password. Enter new password: ******** Confirm new password: ******** Your password was updated successfully. [...] firepower# Étape 3 Si vous êtes connecté à FXOS sur le port de console, connectez-vous à l'interface de ligne de commande de threat defense. connect ftd Exemple : firepower# connect ftd > Étape 4 La première fois que vous vous connectez à threat defense, vous êtes invité à accepter le contrat de licence de l'utilisateur final (CLUF) et, si vous utilisez une connexion SSH, à modifier le mot de passe administrateur. Le script de configuration de la CLI vous est ensuite présenté. Remarque Vous ne pouvez pas répéter l'assistant de configuration de la CLI à moins d'avoir effacé la configuration, par exemple, via une réinitialisation. Vous pouvez cependant modifier tous les paramètres ultérieurement dans l'interface de ligne de commande à l'aide des commandes configure network. Reportez-vous à la rubrique Référence des commandes pour Secure Firewall Threat Defense. Les valeurs par défaut ou les valeurs saisies précédemment apparaissent entre crochets. Pour accepter les valeurs saisies précédemment, appuyez sur la touche Entrée. Reportez-vous aux instructions suivantes : • Saisissez la passerelle IPv4 par défaut pour l'interface de gestion : le paramètre data-interfaces s'applique uniquement au centre de gestion distant ou à la gestion du gestionnaire d'appareils ; vous devez définir une adresse IP de passerelle pour l'interface de gestion 1/1 lorsque vous utilisez le centre de gestion sur le réseau de gestion. Dans l'exemple de déploiement de périphérie illustré dans la section de déploiement du réseau, l'interface interne fait office de passerelle de gestion. Dans ce cas, vous devez Guide de mise en route de l'appliance Cisco Firepower 1010 21 Déployer Threat Defense avec le Centre de gestion Finaliser la configuration initiale de Threat Defense à l'aide de l'interface de ligne de commande définir l'adresse IP de la passerelle en tant qu'adresse IP de l'interface interne prévue ; vous devez ensuite utiliser le centre de gestion pour définir l'adresse IP interne. • Si vos informations réseau ont changé, vous devrez vous reconnecter : si vous êtes connecté à SSH, mais que vous modifiez l'adresse IP lors de la configuration initiale, vous êtes déconnecté. Reconnectez-vous en utilisant une nouvelle adresse IP et un nouveau mot de passe. Les connexions de console restent actives. • Gérer l'appareil localement ? : saisissez non pour utiliser le centre de gestion. Si vous saisissez oui, vous utilisez le gestionnaire d'appareils. • Configurer le mode de pare-feu ? : nous vous recommandons de définir le mode de pare-feu lors de la configuration initiale. La modification du mode de pare-feu après la configuration initiale efface la configuration en cours. Exemple : You must accept the EULA to continue. Press <ENTER> to display the EULA: End User License Agreement [...] Please enter 'YES' or press <ENTER> to AGREE to the EULA: System initialization in progress. Please stand by. You must change the password for 'admin' to continue. Enter new password: ******** Confirm new password: ******** You must configure the network to continue. You must configure at least one of IPv4 or IPv6. Do you want to configure IPv4? (y/n) [y]: Do you want to configure IPv6? (y/n) [n]: Configure IPv4 via DHCP or manually? (dhcp/manual) [manual]: Enter an IPv4 address for the management interface [192.168.45.45]: 10.10.10.15 Enter an IPv4 netmask for the management interface [255.255.255.0]: 255.255.255.192 Enter the IPv4 default gateway for the management interface [data-interfaces]: 10.10.10.1 Enter a fully qualified hostname for this system [firepower]: ftd-1.cisco.com Enter a comma-separated list of DNS servers or 'none' [208.67.222.222,208.67.220.220]: Enter a comma-separated list of search domains or 'none' []: If your networking information has changed, you will need to reconnect. For HTTP Proxy configuration, run 'configure network http-proxy' Manage the device locally? (yes/no) [yes]: no Configure firewall mode? (routed/transparent) [routed]: Configuring firewall mode ... Update policy deployment information - add device configuration - add network discovery - add system policy You can register the sensor to a Firepower Management Center and use the Firepower Management Center to manage it. Note that registering the sensor to a Firepower Management Center disables on-sensor Firepower Services management capabilities. When registering the sensor to a Firepower Management Center, a unique alphanumeric registration key is always required. In most cases, to register a sensor to a Firepower Management Center, you must provide the hostname or the IP address along with the registration key. 'configure manager add [hostname | ip address ] [registration key ]' Guide de mise en route de l'appliance Cisco Firepower 1010 22 Déployer Threat Defense avec le Centre de gestion Finaliser la configuration initiale de Threat Defense à l'aide de l'interface de ligne de commande However, if the sensor and the Firepower Management Center are separated by a NAT device, you must enter a unique NAT ID, along with the unique registration key. 'configure manager add DONTRESOLVE [registration key ] [ NAT ID ]' Later, using the web interface on the Firepower Management Center, you must use the same registration key and, if necessary, the same NAT ID when you add this sensor to the Firepower Management Center. > Étape 5 Identifiez le centre de gestion qui gérera ce threat defense. configure manager add {hostname | IPv4_address | IPv6_address | DONTRESOLVE} reg_key [nat_id] • {hostname | IPv4_address | IPv6_address | DONTRESOLVE} : spécifie le nom de domaine complet ou l'adresse IP du centre de gestion. Si le centre de gestion n'est pas directement adressable, utilisez DONTRESOLVE et spécifiez nat_id. Au moins l'un des appareils, soit le centre de gestion soit le threat defense, doit disposer d'une adresse IP accessible pour établir le canal de communication bidirectionnel chiffré SSL entre les deux appareils. Si vous spécifiez DONTRESOLVE dans cette commande, le threat defense doit disposer d'une adresse IP ou d'un nom d'hôte accessible. • reg_key : spécifie une clé d'enregistrement unique de votre choix, que vous devez également spécifier sur le centre de gestion lors de l'enregistrement du threat defense. La clé d'enregistrement ne doit pas comporter plus de 37 caractères. Les caractères valides incluent les caractères alphanumériques (A à Z, a à z, 0 à 9) et le trait d'union (-). • nat_id : spécifie une chaîne unique de votre choix, que vous devez également spécifier sur le centre de gestion lors de l'enregistrement du threat defense lorsqu'un côté ne spécifie pas une adresse IP ou un nom d'hôte accessible. Elle est obligatoire si vous définissez le centre de gestion sur DONTRESOLVE. L'ID NAT ne doit pas comporter plus de 37 caractères. Les caractères valides incluent les caractères alphanumériques (A à Z, a à z, 0 à 9) et le trait d'union (-). Il est impossible d'utiliser cet ID pour d'autres appareils enregistrés auprès du centre de gestion. Exemple : > configure manager add MC.example.com 123456 Manager successfully configured. Si le centre de gestion se trouve derrière un appareil NAT, saisissez un ID NAT unique avec la clé d'enregistrement et spécifiez DONTRESOLVE au lieu du nom d'hôte, par exemple : Exemple : > configure manager add DONTRESOLVE regk3y78 natid90 Manager successfully configured. Si le threat defense se trouve derrière un appareil NAT, saisissez un ID NAT unique avec l'adresse IP ou le nom d'hôte du centre de gestion, par exemple : Exemple : > configure manager add 10.70.45.5 regk3y78 natid56 Manager successfully configured. Guide de mise en route de l'appliance Cisco Firepower 1010 23 Déployer Threat Defense avec le Centre de gestion Se connecter au Centre de gestion Que faire ensuite Enregistrez votre pare-feu sur le centre de gestion. Se connecter au Centre de gestion Utilisez le centre de gestion pour configurer et surveiller le threat defense. Avant de commencer Pour en savoir plus sur les navigateurs pris en charge, reportez-vous aux notes de version de la version que vous utilisez (consultez la rubrique https://www.cisco.com/go/firepower-notes). Procédure Étape 1 À l'aide d'un navigateur pris en charge, saisissez l'URL suivante. https://fmc_ip_address Étape 2 Saisissez votre nom d'utilisateur et votre mot de passe. Étape 3 Cliquez sur Log In. Obtenir les licences du Centre de gestion Toutes les licences sont fournies au threat defense via le centre de gestion. Vous pouvez acheter les licences suivantes : • Menace : sécurité adaptative et système de prévention des intrusions de nouvelle génération • Malware : protection contre les programmes malveillants • URL : filtrage des URL • RA VPN : AnyConnect Plus, AnyConnect Apex ou AnyConnect VPN uniquement Pour une présentation complète de Cisco Licensing, rendez-vous sur cisco.com/go/licensingguide. Avant de commencer • Veillez à disposer d'un compte principal sur Smart Software Manager. Si vous n'avez pas encore de compte, cliquez sur le lien pour configurer un nouveau compte. Smart Software Manager vous permet de créer un compte principal pour votre entreprise. • Votre compte Smart Software Licensing doit bénéficier de la licence de chiffrement renforcé (3DES/AES) pour utiliser certaines fonctionnalités (activées à l'aide de l'indicateur de conformité d'exportation). Guide de mise en route de l'appliance Cisco Firepower 1010 24 Déployer Threat Defense avec le Centre de gestion Enregistrer le Threat Defense auprès du Centre de gestion Procédure Étape 1 Assurez-vous que votre compte Smart Licensing contient les licences disponibles dont vous avez besoin. Si vous avez acheté votre appareil auprès de Cisco ou d'un revendeur, vos licences doivent avoir été associées à votre compte Smart Software License. Toutefois, si vous devez ajouter des licences vous-même, utilisez le champ de recherche Rechercher des produits et des solutions de Cisco Commerce Workspace. Recherchez les PID de licence suivants : Illustration 7 : Recherche de licences Remarque Si aucun PID n'est renvoyé, vous pouvez l'ajouter manuellement à votre commande. • Combinaison des licences Threat, Malware et URL : • L-FPR1010T-TMC= Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée limitée correspondant à l'un des PID suivants : • L-FPR1010T-TMC-1Y • L-FPR1010T-TMC-3Y • L-FPR1010T-TMC-5Y • VPN RA : consultez le Guide d'aide à la commande Cisco AnyConnect. Étape 2 Si ce n'est pas déjà fait, enregistrez le centre de gestion auprès du serveur de licences Smart. Pour cela, vous devez générer un jeton d'enregistrement dans Smart Software Manager. Reportez-vous à au Guide d'administration de Cisco Secure Firewall Management Center pour obtenir des instructions détaillées. Enregistrer le Threat Defense auprès du Centre de gestion Enregistrez le threat defense auprès du centre de gestion manuellement à l'aide de l'adresse IP ou du nom d'hôte de l'appareil. Avant de commencer • Collectez les informations suivantes que vous avez définies dans la de démarrage : • Adresse IP de gestion ou nom d'hôte du threat defense, et ID NAT Guide de mise en route de l'appliance Cisco Firepower 1010 25 Déployer Threat Defense avec le Centre de gestion Enregistrer le Threat Defense auprès du Centre de gestion • Clé d'enregistrement du centre de gestion Procédure Étape 1 Étape 2 Dans centre de gestion, sélectionnez Appareils > Gestion des appareils. Dans la liste déroulante Ajouter, sélectionnez Ajouter l'appareil. Définissez les paramètres suivants : • Hôte : saisissez l'adresse IP ou le nom d'hôte du threat defense que vous souhaitez ajouter. Vous pouvez laisser ce champ vide si vous avez spécifié à la fois l'adresse IP du centre de gestion et un ID NAT dans la configuration de initiale du threat defense. Remarque Dans un environnement haute disponibilité, lorsque les deux centres de gestionse trouvent derrière un NAT, vous pouvez enregistrer le threat defense sans adresse IP ni nom d'hôte dans le centre de gestion principal. Toutefois, pour enregistrer le threat defense dans un centre de gestion secondaire, vous devez fournir l'adresse IP ou le nom d'hôte du threat defense. • Nom d'affichage : saisissez le nom du threat defense tel que vous souhaitez l'afficher dans le centre de gestion. Guide de mise en route de l'appliance Cisco Firepower 1010 26 Déployer Threat Defense avec le Centre de gestion Enregistrer le Threat Defense auprès du Centre de gestion • Clé d'enregistrement : saisissez la clé d'enregistrement que vous avez spécifiée dans la configuration de initiale du threat defense. • Domaine : attribuez l'appareil à un domaine Leaf si vous disposez d'un environnement multidomaine. • Groupe : attribuez-le à un groupe d'appareils si vous utilisez des groupes. • Politique de contrôle d'accès : sélectionnez une politique initiale. Sauf si vous disposez déjà d'une politique personnalisée que vous devez utiliser, sélectionnez Créer une nouvelle politique et sélectionnez Bloquer tout le trafic. Vous pourrez la modifier ultérieurement pour autoriser le trafic ; reportez-vous à la rubrique Autoriser le trafic de l'interface interne vers l'interface externe, à la page 41. Illustration 8 : Nouvelle politique • Smart Licensing: attribuez les licences Smart dont vous avez besoin pour les fonctionnalités que vous souhaitez déployer : Malware (si vous souhaitez utiliser l'inspection), Threat (si vous prévoyez d'utiliser la prévention contre les intrusions) et URL (si vous avez l'intention de mettre en œuvre le filtrage d'URL basé sur les catégories). Remarque : vous pouvez appliquer une licence VPN d'accès distant Client sécurisé après avoir ajouté l'appareil, via la page Système > Licences > Licences Smart. • ID NAT unique : spécifiez l'ID NAT que vous avez spécifié dans la configuration initiale du threat defense. • Transférer des paquets : permet à l'appareil de transférer des paquets vers le centre de gestion. Lorsque des événements comme IPS ou Snort sont déclenchés alors que cette option est activée, l'appareil envoie des informations de métadonnées d'événement et des données de paquet au centre de gestion à des fins d'inspection. Si vous désactivez cette option, seules les informations d'événement sont envoyées au centre de gestion ; les données de paquet ne sont pas envoyées. Étape 3 Cliquez sur S'enregistrer ou, si vous souhaitez ajouter un autre appareil, cliquez sur Enregistrer et ajouter un autre appareil et confirmez l'enregistrement. Si l'enregistrement réussit, l'appareil est ajouté à la liste. En cas d'échec, un message d'erreur s'affiche. Si l'enregistrement du threat defense échoue, vérifiez les points suivants : Guide de mise en route de l'appliance Cisco Firepower 1010 27 Déployer Threat Defense avec le Centre de gestion Configurer une politique de sécurité de base • Ping : accédez à la CLI du threat defense et envoyez une requête ping à l'adresse IP du centre de gestion à l'aide de la commande suivante : ping system ip_address Si la requête ping échoue, vérifiez les paramètres réseau à l'aide de la commande show network. Si vous devez modifier l'adresse IP de gestion du threat defense, utilisez la commande configure network {ipv4 | ipv6} manual. • Clé d'enregistrement, ID NAT et adresse IP du centre de gestion : assurez-vous d'utiliser la même clé d'enregistrement et, le cas échéant, l'ID NAT sur les deux appareils. Vous pouvez définir la clé d'enregistrement et l'ID NAT sur le centre de gestion à l'aide de la commande configure manager add. Pour plus d'informations sur le dépannage, consultez la page https://cisco.com/go/fmc-reg-error. Configurer une politique de sécurité de base Dans cette section, nous vous expliquons comment configurer une politique de sécurité de base avec les paramètres suivants : • Interfaces internes et externes : attribuez une adresse IP statique à l'interface interne et utilisez DHCP pour l'interface externe. • Serveur DHCP : utilisez un serveur DHCP sur l'interface interne pour les clients. • Route par défaut : ajoutez une route par défaut via l'interface externe. • NAT : utilisez l'interface PAT sur l'interface externe. • Contrôle d'accès : autorisez le trafic de l'interface interne vers l'interface externe. Pour configurer une politique de sécurité de base, procédez comme suit. Configurer les interfaces (6.5 et versions ultérieures), à la page 29 Configurer les interfaces (6.4), à la page 33. Configurer le serveur DHCP, à la page 36. Ajouter la route par défaut, à la page 37. Configuration du routage NAT, à la page 38. Autoriser le trafic de l'interface interne vers l'interface externe, à la page 41. Déployer la configuration, à la page 42. Guide de mise en route de l'appliance Cisco Firepower 1010 28 Déployer Threat Defense avec le Centre de gestion Configurer les interfaces (6.5 et versions ultérieures) Configurer les interfaces (6.5 et versions ultérieures) Ajoutez l'interface VLAN1 pour les ports de commutateur ou convertissez les ports de commutateur en interfaces de pare-feu, attribuez des interfaces aux zones de sécurité et définissez les adresses IP. En règle générale, vous devez configurer au moins deux interfaces pour qu'un système transmette un trafic significatif. Habituellement, vous disposez d'une interface externe face au routeur en amont ou à Internet, et d'une ou de plusieurs interfaces internes pour les réseaux de votre entreprise. Par défaut, Ethernet1/1 est une interface de pare-feu standard que vous pouvez utiliser à l'extérieur ; les autres interfaces sont des ports de commutateur sur le VLAN 1. Après avoir ajouté l'interface VLAN1, vous pouvez la convertir en interface interne. Vous pouvez également attribuer des ports de commutateur à d'autres VLAN ou convertir des ports de commutateur en interfaces de pare-feu. Un routage de périphérie classique consiste à obtenir l'adresse de l'interface externe via DHCP auprès de votre FAI, pendant que vous définissez des adresses statiques sur les interfaces internes. L'exemple suivant configure une interface interne en mode routé (VLAN1) avec une adresse statique et une interface externe en mode routé à l'aide de DHCP (Ethernet1/1). Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils, puis cliquez sur l'icône Modifier ( Étape 2 Cliquez sur Interfaces. Étape 3 (facultatif) Désactivez le mode de port de commutateur pour l'un des ports de commutateur (Ethernet 1/2 à 1/8) en cliquant sur le curseur dans la colonne SwitchPort pour le désactiver ( Étape 4 ) de l'appareil. ). Activez les ports de commutateur. a) Cliquez sur Modifier ( ) pour le port de commutateur. Guide de mise en route de l'appliance Cisco Firepower 1010 29 Déployer Threat Defense avec le Centre de gestion Configurer les interfaces (6.5 et versions ultérieures) b) Activez l'interface en cochant la case Activé. c) (facultatif) Modifiez l'ID de VLAN ; la valeur par défaut est 1. Vous devez ensuite ajouter une interface VLAN correspondant à cet ID. d) Cliquez sur OK. Étape 5 Ajoutez l'interface VLAN interne. a) Cliquez sur Ajouter des interfaces > Interface VLAN. L'onglet Général s'affiche. b) Saisissez un nom comportant maximum 48 caractères. Guide de mise en route de l'appliance Cisco Firepower 1010 30 Déployer Threat Defense avec le Centre de gestion Configurer les interfaces (6.5 et versions ultérieures) Par exemple, nommez l'interface interne. c) Cochez la case Activé. d) Laissez le champ Mode défini sur Aucun. e) Dans la liste déroulante Zone de sécurité, sélectionnez une zone de sécurité interne existante ou ajoutez-en une nouvelle en cliquant sur Créer. Par exemple, ajoutez une zone appelée zone_interne. Chaque interface doit être affectée à une zone de sécurité et/ou à un groupe d'interfaces. Une interface peut appartenir à une seule zone de sécurité, mais peut également appartenir à plusieurs groupes d'interfaces. Vous appliquez votre politique de sécurité en fonction des zones ou des groupes. Par exemple, vous pouvez attribuer l'interface interne à la zone interne, et l'interface externe à la zone externe. Vous pouvez ensuite configurer votre politique de contrôle d'accès pour que le trafic transite de l'interface interne vers l'interface externe, mais pas de l'interface externe vers l'interface interne. La plupart des politiques ne prennent en charge que les zones de sécurité ; vous pouvez utiliser des zones ou des groupes d'interfaces dans les politiques NAT, les politiques de préfiltre et les politiques QoS. f) Définissez le champ ID de VLAN sur 1. Par défaut, tous les ports de commutateur sont définis sur l'ID de VLAN 1 ; si vous choisissez un autre ID de VLAN, vous devez également modifier chaque port de commutateur pour qu'il corresponde au nouvel ID de VLAN. Vous ne pouvez pas modifier l'ID de VLAN après avoir enregistré l'interface ; l'ID de VLAN est à la fois la balise de VLAN utilisée et l'ID d'interface de votre configuration. g) Cliquez sur l'onglet IPv4 et/ou IPv6. • IPv4 : sélectionnez Utiliser l'adresse IP statique dans la liste déroulante, et saisissez une adresse IP et un masque de sous-réseau en notation de barre oblique. Par exemple, saisissez 192.168.1.1/24. • IPv6 : cochez la case Configuration automatique pour la configuration automatique sans état. h) Cliquez sur OK. Étape 6 Cliquez sur Modifier ( ) pour l'interface Ethernet 1/1 que vous souhaitez utiliser comme interface externe. L'onglet Général s'affiche. Guide de mise en route de l'appliance Cisco Firepower 1010 31 Déployer Threat Defense avec le Centre de gestion Configurer les interfaces (6.5 et versions ultérieures) Remarque Si vous avez préconfiguré cette interface pour l'accès au gestionnaire, l'interface sera déjà nommée, activée et adressée. Vous ne devez modifier aucun de ces paramètres de base, car cela perturberait la connexion de gestion du centre de gestion. Vous pouvez cependant configurer la zone de sécurité sur cet écran pour les politiques de trafic en transit. a) Saisissez un nom comportant maximum 48 caractères. Par exemple, nommez l'interface externe. b) Cochez la case Activé. c) Laissez le champ Mode défini sur Aucun. d) Dans la liste déroulante Zone de sécurité, sélectionnez une zone de sécurité externe existante ou ajoutez-en une en cliquant sur Créer. Par exemple, ajoutez une zone appelée zone_externe. e) Cliquez sur l'onglet IPv4 et/ou IPv6. • IPv4 : sélectionnez Utiliser DHCP et configurez les paramètres facultatifs suivants : • Obtenir la route par défaut à l'aide de DHCP : permet d'obtenir la route par défaut à partir du serveur DHCP. • Métrique de routage DHCP : attribue une distance administrative à la route apprise, comprise entre 1 et 255. La distance administrative par défaut pour les routes apprises est 1. Guide de mise en route de l'appliance Cisco Firepower 1010 32 Déployer Threat Defense avec le Centre de gestion Configurer les interfaces (6.4) • IPv6 : cochez la case Configuration automatique pour la configuration automatique sans état. f) Cliquez sur OK. Étape 7 Cliquez sur Enregistrer. Configurer les interfaces (6.4) Activez les interfaces de threat defense, attribuez-les aux zones de sécurité et définissez les adresses IP. En règle générale, vous devez configurer au moins deux interfaces pour qu'un système transmette un trafic significatif. Habituellement, vous disposez d'une interface externe face au routeur en amont ou à Internet, et d'une ou de plusieurs interfaces internes pour les réseaux de votre entreprise. Certaines de ces interfaces peuvent être des « zones démilitarisées » (DMZ), dans lesquelles vous placez des ressources accessibles au public, comme votre serveur web. Un routage de périphérie classique consiste à obtenir l'adresse de l'interface externe via DHCP auprès de votre FAI, pendant que vous définissez des adresses statiques sur les interfaces internes. L'exemple suivant configure une interface interne en mode routé avec une adresse statique et une interface externe en mode routé à l'aide de DHCP. Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils, puis cliquez sur l'icône Modifier ( Étape 2 Cliquez sur Interfaces. ) du pare-feu. Guide de mise en route de l'appliance Cisco Firepower 1010 33 Déployer Threat Defense avec le Centre de gestion Configurer les interfaces (6.4) Étape 3 Cliquez sur l'icône Modifier ( interne. ) correspondant à l'interface que vous souhaitez utiliser en tant qu'interface L'onglet Général s'affiche. a) Saisissez un nom comportant maximum 48 caractères. Par exemple, nommez l'interface interne. b) Cochez la case Activé. c) Laissez le champ Mode défini sur Aucun. d) Dans la liste déroulante Zone de sécurité, sélectionnez une zone de sécurité interne existante ou ajoutez-en une nouvelle en cliquant sur Créer. Par exemple, ajoutez une zone appelée zone_interne. Chaque interface doit être affectée à une zone de sécurité et/ou à un groupe d'interfaces. Une interface peut appartenir à une seule zone de sécurité, mais peut également appartenir à plusieurs groupes d'interfaces. Vous appliquez votre politique de sécurité en fonction des zones ou des groupes. Par exemple, vous pouvez attribuer l'interface interne à la zone interne, et l'interface externe à la zone externe. Vous pouvez ensuite configurer votre politique de contrôle d'accès pour que le trafic transite de l'interface interne vers l'interface externe, mais pas de l'interface externe vers l'interface interne. La plupart des politiques ne prennent en charge que les zones de sécurité ; vous pouvez utiliser des zones ou des groupes d'interfaces dans les politiques NAT, les politiques de préfiltre et les politiques QoS. e) Cliquez sur l'onglet IPv4 et/ou IPv6. • IPv4 : sélectionnez Utiliser l'adresse IP statique dans la liste déroulante, et saisissez une adresse IP et un masque de sous-réseau en notation de barre oblique. Par exemple, saisissez 192.168.1.1/24. Guide de mise en route de l'appliance Cisco Firepower 1010 34 Déployer Threat Defense avec le Centre de gestion Configurer les interfaces (6.4) • IPv6 : cochez la case Configuration automatique pour la configuration automatique sans état. f) Cliquez sur OK. Étape 4 Cliquez sur l'icône Modifier ( ) correspondant à l'interface que vous souhaitez utiliser en externe. L'onglet Général s'affiche. Remarque Si vous avez préconfiguré cette interface pour l'accès au gestionnaire, l'interface sera déjà nommée, activée et adressée. Vous ne devez modifier aucun de ces paramètres de base, car cela perturberait la connexion de gestion du centre de gestion. Vous pouvez cependant configurer la zone de sécurité sur cet écran pour les politiques de trafic en transit. a) Saisissez un nom comportant maximum 48 caractères. Par exemple, nommez l'interface externe. b) Cochez la case Activé. c) Laissez le champ Mode défini sur Aucun. d) Dans la liste déroulante Zone de sécurité, sélectionnez une zone de sécurité externe existante ou ajoutez-en une en cliquant sur Créer. Par exemple, ajoutez une zone appelée zone_externe. Guide de mise en route de l'appliance Cisco Firepower 1010 35 Déployer Threat Defense avec le Centre de gestion Configurer le serveur DHCP e) Cliquez sur l'onglet IPv4 et/ou IPv6. • IPv4 : sélectionnez Utiliser DHCP et configurez les paramètres facultatifs suivants : • Obtenir la route par défaut à l'aide de DHCP : permet d'obtenir la route par défaut à partir du serveur DHCP. • Métrique de routage DHCP : attribue une distance administrative à la route apprise, comprise entre 1 et 255. La distance administrative par défaut pour les routes apprises est 1. • IPv6 : cochez la case Configuration automatique pour la configuration automatique sans état. f) Cliquez sur OK. Étape 5 Cliquez sur Enregistrer. Configurer le serveur DHCP Activez le serveur DHCP si vous souhaitez que les clients utilisent DHCP pour obtenir des adresses IP à partir du threat defense. Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils, puis cliquez sur l'icône Modifier ( Étape 2 Sélectionnez DHCP > Serveur DHCP. Étape 3 Sur la page Serveur, cliquez sur Ajouter et configurez les options suivantes : • Interface : sélectionnez l'interface dans la liste déroulante. Guide de mise en route de l'appliance Cisco Firepower 1010 36 ) de l'appareil. Déployer Threat Defense avec le Centre de gestion Ajouter la route par défaut • Pool d'adresses : définissez la plage d'adresses IP (de la plus faible à la plus élevée) utilisée par le serveur DHCP. La plage d'adresses IP doit se trouver sur le même sous-réseau que l'interface sélectionnée et ne peut pas inclure l'adresse IP de l'interface proprement dite. • Activer le serveur DHCP : activez le serveur DHCP sur l'interface sélectionnée. Étape 4 Cliquez sur OK. Étape 5 Cliquez sur Enregistrer. Ajouter la route par défaut La route par défaut pointe normalement vers le routeur en amont accessible depuis l'interface externe. Si vous utilisez DHCP pour l'interface externe, votre appareil a peut-être déjà reçu une route par défaut. Si vous devez ajouter manuellement la route, procédez comme suit. Si vous avez reçu une route par défaut du serveur DHCP, elle s'affiche dans le tableau Routes IPv4 ou Routes IPv6 sur la page Appareils > Gestion des appareils > Routage > Route statique. Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils, puis cliquez sur l'icône Modifier ( Étape 2 Sélectionnez Routage > Route statique, cliquez sur Ajouter une route, puis définissez les paramètres suivants : ) de l'appareil. • Type : cliquez sur la case d'option IPv4 ou IPv6 en fonction du type de route statique que vous ajoutez. Guide de mise en route de l'appliance Cisco Firepower 1010 37 Déployer Threat Defense avec le Centre de gestion Configuration du routage NAT • Interface : sélectionnez l'interface de sortie ; il s'agit généralement de l'interface externe. • Réseau disponible : sélectionnez any-ipv4 pour une route par défaut IPv4 ou any-ipv6 pour une route par défaut IPv6, puis cliquez sur Ajouter pour le déplacer vers la liste Réseau sélectionné. • Passerelle ou Passerelle IPv6 : saisissez ou choisissez le routeur de passerelle correspondant au tronçon suivant pour cette route. Vous pouvez fournir une adresse IP ou un objet Réseaux/Hôtes. • Métrique : saisissez le nombre de tronçons sur le réseau de destination. La plage valide est comprise entre 1 et 255 ; la valeur par défaut est 1. Étape 3 Cliquez sur OK. La route est ajoutée à la table des routes statiques. Étape 4 Cliquez sur Enregistrer. Configuration du routage NAT Une règle NAT classique convertit les adresses internes en ports sur l'adresse IP de l'interface externe. Ce type de règle NAT est appelé interface PAT (Port Address Translation). Procédure Étape 1 Sélectionnez Appareils > NAT, puis cliquez sur Nouvelle politique > NAT de protection contre les menaces. Étape 2 Donnez un nom à la politique, sélectionnez le ou les appareils que vous souhaitez utiliser, puis cliquez sur Enregistrer. Guide de mise en route de l'appliance Cisco Firepower 1010 38 Déployer Threat Defense avec le Centre de gestion Configuration du routage NAT La politique est ajoutée au centre de gestion. Vous devez quand même ajouter des règles à la politique. Étape 3 Cliquez sur Ajouter une règle. La boîte de dialogue Ajouter une règle NAT apparaît. Étape 4 Configurez les options de règle de base : • Règle NAT : sélectionnez Règle NAT automatique. • Type : choisissez Dynamique. Étape 5 Sur la page Objets d'interface, ajoutez la zone externe de la section Objets d'interface disponibles à la section Objets d'interface de destination. Guide de mise en route de l'appliance Cisco Firepower 1010 39 Déployer Threat Defense avec le Centre de gestion Configuration du routage NAT Étape 6 Sur la page Traduction, configurez les options suivantes : • Source d'origine : cliquez sur Ajouter ( (0.0.0.0/0). ) pour ajouter un objet réseau pour tout le trafic IPv4 Remarque Vous ne pouvez pas utiliser l'objet any-ipv4 défini par le système, car les règles NAT automatiques ajoutent la fonction NAT à la définition d'objet et vous ne pouvez pas modifier les objets définis par le système. Guide de mise en route de l'appliance Cisco Firepower 1010 40 Déployer Threat Defense avec le Centre de gestion Autoriser le trafic de l'interface interne vers l'interface externe • Source traduite : sélectionnez Adresse IP de l'interface de destination. Étape 7 Cliquez sur Enregistrer pour ajouter la règle. La règle est enregistrée dans la table Règles. Étape 8 Cliquez sur Enregistrer sur la page NAT pour enregistrer vos modifications. Autoriser le trafic de l'interface interne vers l'interface externe Si vous avez créé une politique de contrôle d'accès de base Bloquer tout le trafic lorsque vous avez enregistré le threat defense, vous devez ajouter des règles à la politique pour autoriser le trafic via l'appareil. La procédure suivante ajoute une règle pour autoriser le trafic de la zone interne vers la zone externe. Si vous disposez d'autres zones, veillez à ajouter des règles autorisant le trafic vers les réseaux appropriés. Procédure Étape 1 Sélectionnez Politique > Politique d'accès > Politique d'accès, puis cliquez sur Modifier ( politique de contrôle d'accès attribuée à threat defense. Étape 2 Cliquez sur Ajouter une règle, puis définissez les paramètres suivants : ) pour la • Nom : donnez un nom à cette règle, par exemple interne_vers_externe. • Zones source : sélectionnez la zone interne dans Zones disponibles, puis cliquez sur Ajouter à la source. Guide de mise en route de l'appliance Cisco Firepower 1010 41 Déployer Threat Defense avec le Centre de gestion Déployer la configuration • Zones de destination : sélectionnez la zone externe dans Zones disponibles, puis cliquez sur Ajouter à la destination. Laissez les autres paramètres tels quels. Étape 3 Cliquez sur Ajouter. La règle est ajoutée au tableau Règles. Étape 4 Cliquez sur Enregistrer. Déployer la configuration Déployez les modifications de configuration sur le threat defense ; aucune modification n'est active sur l'appareil tant que vous ne l'avez pas déployée. Procédure Étape 1 Cliquez sur Déployer en haut à droite. Illustration 9 : Déployer Étape 2 Cliquez sur Tout déployer pour déployer sur tous les périphériques ou cliquez sur Déploiement avancé pour déployer sur les périphériques sélectionnés. Guide de mise en route de l'appliance Cisco Firepower 1010 42 Déployer Threat Defense avec le Centre de gestion Déployer la configuration Illustration 10 : Tout déployer Illustration 11 : Déploiement avancé Étape 3 Assurez-vous que le déploiement aboutit. Cliquez sur l'icône en regard du bouton Déployer dans la barre de menus pour afficher l'état des déploiements. Illustration 12 : État du déploiement Guide de mise en route de l'appliance Cisco Firepower 1010 43 Déployer Threat Defense avec le Centre de gestion Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS Utilisez l'interface de ligne de commande (CLI) pour configurer le système et résoudre les problèmes de base du système. Vous ne pouvez pas configurer les politiques via une session CLI. Vous pouvez accéder à l'interface de ligne de commande en vous connectant au port de console. Vous pouvez également accéder à la CLI FXOS à des fins de dépannage. Remarque Vous pouvez également vous connecter à l'interface de gestion de l'appareil threat defense. Contrairement à une session de console, la session SSH utilise par défaut l'interface de ligne de commande du threat defense, à partir de laquelle vous pouvez vous connecter à la CLI FXOS à l'aide de la commande connect fxos. Vous pourrez ensuite vous connecter à l'adresse sur une interface de données si vous ouvrez l'interface pour les connexions SSH. L'accès SSH aux interfaces de données est désactivé par défaut. Cette procédure décrit l'accès au port de console, qui est défini par défaut sur la CLI FXOS. Procédure Étape 1 Pour vous connecter à l'interface de ligne de commande, connectez votre ordinateur de gestion au port de console. L'appareil Firepower 1000 est livré avec un câble série USB A vers B. Veillez à installer les pilotes série USB nécessaires à votre système d'exploitation (consultez le guide matériel de l'appareil Firepower 1010). Le port de console est défini par défaut sur la CLI FXOS. Utilisez les paramètres série suivants : • 9 600 bauds • 8 bits de données • Aucune parité • 1 bit d'arrêt Vous vous connectez à la CLI FXOS. Connectez-vous à l'interface de ligne de commande à l'aide du nom d'utilisateur admin et du mot de passe que vous avez défini lors de la configuration initiale (la valeur par défaut est Admin123). Exemple : firepower login: admin Password: Last login: Thu May 16 14:01:03 UTC 2019 on ttyS0 Successful login attempts for user 'admin' : 1 firepower# Étape 2 Accédez à l'interface de ligne de commande du threat defense. connect ftd Exemple : Guide de mise en route de l'appliance Cisco Firepower 1010 44 Déployer Threat Defense avec le Centre de gestion Mettre le pare-feu hors tension firepower# connect ftd > Après vous être connecté, pour obtenir des informations sur les commandes disponibles dans l'interface de ligne de commande, saisissez help ou ?. Pour plus d'informations sur l'utilisation, reportez-vous à la rubrique Référence des commandes pour Secure Firewall Threat Defense. Étape 3 Pour quitter l'interface de ligne de commande threat defense, saisissez la commande du exit ou logout. Cette commande vous renvoie à l'invite de la CLI FXOS. Pour plus d'informations sur les commandes disponibles dans la CLI FXOS, saisissez ?. Exemple : > exit firepower# Mettre le pare-feu hors tension Il est important que vous arrêtiez correctement votre système. Il ne suffit pas de débrancher le câble d'alimentation, car vous risquez d'endommager gravement le système de fichiers. N'oubliez pas que de nombreux processus s'exécutent en arrière-plan en permanence, et que débrancher ou couper l'alimentation ne permet pas un arrêt normal de votre système de pare-feu. Le châssis initial de l'appareil Firepower 1010 ne possède pas d'interrupteur d'alimentation.Vous pouvez mettre l'appareil hors tension à l'aide de la page de gestion des appareils du centre de gestion ou de l'interface de ligne de commande FXOS. Mettre le pare-feu hors tension à l'aide du Centre de gestion Il est important que vous arrêtiez correctement votre système. Il ne suffit pas de débrancher le câble d'alimentation ou d'appuyer sur l'interrupteur d'alimentation, car vous risquez d'endommager gravement le système de fichiers. N'oubliez pas que de nombreux processus s'exécutent en arrière-plan en permanence, et que débrancher ou couper l'alimentation ne permet pas un arrêt normal de votre pare-feu. Vous pouvez arrêter votre système correctement à l'aide du centre de gestion. Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils. Étape 2 Cliquez sur l'icône Modifier ( Étape 3 Cliquez sur l'onglet Appareils. Étape 4 Cliquez sur l'icône d'arrêt de l'appareil ( Étape 5 Lorsque vous y êtes invité, confirmez que vous souhaitez arrêter l'appareil. ) en regard de l'appareil que vous souhaitez redémarrer. ) dans la section Système. Guide de mise en route de l'appliance Cisco Firepower 1010 45 Déployer Threat Defense avec le Centre de gestion Mettre l'appareil hors tension à l'aide de l'interface de ligne de commande Étape 6 Si vous disposez d'une connexion de console au pare-feu, observez les invites système lorsque le pare-feu s'arrête. L'invite suivante s'affiche : System is stopped. It is safe to power off now. Do you want to reboot instead? [y/N] Si vous ne disposez pas d'une connexion de console, attendez environ 3 minutes pour vous assurer que le système s'est éteint. Étape 7 Vous pouvez désormais débrancher ce dernier pour couper l'alimentation du châssis si nécessaire. Mettre l'appareil hors tension à l'aide de l'interface de ligne de commande Vous pouvez utiliser l'interface de ligne de commande FXOS pour arrêter le système en toute sécurité et mettre l'appareil hors tension. Vous pouvez accéder à l'interface de ligne de commande en vous connectant au port de console ; reportez-vous à la rubrique Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS, à la page 44. Procédure Étape 1 Dans la CLI FXOS, connectez-vous à l'interface de gestion locale : firepower # connect local-mgmt Étape 2 Exécutez la commande shutdown : firepower(local-mgmt) # shutdown Exemple : firepower(local-mgmt)# shutdown This command will shutdown the system. Continue? Please enter 'YES' or 'NO': yes INIT: Stopping Cisco Threat Defense......ok Étape 3 Observez les invites du système lorsque le pare-feu s'arrête. L'invite suivante s'affiche : System is stopped. It is safe to power off now. Do you want to reboot instead? [y/N] Étape 4 Vous pouvez désormais débrancher ce dernier pour couper l'alimentation du châssis si nécessaire. Et après ? Pour poursuivre la configuration de votre threat defense, consultez les documents disponibles pour votre version logicielle dans Parcourir la documentation de Cisco Firepower. Guide de mise en route de l'appliance Cisco Firepower 1010 46 Déployer Threat Defense avec le Centre de gestion Et après ? Pour plus d'informations sur l'utilisation du centre de gestion, reportez-vous à la rubrique Guide de configuration de Firepower Management Center. Guide de mise en route de l'appliance Cisco Firepower 1010 47 Déployer Threat Defense avec le Centre de gestion Et après ? Guide de mise en route de l'appliance Cisco Firepower 1010 48 CHAPITRE 3 Déployer Threat Defense avec un Centre de gestion distant Ce chapitre vous concerne-t-il ? Pour connaître tous les systèmes d'exploitation et gestionnaires disponibles, reportez-vous à la rubrique Quel système d'exploitation et quel gestionnaire vous conviennent le mieux ?, à la page 1. Ce chapitre s'applique au threat defense situé dans une succursale distante qui utilise un centre de gestion installé au siège central. Chaque threat defense contrôle, inspecte, surveille et analyse le trafic, puis envoie les informations recueillies à un centre de gestion central. Le gestionnaire centre de gestion possède une console de gestion centralisée avec une interface web que vous pouvez utiliser pour effectuer des tâches d'administration, de gestion, d'analyse et de création de rapports afin de sécuriser votre réseau local. • Un administrateur du siège central préconfigure le threat defense via l'interface de ligne de commande ou à l'aide du gestionnaire d'appareils, puis envoie le threat defense à la succursale distante. • L'administrateur de la succursale raccorde les câbles du threat defense et le met sous tension. • L'administrateur central termine la configuration du threat defense à l'aide du centre de gestion. Remarque Le déploiement d'une succursale à distance nécessite la version 6.7 ou une version ultérieure. À propos du pare-feu L'appareil peut exécuter un logiciel threat defense ou un logiciel ASA. Pour basculer entre threat defense et ASA, vous devez reconfigurer l'appareil. Vous devez également recommencer l'installation si vous avez besoin d'une version logicielle différente de celle actuellement installée. Consultez la rubrique Réinstaller Cisco ASA ou Firepower Threat Defense. Le pare-feu exécute un système d'exploitation sous-jacent appelé Système d'exploitation Secure Firewall eXtensible (FXOS). Le pare-feu ne prend pas en charge le Gestionnaire de châssis Secure Firewall FXOS ; seule une CLI limitée est prise en charge à des fins de dépannage. Pour obtenir plus d'informations, reportez-vous à la section Guide de dépannage Cisco FXOS pour la série Firepower 1000/2100 exécutant Firepower Threat Defense. Déclaration de confidentialité—Le pare-feu ne requiert ni ne collecte activement aucune information permettant de vous identifier. Vous pouvez néanmoins utiliser des informations d'identification personnelle Guide de mise en route de l'appliance Cisco Firepower 1010 49 Déployer Threat Defense avec un Centre de gestion distant Mode de fonctionnement de la gestion à distance au cours de la configuration, notamment des noms d'utilisateur. Dans ce cas, un administrateur peut accéder à ces informations lors de l'utilisation de la configuration ou de l'utilisation du protocole SNMP. • Mode de fonctionnement de la gestion à distance, à la page 50 • Avant de commencer, à la page 51 • Procédure de bout en bout, à la page 51 • Configuration préalable de l'administrateur central, à la page 53 • Installation dans une succursale, à la page 66 • Configuration postérieure de l'administrateur central, à la page 68 Mode de fonctionnement de la gestion à distance Pour permettre au centre de gestion de gérer le threat defense sur Internet, utilisez l'interface externe pour la gestion du centre de gestion plutôt que l'interface de gestion. Dans la mesure où la plupart des succursales distantes ne disposent que d'une seule connexion Internet, l'accès au centre de gestion externe permet une gestion centralisée. Remarque Vous pouvez utiliser n'importe quelle interface de données pour l'accès FMC, par exemple l'interface interne si vous disposez d'un centre de gestion interne. Notez toutefois que ce guide couvre principalement l'accès aux interfaces externes, scénario le plus probable pour les succursales distantes. L'interface de gestion est une interface spéciale configurée séparément des interfaces de données du threat defense, et possède ses propres paramètres réseau. Les paramètres réseau de l'interface de gestion sont utilisés même si vous activez l'accès au gestionnaire sur une interface de données. L'ensemble du trafic de gestion provient toujours de l'interface de gestion ou est toujours acheminé vers cette interface. Lorsque vous activez l'accès au gestionnaire sur une interface de données, le threat defense transfère le trafic de gestion entrant via le fond de panier à l'interface de gestion. Pour le trafic de gestion sortant, l'interface de gestion transfère le trafic via le fond de panier vers l'interface de données. L'accès au gestionnaire à partir d'une interface de données présente les limitations suivantes : • Vous ne pouvez activer l'accès au gestionnaire que sur une seule interface de données physique. Vous ne pouvez pas utiliser de sous-interface ou EtherChannel. • Cette interface ne peut pas être une interface de gestion uniquement. • Mode de pare-feu routé uniquement, à l'aide d'une interface routée. • PPPoE n'est pas pris en charge. Si votre FAI nécessite un protocole PPPoE, vous devrez placer un routeur prenant en charge le protocole PPPoE entre le threat defense et le modem WAN. • L'interface doit se trouver dans le VRF global uniquement. • SSH n'est pas activé par défaut pour les interfaces de données. Vous devrez donc activer SSH ultérieurement avec le centre de gestion. Étant donné que la passerelle de l'interface de gestion sera remplacée par les interfaces de données, vous ne pouvez pas non plus accéder à l'interface de gestion depuis un réseau distant, sauf si vous ajoutez une route statique pour l'interface de gestion à l'aide de la commande configure network static-routes. Guide de mise en route de l'appliance Cisco Firepower 1010 50 Déployer Threat Defense avec un Centre de gestion distant Avant de commencer • La haute disponibilité n'est pas prise en charge. Dans ce cas, vous devez utiliser l'interface de gestion. La figure suivante illustre le centre de gestion au siège central et le threat defense avec accès au gestionnaire sur l'interface externe. Le threat defense ou le centre de gestion a besoin d'une adresse IP publique ou d'un nom d'hôte pour autoriser la connexion de gestion entrante ; il est nécessaire que vous connaissiez cette adresse IP pour la configuration initiale. Vous pouvez également configurer le DNS dynamique (DDNS) pour l'interface externe afin de pouvoir modifier les affectations d'adresses IP DHCP. Illustration 13 : Avant de commencer Déployez et effectuez la configuration initiale du centre de gestion. Reportez-vous à la rubrique Guide d'installation matérielle pour Cisco Firepower Management Center 1600, 2600 et 4600 ou Guide de mise en route de Cisco Secure Firewall Management Center Virtual. Procédure de bout en bout Reportez-vous aux tâches suivantes pour déployer le threat defense avec le centre de gestion sur votre châssis. Guide de mise en route de l'appliance Cisco Firepower 1010 51 Déployer Threat Defense avec un Centre de gestion distant Procédure de bout en bout Illustration 14 : Procédure de bout en bout Illustration 15 : Procédure de bout en bout Interface de ligne de commande ou Gestionnaire d'appareils (Administrateur central) • (Facultatif) Vérifier le logiciel et installer une nouvelle version, à la page 54 • Effectuer la configuration préalable à l'aide de l'interface de ligne de commande, à la page 61 • Effectuer la configuration préalable à l'aide du Gestionnaire d'appareils, à la page 55 Guide de mise en route de l'appliance Cisco Firepower 1010 52 Déployer Threat Defense avec un Centre de gestion distant Configuration préalable de l'administrateur central Configuration physique Installez le pare-feu. Reportez-vous au guide d'installation matérielle. (Administrateur de la succursale) Configuration physique Raccorder le pare-feu, à la page 66. (Administrateur de la succursale) Configuration physique Mettre l'appareil sous tension, à la page 67 (Administrateur de la succursale) Centre de gestion Administrateur central : Se connecter au Centre de gestion, à la page 24. (Administrateur central) Cisco Commerce Workspace Obtenir les licences pour le Centre de gestion, à la page 69 : acheter des licences de fonctionnalités. (Administrateur central) Smart Software Manager Obtenir les licences pour le Centre de gestion, à la page 69 : générer un jeton de licence pour le centre de gestion. (Administrateur central) Centre de gestion (Administrateur central) Centre de gestion Obtenir les licences pour le Centre de gestion, à la page 69 : enregistrer le centre de gestion sur Smart Licensing Server. Enregistrer le Threat Defense auprès du Centre de gestion, à la page 70. (Administrateur central) Centre de gestion Configurer une politique de sécurité de base, à la page 73. (Administrateur central) Configuration préalable de l'administrateur central Vous devez préconfigurer manuellement le threat defense avant de l'envoyer à la succursale. Guide de mise en route de l'appliance Cisco Firepower 1010 53 Déployer Threat Defense avec un Centre de gestion distant (Facultatif) Vérifier le logiciel et installer une nouvelle version (Facultatif) Vérifier le logiciel et installer une nouvelle version Pour vérifier la version du logiciel et, si nécessaire, installer une autre version, procédez comme suit. Nous vous recommandons d'installer votre version cible avant de configurer le pare-feu. Vous pouvez également effectuer une mise à niveau une fois que vous êtes opérationnel, mais la mise à niveau, qui préserve votre configuration, peut prendre plus de temps que cette procédure. Quelle version dois-je exécuter ? Cisco recommande d'exécuter une version Gold Star indiquée par une étoile dorée en regard du numéro de version sur la page de téléchargement du logiciel. Vous pouvez également vous reporter à la stratégie de publication décrite dans la rubrique https://www.cisco.com/c/en/us/products/collateral/security/firewalls/ bulletin-c25-743178.html ; par exemple, ce bulletin décrit la numérotation des versions à court terme (avec les dernières fonctionnalités), la numérotation des versions à long terme (versions de maintenance et correctifs pour une période plus longue) ou la numérotation des versions à très long terme (versions de maintenance et correctifs pour la période la plus longue, pour la certification gouvernementale). Procédure Étape 1 Connectez-vous à l'interface de ligne de commande. Pour plus d'informations, reportez-vous à la rubrique Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS, à la page 84. Cette procédure illustre l'utilisation du port de console, mais vous pouvez utiliser SSH si vous le souhaitez. Connectez-vous avec l'utilisateur admin et le mot de passe par défaut, Admin123. Vous vous connectez à la CLI FXOS. Lors de la première connexion, vous êtes invité à modifier le mot de passe par défaut. Ce mot de passe est également utilisé pour la connexion au threat defense pour SSH. Remarque Si vous avez modifié le mot de passe, mais que vous l'avez oublié, vous devez réinitialiser l'appareil pour rétablir le mot de passe par défaut. Consultez le Guide de dépannage de la console FXOS pour connaître la procédure pour rétablir les paramètres d'usine. Exemple : firepower login: admin Password: Admin123 Successful login attempts for user 'admin' : 1 [...] Hello admin. You must change your password. Enter new password: ******** Confirm new password: ******** Your password was updated successfully. [...] firepower# Étape 2 Dans l'interface de ligne de commande de la console FXOS, affichez la version en cours d'exécution. scope ssa show app-instance Exemple : Guide de mise en route de l'appliance Cisco Firepower 1010 54 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide du Gestionnaire d'appareils Firepower# scope ssa Firepower /ssa # show app-instance Application Name Slot ID Admin State Operational State Running Version Startup Version Cluster Oper State -------------------- ---------- --------------- -------------------- ----------------------------- -----------------ftd 1 Enabled Online 7.2.0.65 7.2.0.65 Not Applicable Étape 3 Si vous souhaitez installer une nouvelle version, procédez comme suit. a) Si vous devez définir une adresse IP statique pour l'interface de gestion, reportez-vous à la rubrique Effectuer la configuration préalable à l'aide de l'interface de ligne de commande, à la page 61. Par défaut, l'interface de gestion utilise DHCP. Vous devrez télécharger la nouvelle image à partir d'un serveur accessible depuis l'interface de gestion. b) Suivez la procédure de réinstallation du guide de dépannage de la console FXOS. Effectuer la configuration préalable à l'aide du Gestionnaire d'appareils Connectez-vous au gestionnaire d'appareils pour effectuer la configuration initiale du threat defense. Lorsque vous effectuez la configuration initiale à l'aide du gestionnaire d'appareils, toutes les configurations d'interface effectuées dans le gestionnaire d'appareils sont conservées lorsque vous passez au centre de gestion pour la gestion, en plus des paramètres d'interface de gestion et d'accès du gestionnaire. Notez que les autres paramètres de configuration par défaut, tels que la politique de contrôle d'accès ou les zones de sécurité, ne sont pas conservés. Lorsque vous utilisez l'interface de ligne de commande, seuls les paramètres de l'interface de gestion et d'accès au gestionnaire sont conservés (par exemple, la configuration par défaut de l'interface interne n'est pas conservée). Avant de commencer • Déployez et effectuez la configuration initiale du centre de gestion. Reportez-vous à la section Guide d'installation matérielle pour Cisco Firepower Management Center 1600, 2600 et 4600. Vous devez connaître l'adresse IP ou le nom d'hôte du centre de gestion avant de configurer le threat defense. • Utilisez une version actuelle de Firefox, Chrome, Safari, Edge ou Internet Explorer. Procédure Étape 1 Connectez votre ordinateur de gestion à l'interface interne (Ethernet1/2 à 1/8) interne. Étape 2 Mettez le pare-feu sous tension. Remarque La première fois que vous démarrez le threat defense, l'initialisation peut prendre entre 15 et 30 minutes. Étape 3 Connectez-vous au gestionnaire d'appareils. a) Saisissez l'URL suivante dans votre navigateur : https://192.168.95.1 Guide de mise en route de l'appliance Cisco Firepower 1010 55 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide du Gestionnaire d'appareils b) Connectez-vous avec le nom d'utilisateur admin et le mot de passe par défaut Admin123. c) Vous êtes invité à lire et à accepter le contrat de licence de l'utilisateur final et à modifier le mot de passe admin. Étape 4 Utilisez l'assistant de configuration lors de votre première connexion au gestionnaire d'appareils pour terminer la configuration initiale. Vous pouvez éventuellement ignorer l'assistant de configuration en cliquant sur Ignorer la configuration de l'appareil au bas de la page. Une fois l'assistant de configuration terminé, outre la configuration par défaut de l'interface interne (Ethernet 1/2 à 1/8, qui sont des ports de commutateur sur le VLAN1), la configuration d'une interface externe (Ethernet 1/1) sera conservée lorsque vous passerez à la gestion du centre de gestion. a) Configurez les options suivantes pour les interfaces externes et de gestion, puis cliquez sur Suivant. 1. Adresse de l'interface externe : cette interface est généralement la passerelle Internet et peut être utilisée comme interface d'accès au gestionnaire. Vous ne pouvez pas sélectionner une autre interface externe lors de la configuration initiale de l'appareil. La première interface de données est l'interface externe par défaut. Si vous souhaitez utiliser une interface différente depuis l'interface externe (ou interne) pour l'accès au gestionnaire, vous devez la configurer manuellement après avoir terminé l'assistant de configuration. Configurer IPv4 : adresse IPv4 de l'interface externe. Vous pouvez utiliser DHCP ou saisir manuellement une adresse IP statique, un masque de sous-réseau et une passerelle. Vous pouvez également sélectionner Désactivé pour ne pas configurer d'adresse IPv4. Vous ne pouvez pas configurer PPPoE à l'aide de l'assistant de configuration. Le protocole PPPoE peut être nécessaire si l'interface est connectée à un modem ADSL, un modem câble ou une autre connexion à votre FAI et que votre FAI utilise PPPoE pour fournir votre adresse IP. Vous pouvez configurer PPPoE après avoir terminé l'assistant. Configurer IPv6 : adresse IPv6 de l'interface externe. Vous pouvez utiliser DHCP ou saisir manuellement une adresse IP statique, un préfixe et une passerelle. Vous pouvez également sélectionner Désactivé pour ne pas configurer d'adresse IPv6. 2. Interface de gestion Les paramètres de l'interface de gestion ne sont pas visibles si vous avez effectué la configuration initiale dans l'interface de ligne de commande. Les paramètres de l'interface de gestion sont utilisés même si vous activez l'accès au gestionnaire sur une interface de données. Par exemple, le trafic de gestion acheminé vers le fond de panier via l'interface de données résout les noms de domaine complets à l'aide des serveurs DNS de l'interface de gestion, et non des serveurs DNS de l'interface de données. Serveurs DNS : serveur DNS pour l'adresse de gestion du système. Saisissez une ou plusieurs adresses de serveurs DNS pour la résolution de noms. La valeur par défaut est Serveurs DNS publics OpenDNS. Si vous modifiez les champs et souhaitez rétablir les paramètres par défaut, cliquez sur Utiliser OpenDNS pour recharger les adresses IP appropriées dans les champs. Nom d'hôte du pare-feu : nom d'hôte de l'adresse de gestion du système. b) Configurez les Paramètres relatifs au temps (NTP) et cliquez sur Suivant. 1. Fuseau horaire : sélectionnez le fuseau horaire du système. 2. Serveur de temps NTP : sélectionnez cette option pour utiliser les serveurs NTP par défaut ou saisir manuellement les adresses de vos serveurs NTP. Vous pouvez ajouter plusieurs serveurs pour fournir des sauvegardes. Guide de mise en route de l'appliance Cisco Firepower 1010 56 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide du Gestionnaire d'appareils c) Sélectionnez Démarrer la période d'évaluation de 90 jours sans enregistrement. N'enregistrez pas le threat defense auprès de Smart Software Manager ; toutes les licences sont octroyées sur le centre de gestion. d) Cliquez sur Terminer. e) Vous êtes invité à sélectionner Gestion du cloud ou Autonome. Pour la gestion du centre de gestion, sélectionnez Autonome, puis J'ai compris. Étape 5 (Peut être obligatoire) Configurez l'interface de gestion. Reportez-vous à l'interface de gestion sur Appareil > Interfaces. La passerelle doit être définie sur les interfaces de données de l'interface de gestion. Par défaut, l'interface de gestion reçoit une adresse IP et une passerelle de DHCP. Si vous ne recevez pas de passerelle de DHCP (par exemple, vous n'avez pas connecté cette interface à un réseau), la passerelle utilise par défaut les interfaces de données et vous n'avez rien à configurer. Si vous avez reçu une passerelle de DHCP, vous devez configurer cette interface avec une adresse IP statique et définir la passerelle sur les interfaces de données. Étape 6 Si vous souhaitez configurer des interfaces supplémentaires, notamment une interface autre que l'interface externe ou interne que vous souhaitez utiliser pour l'accès au gestionnaire sélectionnez Appareil, puis cliquez sur le lien dans le récapitulatif Interfaces. Reportez-vous à la rubrique Configurer le pare-feu dans le Gestionnaire d'appareils, à la page 113 pour plus d'informations sur la configuration des interfaces dans le gestionnaire d'appareils. Les autres configurations du gestionnaire d'appareils ne sont pas conservées lorsque vous enregistrez l'appareil auprès du centre de gestion. Étape 7 Sélectionnez Appareil > Paramètres système > Centre de gestion, et cliquez sur Continuer pour configurer la gestion du centre de gestion. Étape 8 Configurer le Centre de gestion/Détails du CDO. Guide de mise en route de l'appliance Cisco Firepower 1010 57 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide du Gestionnaire d'appareils Illustration 16 : Détails du centre de gestion/CDO a) Pour le champ Connaissez-vous le nom d'hôte ou l'adresse IP du Centre de gestion/CDO, cliquez sur Oui si vous pouvez accéder au centre de gestion à l'aide d'une adresse IP ou d'un nom d'hôte, ou sur Non si le centre de gestion est derrière la NAT ou n'a pas d'adresse IP ou de nom d'hôte public. Guide de mise en route de l'appliance Cisco Firepower 1010 58 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide du Gestionnaire d'appareils Au moins l'un des appareils, soit le centre de gestion soit le threat defense, doit disposer d'une adresse IP accessible pour établir le canal de communication bidirectionnel chiffré SSL entre les deux appareils. b) Si vous avez choisi Oui, saisissez le Nom d'hôte/adresse IP du Centre de gestion/CDO. c) Spécifiez la Clé d'enregistrement du Centre de gestion/CDO. Cette clé est une clé d'enregistrement unique de votre choix, que vous devez également spécifier sur le centre de gestion lorsque vous enregistrez l'appareil threat defense. La clé d'enregistrement ne doit pas comporter plus de 37 caractères. Les caractères valides incluent les caractères alphanumériques (A à Z, a à z, 0 à 9) et le trait d'union (-). Il est possible d'utiliser cet ID pour plusieurs appareils qui s'enregistrent auprès du centre de gestion. d) Spécifiez un ID NAT. Cet ID est une chaîne unique de votre choix, que vous spécifiez également sur le centre de gestion. Ce champ est obligatoire si vous spécifiez uniquement l'adresse IP sur l'un des appareils ; nous vous recommandons cependant de spécifier l'ID NAT même si vous connaissez les adresses IP des deux appareils. L'ID NAT ne doit pas comporter plus de 37 caractères. Les caractères valides incluent les caractères alphanumériques (A à Z, a à z, 0 à 9) et le trait d'union (-). Il est impossible d'utiliser cet ID pour d'autres appareils enregistrés auprès du centre de gestion. L'ID NAT est utilisé en combinaison avec l'adresse IP pour vérifier que la connexion provient de l'appareil correct ; ce n'est qu'après l'authentification de l'adresse IP/ID NAT que la clé d'enregistrement est vérifiée. Étape 9 Configurez la configuration de connectivité. a) Spécifiez le nom d'hôte du FTD. Ce nom de domaine complet sera utilisé pour l'interface externe ou l'interface choisie pour l'interface d'accès au centre de gestion/CDO. b) Spécifiez le groupe de serveurs DNS. Sélectionnez un groupe existant ou créez-en un nouveau. Le groupe DNS par défaut est appelé CiscoUmbrellaDNSServerGroup et inclut les serveurs OpenDNS. Ce paramètre définit le serveur DNS de l'interface de données. Le serveur DNS de gestion que vous avez défini avec l'assistant de configuration est utilisé pour le trafic de gestion. Le serveur DNS de données est utilisé pour le DDNS (s'il est configuré) ou pour les politiques de sécurité appliquées à cette interface. Vous devrez probablement choisir le même groupe de serveurs DNS que celui que vous avez utilisé pour la gestion, car le trafic de gestion et de données atteint le serveur DNS via l'interface externe. Sur le centre de gestion, les serveurs DNS de l'interface de données sont configurés dans la politique Paramètres de la plateforme que vous attribuez à ce threat defense. Lorsque vous ajoutez le threat defense au centre de gestion, le paramètre local est conservé et les serveurs DNS ne sont pas ajoutés à une politique Paramètres de la plateforme. Toutefois, si vous attribuez ultérieurement une politique Paramètres de la plateforme au threat defense qui inclut une configuration DNS, cette configuration remplace le paramètre local. Nous vous suggérons de configurer activement les paramètres de la plateforme DNS pour qu'ils correspondent à ce paramètre afin de synchroniser le centre de gestion et le threat defense. En outre, les serveurs DNS locaux ne sont conservés par le centre de gestion que si les serveurs DNS ont été détectés lors de l'enregistrement initial. c) Pour l'interface d'accès au centre de gestion/CDO, choisissez externe. Bien que vous puissiez choisir n'importe quelle interface configurée, dans ce guide nous supposons que vous utilisez une interface externe. Guide de mise en route de l'appliance Cisco Firepower 1010 59 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide du Gestionnaire d'appareils Étape 10 Si vous avez choisi une interface de données externe différente, ajoutez une route par défaut. Un message s'affiche vous demandant de vérifier que vous disposez d'une route par défaut via l'interface. Si vous avez choisi une interface extérieure, vous avez déjà configuré cette route dans le cadre de l'assistant de configuration. Si vous avez choisi une autre interface, vous devez configurer manuellement une route par défaut avant de vous connecter au centre de gestion. Reportez-vous à la rubrique Configurer le pare-feu dans le Gestionnaire d'appareils, à la page 113 pour plus d'informations sur la configuration des routes statiques dans le gestionnaire d'appareils. Étape 11 Cliquez sur Ajouter une méthode DNS dynamique (DDNS). DDNS garantit que le centre de gestion peut atteindre le threat defense à son nom de domaine complet (FQDN) si l'adresse IP du threat defense change. Accédez à Appareil > Paramètres système > Service DDNS pour configurer DDNS. Si vous configurez DDNS avant d'ajouter le threat defense au centre de gestion, le threat defense ajoute automatiquement des certificats pour toutes les autorités de certification principales du bundle Autorités de certification racines approuvées par Cisco afin que le threat defense puisse valider le certificat du serveur DDNS pour la connexion HTTPS. Le threat defense FTD prend en charge tout serveur DDNS qui utilise la spécification de l'API distante DynDNS (https://help.dyn.com/remote-access-api/). Étape 12 Cliquez sur Connecter. La boîte de dialogue État d'enregistrement affiche l'état actuel du commutateur sur le centre de gestion. Après l'étape Sauvegarde des paramètres d'enregistrement du centre de gestion/CDO, accédez au centre de gestion, et ajoutez le pare-feu. Si vous souhaitez annuler le basculement sur centre de gestion, cliquez sur Annuler l'enregistrement. Sinon, ne fermez pas la fenêtre du navigateur gestionnaire d'appareils avant d'avoir terminé l'étape Sauvegarde des paramètres d'enregistrement du centre de gestion/CDO. Dans le cas contraire, le processus sera interrompu et ne reprendra que lorsque vous vous reconnecterez au gestionnaire d'appareils. Si vous restez connecté au gestionnaire d'appareils après l'étape Sauvegarde de l'enregistrement des paramètres du centre de gestion/CDO, la boîte de dialogue Connexion réussie avec le centre de gestion ou le CDO finit par d'afficher, puis vous êtes déconnecté du gestionnaire d'appareils. Illustration 17 : Connexion réussie Guide de mise en route de l'appliance Cisco Firepower 1010 60 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide de l'interface de ligne de commande Effectuer la configuration préalable à l'aide de l'interface de ligne de commande Connectez-vous à l'interface de ligne de commande du threat defense pour effectuer la configuration initiale. Lorsque vous utilisez l'interface de ligne de commande pour la configuration initiale, seuls les paramètres de l'interface de gestion et de l'interface d'accès du gestionnaire sont conservés. Lorsque vous effectuez la configuration initiale à l'aide de gestionnaire d'appareils (7.1 et versions ultérieures), toutes les configurations d'interface effectuées dans le gestionnaire d'appareils sont conservées lorsque vous passez au centre de gestion pour la gestion, en plus des paramètres d'interface de gestion et d'accès du gestionnaire. Notez que les autres paramètres de configuration par défaut, tels que la politique de contrôle d'accès, ne sont pas conservés. Avant de commencer Déployez et effectuez la configuration initiale du centre de gestion. Reportez-vous à la section Guide d'installation matérielle pour Cisco Firepower Management Center 1600, 2600 et 4600. Vous devez connaître l'adresse IP ou le nom d'hôte du centre de gestion avant de configurer le threat defense. Procédure Étape 1 Mettez le pare-feu sous tension. Remarque La première fois que vous démarrez le threat defense, l'initialisation peut prendre entre 15 et 30 minutes. Étape 2 Connectez-vous à l'interface de ligne de commande du threat defense sur le port de console. Le port de console se connecte à l'interface de ligne de commande de FXOS. Étape 3 Connectez-vous avec le nom d'utilisateur admin et le mot de passe Admin123. Lors de la première connexion au FXOS, vous êtes invité à modifier le mot de passe par défaut. Ce mot de passe est également utilisé pour la connexion au threat defense pour SSH. Remarque Si le mot de passe a déjà été modifié et que vous ne le connaissez pas, vous devez reconfigurer l'appareil pour réinitialiser le mot de passe par défaut. Consultez le Guide de dépannage de la console FXOS pour connaître la procédure de réinstallation. Exemple : firepower login: admin Password: Admin123 Successful login attempts for user 'admin' : 1 [...] Hello admin. You must change your password. Enter new password: ******** Confirm new password: ******** Your password was updated successfully. [...] firepower# Guide de mise en route de l'appliance Cisco Firepower 1010 61 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide de l'interface de ligne de commande Étape 4 Connectez-vous à l'interface de ligne de commande du threat defense. connect ftd Exemple : firepower# connect ftd > Étape 5 La première fois que vous vous connectez à threat defense, vous êtes invité à accepter le contrat de licence de l'utilisateur final (CLUF) et, si vous utilisez une connexion SSH, à modifier le mot de passe administrateur. Vous accédez ensuite au script de configuration de l'interface de ligne de commande pour les paramètres de l'interface de gestion. Les paramètres de l'interface de gestion sont utilisés même si vous activez l'accès au gestionnaire sur une interface de données. Remarque Vous ne pouvez pas répéter l'assistant de configuration de la CLI à moins d'avoir effacé la configuration, par exemple, via une réinitialisation. Vous pouvez cependant modifier tous les paramètres ultérieurement dans l'interface de ligne de commande à l'aide des commandes configure network. Reportez-vous à la rubrique Référence des commandes pour Secure Firewall Threat Defense. Les valeurs par défaut ou les valeurs saisies précédemment apparaissent entre crochets. Pour accepter les valeurs saisies précédemment, appuyez sur la touche Entrée. Reportez-vous aux instructions suivantes : • Configurer IPv4 via DHCP ou manuellement ?—Sélectionnez manuel. Même si vous n'avez pas l'intention d'utiliser l'interface de gestion, vous devez définir une adresse IP, par exemple une adresse privée. Vous ne pouvez pas configurer une interface de données pour la gestion si l'interface de gestion est définie sur DHCP, car la route par défaut, qui doit être data-interfaces (reportez-vous au point suivant), peut être remplacée par une autre envoyée par le serveur DHCP. • Saisissez la passerelle IPv4 par défaut pour l'interface de gestion : définissez la passerelle sur data-interfaces. Ce paramètre transfère le trafic de gestion sur le fond de panier afin qu'il puisse être acheminé via l'interface de données d'accès au gestionnaire. • Si vos informations réseau ont changé, vous devrez vous reconnecter : si vous êtes connecté à SSH, vous serez déconnecté. Vous pouvez vous reconnecter avec la nouvelle adresse IP et le nouveau mot de passe si votre ordinateur de gestion se trouve sur le réseau de gestion. Vous ne pourrez pas vous reconnecter à partir d'un réseau distant suite à la modification de la route par défaut (via les interfaces de données). Les connexions de console restent actives. • Gérer l'appareil localement ? : saisissez non pour utiliser le centre de gestion. Si vous saisissez oui, vous utilisez le gestionnaire d'appareils. • Configurer le mode pare-feu ? : saisissez routé. L'accès au gestionnaire externe est uniquement pris en charge en mode pare-feu routé. Exemple : You must accept the EULA to continue. Press <ENTER> to display the EULA: End User License Agreement [...] Guide de mise en route de l'appliance Cisco Firepower 1010 62 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide de l'interface de ligne de commande Please enter 'YES' or press <ENTER> to AGREE to the EULA: System initialization in progress. Please stand by. You must change the password for 'admin' to continue. Enter new password: ******** Confirm new password: ******** You must configure the network to continue. You must configure at least one of IPv4 or IPv6. Do you want to configure IPv4? (y/n) [y]: Do you want to configure IPv6? (y/n) [n]: Configure IPv4 via DHCP or manually? (dhcp/manual) [manual]: Enter an IPv4 address for the management interface [192.168.45.45]: 10.10.10.15 Enter an IPv4 netmask for the management interface [255.255.255.0]: 255.255.255.192 Enter the IPv4 default gateway for the management interface [data-interfaces]: Enter a fully qualified hostname for this system [firepower]: ftd-1.cisco.com Enter a comma-separated list of DNS servers or 'none' [208.67.222.222,208.67.220.220]: Enter a comma-separated list of search domains or 'none' []: If your networking information has changed, you will need to reconnect. For HTTP Proxy configuration, run 'configure network http-proxy' Manage the device locally? (yes/no) [yes]: no Configure firewall mode? (routed/transparent) [routed]: Configuring firewall mode ... Update policy deployment information - add device configuration - add network discovery - add system policy You can register the sensor to a Firepower Management Center and use the Firepower Management Center to manage it. Note that registering the sensor to a Firepower Management Center disables on-sensor Firepower Services management capabilities. When registering the sensor to a Firepower Management Center, a unique alphanumeric registration key is always required. In most cases, to register a sensor to a Firepower Management Center, you must provide the hostname or the IP address along with the registration key. 'configure manager add [hostname | ip address ] [registration key ]' However, if the sensor and the Firepower Management Center are separated by a NAT device, you must enter a unique NAT ID, along with the unique registration key. 'configure manager add DONTRESOLVE [registration key ] [ NAT ID ]' Later, using the web interface on the Firepower Management Center, you must use the same registration key and, if necessary, the same NAT ID when you add this sensor to the Firepower Management Center. > Étape 6 Configurez l'interface externe pour l'accès au gestionnaire. configure network management-data-interface Vous êtes ensuite invité à configurer les paramètres réseau de base de l'interface externe. Consultez les informations suivantes pour utiliser cette commande : • L'interface de gestion ne peut pas utiliser DHCP si vous souhaitez utiliser une interface de données pour la gestion. Si vous n'avez pas défini l'adresse IP manuellement lors de la configuration initiale, vous pouvez la définir à l'aide de la commande configure network {ipv4 | ipv6} manual. Si vous n'avez pas encore défini la passerelle d'interface de gestion sur data-interfaces, cette commande la définit maintenant. Guide de mise en route de l'appliance Cisco Firepower 1010 63 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide de l'interface de ligne de commande • Lorsque vous ajoutez le threat defense au centre de gestion, le centre de gestion détecte et conserve la configuration de l'interface, notamment les paramètres suivants : nom et adresse IP de l'interface, route statique vers la passerelle, serveurs DNS et serveur DDNS. Pour en savoir plus sur la configuration du serveur DNS, reportez-vous à la rubrique ci-dessous. Dans le centre de gestion, vous pouvez modifier ultérieurement la configuration de l'interface d'accès FMC, mais assurez-vous de ne pas apporter de modifications susceptibles d'empêcher le threat defense ou le centre de gestion de rétablir la connexion de gestion. Si la connexion de gestion est interrompue, le threat defense inclut la commande configure policy rollback permettant de restaurer le déploiement précédent. • Si vous configurez une URL de mise à jour du serveur DDNS, le threat defense ajoute automatiquement des certificats pour toutes les autorités de certification principales du bundle Autorités de certification racines approuvées par Cisco afin que le threat defense puisse valider le certificat du serveur DDNS pour la connexion HTTPS. Le threat defense FTD prend en charge tout serveur DDNS qui utilise la spécification de l'API distante DynDNS (https://help.dyn.com/remote-access-api/). • Cette commande définit le serveur DNS de l'interface de données. Le serveur DNS de gestion que vous avez défini avec le script de configuration (ou à l'aide de la commande configure network dns servers) est utilisé pour le trafic de gestion. Le serveur DNS de données est utilisé pour le DDNS (s'il est configuré) ou pour les politiques de sécurité appliquées à cette interface. Sur le centre de gestion, les serveurs DNS de l'interface de données sont configurés dans la politique Paramètres de la plateforme que vous attribuez à ce threat defense. Lorsque vous ajoutez le threat defense au centre de gestion, le paramètre local est conservé et les serveurs DNS ne sont pas ajoutés à une politique Paramètres de la plateforme. Toutefois, si vous attribuez ultérieurement une politique Paramètres de la plateforme au threat defense qui inclut une configuration DNS, cette configuration remplace le paramètre local. Nous vous suggérons de configurer activement les paramètres de la plateforme DNS pour qu'ils correspondent à ce paramètre afin de synchroniser le centre de gestion et le threat defense. En outre, les serveurs DNS locaux ne sont conservés par le centre de gestion que si les serveurs DNS ont été détectés lors de l'enregistrement initial. Par exemple, si vous avez enregistré l'appareil à l'aide de l'interface de gestion, mais que vous avez ensuite configuré une interface de données à l'aide de la commande configure network management-data-interface, vous devez configurer manuellement tous ces paramètres dans le centre de gestion y compris les serveurs DNS, pour qu'ils correspondent à la configuration du threat defense. • Vous pouvez modifier l'interface de gestion après avoir enregistré le threat defense auprès du centre de gestion, soit en tant qu'interface de gestion, soit en tant qu'interface de données. • Le nom de domaine complet que vous avez défini dans l'assistant de configuration est utilisé pour cette interface. • Vous pouvez effacer la totalité de la configuration de l'appareil via cette commande ; vous pouvez utiliser cette option dans un scénario de récupération, mais nous vous déconseillons de l'utiliser pour la configuration initiale ou le fonctionnement normal. • Pour désactiver la gestion des données, saisissez la commande configure network management-data-interface disable. Exemple : > configure network management-data-interface Data interface to use for management: ethernet1/1 Specify a name for the interface [outside]: IP address (manual / dhcp) [dhcp]: DDNS server update URL [none]: https://deanwinchester:[email protected]/nic/update?hostname=<h>&myip=<a> Guide de mise en route de l'appliance Cisco Firepower 1010 64 Déployer Threat Defense avec un Centre de gestion distant Effectuer la configuration préalable à l'aide de l'interface de ligne de commande Do you wish to clear all the device configuration before applying ? (y/n) [n]: Configuration done with option to allow manager access from any network, if you wish to change the manager access network use the 'client' option in the command 'configure network management-data-interface'. Setting IPv4 network configuration. Network settings changed. > Exemple : > configure network management-data-interface Data interface to use for management: ethernet1/1 Specify a name for the interface [outside]: internet IP address (manual / dhcp) [dhcp]: manual IPv4/IPv6 address: 10.10.6.7 Netmask/IPv6 Prefix: 255.255.255.0 Default Gateway: 10.10.6.1 Comma-separated list of DNS servers [none]: 208.67.222.222,208.67.220.220 DDNS server update URL [none]: Do you wish to clear all the device configuration before applying ? (y/n) [n]: Configuration done with option to allow manager access from any network, if you wish to change the manager access network use the 'client' option in the command 'configure network management-data-interface'. Setting IPv4 network configuration. Network settings changed. > Étape 7 (facultatif) Limitez l'accès de l'interface de données au centre de gestion sur un réseau spécifique. configure network management-data-interface client ip_address netmask Par défaut, tous les réseaux sont autorisés. Étape 8 Identifiez le centre de gestion qui gérera ce threat defense. configure manager add {hostname | IPv4_address | IPv6_address | DONTRESOLVE} reg_key [nat_id] • {hostname | IPv4_address | IPv6_address | DONTRESOLVE} : spécifie le nom de domaine complet ou l'adresse IP du centre de gestion. Si le centre de gestion n'est pas directement adressable, utilisez DONTRESOLVE. Au moins l'un des appareils, soit le centre de gestion soit le threat defense, doit disposer d'une adresse IP accessible pour établir le canal de communication bidirectionnel chiffré SSL entre les deux appareils. Si vous spécifiez DONTRESOLVE dans cette commande, le threat defense doit disposer d'une adresse IP ou d'un nom d'hôte accessible. • reg_key : spécifie une clé d'enregistrement unique de votre choix, que vous devez également spécifier sur le centre de gestion lors de l'enregistrement du threat defense. La clé d'enregistrement ne doit pas comporter plus de 37 caractères. Les caractères valides incluent les caractères alphanumériques (A à Z, a à z, 0 à 9) et le trait d'union (-). • nat_id : spécifie la chaîne unique de votre choix, que vous spécifiez également sur le centre de gestion. Lorsque vous utilisez une interface de données pour la gestion, vous devez spécifier l'ID NAT sur le threat defense et le centre de gestion pour l'enregistrement. L'ID NAT ne doit pas comporter plus de 37 caractères. Les caractères valides incluent les caractères alphanumériques (A à Z, a à z, 0 à 9) et le Guide de mise en route de l'appliance Cisco Firepower 1010 65 Déployer Threat Defense avec un Centre de gestion distant Installation dans une succursale trait d'union (-). Il est impossible d'utiliser cet ID pour d'autres appareils enregistrés auprès du centre de gestion. Exemple : > configure manager add fmc-1.example.com regk3y78 natid56 Manager successfully configured. Étape 9 Arrêtez le threat defense pour pouvoir envoyer l'appareil à la succursale distante. Il est important que vous arrêtiez correctement votre système. Il ne suffit pas de débrancher le câble d'alimentation ou d'appuyer sur l'interrupteur d'alimentation, car vous risquez d'endommager gravement le système de fichiers. N'oubliez pas que de nombreux processus s'exécutent en arrière-plan en permanence, et que débrancher ou couper l'alimentation ne permet pas un arrêt normal de votre système. a) Saisissez la commande shutdown. b) Observez les voyants d'alimentation et d'état pour vérifier que le châssis est hors tension (ils doivent être éteints). c) Une fois le châssis hors tension, vous pouvez le débrancher pour couper l'alimentation si nécessaire. Installation dans une succursale Une fois que vous avez reçu le pare-feu threat defense du siège social, il vous suffit de le raccorder et de le mettre sous tension en vue de le connecter à Internet depuis l'interface externe. L'administrateur central peut alors terminer la configuration. Raccorder le pare-feu Le centre de gestion et votre ordinateur de gestion se trouvent sur un site distant et peuvent accéder au threat defense via Internet. Pour raccorder l'appareil Firepower 1010, procédez comme suit. Guide de mise en route de l'appliance Cisco Firepower 1010 66 Déployer Threat Defense avec un Centre de gestion distant Mettre l'appareil sous tension Illustration 18 : Raccorder un déploiement de gestion à distance Procédure Étape 1 Installez le châssis. Reportez-vous au guide d'installation matérielle. Étape 2 Connectez l'interface externe (Ethernet 1/1) à votre routeur externe. Étape 3 Raccordez vos terminaux internes aux ports de commutateur, Ethernet 1/2 à 1/8. Étape 4 (facultatif) Connectez l'ordinateur de gestion au port de console. Dans la succursale, la connexion à la console n'est pas nécessaire pour une utilisation quotidienne ; elle peut cependant être nécessaire à des fins de dépannage. Mettre l'appareil sous tension L'alimentation du système est contrôlée par le cordon d'alimentation. Il n'y a pas de bouton d'alimentation. Remarque La première fois que vous démarrez le threat defense, l'initialisation peut prendre entre 15 et 30 minutes. Avant de commencer Il est important que vous utilisiez une source d'alimentation fiable pour alimenter votre appareil (à l'aide d'un système d'alimentation sans coupure, par exemple). Une panne de courant sans arrêt préalable peut endommager Guide de mise en route de l'appliance Cisco Firepower 1010 67 Déployer Threat Defense avec un Centre de gestion distant Configuration postérieure de l'administrateur central gravement le système de fichiers. De nombreux processus s'exécutent en arrière-plan en permanence, et une panne de courant ne permet pas l'arrêt normal de votre système. Procédure Étape 1 Raccordez le câble d'alimentation à l'appareil et branchez-le à une prise électrique. L'appareil se met automatiquement sous tension dès que vous le branchez. Étape 2 Observez le voyant d'alimentation situé à l'arrière de l'appareil. S'il est allumé en vert, l'appareil est sous tension. Étape 3 Observez le voyant d'état à l'arrière ou sur l'appareil. Lorsqu'il s'allume en vert, le système a terminé les diagnostics de mise sous tension. Configuration postérieure de l'administrateur central Dès que l'administrateur de la succursale distante a câblé le threat defense pour qu'il dispose d'un accès Internet depuis l'interface externe, vous pouvez enregistrer le threat defense sur le centre de gestion et terminer la configuration de l'appareil. Se connecter au Centre de gestion Utilisez le centre de gestion pour configurer et surveiller le threat defense. Avant de commencer Pour en savoir plus sur les navigateurs pris en charge, reportez-vous aux notes de version de la version que vous utilisez (consultez la rubrique https://www.cisco.com/go/firepower-notes). Procédure Étape 1 À l'aide d'un navigateur pris en charge, saisissez l'URL suivante. https://fmc_ip_address Étape 2 Saisissez votre nom d'utilisateur et votre mot de passe. Guide de mise en route de l'appliance Cisco Firepower 1010 68 Déployer Threat Defense avec un Centre de gestion distant Obtenir les licences pour le Centre de gestion Étape 3 Cliquez sur Log In. Obtenir les licences pour le Centre de gestion Toutes les licences sont fournies au threat defense via le centre de gestion. Vous pouvez éventuellement acheter les licences de fonctionnalités suivantes : • Menace : sécurité adaptative et système de prévention des intrusions de nouvelle génération • Malware : protection contre les programmes malveillants • URL : filtrage des URL • RA VPN : AnyConnect Plus, AnyConnect Apex ou AnyConnect VPN uniquement Pour une présentation complète de Cisco Licensing, rendez-vous sur cisco.com/go/licensingguide. Avant de commencer • Veillez à disposer d'un compte principal sur Smart Software Manager. Si vous n'avez pas encore de compte, cliquez sur le lien pour configurer un nouveau compte. Smart Software Manager vous permet de créer un compte principal pour votre entreprise. • Votre compte Smart Software Licensing doit bénéficier de la licence de chiffrement renforcé (3DES/AES) pour utiliser certaines fonctionnalités (activées à l'aide de l'indicateur de conformité d'exportation). Procédure Étape 1 Assurez-vous que votre compte Smart Licensing contient les licences disponibles dont vous avez besoin. Si vous avez acheté votre appareil auprès de Cisco ou d'un revendeur, vos licences doivent avoir été associées à votre compte Smart Software License. Toutefois, si vous devez ajouter des licences vous-même, utilisez le champ de recherche Rechercher des produits et des solutions de Cisco Commerce Workspace. Recherchez les PID de licence suivants : Illustration 19 : Recherche de licences Remarque Si aucun PID n'est renvoyé, vous pouvez l'ajouter manuellement à votre commande. • Combinaison des licences Threat, Malware et URL : • L-FPR1010T-TMC= Guide de mise en route de l'appliance Cisco Firepower 1010 69 Déployer Threat Defense avec un Centre de gestion distant Enregistrer le Threat Defense auprès du Centre de gestion Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée limitée correspondant à l'un des PID suivants : • L-FPR1010T-TMC-1Y • L-FPR1010T-TMC-3Y • L-FPR1010T-TMC-5Y • VPN RA : consultez le Guide d'aide à la commande Cisco AnyConnect. Étape 2 Si cela n'est pas déjà fait, enregistrez le centre de gestion auprès du gestionnaire Smart Software Manager. Pour cela, vous devez générer un jeton d'enregistrement dans Smart Software Manager. Consultez le Guide de configuration de centre de gestion pour obtenir des instructions supplémentaires. Pour utiliser la fonction LTP, vous devez activer l'option Assistance cloud pour LTP, pendant ou après l'enregistrement auprès de Smart Software Manager. Consultez la page Système > Licences > Licences Smart. Enregistrer le Threat Defense auprès du Centre de gestion Enregistrez le threat defense auprès du centre de gestion. Avant de commencer • Collectez les informations suivantes que vous avez définies dans la configuration initiale du threat defense : • Adresse IP de gestion ou nom d'hôte du threat defense, et ID NAT • Clé d'enregistrement du centre de gestion Procédure Étape 1 Dans centre de gestion, sélectionnez Appareils > Gestion des appareils. Étape 2 Dans la liste déroulante Ajouter, sélectionnez Ajouter l'appareil. Guide de mise en route de l'appliance Cisco Firepower 1010 70 Déployer Threat Defense avec un Centre de gestion distant Enregistrer le Threat Defense auprès du Centre de gestion Définissez les paramètres suivants : • Hôte : saisissez l'adresse IP ou le nom d'hôte du threat defense que vous souhaitez ajouter. Vous pouvez laisser ce champ vide si vous avez spécifié à la fois l'adresse IP du centre de gestion et un ID NAT dans la configuration de initiale du threat defense. Remarque Dans un environnement haute disponibilité, lorsque les deux centres de gestionse trouvent derrière un NAT, vous pouvez enregistrer le threat defense sans adresse IP ni nom d'hôte dans le centre de gestion principal. Toutefois, pour enregistrer le threat defense dans un centre de gestion secondaire, vous devez fournir l'adresse IP ou le nom d'hôte du threat defense. • Nom d'affichage : saisissez le nom du threat defense tel que vous souhaitez l'afficher dans le centre de gestion. • Clé d'enregistrement : saisissez la clé d'enregistrement que vous avez spécifiée dans la configuration de initiale du threat defense. • Domaine : attribuez l'appareil à un domaine Leaf si vous disposez d'un environnement multidomaine. • Groupe : attribuez-le à un groupe d'appareils si vous utilisez des groupes. • Politique de contrôle d'accès : sélectionnez une politique initiale. Sauf si vous disposez déjà d'une politique personnalisée que vous devez utiliser, sélectionnez Créer une nouvelle politique et sélectionnez Guide de mise en route de l'appliance Cisco Firepower 1010 71 Déployer Threat Defense avec un Centre de gestion distant Enregistrer le Threat Defense auprès du Centre de gestion Bloquer tout le trafic. Vous pourrez la modifier ultérieurement pour autoriser le trafic ; reportez-vous à la rubrique Autoriser le trafic de l'interface interne vers l'interface externe, à la page 41. Illustration 20 : Nouvelle politique • Smart Licensing: attribuez les licences Smart dont vous avez besoin pour les fonctionnalités que vous souhaitez déployer : Malware (si vous souhaitez utiliser l'inspection), Threat (si vous prévoyez d'utiliser la prévention contre les intrusions) et URL (si vous avez l'intention de mettre en œuvre le filtrage d'URL basé sur les catégories). Remarque : vous pouvez appliquer une licence VPN d'accès distant Client sécurisé après avoir ajouté l'appareil, via la page Système > Licences > Licences Smart. • ID NAT unique : spécifiez l'ID NAT que vous avez spécifié dans la configuration initiale du threat defense. • Transférer des paquets : permet à l'appareil de transférer des paquets vers le centre de gestion. Lorsque des événements comme IPS ou Snort sont déclenchés alors que cette option est activée, l'appareil envoie des informations de métadonnées d'événement et des données de paquet au centre de gestion à des fins d'inspection. Si vous désactivez cette option, seules les informations d'événement sont envoyées au centre de gestion ; les données de paquet ne sont pas envoyées. Étape 3 Cliquez sur S'enregistrer ou, et confirmez l'enregistrement. Si l'enregistrement réussit, l'appareil est ajouté à la liste. En cas d'échec, un message d'erreur s'affiche. Si l'enregistrement du threat defense échoue, vérifiez les points suivants : • Ping : accédez à l'interface de ligne de commande du threat defense et envoyez une requête ping à l'adresse IP centre de gestion à l'aide de la commande suivante : ping system ip_address Si la requête ping échoue, vérifiez les paramètres réseau à l'aide de la commande show network. Si vous devez modifier l'adresse IP de gestion du threat defense, utilisez la commande configure network management-data-interface. Guide de mise en route de l'appliance Cisco Firepower 1010 72 Déployer Threat Defense avec un Centre de gestion distant Configurer une politique de sécurité de base • Clé d'enregistrement, ID NAT et adresse IP du centre de gestion : assurez-vous d'utiliser la même clé d'enregistrement et, le cas échéant, l'ID NAT sur les deux appareils. Vous pouvez définir la clé d'enregistrement et l'ID NAT sur le threat defense à l'aide de la commande configure manager add. Pour plus d'informations sur le dépannage, consultez la page https://cisco.com/go/fmc-reg-error. Configurer une politique de sécurité de base Dans cette section, nous vous expliquons comment configurer une politique de sécurité de base avec les paramètres suivants : • Interfaces internes et externes : attribuez une adresse IP statique à l'interface interne. Vous avez configuré les paramètres de base de l'interface externe dans le cadre de la configuration de l'accès du gestionnaire, mais vous devez toujours l'affecter à une zone de sécurité. • Serveur DHCP : utilisez un serveur DHCP sur l'interface interne pour les clients. • NAT : utilisez l'interface PAT sur l'interface externe. • Contrôle d'accès : autorisez le trafic de l'interface interne vers l'interface externe. • SSH : activez SSH sur l'interface d'accès du gestionnaire. Configurer les interfaces Ajoutez l'interface VLAN1 pour les ports de commutateur ou convertissez les ports de commutateur en interfaces de pare-feu, attribuez des interfaces aux zones de sécurité et définissez les adresses IP. En règle générale, vous devez configurer au moins deux interfaces pour qu'un système transmette un trafic significatif. Habituellement, vous disposez d'une interface externe face au routeur en amont ou à Internet, et d'une ou de plusieurs interfaces internes pour les réseaux de votre entreprise. Par défaut, Ethernet1/1 est une interface de pare-feu standard que vous pouvez utiliser à l'extérieur ; les autres interfaces sont des ports de commutateur sur le VLAN 1. Après avoir ajouté l'interface VLAN1, vous pouvez la convertir en interface interne. Vous pouvez également attribuer des ports de commutateur à d'autres VLAN ou convertir des ports de commutateur en interfaces de pare-feu. Un routage de périphérie classique consiste à obtenir l'adresse de l'interface externe via DHCP auprès de votre FAI, pendant que vous définissez des adresses statiques sur les interfaces internes. L'exemple suivant configure une interface interne en mode routé (VLAN1) avec une adresse statique et une interface externe en mode routé à l'aide de DHCP (Ethernet1/1). Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils, puis cliquez sur l'icône Modifier ( Étape 2 Cliquez sur Interfaces. ) de l'appareil. Guide de mise en route de l'appliance Cisco Firepower 1010 73 Déployer Threat Defense avec un Centre de gestion distant Configurer les interfaces Étape 3 (facultatif) Désactivez le mode de port de commutateur pour l'un des ports de commutateur (Ethernet 1/2 à 1/8) en cliquant sur le curseur dans la colonne SwitchPort pour le désactiver ( Étape 4 ). Activez les ports de commutateur. a) Cliquez sur Modifier ( ) pour le port de commutateur. b) Activez l'interface en cochant la case Activé. c) (facultatif) Modifiez l'ID de VLAN ; la valeur par défaut est 1. Vous devez ensuite ajouter une interface VLAN correspondant à cet ID. d) Cliquez sur OK. Étape 5 Ajoutez l'interface VLAN interne. a) Cliquez sur Ajouter des interfaces > Interface VLAN. L'onglet Général s'affiche. Guide de mise en route de l'appliance Cisco Firepower 1010 74 Déployer Threat Defense avec un Centre de gestion distant Configurer les interfaces b) Saisissez un nom comportant maximum 48 caractères. Par exemple, nommez l'interface interne. c) Cochez la case Activé. d) Laissez le champ Mode défini sur Aucun. e) Dans la liste déroulante Zone de sécurité, sélectionnez une zone de sécurité interne existante ou ajoutez-en une nouvelle en cliquant sur Créer. Par exemple, ajoutez une zone appelée zone_interne. Chaque interface doit être affectée à une zone de sécurité et/ou à un groupe d'interfaces. Une interface peut appartenir à une seule zone de sécurité, mais peut également appartenir à plusieurs groupes d'interfaces. Vous appliquez votre politique de sécurité en fonction des zones ou des groupes. Par exemple, vous pouvez attribuer l'interface interne à la zone interne, et l'interface externe à la zone externe. Vous pouvez ensuite configurer votre politique de contrôle d'accès pour que le trafic transite de l'interface interne vers l'interface externe, mais pas de l'interface externe vers l'interface interne. La plupart des politiques ne prennent en charge que les zones de sécurité ; vous pouvez utiliser des zones ou des groupes d'interfaces dans les politiques NAT, les politiques de préfiltre et les politiques QoS. f) Définissez le champ ID de VLAN sur 1. Par défaut, tous les ports de commutateur sont définis sur l'ID de VLAN 1 ; si vous choisissez un autre ID de VLAN, vous devez également modifier chaque port de commutateur pour qu'il corresponde au nouvel ID de VLAN. Vous ne pouvez pas modifier l'ID de VLAN après avoir enregistré l'interface ; l'ID de VLAN est à la fois la balise de VLAN utilisée et l'ID d'interface de votre configuration. g) Cliquez sur l'onglet IPv4 et/ou IPv6. Guide de mise en route de l'appliance Cisco Firepower 1010 75 Déployer Threat Defense avec un Centre de gestion distant Configurer les interfaces • IPv4 : sélectionnez Utiliser l'adresse IP statique dans la liste déroulante, et saisissez une adresse IP et un masque de sous-réseau en notation de barre oblique. Par exemple, saisissez 192.168.1.1/24. • IPv6 : cochez la case Configuration automatique pour la configuration automatique sans état. h) Cliquez sur OK. Étape 6 Cliquez sur Modifier ( ) pour l'interface Ethernet 1/1 que vous souhaitez utiliser comme interface externe. L'onglet Général s'affiche. Vous avez déjà préconfiguré cette interface pour l'accès au gestionnaire, l'interface sera donc déjà nommée, activée et adressée. Vous ne devez modifier aucun de ces paramètres de base, car cela perturberait la connexion de gestion du centre de gestion. Vous devez cependant configurer la zone de sécurité sur cet écran pour les politiques de trafic en transit. a) Dans la liste déroulante Zone de sécurité, sélectionnez une zone de sécurité externe existante ou ajoutez-en une en cliquant sur Créer. Par exemple, ajoutez une zone appelée zone_externe. b) Cliquez sur OK. Guide de mise en route de l'appliance Cisco Firepower 1010 76 Déployer Threat Defense avec un Centre de gestion distant Configurer le serveur DHCP Étape 7 Cliquez sur Enregistrer. Configurer le serveur DHCP Activez le serveur DHCP si vous souhaitez que les clients utilisent DHCP pour obtenir des adresses IP à partir du threat defense. Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils, puis cliquez sur l'icône Modifier ( Étape 2 Sélectionnez DHCP > Serveur DHCP. Étape 3 Sur la page Serveur, cliquez sur Ajouter et configurez les options suivantes : ) de l'appareil. • Interface : sélectionnez l'interface dans la liste déroulante. • Pool d'adresses : définissez la plage d'adresses IP (de la plus faible à la plus élevée) utilisée par le serveur DHCP. La plage d'adresses IP doit se trouver sur le même sous-réseau que l'interface sélectionnée et ne peut pas inclure l'adresse IP de l'interface proprement dite. • Activer le serveur DHCP : activez le serveur DHCP sur l'interface sélectionnée. Étape 4 Cliquez sur OK. Étape 5 Cliquez sur Enregistrer. Configuration du routage NAT Configuration du routage NAT Une règle NAT classique convertit les adresses internes en ports sur l'adresse IP de l'interface externe. Ce type de règle NAT est appelé interface PAT (Port Address Translation). Procédure Étape 1 Sélectionnez Appareils > NAT, puis cliquez sur Nouvelle politique > NAT de protection contre les menaces. Étape 2 Donnez un nom à la politique, sélectionnez le ou les appareils que vous souhaitez utiliser, puis cliquez sur Enregistrer. Guide de mise en route de l'appliance Cisco Firepower 1010 77 Déployer Threat Defense avec un Centre de gestion distant Configuration du routage NAT La politique est ajoutée au centre de gestion. Vous devez quand même ajouter des règles à la politique. Étape 3 Cliquez sur Ajouter une règle. La boîte de dialogue Ajouter une règle NAT apparaît. Étape 4 Configurez les options de règle de base : • Règle NAT : sélectionnez Règle NAT automatique. • Type : choisissez Dynamique. Étape 5 Sur la page Objets d'interface, ajoutez la zone externe de la section Objets d'interface disponibles à la section Objets d'interface de destination. Guide de mise en route de l'appliance Cisco Firepower 1010 78 Déployer Threat Defense avec un Centre de gestion distant Configuration du routage NAT Étape 6 Sur la page Traduction, configurez les options suivantes : • Source d'origine : cliquez sur Ajouter ( (0.0.0.0/0). ) pour ajouter un objet réseau pour tout le trafic IPv4 Remarque Vous ne pouvez pas utiliser l'objet any-ipv4 défini par le système, car les règles NAT automatiques ajoutent la fonction NAT à la définition d'objet et vous ne pouvez pas modifier les objets définis par le système. Guide de mise en route de l'appliance Cisco Firepower 1010 79 Déployer Threat Defense avec un Centre de gestion distant Autoriser le trafic de l'interface interne vers l'interface externe • Source traduite : sélectionnez Adresse IP de l'interface de destination. Étape 7 Cliquez sur Enregistrer pour ajouter la règle. La règle est enregistrée dans la table Règles. Étape 8 Cliquez sur Enregistrer sur la page NAT pour enregistrer vos modifications. Autoriser le trafic de l'interface interne vers l'interface externe Si vous avez créé une politique de contrôle d'accès de base Bloquer tout le trafic lorsque vous avez enregistré le threat defense, vous devez ajouter des règles à la politique pour autoriser le trafic via l'appareil. La procédure suivante ajoute une règle pour autoriser le trafic de la zone interne vers la zone externe. Si vous disposez d'autres zones, veillez à ajouter des règles autorisant le trafic vers les réseaux appropriés. Procédure Étape 1 Sélectionnez Politique > Politique d'accès > Politique d'accès, puis cliquez sur Modifier ( politique de contrôle d'accès attribuée à threat defense. Étape 2 Cliquez sur Ajouter une règle, puis définissez les paramètres suivants : ) pour la • Nom : donnez un nom à cette règle, par exemple interne_vers_externe. • Zones source : sélectionnez la zone interne dans Zones disponibles, puis cliquez sur Ajouter à la source. Guide de mise en route de l'appliance Cisco Firepower 1010 80 Déployer Threat Defense avec un Centre de gestion distant Configurer SSH sur l'interface de données d'accès du gestionnaire • Zones de destination : sélectionnez la zone externe dans Zones disponibles, puis cliquez sur Ajouter à la destination. Laissez les autres paramètres tels quels. Étape 3 Cliquez sur Ajouter. La règle est ajoutée au tableau Règles. Étape 4 Cliquez sur Enregistrer. Configurer SSH sur l'interface de données d'accès du gestionnaire Si vous avez activé l'accès au centre de gestion sur une interface de données, par exemple externe, vous devez activer SSH sur cette interface en suivant cette procédure. Dans cette section, nous vous expliquons comment activer les connexions SSH sur une ou plusieurs interfaces de données sur le threat defense. SSH n'est pas pris en charge par l'interface logique de diagnostic. Remarque SSH est activé par défaut sur l'interface de gestion ; cependant, cet écran n'a pas d'incidence sur l'accès SSH de gestion. L'interface de gestion est distincte des autres interfaces sur l'appareil. Elle permet de configurer et d'enregistrer l'appareil sur le gestionnaire du centre de gestion. SSH pour les interfaces de données partage la liste des utilisateurs internes et externes avec SSH pour l'interface de gestion. D'autres paramètres sont configurés séparément : pour les interfaces de données, activez SSH et accédez aux listes à l'aide de cet écran ; le trafic SSH pour les interfaces de données utilise la configuration de routage standard, et non les routes statiques définies lors de la configuration ou sur l'interface de ligne de commande. Sur l'interface de gestion, pour configurer une liste d'accès SSH, reportez-vous à la commande configure ssh-access-list de la rubrique Référence des commandes pour Secure Firewall Threat Defense. Pour configurer une route statique, consultez la commande configure network static-routes. Par défaut, vous configurez la route par défaut via l'interface de gestion lors de la configuration initiale. Pour utiliser SSH, il n'est pas nécessaire de disposer d'une règle d'accès autorisant l'adresse IP de l'hôte. Vous devez uniquement configurer l'accès SSH conformément à cette section. Vous pouvez uniquement utiliser le protocole SSH pour accéder à une interface accessible ; si votre hôte SSH se trouve sur l'interface externe, vous pouvez uniquement établir une connexion de gestion directement vers l'interface externe. Guide de mise en route de l'appliance Cisco Firepower 1010 81 Déployer Threat Defense avec un Centre de gestion distant Configurer SSH sur l'interface de données d'accès du gestionnaire L'appareil autorise un maximum de 5 connexions SSH simultanées. Remarque Après trois tentatives infructueuses de connexion à l'interface de ligne de commande via SSH, l'appareil interrompt la connexion SSH. Avant de commencer • Vous pouvez configurer les utilisateurs internes SSH dans l'interface de ligne de commande à l'aide de la commande configure user add. Par défaut, il existe un utilisateur admin pour lequel vous avez configuré le mot de passe lors de la configuration initiale. Vous pouvez également configurer des utilisateurs externes sur LDAP ou RADIUS en configurant l'authentification externe dans les paramètres de la plateforme. • Vous devez disposer d'objets réseau qui définissent les hôtes ou les réseaux autorisés à établir des connexions SSH à l'appareil. Vous pouvez ajouter des objets dans le cadre de cette procédure, mais si vous souhaitez utiliser des groupes d'objets pour identifier un groupe d'adresses IP, assurez-vous que les groupes requis dans les règles existent déjà. Sélectionnez Objets > Gestion des objets pour configurer les objets. Remarque Vous ne pouvez pas utiliser l'objet réseau any fourni par le système. Utilisez plutôt any-ipv4 ou any-ipv6. Procédure Étape 1 Sélectionnez Appareils > Paramètres de la plateforme et créez ou modifiez la politique threat defense. Étape 2 Sélectionnez Secure Shell. Étape 3 Identifiez les interfaces et les adresses IP qui autorisent les connexions SSH. Utilisez ce tableau pour limiter les interfaces qui accepteront les connexions SSH et les adresses IP des clients autorisées à établir ces connexions. Vous pouvez utiliser des adresses réseau plutôt que des adresses IP individuelles. a) Cliquez sur Ajouter pour ajouter une nouvelle règle ou sur Modifier pour modifier une règle. b) Configurez les propriétés de la règle : • Adresse IP : objet ou groupe réseau qui identifie les hôtes ou les réseaux autorisés à établir des connexions SSH. Sélectionnez un objet dans le menu déroulant ou ajoutez un nouvel objet réseau en cliquant sur +. • Zones de sécurité : ajoutez les zones contenant les interfaces sur lesquelles vous autorisez les connexions SSH. Pour les interfaces ne faisant pas partie d'une zone, vous pouvez saisir le nom de l'interface dans le champ situé sous la liste Zone de sécurité sélectionnée, puis cliquer sur Ajouter. Ces règles seront appliquées à un appareil uniquement si celui-ci inclut les interfaces ou les zones sélectionnées. c) Cliquez sur OK. Guide de mise en route de l'appliance Cisco Firepower 1010 82 Déployer Threat Defense avec un Centre de gestion distant Déployer la configuration Étape 4 Cliquez sur Enregistrer. Vous pouvez maintenant accéder à la page Déployer > Déploiement et déployer la politique sur les appareils affectés. Les modifications ne sont pas actives tant que vous ne les avez pas déployées. Déployer la configuration Déployez les modifications de configuration sur le threat defense ; aucune modification n'est active sur l'appareil tant que vous ne l'avez pas déployée. Procédure Étape 1 Cliquez sur Déployer en haut à droite. Illustration 21 : Déployer Étape 2 Cliquez sur Tout déployer pour déployer sur tous les périphériques ou cliquez sur Déploiement avancé pour déployer sur les périphériques sélectionnés. Illustration 22 : Tout déployer Illustration 23 : Déploiement avancé Guide de mise en route de l'appliance Cisco Firepower 1010 83 Déployer Threat Defense avec un Centre de gestion distant Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS Étape 3 Assurez-vous que le déploiement aboutit. Cliquez sur l'icône en regard du bouton Déployer dans la barre de menus pour afficher l'état des déploiements. Illustration 24 : État du déploiement Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS Utilisez l'interface de ligne de commande (CLI) pour configurer le système et résoudre les problèmes de base du système. Vous ne pouvez pas configurer les politiques via une session CLI. Vous pouvez accéder à l'interface de ligne de commande en vous connectant au port de console. Vous pouvez également accéder à la CLI FXOS à des fins de dépannage. Remarque Vous pouvez également vous connecter à l'interface de gestion de l'appareil threat defense. Contrairement à une session de console, la session SSH utilise par défaut l'interface de ligne de commande du threat defense, à partir de laquelle vous pouvez vous connecter à la CLI FXOS à l'aide de la commande connect fxos. Vous pourrez ensuite vous connecter à l'adresse sur une interface de données si vous ouvrez l'interface pour les connexions SSH. L'accès SSH aux interfaces de données est désactivé par défaut. Cette procédure décrit l'accès au port de console, qui est défini par défaut sur la CLI FXOS. Procédure Étape 1 Pour vous connecter à l'interface de ligne de commande, connectez votre ordinateur de gestion au port de console. L'appareil Firepower 1000 est livré avec un câble série USB A vers B. Veillez à installer les pilotes série USB nécessaires à votre système d'exploitation (consultez le guide matériel de l'appareil Firepower 1010). Le port de console est défini par défaut sur la CLI FXOS. Utilisez les paramètres série suivants : • 9 600 bauds • 8 bits de données • Aucune parité Guide de mise en route de l'appliance Cisco Firepower 1010 84 Déployer Threat Defense avec un Centre de gestion distant Résoudre les problèmes de connectivité de gestion sur une interface de données • 1 bit d'arrêt Vous vous connectez à la CLI FXOS. Connectez-vous à l'interface de ligne de commande à l'aide du nom d'utilisateur admin et du mot de passe que vous avez défini lors de la configuration initiale (la valeur par défaut est Admin123). Exemple : firepower login: admin Password: Last login: Thu May 16 14:01:03 UTC 2019 on ttyS0 Successful login attempts for user 'admin' : 1 firepower# Étape 2 Accédez à l'interface de ligne de commande du threat defense. connect ftd Exemple : firepower# connect ftd > Après vous être connecté, pour obtenir des informations sur les commandes disponibles dans l'interface de ligne de commande, saisissez help ou ?. Pour plus d'informations sur l'utilisation, reportez-vous à la rubrique Référence des commandes pour Secure Firewall Threat Defense. Étape 3 Pour quitter l'interface de ligne de commande threat defense, saisissez la commande du exit ou logout. Cette commande vous renvoie à l'invite de la CLI FXOS. Pour plus d'informations sur les commandes disponibles dans la CLI FXOS, saisissez ?. Exemple : > exit firepower# Résoudre les problèmes de connectivité de gestion sur une interface de données Prise en charge des modèles—Threat Defense Lorsque vous utilisez une interface de données pour l'accès au centre de gestion au lieu d'utiliser l'interface de gestion dédiée, veillez à modifier les paramètres d'interface et de réseau du threat defense dans le centre de gestion afin de ne pas interrompre la connexion. Si vous modifiez le type d'interface de gestion après avoir ajouté le threat defense au centre de gestion (c'est-à-dire, remplacez l'interface de données par l'interface de gestion, ou vice versa), si les interfaces et les paramètres réseau ne sont pas configurés correctement, vous risquez de perdre la connectivité à l'interface de gestion. Cette rubrique vous aide à résoudre les problèmes de perte de connectivité à l'interface de gestion. Guide de mise en route de l'appliance Cisco Firepower 1010 85 Déployer Threat Defense avec un Centre de gestion distant Résoudre les problèmes de connectivité de gestion sur une interface de données Afficher l'état de connexion de l'interface de gestion Dans le centre de gestion, vérifiez l'état de la connexion de gestion sur la page Appareils > Gestion des appareils > Appareil > Gestion > Détails de l'accès au FMC > État de connexion. Dans l'interface de ligne de commande du threat defense, saisissez la commande sftunnel-status-brief pour afficher l'état de la connexion de gestion. Vous pouvez également utiliser sftunnel-status pour afficher des informations plus complètes. Reportez-vous à l'exemple de résultat suivant pour une connexion interrompue ; aucune information de connexion de canal homologue et aucune information de pulsation n'est disponible : > sftunnel-status-brief PEER:10.10.17.202 Registration: Completed. Connection to peer '10.10.17.202' Attempted at Mon Jun 15 09:21:57 2020 UTC Last disconnect time : Mon Jun 15 09:19:09 2020 UTC Last disconnect reason : Both control and event channel connections with peer went down Reportez-vous à l'exemple de résultat suivant pour une connexion active comprenant des informations de canal homologue et de pulsation : > sftunnel-status-brief PEER:10.10.17.202 Peer channel Channel-A is valid type (CONTROL), using 'eth0', connected to '10.10.17.202' via '10.10.17.222' Peer channel Channel-B is valid type (EVENT), using 'eth0', connected to '10.10.17.202' via '10.10.17.222' Registration: Completed. IPv4 Connection to peer '10.10.17.202' Start Time: Wed Jun 10 14:27:12 2020 UTC Heartbeat Send Time: Mon Jun 15 09:02:08 2020 UTC Heartbeat Received Time: Mon Jun 15 09:02:16 2020 UTC Afficher les informations relatives au réseau du Threat Defense Dans l'interface de ligne de commande du threat defense, affichez les paramètres réseau de l'interface de gestion et d'accès aux données du centre de gestion : show network > show network ===============[ System Information ]=============== Hostname : 5516X-4 DNS Servers : 208.67.220.220,208.67.222.222 Management port : 8305 IPv4 Default route Gateway : data-interfaces IPv6 Default route Gateway : data-interfaces ======================[ br1 ]======================= State : Enabled Link : Up Channels : Management & Events Mode : Non-Autonegotiation MDI/MDIX : Auto/MDIX MTU : 1500 MAC Address : 28:6F:7F:D3:CB:8D ----------------------[ IPv4 ]---------------------- Guide de mise en route de l'appliance Cisco Firepower 1010 86 Déployer Threat Defense avec un Centre de gestion distant Résoudre les problèmes de connectivité de gestion sur une interface de données Configuration : Manual Address : 10.99.10.4 Netmask : 255.255.255.0 Gateway : 10.99.10.1 ----------------------[ IPv6 ]---------------------Configuration : Disabled ===============[ Proxy Information ]================ State : Disabled Authentication : Disabled ======[ System Information - Data Interfaces ]====== DNS Servers : Interfaces : GigabitEthernet1/1 ===============[ GigabitEthernet1/1 ]=============== State : Enabled Link : Up Name : outside MTU : 1500 MAC Address : 28:6F:7F:D3:CB:8F ----------------------[ IPv4 ]---------------------Configuration : Manual Address : 10.89.5.29 Netmask : 255.255.255.192 Gateway : 10.89.5.1 ----------------------[ IPv6 ]---------------------Configuration : Disabled Vérifier que le Threat Defense est enregistré auprès du Centre de gestion Dans l'interface de ligne de commande du threat defense, vérifiez que le centre de gestion a bien été enregistré. Notez que cette commande n'affiche pas l'état actuel de la connexion de gestion. show managers > show managers Type Host Registration : Manager : 10.89.5.35 : Completed > Envoyer une requête ping au Centre de gestion Dans l'interface de ligne de commande du threat defense, utilisez la commande suivante pour envoyer une requête ping au centre de gestion à partir des interfaces de données : ping fmc_ip Dans l'interface de ligne de commande du threat defense, utilisez la commande suivante pour envoyer une requête ping au centre de gestion à partir de l'interface de gestion, afin de l'acheminer via le fond de panier aux interfaces de données : ping system fmc_ip Capturer les paquets sur l'interface interne du Threat Defense Dans l'interface de ligne de commande du threat defense, capturez les paquets sur l'interface de fond de panier interne (nlp_int_tap) pour déterminer si des paquets de gestion sont envoyés : capture name interface nlp_int_tap trace detail match ip any any Guide de mise en route de l'appliance Cisco Firepower 1010 87 Déployer Threat Defense avec un Centre de gestion distant Résoudre les problèmes de connectivité de gestion sur une interface de données show capturename trace detail Vérifier l'état de l'interface interne, les statistiques et le nombre de paquets Dans l'interface de ligne de commande du threat defense, consultez les informations relatives à l'interface de fond de panier interne, nlp_int_tap : show interace detail > show interface detail [...] Interface Internal-Data0/1 "nlp_int_tap", is up, line protocol is up Hardware is en_vtun rev00, BW Unknown Speed-Capability, DLY 1000 usec (Full-duplex), (1000 Mbps) Input flow control is unsupported, output flow control is unsupported MAC address 0000.0100.0001, MTU 1500 IP address 169.254.1.1, subnet mask 255.255.255.248 37 packets input, 2822 bytes, 0 no buffer Received 0 broadcasts, 0 runts, 0 giants 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort 0 pause input, 0 resume input 0 L2 decode drops 5 packets output, 370 bytes, 0 underruns 0 pause output, 0 resume output 0 output errors, 0 collisions, 0 interface resets 0 late collisions, 0 deferred 0 input reset drops, 0 output reset drops input queue (blocks free curr/low): hardware (0/0) output queue (blocks free curr/low): hardware (0/0) Traffic Statistics for "nlp_int_tap": 37 packets input, 2304 bytes 5 packets output, 300 bytes 37 packets dropped 1 minute input rate 0 pkts/sec, 0 bytes/sec 1 minute output rate 0 pkts/sec, 0 bytes/sec 1 minute drop rate, 0 pkts/sec 5 minute input rate 0 pkts/sec, 0 bytes/sec 5 minute output rate 0 pkts/sec, 0 bytes/sec 5 minute drop rate, 0 pkts/sec Control Point Interface States: Interface number is 14 Interface config status is active Interface state is active Vérifier le routage et la NAT Dans l'interface de ligne de commande du threat defense, vérifiez que la route par défaut (S*) a bien été ajoutée et qu'il existe des règles NAT internes pour l'interface de gestion (nlp_int_tap). show route > show route Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route, + - replicated route SI - Static InterVRF Gateway of last resort is 10.89.5.1 to network 0.0.0.0 Guide de mise en route de l'appliance Cisco Firepower 1010 88 Déployer Threat Defense avec un Centre de gestion distant Résoudre les problèmes de connectivité de gestion sur une interface de données S* C L 0.0.0.0 0.0.0.0 [1/0] via 10.89.5.1, outside 10.89.5.0 255.255.255.192 is directly connected, outside 10.89.5.29 255.255.255.255 is directly connected, outside > show nat > show nat Auto NAT Policies (Section 2) 1 (nlp_int_tap) to (outside) source static nlp_server_0_sftunnel_intf3 interface service tcp 8305 8305 translate_hits = 0, untranslate_hits = 6 2 (nlp_int_tap) to (outside) source static nlp_server_0_ssh_intf3 interface service tcp ssh ssh translate_hits = 0, untranslate_hits = 73 3 (nlp_int_tap) to (outside) source static nlp_server_0_sftunnel_ipv6_intf3 interface ipv6 service tcp 8305 8305 translate_hits = 0, untranslate_hits = 0 4 (nlp_int_tap) to (outside) source dynamic nlp_client_0_intf3 interface translate_hits = 174, untranslate_hits = 0 5 (nlp_int_tap) to (outside) source dynamic nlp_client_0_ipv6_intf3 interface ipv6 translate_hits = 0, untranslate_hits = 0 > Vérifier les autres paramètres Reportez-vous aux commandes suivantes pour vérifier que tous les autres paramètres sont présents. Vous pouvez également consulter la plupart de ces commandes sur la page Appareils > Gestion des appareils > Appareil > Gestion > Détails de l'accès au FMC > Résultat de la CLI du centre de gestion. show running-config sftunnel > show running-config sftunnel sftunnel interface outside sftunnel port 8305 show running-config ip-client > show running-config ip-client ip-client outside show conn address fmc_ip > show conn address 10.89.5.35 5 in use, 16 most used Inspect Snort: preserve-connection: 0 enabled, 0 in effect, 0 most enabled, 0 most in effect TCP nlp_int_tap 10.89.5.29(169.254.1.2):51231 outside 10.89.5.35:8305, idle 0:00:04, bytes 86684, flags UxIO TCP nlp_int_tap 10.89.5.29(169.254.1.2):8305 outside 10.89.5.35:52019, idle 0:00:02, bytes 1630834, flags UIO > Rechercher une mise à jour DDNS réussie Dans l'interface de ligne de commande du threat defense, vérifiez que la mise à jour DDNS a réussi : Guide de mise en route de l'appliance Cisco Firepower 1010 89 Déployer Threat Defense avec un Centre de gestion distant Rétablir la configuration en cas de déconnexion du Centre de gestion debug ddns > debug ddns DDNS update request = /v3/update?hostname=domain.example.org&myip=209.165.200.225 Successfuly updated the DDNS sever with current IP addresses DDNS: Another update completed, outstanding = 0 DDNS: IDB SB total = 0 Si la mise à jour échoue, utilisez les commandes debug http et debug ssl. Pour les échecs de validation du certificat, vérifiez que les certificats racines sont installés sur l'appareil : show crypto ca certificates trustpoint_name Pour vérifier le fonctionnement du DDNS : show ddns update interface fmc_access_ifc_name > show ddns update interface outside Dynamic DNS Update on outside: Update Method Name Update Destination RBD_DDNS not available Last Update attempted on 04:11:58.083 UTC Thu Jun 11 2020 Status : Success FQDN : domain.example.org IP addresses : 209.165.200.225 Consulter les fichiers journaux du Centre de gestion Consultez la page https://cisco.com/go/fmc-reg-error. Rétablir la configuration en cas de déconnexion du Centre de gestion Si vous utilisez une interface de données sur le threat defense pour le centre de gestion, et que vous déployez une modification de configuration depuis le centre de gestion ayant une incidence sur la connectivité réseau, vous pouvez rétablir la dernière configuration déployée sur le threat defense afin de restaurer la connectivité de gestion. Vous pouvez ensuite ajuster les paramètres de configuration dans le centre de gestion afin de maintenir et de redéployer la connectivité réseau. Vous pouvez utiliser la fonction de restauration même si aucune perte de connectivité ne se produit, car elle ne se limite pas à cette situation de dépannage. Reportez-vous aux instructions suivantes : • Seul le déploiement précédent est disponible localement sur le threat defense ; vous ne pouvez pas rétablir les déploiements antérieurs. • La fonction de restauration n'est pas prise en charge pour les déploiements haute disponibilité ou en cluster. • La restauration s'applique uniquement aux configurations que vous pouvez définir dans le centre de gestion. Par exemple, la restauration ne s'applique à aucune configuration locale liée à l'interface de gestion dédiée, que vous pouvez configurer uniquement sur l'interface de ligne de commande de threat defense. Notez que si vous avez modifié les paramètres de l'interface de données après le dernier déploiement du centre de gestion à l'aide de la commande configure network management-data-interface, puis que vous utilisez la commande de restauration, ces paramètres ne sont pas conservés ; les derniers paramètres déployés sur le centre de gestion sont rétablis. Guide de mise en route de l'appliance Cisco Firepower 1010 90 Déployer Threat Defense avec un Centre de gestion distant Rétablir la configuration en cas de déconnexion du Centre de gestion • Il est impossible de restaurer le mode UCAPL/CC. • Il est impossible de restaurer les données de certificat SCEP hors bande qui ont été mises à jour lors du déploiement précédent. • Pendant la restauration, les connexions sont interrompues, car la configuration en cours est supprimée. Avant de commencer Prise en charge des modèles—Threat Defense Procédure Étape 1 Sur l'interface de ligne de commande de threat defense, restaurez la configuration précédente. configure policy rollback Après la restauration, le système threat defense informe le centre de gestion que la restauration a réussi. Dans le centre de gestion, l'écran de déploiement affiche une bannière indiquant que la configuration a été restaurée. Si la restauration échoue, reportez-vous à la rubrique https://www.cisco.com/c/en/us/support/docs/security/ firepower-ngfw-virtual/215258-troubleshooting-firepower-threat-defense.html pour connaître les problèmes de déploiement courants. Dans certains cas, la restauration peut échouer après le rétablissement de l'accès du centre de gestion ; dans ce cas, vous pouvez résoudre les problèmes de configuration du centre de gestion et renouveler le déploiement depuis le centre de gestion. Exemple : > configure policy rollback The last deployment to this FTD was on June 1, 2020 and its status was Successful. Do you want to continue [Y/N]? Y Rolling back complete configuration on the FTD. This will take time. ..................... Policy rollback was successful on the FTD. Configuration has been reverted back to transaction id: Following is the rollback summary: ................... .................... > Étape 2 Vérifiez que la connexion de gestion a été rétablie. Dans le centre de gestion, vérifiez l'état de la connexion de gestion sur la page Appareils > Gestion des appareils > Appareil > Gestion > Détails de l'accès au FMC > État de connexion. Dans l'interface de ligne de commande du threat defense, saisissez la commande sftunnel-status-brief pour afficher l'état de la connexion de gestion. Si le rétablissement de la connexion prend plus de 10 minutes, vous devez dépanner la connexion. Reportez-vous à la rubrique Résoudre les problèmes de connectivité de gestion sur une interface de données, à la page 85. Guide de mise en route de l'appliance Cisco Firepower 1010 91 Déployer Threat Defense avec un Centre de gestion distant Mettre le pare-feu hors tension à l'aide du Centre de gestion Mettre le pare-feu hors tension à l'aide du Centre de gestion Il est important que vous arrêtiez correctement votre système. Il ne suffit pas de débrancher le câble d'alimentation ou d'appuyer sur l'interrupteur d'alimentation, car vous risquez d'endommager gravement le système de fichiers. N'oubliez pas que de nombreux processus s'exécutent en arrière-plan en permanence, et que débrancher ou couper l'alimentation ne permet pas un arrêt normal de votre pare-feu. Vous pouvez arrêter votre système correctement à l'aide du centre de gestion. Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils. Étape 2 Cliquez sur l'icône Modifier ( Étape 3 Cliquez sur l'onglet Appareils. Étape 4 Cliquez sur l'icône d'arrêt de l'appareil ( Étape 5 Lorsque vous y êtes invité, confirmez que vous souhaitez arrêter l'appareil. Étape 6 Si vous disposez d'une connexion de console au pare-feu, observez les invites système lorsque le pare-feu s'arrête. L'invite suivante s'affiche : ) en regard de l'appareil que vous souhaitez redémarrer. ) dans la section Système. System is stopped. It is safe to power off now. Do you want to reboot instead? [y/N] Si vous ne disposez pas d'une connexion de console, attendez environ 3 minutes pour vous assurer que le système s'est éteint. Étape 7 Vous pouvez désormais débrancher ce dernier pour couper l'alimentation du châssis si nécessaire. Et après ? Pour poursuivre la configuration de votre threat defense, consultez les documents disponibles pour votre version logicielle dans Parcourir la documentation de Cisco Firepower. Pour plus d'informations sur l'utilisation du centre de gestion, reportez-vous à la rubrique Guide de configuration de Firepower Management Center. Guide de mise en route de l'appliance Cisco Firepower 1010 92 CHAPITRE 4 Déployer Threat Defense avec le Gestionnaire d'appareils Ce chapitre vous concerne-t-il ? Pour connaître tous les systèmes d'exploitation et gestionnaires disponibles, reportez-vous à la rubrique Quel système d'exploitation et quel gestionnaire vous conviennent le mieux ?, à la page 1. Ce chapitre s'applique au threat defense doté de gestionnaire d'appareils. Dans ce chapitre, nous vous expliquons comment effectuer la configuration initiale de votre threat defense à l'aide de l'assistant de configuration d'appareils web. Le gestionnaire d'appareils vous permet de configurer les fonctionnalités de base des logiciels les plus couramment utilisés pour les réseaux de faible envergure. Il est spécialement conçu pour les réseaux qui incluent uniquement quelques appareils, voire un seul, sur lesquels il est inutile d'utiliser un gestionnaire multi-appareils haute puissance capable de contrôler un réseau de grande envergure contenant de nombreux appareils gestionnaire d'appareils. À propos du pare-feu L'appareil peut exécuter un logiciel threat defense ou un logiciel ASA. Pour basculer entre threat defense et ASA, vous devez reconfigurer l'appareil. Vous devez également recommencer l'installation si vous avez besoin d'une version logicielle différente de celle actuellement installée. Consultez la rubrique Réinstaller Cisco ASA ou Firepower Threat Defense. Le pare-feu exécute un système d'exploitation sous-jacent appelé Système d'exploitation Secure Firewall eXtensible (FXOS). Le pare-feu ne prend pas en charge le Gestionnaire de châssis Secure Firewall FXOS ; seule une CLI limitée est prise en charge à des fins de dépannage. Pour obtenir plus d'informations, reportez-vous à la section Guide de dépannage Cisco FXOS pour la série Firepower 1000/2100 exécutant Firepower Threat Defense. Déclaration de confidentialité—Le pare-feu ne requiert ni ne collecte activement aucune information permettant de vous identifier. Vous pouvez néanmoins utiliser des informations d'identification personnelle au cours de la configuration, notamment des noms d'utilisateur. Dans ce cas, un administrateur peut accéder à ces informations lors de l'utilisation de la configuration ou de l'utilisation du protocole SNMP. • Procédure de bout en bout, à la page 94 • Vérifier le déploiement et la configuration par défaut du réseau, à la page 95 • Raccorder l'appareil, à la page 99 • Mettre le pare-feu sous tension, à la page 100 • (Facultatif) Vérifier le logiciel et installer une nouvelle version, à la page 101 Guide de mise en route de l'appliance Cisco Firepower 1010 93 Déployer Threat Defense avec le Gestionnaire d'appareils Procédure de bout en bout • (Facultatif) Modifier les paramètres du réseau de gestion dans l'interface de ligne de commande, à la page 102 • Se connecter au Gestionnaire d'appareils, à la page 105 • Terminer la configuration initiale, à la page 105 • Configurer l'octroi de licences, à la page 107 • Configurer le pare-feu dans le Gestionnaire d'appareils, à la page 113 • Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS, à la page 117 • Afficher les informations sur le matériel, à la page 118 • Mettre le pare-feu hors tension, à la page 119 • Et après ?, à la page 120 Procédure de bout en bout Reportez-vous aux tâches suivantes pour déployer le threat defense avec le gestionnaire d'appareils sur votre châssis. Configuration préalable Installez le pare-feu. Reportez-vous au guide d'installation matérielle. Guide de mise en route de l'appliance Cisco Firepower 1010 94 Déployer Threat Defense avec le Gestionnaire d'appareils Vérifier le déploiement et la configuration par défaut du réseau Configuration préalable Vérifier le déploiement et la configuration par défaut du réseau, à la page 95. Configuration préalable Raccorder l'appareil, à la page 99. Configuration préalable Mettre le pare-feu sous tension, à la page 13. CLI (Facultatif) Vérifier le logiciel et installer une nouvelle version, à la page 101 CLI (Facultatif) Modifier les paramètres du réseau de gestion dans l'interface de ligne de commande, à la page 102. Gestionnaire d'appareils Se connecter au Gestionnaire d'appareils, à la page 105. Gestionnaire d'appareils Terminer la configuration initiale, à la page 105. Cisco Commerce Workspace (Facultatif) Configurer l'octroi de licences, à la page 107 : obtenez des licences de fonction. Smart Software Manager Configurer l'octroi de licences, à la page 107 : générez un jeton de licence. Gestionnaire d'appareils Configurer l'octroi de licences, à la page 107 : enregistrez l'appareil auprès de Smart Licensing Server. Gestionnaire d'appareils Configurer le pare-feu dans le Gestionnaire d'appareils, à la page 113. Vérifier le déploiement et la configuration par défaut du réseau Vous pouvez gérer le threat defense à l'aide du gestionnaire d'appareils à partir de l'interface de gestion 1/1 ou de l'interface interne. L'interface de gestion dédiée est une interface spéciale disposant de ses propres paramètres réseau. La figure suivante illustre le déploiement réseau recommandé. Si vous connectez l'interface externe directement à un modem câble ou ADSL, nous vous recommandons de mettre le modem en mode pont pour que le threat defense effectue tout le routage et la NAT pour vos réseaux internes. Si vous devez configurer le protocole PPPoE de sorte que l'interface externe se connecte à votre FAI, faites-le une fois la configuration initiale terminée dans gestionnaire d'appareils. Guide de mise en route de l'appliance Cisco Firepower 1010 95 Déployer Threat Defense avec le Gestionnaire d'appareils Vérifier le déploiement et la configuration par défaut du réseau Remarque Si vous ne pouvez pas utiliser l'adresse IP de gestion par défaut (par exemple, votre réseau de gestion n'inclut pas de serveur DHCP), vous pouvez vous connecter au port de console et effectuer la configuration initiale sur l'interface de ligne de commande, notamment configurer l'adresse IP de gestion, la passerelle et d'autres paramètres réseau de base. Si vous devez modifier l'adresse IP interne, faites-le une fois la configuration initiale terminée dans le gestionnaire d'appareils. Par exemple, il est possible que vous deviez modifier l'adresse IP interne dans les cas suivants : • (7.0 et versions ultérieures) L'adresse IP interne est 192.168.95.1. (Version 6.7 et versions antérieures) L'adresse IP interne est 192.168.1.1. Si l'interface externe tente d'obtenir une adresse IP sur le réseau 192.168.1.0, qui est un réseau par défaut courant, le bail DHCP échouera et l'interface externe n'obtiendra aucune adresse IP. Ce problème se produit, car threat defense ne peut pas disposer de deux interfaces sur le même réseau. Dans ce cas, vous devez modifier l'adresse IP interne de façon à la placer sur un nouveau réseau. • Si vous ajoutez threat defense à un réseau interne, vous devrez modifier l'adresse IP interne de façon à ce qu'elle corresponde au réseau. La figure suivante illustre le déploiement réseau par défaut à utiliser pour threat defense à l'aide du gestionnaire d'appareils avec la configuration par défaut. Guide de mise en route de l'appliance Cisco Firepower 1010 96 Déployer Threat Defense avec le Gestionnaire d'appareils Configuration par défaut Illustration 25 : Déploiement réseau suggéré Remarque Pour les versions 6.7 et antérieures, l'adresse IP interne est 192.168.1.1. Pour les versions 6.5 et antérieures, l'adresse IP de gestion 1/1 par défaut est 192.168.45.45. Configuration par défaut La configuration du pare-feu après la configuration initiale comprend les éléments suivants : • interne—adresse IP (7.0 et versions ultérieures) 192.168.95.1 ; (versions antérieures à 7.0) 192.168.1.1. • (6.5 et versions ultérieures) Commutateur matériel : Ethernet 1/2 à 1/8 appartiennent au VLAN 1 • (6.4) Commutateur logiciel (routage et pontage intégrés) : Ethernet 1/2 à 1/8 appartiennent à l'interface de groupe de ponts (BVI) 1 • externe : Ethernet 1/1, adresse IP du DHCP IPv4 et configuration automatique IPv6 • Flux de trafic interne→externe Guide de mise en route de l'appliance Cisco Firepower 1010 97 Déployer Threat Defense avec le Gestionnaire d'appareils Configuration par défaut • gestion : gestion 1/1 (gestion) • (6.6 et versions ultérieures) Adresse IP de DHCP • (6.5 et versions antérieures) Adresse IP 192.168.45.45 Remarque L'interface de gestion 1/1 est une interface spéciale distincte des interfaces de données, qui est utilisée pour la gestion, l'octroi de licences Smart et les mises à jour de la base de données.L'interface physique est partagée avec une deuxième interface logique, l'interface de diagnostic. L'interface de diagnostic est une interface de données, mais elle est limitée à d'autres types de trafics de gestion (vers l'appareil et depuis l'appareil), tels que syslog ou SNMP. L'interface de diagnostic n'est généralement pas utilisée. Pour obtenir plus d'informations, reportez-vous à la section Guide de configuration de Cisco Secure Firewall Device Manager. • Serveur DNS pour la gestion : OpenDNS : (IPv4) 208.67.222.222, 208.67.220.220 ; (IPv6) 2620:119:35::35 ou serveurs spécifiés lors de la configuration. Les serveurs DNS obtenus auprès de DHCP ne sont jamais utilisés. • NTP : serveurs Cisco NTP : 0.sourcefire.pool.ntp.org, 1.sourcefire.pool.ntp.org, 2.sourcefire.pool.ntp.org ou serveurs spécifiés lors de la configuration • Routes par défaut • Interfaces de données : obtenues à partir d'un DHCP externe ou d'une adresse IP de passerelle spécifiée lors de la configuration • Interface de gestion :(6.6 et versions ultérieures) obtenue auprès du serveur de gestion DHCP. Si vous ne recevez pas de passerelle, la route par défaut passe par le fond de panier et via les interfaces de données (6.5 et versions antérieures). Par le fond de panier et via les interfaces de données Notez que l'interface de gestion nécessite un accès Internet pour l'octroi de licences et les mises à jour, via le fond de panier ou à l'aide d'une passerelle Internet distincte. Notez que seul le trafic provenant de l'interface de gestion peut transiter par le fond de panier ; sinon, la gestion n'autorise pas le trafic de transit pour le trafic entrant dans la gestion depuis le réseau. • Serveur DHCP : activé sur l'interface interne et (6.5 et versions antérieures uniquement) l'interface de gestion. • Accès au Gestionnaire d'appareils : tous les hôtes sont autorisés sur l'interface de gestion et l'interface interne. • NAT : interface PAT pour l'ensemble du trafic de l'interface interne vers l'interface externe. Guide de mise en route de l'appliance Cisco Firepower 1010 98 Déployer Threat Defense avec le Gestionnaire d'appareils Raccorder l'appareil Raccorder l'appareil Illustration 26 : Raccorder le Firepower 1010 Remarque Pour les versions 6.7 et antérieures, l'adresse IP interne est 192.168.1.1. Pour les versions 6.5 et antérieures, l'adresse IP par défaut de l'interface de gestion 1/1 est 192.168.45.45. Remarque Dans les versions 6.5 et ultérieures, les interfaces Ethernet 1/2 à 1/8 sont configurées en tant que ports de commutateur matériels ; PoE+ est également disponible sur Ethernet 1/7 et 1/8. Dans la version 6.4, les interfaces Ethernet 1/2 à 1/8 sont configurées en tant que membres du groupe de ponts (ports de commutateur logiciels) ; PoE+ n'est pas disponible. Le câblage initial est le même pour les deux versions. Gérez le pare-feu Firepower 1010 sur l'interface de gestion 1/1 ou sur l'interface Ethernet 1/2 à 1/8. La configuration par défaut configure également Ethernet 1/1 comme interface externe. Procédure Étape 1 Installez votre matériel et apprenez à l'utiliser à l'aide du guide d'installation matérielle. Étape 2 Connectez votre ordinateur de gestion à l'une des interfaces suivantes : • Ethernet 1/2 à 1/8 : connectez votre ordinateur de gestion directement à l'un des ports de commutateur internes (Ethernet 1/2 à 1/8). L'interface interne possède une adresse IP par défaut (192.168.95.1) et exécute également un serveur DHCP pour fournir des adresses IP aux clients (y compris l'ordinateur de Guide de mise en route de l'appliance Cisco Firepower 1010 99 Déployer Threat Defense avec le Gestionnaire d'appareils Mettre le pare-feu sous tension gestion). Par conséquent, assurez-vous que ces paramètres n'entrent pas en conflit avec les paramètres existants du réseau interne (reportez-vous à la rubrique Configuration par défaut, à la page 97). • Gestion 1/1 (appelée MGMT) : connectez l'interface de gestion 1/1 à votre réseau de gestion et assurez-vous que votre ordinateur de gestion est connecté (ou a accès) au réseau de gestion. L'interface de gestion 1/1 obtient une adresse IP auprès d'un serveur DHCP sur votre réseau de gestion ; si vous utilisez cette interface, vous devez déterminer l'adresse IP attribuée au threat defense pour pouvoir vous connecter à l'adresse IP à partir de votre ordinateur de gestion. Si vous devez modifier l'adresse IP de l'interface de gestion 1/1 par défaut pour configurer une adresse IP statique, vous devez également connecter votre ordinateur de gestion au port de console. Reportez-vous à la rubrique (Facultatif) Modifier les paramètres du réseau de gestion dans l'interface de ligne de commande, à la page 102. Étape 3 Connectez le réseau externe à l'interface Ethernet 1/1. Par défaut, l'adresse IP est obtenue via la configuration automatique des adresses IPv4 DHCP et IPv6, mais vous pouvez définir une adresse statique lors de la configuration initiale. Étape 4 Connectez les périphériques internes aux ports de commutateur restants, Ethernet 1/2 à 1/8. Les ports Ethernet 1/7 et 1/8 sont des ports PoE+. Mettre le pare-feu sous tension L'alimentation du système est contrôlée par le cordon d'alimentation. Il n'y a pas de bouton d'alimentation. Remarque La première fois que vous démarrez le threat defense, l'initialisation peut prendre entre 15 et 30 minutes. Avant de commencer Il est important que vous utilisiez une source d'alimentation fiable pour alimenter votre appareil (à l'aide d'un système d'alimentation sans coupure, par exemple). Une panne de courant sans arrêt préalable peut endommager gravement le système de fichiers. De nombreux processus s'exécutent en arrière-plan en permanence, et une panne de courant ne permet pas l'arrêt normal de votre système. Procédure Étape 1 Raccordez le câble d'alimentation à l'appareil et branchez-le à une prise électrique. L'appareil se met automatiquement sous tension dès que vous le branchez. Étape 2 Observez le voyant d'alimentation situé à l'arrière de l'appareil. S'il est allumé en vert, l'appareil est sous tension. Guide de mise en route de l'appliance Cisco Firepower 1010 100 Déployer Threat Defense avec le Gestionnaire d'appareils (Facultatif) Vérifier le logiciel et installer une nouvelle version Étape 3 Observez le voyant d'état à l'arrière ou sur l'appareil. Lorsqu'il s'allume en vert, le système a terminé les diagnostics de mise sous tension. (Facultatif) Vérifier le logiciel et installer une nouvelle version Pour vérifier la version du logiciel et, si nécessaire, installer une autre version, procédez comme suit. Nous vous recommandons d'installer votre version cible avant de configurer le pare-feu. Vous pouvez également effectuer une mise à niveau une fois que vous êtes opérationnel, mais la mise à niveau, qui préserve votre configuration, peut prendre plus de temps que cette procédure. Quelle version dois-je exécuter ? Cisco recommande d'exécuter une version Gold Star indiquée par une étoile dorée en regard du numéro de version sur la page de téléchargement du logiciel. Vous pouvez également vous reporter à la stratégie de publication décrite dans la rubrique https://www.cisco.com/c/en/us/products/collateral/security/firewalls/ bulletin-c25-743178.html ; par exemple, ce bulletin décrit la numérotation des versions à court terme (avec les dernières fonctionnalités), la numérotation des versions à long terme (versions de maintenance et correctifs pour une période plus longue) ou la numérotation des versions à très long terme (versions de maintenance et correctifs pour la période la plus longue, pour la certification gouvernementale). Procédure Étape 1 Connectez-vous à l'interface de ligne de commande. Pour plus d'informations, reportez-vous à la rubrique Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS, à la page 117. Cette procédure illustre l'utilisation du port de console, mais vous pouvez utiliser SSH si vous le souhaitez. Connectez-vous avec l'utilisateur admin et le mot de passe par défaut, Admin123. Vous vous connectez à la CLI FXOS. Lors de la première connexion, vous êtes invité à modifier le mot de passe par défaut. Ce mot de passe est également utilisé pour la connexion au threat defense pour SSH. Remarque Si vous avez modifié le mot de passe, mais que vous l'avez oublié, vous devez réinitialiser l'appareil pour rétablir le mot de passe par défaut. Consultez le Guide de dépannage de la console FXOS pour connaître la procédure pour rétablir les paramètres d'usine. Exemple : firepower login: admin Password: Admin123 Successful login attempts for user 'admin' : 1 Guide de mise en route de l'appliance Cisco Firepower 1010 101 Déployer Threat Defense avec le Gestionnaire d'appareils (Facultatif) Modifier les paramètres du réseau de gestion dans l'interface de ligne de commande [...] Hello admin. You must change your password. Enter new password: ******** Confirm new password: ******** Your password was updated successfully. [...] firepower# Étape 2 Dans l'interface de ligne de commande de la console FXOS, affichez la version en cours d'exécution. scope ssa show app-instance Exemple : Firepower# scope ssa Firepower /ssa # show app-instance Application Name Slot ID Admin State Operational State Running Version Startup Version Cluster Oper State -------------------- ---------- --------------- -------------------- ----------------------------- -----------------ftd 1 Enabled Online 7.2.0.65 7.2.0.65 Not Applicable Étape 3 Si vous souhaitez installer une nouvelle version, procédez comme suit. a) Si vous devez définir une adresse IP statique pour l'interface de gestion, reportez-vous à la rubrique (Facultatif) Modifier les paramètres du réseau de gestion dans l'interface de ligne de commande, à la page 102. Par défaut, l'interface de gestion utilise DHCP. Vous devrez télécharger la nouvelle image à partir d'un serveur accessible depuis l'interface de gestion. b) Suivez la procédure de réinstallation du guide de dépannage de la console FXOS. (Facultatif) Modifier les paramètres du réseau de gestion dans l'interface de ligne de commande Si vous ne pouvez pas utiliser l'adresse IP de gestion par défaut, vous pouvez vous connecter au port de console et effectuer la configuration initiale à partir de l'interface de ligne de commande, notamment la configuration de l'adresse IP de gestion, de la passerelle et d'autres paramètres réseau de base. Vous pouvez uniquement configurer les paramètres de l'interface de gestion ; vous ne pouvez pas configurer des interfaces internes ou externes (vous pourrez les configurer ultérieurement dans l'interface graphique utilisateur). Guide de mise en route de l'appliance Cisco Firepower 1010 102 Déployer Threat Defense avec le Gestionnaire d'appareils (Facultatif) Modifier les paramètres du réseau de gestion dans l'interface de ligne de commande Remarque Vous ne pouvez pas répéter le script de configuration de l'interface de ligne de commande si vous ne supprimez pas la configuration, par exemple, via une réinitialisation. Vous pouvez cependant modifier tous les paramètres ultérieurement dans l'interface de ligne de commande à l'aide des commandes configure network. Reportez-vous à la rubrique Référence des commandes pour Secure Firewall Threat Defense. Procédure Étape 1 Connectez-vous au port de console du threat defense. Pour plus d'informations, reportez-vous à la rubrique Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS, à la page 117. Connectez-vous avec l'utilisateur admin et le mot de passe par défaut, Admin123. Vous vous connectez à l'interface de ligne de commande de la console FXOS. Lors de la première connexion, vous êtes invité à modifier le mot de passe par défaut. Ce mot de passe est également utilisé pour la connexion au threat defense pour SSH. Remarque Si vous avez modifié le mot de passe, mais que vous l'avez oublié, vous devez reconfigurer l'appareil pour réinitialiser le mot de passe par défaut. Consultez le Guide de dépannage de la console FXOS pour connaître la procédure de réinstallation. Exemple : firepower login: admin Password: Admin123 Successful login attempts for user 'admin' : 1 [...] Hello admin. You must change your password. Enter new password: ******** Confirm new password: ******** Your password was updated successfully. [...] firepower# Étape 2 Connectez-vous à l'interface de ligne de commande du threat defense. connect ftd Exemple : firepower# connect ftd > Étape 3 La première fois que vous vous connectez au threat defense, vous êtes invité à accepter le contrat de licence utilisateur final (CLUF) Le script de configuration de la CLI vous est ensuite présenté. Les valeurs par défaut ou les valeurs saisies précédemment apparaissent entre crochets. Pour accepter les valeurs saisies précédemment, appuyez sur la touche Entrée. Guide de mise en route de l'appliance Cisco Firepower 1010 103 Déployer Threat Defense avec le Gestionnaire d'appareils (Facultatif) Modifier les paramètres du réseau de gestion dans l'interface de ligne de commande Reportez-vous aux instructions suivantes : • Saisissez la passerelle IPv4 par défaut pour l'interface de gestion : si vous définissez une adresse IP manuelle, spécifiez le paramètre data-interfaces ou l'adresse IP du routeur de passerelle. Le paramètre data-interfaces envoie le trafic de gestion sortant via le fond de panier pour quitter une interface de données. Ce paramètre est utile si vous ne disposez pas d'un réseau de gestion distinct pouvant accéder à Internet. Le trafic provenant de l'interface de gestion inclut l'enregistrement des licences et les mises à jour de la base de données qui nécessitent un accès Internet. Si vous utilisez le paramètre data-interfaces, vous pouvez toujours utiliser le gestionnaire d'appareils (ou SSH) sur l'interface de gestion si vous êtes directement connecté au réseau de gestion, mais pour la gestion à distance de réseaux ou d'hôtes spécifiques, vous devez ajouter une route statique à l'aide de la commande configure network static-routes. Notez que ce paramètre n'a pas d'incidence sur la gestion du gestionnaire d'appareils sur les interfaces de données. Si vous utilisez DHCP, le système utilise la passerelle fournie par DHCP et utilise le paramètre data-interfaces comme méthode de secours si DHCP ne fournit pas de passerelle. • Si vos informations réseau ont changé, vous devrez vous reconnecter : si vous êtes connecté à SSH avec l'adresse IP par défaut, mais que vous modifiez l'adresse IP lors de la configuration initiale, vous êtes déconnecté. Reconnectez-vous en utilisant une nouvelle adresse IP et un nouveau mot de passe. Les connexions de console restent actives. • Gérer l'appareil localement ? : saisissez oui pour utiliser le gestionnaire d'appareils ou le CDO/gestionnaire d'appareils. Une réponse négative signifie que vous avez l'intention d'utiliser le centre de gestion pour gérer l'appareil. Exemple : You must accept the EULA to continue. Press <ENTER> to display the EULA: End User License Agreement [...] Please enter 'YES' or press <ENTER> to AGREE to the EULA: System initialization in progress. Please stand by. You must configure the network to continue. You must configure at least one of IPv4 or IPv6. Do you want to configure IPv4? (y/n) [y]: Do you want to configure IPv6? (y/n) [n]: Configure IPv4 via DHCP or manually? (dhcp/manual) [manual]: Enter an IPv4 address for the management interface [192.168.45.45]: 10.10.10.15 Enter an IPv4 netmask for the management interface [255.255.255.0]: 255.255.255.192 Enter the IPv4 default gateway for the management interface [data-interfaces]: 10.10.10.1 Enter a fully qualified hostname for this system [firepower]: ftd-1.cisco.com Enter a comma-separated list of DNS servers or 'none' [208.67.222.222,208.67.220.220]: Enter a comma-separated list of search domains or 'none' []: If your networking information has changed, you will need to reconnect. For HTTP Proxy configuration, run 'configure network http-proxy' Manage the device locally? (yes/no) [yes]: yes > Étape 4 Connectez-vous au gestionnaire d'appareils avec la nouvelle adresse IP de gestion. Guide de mise en route de l'appliance Cisco Firepower 1010 104 Déployer Threat Defense avec le Gestionnaire d'appareils Se connecter au Gestionnaire d'appareils Se connecter au Gestionnaire d'appareils Connectez-vous au gestionnaire d'appareils pour configurer votre threat defense. Avant de commencer • Utilisez une version actuelle de Firefox, Chrome, Safari, Edge ou Internet Explorer. Procédure Étape 1 Saisissez l'URL suivante dans votre navigateur. • (7.0 et versions ultérieures) Interne (Ethernet1/2 à 1/8)—https://192.168.95.1.Vous pouvez vous connecter à l'adresse interne sur n'importe quel port de commutateur interne (Ethernet 1/2 à 1/8). • (6.7 et versions antérieures) Interne (Ethernet1/2 à 1/8)—https://192.168.1.1.Vous pouvez vous connecter à l'adresse interne sur n'importe quel port de commutateur interne (Ethernet 1/2 à 1/8). • (6.6 et versions ultérieures) Gestion—https://ip_gestion. Dans la mesure où l'interface de gestion est un client DHCP, l'adresse IP dépend de votre serveur DHCP. Si vous avez modifié l'adresse IP de gestion lors de la configuration de l'interface de ligne de commande, saisissez cette adresse. • (6.5 et versions antérieures) Gestion—https://192.168.45.45. Si vous avez modifié l'adresse IP de gestion lors de la configuration de l'interface de ligne de commande, saisissez cette adresse. Étape 2 Connectez-vous avec le nom d'utilisateur admin et le mot de passe par défaut Admin123. Que faire ensuite • exécutez l'assistant de configuration de gestionnaire d'appareils ; consultez la rubrique Terminer la configuration initiale, à la page 105. Terminer la configuration initiale Utilisez l'assistant de configuration lors de votre première connexion au gestionnaire d'appareils pour terminer la configuration initiale. Une fois l'assistant de configuration terminé, l'appareil doit être opérationnel et les politiques de base suivantes doivent être en place : • Une interface externe (Ethernet1/1) et une interface interne. Les ports Ethernet 1/2 à 1/8 sont des ports de commutateur sur l'interface VLAN1 interne (6.5 et versions ultérieures) ou des membres du groupe de ponts interne sur BVI1 (6.4). • Des zones de sécurité pour les interfaces internes et externes. • Une règle d'accès approuvant tout le trafic interne vers le trafic externe. • Une règle NAT d'interface qui traduit tout le trafic interne vers le trafic externe en ports uniques sur l'adresse IP de l'interface externe. Guide de mise en route de l'appliance Cisco Firepower 1010 105 Déployer Threat Defense avec le Gestionnaire d'appareils Terminer la configuration initiale • Un serveur DHCP exécuté sur l'interface interne. Remarque Si vous avez suivi la procédure (Facultatif) Modifier les paramètres du réseau de gestion dans l'interface de ligne de commande, à la page 102, certaines de ces tâches, notamment la modification du mot de passe admin et la configuration des interfaces externe et de gestion, doivent déjà avoir été effectuées. Procédure Étape 1 Vous êtes invité à lire et à accepter le contrat de licence de l'utilisateur final et à modifier le mot de passe admin. Vous devez suivre ces étapes pour continuer. Étape 2 Configurez les options suivantes pour les interfaces externes et de gestion, puis cliquez sur Suivant. Remarque Vos paramètres sont déployés sur l'appareil lorsque vous cliquez sur Suivant. L'interface est nommée « externe » et est ajoutée à la zone de sécurité « zone_externe ». Vérifiez que vos paramètres sont corrects. a) Interface externe : il s'agit du port de données que vous avez connecté au routeur de votre passerelle. Vous ne pouvez pas sélectionner une autre interface externe lors de la configuration initiale de l'appareil. La première interface de données est l'interface externe par défaut. Configurer IPv4 : adresse IPv4 de l'interface externe. Vous pouvez utiliser DHCP ou saisir manuellement une adresse IP statique, un masque de sous-réseau et une passerelle. Vous pouvez également sélectionner Désactivé pour ne pas configurer d'adresse IPv4. Vous ne pouvez pas configurer PPPoE à l'aide de l'assistant de configuration. Le protocole PPPoE peut être nécessaire si l'interface est connectée à un modem ADSL, un modem câble ou une autre connexion à votre FAI et que votre FAI utilise PPPoE pour fournir votre adresse IP. Vous pouvez configurer PPPoE après avoir terminé l'assistant. Configurer IPv6 : adresse IPv6 de l'interface externe. Vous pouvez utiliser DHCP ou saisir manuellement une adresse IP statique, un préfixe et une passerelle. Vous pouvez également sélectionner Désactivé pour ne pas configurer d'adresse IPv6. b) Interface de gestion Serveurs DNS : serveur DNS pour l'adresse de gestion du système. Saisissez une ou plusieurs adresses de serveurs DNS pour la résolution de noms. La valeur par défaut est Serveurs DNS publics OpenDNS. Si vous modifiez les champs et souhaitez rétablir les paramètres par défaut, cliquez sur Utiliser OpenDNS pour recharger les adresses IP appropriées dans les champs. Nom d'hôte du pare-feu : nom d'hôte de l'adresse de gestion du système. Étape 3 Configurez les paramètres d'heure système et cliquez sur Suivant. a) Fuseau horaire : sélectionnez le fuseau horaire du système. b) Serveur de temps NTP : sélectionnez cette option pour utiliser les serveurs NTP par défaut ou saisir manuellement les adresses de vos serveurs NTP. Vous pouvez ajouter plusieurs serveurs pour fournir des sauvegardes. Étape 4 (facultatif) Configurez les licences Smart du système. Guide de mise en route de l'appliance Cisco Firepower 1010 106 Déployer Threat Defense avec le Gestionnaire d'appareils Configurer l'octroi de licences L'achat d'un appareil threat defense inclut automatiquement une licence de base. Toutes les licences supplémentaires sont facultatives. Vous devez disposer d'un compte de licence Smart pour obtenir et appliquer les licences requises par le système. Pour commencer, vous pouvez utiliser la licence d'évaluation de 90 jours et configurer les licences Smart ultérieurement. Pour enregistrer l'appareil immédiatement, cliquez sur le lien pour vous connecter à votre compte Smart Software Manager et consultez la rubrique Configurer l'octroi de licences, à la page 107. Pour utiliser la licence d'évaluation, sélectionnez Démarrer la période d'évaluation de 90 jours sans inscription. Étape 5 Cliquez sur Terminer. Que faire ensuite • Bien que vous puissiez continuer à utiliser la licence d'évaluation, nous vous recommandons d'enregistrer votre appareil et de le mettre sous licence ; consultez la rubrique Configurer l'octroi de licences, à la page 107. • Vous pouvez également choisir de configurer l'appareil à l'aide de gestionnaire d'appareils ; consultez la rubrique Configurer le pare-feu dans le Gestionnaire d'appareils, à la page 113. Configurer l'octroi de licences Le threat defense utilise l'outil Cisco Smart Software Licensing, qui vous permet d'acheter et de gérer un pool de licences de manière centralisée. Lorsque vous enregistrez le châssis, l'outil Smart Software Manager délivre un certificat d'identification pour établir la communication entre le châssis et Smart Software Manager. Il attribue également le châssis au compte virtuel approprié. Pour une présentation complète de Cisco Licensing, rendez-vous sur cisco.com/go/licensingguide. La licence de base est incluse automatiquement. Les licences Smart ne vous empêchent pas d'utiliser les fonctionnalités que vous n'avez pas encore achetées. Vous pouvez commencer à utiliser une licence immédiatement, à condition d'être enregistré auprès de Smart Software Manager, puis acheter la licence ultérieurement. Cela vous permet de déployer et d'utiliser une fonctionnalité, et d'éviter les retards dus à l'approbation du bon de commande. Consultez les licences suivantes : • Menace : sécurité adaptative et système de prévention des intrusions de nouvelle génération • Malware : protection contre les programmes malveillants • URL : filtrage des URL • RA VPN : AnyConnect Plus, AnyConnect Apex ou AnyConnect VPN uniquement Avant de commencer • Veillez à disposer d'un compte principal sur Smart Software Manager. Guide de mise en route de l'appliance Cisco Firepower 1010 107 Déployer Threat Defense avec le Gestionnaire d'appareils Configurer l'octroi de licences Si vous n'avez pas encore de compte, cliquez sur le lien pour configurer un nouveau compte. Smart Software Manager vous permet de créer un compte principal pour votre entreprise. • Votre compte Smart Software Licensing doit bénéficier de la licence de chiffrement renforcé (3DES/AES) pour utiliser certaines fonctionnalités (activées à l'aide de l'indicateur de conformité d'exportation). Procédure Étape 1 Assurez-vous que votre compte Smart Licensing contient les licences disponibles dont vous avez besoin. Si vous avez acheté votre appareil auprès de Cisco ou d'un revendeur, vos licences doivent avoir été associées à votre compte Smart Software License. Toutefois, si vous devez ajouter des licences vous-même, utilisez le champ de recherche Rechercher des produits et des solutions de Cisco Commerce Workspace. Recherchez les PID de licence suivants : Illustration 27 : Recherche de licences Remarque Si aucun PID n'est renvoyé, vous pouvez l'ajouter manuellement à votre commande. • Combinaison des licences Threat, Malware et URL : • L-FPR1010T-TMC= Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée limitée correspondant à l'un des PID suivants : • L-FPR1010T-TMC-1Y • L-FPR1010T-TMC-3Y • L-FPR1010T-TMC-5Y • VPN RA : consultez le Guide d'aide à la commande Cisco AnyConnect. Étape 2 Dans Smart Software Manager, demandez un jeton d'enregistrement pour le compte virtuel auquel vous souhaitez ajouter cet appareil, et copiez-le. a) Cliquez sur Inventaire. b) Dans l'onglet Général, cliquez sur Nouveau jeton. Guide de mise en route de l'appliance Cisco Firepower 1010 108 Déployer Threat Defense avec le Gestionnaire d'appareils Configurer l'octroi de licences c) Dans la boîte de dialogue Créer un jeton d'enregistrement, saisissez les paramètres suivants, puis cliquez sur Créer un jeton : • Description • Délai d'expiration : Cisco recommande de définir un délai de 30 jours. • Autoriser la fonctionnalité de contrôle d'exportation sur les produits enregistrés avec ce jeton : active l'indicateur de conformité d'exportation si vous êtes dans un pays qui autorise un chiffrement renforcé. Vous devez sélectionner cette option maintenant si vous prévoyez d'utiliser cette fonctionnalité. Si vous activez cette fonctionnalité ultérieurement, vous devrez réenregistrer votre appareil avec une nouvelle clé de produit et recharger l'appareil. Si cette option n'est pas disponible, votre compte ne prend pas en charge la fonctionnalité de contrôle d'exportation. Le jeton est ajouté à votre inventaire. d) Cliquez sur l'icône représentant une flèche à droite du jeton pour ouvrir la boîte de dialogue Jeton afin de pouvoir copier l'ID de jeton dans votre presse-papiers. Conservez ce jeton à portée de main pour l'utiliser plus tard dans la procédure d'enregistrement du threat defense. Guide de mise en route de l'appliance Cisco Firepower 1010 109 Déployer Threat Defense avec le Gestionnaire d'appareils Configurer l'octroi de licences Illustration 28 : Afficher le jeton Illustration 29 : Copier le jeton Étape 3 Dans le gestionnaire d'appareils, cliquez sur Appareil, puis, dans le récapitulatif Licence Smart, cliquez sur Afficher la configuration. La page Licence Smart s'affiche. Étape 4 Cliquez sur Enregistrer l'appareil. Suivez ensuite les instructions de la boîte de dialogue Enregistrement de la licence Smart pour coller votre jeton : Guide de mise en route de l'appliance Cisco Firepower 1010 110 Déployer Threat Defense avec le Gestionnaire d'appareils Configurer l'octroi de licences Étape 5 Cliquez sur Enregistrer l'appareil. Vous revenez à la page Licence Smart. Pendant l'enregistrement de l'appareil, le message suivant s'affiche : Une fois l'appareil enregistré et la page actualisée, les informations suivantes s'affichent : Étape 6 Cliquez sur la commande Activer/Désactiver en regard de chaque licence facultative. Guide de mise en route de l'appliance Cisco Firepower 1010 111 Déployer Threat Defense avec le Gestionnaire d'appareils Configurer l'octroi de licences • Activer : enregistre la licence avec votre compte Cisco Smart Software Manager et active les fonctionnalités contrôlées. Vous pouvez maintenant configurer et déployer des politiques contrôlées par la licence. • Désactiver : annule l'enregistrement de la licence avec votre compte Cisco Smart Software Manager et désactive les fonctionnalités contrôlées. Vous ne pouvez pas configurer les fonctionnalités dans de nouvelles politiques, ni déployer des politiques qui utilisent cette fonctionnalité. • Si vous avez activé la licence VPN RA, sélectionnez le type de licence que vous souhaitez utiliser : Plus, Apex, VPN uniquement ou Plus et Apex. Après avoir activé les fonctionnalités, si vous ne disposez pas des licences dans votre compte, le message de non-conformité suivant s'affiche après l'actualisation de la page : Étape 7 Sélectionnez Synchroniser de nouveau la connexion dans la liste déroulante de l'icône d'engrenage pour synchroniser les informations de licence avec Cisco Smart Software Manager. Guide de mise en route de l'appliance Cisco Firepower 1010 112 Déployer Threat Defense avec le Gestionnaire d'appareils Configurer le pare-feu dans le Gestionnaire d'appareils Configurer le pare-feu dans le Gestionnaire d'appareils Consultez les étapes suivantes pour connaître les fonctionnalités supplémentaires que vous souhaitez configurer. Cliquez sur le bouton d'aide (?) sur une page pour obtenir des informations détaillées sur chaque étape. Procédure Étape 1 Si vous souhaitez convertir une interface de groupe de ponts (6.4) ou souhaitez convertir un port de commutateur en interface de pare-feu (6.5 et versions ultérieures), sélectionnez Appareil, puis cliquez sur le lien dans le récapitulatif Interfaces. Cliquez sur l'icône de modification ( et d'autres paramètres. ) de chaque interface pour configurer le mode, et définir l'adresse IP L'exemple suivant configure une interface à utiliser en tant que « zone démilitarisée » (DMZ), dans laquelle vous placez des ressources accessibles au public, par exemple votre serveur web. Lorsque vous avez terminé, cliquez sur Enregistrer. Illustration 30 : Modifier l'interface Étape 2 Si vous avez configuré de nouvelles interfaces, sélectionnez Objets, puis sélectionnez Zones de sécurité dans la table des matières. Guide de mise en route de l'appliance Cisco Firepower 1010 113 Déployer Threat Defense avec le Gestionnaire d'appareils Configurer le pare-feu dans le Gestionnaire d'appareils Modifiez ou créez de nouvelles zones, le cas échéant. Chaque interface doit appartenir à une zone, car vous configurez les politiques en fonction des zones de sécurité, et non des interfaces. Vous ne pouvez pas placer les interfaces dans des zones lors de leur configuration. Vous devez donc toujours modifier les objets de zone après avoir créé de nouvelles interfaces ou modifié l'objectif des interfaces existantes. Dans l'exemple suivant, nous vous expliquons comment créer une nouvelle zone DMZ pour l'interface DMZ. Illustration 31 : Objet de la zone de sécurité Étape 3 Si vous souhaitez que les clients internes utilisent DHCP pour obtenir une adresse IP de l'appareil, sélectionnez Appareil > Paramètres système > Serveur DHCP, puis sélectionnez l'onglet Serveurs DHCP. Un serveur DHCP est déjà configuré pour l'interface interne, mais vous pouvez modifier le pool d'adresses, voire le supprimer. Si vous avez configuré d'autres interfaces internes, il est très fréquent d'installer un serveur DHCP sur ces interfaces. Cliquez sur + pour configurer le serveur et le pool d'adresses pour chaque interface interne. Vous pouvez également ajuster la liste WINS et DNS fournie aux clients dans l'onglet Configuration. Dans l'exemple suivant, nous vous expliquons comment configurer un serveur DHCP sur l'interface interne2 avec le pool d'adresses 192.168.4.50-192.168.4.240. Illustration 32 : Serveur DHCP Étape 4 Sélectionnez Appareil, puis cliquez sur Afficher la configuration (ou sur Créer la première route statique) dans le groupe Routage et configurez une route par défaut. La route par défaut pointe généralement vers le routeur en amont ou le routeur du FAI qui se trouve hors de l'interface externe. Une route IPv4 par défaut est any-ipv4 (0.0.0.0/0), tandis qu'une route IPv6 par défaut est Guide de mise en route de l'appliance Cisco Firepower 1010 114 Déployer Threat Defense avec le Gestionnaire d'appareils Configurer le pare-feu dans le Gestionnaire d'appareils any-ipv6 (::0/0). Créez des routes pour chaque version IP que vous utilisez. Si vous utilisez DHCP pour obtenir une adresse pour l'interface externe, vous disposez peut-être déjà des routes par défaut dont vous avez besoin. Remarque Les routes que vous définissez sur cette page concernent uniquement les interfaces de données. Elles n'ont pas d'impact sur l'interface de gestion. Définissez la passerelle de gestion sur Appareil > Paramètres système > Interface de gestion. L'exemple suivant présente une route par défaut pour IPv4. Dans cet exemple, isp-gateway est un objet réseau qui identifie l'adresse IP de la passerelle du FAI (vous devez obtenir l'adresse de auprès de votre FAI). Vous pouvez créer cet objet en cliquant sur Créer un réseau en bas de la liste déroulante Passerelle. Illustration 33 : Route par défaut Étape 5 Sélectionnez Politiques et configurez les politiques de sécurité du réseau. L'assistant de configuration d'appareils active le flux de trafic entre la zone interne et la zone externe, et la NAT d'interface pour toutes les interfaces lorsqu'elles accèdent à l'interface externe. Même si vous configurez de nouvelles interfaces, si vous les ajoutez à l'objet de la zone interne, la règle de contrôle d'accès les applique automatiquement. Cependant, si vous possédez plusieurs interfaces internes, vous devez disposer d'une règle de contrôle d'accès pour autoriser le flux de trafic d'une zone interne à l'autre. Si vous ajoutez d'autres zones de sécurité, vous devez disposer de règles pour autoriser le trafic vers et depuis ces zones. Il s'agit de vos modifications minimales. En outre, vous pouvez configurer d'autres politiques pour fournir des services supplémentaires et affiner la NAT et les règles d'accès pour obtenir les résultats dont votre organisation a besoin. Vous pouvez configurer les politiques suivantes : • Déchiffrement SSL : si vous souhaitez inspecter les connexions chiffrées (telles que HTTPS) pour détecter les intrusions, les programmes malveillants, etc., vous devez les déchiffrer. Utilisez la politique de décodage SSL pour déterminer les connexions à déchiffrer. Le système chiffre à nouveau la connexion après l'avoir inspectée. • Identité : si vous souhaitez mettre en corrélation l'activité du réseau avec des utilisateurs individuels ou contrôler l'accès au réseau en fonction de l'utilisateur ou du groupe d'utilisateurs, utilisez la politique d'identité pour déterminer l'utilisateur associé à une adresse IP source donnée. Guide de mise en route de l'appliance Cisco Firepower 1010 115 Déployer Threat Defense avec le Gestionnaire d'appareils Configurer le pare-feu dans le Gestionnaire d'appareils • Sécurité adaptative : utilisez la politique Sécurité adaptative pour supprimer rapidement les connexions depuis ou vers les adresses IP ou les URL de la liste noire. Lorsque vous mettez en liste noire les sites malveillants connus, il est inutile de les prendre en compte dans votre politique de contrôle d'accès. Cisco fournit régulièrement des mises à jour des adresses et des URL malveillantes afin que la liste noire Sécurité adaptative se mette à jour dynamiquement. Utilisez des flux pour éviter de modifier la politique en vue d'ajouter ou de supprimer des éléments dans la liste noire. • NAT (traduction d'adresses réseau) : utilisez la politique NAT pour convertir les adresses IP internes en adresses routables externes. • Contrôle d'accès : utilisez la politique de contrôle d'accès pour déterminer les connexions autorisées sur le réseau. Vous pouvez filtrer par zone de sécurité, adresse IP, protocole, port, application, URL, utilisateur ou groupe d'utilisateurs. Vous appliquez également des politiques d'intrusion et de fichiers (programmes malveillants) à l'aide de règles de contrôle d'accès. Utilisez cette politique pour mettre en œuvre le filtrage des URL. • Intrusion : utilisez les politiques d'intrusion pour détecter les menaces connues. Même si vous appliquez des politiques d'intrusion à l'aide de règles de contrôle d'accès, vous pouvez modifier les politiques d'intrusion pour activer ou désactiver sélectivement des règles d'intrusion spécifiques. Dans l'exemple suivant, nous vous expliquons comment autoriser le trafic entre la zone interne et la zone DMZ dans la politique de contrôle d'accès. Dans cet exemple, aucune option n'est définie dans les autres onglets, à l'exception de Journalisation, où l'option À la fin de la connexion est sélectionnée. Illustration 34 : Politique de contrôle d'accès Étape 6 Sélectionnez Appareil, puis cliquez sur Afficher la configuration dans le groupe Mises à jour et configurez les planifications de mises à jour pour les bases de données système. Si vous utilisez des politiques d'intrusion, configurez des mises à jour régulières pour les règles et les bases de données VDB. Si vous utilisez des flux de sécurité adaptative, planifiez la mise à jour de ces flux. Si vous utilisez la géolocalisation dans des politiques de sécurité comme critères de correspondance, planifiez la mise à jour de cette base de données. Étape 7 Cliquez sur le bouton Déployer dans le menu, puis sur le bouton Déployer maintenant ( vos modifications sur l'appareil. Les modifications ne sont pas appliquées sur l'appareil tant que vous ne les déployez pas. Guide de mise en route de l'appliance Cisco Firepower 1010 116 ) pour déployer Déployer Threat Defense avec le Gestionnaire d'appareils Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS Utilisez l'interface de ligne de commande (CLI) pour configurer le système et résoudre les problèmes de base du système. Vous ne pouvez pas configurer les politiques via une session CLI. Vous pouvez accéder à l'interface de ligne de commande en vous connectant au port de console. Vous pouvez également accéder à la CLI FXOS à des fins de dépannage. Remarque Vous pouvez également vous connecter à l'interface de gestion de l'appareil threat defense. Contrairement à une session de console, la session SSH utilise par défaut l'interface de ligne de commande du threat defense, à partir de laquelle vous pouvez vous connecter à la CLI FXOS à l'aide de la commande connect fxos. Vous pourrez ensuite vous connecter à l'adresse sur une interface de données si vous ouvrez l'interface pour les connexions SSH. L'accès SSH aux interfaces de données est désactivé par défaut. Cette procédure décrit l'accès au port de console, qui est défini par défaut sur la CLI FXOS. Procédure Étape 1 Pour vous connecter à l'interface de ligne de commande, connectez votre ordinateur de gestion au port de console. L'appareil Firepower 1000 est livré avec un câble série USB A vers B. Veillez à installer les pilotes série USB nécessaires à votre système d'exploitation (consultez le guide matériel de l'appareil Firepower 1010). Le port de console est défini par défaut sur la CLI FXOS. Utilisez les paramètres série suivants : • 9 600 bauds • 8 bits de données • Aucune parité • 1 bit d'arrêt Vous vous connectez à la CLI FXOS. Connectez-vous à l'interface de ligne de commande à l'aide du nom d'utilisateur admin et du mot de passe que vous avez défini lors de la configuration initiale (la valeur par défaut est Admin123). Exemple : firepower login: admin Password: Last login: Thu May 16 14:01:03 UTC 2019 on ttyS0 Successful login attempts for user 'admin' : 1 firepower# Étape 2 Accédez à l'interface de ligne de commande du threat defense. connect ftd Exemple : Guide de mise en route de l'appliance Cisco Firepower 1010 117 Déployer Threat Defense avec le Gestionnaire d'appareils Afficher les informations sur le matériel firepower# connect ftd > Après vous être connecté, pour obtenir des informations sur les commandes disponibles dans l'interface de ligne de commande, saisissez help ou ?. Pour plus d'informations sur l'utilisation, reportez-vous à la rubrique Référence des commandes pour Secure Firewall Threat Defense. Étape 3 Pour quitter l'interface de ligne de commande threat defense, saisissez la commande du exit ou logout. Cette commande vous renvoie à l'invite de la CLI FXOS. Pour plus d'informations sur les commandes disponibles dans la CLI FXOS, saisissez ?. Exemple : > exit firepower# Afficher les informations sur le matériel Utilisez l'interface de ligne de commande (CLI) pour afficher des informations sur votre matériel, notamment le modèle de l'appareil, la version du matériel, le numéro de série et les composants du châssis, y compris les modules d'alimentation et les modules réseau. Vous pouvez accéder à l'interface de ligne de commande en vous connectant au port de console ; reportez-vous à la rubrique Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS, à la page 117. Procédure Étape 1 Pour afficher le modèle matériel de l'appareil, utilisez la commande show model. >show model Exemple : > show model Cisco Firepower 1010 Threat Defense Étape 2 Pour afficher le numéro de série du châssis, utilisez la commande show serial-number. >show serial-number Exemple : > show serial-number JMX1943408S Ces informations figurent également dans le résultat des commandes show version system, show running-config et show inventory. Guide de mise en route de l'appliance Cisco Firepower 1010 118 Déployer Threat Defense avec le Gestionnaire d'appareils Mettre le pare-feu hors tension Étape 3 Pour afficher des informations sur tous les produits Cisco installés sur l'appareil réseau auxquels sont attribués un identifiant de produit (PID), un identifiant de version (VID) et un numéro de série (SN), utilisez la commande show inventory. >show inventory a) À partir de l'interface de ligne de commande du threat defense : Exemple : > show inventory Name: "module 0", DESCR: "Firepower 1010 Appliance, Desktop, 8 GE, 1 MGMT" PID: FPR-1010 , VID: V00 , SN: JMX1943408S b) À partir de l'interface de ligne de commande de FXOS : Exemple : firepower /chassis # show inventory Chassis PID Vendor Serial (SN) HW Revision ---------- --------------- ----------------- ----------- ----------1 FPR-1010 Cisco Systems, In JMX1943408S 0.3 Mettre le pare-feu hors tension Il est important que vous arrêtiez correctement votre système. Il ne suffit pas de débrancher le câble d'alimentation, car vous risquez d'endommager gravement le système de fichiers. N'oubliez pas que de nombreux processus s'exécutent en arrière-plan en permanence, et que débrancher ou couper l'alimentation ne permet pas un arrêt normal de votre système de pare-feu. Le châssis initial de l'appareil Firepower 1010 ne possède pas d'interrupteur d'alimentation.Vous pouvez mettre le pare-feu hors tension à l'aide de gestionnaire d'appareils ou utiliser l'interface de ligne de commande de FXOS. Mettre le pare-feu hors tension à l'aide du Gestionnaire d'appareils Vous pouvez arrêter votre système correctement à l'aide du gestionnaire d'appareils. Procédure Étape 1 Utilisez le gestionnaire d'appareils pour arrêter le pare-feu. Remarque Pour les versions 6.4 et antérieures, saisissez la commande shutdown dans l'interface de ligne de commande du gestionnaire d'appareils. a) Cliquez sur Appareil, puis cliquez sur le lien Paramètres système > Redémarrage/Arrêt. b) Cliquez sur Arrêter. Étape 2 Si vous disposez d'une connexion de console au pare-feu, observez les invites système lorsque le pare-feu s'arrête. L'invite suivante s'affiche : Guide de mise en route de l'appliance Cisco Firepower 1010 119 Déployer Threat Defense avec le Gestionnaire d'appareils Mettre l'appareil hors tension à l'aide de l'interface de ligne de commande System is stopped. It is safe to power off now. Do you want to reboot instead? [y/N] Si vous ne disposez pas d'une connexion de console, attendez environ 3 minutes pour vous assurer que le système s'est éteint. Étape 3 Vous pouvez désormais débrancher ce dernier pour couper l'alimentation du châssis si nécessaire. Mettre l'appareil hors tension à l'aide de l'interface de ligne de commande Vous pouvez utiliser l'interface de ligne de commande FXOS pour arrêter le système en toute sécurité et mettre l'appareil hors tension. Vous pouvez accéder à l'interface de ligne de commande en vous connectant au port de console ; reportez-vous à la rubrique Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS, à la page 117. Procédure Étape 1 Dans la CLI FXOS, connectez-vous à l'interface de gestion locale : firepower # connect local-mgmt Étape 2 Exécutez la commande shutdown : firepower(local-mgmt) # shutdown Exemple : firepower(local-mgmt)# shutdown This command will shutdown the system. Continue? Please enter 'YES' or 'NO': yes INIT: Stopping Cisco Threat Defense......ok Étape 3 Observez les invites du système lorsque le pare-feu s'arrête. L'invite suivante s'affiche : System is stopped. It is safe to power off now. Do you want to reboot instead? [y/N] Étape 4 Vous pouvez désormais débrancher ce dernier pour couper l'alimentation du châssis si nécessaire. Et après ? Pour poursuivre la configuration de votre threat defense, consultez les documents disponibles pour votre version logicielle dans Parcourir la documentation de Cisco Firepower. Pour plus d'informations sur l'utilisation du gestionnaire d'appareils, reportez-vous à la rubrique Guide de configuration de Cisco Firepower Threat Defense pour le gestionnaire de périphériques Firepower. Guide de mise en route de l'appliance Cisco Firepower 1010 120 CHAPITRE 5 Déployer Threat Defense avec le CDO Ce chapitre vous concerne-t-il ? Pour connaître tous les systèmes d'exploitation et gestionnaires disponibles, reportez-vous à la rubrique Quel système d'exploitation et quel gestionnaire vous conviennent le mieux ?, à la page 1. Ce chapitre s'adresse aux threat defense qui utilisent le Secure Firewall Management Center cloud de Cisco Defense Orchestrator (CDO). Pour utiliser le CDO avec la fonctionnalité gestionnaire d'appareils, consultez la documentation du CDO. Remarque Le centre de gestion cloud prend en charge threat defense versions 7.2 et ultérieures. Pour les versions antérieures, vous pouvez utiliser la fonctionnalité gestionnaire d'appareils du CDO. Chaque threat defense contrôle, inspecte, surveille et analyse le trafic. Le CDO possède une console de gestion centralisée avec une interface web que vous pouvez utiliser pour effectuer des tâches d'administration et de gestion afin de sécuriser votre réseau local. À propos du pare-feu L'appareil peut exécuter un logiciel threat defense ou un logiciel ASA. Pour basculer entre threat defense et ASA, vous devez reconfigurer l'appareil. Vous devez également recommencer l'installation si vous avez besoin d'une version logicielle différente de celle actuellement installée. Consultez la rubrique Réinstaller Cisco ASA ou Firepower Threat Defense. Le pare-feu exécute un système d'exploitation sous-jacent appelé Système d'exploitation Secure Firewall eXtensible (FXOS). Le pare-feu ne prend pas en charge le Gestionnaire de châssis Secure Firewall FXOS ; seule une CLI limitée est prise en charge à des fins de dépannage. Pour obtenir plus d'informations, reportez-vous à la section Guide de dépannage Cisco FXOS pour la série Firepower 1000/2100 exécutant Firepower Threat Defense. Déclaration de confidentialité—Le pare-feu ne requiert ni ne collecte activement aucune information permettant de vous identifier. Vous pouvez néanmoins utiliser des informations d'identification personnelle au cours de la configuration, notamment des noms d'utilisateur. Dans ce cas, un administrateur peut accéder à ces informations lors de l'utilisation de la configuration ou de l'utilisation du protocole SNMP. • À propos de la gestion du Threat Defense via le CDO, à la page 122 • Procédure de bout en bout : LTP (Low-Touch Provisioning), à la page 123 • Procédure de bout en bout : assistant d'intégration, à la page 125 • Configuration préalable de l'administrateur central, à la page 127 • Déployer le pare-feu avec la fonction Low-Touch Provisioning, à la page 134 Guide de mise en route de l'appliance Cisco Firepower 1010 121 Déployer Threat Defense avec le CDO À propos de la gestion du Threat Defense via le CDO • Déployer le pare-feu avec l'assistant d'intégration, à la page 138 • Configurer une politique de sécurité de base, à la page 152 • Dépannage et maintenance, à la page 163 • Et après ?, à la page 171 À propos de la gestion du Threat Defense via le CDO Secure Firewall Management Center sur le cloud Le centre de gestion sur le cloud offre de nombreuses fonctions, à l'instar du centre de gestion sur site. Lorsque vous utilisez le CDO en tant que gestionnaire principal, vous ne pouvez utiliser un centre de gestion sur site qu'à des fins d'analyse. Le centre de gestion sur site ne prend pas en charge la configuration ou la mise à niveau des politiques. Méthodes d'intégration du CDO Vous pouvez intégrer un appareil de l'une des manières suivantes : • Exécution de la fonction Low-touch provisioning à l'aide du numéro de série : • Un administrateur du siège central envoie le threat defense à la succursale distante. Aucune configuration préalable n'est requise. Aucune configuration n'est requise sur l'appareil, car la fonction LTP n'est pas disponible sur les appareils préconfigurés. Remarque L'administrateur central peut préenregistrer le threat defense sur le CDO en utilisant le numéro de série du threat defense avant d'envoyer l'appareil à la succursale. • L'administrateur de la succursale raccorde les câbles du threat defense et le met sous tension. • L'administrateur central termine la configuration du threat defense à l'aide du CDO. Vous pouvez également utiliser un numéro de série si vous avez déjà commencé à configurer l'appareil dans le gestionnaire d'appareils, bien que cette méthode ne soit pas abordée dans ce guide. • Assistant d'intégration à l'aide de l'enregistrement de la CLI : utilisez cette méthode manuelle si vous devez effectuer une préconfiguration ou si vous utilisez l'interface d'un gestionnaire que la fonction Low-Touch Provisioning ne prend pas en charge. Interface d'accès du gestionnaire Threat Defense Vous pouvez utiliser l'interface de gestion ou l'interface externe pour accéder au gestionnaire. Toutefois, ce guide couvre uniquement l'accès à l'interface externe. La fonction LTP prend en charge uniquement l'interface externe. L'interface de gestion est une interface spéciale configurée séparément des interfaces de données du threat defense, et possède ses propres paramètres réseau. Les paramètres réseau de l'interface de gestion sont utilisés même si vous activez l'accès au gestionnaire sur une interface de données. L'ensemble du trafic de gestion provient toujours de l'interface de gestion ou est toujours acheminé vers cette interface. Lorsque vous activez l'accès au gestionnaire sur une interface de données, le threat defense transfère le trafic de gestion entrant via Guide de mise en route de l'appliance Cisco Firepower 1010 122 Déployer Threat Defense avec le CDO Procédure de bout en bout : LTP (Low-Touch Provisioning) le fond de panier à l'interface de gestion. Pour le trafic de gestion sortant, l'interface de gestion transfère le trafic via le fond de panier vers l'interface de données. L'accès au gestionnaire à partir d'une interface de données présente les limitations suivantes : • Vous ne pouvez activer l'accès au gestionnaire que sur une seule interface de données physique. Vous ne pouvez pas utiliser de sous-interface ou EtherChannel. • Cette interface ne peut pas être une interface de gestion uniquement. • Mode de pare-feu routé uniquement, à l'aide d'une interface routée. • PPPoE n'est pas pris en charge. Si votre FAI nécessite un protocole PPPoE, vous devrez placer un routeur prenant en charge le protocole PPPoE entre le threat defense et le modem WAN. • L'interface doit se trouver dans le VRF global uniquement. • SSH n'est pas activé par défaut pour les interfaces de données. Vous devrez donc activer SSH ultérieurement avec le centre de gestion. Étant donné que la passerelle de l'interface de gestion sera remplacée par les interfaces de données, vous ne pouvez pas non plus accéder à l'interface de gestion depuis un réseau distant, sauf si vous ajoutez une route statique pour l'interface de gestion à l'aide de la commande configure network static-routes. Procédure de bout en bout : LTP (Low-Touch Provisioning) Reportez-vous aux tâches suivantes pour déployer le threat defense avec le CDO sur votre châssis à l'aide du provisionnement presque entièrement automatisé. Guide de mise en route de l'appliance Cisco Firepower 1010 123 Déployer Threat Defense avec le CDO Procédure de bout en bout : LTP (Low-Touch Provisioning) Illustration 35 : Procédure de bout en bout : LTP (Low-Touch Provisioning) Cisco Commerce Workspace Obtenir les licences, à la page 127. (Administrateur du CDO) CLI (Facultatif) Vérifier le logiciel et installer une nouvelle version, à la page 128. (Administrateur du CDO) CDO Se connecter au gestionnaire CDO, à la page 130. (Administrateur du CDO) Tâches des succursales Indiquer le numéro de série du pare-feu à l'administrateur central, à la page 134. (Administrateur de la succursale) Guide de mise en route de l'appliance Cisco Firepower 1010 124 Déployer Threat Defense avec le CDO Procédure de bout en bout : assistant d'intégration Tâches des succursales Installez le pare-feu. Reportez-vous au guide d'installation matérielle. (Administrateur de la succursale) Tâches des succursales Raccorder le pare-feu, à la page 135. (Administrateur de la succursale) Tâches des succursales Mettre le pare-feu sous tension, à la page 136. (Administrateur de la succursale) CDO Intégrer un appareil avec la fonction Low-Touch Provisioning, à la page 137. (Administrateur du CDO) CDO Configurer une politique de sécurité de base, à la page 152. (Administrateur du CDO) Procédure de bout en bout : assistant d'intégration Reportez-vous aux tâches suivantes pour intégrer le threat defense au CDO à l'aide de l'assistant d'intégration. Guide de mise en route de l'appliance Cisco Firepower 1010 125 Déployer Threat Defense avec le CDO Procédure de bout en bout : assistant d'intégration Illustration 36 : Procédure de bout en bout : assistant d'intégration Cisco Commerce Workspace Obtenir les licences, à la page 127. CLI (Facultatif) Vérifier le logiciel et installer une nouvelle version, à la page 128. CDO Se connecter au gestionnaire CDO, à la page 130. Tâches physiques Installez le pare-feu. Reportez-vous au guide d'installation matérielle. Tâches physiques Raccorder le pare-feu, à la page 138. Tâches physiques Mettre le pare-feu sous tension, à la page 140. CDO Intégrer un appareil avec l'assistant d'intégration, à la page 140. Guide de mise en route de l'appliance Cisco Firepower 1010 126 Déployer Threat Defense avec le CDO Configuration préalable de l'administrateur central Interface de ligne de commande ou Gestionnaire d'appareils CDO • Effectuer la configuration initiale à l'aide de l'interface de ligne de commande, à la page 142. • Effectuer la configuration initiale à l'aide du Gestionnaire d'appareils, à la page 146. Configurer une politique de sécurité de base, à la page 152. Configuration préalable de l'administrateur central Dans cette section, nous vous expliquons comment obtenir des licences de fonctionnalités pour votre pare-feu, comment installer une nouvelle version logicielle avant le déploiement et comment se connecter au CDO. Obtenir les licences Toutes les licences sont fournies au threat defense via le CDO. Vous pouvez éventuellement acheter les licences de fonctionnalités suivantes : • Menace : sécurité adaptative et système de prévention des intrusions de nouvelle génération • Malware : protection contre les programmes malveillants • URL : filtrage des URL • RA VPN : AnyConnect Plus, AnyConnect Apex ou AnyConnect VPN uniquement Pour une présentation complète de Cisco Licensing, rendez-vous sur cisco.com/go/licensingguide. Avant de commencer • Veillez à disposer d'un compte principal sur Smart Software Manager. Si vous n'avez pas encore de compte, cliquez sur le lien pour configurer un nouveau compte. Smart Software Manager vous permet de créer un compte principal pour votre entreprise. • Votre compte Smart Software Licensing doit bénéficier de la licence de chiffrement renforcé (3DES/AES) pour utiliser certaines fonctionnalités (activées à l'aide de l'indicateur de conformité d'exportation). Procédure Étape 1 Assurez-vous que votre compte Smart Licensing contient les licences disponibles dont vous avez besoin. Si vous avez acheté votre appareil auprès de Cisco ou d'un revendeur, vos licences doivent avoir été associées à votre compte Smart Software License. Toutefois, si vous devez ajouter des licences vous-même, utilisez le champ de recherche Rechercher des produits et des solutions de Cisco Commerce Workspace. Recherchez les PID de licence suivants : Guide de mise en route de l'appliance Cisco Firepower 1010 127 Déployer Threat Defense avec le CDO (Facultatif) Vérifier le logiciel et installer une nouvelle version Illustration 37 : Recherche de licences Remarque Si aucun PID n'est renvoyé, vous pouvez l'ajouter manuellement à votre commande. • Combinaison des licences Threat, Malware et URL : • L-FPR1010T-TMC= Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée limitée correspondant à l'un des PID suivants : • L-FPR1010T-TMC-1Y • L-FPR1010T-TMC-3Y • L-FPR1010T-TMC-5Y • VPN RA : consultez le Guide d'aide à la commande Cisco AnyConnect. Étape 2 Si cela n'est pas déjà fait, enregistrez le CDO auprès du gestionnaire Smart Software Manager. Pour cela, vous devez générer un jeton d'enregistrement dans Smart Software Manager. Reportez-vous à la documentation du CDO pour obtenir des instructions détaillées. (Facultatif) Vérifier le logiciel et installer une nouvelle version Pour vérifier la version du logiciel et, si nécessaire, installer une autre version, procédez comme suit. Nous vous recommandons d'installer votre version cible avant de configurer le pare-feu. Vous pouvez également effectuer une mise à niveau une fois que vous êtes opérationnel, mais la mise à niveau, qui préserve votre configuration, peut prendre plus de temps que cette procédure. Quelle version dois-je exécuter ? Cisco recommande d'exécuter une version Gold Star indiquée par une étoile dorée en regard du numéro de version sur la page de téléchargement du logiciel. Vous pouvez également vous reporter à la stratégie de publication décrite dans la rubrique https://www.cisco.com/c/en/us/products/collateral/security/firewalls/ bulletin-c25-743178.html ; par exemple, ce bulletin décrit la numérotation des versions à court terme (avec les dernières fonctionnalités), la numérotation des versions à long terme (versions de maintenance et correctifs pour une période plus longue) ou la numérotation des versions à très long terme (versions de maintenance et correctifs pour la période la plus longue, pour la certification gouvernementale). Avant de commencer Pour la fonction LTP, si vous vous connectez et modifiez le mot de passe, vous désactivez le processus de LTP (Low-Touch Provisioning). Vous ne devez vous connecter et effectuer une réinstallation que si vous Guide de mise en route de l'appliance Cisco Firepower 1010 128 Déployer Threat Defense avec le CDO (Facultatif) Vérifier le logiciel et installer une nouvelle version savez déjà que vous devez modifier la version du logiciel. Si vous êtes connecté et souhaitez restaurer la fonctionnalité de LTP sans installer le logiciel, vous pouvez rétablir les paramètres d'usine. Consultez le Guide de dépannage de la console FXOS. Procédure Étape 1 Mettez le pare-feu sous tension et connectez-vous au port de console. Pour plus d'informations, consultez Mettre le pare-feu sous tension, à la page 140 et Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS, à la page 163. Connectez-vous avec l'utilisateur admin et le mot de passe par défaut, Admin123. Vous vous connectez à la CLI FXOS. Lors de la première connexion, vous êtes invité à modifier le mot de passe par défaut. Ce mot de passe est également utilisé pour la connexion au threat defense pour SSH. Remarque Si vous avez modifié le mot de passe, mais que vous l'avez oublié, vous devez réinitialiser l'appareil pour rétablir le mot de passe par défaut. Consultez le Guide de dépannage de la console FXOS pour connaître la procédure pour rétablir les paramètres d'usine. Exemple : firepower login: admin Password: Admin123 Successful login attempts for user 'admin' : 1 [...] Hello admin. You must change your password. Enter new password: ******** Confirm new password: ******** Your password was updated successfully. [...] firepower# Étape 2 Dans l'interface de ligne de commande de la console FXOS, affichez la version en cours d'exécution. scope ssa show app-instance Exemple : Firepower# scope ssa Firepower /ssa # show app-instance Application Name Slot ID Admin State Operational State Running Version Startup Version Cluster Oper State -------------------- ---------- --------------- -------------------- ----------------------------- -----------------ftd 1 Enabled Online 7.2.0.65 7.2.0.65 Not Applicable Étape 3 Si vous souhaitez installer une nouvelle version, procédez comme suit. Guide de mise en route de l'appliance Cisco Firepower 1010 129 Déployer Threat Defense avec le CDO Se connecter au gestionnaire CDO a) Si vous devez définir une adresse IP statique pour l'interface de gestion, reportez-vous à la rubrique Effectuer la configuration initiale à l'aide de l'interface de ligne de commande, à la page 142. Par défaut, l'interface de gestion utilise DHCP. Vous devrez télécharger la nouvelle image à partir d'un serveur accessible depuis l'interface de gestion. b) Suivez la procédure de réinstallation du guide de dépannage de la console FXOS. Étape 4 Pour la fonction LTP, ne vous connectez pas au pare-feu après la réinstallation ; la connexion démarre la configuration initiale. La fonction LTP est disponible uniquement sur les pare-feu avec de nouvelles installations qui n'ont pas été configurées. Se connecter au gestionnaire CDO Le gestionnaire CDO utilise Cisco Secure Sign-On comme fournisseur d'identité et Duo Security pour l'authentification multifacteur (MFA). Le gestionnaire CDO nécessite une MFA qui fournit une couche de sécurité supplémentaire pour protéger l'identité de vos utilisateurs. L'authentification à deux facteurs, un type de MFA, nécessite deux composants (ou facteurs) pour garantir l'identité des utilisateurs qui se connectent au gestionnaire CDO. Le premier facteur est un nom d'utilisateur et un mot de passe, et le second est un mot de passe à usage unique, qui est généré à la demande par Duo Security. Après avoir établi vos informations d'identification Cisco Secure Sign-On, vous pouvez vous connecter au gestionnaire CDO à partir de votre tableau de bord Cisco Secure Sign-On. Le tableau de bord Cisco Secure Sign-On vous permet également de vous connecter à tous les autres produits Cisco pris en charge. • Si vous disposez d'un compte Cisco Secure Sign-On, passez directement à la rubrique Se connecter au gestionnaire CDO avec Cisco Secure Sign-On, à la page 133. • Si vous ne disposez pas d'un compte Cisco Secure Sign-On, passez à la rubrique Créer un nouveau compte Cisco Secure Sign-On, à la page 130. Créer un nouveau compte Cisco Secure Sign-On Le processus de connexion initiale comprend quatre étapes. Les quatre étapes sont obligatoires. Avant de commencer • Installer Duo Security : nous vous recommandons d'installer l'application Duo Security sur un terminal mobile. Consultez le Guide Duo pour l'authentification à deux facteurs : guide d'inscription si vous avez des questions sur l'installation de Duo. • Synchronisation de l'heure : vous allez utiliser votre terminal mobile pour générer un mot de passe unique. Il est important que l'horloge de votre terminal soit synchronisée avec l'heure réelle, car l'OTP est basé sur le temps. Assurez-vous que l'horloge de votre terminal est correctement réglée. • Utilisez une version actuelle de Firefox ou de Chrome. Guide de mise en route de l'appliance Cisco Firepower 1010 130 Déployer Threat Defense avec le CDO Créer un nouveau compte Cisco Secure Sign-On Procédure Étape 1 Inscrivez-vous pour un nouveau compte Cisco Secure Sign-On. a) Accédez à la page https://sign-on.security.cisco.com. b) En bas de l'écran de connexion, cliquez sur Inscription. Illustration 38 : Inscription à Cisco SSO c) Renseignez les champs de la boîte de dialogue Créer un compte et cliquez sur Enregistrer. Guide de mise en route de l'appliance Cisco Firepower 1010 131 Déployer Threat Defense avec le CDO Créer un nouveau compte Cisco Secure Sign-On Illustration 39 : Créer le compte Conseil Saisissez l'adresse e-mail que vous prévoyez d'utiliser pour vous connecter à CDO et ajoutez un nom d'organisation correspondant à votre entreprise. d) Après avoir cliqué sur Enregistrer, Cisco vous envoie un e-mail de vérification à l'adresse avec laquelle vous vous êtes enregistré. Ouvrez l'e-mail et cliquez sur Activer le compte. Étape 2 Configurez l'authentification multifacteur à l'aide de Duo. a) Dans l'écran Configurer l'authentification multifacteur, cliquez sur Configurer. b) Cliquez sur Démarrer la configuration et suivez les instructions pour sélectionner un appareil et vérifier s'il est associé à votre compte. Pour en savoir plus, consultez le Guide Duo pour l'authentification à deux facteurs : guide d'inscription. Si l'application Duo est déjà installée sur votre appareil, vous recevrez un code d'activation pour ce compte. Duo prend en charge plusieurs comptes sur un seul appareil. c) Au terme de l'assistant, cliquez sur Continuer pour vous connecter. d) Connectez-vous à Cisco Secure Sign-On avec l'authentification à deux facteurs. Étape 3 (facultatif) Configurez Google Authenticator en tant qu'authentificateur supplémentaire. a) Sélectionnez le terminal mobile que vous associez à Google Authenticator, puis cliquez sur Suivant. b) Suivez les instructions de l'assistant de configuration pour configurer Google Authenticator. Étape 4 Configurez les options de récupération du compte pour votre compte Cisco Secure Sign-On. a) b) c) d) Choisissez une question et une réponse en cas de « mot de passe oublié ». Choisissez un numéro de téléphone de récupération pour réinitialiser votre compte par SMS. Sélectionnez une image de sécurité. Cliquez sur Créer mon compte. Guide de mise en route de l'appliance Cisco Firepower 1010 132 Déployer Threat Defense avec le CDO Se connecter au gestionnaire CDO avec Cisco Secure Sign-On Le tableau de bord Cisco Security Sign-On s'affiche avec les vignettes de l'application CDO. Les vignettes d'autres applications s'affichent également. Conseil Vous pouvez déplacer les vignettes vers le tableau de bord pour les classer dans l'ordre de votre choix, créer des onglets pour regrouper les vignettes et les renommer. Illustration 40 : Tableau de bord Cisco SSO Se connecter au gestionnaire CDO avec Cisco Secure Sign-On Connectez-vous au gestionnaire CDO pour intégrer et gérer votre appareil. Avant de commencer Cisco Defense Orchestrator (CDO) utilise Cisco Secure Sign-On comme fournisseur d'identité et Duo Security pour l'authentification multifacteur. • Pour vous connecter à CDO, vous devez tout d'abord créer votre compte dans Cisco Secure Sign-On et configurer l'authentification multifacteur à l'aide de Duo ; consultez la rubrique Créer un nouveau compte Cisco Secure Sign-On, à la page 130. • Utilisez une version actuelle de Firefox ou de Chrome. Procédure Étape 1 Dans un navigateur web, accédez à https://sign-on.security.cisco.com/. Étape 2 Saisissez votre nom d'utilisateur et votre mot de passe. Étape 3 Cliquez sur Log in. Étape 4 Recevez un autre facteur d'authentification avec Duo Security et confirmez votre connexion. Le système confirme votre connexion et affiche le tableau de bord Cisco Secure Sign-On. Étape 5 Cliquez sur la vignette CDO appropriée dans le tableau de bord Cisco Secure Sign-on. La vignette CDO vous dirige vers https://defenseorchestrator.com, la vignette CDO (UE) vers https://defenseorchestrator.eu et la vignette CDO (APJC) vers https://www.apj.cdo.cisco.com. Guide de mise en route de l'appliance Cisco Firepower 1010 133 Déployer Threat Defense avec le CDO Déployer le pare-feu avec la fonction Low-Touch Provisioning Illustration 41 : Tableau de bord Cisco SSO Étape 6 Cliquez sur le logo de l'authentificateur pour sélectionner Duo Security ou Google Authenticator, si vous avez configuré les deux authentificateurs. • Si vous possédez déjà un enregistrement utilisateur sur un locataire existant, vous êtes connecté à ce locataire. • Si vous possédez déjà un enregistrement utilisateur sur plusieurs locataires, vous pouvez choisir le locataire CDO auquel vous connecter. • Si vous ne disposez pas déjà d'un enregistrement utilisateur sur un locataire existant, vous pouvez en savoir plus sur le gestionnaire CDO ou solliciter un compte d'essai. Déployer le pare-feu avec la fonction Low-Touch Provisioning Une fois que vous avez reçu le pare-feu threat defense du siège social, il vous suffit de le raccorder et de le mettre sous tension en vue de le connecter à Internet depuis l'interface externe. L'administrateur central peut alors terminer la configuration. Indiquer le numéro de série du pare-feu à l'administrateur central Avant de monter en rack le pare-feu ou de jeter l'emballage, notez le numéro de série afin de pouvoir vous coordonner avec l'administrateur central. Procédure Étape 1 Déballez le châssis et ses composants. Faites l'inventaire de votre pare-feu et de son emballage avant de raccorder les câbles ou de mettre le pare-feu sous tension. Vous devez également vous familiariser avec la disposition du châssis, les composants et les voyants. Étape 2 Notez le numéro de série du pare-feu. Il se trouve sur le coffret de livraison. Il se trouve également sur un autocollant sur la partie inférieure du châssis du pare-feu. Guide de mise en route de l'appliance Cisco Firepower 1010 134 Déployer Threat Defense avec le CDO Raccorder le pare-feu Étape 3 Envoyez le numéro de série du pare-feu à l'administrateur réseau du CDO de votre service informatique/siège. Votre administrateur réseau doit disposer du numéro de série de votre pare-feu pour activer la fonction LTP (Low-Touch Provisioning), se connecter au pare-feu et le configurer à distance. Contactez l'administrateur du CDO pour établir un calendrier d'intégration. Raccorder le pare-feu Dans cette rubrique, nous vous expliquons comment connecter l'appareil Firepower 1010 à votre réseau afin qu'un CDO puisse le gérer à distance. Si vous avez reçu un pare-feu dans votre succursale et que vous devez le brancher sur votre réseau, regardez cette vidéo. Elle décrit votre pare-feu, ainsi que les séquences de voyants qui indiquent l'état du pare-feu. Si nécessaire, vous pouvez vérifier l'état du pare-feu auprès de votre service informatique en observant les voyants. Illustration 42 : Raccorder le Firepower 1010 La fonction LTP prend en charge la connexion au CDO via Ethernet 1/1 (externe). Remarque Les interfaces Ethernet 1/2 à 1/8 sont configurées en tant que ports de commutateur matériels ; PoE+ est également disponible sur Ethernet 1/7 et 1/8. Guide de mise en route de l'appliance Cisco Firepower 1010 135 Déployer Threat Defense avec le CDO Mettre le pare-feu sous tension Procédure Étape 1 Installez le châssis. Reportez-vous au guide d'installation matérielle. Étape 2 Connectez le câble réseau de l'interface Ethernet 1/1 à votre modem de réseau étendu (WAN). Votre modem WAN établit la connexion Internet dans votre succursale et sert également de route vers Internet à votre pare-feu. Étape 3 Raccordez vos terminaux internes aux ports de commutateur, Ethernet 1/2 à 1/8. Les ports Ethernet 1/7 et 1/8 sont des ports PoE+. Étape 4 (facultatif) Connectez l'ordinateur de gestion au port de console. Dans la succursale, la connexion à la console n'est pas nécessaire pour une utilisation quotidienne ; elle peut cependant être nécessaire à des fins de dépannage. Mettre le pare-feu sous tension L'alimentation du système est contrôlée par le cordon d'alimentation. Il n'y a pas de bouton d'alimentation. Remarque La première fois que vous démarrez le threat defense, l'initialisation peut prendre entre 15 et 30 minutes. Procédure Étape 1 Raccordez le câble d'alimentation à l'appareil et branchez-le à une prise électrique. L'appareil se met automatiquement sous tension dès que vous le branchez. Étape 2 Observez le voyant d'alimentation situé à l'arrière de l'appareil. S'il est allumé en vert, l'appareil est sous tension. Étape 3 Observez le voyant d'état à l'arrière ou sur l'appareil. Lorsqu'il s'allume en vert, le système a terminé les diagnostics de mise sous tension. Étape 4 Observez le voyant d'état à l'arrière ou en haut de l'appareil ; lorsque l'appareil démarre correctement, le voyant d'état clignote rapidement en vert. Guide de mise en route de l'appliance Cisco Firepower 1010 136 Déployer Threat Defense avec le CDO Intégrer un appareil avec la fonction Low-Touch Provisioning En cas de problème, le voyant d'état clignote rapidement en orange. Le cas échéant, contactez votre service informatique. Étape 5 Observez le voyant d'état à l'arrière ou en haut de l'appareil ; lorsque l'appareil se connecte au cloud Cisco, le voyant d'état clignote lentement en vert. En cas de problème, le voyant d'état clignote en orange et en vert, ce qui signifie que l'appareil ne s'est pas connecté au cloud Cisco. Le cas échéant, assurez-vous que votre câble réseau est connecté à l'interface Ethernet 1/1 et à votre modem WAN. Si, après avoir ajusté le câble réseau, l'appareil ne se connecte toujours pas au cloud Cisco après environ 10 minutes supplémentaires, contactez votre service informatique. Que faire ensuite • Contactez votre service informatique pour confirmer votre calendrier d'intégration et vos activités. Vous devez mettre en place un plan de communication avec l'administrateur du CDO de votre siège central. • Une fois cette tâche terminée, l'administrateur du CDO pourra configurer et gérer l'appareil à distance. Vous avez terminé. Intégrer un appareil avec la fonction Low-Touch Provisioning Intégrez le threat defense à l'aide de la fonction LTP (Low-Touch Provisioning) et du numéro de série. Procédure Étape 1 Dans le volet de navigation CDO, cliquez sur Inventaires, cliquez sur le bouton Plus bleu ( l'appareil. Étape 2 Sélectionnez la vignette FTD. Étape 3 Sous Mode de gestion, assurez-vous que FTD est sélectionné. ) pour intégrer À tout moment après avoir sélectionné FTD comme mode de gestion, vous pouvez cliquer sur Gérer la licence Smart pour enregistrer ou modifier les licences Smart existantes disponibles pour votre périphérique. Reportez-vous à la rubrique Obtenir les licences, à la page 127 pour connaître les licences disponibles. Étape 4 Sélectionnez Utiliser le numéro de série comme méthode d'intégration. Illustration 43 : Utiliser le numéro de série Guide de mise en route de l'appliance Cisco Firepower 1010 137 Déployer Threat Defense avec le CDO Déployer le pare-feu avec l'assistant d'intégration Étape 5 Dans la zone Connexion, saisissez le numéro de série et le nom de l'appareil, puis cliquez sur Suivant. Étape 6 Dans la zone Réinitialisation du mot de passe, cliquez sur la case d'option Oui, ce nouvel appareil n'a jamais été connecté ou configuré pour un gestionnaire, puis cliquez sur Suivant. Étape 7 Utilisez le menu déroulant de la zone Affectation de politique pour choisir une politique de contrôle d'accès pour l'appareil. Si aucune politique n'est configurée, choisissez la politique de contrôle d'accès par défaut. Étape 8 Pour la Licence d'abonnement, cochez la case en regard de chaque fonctionnalité que vous souhaitez activer. Cliquez sur Next (Suivant). Étape 9 (facultatif) Ajoutez des étiquettes à votre appareil pour trier et filtrer la page Inventaire. Saisissez une étiquette et cliquez sur le bouton bleu Plus ( CDO. ). Les étiquettes sont appliquées à l'appareil après son intégration au Que faire ensuite Sur la page Inventaire, sélectionnez l'appareil que vous venez d'intégrer et sélectionnez l'une des options répertoriées sous le volet Gestion situé à droite. Déployer le pare-feu avec l'assistant d'intégration Dans cette section, nous vous expliquons comment configurer le pare-feu en vue de l'intégrer à l'aide de l'assistant d'intégration du CDO. Raccorder le pare-feu Dans cette rubrique, nous vous expliquons comment connecter l'appareil Firepower 1010 à votre réseau afin qu'un CDO puisse le gérer à distance. Guide de mise en route de l'appliance Cisco Firepower 1010 138 Déployer Threat Defense avec le CDO Raccorder le pare-feu Illustration 44 : Raccorder le Firepower 1010 Vous pouvez vous connecter au CDO sur l'interface externe ou l'interface de gestion, selon l'interface que vous avez configurée pour l'accès du gestionnaire lors de la configuration initiale. Ce guide présente l'interface externe. Remarque Les interfaces Ethernet 1/2 à 1/8 sont configurées en tant que ports de commutateur matériels ; PoE+ est également disponible sur Ethernet 1/7 et 1/8. Procédure Étape 1 Installez le châssis. Reportez-vous au guide d'installation matérielle. Étape 2 Connectez l'interface externe (Ethernet 1/1) à votre routeur externe. Vous pouvez également utiliser l'interface de gestion pour l'accès au gestionnaire. Notez toutefois que ce guide couvre principalement l'accès aux interfaces externes, scénario le plus probable pour les succursales distantes. Étape 3 Raccordez vos terminaux internes aux ports de commutateur, Ethernet 1/2 à 1/8. Les ports Ethernet 1/7 et 1/8 sont des ports PoE+. Étape 4 Connectez l'ordinateur de gestion au port de console ou à une interface interne. Guide de mise en route de l'appliance Cisco Firepower 1010 139 Déployer Threat Defense avec le CDO Mettre le pare-feu sous tension Si vous effectuez la configuration initiale à l'aide de l'interface de ligne de commande, vous devrez vous connecter au port de console. Le port de console peut également être requis à des fins de dépannage. Si vous effectuez la configuration initiale à l'aide du gestionnaire d'appareils, connectez-vous à une interface interne. Mettre le pare-feu sous tension L'alimentation du système est contrôlée par le cordon d'alimentation. Il n'y a pas de bouton d'alimentation. Remarque La première fois que vous démarrez le threat defense, l'initialisation peut prendre entre 15 et 30 minutes. Avant de commencer Il est important que vous utilisiez une source d'alimentation fiable pour alimenter votre appareil (à l'aide d'un système d'alimentation sans coupure, par exemple). Une panne de courant sans arrêt préalable peut endommager gravement le système de fichiers. De nombreux processus s'exécutent en arrière-plan en permanence, et une panne de courant ne permet pas l'arrêt normal de votre système. Procédure Étape 1 Raccordez le câble d'alimentation à l'appareil et branchez-le à une prise électrique. L'appareil se met automatiquement sous tension dès que vous le branchez. Étape 2 Observez le voyant d'alimentation situé à l'arrière de l'appareil. S'il est allumé en vert, l'appareil est sous tension. Étape 3 Observez le voyant d'état à l'arrière ou sur l'appareil. Lorsqu'il s'allume en vert, le système a terminé les diagnostics de mise sous tension. Intégrer un appareil avec l'assistant d'intégration Intégrez le threat defense à l'aide de l'assistant d'intégration du CDO avec une clé d'enregistrement de la CLI. Guide de mise en route de l'appliance Cisco Firepower 1010 140 Déployer Threat Defense avec le CDO Intégrer un appareil avec l'assistant d'intégration Procédure Étape 1 Dans le volet de navigation CDO, cliquez sur Inventaires, cliquez sur le bouton Plus bleu ( l'appareil. Étape 2 Sélectionnez la vignette FTD. Étape 3 Sous Mode de gestion, assurez-vous que FTD est sélectionné. ) pour intégrer À tout moment après avoir sélectionné FTD comme mode de gestion, vous pouvez cliquer sur Gérer la licence Smart pour enregistrer ou modifier les licences Smart existantes disponibles pour votre périphérique. Reportez-vous à la rubrique Obtenir les licences, à la page 127 pour connaître les licences disponibles. Étape 4 Sélectionnez Utiliser la clé d'enregistrement de la CLI comme méthode d'intégration. Illustration 45 : Utiliser la clé d'enregistrement de la CLI Étape 5 Saisissez le nom de l'appareil et cliquez sur Suivant. Étape 6 Utilisez le menu déroulant de la zone Affectation de politique pour choisir une politique de contrôle d'accès pour l'appareil. Si aucune politique n'est configurée, choisissez la politique de contrôle d'accès par défaut. Étape 7 Pour la licence d'abonnement, cliquez sur la case d'option Appareil FTD physique, puis cochez chaque licence de fonctionnalité que vous souhaitez activer. Cliquez sur Next (Suivant). Étape 8 Pour la clé d'enregistrement de la CLI, le CDO génère une commande avec la clé d'enregistrement et d'autres paramètres. Vous devez copier cette commande et l'utiliser dans la configuration initiale du threat defense. configure manager add cdo_hostname registration_key nat_id display_name Finalisez la configuration initiale sur l'interface de ligne de commande ou à l'aide du gestionnaire d'appareils : • Effectuer la configuration initiale à l'aide de l'interface de ligne de commande, à la page 142 : copiez cette commande dans l'interface de ligne de commande du FTD après avoir terminé le script de démarrage. • Effectuer la configuration initiale à l'aide du Gestionnaire d'appareils, à la page 146 : copiez les parties cdo_hostname, registration_key et nat_id de la commande dans les champs Nom d'hôte/adresse IP du centre de gestion/CDO, Clé d'enregistrement du centre de gestion/CDO et ID NAT. Exemple : Exemple de commande pour la configuration de la CLI : configure manager add account1.app.us.cdo.cisco.com KPOOP0rgWzaHrnj1V5ha2q5Rf8pKFX9E Lzm1HOynhVUWhXYWz2swmkj2ZWsN3Lb account1.app.us.cdo.cisco.com Exemples de composants de commande pour la configuration de l'interface graphique utilisateur : Guide de mise en route de l'appliance Cisco Firepower 1010 141 Déployer Threat Defense avec le CDO Effectuer la configuration initiale Illustration 46 : configurer l'ajout de composants de commande du gestionnaire Étape 9 Cliquez sur Suivant dans l'assistant d'intégration pour commencer à enregistrer l'appareil. Étape 10 (facultatif) Ajoutez des étiquettes à votre appareil pour trier et filtrer la page Inventaire. Saisissez une étiquette et cliquez sur le bouton bleu Plus ( CDO. ). Les étiquettes sont appliquées à l'appareil après son intégration au Que faire ensuite Sur la page Inventaire, sélectionnez l'appareil que vous venez d'intégrer et sélectionnez l'une des options répertoriées sous le volet Gestion situé à droite. Effectuer la configuration initiale Effectuez la configuration initiale du threat defense à l'aide de l'interface de ligne de commande ou du gestionnaire d'appareils. Effectuer la configuration initiale à l'aide de l'interface de ligne de commande Connectez-vous à l'interface de ligne de commande du threat defense pour effectuer la configuration initiale. Lorsque vous utilisez l'interface de ligne de commande pour procéder à la configuration initiale, seuls les paramètres de l'interface de gestion ou de l'interface d'accès au gestionnaire sont conservés. Lorsque vous procédez à la configuration initiale à l'aide du gestionnaire d'appareils, toutes les configurations d'interface effectuées dans le gestionnaire d'appareils sont conservées lorsque vous passez au CDO pour la gestion, en plus des paramètres d'interface de gestion et d'accès du gestionnaire. Notez que les autres paramètres de configuration par défaut, tels que la politique de contrôle d'accès, ne sont pas conservés. Procédure Étape 1 Connectez-vous à l'interface de ligne de commande du threat defense sur le port de console. Le port de console se connecte à l'interface de ligne de commande de FXOS. Étape 2 Connectez-vous avec le nom d'utilisateur admin et le mot de passe Admin123. Lors de la première connexion à FXOS, vous êtes invité à modifier le mot de passe par défaut. Ce mot de passe est également utilisé pour la connexion au threat defense pour SSH. Remarque Si le mot de passe a déjà été modifié et que vous ne le connaissez pas, vous devez reconfigurer l'appareil pour réinitialiser le mot de passe par défaut. Consultez le Guide de dépannage de la console FXOS pour connaître la procédure de réinstallation. Guide de mise en route de l'appliance Cisco Firepower 1010 142 Déployer Threat Defense avec le CDO Effectuer la configuration initiale à l'aide de l'interface de ligne de commande Exemple : firepower login: admin Password: Admin123 Successful login attempts for user 'admin' : 1 [...] Hello admin. You must change your password. Enter new password: ******** Confirm new password: ******** Your password was updated successfully. [...] firepower# Étape 3 Connectez-vous à l'interface de ligne de commande du threat defense. connect ftd Exemple : firepower# connect ftd > Étape 4 La première fois que vous vous connectez au threat defense, vous êtes invité à accepter le contrat de licence utilisateur final (CLUF). Vous accédez ensuite au script de configuration de l'interface de ligne de commande pour les paramètres de l'interface de gestion. Les paramètres de l'interface de gestion sont utilisés même si vous activez l'accès au gestionnaire sur une interface de données. Remarque Vous ne pouvez pas répéter l'assistant de configuration de la CLI à moins d'avoir effacé la configuration, par exemple, via une réinitialisation. Vous pouvez cependant modifier tous les paramètres ultérieurement dans l'interface de ligne de commande à l'aide des commandes configure network. Reportez-vous à la rubrique Référence des commandes pour Secure Firewall Threat Defense. Les valeurs par défaut ou les valeurs saisies précédemment apparaissent entre crochets. Pour accepter les valeurs saisies précédemment, appuyez sur la touche Entrée. Reportez-vous aux instructions suivantes : • Configurer IPv4 via DHCP ou manuellement ?—Sélectionnez manuel. Même si vous n'avez pas l'intention d'utiliser l'interface de gestion, vous devez définir une adresse IP, par exemple une adresse privée. Vous ne pouvez pas configurer une interface de données pour la gestion si l'interface de gestion est définie sur DHCP, car la route par défaut, qui doit être data-interfaces (reportez-vous au point suivant), peut être remplacée par une autre envoyée par le serveur DHCP. • Saisissez la passerelle IPv4 par défaut pour l'interface de gestion : définissez la passerelle sur data-interfaces. Ce paramètre transfère le trafic de gestion sur le fond de panier afin qu'il puisse être acheminé via l'interface de données d'accès au gestionnaire. • Gérer l'appareil localement ? : saisissez non pour utiliser le CDO. Si vous saisissez oui, vous utilisez le gestionnaire d'appareils. Guide de mise en route de l'appliance Cisco Firepower 1010 143 Déployer Threat Defense avec le CDO Effectuer la configuration initiale à l'aide de l'interface de ligne de commande • Configurer le mode pare-feu ? : saisissez routé. L'accès au gestionnaire externe est uniquement pris en charge en mode pare-feu routé. Exemple : You must accept the EULA to continue. Press <ENTER> to display the EULA: End User License Agreement [...] Please enter 'YES' or press <ENTER> to AGREE to the EULA: System initialization in progress. Please stand by. You must change the password for 'admin' to continue. Enter new password: ******** Confirm new password: ******** You must configure the network to continue. You must configure at least one of IPv4 or IPv6. Do you want to configure IPv4? (y/n) [y]: Do you want to configure IPv6? (y/n) [n]: Configure IPv4 via DHCP or manually? (dhcp/manual) [manual]: Enter an IPv4 address for the management interface [192.168.45.45]: 10.10.10.15 Enter an IPv4 netmask for the management interface [255.255.255.0]: 255.255.255.192 Enter the IPv4 default gateway for the management interface [data-interfaces]: Enter a fully qualified hostname for this system [firepower]: ftd-1.cisco.com Enter a comma-separated list of DNS servers or 'none' [208.67.222.222,208.67.220.220]: Enter a comma-separated list of search domains or 'none' []: If your networking information has changed, you will need to reconnect. For HTTP Proxy configuration, run 'configure network http-proxy' Manage the device locally? (yes/no) [yes]: no Configure firewall mode? (routed/transparent) [routed]: Configuring firewall mode ... Update policy deployment information - add device configuration - add network discovery - add system policy You can register the sensor to a Firepower Management Center and use the Firepower Management Center to manage it. Note that registering the sensor to a Firepower Management Center disables on-sensor Firepower Services management capabilities. When registering the sensor to a Firepower Management Center, a unique alphanumeric registration key is always required. In most cases, to register a sensor to a Firepower Management Center, you must provide the hostname or the IP address along with the registration key. 'configure manager add [hostname | ip address ] [registration key ]' However, if the sensor and the Firepower Management Center are separated by a NAT device, you must enter a unique NAT ID, along with the unique registration key. 'configure manager add DONTRESOLVE [registration key ] [ NAT ID ]' Later, using the web interface on the Firepower Management Center, you must use the same registration key and, if necessary, the same NAT ID when you add this sensor to the Firepower Management Center. > Étape 5 Configurez l'interface externe pour l'accès au gestionnaire. configure network management-data-interface Guide de mise en route de l'appliance Cisco Firepower 1010 144 Déployer Threat Defense avec le CDO Effectuer la configuration initiale à l'aide de l'interface de ligne de commande Vous êtes ensuite invité à configurer les paramètres réseau de base de l'interface externe. Consultez les informations suivantes pour utiliser cette commande : • L'interface de gestion ne peut pas utiliser DHCP si vous souhaitez utiliser une interface de données pour la gestion. Si vous n'avez pas défini l'adresse IP manuellement lors de la configuration initiale, vous pouvez la définir à l'aide de la commande configure network {ipv4 | ipv6} manual. Si vous n'avez pas encore défini la passerelle d'interface de gestion sur data-interfaces, cette commande la définit maintenant. • Lorsque vous ajoutez le threat defense au CDO, celui-ci détecte et conserve la configuration de l'interface, notamment les paramètres suivants : nom et adresse IP de l'interface, route statique vers la passerelle, serveurs DNS et serveur DDNS. Pour en savoir plus sur la configuration du serveur DNS, reportez-vous à la rubrique ci-dessous. Dans le CDO, vous pouvez modifier ultérieurement la configuration de l'interface d'accès FMC, mais assurez-vous de ne pas apporter de modifications susceptibles d'empêcher le threat defense ou le CDO de rétablir la connexion de gestion. Si la connexion de gestion est interrompue, le threat defense inclut la commande configure policy rollback permettant de restaurer le déploiement précédent. • Si vous configurez une URL de mise à jour du serveur DDNS, le threat defense ajoute automatiquement des certificats pour toutes les autorités de certification principales du bundle Autorités de certification racines approuvées par Cisco afin que le threat defense puisse valider le certificat du serveur DDNS pour la connexion HTTPS. Le threat defense FTD prend en charge tout serveur DDNS qui utilise la spécification de l'API distante DynDNS (https://help.dyn.com/remote-access-api/). • Cette commande définit le serveur DNS de l'interface de données. Le serveur DNS de gestion que vous avez défini avec le script de configuration (ou à l'aide de la commande configure network dns servers) est utilisé pour le trafic de gestion. Le serveur DNS de données est utilisé pour le DDNS (s'il est configuré) ou pour les politiques de sécurité appliquées à cette interface. Sur le CDO, les serveurs DNS de l'interface de données sont configurés dans la politique Paramètres de la plateforme que vous attribuez à ce threat defense. Lorsque vous ajoutez le threat defense au CDO, le paramètre local est conservé et les serveurs DNS ne sont pas ajoutés à une politique Paramètres de la plateforme. Toutefois, si vous attribuez ultérieurement une politique Paramètres de la plateforme au threat defense qui inclut une configuration DNS, cette configuration remplace le paramètre local. Nous vous suggérons de configurer activement les paramètres de la plateforme DNS pour qu'ils correspondent à ce paramètre afin de synchroniser le CDO et le threat defense. En outre, les serveurs DNS locaux ne sont conservés par le CDO que si les serveurs DNS ont été détectés lors de l'enregistrement initial. Par exemple, si vous avez enregistré l'appareil à l'aide de l'interface de gestion, mais que vous avez ensuite configuré une interface de données à l'aide de la commande configure network management-data-interface, vous devez configurer manuellement tous ces paramètres dans le CDO, y compris les serveurs DNS, pour qu'ils correspondent à la configuration du threat defense. • Vous pouvez modifier l'interface de gestion après avoir enregistré le threat defense auprès du CDO, soit en tant qu'interface de gestion, soit en tant qu'interface de données. • Le nom de domaine complet que vous avez défini dans l'assistant de configuration est utilisé pour cette interface. • Vous pouvez effacer la totalité de la configuration de l'appareil via cette commande ; vous pouvez utiliser cette option dans un scénario de récupération, mais nous vous déconseillons de l'utiliser pour la configuration initiale ou le fonctionnement normal. • Pour désactiver la gestion des données, saisissez la commande configure network management-data-interface disable. Guide de mise en route de l'appliance Cisco Firepower 1010 145 Déployer Threat Defense avec le CDO Effectuer la configuration initiale à l'aide du Gestionnaire d'appareils Exemple : > configure network management-data-interface Data interface to use for management: ethernet1/1 Specify a name for the interface [outside]: IP address (manual / dhcp) [dhcp]: DDNS server update URL [none]: https://deanwinchester:[email protected]/nic/update?hostname=<h>&myip=<a> Do you wish to clear all the device configuration before applying ? (y/n) [n]: Configuration done with option to allow manager access from any network, if you wish to change the manager access network use the 'client' option in the command 'configure network management-data-interface'. Setting IPv4 network configuration. Network settings changed. > Exemple : > configure network management-data-interface Data interface to use for management: ethernet1/1 Specify a name for the interface [outside]: internet IP address (manual / dhcp) [dhcp]: manual IPv4/IPv6 address: 10.10.6.7 Netmask/IPv6 Prefix: 255.255.255.0 Default Gateway: 10.10.6.1 Comma-separated list of DNS servers [none]: 208.67.222.222,208.67.220.220 DDNS server update URL [none]: Do you wish to clear all the device configuration before applying ? (y/n) [n]: Configuration done with option to allow manager access from any network, if you wish to change the manager access network use the 'client' option in the command 'configure network management-data-interface'. Setting IPv4 network configuration. Network settings changed. > Étape 6 Identifiez le CDO qui va gérer ce threat defense à l'aide de la commande configure manager add que le CDO a générée. Reportez-vous à la section Intégrer un appareil avec l'assistant d'intégration, à la page 140 pour générer la commande. Exemple : > configure manager add account1.app.us.cdo.cisco.com KPOOP0rgWzaHrnj1V5ha2q5Rf8pKFX9E Lzm1HOynhVUWhXYWz2swmkj2ZWsN3Lb account1.app.us.cdo.cisco.com Manager successfully configured. Effectuer la configuration initiale à l'aide du Gestionnaire d'appareils Connectez-vous au gestionnaire d'appareils pour effectuer la configuration initiale du threat defense. Lorsque vous effectuez la configuration initiale à l'aide du gestionnaire d'appareils, toutes les configurations d'interface effectuées dans le gestionnaire d'appareils sont conservées lorsque vous passez au CDO pour la gestion, en plus des paramètres d'interface de gestion et d'accès du gestionnaire. Notez que les autres paramètres de Guide de mise en route de l'appliance Cisco Firepower 1010 146 Déployer Threat Defense avec le CDO Effectuer la configuration initiale à l'aide du Gestionnaire d'appareils configuration par défaut, tels que la politique de contrôle d'accès ou les zones de sécurité, ne sont pas conservés. Lorsque vous utilisez l'interface de ligne de commande, seuls les paramètres de l'interface de gestion et d'accès au gestionnaire sont conservés (par exemple, la configuration par défaut de l'interface interne n'est pas conservée). Procédure Étape 1 Connectez votre ordinateur de gestion à l'une des interfaces suivantes : Ethernet1/2 à 1/8. Étape 2 Connectez-vous au gestionnaire d'appareils. a) Saisissez l'URL suivante dans votre navigateur : https://192.168.95.1 b) Connectez-vous avec le nom d'utilisateur admin et le mot de passe par défaut Admin123. c) Vous êtes invité à lire et à accepter le contrat de licence de l'utilisateur final et à modifier le mot de passe admin. Étape 3 Utilisez l'assistant de configuration lors de votre première connexion au gestionnaire d'appareils pour terminer la configuration initiale. Vous pouvez éventuellement ignorer l'assistant de configuration en cliquant sur Ignorer la configuration de l'appareil au bas de la page. Une fois l'assistant de configuration terminé, outre la configuration par défaut de l'interface interne (Ethernet 1/2 à 1/8, qui sont des ports de commutateur sur le VLAN1), la configuration d'une interface externe (Ethernet 1/1) sera conservée lorsque vous passerez à la gestion du CDO. a) Configurez les options suivantes pour les interfaces externes et de gestion, puis cliquez sur Suivant. 1. Adresse de l'interface externe : cette interface est généralement la passerelle Internet et peut être utilisée comme interface d'accès au gestionnaire. Vous ne pouvez pas sélectionner une autre interface externe lors de la configuration initiale de l'appareil. La première interface de données est l'interface externe par défaut. Si vous souhaitez utiliser une interface différente depuis l'interface externe (ou interne) pour l'accès au gestionnaire, vous devez la configurer manuellement après avoir terminé l'assistant de configuration. Configurer IPv4 : adresse IPv4 de l'interface externe. Vous pouvez utiliser DHCP ou saisir manuellement une adresse IP statique, un masque de sous-réseau et une passerelle. Vous pouvez également sélectionner Désactivé pour ne pas configurer d'adresse IPv4. Vous ne pouvez pas configurer PPPoE à l'aide de l'assistant de configuration. Le protocole PPPoE peut être nécessaire si l'interface est connectée à un modem ADSL, un modem câble ou une autre connexion à votre FAI et que votre FAI utilise PPPoE pour fournir votre adresse IP. Vous pouvez configurer PPPoE après avoir terminé l'assistant. Configurer IPv6 : adresse IPv6 de l'interface externe. Vous pouvez utiliser DHCP ou saisir manuellement une adresse IP statique, un préfixe et une passerelle. Vous pouvez également sélectionner Désactivé pour ne pas configurer d'adresse IPv6. 2. Interface de gestion Les paramètres de l'interface de gestion ne sont pas visibles si vous avez effectué la configuration initiale dans l'interface de ligne de commande. Les paramètres de l'interface de gestion sont utilisés même si vous activez l'accès au gestionnaire sur une interface de données. Par exemple, le trafic de gestion acheminé vers le fond de panier via l'interface de données résout les noms de domaine complets à l'aide des serveurs DNS de l'interface de gestion, et non des serveurs DNS de l'interface de données. Guide de mise en route de l'appliance Cisco Firepower 1010 147 Déployer Threat Defense avec le CDO Effectuer la configuration initiale à l'aide du Gestionnaire d'appareils Serveurs DNS : serveur DNS pour l'adresse de gestion du système. Saisissez une ou plusieurs adresses de serveurs DNS pour la résolution de noms. La valeur par défaut est Serveurs DNS publics OpenDNS. Si vous modifiez les champs et souhaitez rétablir les paramètres par défaut, cliquez sur Utiliser OpenDNS pour recharger les adresses IP appropriées dans les champs. Nom d'hôte du pare-feu : nom d'hôte de l'adresse de gestion du système. b) Configurez les Paramètres relatifs au temps (NTP) et cliquez sur Suivant. 1. Fuseau horaire : sélectionnez le fuseau horaire du système. 2. Serveur de temps NTP : sélectionnez cette option pour utiliser les serveurs NTP par défaut ou saisir manuellement les adresses de vos serveurs NTP. Vous pouvez ajouter plusieurs serveurs pour fournir des sauvegardes. c) Sélectionnez Démarrer la période d'évaluation de 90 jours sans enregistrement. N'enregistrez pas le threat defense auprès de Smart Software Manager ; toutes les licences sont octroyées sur le CDO. d) Cliquez sur Terminer. e) Vous êtes invité à sélectionner Gestion du cloud ou Autonome. Pour le CDO fourni dans le cloud centre de gestion, sélectionnez Autonome, puis J'ai compris. L'option Gestion du cloud concerne les fonctionnalités CDO/FDM existantes. Étape 4 (Peut être obligatoire) Configurez l'interface de gestion. Reportez-vous à l'interface de gestion sur Appareil > Interfaces. La passerelle doit être définie sur les interfaces de données de l'interface de gestion. Par défaut, l'interface de gestion reçoit une adresse IP et une passerelle de DHCP. Si vous ne recevez pas de passerelle de DHCP (par exemple, vous n'avez pas connecté cette interface à un réseau), la passerelle utilise par défaut les interfaces de données et vous n'avez rien à configurer. Si vous avez reçu une passerelle de DHCP, vous devez configurer cette interface avec une adresse IP statique et définir la passerelle sur les interfaces de données. Étape 5 Si vous souhaitez configurer des interfaces supplémentaires, notamment une interface autre que l'interface externe ou interne que vous souhaitez utiliser pour l'accès au gestionnaire sélectionnez Appareil, puis cliquez sur le lien dans le récapitulatif Interfaces. Reportez-vous à la rubrique Configurer le pare-feu dans le Gestionnaire d'appareils, à la page 113 pour plus d'informations sur la configuration des interfaces dans le gestionnaire d'appareils. Les autres configurations du gestionnaire d'appareils ne sont pas conservées lorsque vous enregistrez l'appareil auprès du CDO. Étape 6 Sélectionnez Appareil > Paramètres système > Centre de gestion, et cliquez sur Continuer pour configurer la gestion du centre de gestion. Étape 7 Configurez les détails du centre de gestion/CDO. Guide de mise en route de l'appliance Cisco Firepower 1010 148 Déployer Threat Defense avec le CDO Effectuer la configuration initiale à l'aide du Gestionnaire d'appareils Illustration 47 : Détails du centre de gestion/CDO a) Pour Connaissez-vous le nom d'hôte ou l'adresse IP du centre de gestion/CDO, cliquez sur Oui. CDO génère la commande configure manager add. Reportez-vous à la section Intégrer un appareil avec l'assistant d'intégration, à la page 140 pour générer la commande. Guide de mise en route de l'appliance Cisco Firepower 1010 149 Déployer Threat Defense avec le CDO Effectuer la configuration initiale à l'aide du Gestionnaire d'appareils configure manager add cdo_hostname registration_key nat_id display_name Exemple : Illustration 48 : configurer l'ajout de composants de commande du gestionnaire b) Copiez les parties cdo_hostname, registration_key et nat_id de la commande dans les champs Nom d'hôte/adresse IP du Centre de gestion/CDO, Clé d'enregistrement du Centre de gestion/CDO et ID NAT. Étape 8 Configurez la configuration de connectivité. a) Spécifiez le nom d'hôte du FTD. Ce nom de domaine complet sera utilisé pour l'interface externe ou l'interface choisie pour l'interface d'accès au centre de gestion/CDO. b) Spécifiez le groupe de serveurs DNS. Sélectionnez un groupe existant ou créez-en un nouveau. Le groupe DNS par défaut est appelé CiscoUmbrellaDNSServerGroup et inclut les serveurs OpenDNS. Ce paramètre définit le serveur DNS de l'interface de données. Le serveur DNS de gestion que vous avez défini avec l'assistant de configuration est utilisé pour le trafic de gestion. Le serveur DNS de données est utilisé pour le DDNS (s'il est configuré) ou pour les politiques de sécurité appliquées à cette interface. Vous devrez probablement choisir le même groupe de serveurs DNS que celui que vous avez utilisé pour la gestion, car le trafic de gestion et de données atteint le serveur DNS via l'interface externe. Sur le CDO, les serveurs DNS de l'interface de données sont configurés dans la politique Paramètres de la plateforme que vous attribuez à ce threat defense. Lorsque vous ajoutez le threat defense au CDO, le paramètre local est conservé et les serveurs DNS ne sont pas ajoutés à une politique Paramètres de la plateforme. Toutefois, si vous attribuez ultérieurement une politique Paramètres de la plateforme au threat defense qui inclut une configuration DNS, cette configuration remplace le paramètre local. Nous vous suggérons de configurer activement les paramètres de la plateforme DNS pour qu'ils correspondent à ce paramètre afin de synchroniser le CDO et le threat defense. En outre, les serveurs DNS locaux ne sont conservés par le CDO que si les serveurs DNS ont été détectés lors de l'enregistrement initial. c) Pour Interface d'accès au Centre de gestion/CDO, sélectionnez externe. Bien que vous puissiez choisir n'importe quelle interface configurée, dans ce guide nous supposons que vous utilisez une interface externe. Étape 9 Si vous avez choisi une interface de données externe différente, ajoutez une route par défaut. Un message s'affiche vous demandant de vérifier que vous disposez d'une route par défaut via l'interface. Si vous avez choisi une interface extérieure, vous avez déjà configuré cette route dans le cadre de l'assistant de configuration. Si vous avez choisi une autre interface, vous devez configurer manuellement une route par défaut avant de vous connecter au CDO. Reportez-vous à la rubrique Configurer le pare-feu dans le Gestionnaire Guide de mise en route de l'appliance Cisco Firepower 1010 150 Déployer Threat Defense avec le CDO Effectuer la configuration initiale à l'aide du Gestionnaire d'appareils d'appareils, à la page 113 pour plus d'informations sur la configuration des routes statiques dans le gestionnaire d'appareils. Étape 10 Cliquez sur Ajouter une méthode DNS dynamique (DDNS). DDNS garantit que le CDO peut atteindre le threat defense à son nom de domaine complet (FQDN) si l'adresse IP du threat defense change. Accédez à Appareil > Paramètres système > Service DDNS pour configurer DDNS. Si vous configurez DDNS avant d'ajouter le threat defense au CDO, le threat defense ajoute automatiquement des certificats pour toutes les autorités de certification principales du bundle Autorités de certification racines approuvées par Cisco afin que le threat defense puisse valider le certificat du serveur DDNS pour la connexion HTTPS. Le threat defense FTD prend en charge tout serveur DDNS qui utilise la spécification de l'API distante DynDNS (https://help.dyn.com/remote-access-api/). Étape 11 Cliquez sur Connecter. La boîte de dialogue État de l'enregistrement affiche l'état actuel du commutateur vers le CDO. Après l'étape Sauvegarde des paramètres d'enregistrement du centre de gestion/CDO, accédez au CDO et ajoutez le pare-feu. Si vous souhaitez annuler le basculement vers le CDO, cliquez sur Annuler l'enregistrement. Sinon, ne fermez pas la fenêtre du navigateur gestionnaire d'appareils avant d'avoir terminé l'étape de sauvegarde des paramètres d'enregistrement du centre de gestion/CDO. Dans le cas contraire, le processus sera interrompu et ne reprendra que lorsque vous vous reconnecterez au gestionnaire d'appareils. Si vous restez connecté au gestionnaire d'appareils après l'étape de sauvegarde des paramètres d'enregistrement du centre de gestion/CDO, la boîte de dialogue Connexion réussie avec le centre de gestion ou le CDO s'affiche, après quoi vous êtes déconnecté du gestionnaire d'appareils. Illustration 49 : Connexion réussie Guide de mise en route de l'appliance Cisco Firepower 1010 151 Déployer Threat Defense avec le CDO Configurer une politique de sécurité de base Configurer une politique de sécurité de base Dans cette section, nous vous expliquons comment configurer une politique de sécurité de base avec les paramètres suivants : • Interfaces internes et externes : attribuez une adresse IP statique à l'interface interne. Vous avez configuré les paramètres de base de l'interface externe dans le cadre de la configuration de l'accès du gestionnaire, mais vous devez toujours l'affecter à une zone de sécurité. • Serveur DHCP : utilisez un serveur DHCP sur l'interface interne pour les clients. • NAT : utilisez l'interface PAT sur l'interface externe. • Contrôle d'accès : autorisez le trafic de l'interface interne vers l'interface externe. • SSH : activez SSH sur l'interface d'accès du gestionnaire. Configurer les interfaces Ajoutez l'interface VLAN1 pour les ports de commutateur ou convertissez les ports de commutateur en interfaces de pare-feu, attribuez des interfaces aux zones de sécurité et définissez les adresses IP. En règle générale, vous devez configurer au moins deux interfaces pour qu'un système transmette un trafic significatif. Habituellement, vous disposez d'une interface externe face au routeur en amont ou à Internet, et d'une ou de plusieurs interfaces internes pour les réseaux de votre entreprise. Par défaut, Ethernet1/1 est une interface de pare-feu standard que vous pouvez utiliser à l'extérieur ; les autres interfaces sont des ports de commutateur sur le VLAN 1. Après avoir ajouté l'interface VLAN1, vous pouvez la convertir en interface interne. Vous pouvez également attribuer des ports de commutateur à d'autres VLAN ou convertir des ports de commutateur en interfaces de pare-feu. Un routage de périphérie classique consiste à obtenir l'adresse de l'interface externe via DHCP auprès de votre FAI, pendant que vous définissez des adresses statiques sur les interfaces internes. L'exemple suivant configure une interface interne en mode routé (VLAN1) avec une adresse statique et une interface externe en mode routé à l'aide de DHCP (Ethernet1/1). Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils, puis cliquez sur l'icône Modifier ( Étape 2 Cliquez sur Interfaces. Guide de mise en route de l'appliance Cisco Firepower 1010 152 ) de l'appareil. Déployer Threat Defense avec le CDO Configurer les interfaces Étape 3 (facultatif) Désactivez le mode de port de commutateur pour l'un des ports de commutateur (Ethernet 1/2 à 1/8) en cliquant sur le curseur dans la colonne SwitchPort pour le désactiver ( Étape 4 ). Activez les ports de commutateur. a) Cliquez sur Modifier ( ) pour le port de commutateur. b) Activez l'interface en cochant la case Activé. c) (facultatif) Modifiez l'ID de VLAN ; la valeur par défaut est 1. Vous devez ensuite ajouter une interface VLAN correspondant à cet ID. d) Cliquez sur OK. Étape 5 Ajoutez l'interface VLAN interne. a) Cliquez sur Ajouter des interfaces > Interface VLAN. L'onglet Général s'affiche. Guide de mise en route de l'appliance Cisco Firepower 1010 153 Déployer Threat Defense avec le CDO Configurer les interfaces b) Saisissez un nom comportant maximum 48 caractères. Par exemple, nommez l'interface interne. c) Cochez la case Activé. d) Laissez le champ Mode défini sur Aucun. e) Dans la liste déroulante Zone de sécurité, sélectionnez une zone de sécurité interne existante ou ajoutez-en une nouvelle en cliquant sur Créer. Par exemple, ajoutez une zone appelée zone_interne. Chaque interface doit être affectée à une zone de sécurité et/ou à un groupe d'interfaces. Une interface peut appartenir à une seule zone de sécurité, mais peut également appartenir à plusieurs groupes d'interfaces. Vous appliquez votre politique de sécurité en fonction des zones ou des groupes. Par exemple, vous pouvez attribuer l'interface interne à la zone interne, et l'interface externe à la zone externe. Vous pouvez ensuite configurer votre politique de contrôle d'accès pour que le trafic transite de l'interface interne vers l'interface externe, mais pas de l'interface externe vers l'interface interne. La plupart des politiques ne prennent en charge que les zones de sécurité ; vous pouvez utiliser des zones ou des groupes d'interfaces dans les politiques NAT, les politiques de préfiltre et les politiques QoS. f) Définissez le champ ID de VLAN sur 1. Par défaut, tous les ports de commutateur sont définis sur l'ID de VLAN 1 ; si vous choisissez un autre ID de VLAN, vous devez également modifier chaque port de commutateur pour qu'il corresponde au nouvel ID de VLAN. Vous ne pouvez pas modifier l'ID de VLAN après avoir enregistré l'interface ; l'ID de VLAN est à la fois la balise de VLAN utilisée et l'ID d'interface de votre configuration. g) Cliquez sur l'onglet IPv4 et/ou IPv6. Guide de mise en route de l'appliance Cisco Firepower 1010 154 Déployer Threat Defense avec le CDO Configurer les interfaces • IPv4 : sélectionnez Utiliser l'adresse IP statique dans la liste déroulante, et saisissez une adresse IP et un masque de sous-réseau en notation de barre oblique. Par exemple, saisissez 192.168.1.1/24. • IPv6 : cochez la case Configuration automatique pour la configuration automatique sans état. h) Cliquez sur OK. Étape 6 Cliquez sur Modifier ( ) pour l'interface Ethernet 1/1 que vous souhaitez utiliser comme interface externe. L'onglet Général s'affiche. Vous avez déjà préconfiguré cette interface pour l'accès au gestionnaire, l'interface sera donc déjà nommée, activée et adressée. Vous ne devez modifier aucun de ces paramètres de base, car cela perturberait la connexion de gestion du centre de gestion. Vous devez cependant configurer la zone de sécurité sur cet écran pour les politiques de trafic en transit. a) Dans la liste déroulante Zone de sécurité, sélectionnez une zone de sécurité externe existante ou ajoutez-en une en cliquant sur Créer. Par exemple, ajoutez une zone appelée zone_externe. b) Cliquez sur OK. Guide de mise en route de l'appliance Cisco Firepower 1010 155 Déployer Threat Defense avec le CDO Configurer le serveur DHCP Étape 7 Cliquez sur Enregistrer. Configurer le serveur DHCP Activez le serveur DHCP si vous souhaitez que les clients utilisent DHCP pour obtenir des adresses IP à partir du threat defense. Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils, puis cliquez sur l'icône Modifier ( Étape 2 Sélectionnez DHCP > Serveur DHCP. Étape 3 Sur la page Serveur, cliquez sur Ajouter et configurez les options suivantes : ) de l'appareil. • Interface : sélectionnez l'interface dans la liste déroulante. • Pool d'adresses : définissez la plage d'adresses IP (de la plus faible à la plus élevée) utilisée par le serveur DHCP. La plage d'adresses IP doit se trouver sur le même sous-réseau que l'interface sélectionnée et ne peut pas inclure l'adresse IP de l'interface proprement dite. • Activer le serveur DHCP : activez le serveur DHCP sur l'interface sélectionnée. Étape 4 Cliquez sur OK. Étape 5 Cliquez sur Enregistrer. Configuration du routage NAT Une règle NAT classique convertit les adresses internes en ports sur l'adresse IP de l'interface externe. Ce type de règle NAT est appelé interface PAT (Port Address Translation). Procédure Étape 1 Sélectionnez Appareils > NAT, puis cliquez sur Nouvelle politique > NAT de protection contre les menaces. Étape 2 Donnez un nom à la politique, sélectionnez le ou les appareils que vous souhaitez utiliser, puis cliquez sur Enregistrer. Guide de mise en route de l'appliance Cisco Firepower 1010 156 Déployer Threat Defense avec le CDO Configuration du routage NAT La politique est ajoutée au centre de gestion. Vous devez quand même ajouter des règles à la politique. Étape 3 Cliquez sur Ajouter une règle. La boîte de dialogue Ajouter une règle NAT apparaît. Étape 4 Configurez les options de règle de base : • Règle NAT : sélectionnez Règle NAT automatique. • Type : choisissez Dynamique. Étape 5 Sur la page Objets d'interface, ajoutez la zone externe de la section Objets d'interface disponibles à la section Objets d'interface de destination. Guide de mise en route de l'appliance Cisco Firepower 1010 157 Déployer Threat Defense avec le CDO Configuration du routage NAT Étape 6 Sur la page Traduction, configurez les options suivantes : • Source d'origine : cliquez sur Ajouter ( (0.0.0.0/0). ) pour ajouter un objet réseau pour tout le trafic IPv4 Remarque Vous ne pouvez pas utiliser l'objet any-ipv4 défini par le système, car les règles NAT automatiques ajoutent la fonction NAT à la définition d'objet et vous ne pouvez pas modifier les objets définis par le système. Guide de mise en route de l'appliance Cisco Firepower 1010 158 Déployer Threat Defense avec le CDO Autoriser le trafic de l'interface interne vers l'interface externe • Source traduite : sélectionnez Adresse IP de l'interface de destination. Étape 7 Cliquez sur Enregistrer pour ajouter la règle. La règle est enregistrée dans la table Règles. Étape 8 Cliquez sur Enregistrer sur la page NAT pour enregistrer vos modifications. Autoriser le trafic de l'interface interne vers l'interface externe Si vous avez créé une politique de contrôle d'accès de base Bloquer tout le trafic lorsque vous avez enregistré le threat defense, vous devez ajouter des règles à la politique pour autoriser le trafic via l'appareil. La procédure suivante ajoute une règle pour autoriser le trafic de la zone interne vers la zone externe. Si vous disposez d'autres zones, veillez à ajouter des règles autorisant le trafic vers les réseaux appropriés. Procédure Étape 1 Sélectionnez Politique > Politique d'accès > Politique d'accès, puis cliquez sur Modifier ( politique de contrôle d'accès attribuée à threat defense. Étape 2 Cliquez sur Ajouter une règle, puis définissez les paramètres suivants : ) pour la • Nom : donnez un nom à cette règle, par exemple interne_vers_externe. • Zones source : sélectionnez la zone interne dans Zones disponibles, puis cliquez sur Ajouter à la source. Guide de mise en route de l'appliance Cisco Firepower 1010 159 Déployer Threat Defense avec le CDO Configurer SSH sur l'interface de données d'accès du gestionnaire • Zones de destination : sélectionnez la zone externe dans Zones disponibles, puis cliquez sur Ajouter à la destination. Laissez les autres paramètres tels quels. Étape 3 Cliquez sur Ajouter. La règle est ajoutée au tableau Règles. Étape 4 Cliquez sur Enregistrer. Configurer SSH sur l'interface de données d'accès du gestionnaire Si vous avez activé l'accès au centre de gestion sur une interface de données, par exemple externe, vous devez activer SSH sur cette interface en suivant cette procédure. Dans cette section, nous vous expliquons comment activer les connexions SSH sur une ou plusieurs interfaces de données sur le threat defense. SSH n'est pas pris en charge par l'interface logique de diagnostic. Remarque SSH est activé par défaut sur l'interface de gestion ; cependant, cet écran n'a pas d'incidence sur l'accès SSH de gestion. L'interface de gestion est distincte des autres interfaces sur l'appareil. Elle permet de configurer et d'enregistrer l'appareil sur le gestionnaire du centre de gestion. SSH pour les interfaces de données partage la liste des utilisateurs internes et externes avec SSH pour l'interface de gestion. D'autres paramètres sont configurés séparément : pour les interfaces de données, activez SSH et accédez aux listes à l'aide de cet écran ; le trafic SSH pour les interfaces de données utilise la configuration de routage standard, et non les routes statiques définies lors de la configuration ou sur l'interface de ligne de commande. Sur l'interface de gestion, pour configurer une liste d'accès SSH, reportez-vous à la commande configure ssh-access-list de la rubrique Référence des commandes pour Secure Firewall Threat Defense. Pour configurer une route statique, consultez la commande configure network static-routes. Par défaut, vous configurez la route par défaut via l'interface de gestion lors de la configuration initiale. Pour utiliser SSH, il n'est pas nécessaire de disposer d'une règle d'accès autorisant l'adresse IP de l'hôte. Vous devez uniquement configurer l'accès SSH conformément à cette section. Vous pouvez uniquement utiliser le protocole SSH pour accéder à une interface accessible ; si votre hôte SSH se trouve sur l'interface externe, vous pouvez uniquement établir une connexion de gestion directement vers l'interface externe. Guide de mise en route de l'appliance Cisco Firepower 1010 160 Déployer Threat Defense avec le CDO Configurer SSH sur l'interface de données d'accès du gestionnaire L'appareil autorise un maximum de 5 connexions SSH simultanées. Remarque Après trois tentatives infructueuses de connexion à l'interface de ligne de commande via SSH, l'appareil interrompt la connexion SSH. Avant de commencer • Vous pouvez configurer les utilisateurs internes SSH dans l'interface de ligne de commande à l'aide de la commande configure user add. Par défaut, il existe un utilisateur admin pour lequel vous avez configuré le mot de passe lors de la configuration initiale. Vous pouvez également configurer des utilisateurs externes sur LDAP ou RADIUS en configurant l'authentification externe dans les paramètres de la plateforme. • Vous devez disposer d'objets réseau qui définissent les hôtes ou les réseaux autorisés à établir des connexions SSH à l'appareil. Vous pouvez ajouter des objets dans le cadre de cette procédure, mais si vous souhaitez utiliser des groupes d'objets pour identifier un groupe d'adresses IP, assurez-vous que les groupes requis dans les règles existent déjà. Sélectionnez Objets > Gestion des objets pour configurer les objets. Remarque Vous ne pouvez pas utiliser l'objet réseau any fourni par le système. Utilisez plutôt any-ipv4 ou any-ipv6. Procédure Étape 1 Sélectionnez Appareils > Paramètres de la plateforme et créez ou modifiez la politique threat defense. Étape 2 Sélectionnez Secure Shell. Étape 3 Identifiez les interfaces et les adresses IP qui autorisent les connexions SSH. Utilisez ce tableau pour limiter les interfaces qui accepteront les connexions SSH et les adresses IP des clients autorisées à établir ces connexions. Vous pouvez utiliser des adresses réseau plutôt que des adresses IP individuelles. a) Cliquez sur Ajouter pour ajouter une nouvelle règle ou sur Modifier pour modifier une règle. b) Configurez les propriétés de la règle : • Adresse IP : objet ou groupe réseau qui identifie les hôtes ou les réseaux autorisés à établir des connexions SSH. Sélectionnez un objet dans le menu déroulant ou ajoutez un nouvel objet réseau en cliquant sur +. • Zones de sécurité : ajoutez les zones contenant les interfaces sur lesquelles vous autorisez les connexions SSH. Pour les interfaces ne faisant pas partie d'une zone, vous pouvez saisir le nom de l'interface dans le champ situé sous la liste Zone de sécurité sélectionnée, puis cliquer sur Ajouter. Ces règles seront appliquées à un appareil uniquement si celui-ci inclut les interfaces ou les zones sélectionnées. c) Cliquez sur OK. Guide de mise en route de l'appliance Cisco Firepower 1010 161 Déployer Threat Defense avec le CDO Déployer la configuration Étape 4 Cliquez sur Enregistrer. Vous pouvez maintenant accéder à la page Déployer > Déploiement et déployer la politique sur les appareils affectés. Les modifications ne sont pas actives tant que vous ne les avez pas déployées. Déployer la configuration Déployez les modifications de configuration sur le threat defense ; aucune modification n'est active sur l'appareil tant que vous ne l'avez pas déployée. Procédure Étape 1 Cliquez sur Déployer en haut à droite. Illustration 50 : Déployer Étape 2 Cliquez sur Tout déployer pour déployer sur tous les périphériques ou cliquez sur Déploiement avancé pour déployer sur les périphériques sélectionnés. Illustration 51 : Tout déployer Illustration 52 : Déploiement avancé Guide de mise en route de l'appliance Cisco Firepower 1010 162 Déployer Threat Defense avec le CDO Dépannage et maintenance Étape 3 Assurez-vous que le déploiement aboutit. Cliquez sur l'icône en regard du bouton Déployer dans la barre de menus pour afficher l'état des déploiements. Illustration 53 : État du déploiement Dépannage et maintenance Accéder à l'interface de ligne de commande du Threat Defense et de la console FXOS Utilisez l'interface de ligne de commande (CLI) pour configurer le système et résoudre les problèmes de base du système. Vous ne pouvez pas configurer les politiques via une session CLI. Vous pouvez accéder à l'interface de ligne de commande en vous connectant au port de console. Vous pouvez également accéder à la CLI FXOS à des fins de dépannage. Remarque Vous pouvez également vous connecter à l'interface de gestion de l'appareil threat defense. Contrairement à une session de console, la session SSH utilise par défaut l'interface de ligne de commande du threat defense, à partir de laquelle vous pouvez vous connecter à la CLI FXOS à l'aide de la commande connect fxos. Vous pourrez ensuite vous connecter à l'adresse sur une interface de données si vous ouvrez l'interface pour les connexions SSH. L'accès SSH aux interfaces de données est désactivé par défaut. Cette procédure décrit l'accès au port de console, qui est défini par défaut sur la CLI FXOS. Procédure Étape 1 Pour vous connecter à l'interface de ligne de commande, connectez votre ordinateur de gestion au port de console. L'appareil Firepower 1000 est livré avec un câble série USB A vers B. Veillez à installer les pilotes série USB nécessaires à votre système d'exploitation (consultez le guide matériel de l'appareil Firepower 1010). Le port de console est défini par défaut sur la CLI FXOS. Utilisez les paramètres série suivants : • 9 600 bauds Guide de mise en route de l'appliance Cisco Firepower 1010 163 Déployer Threat Defense avec le CDO Résoudre les problèmes de connectivité de gestion sur une interface de données • 8 bits de données • Aucune parité • 1 bit d'arrêt Vous vous connectez à la CLI FXOS. Connectez-vous à l'interface de ligne de commande à l'aide du nom d'utilisateur admin et du mot de passe que vous avez défini lors de la configuration initiale (la valeur par défaut est Admin123). Exemple : firepower login: admin Password: Last login: Thu May 16 14:01:03 UTC 2019 on ttyS0 Successful login attempts for user 'admin' : 1 firepower# Étape 2 Accédez à l'interface de ligne de commande du threat defense. connect ftd Exemple : firepower# connect ftd > Après vous être connecté, pour obtenir des informations sur les commandes disponibles dans l'interface de ligne de commande, saisissez help ou ?. Pour plus d'informations sur l'utilisation, reportez-vous à la rubrique Référence des commandes pour Secure Firewall Threat Defense. Étape 3 Pour quitter l'interface de ligne de commande threat defense, saisissez la commande du exit ou logout. Cette commande vous renvoie à l'invite de la CLI FXOS. Pour plus d'informations sur les commandes disponibles dans la CLI FXOS, saisissez ?. Exemple : > exit firepower# Résoudre les problèmes de connectivité de gestion sur une interface de données Lorsque vous utilisez une interface de données pour l'accès au gestionnaire au lieu d'utiliser l'interface de gestion dédiée, veillez à modifier les paramètres d'interface et de réseau du threat defense dans le CDO afin de ne pas interrompre la connexion. Si vous modifiez le type d'interface de gestion après avoir ajouté le threat defense au CDO (c'est-à-dire, remplacez l'interface de données par l'interface de gestion, ou vice versa), si les interfaces et les paramètres réseau ne sont pas configurés correctement, vous risquez de perdre la connectivité à l'interface de gestion. Guide de mise en route de l'appliance Cisco Firepower 1010 164 Déployer Threat Defense avec le CDO Résoudre les problèmes de connectivité de gestion sur une interface de données Cette rubrique vous aide à résoudre les problèmes de perte de connectivité à l'interface de gestion. Afficher l'état de connexion de l'interface de gestion Dans le CDO, vérifiez l'état de la connexion de gestion sur la page Appareils > Gestion des appareils > Appareil > Gestion > Détails de l'accès - Détails de configuration > État de connexion. Dans l'interface de ligne de commande du threat defense, saisissez la commande sftunnel-status-brief pour afficher l'état de la connexion de gestion. Vous pouvez également utiliser sftunnel-status pour afficher des informations plus complètes. Reportez-vous à l'exemple de résultat suivant pour une connexion interrompue ; aucune information de connexion de canal homologue et aucune information de pulsation n'est disponible : > sftunnel-status-brief PEER:10.10.17.202 Registration: Completed. Connection to peer '10.10.17.202' Attempted at Mon Jun 15 09:21:57 2020 UTC Last disconnect time : Mon Jun 15 09:19:09 2020 UTC Last disconnect reason : Both control and event channel connections with peer went down Reportez-vous à l'exemple de résultat suivant pour une connexion active comprenant des informations de canal homologue et de pulsation : > sftunnel-status-brief PEER:10.10.17.202 Peer channel Channel-A is valid type (CONTROL), using 'eth0', connected to '10.10.17.202' via '10.10.17.222' Peer channel Channel-B is valid type (EVENT), using 'eth0', connected to '10.10.17.202' via '10.10.17.222' Registration: Completed. IPv4 Connection to peer '10.10.17.202' Start Time: Wed Jun 10 14:27:12 2020 UTC Heartbeat Send Time: Mon Jun 15 09:02:08 2020 UTC Heartbeat Received Time: Mon Jun 15 09:02:16 2020 UTC Afficher les informations relatives au réseau du threat defense Dans l'interface de ligne de commande du threat defense, affichez les paramètres réseau de l'interface de gestion et d'accès aux données du gestionnaire : show network > show network ===============[ System Information ]=============== Hostname : 5516X-4 DNS Servers : 208.67.220.220,208.67.222.222 Management port : 8305 IPv4 Default route Gateway : data-interfaces IPv6 Default route Gateway : data-interfaces ======================[ br1 ]======================= State : Enabled Link : Up Channels : Management & Events Mode : Non-Autonegotiation MDI/MDIX : Auto/MDIX MTU : 1500 Guide de mise en route de l'appliance Cisco Firepower 1010 165 Déployer Threat Defense avec le CDO Résoudre les problèmes de connectivité de gestion sur une interface de données MAC Address : 28:6F:7F:D3:CB:8D ----------------------[ IPv4 ]---------------------Configuration : Manual Address : 10.99.10.4 Netmask : 255.255.255.0 Gateway : 10.99.10.1 ----------------------[ IPv6 ]---------------------Configuration : Disabled ===============[ Proxy Information ]================ State : Disabled Authentication : Disabled ======[ System Information - Data Interfaces ]====== DNS Servers : Interfaces : GigabitEthernet1/1 ===============[ GigabitEthernet1/1 ]=============== State : Enabled Link : Up Name : outside MTU : 1500 MAC Address : 28:6F:7F:D3:CB:8F ----------------------[ IPv4 ]---------------------Configuration : Manual Address : 10.89.5.29 Netmask : 255.255.255.192 Gateway : 10.89.5.1 ----------------------[ IPv6 ]---------------------Configuration : Disabled Vérifier que le threat defense est enregistré auprès du CDO Dans l'interface de ligne de commande du threat defense, vérifiez que le CDO a bien été enregistré. Notez que cette commande n'affiche pas l'état actuel de la connexion de gestion. show managers > show managers Type Host Display name Identifier Registration Management type : : : : : : Manager account1.app.us.cdo.cisco.com account1.app.us.cdo.cisco.com f7ffad78-bf16-11ec-a737-baa2f76ef602 Completed Configuration Envoyer une requête ping au CDO Dans l'interface de ligne de commande du threat defense, utilisez la commande suivante pour envoyer une requête ping au CDO à partir des interfaces de données : ping cdo_hostname Dans l'interface de ligne de commande du threat defense, utilisez la commande suivante pour envoyer une requête ping au CDO à partir de l'interface de gestion, afin de l'acheminer via le fond de panier aux interfaces de données : ping system cdo_hostname Guide de mise en route de l'appliance Cisco Firepower 1010 166 Déployer Threat Defense avec le CDO Résoudre les problèmes de connectivité de gestion sur une interface de données Capturer les paquets sur l'interface interne du threat defense Dans l'interface de ligne de commande du threat defense, capturez les paquets sur l'interface de fond de panier interne (nlp_int_tap) pour déterminer si des paquets de gestion sont envoyés : capture name interface nlp_int_tap trace detail match ip any any show capturename trace detail Vérifier l'état de l'interface interne, les statistiques et le nombre de paquets Dans l'interface de ligne de commande du threat defense, consultez les informations relatives à l'interface de fond de panier interne, nlp_int_tap : show interace detail > show interface detail [...] Interface Internal-Data0/1 "nlp_int_tap", is up, line protocol is up Hardware is en_vtun rev00, BW Unknown Speed-Capability, DLY 1000 usec (Full-duplex), (1000 Mbps) Input flow control is unsupported, output flow control is unsupported MAC address 0000.0100.0001, MTU 1500 IP address 169.254.1.1, subnet mask 255.255.255.248 37 packets input, 2822 bytes, 0 no buffer Received 0 broadcasts, 0 runts, 0 giants 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort 0 pause input, 0 resume input 0 L2 decode drops 5 packets output, 370 bytes, 0 underruns 0 pause output, 0 resume output 0 output errors, 0 collisions, 0 interface resets 0 late collisions, 0 deferred 0 input reset drops, 0 output reset drops input queue (blocks free curr/low): hardware (0/0) output queue (blocks free curr/low): hardware (0/0) Traffic Statistics for "nlp_int_tap": 37 packets input, 2304 bytes 5 packets output, 300 bytes 37 packets dropped 1 minute input rate 0 pkts/sec, 0 bytes/sec 1 minute output rate 0 pkts/sec, 0 bytes/sec 1 minute drop rate, 0 pkts/sec 5 minute input rate 0 pkts/sec, 0 bytes/sec 5 minute output rate 0 pkts/sec, 0 bytes/sec 5 minute drop rate, 0 pkts/sec Control Point Interface States: Interface number is 14 Interface config status is active Interface state is active Vérifier le routage et la NAT Dans l'interface de ligne de commande du threat defense, vérifiez que la route par défaut (S*) a bien été ajoutée et qu'il existe des règles NAT internes pour l'interface de gestion (nlp_int_tap). show route > show route Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area Guide de mise en route de l'appliance Cisco Firepower 1010 167 Déployer Threat Defense avec le CDO Résoudre les problèmes de connectivité de gestion sur une interface de données N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route, + - replicated route SI - Static InterVRF Gateway of last resort is 10.89.5.1 to network 0.0.0.0 S* C L 0.0.0.0 0.0.0.0 [1/0] via 10.89.5.1, outside 10.89.5.0 255.255.255.192 is directly connected, outside 10.89.5.29 255.255.255.255 is directly connected, outside > show nat > show nat Auto NAT Policies (Section 2) 1 (nlp_int_tap) to (outside) source static nlp_server_0_sftunnel_intf3 interface service tcp 8305 8305 translate_hits = 0, untranslate_hits = 6 2 (nlp_int_tap) to (outside) source static nlp_server_0_ssh_intf3 interface service tcp ssh ssh translate_hits = 0, untranslate_hits = 73 3 (nlp_int_tap) to (outside) source static nlp_server_0_sftunnel_ipv6_intf3 interface ipv6 service tcp 8305 8305 translate_hits = 0, untranslate_hits = 0 4 (nlp_int_tap) to (outside) source dynamic nlp_client_0_intf3 interface translate_hits = 174, untranslate_hits = 0 5 (nlp_int_tap) to (outside) source dynamic nlp_client_0_ipv6_intf3 interface ipv6 translate_hits = 0, untranslate_hits = 0 > Vérifier les autres paramètres Reportez-vous aux commandes suivantes pour vérifier que tous les autres paramètres sont présents. Vous pouvez également consulter la plupart de ces commandes sur la page Appareils > Gestion des appareils > Appareil > Gestion > Accès au gestionnaire - Détails de configuration > Résultat de la CLI du CDO. show running-config sftunnel > show running-config sftunnel sftunnel interface outside sftunnel port 8305 show running-config ip-client > show running-config ip-client ip-client outside show conn address fmc_ip > show conn address 10.89.5.35 5 in use, 16 most used Inspect Snort: preserve-connection: 0 enabled, 0 in effect, 0 most enabled, 0 most in effect TCP nlp_int_tap 10.89.5.29(169.254.1.2):51231 outside bytes 86684, flags UxIO Guide de mise en route de l'appliance Cisco Firepower 1010 168 10.89.5.35:8305, idle 0:00:04, Déployer Threat Defense avec le CDO Rétablir la configuration en cas de déconnexion du CDO TCP nlp_int_tap 10.89.5.29(169.254.1.2):8305 outside bytes 1630834, flags UIO > 10.89.5.35:52019, idle 0:00:02, Rechercher une mise à jour DDNS réussie Dans l'interface de ligne de commande du threat defense, vérifiez que la mise à jour DDNS a réussi : debug ddns > debug ddns DDNS update request = /v3/update?hostname=domain.example.org&myip=209.165.200.225 Successfuly updated the DDNS sever with current IP addresses DDNS: Another update completed, outstanding = 0 DDNS: IDB SB total = 0 Si la mise à jour échoue, utilisez les commandes debug http et debug ssl. Pour les échecs de validation du certificat, vérifiez que les certificats racines sont installés sur l'appareil : show crypto ca certificates trustpoint_name Pour vérifier le fonctionnement du DDNS : show ddns update interface fmc_access_ifc_name > show ddns update interface outside Dynamic DNS Update on outside: Update Method Name Update Destination RBD_DDNS not available Last Update attempted on 04:11:58.083 UTC Thu Jun 11 2020 Status : Success FQDN : domain.example.org IP addresses : 209.165.200.225 Consulter les fichiers journaux du CDO Consultez la page https://cisco.com/go/fmc-reg-error. Rétablir la configuration en cas de déconnexion du CDO Si vous utilisez une interface de données sur le threat defense pour l'accès au gestionnaire, et que vous déployez une modification de configuration depuis le CDO ayant une incidence sur la connectivité réseau, vous pouvez rétablir la dernière configuration déployée sur le threat defense afin de restaurer la connectivité de gestion. Vous pouvez ensuite ajuster les paramètres de configuration dans le CDO afin de maintenir et de redéployer la connectivité réseau. Vous pouvez utiliser la fonction de restauration même si aucune perte de connectivité ne se produit, car elle ne se limite pas à cette situation de dépannage. Reportez-vous aux instructions suivantes : • Seul le déploiement précédent est disponible localement sur le threat defense ; vous ne pouvez pas rétablir les déploiements antérieurs. • La restauration s'applique uniquement aux configurations que vous pouvez définir dans le CDO. Par exemple, la restauration ne s'applique à aucune configuration locale liée à l'interface de gestion dédiée, que vous pouvez configurer uniquement sur l'interface de ligne de commande de threat defense. Notez que si vous avez modifié les paramètres de l'interface de données après le dernier déploiement du CDO Guide de mise en route de l'appliance Cisco Firepower 1010 169 Déployer Threat Defense avec le CDO Rétablir la configuration en cas de déconnexion du CDO à l'aide de la commande configure network management-data-interface, puis que vous utilisez la commande de restauration, ces paramètres ne seront pas conservés ; les derniers paramètres déployés sur le CDO seront rétablis. • Il est impossible de restaurer les données de certificat SCEP hors bande qui ont été mises à jour lors du déploiement précédent. • Pendant la restauration, les connexions sont interrompues, car la configuration en cours est supprimée. Procédure Étape 1 Sur l'interface de ligne de commande de threat defense, restaurez la configuration précédente. configure policy rollback Après la restauration, le threat defense informe le CDO que la restauration a réussi. Dans le CDO, l'écran de déploiement affiche une bannière indiquant que la configuration a été restaurée. Remarque Si la restauration échoue et que l'interface de gestion du CDO est restaurée, reportez-vous à la rubrique https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw-virtual/ 215258-troubleshooting-firepower-threat-defense.html pour connaître les problèmes de déploiement courants. Dans certains cas, la restauration peut échouer après le rétablissement de l'accès de gestion du CDO ; dans ce cas, vous pouvez résoudre les problèmes de configuration du CDO et renouveler le déploiement depuis le CDO. Exemple : Pour le threat defense qui utilise une interface de données pour l'accès du gestionnaire : > configure policy rollback The last deployment to this FTD was on June 1, 2022 and its status was Successful. Do you want to continue [Y/N]? Y Rolling back complete configuration on the FTD. This will take time. ..................... Policy rollback was successful on the FTD. Configuration has been reverted back to transaction id: Following is the rollback summary: ................... .................... > Étape 2 Vérifiez que la connexion de gestion a été rétablie. Dans le CDO, vérifiez l'état de la connexion de gestion sur la page Appareils > Gestion des appareils > Appareil > Gestion > Détails de l'accès - Détails de configuration > État de connexion. Dans l'interface de ligne de commande du threat defense, saisissez la commande sftunnel-status-brief pour afficher l'état de la connexion de gestion. Si le rétablissement de la connexion prend plus de 10 minutes, vous devez dépanner la connexion. Reportez-vous à la rubrique Résoudre les problèmes de connectivité de gestion sur une interface de données, à la page 164. Guide de mise en route de l'appliance Cisco Firepower 1010 170 Déployer Threat Defense avec le CDO Mettre le pare-feu hors tension à l'aide du CDO Mettre le pare-feu hors tension à l'aide du CDO Il est important que vous arrêtiez correctement votre système. Il ne suffit pas de débrancher le câble d'alimentation ou d'appuyer sur l'interrupteur d'alimentation, car vous risquez d'endommager gravement le système de fichiers. N'oubliez pas que de nombreux processus s'exécutent en arrière-plan en permanence, et que débrancher ou couper l'alimentation ne permet pas un arrêt normal de votre pare-feu. Vous pouvez arrêter votre système correctement à l'aide du CDO. Procédure Étape 1 Sélectionnez Appareils > Gestion des appareils. Étape 2 Cliquez sur l'icône Modifier ( Étape 3 Cliquez sur l'onglet Appareils. Étape 4 Cliquez sur l'icône d'arrêt de l'appareil ( Étape 5 Lorsque vous y êtes invité, confirmez que vous souhaitez arrêter l'appareil. Étape 6 Si vous disposez d'une connexion de console au pare-feu, observez les invites système lorsque le pare-feu s'arrête. L'invite suivante s'affiche : ) en regard de l'appareil que vous souhaitez redémarrer. ) dans la section Système. System is stopped. It is safe to power off now. Do you want to reboot instead? [y/N] Si vous ne disposez pas d'une connexion de console, attendez environ 3 minutes pour vous assurer que le système s'est éteint. Étape 7 Vous pouvez désormais débrancher ce dernier pour couper l'alimentation du châssis si nécessaire. Et après ? Pour poursuivre la configuration de votre threat defense avec CDO, reportez-vous à la page d'accueil Cisco Defense Orchestrator. Guide de mise en route de l'appliance Cisco Firepower 1010 171 Déployer Threat Defense avec le CDO Et après ? Guide de mise en route de l'appliance Cisco Firepower 1010 172 CHAPITRE 6 Déployer l'ASA avec le gestionnaire ASDM Ce chapitre vous concerne-t-il ? Pour connaître tous les systèmes d'exploitation et gestionnaires disponibles, reportez-vous à la rubrique Quel système d'exploitation et quel gestionnaire vous conviennent le mieux ?, à la page 1. Ce chapitre s'applique à l'ASA utilisant ASDM. Ce chapitre ne couvre pas les déploiements suivants, pour lesquels vous devez consulter le Guide de configuration de l'ASA : • Basculement • Configurer l'interface de ligne de commande Dans ce chapitre, nous vous expliquons également comment configurer une politique de sécurité de base. Si vous avez des exigences plus avancées, consultez le guide de configuration. À propos du pare-feu L'appareil peut exécuter un logiciel threat defense ou un logiciel ASA. Pour basculer entre threat defense et ASA, vous devez reconfigurer l'appareil. Vous devez également recommencer l'installation si vous avez besoin d'une version logicielle différente de celle actuellement installée. Consultez la rubrique Réinstaller Cisco ASA ou Firepower Threat Defense. Le pare-feu exécute un système d'exploitation sous-jacent appelé Système d'exploitation Secure Firewall eXtensible (FXOS). Le pare-feu ne prend pas en charge le Gestionnaire de châssis Secure Firewall FXOS ; seule une CLI limitée est prise en charge à des fins de dépannage. Pour obtenir plus d'informations, reportez-vous à la section Guide de dépannage Cisco FXOS pour la série Firepower 1000/2100 exécutant Firepower Threat Defense. Déclaration de confidentialité—Le pare-feu ne requiert ni ne collecte activement aucune information permettant de vous identifier. Vous pouvez néanmoins utiliser des informations d'identification personnelle au cours de la configuration, notamment des noms d'utilisateur. Dans ce cas, un administrateur peut accéder à ces informations lors de l'utilisation de la configuration ou de l'utilisation du protocole SNMP. • À propos de l'ASA, à la page 174 • Procédure de bout en bout, à la page 177 • Vérifier le déploiement et la configuration par défaut du réseau, à la page 179 • Raccorder l'appareil, à la page 182 • Mettre le pare-feu sous tension, à la page 183 • (Facultatif) Modifier l'adresse IP, à la page 184 • Se connecter au gestionnaire ASDM, à la page 185 Guide de mise en route de l'appliance Cisco Firepower 1010 173 Déployer l'ASA avec le gestionnaire ASDM À propos de l'ASA • Configurer l'octroi de licences, à la page 186 • Configurer l'ASA, à la page 190 • Accéder au ASA et au CLI FXOS, à la page 192 • Et après ?, à la page 193 À propos de l'ASA L'ASA fournit des fonctionnalités avancées de pare-feu dynamique et de concentrateur VPN au sein d'un seul appareil. Vous pouvez gérer l'ASA à l'aide de l'un des gestionnaires suivants : • ASDM (abordé dans ce guide) : un gestionnaire d'appareil unique est inclus sur l'appareil. • CLI • CDO est un gestionnaire multi-appareils simplifié basé dans le cloud. • Cisco Security Manager : gestionnaire multi-appareils sur un serveur distinct. Vous pouvez également accéder à l'interface de ligne de commande de la console FXOS à des fins de dépannage. Fonctionnalités non prises en charge Fonctionnalités ASA générales non prises en charge Les fonctionnalités ASA suivantes ne sont pas prises en charge sur le pare-feu Firepower 1010 : • Mode multicontextuel • Basculement actif/actif • Interfaces redondantes • Clustering • API REST ASA • Module ASA FirePOWER • Filtre du trafic de botnets • Les inspections suivantes : • Mappages d'inspection SCTP (l'inspection avec état SCTP à l'aide de listes de contrôle d'accès est prise en charge) • de la tête • GTP/GPRS Fonctionnalités non prises en charge de l'interface VLAN et du port de commutateur Les interfaces VLAN et les ports de commutateur ne prennent pas en charge les fonctionnalités suivantes : Guide de mise en route de l'appliance Cisco Firepower 1010 174 Déployer l'ASA avec le gestionnaire ASDM Migrer la configuration d'une appliance ASA 5500-X • Routage dynamique • Routage multidiffusion • Routage fondé sur les politiques • Protocole ECMP (Equal-Cost Multi-Path routing) • Ensembles intégrés ou interfaces passives • VXLAN • EtherChannel • Basculement et liaison d'état • Zones de trafic • Balisage du groupe de sécurité (SGT) Migrer la configuration d'une appliance ASA 5500-X Vous pouvez copier et coller la configuration d'une console ASA 5500-X dans Firepower 1010. Vous devrez cependant modifier votre configuration. Notez également qu'il existe certaines différences de comportement entre les plateformes. 1. Pour copier la configuration, saisissez la commande more system:running-config sur l'ASA 5500-X. 2. Modifiez la configuration si nécessaire (voir ci-dessous). 3. Connectez-vous au port de console de Firepower 1010 et passez en mode de configuration globale : ciscoasa> enable Password: The enable password is not set. Please set it now. Enter Password: ****** Repeat Password: ****** ciscoasa# configure terminal ciscoasa(config)# 4. Effacez la configuration actuelle à l'aide de la commande clear configure all. 5. Collez la configuration modifiée dans l'interface de ligne de commande ASA. Les procédures de ce guide sont basées sur une configuration par défaut définie en usine. Par conséquent, si vous collez une configuration existante, certaines procédures de ce guide ne s'appliqueront pas à votre console ASA. Guide de mise en route de l'appliance Cisco Firepower 1010 175 Déployer l'ASA avec le gestionnaire ASDM Migrer la configuration d'une appliance ASA 5500-X Configurer l'appliance ASA 5500-X Configuration du Firepower 1010 Interfaces de pare-feu Ethernet 1/2 à 1/8 Ports de commutateur Ethernet 1/2 à 1/8 Ces ports Ethernet sont configurés en tant que ports de commutateur par défaut. Pour chaque interface de votre configuration, ajoutez la commande no switchport pour les convertir en interfaces de pare-feu standard. Par exemple : interface ethernet 1/2 no switchport ip address 10.8.7.2 255.255.255.0 nameif inside Licence PAK Licence Smart Les licences PAK ne sont pas appliquées lorsque vous copiez et collez votre configuration. Aucune licence n'est installée par défaut. L'octroi de licences Smart nécessite que vous vous connectiez au serveur Smart Licensing pour obtenir vos licences. L'octroi de licences Smart a également une incidence sur l'accès ASDM ou SSH (voir ci-dessous). Accès ASDM initial Supprimez tout VPN ou toute autre configuration de fonction de chiffrement renforcé (même si vous vous êtes limité à configurer un chiffrement faible) si vous ne pouvez pas vous connecter à ASDM ni vous enregistrer auprès de Smart Licensing Server. Vous pouvez réactiver ces fonctionnalités après avoir obtenu la licence de chiffrement renforcé (3DES). La raison de ce problème est que l'ASA inclut la fonctionnalité 3DES par défaut pour l'accès de gestion uniquement. Si vous activez une fonction de chiffrement renforcé, le trafic ASDM et HTTPS (notamment celui vers et depuis Smart Licensing Server) est bloqué. Il existe toutefois une exception à cette règle : vous êtes connecté à une interface de gestion uniquement, telle que l'interface de gestion 1/1. Cela n'a aucune incidence sur SSH. ID d'interface Veillez à modifier les ID d'interface pour qu'ils correspondent aux nouveaux ID de matériel. Par exemple, l'ASA 5525-X inclut l'interface de gestion 0/0, ainsi que GigabitEthernet 0/0 à 0/5. Firepower 1120 intègre les interfaces de gestion 1/1 et Ethernet 1/1 à 1/8. Guide de mise en route de l'appliance Cisco Firepower 1010 176 Déployer l'ASA avec le gestionnaire ASDM Procédure de bout en bout Configurer l'appliance ASA 5500-X Configuration du Firepower 1010 boot system commandes L'appareil Firepower 1010 n'autorise qu'une seule commande boot system. Vous devez donc supprimer toutes les commandes L'ASA 5500-X autorise jusqu'à quatre commandes boot system sauf une. Vous n'avez besoin d'aucune commande boot system pour spécifier l'image de démarrage à utiliser. dans votre configuration, car celle-ci n'est pas lue au démarrage pour déterminer l'image de démarrage. C'est l'image de démarrage chargée en dernier qui est toujours exécutée lors du rechargement. La commande boot system exécute une action lorsque vous la saisissez : le système valide et décompresse l'image, puis la copie dans l'emplacement de démarrage (un emplacement interne sur disk0 géré par FXOS). La nouvelle image se charge lorsque vous rechargez l'ASA. Procédure de bout en bout Consultez les tâches suivantes pour déployer et configurer ASA sur votre châssis. Guide de mise en route de l'appliance Cisco Firepower 1010 177 Déployer l'ASA avec le gestionnaire ASDM Procédure de bout en bout Configuration préalable Installez le pare-feu. Reportez-vous au guide d'installation matérielle. Configuration préalable Vérifier le déploiement et la configuration par défaut du réseau, à la page 179. Configuration préalable Raccorder l'appareil, à la page 182. Configuration préalable Mettre le pare-feu sous tension, à la page 13 Interface de ligne de (Facultatif) Modifier l'adresse IP, à la page 184. commande du logiciel ASA ASDM Se connecter au gestionnaire ASDM, à la page 185. Guide de mise en route de l'appliance Cisco Firepower 1010 178 Déployer l'ASA avec le gestionnaire ASDM Vérifier le déploiement et la configuration par défaut du réseau Cisco Commerce Workspace Configurer l'octroi de licences, à la page 186 : Obtenir les licences de fonctionnalité. Smart Software Manager Configurer l'octroi de licences, à la page 186 : Générer un jeton de licence pour le châssis. ASDM Configurer l'octroi de licences, à la page 186 : Configurer les licences de fonction. ASDM Configurer l'ASA, à la page 190. Vérifier le déploiement et la configuration par défaut du réseau La figure suivante illustre le déploiement réseau par défaut du pare-feu Firepower 1010 à l'aide de la configuration par défaut. Si vous connectez l'interface externe directement à un modem câble ou ADSL, nous vous recommandons de mettre le modem en mode pont pour que le logiciel ASA effectue tout le routage et la NAT pour vos réseaux internes. Si vous devez configurer PPPoE pour que l'interface externe se connecte à votre FAI, faites-le dans le cadre de l'assistant de démarrage du gestionnaire ASDM. Remarque Si vous ne pouvez pas utiliser l'adresse IP de gestion par défaut pour l'accès au gestionnaire ASDM, vous pouvez définir l'adresse IP de gestion dans l'interface de ligne de commande ASA. Reportez-vous à la rubrique (Facultatif) Modifier l'adresse IP, à la page 184. Si vous devez modifier l'adresse IP interne, utilisez l'assistant de démarrage du gestionnaire ASDM. Par exemple, il est possible que vous deviez modifier l'adresse IP interne dans les cas suivants : • Si l'interface externe tente d'obtenir une adresse IP sur le réseau 192.168.1.0, qui est un réseau par défaut courant, le bail DHCP échouera et l'interface externe n'obtiendra aucune adresse IP. Ce problème se produit, car le logiciel ASA ne peut pas avoir deux interfaces sur le même réseau. Dans ce cas, vous devez modifier l'adresse IP interne de façon à la placer sur un nouveau réseau. • Si vous ajoutez l'ASA à un réseau interne existant, vous devrez modifier l'adresse IP interne pour qu'elle se trouve sur le réseau existant. Guide de mise en route de l'appliance Cisco Firepower 1010 179 Déployer l'ASA avec le gestionnaire ASDM Configuration par défaut de l'appliance Firepower 1010 Configuration par défaut de l'appliance Firepower 1010 La configuration par défaut de l'appareil Firepower 1010 concerne les éléments suivants : • Commutateur matériel : réseaux Ethernet 1/2 à 1/8 appartenant au VLAN 1 • Flux de trafic interne→externe : Ethernet 1/1 (externe), VLAN1 (interne) • Gestion : gestion 1/1 (gestion), adresse IP 192.168.45.1 • Adresse IP externe provenant de DHCP, adresse IP interne : 192.168.1.1 • Serveur DHCP sur l'interface interne, interface de gestion • Route par défaut depuis DHCP externe • Accès ASDM : gestion et hôtes internes autorisés. Les hôtes de gestion sont limités au réseau 192.168.45.0/24 et les hôtes internes au réseau 192.168.1.0/24. • NAT : interface PAT pour l'ensemble du trafic de l'interface interne vers l'interface externe. • Serveurs DNS : les serveurs OpenDNS sont préconfigurés. La configuration inclut les commandes suivantes : Guide de mise en route de l'appliance Cisco Firepower 1010 180 Déployer l'ASA avec le gestionnaire ASDM Configuration par défaut de l'appliance Firepower 1010 interface Vlan1 nameif inside security-level 100 ip address 192.168.1.1 255.255.255.0 no shutdown ! interface Management1/1 managment-only nameif management no shutdown security-level 100 ip address 192.168.45.1 255.255.255.0 ! interface Ethernet1/1 nameif outside ip address dhcp setroute no shutdown ! interface Ethernet1/2 no shutdown switchport switchport mode access switchport access vlan 1 ! interface Ethernet1/3 no shutdown switchport switchport mode access switchport access vlan 1 ! interface Ethernet1/4 no shutdown switchport switchport mode access switchport access vlan 1 ! interface Ethernet1/5 no shutdown switchport switchport mode access switchport access vlan 1 ! interface Ethernet1/6 no shutdown switchport switchport mode access switchport access vlan 1 ! interface Ethernet1/7 no shutdown switchport switchport mode access switchport access vlan 1 ! interface Ethernet1/8 no shutdown switchport switchport mode access switchport access vlan 1 ! object network obj_any subnet 0.0.0.0 0.0.0.0 nat (any,outside) dynamic interface Guide de mise en route de l'appliance Cisco Firepower 1010 181 Déployer l'ASA avec le gestionnaire ASDM Raccorder l'appareil ! dhcpd auto_config outside dhcpd address 192.168.1.20-192.168.1.254 inside dhcpd address 192.168.45.10-192.168.45.12 management dhcpd enable inside dhcpd enable management ! http server enable http 192.168.45.0 255.255.255.0 management http 192.168.1.0 255.255.255.0 inside ! dns domain-lookup outside dns server-group DefaultDNS name-server 208.67.222.222 outside name-server 208.67.220.220 outside ! Raccorder l'appareil Gérez l'appareil Firepower 1010 sur l'interface de gestion 1/1 ou sur l'interface Ethernet 1/2 à 1/8 (ports de commutateur internes). La configuration par défaut configure également Ethernet 1/1 comme port externe. Procédure Étape 1 Installez votre matériel et apprenez à l'utiliser à l'aide du guide d'installation matérielle. Étape 2 Connectez votre ordinateur de gestion à l'une des interfaces suivantes : • Ethernet 1/2 à 1/8 : connectez votre ordinateur de gestion directement à l'un des ports de commutateur internes (Ethernet 1/2 à 1/8). L'interface interne possède une adresse IP par défaut (192.168.1.1) et exécute un serveur DHCP pour fournir des adresses IP aux clients (y compris l'ordinateur de gestion). Par conséquent, assurez-vous que ces paramètres n'entrent pas en conflit avec les paramètres existants du Guide de mise en route de l'appliance Cisco Firepower 1010 182 Déployer l'ASA avec le gestionnaire ASDM Mettre le pare-feu sous tension réseau interne (reportez-vous à la rubrique Configuration par défaut de l'appliance Firepower 1010, à la page 180). • Gestion 1/1 : connectez votre ordinateur de gestion directement à l'interface de gestion 1/1. Vous pouvez également connecter l'interface de gestion 1/1 à votre réseau de gestion ; assurez-vous que votre ordinateur de gestion se trouve sur le réseau de gestion, car seuls les clients de ce réseau peuvent accéder à l'ASA. L'interface de gestion 1/1 possède une adresse IP par défaut (192.168.45.1) et exécute un serveur DHCP pour fournir des adresses IP aux clients (y compris l'ordinateur de gestion). Par conséquent, assurez-vous que ces paramètres n'entrent pas en conflit avec les paramètres existants du réseau de gestion (reportez-vous à la rubrique Configuration par défaut de l'appliance Firepower 1010, à la page 180). Si vous devez modifier l'adresse IP de l'interface de gestion 1/1 par défaut, vous devez également connecter votre ordinateur de gestion au port de console. Reportez-vous à la rubrique (Facultatif) Modifier l'adresse IP, à la page 184. Étape 3 Connectez le réseau externe à l'interface Ethernet 1/1. Pour Smart Software Licensing, ASA nécessite un accès à Internet pour pouvoir accéder à l'autorité de licence. Étape 4 Connectez les appareils internes aux ports internes restants du commutateur, à savoir Ethernet 1/2 à 1/8. Les ports Ethernet 1/7 et 1/8 sont des ports PoE+. Mettre le pare-feu sous tension L'alimentation du système est contrôlée par le cordon d'alimentation. Il n'y a pas de bouton d'alimentation. Remarque La première fois que vous démarrez le threat defense, l'initialisation peut prendre entre 15 et 30 minutes. Avant de commencer Il est important que vous utilisiez une source d'alimentation fiable pour alimenter votre appareil (à l'aide d'un système d'alimentation sans coupure, par exemple). Une panne de courant sans arrêt préalable peut endommager gravement le système de fichiers. De nombreux processus s'exécutent en arrière-plan en permanence, et une panne de courant ne permet pas l'arrêt normal de votre système. Procédure Étape 1 Raccordez le câble d'alimentation à l'appareil et branchez-le à une prise électrique. L'appareil se met automatiquement sous tension dès que vous le branchez. Étape 2 Observez le voyant d'alimentation situé à l'arrière de l'appareil. S'il est allumé en vert, l'appareil est sous tension. Guide de mise en route de l'appliance Cisco Firepower 1010 183 Déployer l'ASA avec le gestionnaire ASDM (Facultatif) Modifier l'adresse IP Étape 3 Observez le voyant d'état à l'arrière ou sur l'appareil. Lorsqu'il s'allume en vert, le système a terminé les diagnostics de mise sous tension. (Facultatif) Modifier l'adresse IP Si vous ne pouvez pas utiliser l'adresse IP par défaut pour l'accès ASDM, vous pouvez définir l'adresse IP de l'interface internede dans l'interface de ligne de commande ASA. Remarque Cette procédure rétablit la configuration par défaut et définit également l'adresse IP que vous avez choisie. Par conséquent, si vous avez modifié la configuration ASA que vous souhaitez conserver, n'utilisez pas cette procédure. Procédure Étape 1 Connectez-vous au port de console ASA et accédez au mode de configuration globale. Pour plus d'informations, reportez-vous à la rubrique Accéder au ASA et au CLI FXOS, à la page 192. Étape 2 Restaurez la configuration par défaut avec l'adresse IP choisie. configure factory-default [ip_address [mask]] Exemple : ciscoasa(config)# configure factory-default 10.1.1.151 255.255.255.0 Based on the management IP address and mask, the DHCP address pool size is reduced to 103 from the platform limit 256 WARNING: The boot system configuration will be cleared. The first image found in disk0:/ will be used to boot the system on the next reload. Verify there is a valid image on disk0:/ or the system will not boot. Begin to apply factory-default configuration: Clear all configuration Executing command: interface management1/1 Executing command: nameif management INFO: Security level for "management" set to 0 by default. Executing command: ip address 10.1.1.151 255.255.255.0 Executing command: security-level 100 Guide de mise en route de l'appliance Cisco Firepower 1010 184 Déployer l'ASA avec le gestionnaire ASDM Se connecter au gestionnaire ASDM Executing command: no shutdown Executing command: exit Executing command: http server enable Executing command: http 10.1.1.0 255.255.255.0 management Executing command: dhcpd address 10.1.1.152-10.1.1.254 management Executing command: dhcpd enable management Executing command: logging asdm informational Factory-default configuration is completed ciscoasa(config)# Étape 3 Enregistrez la configuration par défaut dans la mémoire Flash. write memory Se connecter au gestionnaire ASDM Lancez le gestionnaire ASDM pour pouvoir configurer l'ASA. ASA inclut la fonctionnalité 3DES par défaut pour l'accès de gestion uniquement. Vous pouvez donc vous connecter à Smart Software Manager et utiliser immédiatement le gestionnaire ASDM. Vous pouvez également utiliser SSH et SCP si vous configurez ultérieurement l'accès SSH sur l'ASA. Le chiffrement renforcé doit être activé pour les autres fonctionnalités nécessitant un chiffrement renforcé (comme le VPN). Vous devez donc vous enregistrer auprès de Smart Software Manager. Remarque Si vous tentez de configurer des fonctionnalités susceptibles d'utiliser le chiffrement renforcé avant de vous enregistrer, même si vous configurez uniquement le chiffrement faible, votre connexion HTTPS est abandonnée sur cette interface et vous ne pouvez plus vous reconnecter. Il existe toutefois une exception à cette règle : vous êtes connecté à une interface de gestion uniquement, telle que l'interface de gestion 1/1. Cela n'a aucune incidence sur SSH. Si vous perdez votre connexion HTTPS, vous pouvez vous connecter au port de console pour reconfigurer l'ASA, vous connecter à une interface de gestion uniquement ou vous connecter à une interface non configurée pour une fonction de chiffrement renforcé. Avant de commencer • Reportez-vous aux Notes de version de l'application ASDM sur Cisco.com pour plus d'informations sur les conditions requises pour exécuter l'application ASDM. Procédure Étape 1 Saisissez l'URL suivante dans votre navigateur. • https://192.168.1.1 : adresse IP de l'interface interne .Vous pouvez vous connecter à l'adresse interne sur n'importe quel port de commutateur interne (Ethernet 1/2 à 1/8). • https://192.168.45.1 : adresse IP de l'interface de gestion. Guide de mise en route de l'appliance Cisco Firepower 1010 185 Déployer l'ASA avec le gestionnaire ASDM Configurer l'octroi de licences Remarque Veillez à spécifier https:// et non http:// ou simplement l'adresse IP (par défaut, HTTP) ; ASA ne transfère pas automatiquement une demande HTTP à HTTPS. La page web Cisco ASDM s'affiche. Des avertissements de sécurité du navigateur peuvent s'afficher, car le certificat ASA n'est pas installé ; vous pouvez ignorer ces avertissements en toute sécurité et consulter la page web. Étape 2 Cliquez sur l'une des options disponibles : Installer le lanceur de l'application ASDM ou Exécuter ASDM. Étape 3 Suivez les instructions à l'écran pour démarrer l'application ASDM selon l'option sélectionnée. La page Lanceur de l'application Cisco ASDM-IDM s'affiche. Étape 4 Laissez les champs de nom d'utilisateur et de mot de passe vides, puis cliquez sur OK. La fenêtre principale de l'ASDM apparaît. Configurer l'octroi de licences Le ASA utilise Smart Licensing. Vous pouvez utiliser la version standard de Smart Licensing, qui nécessite un accès Internet ; pour la gestion hors ligne, vous pouvez configurer la réservation de licence permanente ou un logiciel Smart Software Manager sur site (anciennement, serveur satellite). Pour plus d'informations sur ces méthodes d'octroi de licences hors ligne, reportez-vous au guide Licences de fonctionnalités Cisco ASA , qui s'applique à la version standard de Smart Licensing. Pour une présentation complète de Cisco Licensing, rendez-vous sur cisco.com/go/licensingguide. Lorsque vous enregistrez le châssis, l'outil Smart Software Manager délivre un certificat d'identification pour établir la communication entre le pare-feu et Smart Software Manager. Il attribue également le pare-feu au compte virtuel approprié. Tant que vous ne vous êtes pas enregistré auprès de Smart Software Manager, vous ne serez pas en mesure de modifier la configuration aux fonctionnalités nécessitant des licences spéciales, mais le fonctionnement n'est pas affecté. Les fonctionnalités sous licence sont les suivantes : • Standard • Security Plus : pour le basculement entre l'unité active et l'unité de secours • Chiffrement fort (3DES/AES) : si votre compte Smart n'est pas autorisé pour le chiffrement renforcé, mais que Cisco a déterminé que vous êtes autorisé à utiliser le chiffrement renforcé, vous pouvez ajouter manuellement une licence de chiffrement renforcé à votre compte. • AnyConnect : AnyConnect Plus, AnyConnect Apex ou AnyConnect VPN uniquement. ASA inclut la fonctionnalité 3DES par défaut pour l'accès de gestion uniquement. Vous pouvez donc vous connecter à Smart Software Manager et utiliser immédiatement le gestionnaire ASDM. Vous pouvez également utiliser SSH et SCP si vous configurez ultérieurement l'accès SSH sur l'ASA. Le chiffrement renforcé doit être activé pour les autres fonctionnalités nécessitant un chiffrement renforcé (comme le VPN). Vous devez donc vous enregistrer auprès de Smart Software Manager. Guide de mise en route de l'appliance Cisco Firepower 1010 186 Déployer l'ASA avec le gestionnaire ASDM Configurer l'octroi de licences Remarque Si vous tentez de configurer des fonctionnalités susceptibles d'utiliser le chiffrement renforcé avant de vous enregistrer, même si vous configurez uniquement le chiffrement faible, votre connexion HTTPS est abandonnée sur cette interface et vous ne pouvez plus vous reconnecter. Il existe toutefois une exception à cette règle : vous êtes connecté à une interface de gestion uniquement, telle que l'interface de gestion 1/1. Cela n'a aucune incidence sur SSH. Si vous perdez votre connexion HTTPS, vous pouvez vous connecter au port de console pour reconfigurer l'ASA, vous connecter à une interface de gestion uniquement ou vous connecter à une interface non configurée pour une fonction de chiffrement renforcé. Lorsque vous demandez le jeton d'enregistrement de l'ASA à partir de votre compte Smart Software Manager, cochez la case Autoriser la fonctionnalité de contrôle de l'exportation sur les produits enregistrés avec ce jeton afin que la licence Chiffrement renforcé soit appliquée (votre compte doit prendre en charge son utilisation ). La licence Chiffrement renforcé est automatiquement activée pour les clients qui la prennent en charge lorsque vous appliquez le jeton d'enregistrement sur le châssis. Aucune action supplémentaire n'est requise. Si votre compte Smart n'est pas autorisé pour le chiffrement renforcé, mais que Cisco a déterminé que vous êtes autorisé à utiliser le chiffrement renforcé, vous pouvez ajouter manuellement une licence de chiffrement renforcé à votre compte. Avant de commencer • Veillez à disposer d'un compte principal sur Smart Software Manager. Si vous n'avez pas encore de compte, cliquez sur le lien pour configurer un nouveau compte. Smart Software Manager vous permet de créer un compte principal pour votre entreprise. • Votre compte Smart Software Manager doit bénéficier de la licence de chiffrement renforcé (3DES/AES) pour utiliser certaines fonctionnalités (activées à l'aide de l'indicateur de conformité d'exportation). Procédure Étape 1 Assurez-vous que votre compte Smart Licensing contient les licences disponibles dont vous avez besoin, à savoir au minimum la licence Standard. Si vous avez acheté votre appareil auprès de Cisco ou d'un revendeur, vos licences doivent avoir été associées à votre compte Smart Software Manager. Toutefois, si vous devez ajouter des licences vous-même, utilisez le champ de recherche Rechercher des produits et des solutions de Cisco Commerce Workspace. Recherchez les PID de licence suivants : Illustration 54 : Recherche de licences • Licence standard : L-FPR1000-ASA=. La licence Standard est gratuite, mais vous devez systématiquement l'ajouter à votre compte Smart Software Licensing. • Licence Security Plus : L-FPR1010-SEC-PL=. La licence Security Plus permet le basculement. Guide de mise en route de l'appliance Cisco Firepower 1010 187 Déployer l'ASA avec le gestionnaire ASDM Configurer l'octroi de licences • Licence Chiffrement renforcé (3DES/AES) : L-FPR1K-ENC-K9=. Requise uniquement si votre compte n'est pas autorisé pour le chiffrement fort. • AnyConnect : consultez le Guide d'aide à la commande Cisco AnyConnect. Vous n'activez pas cette licence directement dans l'ASA. Étape 2 Dans Cisco Smart Software Manager, demandez un jeton d'enregistrement pour le compte virtuel auquel vous souhaitez ajouter cet appareil, et copiez-le. a) Cliquez sur Inventaire. b) Dans l'onglet Général, cliquez sur Nouveau jeton. c) Dans la boîte de dialogue Créer un jeton d'enregistrement, saisissez les paramètres suivants, puis cliquez sur Créer un jeton : • Description • Délai d'expiration : Cisco recommande de définir un délai de 30 jours. Guide de mise en route de l'appliance Cisco Firepower 1010 188 Déployer l'ASA avec le gestionnaire ASDM Configurer l'octroi de licences • Autoriser la fonctionnalité de contrôle d'exportation sur les produits enregistrés avec ce jeton : active l'indicateur de conformité d'exportation. Le jeton est ajouté à votre inventaire. d) Cliquez sur l'icône représentant une flèche à droite du jeton pour ouvrir la boîte de dialogue Jeton afin de pouvoir copier l'ID de jeton dans votre presse-papiers. Conservez ce jeton à portée de main pour l'utiliser plus tard dans la procédure d'enregistrement du ASA. Illustration 55 : Afficher le jeton Illustration 56 : Copier le jeton Étape 3 Dans le gestionnaire ASDM, sélectionnez Configuration > Gestion des appareils > Octroi de licences > Smart Licensing. Étape 4 Cliquez sur Enregistrer. Étape 5 Saisissez le jeton d'enregistrement dans le champ Jeton d'ID. Vous pouvez également cocher la case Forcer l'enregistrement pour enregistrer un ASA déjà enregistré, mais qui peut ne pas être synchronisé avec Smart Software Manager. Par exemple, utilisez l'option Forcer l'enregistrement si l'ASA a été accidentellement supprimé de Smart Software Manager. Étape 6 Cliquez sur Enregistrer. L'ASA s'enregistre auprès de Smart Software Manager à l'aide de l'interface externe préconfigurée et demande l'autorisation d'utiliser les droits de licence configurés. Smart Software Manager applique également la licence Guide de mise en route de l'appliance Cisco Firepower 1010 189 Déployer l'ASA avec le gestionnaire ASDM Configurer l'ASA Chiffrement renforcé (3DES/AES) si votre compte le permet. Le gestionnaire ASDM actualise la page lorsque l'état de la licence est mis à jour. Vous pouvez également sélectionner Surveillance > Propriétés > Licence Smart pour vérifier l'état de la licence, en particulier si l'enregistrement échoue. Étape 7 Définissez les paramètres suivants : a) Cochez la case Activer la configuration de licence Smart. b) Dans la liste déroulante Niveau de fonctionnalité, sélectionnez Standard. Seul le niveau Standard est disponible. c) (facultatif) Cochez la case Activer Security Plus. Le niveau Security Plus permet le basculement entre l'unité active et l'unité de secours. Étape 8 Cliquez sur Apply (Appliquer). Étape 9 Cliquez sur l'icône Enregistrer dans la barre d'outils. Étape 10 Quittez le gestionnaire ASDM et redémarrez-le. Lorsque vous modifiez des licences, vous devez redémarrer le gestionnaire ASDM pour afficher les écrans mis à jour. Configurer l'ASA ASDM vous permet d'utiliser des assistants pour configurer les fonctionnalités de base et avancées. Vous pouvez également configurer manuellement les fonctionnalités non incluses dans les assistants. Procédure Étape 1 Sélectionnez Assistants > Assistant de démarrage, puis cliquez sur la case d'option Modifier la configuration existante. Guide de mise en route de l'appliance Cisco Firepower 1010 190 Déployer l'ASA avec le gestionnaire ASDM Configurer l'ASA Étape 2 L'assistant de démarrage vous guide tout au long de la configuration : • Mot de passe d'activation • Interfaces, notamment la définition des adresses IP des interfaces internes et externes et l'activation des interfaces. • Routes statiques • Serveur DHCP • Etc. Étape 3 (facultatif) Dans le menu Assistants, exécutez d'autres assistants. Étape 4 Pour poursuivre la configuration de votre ASA, consultez les documents disponibles pour votre version logicielle dans le document Consultation de la documentation des solutions Cisco ASA. Guide de mise en route de l'appliance Cisco Firepower 1010 191 Déployer l'ASA avec le gestionnaire ASDM Accéder au ASA et au CLI FXOS Accéder au ASA et au CLI FXOS Vous pouvez utiliser l'interface de ligne de commande de ASApour dépanner ou configurer le ASA au lieu d'utiliser le gestionnaire ASDM. Vous pouvez accéder à l'interface de ligne de commande en vous connectant au port de console. Vous pouvez ensuite configurer l'accès SSH à l'ASA sur n'importe quelle interface ; l'accès SSH est désactivé par défaut. Consultez le Guide de configuration des opérations générales de l'ASA pour en savoir plus. Vous pouvez également accéder au CLI FXOS à partir de la CLI de l'ASA à des fins de dépannage. Procédure Étape 1 Connectez votre ordinateur de gestion au port de console. L'appareil Firepower 1000 est livré avec un câble série USB A vers B. Veillez à installer les pilotes série USB nécessaires à votre système d'exploitation (consultez le guide matériel de l'appareil Firepower 1010) Utilisez les paramètres série suivants : • 9 600 bauds • 8 bits de données • Aucune parité • 1 bit d'arrêt Vous vous connectez à l'interface de ligne de commande ASA. Par défaut, aucune information d'identification d'utilisateur n'est requise pour l'accès à la console. Étape 2 Accédez au mode d'exécution privilégié. enable Vous êtes invité à modifier le mot de passe la première fois que vous saisissez la commande enable. Exemple : ciscoasa> enable Password: The enable password is not set. Please set it now. Enter Password: ****** Repeat Password: ****** ciscoasa# Le mot de passe d'activation que vous avez défini sur l'ASA est également le mot de passe de l'utilisateur admin de la FXOS si l'ASA ne démarre pas et que vous passez en mode Protégé en cas de défaillance sur la FXOS. Toutes les commandes (à l'exception des commandes de configuration) sont disponibles en mode d'exécution privilégié. Vous pouvez également passer en mode de configuration à partir du mode d'exécution privilégié. Pour quitter le mode d'exécution privilégié, saisissez la commande disable, exit ou quit. Étape 3 Accédez au mode de configuration globale. configure terminal Guide de mise en route de l'appliance Cisco Firepower 1010 192 Déployer l'ASA avec le gestionnaire ASDM Et après ? Exemple : ciscoasa# configure terminal ciscoasa(config)# Vous pouvez commencer à configurer l'ASA à partir du mode de configuration globale. Pour quitter le mode de configuration globale, saisissez la commande exit, quit ou end. Étape 4 (facultatif) Connectez-vous au CLI FXOS. connect fxos [admin] • admin : fournit un accès de niveau administrateur. Sans cette option, les utilisateurs disposent d'un accès en lecture seule. Notez qu'aucune commande de configuration n'est disponible, même en mode administrateur. Vous n'êtes pas invité à saisir les informations d'identification de l'utilisateur. Le nom d'utilisateur ASA actuel est transmis à la FXOS, et aucune connexion supplémentaire n'est requise. Pour revenir à l'interface de ligne de commande ASA, saisissez exit ou appuyez sur Ctrl-Maj-6, x. Dans FXOS, vous pouvez afficher l'activité des utilisateurs à l'aide de la commande scope security/show audit-logs. Exemple : ciscoasa# connect fxos admin Connecting to fxos. Connected to fxos. Escape character sequence is 'CTRL-^X'. firepower# firepower# exit Connection with FXOS terminated. Type help or '?' for a list of available commands. ciscoasa# Et après ? • Pour poursuivre la configuration de votre ASA, consultez les documents disponibles pour votre version logicielle dans le document Consulter la documentation des solutions Cisco ASA. • Pour le dépannage, consultez le Guide de dépannage de la console FXOS. Guide de mise en route de l'appliance Cisco Firepower 1010 193 Déployer l'ASA avec le gestionnaire ASDM Et après ? Guide de mise en route de l'appliance Cisco Firepower 1010 194 © 2022 Cisco Systems, Inc. Tous droits réservés.