Demandez-moi N'importe Quoi - Sécurité au sujet de ASA et FTD (Global Forum)

[Modérateur Cisco]

Cet événement est l'occasion de discuter de l'Appliance de Sécurité Adaptative Cisco (ASA, de l'anglais Cisco Adaptive Security Appliance) et de Firepower Threat Defense (FTD) concernant l'installation, la configuration, la mise en œuvre, l'utilisation et l'intégration avec d'autres périphériques au sein de votre réseau. Découvrez les meilleures pratiques pour tirer le meilleur parti des paramètres de fare-feu avancés (firewall), ainsi que les meilleures pratiques pour résoudre ses problèmes courants.

Nos experts

Berenice Guerra Martinez est ingénieur-conseil technique au Centre d'Assistance Technique global (TAC) de Cisco pour la Sécurité - Pare-feu de Nouvelle Génération (NGFW, de l'anglais Next Generation Firewall ). Elle se spécialise dans la détection des menaces, la configuration et les meilleures pratiques ASA et Firepower, ainsi que les intégrations Firepower. Bérénice est titulaire d’un baccalauréat en génie électronique avec une spécialisation en cybersécurité et est Technicienne en Télécommunications. Elle détient trois différentes certifications Cisco : CCNA R&S, CyberOps Associate et DevNet Associate.

Namit Agarwal est Technical Marketing Engineer au sein du Security Business Group. Il est basé à Toronto, au Canada. Il collabore étroitement avec notre équipe de gestion des produits de la plateforme et dirige des engagements techniques critiques. Il a rejoint Cisco en 2009 et a occupé plusieurs postes, le plus récemment en tant que Technical Leader au sein de l'équipe Security CX à Bangalore, en Inde. Dans ce rôle, il a travaillé sur les escalades, a dirigé des initiatives de service pour l'amélioration des produits et a conduit des engagements avec les équipes de vente NGFW. Il est CCIE en Sécurité (n°33795) et a de l'expérience avec plusieurs solutions de Sécurité Cisco telles que les Pare-feu Cisco, IPS, VPN et Cloud Security.

Ilkin Gasimov est un Technical Consulting Engineer au sein du Cisco Global TAC pour Security - NGFW. Il a rejoint l'équipe TAC en 2017 et depuis lors il s'est concentré principalement sur le support des plateformes Cisco NGFW et sur la collaboration avec la Business Unit Cisco pour contribuer à l'amélioration de la qualité des produits NGFW. Il a également livré des sessions de dépannage aux partenaires et clients. Avant de rejoindre Cisco, il avait une expérience pratique des Pare-feu Cisco ASA dans les environnements de réseau d'entreprise et mobiles. Depuis 2016 il est titulaire d'une certification CCIE en Sécurité (n°54979).

Ricardo Diez Gutierrez Gonzalez est Technical Consulting Engineer au Cisco HTTS TAC for Security - NGFW - ASA - VPN. Il a rejoint Cisco il y a six ans. Il a fait partie du programme d'incubateur pendant six mois et a obtenu son CCNA, puis il est devenu ingénieur à plein temps. Plus tard, il a obtenu ses certifications de sécurité de spécialiste NGFW et CCNP. Il se prépare actuellement pour la certification de CCIE.

---

Posez ICI vos questions à nos experts du 12 au 22 janvier 2021

(Cliquez sur le bouton de "Répondre" pour poser vos questions)
** Les compliments encouragent la participation de tous nos membres et experts **
Complimentez leur réponses à vos questions pour les remercier !

[Modérateur Cisco]

Comment puis-je effectuer des captures de paquets dans le FTD? Je suis familiarisé avec les captures ASA mais il me semble que ces commandes ne sont pas prises en charge par le FTD.

* Voici la traduction d'un message créé à l'origine par Adolfo Soarez en portugais. Il a été traduit par la Communauté Cisco pour partager toutes les solutions dans les différentes langues.

[Berenice Guerra]

Bonjour Adolfo,

Les périphériques FTD contiennent une partie LINA où vous pouvez exécuter certaines des commandes que vous utilisiez dans les périphériques ASA. Afin de naviguer de l'invite clish prompt, la partie FTD, au côté LINA (ASA), tapez la commande  system support diagnostic-cli , cela devrait vous amener à la partie LINA où vous pourrez exécuter la plupart des commandes ASA.

Pour plus de détails sur la configuration des captures de paquets dans la famille de produits NGFW, vous pouvez consulter le contenu suivant.

• Portail vidéo Cisco - https://video.cisco.com/video/6176793105001
• Notes techniques Cisco - https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/212474-working-with-firepower-threat-defense-f.html

[Ricardo1]

Salut Adolfo,

Vous pouvez créer des captures de deux manières différentes sur le FTD.

En utilisant le GUI :
Allez sur system > health > monitor
Recherchez et sélectionnez l'appareil sur lequel vous pouvez activer les captures
Cliquez sur dépannage avancé ou Advanced troubleshooting
Accédez à Capture w / Trace, puis cliquez sur Ajouter des captures

En utilisant CLI:
SSH sur le FTD.
Vous arriverez au clish (clish icon >)
>
Nous devons passer du côté LINA (code ASA) à l'aide de la commande suivante
>system support diagnostic-cli
firepower>enable
Password: <------ appuyez simplement sur Entrée, il n'y a pas de mot de passe activé
firepower#

Ici vous pouvez activer les captures en utilisant les mêmes commandes que vous utilisez sur l'ASA
firepower#capture dans l'interface à l'intérieur de match ip any any

Merci

[Modérateur Cisco]

Est-ce que le déploiement ASA est-il pris en charge dans les environnements virtuels?

* Voici la traduction d'un message créé à l'origine par Jessica Deaken en anglais. Il a été traduit par la Communauté Cisco pour partager toutes les solutions dans les différentes langues.

[Berenice Guerra]

Bonjour Jessica,

Oui. En effet, le déploiement d'ASA est pris en charge dans différentes plateformes virtuelles telles que VMWare, KVM ou Azure.

Pour plus de détails sur la façon de déployer un ASAv sur Microsoft Azure, veuillez consulter la vidéo suivante sur le site Cisco Video Portal https://video.cisco.com/video/6175870414001

[Ricardo1]

Salut Jessica,

Oui, l'ASA est pris en charge sur certains événements virtuels. Il s'appelle ASAv et nous soutenons:

• Amazon Web Services
• Kernel-baased Virtual Machine (KVM
• Microsoft Azure
• Oracle Cloud Infrastructure (OCI)
• VMware vSphere
• Microsoft Hyper-V

Pour plus d'informations, veuillez vérifier https://www.cisco.com/c/en/us/td/docs/security/asa/compatibility/asamatrx.html#id_65990

[Modérateur Cisco]

Bonjour à tous,

Comment puis-je remplacer une paire de HA ASA si une unité est défectueuse?

Merci beaucoup

* Voici la traduction d'un message créé à l'origine par Adolfo S. en espagnol. Il a été traduit par la Communauté Cisco pour partager toutes les solutions dans les différentes langues.

[Ricardo1]

Q:Comment puis-je remplacer une paire de HA ASA si une unité est défectueuse?

1 .- Après avoir remplacé l'unité (RMA), vous devez connecter les interfaces ASA et allumer l'appareil.
2 .- Réhébergez la licence (ouvrez un dossier TAC auprès de l'équipe de licences).
3 .- Si l'ASA est sur multicontext, changez-le en multiple en utilisant la commande "mode multiple". Ceci redémarrera le firewall.
3 .- De l'unité qui fonctionne, reprenez la sortie output de la commande "show run failover", changez le rôle (si l'unité de travail est la principale, changez-la en secondaire) et puis collez-la sur le périphérique défectueux.
4 .- Activez le failover à l'aide de la commande "failover".
5.- Vérifiez les services et testez le failover à l'aide de la commande "no failover active" sur l'unité active.

[Modérateur Cisco]

Salut,

Nous ferons bientôt une mise à jour technique avec notre série ASA 5500-X . Pour vérification du lien EOL, il n'y a toujours pas de produit pour remplacement et j'ai essayé de rechercher dans les liens Cisco et Google mais en vain.

https://www.cisco.com/c/en/us/products/collateral/security/asa-firepower-services/eos-eol-notice-c51-743545.html

Notre ASA fait simplement ACL, NAT, sécurité / contexte client, A / S HA, S2S et RA VPN dans notre environnement et nous avons juste besoin de faire un remplacement 1-1. Quelqu'un peut-il conseiller la "règle de base" en dimensionnant l'équivalent ASA ci-dessous:

ASA5525x> FPR21xx?
ASA5545x> FPR41xx?
ASA5555x> FPR41xx?
ASA5585-X> FPR9300?

Nous prévoyons également d'exécuter l'image / appliance ASA classique. Y a-t-il un autre option pour cela ou la structure de licence est-elle partagée avec FTD?

* Voici la traduction d'un message créé à l'origine par johnlloyd_13 en anglais. Il a été traduit par la Communauté Cisco pour partager toutes les solutions dans les différentes langues.

[Berenice Guerra]

Salut John Lloyd,

Je vous recommande d'essayer l'outil d'estimation des performances de Firepower ou Firepower Performance Estimator. Pour mieux répondre aux performances de chaque appareil et s'il cela répond à vos besoins.

À partir de ASA5525x, ASA5545x ou ASA5555x ce serait bon de passer à une appliance FPR21xx et depuis ASA5585-X > FPR41xx qui serait capable de gérer les configurations de base.

Vous pouvez aussi configurer ASA en tant qu'instance dans l'un de ces appareils FPR21xx, FPR41xx et FPR 9300. Pour la version de compatibilité ASA, vous pouvez toujours consulter le Guide de compatibilité Cisco ASA

Finalement, pour la licence il est nécessaire de convertir vos licences classiques en licences intelligentes. Voici la documentation Cisco expliquant comment procéder.

https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/smart-licensing/qsg/b_Smart_Licensing_QuickStart/b_Smart_Licensing_QuickStart_chapter_011.pdf

https://software.cisco.com/web/fw/softwareworkspace/smartlicensing/ssmcompiledhelps /c_Convert_Classic_Licensing.html

[Modérateur Cisco]

Veuillez m'apprendre comment faire fonctionner (convertir) Firepower sous ASA-OS avec FTD (FX-OS).

* Voici la traduction d'un message créé à l'origine par cja56910tf en chinois. Il a été traduit par la Communauté Cisco pour partager toutes les solutions dans les différentes langues.

[Ilkin]

> Veuillez m'apprendre comment faire fonctionner (convertir) Firepower sous ASA-OS avec FTD (FX-OS).

Pourriez-vous clarifier votre question? Voulez-vous convertir ou migrer ASA vers FTD?

Ilkin

[Modérateur Cisco]

J'exécute ASA-OS sur le châssis Firepower 1010. J'aimerais continuer à utiliser FX-OS en utilisant ce châssis. Cela signifie que je ne voudrais pas déplacer l'ASA 5500X vers Firepower, mais je veux convertir un ASA fonctionnant sur Firepower en FTD.

* Voici la traduction d'un message créé à l'origine par cja56910tf en japonais. Il a été traduit par la Communauté Cisco pour partager toutes les solutions dans les différentes langues.

[Ilkin]

>J'exécute ASA-OS sur le châssis Firepower 1010. J'aimerais continuer à utiliser FX-OS en utilisant ce châssis. Cela signifie que je ne voudrais pas déplacer l'ASA 5500X vers Firepower, mais je veux convertir un ASA fonctionnant sur Firepower en FTD.

Afin de convertir ASA en FTD, vous pouvez suivre les étapes mentionnées dans ASA → FTD : Firepower 1000 ou 2100 Appliance Mode.

https://www.cisco.com/c/en/us/td/docs/security/firepower/quick_start/reimage/asa-ftd-reimage.html#task_fx2_pv5_5hb

Ilkin

[Modérateur Cisco]

Pouvez-vous nous donner un exemple de configuration pour le profilage des périphériques avec Cisco ASA en conjonction avec Cisco ISE pour les connexions AnyConnect sur Cisco ASA?

* Voici la traduction d'un message créé à l'origine par cja56910tf en chinois. Il a été traduit par la Communauté Cisco pour partager toutes les solutions dans les différentes langues.