Table des matières Introduction  La plate-forme Firepower 2100 peut exécuter le logiciel FTD ou ASA. Lorsque la plate-forme série Firepower 2100 exécute ASA, vous disposez de deux logiciels, FXOS et ASA. Les deux ont leur propre adresse IP de gestion et partagent le même physique Interface Management 1/1. ASA et FXOS ont leur propre authentification, identique avec les journaux SNMP, Syslog et de support technique. Basculez entre les invites FXOS et ASA A partir de l'invite FXOS, vous pouvez utiliser "connect asa" pour accéder à l'invite ASA, "exit" pour revenir à FXOS. A partir de l'invite ASA, vous pouvez utiliser "connect fxos" pour accéder à l'invite FXOS, "exit" pour revenir à l'ASA. Lorsque vous utilisez la console, vous vous connecterez à fxos prompt. ssh / telnet vers ASA Management IP pour accéder à ASA. SSH à IP de gestion FXOS pour accéder à FXOS.   Gestion ASA et FXOS Afin de gérer ASA, vous avez ASDM ou CLI (SSH, Telnet). Pour gérer FXOS, nous avons CLI et FCM-Firepower Chassis Manager - outil graphique de base du navigateur.   FXOS configurations utiles L'adresse IP par défaut pour l'adresse IP FXOS pour le FP2100 sous ASA est 192.168.45.45.    Vérification et configuration de l'adresse IP de gestion pour FXOS Pour vérifier l'adresse IP FXOS firepower-2110#  scope fabric-interconnect a firepower-2110 /fabric-interconnect #   show detail Fire Power:       ID: A       Product Name: Cisco FPR 2110       PID: FPR-2110       VID: V01       Vendor: Cisco Systems, Inc.       Serial (SN): JMX202820M4       OOB IP Addr: 192.168.45.45       OOB Netmask: 255.255.255.0       OOB Gateway: 192.168.45.1       OOB Gateway Use DataPort: No       OOB Boot Proto: Static       OOB IPv6 Address: ::       Prefix: 64       OOB IPv6 Gateway: ::       OOB IPv6 Gateway Use DataPort: No       IPv6 Boot Proto: Static       DHCPD Admin State:  DHCP Server Enabled     Modification de l'adresse IP de gestion FXOS firepower#  scope fabric-interconnect a firepower /fabric-interconnect #   set out-of-band static ip 10.106.143.40 netmask 255.255.255.0 gw 10.106.143.1 firepower  /fabric-interconnect* #   commit-buffer     (Validez pour enregistrer la configuration)   Parfois vous pouvez obtenir l'erreur ci-dessous:  "  Error: Update failed: [Management ipv4 address (IP 10.106.143.40 / net mask 255.255.255.0 ) is not in the same network of current DHCP server IP range 192.168.45.5 - 192.168.45.10. Either disable DHCP server first or config with a different ipv4 address.] " Si l'erreur ci-dessus apparaît, vous devez soit désactiver DHCP, soit modifier la plage DHCP dans le même sous-réseau que la nouvelle adresse IP de gestion.    Désactiver le serveur DHCP firep ower#  scope system firepower /system* #   scope services firepower  /system* #  disable  dhcp -server ou  firepower  /system* #  enable  dhcp-server  10.106.143.10 10.106.143.20       (Pour activer le serveur DHCP sur FXOS)    Réglage heure / fuseau horaire / NTP La configuration de NTP ou du fuseau horaire sur ASA s'exécutant sur le FP2100 est restreinte. L'horloge, le fuseau horaire, ntp doivent être configurés sur FXOS, qui sera synchronisé sur ASA.  firep ower#  scope system firepower   /system* #   scope services firepower   /system/services *#  set clock   oct   6 2017 17 12 00 firepower   /system/services *#  set   timezone firepower  /system/services *#  create  ntp -server  < ntp -server  host/ ip  address> firepower   /system/services *#  commit-buffer    (Validez pour enregistrer la configuration)   Configuration DNS firep ower#  scope system firepower   /system* #   scope services firepower   /system/services *#  create dns 8.8.8.8 0 firepower   /system/services *#  create dns 203.10.5.1 1 firepower   /system/services *#  commit-buffer    (Validez pour enregistrer la configuration)   Annuler les modifications "discard -buffer " peut être utilisé pour ignorer les modifications avant de les valider.    Publié par:   Nanda Kumar Kirubakaran   /   Version originale en anglais ... View more

La version ISE 2.4 Patch 2 est maintenant disponible La mise à jour ISE 2.4 Patch 2 Release est maintenant disponible dans Cisco Software Download for ISE 2.4. Plus d'informations sur Resolved Caveats in Cisco ISE Release 2.4 - Cumulative Patch 2.   Mise à jour 2018-août-03: Ce correctif a été publié de nouveau le 2018-août-02. Le nouveau nom de fichier du paquet est ise-patchbundle-2.4.0.357-Patch2-18080100.SPA.x86_64.tar.gz   En raison de CSCvk57963, il remplace le dernier fichier posté portant le nom de ise-patchbundle-2.4.0.357-Patch2-18072612.SPA.x86_64.tar.gz.   Publié par:   hslai   /   Version originale en anglais ... View more

Annonce de la disponibilité de l'outil de migration ASA vers FTD Cisco ASA fournit un pare-feu dynamique avec état et un concentrateur VPN. Il a longtemps été la norme de l'industrie pour les pare-feu. Pour plus d'informations sur ce produit, voir http://www.cisco.com/go/asa. Firepower Threat Defense fournit un pare-feu nouvelle génération unifié et des fonctionnalités IPS de nouvelle génération. Outre les fonctionnalités IPS disponibles sur les modèles de logiciel Firepower, les fonctionnalités de pare-feu et de plate-forme incluent VPN de site à site, routage robuste, NAT, clustering et autres optimisations de la visibilité des applications et du contrôle d'accès. Firepower Threat Defense prend également en charge la protection AMP (Advanced Malware Protection) et le filtrage des URL. Pour plus d'informations sur ce produit, voir http://www.cisco.com/go/ngfw. L'outil de migration de Cisco vous permet de convertir des fonctionnalités spécifiques d'une configuration ASA en fonctionnalités équivalentes d'une configuration de Firepower Threat Defense à l'aide de l'outil de migration facile à utiliser, basé sur un assistant. Notes de publication ici.   Publié par:   haaravin   /   Version originale en anglais ... View more

Le document contient la procédure et les connaissances relatives à la configuration de VPN (IPSec) LAN-2-LAN à l'aide de plates-formes ISR Cisco. Je suis l'auteur du document et el peut être librement distribué et copié. De plus, je reçois toute sorte de corrections ou commentaires pour son amélioration.   Publié par:   jose cortes   /   Version originale en espagnol ... View more

Table des matières Introduction Après de nombreuses questions sur "IP non numéroté" et sur l'apparence de la configuration, je me suis tourné vers l'approche "IP numérotée" ou "P2P" déjà publiée, que j'avais publiée. Pour cet exemple, nous utilisons l'exemple de topologie suivant.   L'exemple de configuration couvre la configuration des composants logiciels suivants Assemblage avec OSPF, PIM Sparse (ASM) et Anycast-RP Interfaces non numérotées IP VXLAN Plan de contrôle EVPN MP-BGP VPC Nous allons nous concentrer sur la configuration de Épine "1", Feuille "V1" et Feuille "V2"   Configuration Épine "1"   hostname SPINE1 nv overlay evpn feature ospf feature bgp feature pim feature nv overlay ip pim anycast-rp 10.254.254.254 10.250.250.101 ip pim rp-address 10.254.254.254 group-list 239.239.239.0/24 interface Ethernet3/1   description Link to Leaf "V2" mtu 9216   ip unnumbered loopback0   ip ospf network point-to-point   ip router ospf UNDERLAY area 0.0.0.0   ip pim sparse-mode   no shutdown interface Ethernet3/2   description Link to Leaf "V1"   mtu 9216   ip unnumbered loopback0   ip ospf network point-to-point   ip router ospf UNDERLAY area 0.0.0.0   ip pim sparse-mode   no shutdown interface loopback0   ip address 10.250.250.101/32   ip ospf network point-to-point # will change OSPF interface back to Loopback; required for VPC    ip router ospf UNDERLAY area 0.0.0.0   ip pim sparse-mode interface loopback254   ip address 10.254.254.254/32   ip ospf network point-to-point   ip router ospf UNDERLAY area 0.0.0.0   ip pim sparse-mode router ospf UNDERLAY   router-id 10.250.250.101   log-adjacency-changes detail router bgp 65500   router-id 10.250.250.101   address-family ipv4 unicast   neighbor 10.250.250.0/24 remote-as 65500     update-source loopback0     address-family ipv4 unicast # optional for "show ip bgp summary" support     address-family l2vpn evpn       send-community both       route-reflector-client   Configuration Feuille "V1"   hostname LeafV1 nv overlay evpn feature ospf feature bgp feature pim feature interface-vlan feature vn-segment-vlan-based feature nv overlay feature vpc fabric forwarding anycast-gateway-mac 2020.DEAD.BEEF ip pim rp-address 10.254.254.254 group-list 239.239.239.0/24 vlan 1,99-101,2500,3000 vlan 99   name L2onlyHostSegment   vn-segment 30099 vlan 100   name L2L3HostSegment   vn-segment 30000 vlan 101   name L2L3HostSegment   vn-segment 30001 vlan 2500   name FabricBD   vn-segment 50000 vlan 3000   name VPCL3Peering route-map FABRIC-RMAP-REDIST-SUBNET permit 10   match tag 21921 vrf context TENANT1   vni 50000   rd auto   address-family ipv4 unicast     route-target both auto     route-target both auto evpn   address-family ipv6 unicast     route-target both auto     route-target both auto evpn vpc domain 1   peer-switch   peer-keepalive destination 10.2.8.1 source 10.2.8.2 vrf management   peer-gateway   ip arp synchronize interface Vlan100   no shutdown   vrf member TENANT1   ip address 192.168.100.1/24 tag 21921   fabric forwarding mode anycast-gateway interface Vlan101   no shutdown   vrf member TENANT1   ip address 192.168.101.1/24 tag 21921   fabric forwarding mode anycast-gateway interface Vlan2500   description FabricBD   no shutdown   mtu 9216   vrf member TENANT1   ip forward interface Vlan3000   description VPC Layer-3 Peering for VXLAN   no shutdown   ip address 10.3.1.1/30 # Requires to be individual IP per VPC member   ip ospf network point-to-point   ip router ospf UNDERLAY area 0.0.0.0   ip pim sparse-mode nve infra-vlans 3000 # required for Nexus 9x00-EX/FX or Nexus 9200 interface port-channel1   description VPC Peer-Link   switchport mode trunk   spanning-tree port type network   lacp suspend-individual   vpc peer-link hardware access-list tcam region vacl 0 # example region to free up space for arp-ether region hardware access-list tcam region arp-ether 256 double-wide # required for ARP suppression, requires reboot # double-wide is required starting 7.0(3)I3(1) # not required for Nexus 9x00-EX/FX or Nexus 9200 interface nve1   mtu 9216   no shutdown   source-interface loopback1   host-reachability protocol bgp   member vni 30000     suppress-arp     mcast-group 239.239.239.100   member vni 30001     suppress-arp     mcast-group 239.239.239.101   member vni 30099     mcast-group 239.239.239.99   member vni 50000 associate-vrf interface Ethernet1/1   switchport mode trunk   spanning-tree port type edge trunk   spanning-tree bpduguard enable interface Ethernet1/47   description Link for VPC Peer-Link   switchport mode trunk   channel-group 1 mode active interface Ethernet1/48   description Link for VPC Peer-Link   switchport mode trunk   channel-group 1 mode active interface Ethernet2/1   description Link to Spine "1"   no switchport   mtu 9216   ip unnumbered loopback0   ip ospf network point-to-point   ip router ospf UNDERLAY area 0.0.0.0 interface loopback0 # Loopback for Router ID, routing adjacency and peering   ip address 10.250.250.102/32   ip router ospf UNDERLAY area 0.0.0.0   ip pim sparse-mode interface loopback1 # Loopback for VTEP only   ip address 10.254.254.102/32   ip address 10.254.254.1/32 secondary   ip ospf network point-to-point # will change OSPF interface back to Loopback; required for VPC   ip router ospf UNDERLAY area 0.0.0.0   ip pim sparse-mode router ospf UNDERLAY   router-id 10.250.250.102   log-adjacency-changes detail router bgp 65500   router-id 10.250.250.102   address-family ipv4 unicast   neighbor 10.250.250.101 remote-as 65500     update-source loopback0     address-family ipv4 unicast # optional for "show ip bgp summary" support     address-family l2vpn evpn       send-community both  vrf TENANT1     address-family ipv4 unicast       advertise l2vpn evpn       redistribute direct route-map FABRIC-RMAP-REDIST-SUBNET evpn   vni 30000 l2     rd auto     route-target import auto     route-target export auto   vni 30001 l2     rd auto     route-target import auto     route-target export auto   vni 30099 l2     rd auto     route-target import auto     route-target export auto   Configuration Feuille "V2"   hostname LeafV2 nv overlay evpn feature ospf feature bgp feature pim feature interface-vlan feature vn-segment-vlan-based feature nv overlay feature vpc fabric forwarding anycast-gateway-mac 2020.DEAD.BEEF ip pim rp-address 10.254.254.254 group-list 239.239.239.0/24 vlan 1,99-101,2500,3000 vlan 99   name L2onlyHostSegment   vn-segment 30099 vlan 100   name L2L3HostSegment   vn-segment 30000 vlan 101   name L2L3HostSegment   vn-segment 30001 vlan 2500   name FabricBD   vn-segment 50000 vlan 3000   name VPCL3Peering route-map FABRIC-RMAP-REDIST-SUBNET permit 10   match tag 21921 vrf context TENANT1   vni 50000   rd auto   address-family ipv4 unicast     route-target both auto     route-target both auto evpn   address-family ipv6 unicast     route-target both auto     route-target both auto evpn vpc domain 1   peer-switch   peer-keepalive destination 10.2.8.2 source 10.2.8.1 vrf management   peer-gateway   ip arp synchronize interface Vlan100   no shutdown   vrf member TENANT1   ip address 192.168.100.1/24 tag 21921   fabric forwarding mode anycast-gateway interface Vlan101   no shutdown   vrf member TENANT1   ip address 192.168.101.1/24 tag 21921   fabric forwarding mode anycast-gateway interface Vlan2500   description FabricBD   no shutdown   mtu 9216   vrf member TENANT1   ip forward interface Vlan3000   description VPC Layer-3 Peering for VXLAN   no shutdown   ip address 10.3.1.2/30 # Requires to be individual IP per VPC member   ip ospf network point-to-point   ip router ospf UNDERLAY area 0.0.0.0 ip pim sparse-mode nve infra-vlans 3000 # required for Nexus 9300-EX/FX or Nexus 9200 interface port-channel1   description VPC Peer-Link   switchport mode trunk   spanning-tree port type network   lacp suspend-individual vpc peer-link hardware access-list tcam region vacl 0 # example region to free up space for arp-ether region hardware access-list tcam region arp-ether 256 double-wide # required for ARP suppression, requires reboot # double-wide is required starting 7.0(3)I3(1) # not required for Nexus 9300-EX/FX or Nexus 9200 interface nve1   mtu 9216   no shutdown   source-interface loopback1   host-reachability protocol bgp   member vni 30000      suppress-arp     mcast-group 239.239.239.100   member vni 30001      suppress-arp     mcast-group 239.239.239.101   member vni 30099     mcast-group 239.239.239.99   member vni 50000 associate-vrf interface Ethernet1/1   switchport mode trunk   spanning-tree port type edge trunk   spanning-tree bpduguard enable interface Ethernet1/47   description Link for VPC Peer-Link   switchport mode trunk   channel-group 1 mode active interface Ethernet1/48   description Link for VPC Peer-Link   switchport mode trunk   channel-group 1 mode active interface Ethernet2/1   description Link to Spine "1"   no switchport   mtu 9216   ip unnumbered loopback0   ip ospf network point-to-point   ip router ospf UNDERLAY area 0.0.0.0   ip pim sparse-mode   no shutdown interface loopback0 # Loopback for Router ID, routing adjacency and peering   ip address 10.250.250.103/32   ip router ospf UNDERLAY area 0.0.0.0   ip pim sparse-mode interface loopback1 # Loopback for VTEP only   ip address 10.254.254.103/32   ip address 10.254.254.1/32 secondary   ip ospf network point-to-point  # will change OSPF interface back to Loopback; required for VPC   ip router ospf UNDERLAY area 0.0.0.0   ip pim sparse-mode router ospf UNDERLAY   router-id 10.250.250.103   log-adjacency-changes detail router bgp 65500   router-id 10.250.250.103   address-family ipv4 unicast   neighbor 10.250.250.101 remote-as 65500     update-source loopback0    address-family ipv4 unicast # optional for "show ip bgp summary" support     address-family l2vpn evpn       send-community both   vrf TENANT1     address-family ipv4 unicast       advertise l2vpn evpn       redistribute direct route-map FABRIC-RMAP-REDIST-SUBNET       maximum-paths ibgp 2 evpn   vni 30000 l2     rd auto     route-target import auto     route-target export auto   vni 30001 l2     rd auto     route-target import auto     route-target export auto   vni 30099 l2     rd auto     route-target import auto     route-target export auto   Publié par:   Lukas Krattiger   /   Version originale en anglais   ... View more

Ce document détaille l'intégration de ACI avec VMM, ce qui permet de créer un commutateur virtuel distribué à partir d'ACI, qui sera installé dans vCenter.   Publié par:   jeestrad   /   Version originale en espagnol ... View more

Table des matières Comment collecter bundle DART pour AnyConnect Qu'est-ce que c'est DART? DART est l'outil de diagnostic et de reporting de AnyConnect, que vous pouvez utiliser pour collecter des données utiles au dépannage des problèmes d'installation et de connexion AnyConnect. DART est compatible avec Windows, MAC et Linux. DART est actuellement disponible en tant qu'installation autonome ou l'administrateur peut envoyer cette application au PC client dans le cadre de l'infrastructure dynamique AnyConnect. Toute version de DART fonctionne avec n’importe quelle version d’AnyConnect. Vous pouvez télécharger le fichier DART à partir des liens suivants: AnyConnect 3.x AnyConnect 4.x Les fichiers peuvent être trouvés dans les packages suivants: anyconnect-dart-win-x.x.xxxx-k9.msi   Windows   anyconnect-macosx-i386-x.x.xxxxx-k9.dmg   MAC anyconnect-predeploy-linux-64-x.x.xxxxx-k9.tar.gz   Linux Ou peuvent être déployés dynamiquement par l'utilisateur, en configurant le module sous la politique de groupe. Exemple: ASA(config)#Group-policy ABC attributes ASAconfig-group-policy)# Webvpn ASA(config-group-webvpn)# anyconnect modules value dart Une fois que le client a été installé, vous pouvez suivre l'étape pour obtenir le fichier DART à partir du PC.   DART pour Windows Le fichier DART se trouve dans le même dossier AnyConnect. Lancez l'outil DART et cliquez sur Suivant. Assurez-vous de cocher l'option "vider les logs après la fin de DART" et de sélectionner l'emplacement par défaut ou l'emplacement client pour enregistrer l'ensemble. Cliquez sur Suivant pour que l'outil DART commence à collecter les informations. L'outil DART se terminera automatiquement et l'ensemble sera enregistré sur le bureau par défaut.   DART pour MAC OS  Lancez l'outil DART à partir du client Cisco AnyConnect Secure Mobility. Cryptez le lot DART avec un mot de passe (facultatif) et exécutez l'outil. Il sera enregistré sur le bureau par défaut.   DART pour Linux Décompressez l'outil DART avec la syntaxe tar xvzf. Accédez au dossier DART dans le dossier Anyconnect créé, installez l'outil à l'aide de la commande sudo ./dart_install.sh Acceptez le contrat de licence pour terminer l'installation de l'outil. Vous pouvez exécuter le script "dartcli" à partir de la console ou le fichier "dartui" pour une version graphique. Les fichiers se trouvent dans le répertoire   /opt/cisco/anyconnect/dart/ Voici un exemple pour la version graphique: Cliquez sur Suivant et lancez le logiciel DART. Cliquez sur Suivant et le DART commencera à collecter les informations. Par défaut, le paquet sera enregistré sur le bureau. Liens connexes Vous pouvez trouver plus d'informations sur cet outil sur les liens ci-dessous: (n.b. pour les déployer veuillez vous loguer dans le site de Cisco) Using DART to Gather Troubleshooting Information Deploy AnyConnect   J'espère que ça vous aidera -Randy-   Publié par: rvarelac / Version originale en anglais ... View more

J'essaie d'importer des périphériques réseau dans ISE 2.4. suivant le modèle trouvé ci-dessous:   https://www.cisco.com/c/en/us/td/docs/security/ise/2-4/admin_guide/b_ise_admin_guide_24/b_ise_admin_guide_24_new_chapter_01001.pdf La documentation indique que   Authentication:Protocol:String(6)   est facultatif et que la seule valeur valide est "RADIUS". Mon import échoue avec le message suivant: " Failed Value for attribute Protocol is mandatory" Mettre TACACS dans ce champ est rejeté. Mettre RADIUS dans ce champ est accepté, cependant, je crois que je vais devoir éditer manuellement chaque périphérique pour décocher Radius et j'ai des dizaines de milliers de périphériques, donc ce n'est pas très pratique... Auriez-vous une suggestion?   Publié par:   kevink707   /   Version originale en anglais ... View more