Firewalle Cisco Firepower 1000 - NGFW dla SOHO i oddziałów

Cisco Firepower 1000 w projekcie sieci oddziałowej

Seria Cisco Firepower 1000 obejmuje modele FPR-1010, FPR-1120, FPR-1140 i FPR-1150. Urządzenia mogą pracować z obrazem FTD jako Cisco NGFW albo z oprogramowaniem ASA, przeznaczonym głównie do realizacji zapory stanowej, NAT i VPN. Tryb pracy wybiera się przed wdrożeniem.

Dobór na podstawie samej przepustowości łącza prowadzi do niedoszacowania urządzenia. Trzeba uwzględnić profil ruchu, inspekcję IPS, filtrowanie URL, analizę plików, deszyfrację TLS, liczbę tuneli VPN oraz ruch pomiędzy VLAN zgodnymi z IEEE 802.1Q. Każda aktywna funkcja inspekcyjna obciąża platformę inaczej, dlatego wartości dla ASA i FTD nie powinny być porównywane bez sprawdzenia profilu testowego.

Porównanie modeli Cisco Firepower 1000

FPR-1150 obsługuje do 800 peerów VPN według danych przypisanych do tego modelu. Limit peerów nie oznacza, że wszystkie tunele mogą jednocześnie przesyłać ruch z maksymalną przepustowością. Wynik zależy od zestawu szyfrów, wielkości pakietów, aktywnej inspekcji oraz rodzaju VPN.

Interfejsy SFP i SFP+ trzeba zestawić z listą modułów obsługiwanych przez daną wersję sprzętu oraz oprogramowania. Sam format SFP nie potwierdza zgodności wkładki. W projekcie należy podać rodzaj włókna, długość fali, budżet mocy, typ złącza i wymaganą prędkość portu.

FTD czy ASA

FTD jest właściwym wyborem, gdy specyfikacja wymaga funkcji NGFW Cisco, centralnego raportowania zdarzeń, IPS lub kontroli aplikacji. ASA sprawdza się w projektach opartych na istniejących politykach ACL, konfiguracjach VPN oraz procedurach administracyjnych przygotowanych dla tego systemu. Migracja pomiędzy ASA i FTD wymaga przeinstalowania obrazu oraz odtworzenia polityk, ponieważ konfiguracje nie są odwzorowywane jeden do jednego.

Licencje trzeba policzyć osobno. Dostępność IPS, filtrowania URL, ochrony przed malware, zdalnego dostępu VPN i aktualizacji baz zależy od zamówionych subskrypcji, okresu ich obowiązywania oraz wersji oprogramowania. Numer urządzenia bez pozycji licencyjnych nie opisuje kompletnego rozwiązania Cisco Firepower.

Zarządzanie firewallami Cisco Firepower

Firewall Device Manager, czyli FDM, działa lokalnie na urządzeniu FTD. Pasuje do pojedynczego oddziału lub instalacji, w której nie przewidziano osobnej platformy zarządzającej. Przed wyborem FDM trzeba sprawdzić, czy obsługuje wszystkie wymagane funkcje danej wersji FTD.

Firewall Management Center, czyli FMC, centralizuje polityki dostępu, reguły IPS, zdarzenia bezpieczeństwa oraz raportowanie dla wielu urządzeń. W projekcie z kilkoma oddziałami ogranicza ryzyko rozbieżności pomiędzy lokalnymi konfiguracjami. FMC wymaga osobnego ujęcia w architekturze, licencjach, zasobach i procedurach kopii zapasowych.

Cisco Security Cloud Control może być rozpatrywany przy zarządzaniu z chmury. Zakres obsługiwanych funkcji zależy od modelu, obrazu i wersji systemu. Przed wpisaniem tej platformy do SWZ lub dokumentacji wykonawczej trzeba potwierdzić aktualną macierz zgodności.

Jak dobrać model Cisco NGFW

Dla łącza zbliżonego do 1 Gb/s model FPR-1010 z wartością 890 Mb/s dla FTD nie pozostawia zapasu na wzrost ruchu ani rozbudowę polityki inspekcyjnej. Wymaganie pełnego wykorzystania łącza przy aktywnym IPS, filtrowaniu URL i deszyfracji TLS przemawia za wyborem wyższego modelu. Sama liczba stanowisk nie wystarcza.

FPR-1120 i FPR-1140 pozwalają włączyć uplinki światłowodowe przez porty SFP bez zewnętrznego konwertera mediów. Różnica wydajności pomiędzy 2,3 a 3,3 Gb/s ma znaczenie przy ruchu pomiędzy VLAN, ochronie serwerów lokalnych oraz agregacji tuneli z mniejszych placówek. Kosztem większego zapasu jest wyższy budżet urządzenia i licencji.

FPR-1150 należy rozważyć tam, gdzie projekt przewiduje porty SFP+ 10G, koncentrację VPN albo przepustowość przekraczającą możliwości FPR-1140. Wartość 7,5 Gb/s dotyczy ASA, natomiast dla FTD podano 5,3 Gb/s. Tych parametrów nie można stosować zamiennie w obliczeniach przepustowości po włączeniu usług bezpieczeństwa.

Porty miedziane, SFP i SFP+ w dokumentacji

Dla portów RJ-45 dokumentacja wykonawcza powinna wskazać kategorię toru, sposób terminacji oraz przypisanie interfejsów WAN, LAN i zarządzania. Okablowanie strukturalne projektuje się według PN-EN 50173, a prowadzenie i separację tras według PN-EN 50174. Błędem odbiorowym jest zestawienie urządzenia 10 Gb/s z torem miedzianym, którego kategoria i długość kanału nie spełniają wymagań dla przyjętego standardu transmisji.

Przy uplinku optycznym trzeba zweryfikować zgodność modułu SFP z włóknem jednomodowym lub wielomodowym oraz budżet optyczny całego toru. Ferrule należy skontrolować i oczyścić przed wpięciem do modułu. Procedurę inspekcji złączy opisuje IEC 61300-3-35, a zabrudzenie czoła złącza może powodować tłumienie i niestabilność łącza mimo prawidłowego wyniku pomiaru samego kabla.

Jeżeli appliance, przełączniki i panele trafiają do metalowej szafy teleinformatycznej, projekt powinien obejmować przewód ochronny, połączenia wyrównawcze i sposób przyłączenia elementów metalowych. Zasady wykonawcze opisuje materiał uziemienie szaf teleinformatycznych i wyrównanie potencjałów.

VPN, segmentacja i odporność instalacji

Przy VPN site-to-site trzeba podać liczbę lokalizacji, podsieci, zestawy szyfrów oraz przewidywany ruch w tunelach. Dla dostępu zdalnego dochodzą liczba jednoczesnych sesji, sposób uwierzytelniania i zakres licencji Cisco Secure Client. Maksymalna liczba peerów nie zastępuje obliczeń przepustowości szyfrowanej.

Polityka segmentacji powinna rozdzielać strefy użytkowników, serwerów, urządzeń technicznych, Wi-Fi i zarządzania. W przypadku trunków IEEE 802.1Q dokumentacja musi wskazywać identyfikatory VLAN, interfejsy podłączone do przełączników i zasady routingu. Typowym błędem jest pozostawienie reguły o zbyt szerokim zakresie po testach uruchomieniowych.

Jeżeli projekt wymaga wysokiej dostępności, w zestawieniu materiałowym trzeba ująć dwa zgodne urządzenia, identyczne licencje, połączenia synchronizacyjne i niezależne tory do przełączników. Tryb failover należy sprawdzić podczas odbioru przez kontrolowane odłączenie łącza lub urządzenia. Sam status pary HA nie potwierdza poprawnego przełączenia sesji i routingu.

Dane potrzebne do oferty projektowej lub przetargowej

Specyfikacja firewall Cisco Firepower powinna oddzielać wymagania sprzętowe od funkcji zależnych od subskrypcji. Do przygotowania zestawienia materiałowego potrzebne są:

• model FPR-1010, FPR-1120, FPR-1140 albo FPR-1150 oraz wymagany zapas wydajności,
• obraz FTD lub ASA, wersja oprogramowania i wybrany sposób zarządzania,
• zakres IPS, filtrowania URL, ochrony przed malware i inspekcji TLS,
• liczba tuneli site-to-site, użytkowników zdalnych i wymagany wariant Cisco Secure Client,
• rodzaj portów RJ-45, SFP lub SFP+ 10G wraz z parametrami modułów optycznych,
• topologia pojedyncza albo HA, okres subskrypcji oraz wymagany poziom wsparcia.

W opisie równoważności trzeba rozdzielić przepustowość zapory, wydajność FTD i parametry VPN. Zapis obejmujący wyłącznie wartość w Gb/s może dopuścić urządzenie, które spełnia wymaganie dla ASA, lecz nie osiąga zakładanego poziomu przy aktywnym IPS i filtrowaniu treści.

Pytania o serię Firepower 1000

Czy Cisco NGFW 1010 nadaje się do łącza 1 Gb/s?

Określenie Cisco NGFW 1010 odnosi się do FPR-1010 pracującego z FTD. Przy wartości 890 Mb/s wymaganie ciągłej obsługi łącza 1 Gb/s nie pozostawia zapasu wydajności. Aktywne IPS, filtrowanie URL i inspekcja TLS mogą uzasadniać przejście na FPR-1120.

Czy ASA i FTD oferują tę samą ochronę?

Nie. ASA koncentruje się na zaporze stanowej, NAT, ACL i VPN, natomiast FTD dodaje kontrolę aplikacji, IPS, filtrowanie URL oraz funkcje ochrony plików. Wybór obrazu wpływa też na sposób zarządzania i licencjonowania.

Czy FDM może zastąpić FMC?

FDM obsługuje lokalne zarządzanie urządzeniem FTD i ogranicza liczbę elementów potrzebnych w małej instalacji. FMC jest przeznaczony do centralizacji polityk, zdarzeń i raportów z wielu firewalli. Funkcje obu platform trzeba porównać dla planowanej wersji FTD.

Czy można później zmienić ASA na FTD?

Zmiana jest możliwa po sprawdzeniu zgodności modelu z docelową wersją, ale wymaga przeinstalowania obrazu i migracji konfiguracji. Reguły ACL, NAT, VPN i obiekty należy zweryfikować po konwersji. Okno serwisowe powinno uwzględniać testy ruchu oraz plan powrotu do poprzedniego systemu.

Czy urządzenie zawiera wszystkie licencje NGFW?

Zakres licencji zależy od pozycji zamówienia. IPS, filtrowanie URL, ochrona przed malware, Cisco Secure Client oraz aktualizacje mogą wymagać osobnych subskrypcji. Wycena powinna wskazywać okres obowiązywania i przypisanie licencji do konkretnego modelu Firepower.

Dobór i dostawa pod inwestycję

Poltel przygotowuje oferty dla integratorów, wykonawców sieci, biur projektowych i operatorów. Do wyceny Cisco Firepower 1000 należy przekazać wymagany model, tryb FTD lub ASA, zakres licencji, sposób zarządzania, parametry VPN oraz rodzaj interfejsów SFP lub SFP+ 10G. Doradca techniczny zweryfikuje kompletację pod dokumentację wykonawczą albo SWZ i harmonogram dostawy.

Opracowanie: zespół techniczny Poltel