Konfigurieren eines ESA-Clusters (E-Mail Security Appliance)

Einleitung

In diesem Dokument wird die Einrichtung eines Clusters auf einer Cisco E-Mail Security Appliance (ESA) beschrieben.

Voraussetzungen 

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Verbindung von Appliances in einem Cluster (zentralisierte Verwaltung).
• Alle ESAs müssen die gleichen AsyncOS-Versionen haben (bis zur Version).

Hinweis: In Version 8.5+ ist der zentrale Verwaltungsschlüssel nicht mehr erforderlich und wird beim Hinzufügen nicht mehr angezeigt, da er eine integrierte Funktion von AsyncOS ist.

• Wenn Sie einen Cluster für Port 22 erstellen (einfacher zu konfigurieren), stellen Sie sicher, dass keine Firewall- oder Routing-Probleme zwischen den Appliances auf Port 22-Datenverkehr auftreten.
• Wenn Sie einen Cluster für die Verwendung von Port 2222 (Cluster Communication Service) erstellen, stellen Sie sicher, dass Firewall-Regeln festgelegt werden, die die Verfügbarkeit des Datenverkehrs auf diesem Port ohne Überprüfung oder Unterbrechung ermöglichen.
• Cluster-Konfigurationsoptionen müssen über die CLI auf der ESA konfiguriert werden und können nicht erstellt oder über die GUI miteinander verbunden werden.
• Wenn Sie einen Hostnamen für die Kommunikation verwenden, stellen Sie sicher, dass die auf den Appliances festgelegten DNS-Server alle anderen Appliances in Ihrem Netzwerk auflösen können und dass die IP-Adressen, zu denen die Hostnamen aufgelöst werden, einer Schnittstelle zugewiesen sind, die so konfiguriert ist, dass sie den ausgewählten Kommunikations-Port abhört.
• Stellen Sie sicher, dass auf den Appliance-Schnittstellen der erforderliche Port und Service aktiviert sind (SSH oder CCS).

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Problem

Das Problem besteht darin, zu vermeiden, dass die Konfiguration zwischen einer großen Gruppe von ESAs ständig auf jeder Appliance geändert werden muss, wenn diese zentralisiert und synchron gehalten werden muss.

Cluster auf der ESA

Mit der zentralisierten Verwaltungsfunktion der ESA können Sie mehrere Appliances gleichzeitig verwalten und konfigurieren, um die Zuverlässigkeit, Flexibilität und Skalierbarkeit innerhalb Ihres Netzwerks zu erhöhen. Auf diese Weise können Sie globale Verwaltungsaufgaben durchführen und gleichzeitig lokale Richtlinien einhalten. 

Ein Cluster besteht aus einer Reihe von Computern mit gemeinsamen Konfigurationsinformationen. Innerhalb jedes Clusters können die Appliances weiter in Computergruppen unterteilt werden, wobei ein einzelner Computer jeweils nur einer Gruppe angehören kann. 

Cluster werden in einer Peer-to-Peer-Architektur ohne primäre/sekundäre Beziehung implementiert. Sie können sich bei jedem Computer anmelden, um den gesamten Cluster oder die gesamte Gruppe zu steuern und zu verwalten.  Dies ermöglicht dem Administrator, verschiedene Elemente des Systems auf Cluster-, Gruppen- oder Computerbasis basierend auf eigenen logischen Gruppen zu konfigurieren.

Cluster erstellen

Wenn alle Anforderungen erfüllt sind, müssen Sie zum Erstellen des Clusters in der Befehlszeile der ersten Appliance beginnen.

Tipp: Sichern Sie die aktuelle Konfiguration auf Ihrer Appliance, bevor Sie Ihren Cluster konfigurieren. Wählen Sie in der GUI System Administration > Configuration File (Systemverwaltung > Konfigurationsdatei).  Deaktivieren Sie das Kontrollkästchen für das maskierte Kennwort, und speichern Sie die Konfiguration lokal auf Ihrem PC.

Cluster über SSH erstellen

C370.lab> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 2

Enter the name of the new cluster.
[]> NameOfCluster

Should all machines in the cluster communicate with each other by hostname or
by IP address?
1. Communicate by IP address.
2. Communicate by hostname.
[2]> 1

What IP address should other machines use to communicate with Machine C370.lab?
1. 10.1.1.11 port 22 (SSH on interface Management)
2. Enter an IP address manually
[]> 1

Other machines will communicate with Machine C370.lab using IP address
10.1.1.11 port 22. You can change this by using the COMMUNICATION subcommand
of the clusterconfig command.
New cluster committed: DATE
Creating a cluster takes effect immediately, there is no need to commit.

Cluster NameOfCluster

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.

Cluster über CCS erstellen

C370.lab> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 2

Enter the name of the new cluster.
[]> Test

Should all machines in the cluster communicate with each other by hostname or by IP address?
1. Communicate by IP address.
2. Communicate by hostname.
[2]> 1

What IP address should other machines use to communicate with Machine C370.lab?
1. 10.1.1.1 port 22 (SSH on interface Management)
2. Enter an IP address manually
[]> 2

Enter the IP address for Machine C370.lab.
[]> 10.1.1.1

Enter the port (on 10.66.71.120) for Machine C370.lab.
[22]> 2222

Nachdem dieser Schritt durchgeführt wurde, haben Sie einen Cluster, und alle Konfigurationen werden von der Computer- auf die Cluster-Ebene verschoben. Dies ist die Konfiguration, die alle anderen Computer übernehmen, wenn sie verbunden werden.

Beitreten zu einem aktuellen Cluster über SSH oder CCS

In diesem Abschnitt wird beschrieben, wie Sie Ihrem aktuellen Cluster neue Appliances hinzufügen, die Sie zuvor oder gerade erstellt haben. Beitreten zu einem aktuellen Cluster nach beiden Methoden ist ähnlich in Ansatz, der einzige wesentliche Punkt des Unterschieds ist CCS erfordert einen zusätzlichen Schritt zu beenden, damit der Cluster die neuere Appliance zu akzeptieren.

Über SSH beitreten

Hinweis: Der in diesen nächsten Schritten in Fettschrift angegebene Abschnitt muss exakt ausgefüllt werden. SSH darf bei der Aktivierung von CCS nicht als Ja gekennzeichnet werden.

C370.lab> clusterconfig

Do you want to join or create a cluster?
1. No, configure as standalone.
2. Create a new cluster.
3. Join an existing cluster over SSH.
4. Join an existing cluster over CCS.
[1]> 3

While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining.  
To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig
-> fingerprint.

WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for 
the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig
settings)
Exception:  Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster.  
These settings on this machine will remain intact.
Do you want to enable the Cluster Communication Service on C370.lab? [N]>

Enter the IP address of a machine in the cluster.
[]> 10.66.71.120

Enter the remote port to connect to.  This must be the normal admin ssh port, not the CCS port.
[22]>

Enter the name of an administrator present on the remote machine
[admin]>

Enter password:
Please verify the SSH host key for 10.66.71.120:
Public host key fingerprint: d2:6e:36:9b:1d:87:c6:1f:46:ea:59:40:61:cc:3e:ef
Is this a valid key for this host? [Y]>

Nach der Überprüfung wird die Appliance erfolgreich dem Cluster hinzugefügt.

Beitritt über CCS

Ähnlich ist der Ansatz. Der einzige Unterschied besteht darin, dass Sie sich bei der im Cluster aktiven Appliance anmelden müssen, bevor Sie die neue Appliance im aktuellen Cluster zulassen.

Auf der aktiven Appliance im Cluster:

(Cluster test)> clusterconfig

Cluster test

Choose the operation you want to perform:
- ADDGROUP - Add a cluster group.
- SETGROUP - Set the group that machines are a member of.
- RENAMEGROUP - Rename a cluster group.
- DELETEGROUP - Remove a cluster group.
- REMOVEMACHINE - Remove a machine from the cluster.
- SETNAME - Set the cluster name.
- LIST - List the machines in the cluster.
- CONNSTATUS - Show the status of connections between machines in the cluster.
- COMMUNICATION - Configure how machines communicate within the cluster.
- DISCONNECT - Temporarily detach machines from the cluster.
- RECONNECT - Restore connections with machines that were previously detached.
- PREPJOIN - Prepare the addition of a new machine over CCS.
[]> prepjoin

Prepare Cluster Join Over CCS

No host entries waiting to be added to the cluster.

Choose the operation you want to perform:
- NEW - Add a new host that will join the cluster.
[]> new

Enter the hostname of the system you want to add.
[]> ESA.lab

Enter the serial number of the host ESA.lab.
[]> XXXXXXXXXXXXXX-XXXXXA

Enter the user key of the host ESA2.lab.  This can be obtained by typing 
"clusterconfig prepjoin print" in the CLI on ESA.lab.
Press enter on a blank line to finish.

Wenn Sie den SSH-Fingerprint (der erhalten wird, wenn Sie sich bei der Appliance anmelden, die versucht, dem Cluster beizutreten, und mit dem Befehl clusterconfig prepjoin print ) im vorherigen Codebeispiel eingeben und eine leere Zeile eingeben, wird die Vorbereitungen abgeschlossen.

Hinweis: Wenn Sie die PREPJOIN Option ausführen, müssen Sie Ihre Änderungen an der primären ESA bestätigen, bevor Sie  clusterconfig  auf der sekundären ESA ausführen und diese Appliance zu Ihrem neu konfigurierten Cluster hinzufügen.  Dies wird bei der Ausgabe während des gesamten Vorgangs festgestellt: Um diese Appliance einem Cluster mit vorinstallierten Schlüsseln hinzuzufügen, melden Sie sich beim Cluster-Computer an, führen den clusterconfig > prepjoin > new  Befehl aus, geben die nächsten Details ein, und commit ändern Sie die Änderungen.

Anschließend können Sie den Join-Prozess auf der Appliance beginnen, die sich anmelden möchte. Rufen Sie die Appliance als Referenz ESA2.lab auf, um den Vorgang mit dem vorherigen Schritt abzugleichen.

Hinweis: Der SSH-DSS-Schlüssel wird im nächsten Beispiel gezeigt.

ESA2.lab> clusterconfig Do you want to join or create a cluster? 1. No, configure as standalone. 2. Create a new cluster. 3. Join an existing cluster over SSH. 4. Join an existing cluster over CCS. [1]> 4 While joining a cluster, you will need to validate the SSH host key of the remote machine to which you are joining. 
To get the public host key fingerprint of the remote host, connect to the cluster and run: logconfig -> hostkeyconfig -> fingerprint. WARNING: All non-network settings will be lost. System will inherit the values set at the group or cluster mode for 
the non-network settings. Ensure that the cluster settings are compatible with your network settings (e.g. dnsconfig settings) Exception: Centralized Policy, Virus, and Outbreak Quarantine settings are not inherited from the cluster. 
These settings on this machine will remain intact. In order to join a cluster over CCS, you must first log in to the cluster and tell it that this system is being added. 
On a machine in the cluster, run "clusterconfig -> prepjoin -> new" with the following information and commit. Host: ESA2.lab Serial Number: XXXXXXXXXXXX-XXXXXA User Key: ssh-dss AAAAB3NzaC1kc3.......BrccM= Choose the interface on which to enable the Cluster Communication Service: 1. ClusterInterface (10.1.1.2/24: ESA2.lab) [1]> 1 Enter the port on which to enable the Cluster Communication Service: [2222] Enter the IP address of a machine in the cluster. []> 10.1.1.1 Enter the remote port to connect to. This must be the CCS port on the machine "10.1.1.1", 
not the normal admin ssh port. [2222]>

Sobald dies bestätigt wurde, wird der SSH-DSS-Schlüssel angezeigt. Wenn die Bedingungen übereinstimmen, können Sie die Bedingungen akzeptieren, und der Cluster wurde erfolgreich hinzugefügt.

Was wird in einer Clusterkonfiguration migriert?

Cluster-Konfiguration migriert:

• Konfigurierte Richtlinieneinstellungen
• Content-Filter
• Textressourcen
• Content-Dictionarys
• LDAP-Einstellungen
• Anti-Spam und Anti-Virus
• Globale Einstellungen
• Listener-Einstellungen
• SMTP-Routeneinstellungen
• DNS-Einstellungen

Was wird nicht in einer Clusterkonfiguration migriert?

Die Clusterkonfiguration wird nicht migriert:

• Lokaler Hostname der Appliance.
• Konfigurierte IP-Schnittstellen
• Konfigurierte Routing-Tabellen.
• Konfiguration der lokalen Spam-Quarantäne
• Lokale Richtlinien-, Virus- und Outbreak-Quarantänekonfigurationen
• Einstellungen unter dem websecurityadvancedconfig  Befehl in der Befehlszeile (für Version 8.5 und höher). 

Konfiguration von Gruppen in einem ESA-Cluster

In bestimmten Szenarien kann es erforderlich sein, dass nur wenige ESAs im Cluster auf eine bestimmte Weise arbeiten als der Rest. Dazu müssen Sie keinen neuen Cluster erstellen, und Sie können mit der Erstellung von Gruppen fortfahren.

Erstellen Sie zur Erstellung von Gruppen diese über die ESA-CLI. Verwenden Sie zum Starten der Konfiguration den folgenden Befehl clusterconfig --> ADDGROUP :

(Computer esalab.cisco.com)> clusterconfig 

Dieser Befehl ist auf den Cluster-Modus beschränkt.  Möchten Sie in den "Cluster"-Modus wechseln? [J]>

Cluster Cisco

Wählen Sie den Vorgang aus, den Sie ausführen möchten:

- ADDGROUP - Fügen Sie eine Clustergruppe hinzu.

- SETGROUP - Legt die Gruppe fest, der Computer angehören.

- RENAMEGROUP - Benennt eine Clustergruppe um.

- DELETEGROUP - Entfernt eine Clustergruppe.

- REMOVEMACHINE - Einen Computer aus dem Cluster entfernen.

- SETNAME - Legt den Clusternamen fest.

- LIST - Listet die Computer im Cluster auf.

- CONNSTATUS - Zeigt den Status der Verbindungen zwischen Computern im Cluster an.

- KOMMUNIKATION - Konfigurieren der Kommunikation zwischen Computern innerhalb des Clusters

- DISCONNECT - Trennen Sie Computer vorübergehend vom Cluster.

- RECONNECT - Stellt Verbindungen mit zuvor getrennten Computern wieder her.

- VORBEREITUNG - Vorbereiten des Hinzufügens eines neuen Systems über CCS.

[]> ADDGROUP

Geben Sie den Namen der neu zu erstellenden Clustergruppe ein.

[]> Neue_Gruppe

Clustergruppe "New_Group" wurde erstellt.

Um der neu erstellten Gruppe ESAs aus dem aktuellen Cluster hinzuzufügen, verwenden Sie den Befehl SETGROUP: 

(Computer esalab.cisco.com)> clusterconfig

Dieser Befehl ist auf den Cluster-Modus beschränkt.  Möchten Sie in den "Cluster"-Modus wechseln? [J]>

Cluster Cisco

Wählen Sie den Vorgang aus, den Sie ausführen möchten:

- ADDGROUP - Fügen Sie eine Clustergruppe hinzu.

- SETGROUP - Legt die Gruppe fest, der Computer angehören.

- RENAMEGROUP - Benennt eine Clustergruppe um.

- DELETEGROUP - Entfernt eine Clustergruppe.

- REMOVEMACHINE - Einen Computer aus dem Cluster entfernen.

- SETNAME - Legt den Clusternamen fest.

- LIST - Listet die Computer im Cluster auf.

- CONNSTATUS - Zeigt den Status der Verbindungen zwischen Computern im Cluster an.

- KOMMUNIKATION - Konfigurieren der Kommunikation zwischen Computern innerhalb des Clusters

- DISCONNECT - Trennen Sie Computer vorübergehend vom Cluster.

- RECONNECT - Stellt Verbindungen mit zuvor getrennten Computern wieder her.

- VORBEREITUNG - Vorbereiten des Hinzufügens eines neuen Systems über CCS.

[]> SETGROUP

Wählen Sie den Computer, der in eine andere Gruppe verschoben werden soll.  Trennen Sie mehrere Computer durch Kommas.

1. esalab.cisco.com (Gruppe ESA_Group)

[1]> 1

Wählen Sie die Gruppe aus, der esalab.cisco.com angehören muss.

1. ESA_Gruppe

2. Neue_Gruppe

[1]> 2

esalab.cisco.com auf Gruppe New_Group gesetzt.

Um eine aktuelle Gruppe im ESA-Cluster umzubenennen, verwenden Sie den folgenden Befehl RENAMEGROUP:

(Computer esalab.cisco.com)> clusterconfig

Dieser Befehl ist auf den Cluster-Modus beschränkt.  Möchten Sie in den "Cluster"-Modus wechseln? [J]>

Cluster Cisco

Wählen Sie den Vorgang aus, den Sie ausführen möchten:

- ADDGROUP - Fügen Sie eine Clustergruppe hinzu.

- SETGROUP - Legt die Gruppe fest, der Computer angehören.

- RENAMEGROUP - Benennt eine Clustergruppe um.

- DELETEGROUP - Entfernt eine Clustergruppe.

- REMOVEMACHINE - Einen Computer aus dem Cluster entfernen.

- SETNAME - Legt den Clusternamen fest.

- LIST - Listet die Computer im Cluster auf.

- CONNSTATUS - Zeigt den Status der Verbindungen zwischen Computern im Cluster an.

- KOMMUNIKATION - Konfigurieren der Kommunikation zwischen Computern innerhalb des Clusters

- DISCONNECT - Trennen Sie Computer vorübergehend vom Cluster.

- RECONNECT - Stellt Verbindungen mit zuvor getrennten Computern wieder her.

- VORBEREITUNG - Vorbereiten des Hinzufügens eines neuen Systems über CCS.

[]> RENAMEGROUP

Wählen Sie aus, welche Gruppe umbenannt werden soll.

1. ESA_Gruppe

2. Neue_Gruppe

[1]> 2

Geben Sie den neuen Namen der Gruppe ein.

[Neue_Gruppe]> Cluster_Gruppe

Gruppe New_Group in Cluster_Group umbenannt.

Um eine aktuelle Gruppe aus dem ESA-Cluster zu löschen, verwenden Sie den Befehl  DELETEGROUP

(Computer esalab.cisco.com)> clusterconfig

Dieser Befehl ist auf den Cluster-Modus beschränkt.  Möchten Sie in den "Cluster"-Modus wechseln? [J]>

Cluster Cisco

Wählen Sie den Vorgang aus, den Sie ausführen möchten:

- ADDGROUP - Fügen Sie eine Clustergruppe hinzu.

- SETGROUP - Legt die Gruppe fest, der Computer angehören.

- RENAMEGROUP - Benennt eine Clustergruppe um.

- DELETEGROUP - Entfernt eine Clustergruppe.

- REMOVEMACHINE - Einen Computer aus dem Cluster entfernen.

- SETNAME - Legt den Clusternamen fest.

- LIST - Listet die Computer im Cluster auf.

- CONNSTATUS - Zeigt den Status der Verbindungen zwischen Computern im Cluster an.

- KOMMUNIKATION - Konfigurieren der Kommunikation zwischen Computern innerhalb des Clusters

- DISCONNECT - Trennen Sie Computer vorübergehend vom Cluster.

- RECONNECT - Stellt Verbindungen mit zuvor getrennten Computern wieder her.

- VORBEREITUNG - Vorbereiten des Hinzufügens eines neuen Systems über CCS.

[]> DELETEGROUP

Wählen Sie aus, welche Gruppe Sie entfernen möchten.

1. Cluster_Gruppe

2. ESA_Gruppe

[1]> 1

Wählen Sie die Gruppe aus, in die Computer in Cluster_Group verschoben werden sollen.

1. ESA_Gruppe

[1]> 1

Die Gruppe "Cluster_Group" wurde entfernt.

Zugehörige Informationen

• Technischer Support und Downloads von Cisco