セキュアエンドポイント仮想プライベートクラウドのインストールと設定

概要

このドキュメントでは、ESXi環境のサーバに仮想プライベートクラウド(VPC)を正常に導入する方法について説明し、重点的に説明します。 クイックスタートガイド、導入戦略、エンタイトルメントガイド、コンソール、管理者ユーザガイドなどの他のドキュメントについては、このサイトのドキュメントを参照してください。

著者：Cisco TACエンジニア、Roman Valenta

前提条件

要件：

VMware ESX 5以降

• クラウドプロキシモード（のみ）:128 GB RAM、8 CPUコア（4コアのCPU 2基を推奨）、VMwareデータストアの最小ディスク空き容量1 TB
• ドライブのタイプ：エアギャップモードにはSSDが必要、プロキシにはSSDが推奨
• RAIDタイプ：1つのRAID 10グループ（ストライプ・ミラー）
• VMwareデータストアの最小サイズ：2 TB
• RAID 10グループの最小データストア・ランダム読み取り(4,000):60,000 IOPS
• RAID 10グループの最小データストア・ランダム書き込み(4,000):30,000 IOPS

次の項目に関する専門知識があることが推奨されます。

• 証明書の操作方法に関する基本的な知識。
• DNSサーバ（WindowsまたはLinux）でDNSをセットアップする方法に関する基本的な知識
• VMware ESXiへのOpen Virtual Appliance(OVA)テンプレートのインストール

この実習で使用：

VMware ESX 6.5

• クラウドプロキシモード（のみ）:48 GB RAM、8 CPUコア（4コアのCPU 2基を推奨）、VMwareデータストアの最小ディスク空き容量1 TB
• ドライブの種類： SATA
• RAIDタイプ： 1つのRAID 1
• VMwareデータストアの最小サイズ：1 TB
• MobaXterm 20.2（PuTTYと同様のマルチターミナルプログラム）
• Cygwin64（AirGapアップデートのダウンロードに使用）

さらに

• openSSLまたはXCAを使用して作成した証明書
• DNSサーバ（LinuxまたはWindows）ラボでは、Windows Server 2016とCentOS-8を使用しました
• テストエンドポイント用のWindows VM
• ライセンス

メモリが48 GB以下の場合、バージョン3.2+ VPCは使用できなくなります。

注：プライベートクラウドOVAはドライブパーティションを作成するため、それらをVMWare.サーバに指定する必要はありません。これにより、クリーンインターフェイスのホスト名が解決されます。‌

バージョン固有のハードウェア要件の詳細については、『VPCアプライアンスのデータシート』を参照してください。

注：このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。‌

VPCの導入

eDeliveryまたはエンタイトルメントメールに記載されているURLを選択します。OVAファイルをダウンロードし、インストールを続行します

VMのインストール

ステップ1:

図に示すように、File > Deploy OVF Templateの順に移動し、Deploy OVF Templateウィザードを開きます。

注:シックプロビジョニングでは、ディスクの作成時に領域が予約されます。このオプションを選択すると、シンプロビジョニングよりもパフォーマンスが向上します。ただし、これは必須ではありません。次の図に示すように、Nextを選択します。

ステップ 2：

Browse...を選択してOVAファイルを選択し、Nextを選択します。図に示すように、OVF Template DetailsページにデフォルトのOVAパラメータが表示されます。Nextを選択します。

管理インターフェイスの初期設定

VMが起動したら、VMコンソールから初期設定を行います。

ステップ 1：

インターフェイスがDHCPサーバからIPアドレスを受信しなかった場合、URLに[UNCONFIGURED]と表示されることがあります。このインターフェイスは「管理」インターフェイスであることに注意してください。これは実稼働インターフェイスではありません。

ステップ 2：

Tab、Enter、および矢印キーを使用して移動できます。

CONFIG_NETWORKに移動し、キーボードのEnterキーを選択して、セキュアエンドポイントのプライベートクラウドの管理IPアドレスの設定を開始します。DHCPを使用しない場合は、Noを選択し、Enterキーを選択します。

表示されたウィンドウでYesを選択し、Enterキーを選択します。

IPがすでに使用されている場合は、このエラーログで処理されます。単に戻って、使用されていないユニークなものを選んでください。

すべてがうまくいけば、次のような出力が表示されます

ステップ 3：

新しいSTATIC IPでブルースクリーンが再び表示されるまで待ちます。また、ワンタイムパスワードにも注意してください。メモを取り、ブラウザを開きましょう。

Web GUIによるvPCの初期設定

ステップ 1：

Web ブラウザを開き、アプライアンスの管理 IP アドレスに移動します。図に示すように、Secure Endpoint Private Cloudが最初に独自のHTTPS証明書を生成すると、証明書エラーを受け取る場合があります。Secure Endpoint Private Cloudの自己署名HTTPS証明書を信頼するようにブラウザを設定します。

ブラウザで、先ほど設定したSTATIC IPを入力します。

ステップ 2：

ログイン後、パスワードをリセットする必要があります。コンソールのOld Passwordフィールドにある初期パスワードを使用します。New Passwordフィールドに新しいパスワードを入力します。New Passwordフィールドに新しいパスワードを再入力し、Change Passwordを選択します。

ステップ 3：

ログイン後、パスワードをリセットする必要があります。コンソールのOld Passwordフィールドにある初期パスワードを使用します。New Passwordフィールドに新しいパスワードを入力します。New Passwordフィールドに新しいパスワードを再入力し、Change Passwordを選択します。

ステップ 4：

次のページで、下までスクロールしてライセンス契約に同意します。[読み取りと同意]を選択します。

ステップ 5：

契約に同意すると、図に示すようにインストール画面が表示されます。バックアップから復元する場合は、ここで行うことができますが、このガイドでは「クリーンインストール」オプションを使用します。Clean Installationセクションでon Startを選択します。

ステップ 6：

最初に必要なのは、さらに前進するためのライセンスです。ライセンスとパスフレーズは、製品購入時に受け取ります。+Upload License Fileを選択します。ライセンスファイルを選択し、パスフレーズを入力します。Upload Licenseを選択します。アップロードが失敗した場合は、パスフレーズが正しいかどうかを確認してください。アップロードが成功すると、有効なライセンス情報を含む画面が表示されます。Nextを選択します。 それでもライセンスをインストールできない場合は、シスコ テクニカル サポートに問い合わせてください。

 

 

 

手順 7：

図に示すように、ウェルカムページが表示されます。このページには、プライベートクラウドを設定する前に必要な情報が表示されます。要件を注意深く読みます。Nextを選択して、インストール前の設定を開始します。

コンフィギュレーション

ステップ 1：

注：次のスライドでは、図に示すように、AIR GAPモードに固有の排他的な部分が含まれています（図を参照）。これらはAIRGAP ONLYとして囲み、マークする必要があります

 ︾ ︾ AIRGAPのみ︾ ︾

︽ ︽ AIRGAPのみ︽ ︽

ステップ 2：

Secure Endpoint Console Accountページに移動します。管理ユーザーは、ポリシー、コンピューターグループの作成、およびユーザーの追加を行うためにコンソールで使用されます。コンソールアカウントの名前、電子メールアドレス、およびパスワードを入力します。Nextを選択します。

 

OVAファイルから導入するときにこの問題が発生する場合は、2つの選択肢があります。続行して後でこの問題を修正するか、または導入したVMに合わせてシャットダウンしてから調整します。再起動後は、そのまま続行します。

注：バージョン3.5.2のOVAファイルでは、128 GB RAMおよび8 CPUコアで正常にロードされるため、この問題は修正されています

注：ラボ目的でない限り、推奨値のみを使用してください

再起動したら、残った場所に移動します。

ETH1にもスタティックIPが設定されていることを確認します。

注：インターフェイスのMACアドレス予約を作成していない限り、DHCPを使用するようにデバイスを設定しないでください。インターフェイスのIPアドレスが変更されると、展開されているセキュアエンドポイントコネクタに重大な問題が発生する可能性があります。‌DNSサーバが設定されていない場合は、パブリックDNS一時を使用してインストールを完了できます。

ステップ 3：

ステップ 4：

日付と時刻のページが表示されます。日付と時刻の同期に使用する1つ以上のNTPサーバのアドレスを入力します。内部または外部のNTPサーバを使用し、カンマまたはスペースで区切られたリストを使用して複数のNTPサーバを指定できます。ブラウザで時刻を同期するか、デバイスコンソールからamp-ctl ntpdateを実行して、NTPサーバとの時刻の即時同期を強制します。Nextを選択します。

 ︾ ︾ AIRGAPのみ︾ ︾

︽ ︽ AIRGAPのみ︽ ︽

ステップ 5：

図に示すように、Certificate Authoritiesページが表示されます。Add Certificate Authorityを選択して、ルート証明書を追加します。

ステップ 6：

次のステップは、図に示すように、Cisco Cloudページを設定します。適切なCisco Cloud Regionを選択します。Secure Endpoint Private CloudデバイスがCisco Cloudと通信してファイル検索やデバイス更新を行うためにファイアウォール例外を作成する必要がある場合は、View Hostnamesを展開します。Nextを選択します。

 

手順 7：

図に示すように、通知ページに移動します。重要な通知と通常の通知の頻度を選択します。セキュアエンドポイントデバイスのアラート通知を受信する電子メールアドレスを入力します。電子メールエイリアスを使用するか、カンマ区切りリストを使用して複数のアドレスを指定できます。また、デバイスで使用される送信者名と電子メールアドレスを指定することもできます。これらの通知は、Secure Endpoint Consoleサブスクリプションとは異なります。複数のSecure Endpoint Private Cloudデバイスがある場合は、一意のデバイス名を指定することもできます。Nextを選択します。

 

ステップ 8：

次に、図に示すように、SSHキーページに移動します。Add SSH Keyを選択して、デバイスに追加する公開キーを入力します。SSHキーを使用すると、root権限を持つリモートシェル経由でデバイスにアクセスできます。アクセス権を付与できるのは、信頼できるユーザのみです。プライベートクラウドデバイスには、OpenSSH形式のRSAキーが必要です。後で、管理ポータルのConfiguration > SSHを使用して、SSHキーをさらに追加できます。Nextを選択します。

 

次に、サービスセクションが表示されます。次のページでは、ホスト名を割り当て、これらのデバイスサービスに適切な証明書と鍵のペアをアップロードする必要があります。以降のスライドでは、6つの証明書のうちの1つの設定について説明します。

サービス

ステップ 1：

設定プロセス中に、次のエラーが発生する場合があります。

最初に気付く「エラー」は、3つの矢印で強調表示されています。これを回避するには、単に「厳密なTLSチェックを無効にする」をオフにします

厳密なTLSチェックなし

ステップ 2：

次に表示されるエラーは、「Validate DNS Name」にチェックマークを付けたままにすることです。ここでは2つの選択肢があります。

#1: 「DNSの検証」チェック・マークをオフにします。 

#2: DNSサーバーに戻り、残りのホストレコードを構成します。 

残りの証明書に対して、同じプロセスをさらに5回繰り返します。

[Authentication]

– 認証サービスは、今後のバージョンのプライベートクラウドでユーザ認証の処理に使用される予定です。

セキュアなエンドポイントコンソール

- Consoleは、セキュアエンドポイント管理者がセキュアエンドポイントコンソールにアクセスでき、セキュアエンドポイントコネクタが新しいポリシーと更新を受信できるDNS名です。

 評価サーバー

- Disposition Serverは、Secure Endpoint Connectorがクラウドルックアップ情報を送信および取得するDNS名です。

Disposition Server – 拡張プロトコル

- Disposition Server - Extended Protocolは、新しいセキュアエンドポイントコネクタがクラウドのルックアップ情報を送信および取得するDNS名です。

廃棄更新サービス

- Disposition Update Serviceは、Cisco Threat Gridアプライアンスをプライベートクラウドデバイスにリンクするときに使用されます。Threat Gridアプライアンスは、分析用のファイルをSecure Endpoint Consoleから送信するために使用されます。また、Threat Gridは、分析後にファイルの廃棄(クリーンまたは悪意のある)を更新するために廃棄更新サービスを使用します。

Firepower Management Center

-Firepower Management Centerリンクを使用すると、シスコのFirepower Management Center(FMC)デバイスをプライベートクラウドデバイスにリンクできます。これにより、FMCダッシュボードにセキュアエンドポイントのデータを表示できます。Secure EndpointとのFMC統合の詳細については、FMCのマニュアルを参照してください。

注意：デバイスのインストールが完了した後は、ホスト名を変更できません。

必要なホスト名を書き留めます。Secure Endpoint Private Cloud用に6つの一意のDNS Aレコードを作成する必要があります。各レコードは仮想プライベートクラウドコンソールインターフェイス(eth1)の同じIPアドレスを指し、プライベートクラウドとセキュアエンドポイントの両方で解決される必要があります。

ステップ 3：

次のページで、リカバリファイルをダウンロードして確認します。

図に示すように、「リカバリ」ページが表示されます。インストールを開始する前に、設定のバックアップをダウンロードして確認する必要があります。リカバリファイルには、すべての設定とサーバキーが含まれています。回復ファイルが失われると、構成を復元できず、すべてのセキュアエンドポイントコネクタを再インストールする必要があります。元のキーがなければ、新しいキーでプライベート クラウド インフラストラクチャ全体を再設定する必要があります。リカバリファイルには、opadminポータルに関連するすべての設定が含まれています。バックアップファイルには、リカバリファイルの内容と、イベントやコネクタ履歴などのダッシュボードポータルデータが含まれています。イベントデータとすべてなしでopadminだけを復元する場合は、回復ファイルを使用できます。バックアップファイルから復元すると、opadminとダッシュボードポータルデータが復元されます。

Downloadを選択して、バックアップをローカルコンピュータに保存します。ファイルがダウンロードされたら、Choose Fileを選択してバックアップファイルをアップロードし、破損していないことを確認します。Nextを選択してファイルを確認し、次に進みます。

 

 ︾ ︾ AIRGAPのみ︾ ︾

 

 

 ︽ ︽ AIRGAPのみ︽ ︽

次のような入力が表示されます。

注意：このページを表示している場合は、更新すると問題が発生する可能性があるため、更新しないでください。

インストールが完了したら、再起動ボタンを押します

︾ ︾ AIRGAPのみ︾ ︾

︽ ︽ AIRGAPのみ︽ ︽

アプライアンスが完全に起動すると、次に管理インターフェイスでログインしたときに、このダッシュボードが表示されます。 最初はCPUの使用率が高くなっていることに気付くかもしれませんが、数分待つと安定します。

数分後…

ここから、セキュアエンドポイントコンソールに移動します。旗の隣の右隅にある火のように見える小さなアイコンをクリックします。

 ︾ ︾ AIRGAPのみ︾ ︾

ご覧のように、DB Protect Snapshot（DB保護スナップショット）、またClient Definitions、DFC、およびTetraが原因で、健全性チェックに失敗しました。これは、事前にamp-syncで作成し、VMにアップロードするか、NFSロケーションに保存したダウンロード済みISOファイルによるオフライン更新で行う必要があります。

 

AirGapアップデートパッケージ

保護DBを受信するには、このコマンドを初めて使用する必要があります

./amp-sync all

注：このコマンドを使用してすべてのパッケージをダウンロードし、24時間以上かかることを確認します。速度とリンク品質によって異なります。私の場合、1ギガビットファイバの場合は、完了までまだ25時間近くかかります。これは、このダウンロードがAWSから直接行われるため抑制されるためです。 最後に、このダウンロードはかなり大きいことに注意してください。私の場合、ダウンロードされたファイルは323GBでした。‌

この例では、CygWin64を使用しています

1. Cygwinのx64バージョンをダウンロードしてインストールします。
2. setup-x86_64.exeを実行し、インストールプロセスを実行してすべてのデフォルトを選択します。
3.ダウンロードミラーを選択します。
4.インストールするパッケージの選択：
All -> Net -> curl
All -> Utils -> genisoimage
All -> Utils -> xmlstarlet
* VPC 3.8.xアップ – > xorriso

 

リリースノートページ#58ご覧のとおり、「xorriso」が必要です。ISOのフォーマットをISO 9660に変更しました。この依存関係によって、イメージが適切なフォーマットに変換され、更新が完了します。残念ながら、CygWin64は組み込みリポジトリにxorrisoを提供していません。しかし、まだCygWin64を使用したい人のために、この問題を克服する方法があります。

 

CygWinをもう一度使用できるようにするには、GitHubリポジトリからxorrisoを手動でダウンロードする必要があります。 ブラウザを開き、「Latest xorriso.exe 1.5.2 pre-build for Windows」と入力します。最初のリンクは<PeyTy/xorriso-exe-for-windows - GitHub>です。そのGitHubページに移動し、<xorriso.exe>という名前の他のファイルの中にある<xorriso-exe-for-windows-master.zip>ファイルをダウンロードします。ローカルCygWinインストールのパス。<amp-sync>コマンドを再実行してください。次の図に示すように、エラーメッセージとダウンロードの開始と終了が表示されなくなります。

Airgapモードで現在の（この場合） 3.2.0 VPCのバックアップを実行します。

このコマンドはCLIから使用できます

rpm -qa | grep Pri

または、図に示すようにOperations > Backupsの順に移動し、そこでPerform Backupを選択することもできます。

amp-syncで生成された最新のISOをVPCに転送します。速度によっては、数時間かかる場合もあります。この場合、転送には16時間かかりました

/data/tmp

アップロードが完了したら、ISOをマウントします

mount /data/tmp/PrivateCloud-3.2.0-Updates-2021-11-03-prod.iso /data/updates/

 

更新を実行するには、opdadmin UIに移動します [操作]>[デバイスの更新]>[ISOの更新の確認]を選択します。

この例では、まず「コンテンツの更新」に進みます

次に、Import Protect DBを選択します。

 

 
これももう1つの非常に長いプロセスで、完了までに長い時間がかかることがあります。

 

 

問題#1 – データストアのスペースが使い果たされた

 

ここでは、2つの問題に対処できます。3.5.2より前のvPCには外部NFSストレージをマウントする機能がないため、更新ISOファイルを/data/tempディレクトリにアップロードする必要があります。私の場合、データストアは1 TBしかなかったので、部屋を飛び出してVMがクラッシュしました。つまり、バージョン3.5.2以下のAirGap VPCを正常に導入するには、データストアに少なくとも2 TBの容量が必要です

次のイメージはESXiサーバのものです。これは、VMを起動しようとしたときに、HDD上に使用可能な領域がもうないことを示します。128 GBのRAMを一時的に64 GBに切り替えることによって、このエラーから回復することができました。その後、再び起動することができました。また、このVMをシンクライアントとしてプロビジョニングする場合、シンクライアントの導入の欠点は、ディスクサイズが増加しても容量を解放しても縮小しないことです。つまり、300 GBのファイルをvPCのディレクトリにアップロードしてから削除したとします。ESXiのディスクでは、HDDの容量が300 GB少なくなっています

 

問題#2 – 古いアップデート

2^ndの問題は、ソフトウェアアップデートを2^ndのトライアルと同様に最初に実行した場合、3.2.0から3.5.2にアップグレードするためにVPCが必要になり、そのため3.2.0が無効になったため、元の3.2.0バージョンではなくなったため、新しいISOアップデートファイルをダウンロードする必要があったことです。

これは、ISO更新ファイルを再度マウントしようとすると表示されるエラーです。

 

 

次の図は、アップデートイメージをVPCにマウントする別の方法を示しています。バージョン3.5.xでは、NFSストレージなどのリモートロケーションを使用して、アップデートファイルをVPCと共有できます。

 

健全性チェックの失敗は、現在VPCで使用できない保護データベースに関連しています

 

 

次の更新が自動的に開始されます

 

この非常に長いインポート保護DBデータベースのプロセスの後、クライアント定義とソフトウェアを移動および更新できます。この処理には約3時間以上かかる可能性があります。

 
そして最後に完了しました、このプロセスは非常に長い時間がかかることに注意してください。

VPCアプライアンスについては、このTZにアクセスしてください。このTZには、HWアプライアンスのアップデート、ISOファイルのマウント、およびUSBからのブートを行う他の方法が含まれています。

https://www.cisco.com/c/en/us/support/docs/security/amp-virtual-private-cloud-appliance/217134-upgrade-procedure-for-airgapped-amp-priv.html#anc5

 

 ︽ ︽ AIRGAPのみ︽ ︽

基本的なトラブルシューティング

問題#1 - FQDNとDNSサーバ

最初に発生する可能性のある問題は、DNSサーバが確立されておらず、すべてのFQDNが正しく記録および解決されていない場合です。セキュアエンドポイントの「fire」アイコンを使用してセキュアエンドポイントコンソールに移動しようとすると、問題が次のように表示される場合があります。  IPアドレスだけを使用すると機能しますが、コネクタをダウンロードできません。3^rdの図を見ればわかるように、下に示します。

 

次の図に示すようにローカルマシンのHOSTSファイルを変更すると、問題が解決し、エラーが発生します。

Secure Endpoint Connectorインストーラをダウンロードしようとすると、このエラーが発生します。

トラブルシューティングを行った後の唯一の正しい解決策は、DNSサーバをセットアップすることでした。

DNS Resolution Console: nslookup vPC-Console.cyberworld.local (Returned 1, start 2021-03-02 15:43:00 +0000, finish 2021-03-02 15:43:00 +0000, duration 0.047382799

================================================================================

Server:         8.8.8.x
Address:        8.8.8.x#53

** server can't find vPC-Console.cyberworld.local: NXDOMAIN

DNSサーバにすべてのFQDNを記録し、仮想プライベートクラウドのレコードをパブリックDNSからDNSサーバに変更すると、すべてが想定どおりに動作し始めます。

この時点で、ログインしてコネクタをダウンロードできます

 

 

環境内の最初のセキュアエンドポイントポリシーウィザードが表示されます。ここでは、使用するアンチウイルス製品（存在する場合）、プロキシ（存在する場合）、および導入するポリシーのタイプを順を追って説明します。コネクタのOSに応じて、適切な[Set Up...]ボタンを選択します。

図に示すように、Existing Security Productsページが表示されます。使用するセキュリティ製品を選択します。エンドポイントのパフォーマンスの問題を防ぐために、適用可能な除外が自動的に生成されます。Nextを選択します。

 

コネクタをダウンロードします。

問題#2：ルートCAの問題

次に発生する可能性のある問題は、独自の社内証明書を使用する場合、最初のインストール後にコネクタが接続解除として表示される可能性があることです。

コネクタをインストールすると、セキュアエンドポイントが接続解除と表示されます。診断バンドルを実行し、ログを確認すると、問題を特定できます。

診断バンドルから収集されたこの出力に基づいて、ルートCAエラーを確認できます

(804765, +0 ms) Mar 06 00:47:07 [8876]: [http_client.c@1011]: GET request https://vPC-Console.cyberworld.local/health failed (60): SSL peer certificate or SSH remote key was not OK (SSL certificate problem: unable to get local issuer certificate)

(804765, +0 ms) Mar 06 00:47:07 [8876]: [http_client.c@1051]: async request failed (SSL peer certificate or SSH remote key was not OK) to https://vPC-Console.cyberworld.local/health

(804765, +0 ms) Mar 06 00:47:07 [8876]: [http_client.c@1074]: response failed with code 60 

ルートCAを信頼されたルートCAストアにアップロードし、セキュアエンドポイントサービスを再起動します。すべてが期待どおりに動作し始めます。

バウンスすると、Secure Endpointサービスコネクタがオンラインになります。

 

テスト済みの悪意のあるアクティビティ