Sauvegardes à la demande

Vous pouvez effectuer des sauvegardes sur demande pour de plusieurs périphériques Cisco Secure Firewall Threat Defense dans CDO.

Pour en savoir plus, consultez Sauvegarder les périphériques gérés.

Sauvegardes planifiées

Vous pouvez utiliser le planificateur sur CDO pour automatiser les sauvegardes. Vous pouvez également planifier des sauvegardes de périphérique à distance à partir de CDO.

Le processus de configuration de CDO planifie des sauvegardes hebdomadaires de configuration uniquement, à stocker localement. Les sauvegardes ne remplacent pas les sauvegardes complètes hors site. Une fois la configuration initiale terminée, vous devez passer en revue vos tâches planifiées et les ajuster en fonction des besoins de votre organisation.

Pour en savoir plus, consultez Sauvegarder les périphériques gérés.

Stockage des fichiers de sauvegarde

Lorsque vous sauvegardez un appareil, Cloud-Delivered Firewall Management Center (centre de gestion de pare-feu en nuage) stocke les fichiers de sauvegarde dans son stockage sécurisé en nuage.

Pour en savoir plus, consultez Sauvegarder les périphériques gérés.

Périphériques restaurés gérés

Vous devez utiliser la CLI défense contre les menaces pour restaurer le périphérique défense contre les menaces .

Pour en savoir plus, consultez Restaurer les périphériques gérés par CDO.

Qu’est-ce qui est sauvegardé?

Les sauvegardes de périphérique sont toujours de configuration uniquement.

Qu’est-ce qui est restauré?

La restauration de configurations écrase toutes les configurations sauvegardées.

Assurez-vous de comprendre et de planifier les éléments suivants :

• Vous ne pouvez pas restaurer ce qui n’est pas sauvegardé.

• Le processus de restauration défense contre les menaces supprime les certificats VPN et toutes les configurations VPN des périphériques défense contre les menaces , y compris les certificats ajoutés après la sauvegarde. Après avoir restauré un périphérique défense contre les menaces , vous devez ajouter/réinscrire tous les certificats VPN et redéployer le périphérique.

Exigences du modèle : sauvegarde

Vous pouvez sauvegarder :

• Périphériques autonomes Défense contre les menaces, instances natives, instances de conteneur, paires de haute disponibilité et grappes

• Défense contre les menaces virtuelles pour les périphériques VMware, qu’ils soient autonomes ou paires à haute disponibilité, et les grappes

La sauvegarde n’est pas prise en charge pour :

• Implémentations Défense contre les menaces virtuelles autres que VMware

Si vous devez remplacer un périphérique où la sauvegarde et la restauration ne sont pas prises en charge, vous devez recréer manuellement les configurations propres au périphérique.

Exigences du modèle : restaurer

Exigence de la version

Comme première étape de toute sauvegarde, notez le niveau de correctif. Pour restaurer une sauvegarde, l’ancien et le nouvel appareil doivent exécuter la même version de pare-feu, y compris les correctifs.

Exigences de licence

Traiter les préoccupations relatives à l’octroi de licences ou aux droits dépendants comme décrit dans les pratiques et procédures exemplaires. Si vous remarquez des conflits de licences, communiquez avec le TAC de Cisco.

La sauvegarde et la restauration sont destinées à la reprise après sinistre ou à l’autorisation de retour de matériel

La sauvegarde et la restauration sont principalement destinées aux scénarios d’autorisation de retour de matériel (ARM). Avant de commencer le processus de restauration d’un appareil physique défectueux ou en panne, communiquez avec nous pour obtenir le matériel de remplacement.

La sauvegarde et la restauration ne consistent pas en une importation ou une exportation de configuration

Un fichier de sauvegarde contient des informations qui identifient de manière unique un périphérique et ne peuvent pas être partagées. N’utilisez pas le processus de sauvegarde et de restauration pour copier des configurations entre des périphériques ou des périphériques, ou comme moyen d’enregistrer des configurations tout en testant de nouvelles. Utilisez plutôt la fonction d’importation/exportation.

Par exemple, les sauvegardes de périphérique défense contre les menaces comprennent l’adresse IP de gestion du périphérique et toutes les informations dont le périphérique a besoin pour se connecter à son CDO de gestion. Ne restaurez pas de sauvegarde FTD sur un périphérique géré par un autre gestionnaire; Le périphérique restauré tente de se connecter au gestionnaire spécifié dans la sauvegarde.

La restauration est individuelle et locale

Vous restaurez les périphériques Threat Defense individuellement et localement. Cela signifie :

• Vous ne pouvez pas effectuer de restauration par lots sur des périphériques à haute disponibilité (HA). Les procédures de restauration décrites dans ce guide expliquent comment effectuer une restauration dans un environnement de haute disponibilité.

• Vous ne pouvez pas utiliser CDO pour restaurer un périphérique. Pour les périphériques défense contre les menaces , vous devez utiliser l'interface de ligne de commande défense contre les menaces , à l'exception de l'ISA 3000 zero-touch restore (restauration sans intervention), qui utilise une carte SD et le bouton de réinitialisation.

• Vous ne pouvez pas utiliser un compte d’utilisateur centre de gestion pour vous connecter et restaurer l’un de ses périphériques gérés. Les périphériques centre de gestion et défense contre les menaces possèdent leurs propres comptes utilisateur.

Quand effectuer la sauvegarde?

Nous vous recommandons d’effectuer la sauvegarde pendant une fenêtre de maintenance ou pendant toute autre période de faible utilisation.

Vous devez effectuer une sauvegarde dans les situations suivantes :

• Sauvegardes régulières .

  Dans le cadre de votre plan de reprise après sinistre, nous vous recommandons d’effectuer des sauvegardes périodiques.

• Avant la mise à niveau ou la recréation d’image.

  En cas d’échec majeur d’une mise à niveau, vous devrez peut-être effectuer une réinitialisation et une restauration. La recréation d’image rétablit la plupart des paramètres aux valeurs par défaut, y compris le mot de passe système. Si vous avez une sauvegarde récente, vous pouvez revenir aux opérations normales plus rapidement.

• Après la mise à niveau.

  Assurez-vous de sauvegarder le périphérique après la mise à niveau, afin d’avoir une sauvegarde de périphérique nouvellement mise à niveau.

Maintien de la sécurité du fichier de sauvegarde

Les fichiers de sauvegarde sont stockés en tant que fichiers d’archive non chiffrés (.tar); ils doivent être stockés dans un référentiel sécurisé.

Les clés privées dans les objets PKI, qui représentent les certificats de clé publique, et les paires de clés privées nécessaires à la prise en charge de votre déploiement sont déchiffrées avant d’être sauvegardées. Les clés sont rechiffrées avec une clé générée aléatoirement lorsque vous restaurez la sauvegarde.

Le fichier de sauvegarde doit être stocké en toute sécurité.

Sauvegarde et restauration dans les déploiements Défense contre les menaces à haute disponibilité

Dans un déploiement défense contre les menaces à haute disponibilité, vous devez :

• Sauvegarder la paire de périphériques à partir de Cloud-Delivered Firewall Management Center (centre de gestion de pare-feu en nuage), mais restaurer individuellement et localement à partir de la CLI défense contre les menaces .

  Le processus de sauvegarde produit des fichiers de sauvegarde uniques pour les périphériques défense contre les menaces à haute disponibilité. Ne restaurez pas un homologue à haute disponibilité avec le fichier de sauvegarde d’un autre homologue. Un fichier de sauvegarde contient des informations qui identifient de manière unique un périphérique et ne peuvent pas être partagées.

  Le rôle d’un périphérique défense contre les menaces à haute disponibilité est indiqué dans le nom de son fichier de sauvegarde. Lorsque vous effectuez une restauration, veillez à choisir le fichier de sauvegarde approprié : principal ou secondaire.

• Ne suspendez pas et n’interrompez pas la haute disponibilité avant d’effectuer la restauration.

  Le maintien de la configuration à haute disponibilité garantit que les périphériques de remplacement peuvent facilement se reconnecter après la restauration. Notez que vous devrez reprendre la synchronisation à haute disponibilité pour que cela se produise.

• N’exécutez pas la commande CLI de restauration sur les deux homologues en même temps.

  En supposant que vos sauvegardes soient réussies, vous pouvez remplacer l’un des homologues ou les deux dans une paire à haute disponibilité. Toutes les tâches de remplacement physique que vous pouvez effectuer simultanément : déploiement, changement de rack, etc. Cependant, n’exécutez pas la commande de restauration sur le deuxième périphérique tant que le processus de restauration n’est pas terminé pour le premier périphérique, y compris le redémarrage.

Sauvegarde et restauration dans les déploiements en grappe Défense contre les menaces

Dans le déploiement de la mise en grappe défense contre les menaces , vous devez :

• Sauvegardez l’ensemble de la grappe à partir de Cloud-Delivered Firewall Management Center (centre de gestion de pare-feu en nuage), mais restaurez les nœuds individuellement et localement à partir de l’interface de commande en ligne de Threat Defense.

  Le processus de sauvegarde produit un fichier tar qui comprend des fichiers de sauvegarde uniques pour chaque nœud de la grappe. Ne restaurez pas un nœud avec le fichier de sauvegarde d’un autre nœud. Un fichier de sauvegarde contient des informations qui identifient de manière unique un périphérique et ne peuvent pas être partagés.

  Le rôle du nœud est indiqué dans le nom de son fichier de sauvegarde. Lorsque vous effectuez une restauration, veillez à choisir le fichier de sauvegarde approprié : control ou data (contrôle ou données).

  Vous ne pouvez pas sauvegarder des nœuds individuels. Si un nœud de données ne parvient pas à la sauvegarde, le centre de gestion sauvegarde quand même tous les autres nœuds. Si le nœud de contrôle ne parvient pas à être sauvegardé, la sauvegarde est annulée.

• Tous les nœuds qui font partie de la grappe doivent être enregistrés dans le centre de gestion pour que la sauvegarde réussisse.

• Ne suspendez pas et n’interrompez pas la mise en grappe avant d’avoir effectué la restauration. Le maintien de la configuration de la grappe garantit que les périphériques de remplacement peuvent facilement se reconnecter après la restauration.

• N’exécutez pas la commande CLI restore sur plusieurs nœuds en même temps. Nous vous recommandons de restaurer d’abord le nœud de contrôle et d’espérer qu’il rejoigne la grappe avant de restaurer des nœuds de données.

  En supposant que vos sauvegardes soient réussies, vous pouvez remplacer plusieurs nœuds de la grappe. Toutes les tâches de remplacement physique que vous pouvez effectuer simultanément : le démontage, le remplacement du bâti, etc. Cependant, n’exécutez pas la commande restore sur un nœud supplémentaire jusqu’à ce que le processus de restauration pour le nœud précédent soit terminé, y compris le redémarrage.

Avant la restauration

Avant la restauration, vous devez :

• Annuler les modifications de licence.

  Annulez les modifications de licence effectuées depuis que vous avez effectué la sauvegarde.

  Sinon, vous risquez d'avoir des conflits de licence ou des droits orphelins après la restauration. Cependant, ne vous désinscrivez pas de Cisco Smart Software Manager (CSSM). Si vous vous désinscrivez du CSSM, vous devez vous désinscrire à nouveau après la restauration, puis vous réinscrire.

  Une fois la restauration terminée, reconfigurez les licences. Si vous remarquez des conflits de licences ou des droits orphelins, communiquez avec le TAC de Cisco.

• Débranchez les périphériques défectueux.

  Déconnectez l’interface de gestion et pour les périphériques, les interfaces de données.

  La restauration d’un périphérique défense contre les menaces définit l’adresse IP de gestion du périphérique de remplacement selon l’adresse IP de gestion de l’ancien périphérique. Pour éviter les conflits d’adresses IP, déconnectez l’ancien périphérique du réseau de gestion avant de restaurer la sauvegarde sur le périphérique de remplacement.

• N’annulez pas l’enregistrement des périphériques gérés.

  Que vous restaurez un périphérique géré, ne désactivez pas l’enregistrement de périphériques auprès de CDO, même si vous déconnectez physiquement un appareil du réseau.

  Si vous vous désinscrivez, vous devez refaire certaines configurations de périphériques, telles que les mappages de zone de sécurité à interface. Après la restauration, CDO et les périphériques devraient commencer à communiquer normalement.

• Recréer l’image.

  Dans un scénario d’autorisation de retour de matériel, le périphérique de remplacement arrive configuré avec les paramètres d’usine par défaut. Toutefois, si le périphérique de remplacement est déjà configuré, nous vous recommandons d’effectuer une réinitialisation. La recréation d’image rétablit la plupart des paramètres aux valeurs par défaut, y compris le mot de passe système. Vous pouvez uniquement effectuer une réinitialisation vers les versions principales, vous devrez donc peut-être appliquer les correctifs après la réinitialisation.

  Si vous n’effectuez pas la réinitialisation, gardez à l’esprit que les incidents d'intrusion CDO et les listes de fichiers sont fusionnés au lieu d’être remplacés.

Après la restauration

Après la restauration, vous devez :

• Reconfigurer tout ce qui n’a pas été restauré.

  Cela peut inclure la reconfiguration des paramètres de licences, de stockage à distance et de certificat du serveur de journaux d’audit. Vous devez également rajouter/réinscrire les certificats VPN défense contre les menaces qui ont échoué.

• Déployez.

  Après avoir restauré un périphérique, procédez au déploiement sur celui-ci. Vous devez déployer. Si le ou les périphériques ne sont pas marqués comme obsolètes, forcez le déploiement à partir de la page Device Management (gestion des périphériques).