Loading...

Danh mục sản phẩm

 
Home>Kiến thức - Kỹ thuật>Hướng dẫn kích hoạt giao diện web (HTTPS) trên firewall Cisco FTD qua CLI

Hướng dẫn kích hoạt giao diện web (HTTPS) trên firewall Cisco FTD qua CLI

Cisco Secure Firewall Threat Defense (FTD) là hệ điều hành của các dòng firewall Cisco hiện nay. FTD có hai cách quản lý: quản lý cục bộ bằng Firewall Device Manager (FDM), là giao diện web chạy ngay trên thiết bị, hoặc quản lý tập trung bằng Firewall Management Center (FMC).

Trong một số trường hợp, ví dụ không truy cập được bằng trình duyệt hoặc trình quản lý cục bộ đã bị tắt, bạn cần bật lại FDM từ CLI để tiếp tục cấu hình thiết bị. Lệnh dùng cho việc này là configure manager local.

⚡ Điểm nhanh

  • Lệnh bật FDM: configure manager local, chạy tại CLI của FTD (dấu nhắc >).
  • Cách truy cập: mở trình duyệt và vào https://<địa chỉ IP quản lý>. FDM dùng HTTPS, cổng mặc định là 443.
  • Kiểm tra: show managers trả về Managed locally. khi FDM đã được bật.
  • Đang do FMC quản lý: phải xoá manager hiện tại bằng configure manager delete trước khi chuyển sang quản lý cục bộ.
  • Cần sao lưu trước: chuyển đổi giữa FMC và FDM xoá cấu hình và đưa thiết bị về mặc định, đồng thời Cisco không có công cụ chuyển cấu hình giữa hai chế độ này.
  • Giới hạn IP truy cập: configure https-access-list, kiểm tra bằng show https-access-list.

Khi nào cần bật lại giao diện web

  • Không truy cập được thiết bị bằng trình duyệt web.
  • Trình quản lý cục bộ (FDM) đã bị tắt hoặc thiết bị đang ở chế độ không có manager.
  • Muốn chuyển một firewall FTD từ FMC sang quản lý cục bộ bằng FDM.

So sánh nhanh FDM và FMC

Tiêu chíFDM (quản lý cục bộ)FMC (quản lý tập trung)
Nơi chạy giao diện Ngay trên thiết bị FTD Trên Firewall Management Center
Giao diện web cấu hình trên chính FTD Có Không
Dùng đồng thời với chế độ còn lại Không Không
Chuyển cấu hình sang chế độ còn lại Không có công cụ chuyển, cấu hình bị xoá khi đổi Không có công cụ chuyển, cấu hình bị xoá khi đổi

Chuẩn bị trước khi bật

  1. Truy cập CLI của FTD. Kết nối SSH tới địa chỉ IP quản lý hoặc cắm cáp console. Trên Firepower 2100, cổng console vào FXOS trước, sau đó dùng lệnh connect ftd để vào CLI của FTD.
  2. Sao lưu cấu hình nếu thiết bị đang chạy. Việc đổi manager sẽ đưa thiết bị về cấu hình mặc định, nên cần lưu lại các thông số quan trọng trước khi thao tác.
  3. Xác định manager hiện tại bằng lệnh show managers.

Các bước kích hoạt bằng CLI

Bước 1. Đưa thiết bị về chế độ không có manager (nếu cần)

Nếu thiết bị đang được một manager khác quản lý (ví dụ FMC), thiết bị phải ở chế độ No Manager Mode trước khi chuyển sang local manager. Dùng lệnh:

> configure manager delete

Sau đó dùng show managers để kiểm tra manager hiện tại.

Bước 2. Bật quản lý cục bộ

> configure manager local

Lệnh này bật FDM trên thiết bị. Quá trình có thể mất vài phút để hoàn tất.

Bước 3. (Tuỳ chọn) Đặt địa chỉ IP quản lý

Nếu cần gán lại địa chỉ IP cho cổng quản lý, dùng cú pháp:

> configure network ipv4 manual <ip-address> <netmask> <gateway>

Bước 4. Cho phép địa chỉ IP truy cập HTTPS

Để cho phép FTD nhận kết nối HTTPS từ các địa chỉ hoặc dải mạng cụ thể:

> configure https-access-list x.x.x.x/x,y.y.y.y/y
The https access list was changed successfully.
> show https-access-list

Lưu ý khi dùng lệnh này:

  • Phải liệt kê tất cả máy hoặc dải mạng được phép trong một lệnh duy nhất, vì danh sách mới ghi đè danh sách hiện có.
  • Nên cấu hình danh sách HTTPS và SSH lần lượt từng danh sách một để tránh tự khoá phiên quản lý của mình.
  • Muốn tắt hẳn truy cập HTTPS, dùng configure disable-https-access. Với SSH, dùng configure ssh-access-list và configure disable-ssh-access.

Bước 5. Truy cập bằng trình duyệt

Mở trình duyệt và vào:

https://<địa chỉ IP quản lý>

Đăng nhập bằng tài khoản quản trị để mở giao diện FDM.

Kiểm tra kết quả

> show managers
Managed locally.

Bạn cũng có thể xem thông số mạng của cổng quản lý và danh sách IP được phép:

> show network
> show https-access-list

Mở truy cập quản lý trên cổng dữ liệu (Data Interface)

Sau khi vào được giao diện web, bạn có thể cho phép quản lý qua các cổng dữ liệu theo các bước: System Settings → Management Access → Data Interfaces → Add.

Một số điểm cần nhớ khi cấu hình phần này:

  • Mặc định, truy cập quản lý qua cổng dữ liệu dùng TCP/443 và có thể đổi cổng.
  • Mặc định HTTPS trên cổng dữ liệu được bật ở interface inside và tắt ở interface outside.
  • Chỉ mở được kết nối quản lý trên interface mà bạn đang đi vào thiết bị.
  • Nếu giới hạn theo địa chỉ cụ thể và xoá mất mục chứa IP đang dùng, bạn sẽ mất truy cập sau khi deploy. Hãy giữ một mục cho phép trước khi xoá mục cũ.

Câu hỏi thường gặp

Vì sao bài này dùng https thay vì http?

FDM được truy cập bằng HTTPS. Cổng mặc định là 443, nên địa chỉ truy cập có dạng https://<địa chỉ IP quản lý>.

Bật configure manager local có làm mất cấu hình không?

Cisco ghi rõ việc chuyển đổi giữa FMC và FDM xoá cấu hình thiết bị và đưa về mặc định. Hãy sao lưu và ghi lại các thông số cần thiết trước khi đổi.

Có thể dùng FDM và FMC cùng lúc không?

Không. Khi bật quản lý cục bộ, thiết bị không thể do FMC quản lý, và ngược lại khi đăng ký thiết bị vào FMC thì dịch vụ FDM trên thiết bị bị tắt. Muốn đổi, cần xoá manager hiện tại rồi thiết lập manager mới.

Làm sao chỉ cho phép một vài IP vào giao diện web?

Dùng configure https-access-list và liệt kê toàn bộ IP hoặc dải mạng được phép trong cùng một lệnh, sau đó kiểm tra bằng show https-access-list.

Lỡ chặn mất IP của mình thì làm gì?

Kết nối bằng console và chạy lại configure https-access-list với danh sách đúng. Trong tài liệu Cisco, ví dụ cho phép mọi địa chỉ dùng 0.0.0.0/0, nhưng chỉ nên dùng tạm thời khi đang cấu hình.

Thông tin liên quan

Nguồn tham khảo