はじめに
Firewall Management Center (FMC) 7.4から、FMC単体で Offcie 365 や AWS、Azure、Google Cloudなどから動的IPアドレスを自動学習し、 Access Control Policy (ACP)で制御が可能になりました。
本ドキュメントでは、Office 365 クラウドの動的IPアドレスの自動学習と、学習した情報(Dynamic Object)を利用したルール設定と動作確認方法について紹介します。本ドキュメントでは、FPR1010 の Firewall Threat Defense (FTD) バージョン 7.4.1と、FMCv バージョン 7.4.1 を利用し確認、作成しております。
AWSや Azure、Google Cloud などへの接続方法は、FMC7.4: Cisco Secure Dynamic Attributes Connector を参照してください。
構成概要
1. Office 365から動的IPアドレス情報をFMCが学習。学習は30秒間隔
2. 学習したIP情報(Dynamic Object)をFTDに自動でプッシュ （注：手動デプロイは不要）
3. 内部からOffice 365通信が発生時に、学習したIP情報を利用し自動許可 もしくは 拒否
FMC・FTDの設定
Integration > Dynamic Attributes Connector にアクセス
以下は Dashboardの デフォルト設定画面
Dashboard画面で Webexの上の「Connector」ボタンをクリックし、＋ボタンから「Office 365」を選択
Office 365 Connector 設定がポップアップするため、任意名称をつけたあと「Test」を実施
※Microsoft 365 IP/URL配布サーバーのURLは コチラ から確認。通常は上記デフォルト値で問題なし
接続・学習できる場合は「Test connection succeeded」と表示を確認してから「Saveをクリック」。逆に接続できない場合は、FMCからインターネットへのアクセス設定や通信経路でブロックされていないか確認
Dashboardに Office 365 Feed が追加され Active となることを確認。なお、Feedは30秒ごとに自動更新
学習したIP情報は Dynamic Objectに保存される。 Objects > Object Management > External Attributes > Dynamic Object から学習状況を確認
"Show mapped IPs"アイコンをクリックすると学習したIP一覧を確認可能。例えば以下は、学習したSkypeのグローバルIP一覧。Download ボタンをクリックで学習したIP一覧のテキストダウンロードも可能
Skype宛のIPを自動許可するルールを設定したい場合、Policies > Access Control に移動し任意ルールを選択
Add Ruleから、 Dynamic Attributes から「o365_Worldwide_Skype」を選択し、Destination（宛先）に設定し、許可ルールをアプライ
設定したルールを確認し、「Save」と任意FTDデバイスへの「Deploy（展開）」を実施
FMC・FTDの動作確認
試験端末でSkypeを起動し、「Echo/Sound Test Service」にコール試験など実施。その後、Analysis > Unified Eventから、「Skype Allow」ルールで許可されていることを確認
参考情報
Cisco Secure Firewall (FTD) - How To
FMC7.4: Cisco Secure Dynamic Attributes Connector
検索バーにキーワード、フレーズ、または質問を入力し、お探しのものを見つけましょう
シスコ コミュニティをいち早く使いこなしていただけるよう役立つリンクをまとめました。みなさんのジャーニーがより良いものとなるようお手伝いします
