À propos de la haute disponibilité (héritée)

Article
12/18/2023

Important

Defender pour IoT recommande désormais d’utiliser les services cloud Microsoft ou l’infrastructure informatique existante pour la supervision centralisée et la gestion des capteurs, et prévoit de mettre hors service le console de gestion local le 1er janvier 2025.

Pour plus d’informations, consultez Déployer la gestion des capteurs OT hybrides ou air-gapped.

Augmentez la résilience de votre déploiement de Defender pour IoT en configurant la haute disponibilité sur votre console de gestion locale. Les déploiements à haute disponibilité garantissent que vos capteurs gérés envoient en permanence des rapports à la console de gestion locale active.

Ce déploiement est implémenté avec une paire de la console de gestion locale qui comprend une appliance principale et secondaire.

Notes

Dans ce document, la console de gestion locale principale est appelée « la principale » et l’agent est désigné sous le terme « la secondaire ».

Prérequis

Avant d’effectuer les procédures décrites dans cet article, vérifiez que vous avez rempli les conditions préalables suivantes :

Vérifiez qu’une console de gestion locale est installée à la fois sur une appliance principale et une appliance secondaire.
- Vos appliances principale et secondaire de la console de gestion locale doivent exécuter des modèles de matériel et des versions de logiciels identiques.
- Vous devez être en mesure d’accéder aux consoles de gestion locale principale et secondaire en tant qu’utilisateur privilégié pour exécuter des commandes CLI. Pour plus d’informations, consultez Utilisateurs et rôles locaux pour le monitoring OT.
Assurez-vous que la console de gestion locale principale est entièrement configurée, y compris au moins deux capteurs réseau OT connectés et visibles dans l’interface utilisateur de la console, ainsi que les sauvegardes planifiées ou les paramètres du réseau local virtuel. Tous les paramètres sont automatiquement appliqués à l’appliance secondaire après l’appariement.
Assurez-vous que vos certificats SSL/TLS répondent aux critères requis. Pour plus d'informations, consultez Exigences relatives aux certificats SSL/TLS pour les ressources locales.

Certifiez-vous que la stratégie de sécurité de votre organisation vous permet d’accéder aux services suivants sur les consoles de gestion locale principale et secondaire. Ces services permettent également la connexion entre les capteurs et la console de gestion locale secondaire :

Port	Service	Description
443 ou TCP	HTTPS	Octroie l’accès à la console web de la console de gestion locale.
22 ou TCP	SSH	Synchronise les données entre les appliances principale et secondaire de la console de gestion locale.
123 ou UDP	NTP	Synchronisation temporelle NTP de la console de gestion locale. Vérifiez que les appliances actives et passives sont définies sur le même fuseau horaire.

Créer la paire principale et secondaire

Important

Exécutez des commandes avec sudo uniquement si indiqué. Si ce n’est pas indiqué, n’exécutez pas avec sudo.

Démarrez les appliances principale et secondaire de la console de gestion locale.
Sur l’appliance secondaire, procédez comme suit pour copier la chaîne de connexion dans votre presse-papiers :
1. Connectez-vous à la console de gestion locale secondaire et sélectionnez Paramètres système.
2. Dans la zone Configuration du capteur – Chaîne de connexion, sous Copier la chaîne de connexion, sélectionnez le bouton pour afficher la chaîne de connexion complète.
3. La chaîne de connexion est composée de l’adresse IP et du jeton. L’adresse IP se trouve avant les deux points et le jeton se trouve après les deux points. Copiez l’adresse IP et le jeton séparément. Par exemple, si votre chaîne de connexion est 172.10.246.232:a2c4gv9de23f56n078a44e12gf2ce77f, copiez l’adresse IP 172.10.246.232 et le jeton a2c4gv9de23f56n078a44e12gf2ce77f séparément.
Sur l’appliance principale, procédez comme suit pour connecter l’appliance secondaire à l’appliance principale via l’interface CLI :
1. Connectez-vous à la console de gestion locale principale via SSH pour accéder à l’interface CLI, puis exécutez :
```
sudo cyberx-management-trusted-hosts-add -ip <Secondary IP> -token <Secondary token>
```
  où <Secondary IP> est l’adresse IP de l’appliance secondaire et <Secondary token> est la deuxième partie de la chaîne de connexion après les deux points, que vous avez copiées dans le presse-papiers précédemment.
  
  Par exemple :
  
  sudo cyberx-management-trusted-hosts-add -ip 172.10.246.232 -token a2c4gv9de23f56n078a44e12gf2ce77f
  
  L’adresse IP est validée, le certificat SSL/TLS est téléchargé sur l’appliance principale et tous les capteurs connectés à l’appliance principale sont connectés à l’appliance secondaire.
2. Appliquez vos modifications sur l’appliance principale. Exécutez :
```
sudo cyberx-management-trusted-hosts-apply
```
3. Vérifiez que le certificat est installé correctement sur l’appliance principale. Exécutez :
```
cyberx-management-trusted-hosts-list
```
Autorisez la connexion entre le processus de sauvegarde et de restauration des appliances primaires et secondaires :
- Sur l’appliance principale, exécutez :
```
cyberx-management-deploy-ssh-key <secondary appliance IP address>
```
- Sur l’appliance secondaire, connectez-vous via SSH pour accéder à l’interface CLI et exécutez :
```
cyberx-management-deploy-ssh-key <primary appliance IP address>
```
Vérifiez que les modifications ont été appliquées sur l’appliance secondaire. Sur l’appliance secondaire, exécutez :
```
cyberx-management-trusted-hosts-list
```

Suivre l’activité de haute disponibilité

Les journaux des applications de base peuvent être exportés vers l’équipe du support technique de Defender pour IoT pour traiter tout problème de haute disponibilité.

Pour accéder aux journaux principaux :

Connectez-vous à la console de gestion locale et sélectionnez Paramètres système>Exporter. Pour plus d’informations sur l’exportation des journaux à envoyer à l’équipe du support technique, consultez Exporter les journaux à partir de la console de gestion locale pour la résolution des problèmes.

Mettre à jour la console de gestion locale avec une haute disponibilité

Pour mettre à jour une console de gestion locale avec la haute disponibilité configurée, vous devez :

Déconnecter la haute disponibilité des appliances principale et secondaire.
Mettre à jour les appliances vers la nouvelle version.
Reconfigurer la haute disponibilité sur les deux appliances.

Effectuer la mise à jour dans l'ordre suivant. Assurez-vous que chaque étape est terminée avant de commencer une nouvelle étape.

Pour mettre à jour la console de gestion locale avec la haute disponibilité configurée :

Déconnectez la haute disponibilité des appliances principale et secondaire :

Sur l’appliance principale :
1. Obtenez la liste des appliances actuellement connectées. Exécutez :
```
cyberx-management-trusted-hosts-list
```
2. Recherchez le domaine associé à l’appliance secondaire et copiez-le dans le Presse-papiers. Par exemple :
3. Supprimez le domaine secondaire de la liste des hôtes approuvés. Exécutez :
```
sudo cyberx-management-trusted-hosts-remove -d [Secondary domain]
```
4. Assurez-vous que le certificat a été correctement installé. Exécutez :
```
sudo cyberx-management-trusted-hosts-apply
```
Sur l’appliance secondaire :
1. Obtenez la liste des appliances actuellement connectées. Exécutez :
```
cyberx-management-trusted-hosts-list
```
2. Recherchez le domaine associé à l’appliance principale et copiez-le dans le Presse-papiers.
3. Supprimez le domaine principal de la liste des hôtes approuvés. Exécutez :
```
sudo cyberx-management-trusted-hosts-remove -d [Primary domain]
```
4. Assurez-vous que le certificat a été correctement installé. Exécutez :
```
sudo cyberx-management-trusted-hosts-apply
```
Mettez à jour les appliances principale et secondaire vers la nouvelle version. Pour plus d’informations, consultez Mise à jour d’une console de gestion locale.
Configurez à nouveau la haute disponibilité sur les appliances principale et secondaire. Pour plus d’informations, consultez Créer la paire principale et secondaire.

Processus de basculement

Après avoir configuré la haute disponibilité, les capteurs OT se connectent automatiquement à une console de gestion locale secondaire s’il ne peut pas se connecter au serveur principal. Si moins de la moitié des capteurs OT communiquent actuellement avec l’ordinateur secondaire, votre système est pris en charge simultanément par les machines primaires et secondaires. Si plus de la moitié des capteurs OT communiquent avec la machine secondaire, celle-ci prend en charge toutes les communications des capteurs OT. Le basculement de la console principale vers la secondaire prend environ trois minutes.

Lorsque le basculement se produit, la console de gestion locale principale se fige et vous pouvez vous connecter à la secondaire à l’aide des mêmes informations d’identification de connexion.

Pendant le basculement, les capteurs continuent à essayer de communiquer avec l’appliance principale. Lorsque plus de la moitié des capteurs gérés réussissent à communiquer avec la console principale, cette dernière est restaurée. Le message suivant s’affiche sur la console secondaire lorsque la console principale est restaurée :

Screenshot of a message that appears at the secondary console when the primary is restored.

Reconnectez-vous à l’appliance principale après la redirection.

Gérer les fichiers d’activation ayant expiré

Les fichiers d’activation ne peuvent être mis à jour que sur la console de gestion locale principale.

Avant l’expiration du fichier d’activation sur l’ordinateur secondaire, définissez-le comme machine principale pour pouvoir mettre à jour la licence.

Pour plus d’informations, consultez Charger un nouveau fichier d’activation.

Étapes suivantes

Pour plus d’informations, consultez Activation et configuration d’une console de gestion locale.

Partager via