Cisco Firepower Threat Defense（ASA 5506-X シリーズ用）および Firepower Device Manager クイック スタート ガイド
Table of Contents
Firepower Device Manager を使用した Cisco Firepower Threat Defense（ASA 5506-X シリーズ用）クイック スタート ガイド
4. ネットワークへの Firepower Threat Defense の導入
5. Firepower Threat Defense デバイスの電源投入
6. Firepower Device Manager の起動
7. Firepower Device Manager でデバイスを設定する方法
8. ワイヤレス アクセス ポイント（ASA 5506W-X）の設定
ワイヤレス アクセス ポイント構成の復元（ASA 5506W-X）
ワイヤレス アクセス ポイント コンソールのアクセス（ASA 5506W-X）
Firepower Device Manager を使用した Cisco Firepower Threat Defense（ASA 5506-X シリーズ用）クイック スタート ガイド
警告
：Firepower Threat Defense の 6.3 以降のリリースを ASA 5506-X、5506W-X、および 5506H-X にインストールすることはできません。これらのプラットフォームに関してサポートされる Firepower Threat Defense の最後のリリースは 6.2.3 です。
1. 対象読者
このガイドでは、Firepower Threat Defense デバイスに含まれている Firepower Device Manager の Web ベース デバイス セットアップ ウィザードを使用して Firepower Threat Defense デバイスの初期設定を実行する方法について説明します。
Firepower Device Manager では、小規模ネットワークに最も多く使用されるソフトウェアの基本機能を設定できます。特に、単一またはごく少数のデバイスが含まれるネットワーク向けに設計されていて、高性能の多機能デバイス マネージャを使用して多数の Firepower Threat Defense デバイスが含まれる大規模ネットワークを制御する必要のない用途に適しています。
膨大な数のデバイスを管理する場合、または Firepower Threat Defense で対応できる複雑な機能および構成を使用する場合は、一体型の Firepower Device Manager ではなく Firepower Management Center を使用してデバイスを構成してください。
CLI セットアップ ウィザードを使用して、Firepower Threat Defense デバイスのネットワーク接続を設定したり、デバイスを Firepower Management Center に登録にすることができます（ http://www.cisco.com/go/ftd-asa-quick 参照）。
2. パッケージの内容
この項では、シャーシのパッケージの内容について説明します。この内容は変更される場合があるため、実際に含まれているアイテムは多かったり、少なかったりする場合があることにご注意ください。
3. ライセンス要件
Firepower Threat Defense デバイスには、Cisco Smart Licensing が必要です。Smart Licensing により、ライセンスの購入とライセンスのプールの一元管理を行うことができます。製品認証キー（PAK）ライセンスとは異なり、スマート ライセンスは特定のシリアル番号またはライセンス キーに関連付けられません。Smart Licensing を利用すれば、ライセンスの使用状況やニーズをひと目で評価することもできます。
また、Smart Licensing では、まだ購入していない製品の機能を使用できます。Cisco Smart Software Manager に登録すると、すぐにライセンスの使用を開始できます。また、後でライセンスを購入することもできます。これによって、機能の展開および使用が可能になり、発注書の承認による遅延がなくなります。
Firepower 機能のスマート ライセンスを複数購入する場合は、それらのライセンスを Cisco Smart Software Manager（ http://www.cisco.com/web/ordering/smart-software-manager/index.html ）で管理できます。Smart Software Manager では、組織のマスター アカウントを作成できます。Cisco Smart Software Manager の詳細については、『 Cisco Smart Software Manager User Guide 』を参照してください。
Firepower Threat Defense デバイスや Firepower Threat Defense Virtual を購入すると、自動的に基本ライセンスが含まれます。すべての追加ライセンス（Threat、Malware、URL Filtering）はオプションです。Firepower Threat Defense のライセンスに関する詳細については、『 Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager 』の「Licensing the System」の章を参照してください。
4. ネットワークへの Firepower Threat Defense の導入
（注）Firepower Device Manager を使用して Firepower Threat Defense デバイスを設定するデフォルト設定（内部アドレスと管理アドレスを含む）が、バージョン 6.2 で変更されました。バージョン 6.2 のデフォルト トポロジについては推奨されるネットワーク配置 - バージョン 6.2を、バージョン 6.1 のデフォルト トポロジについては推奨されるネットワーク配置 - バージョン 6.1を参照してください。
最初のデータ インターフェイスおよび ASA 5506W-X 上の Wi-Fi インターフェイスを除き、これらのデバイス モデル上の他のすべてのデータ インターフェイスは「内部」のブリッジ グループに構造化されて、有効化されます。DHCP サーバは内部のブリッジ グループにあります。ブリッジド インターフェイスにエンドポイントまたはスイッチを接続することができ、エンドポイントは 192.168.1.0/24 ネットワーク上のアドレスを取得します。
デフォルト設定およびブリッジされたインターフェイスの必須設定オプションに関する詳細については、『 Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager 』を参照してください。
次の図は、組み込み型ワイヤレス アクセスポイントを備えた ASA 5506W-X などの ASA 5506-X シリーズ アプライアンスで推奨される Firepower Threat Defense のネットワークの導入を示しています。
設定例では、次の動作によって上記のネットワーク導入を有効化します。
- 内部 --> 外部 へのトラフィック フロー
- DHCP からの外部 IP アドレス
- （ASA 5506W-X） WiFi <--> 内部 、 WiFi --> 外部 へのトラフィック フロー
- 内部 および WiFi 上のクライアントに対する DHCP 。DHCP サーバは内部のブリッジ グループにあります。ブリッジド インターフェイスのいずれかにエンドポイントまたはスイッチを直接接続することができ、エンドポイントは 192.168.1.0/24 ネットワーク上のアドレスを取得します。アクセス ポイント自体およびそのすべてのクライアントの Wi-Fi インターフェイス上に DHCP サーバがあります。
HTTPS アクセスは、内部のブリッジ グループで有効になるため、デフォルト アドレスの 192.168.1.1 で任意の内部ブリッジ グループ メンバーのインターフェイスを介して Firepower Device Manager を開くことができます。
- また、 Management 1/1 に接続し、Firepower Device Manager を使用してデバイスのセットアップや管理を行うこともできます。管理インターフェイス上に DHCP サーバがあります。管理コンピュータをこのインターフェイスに直接接続し、192.168.45.0/24 ネットワーク上のアドレスを取得できます。
HTTPS アクセスは管理インターフェイス上で有効になるため、デフォルト アドレスの 192.168.45.45 で管理インターフェイスを介して Firepower Device Manager を開くことができます。
管理 IP アドレスのデフォルト ゲートウェイでは、データ インターフェイスを使用してインターネットにルーティングします。そのため、物理的な管理インターフェイスをネットワークに接続する必要はありません。
（注）物理的な管理インターフェイスは、Management 論理インターフェイスと Diagnostic 論理インターフェイスの間で共有されます。『Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager』の「Interfaces」の章を参照してください。
- Firepower Threat Defense システムには、ライセンスおよびアップデート用のインターネット アクセスが必要です。システムは、外部インターフェイスのゲートウェイ経由でシステム データベースのアップデートを取得できます。管理ポートまたはネットワークからインターネットまでの明示的なルートを用意する必要はありません。デフォルトでは、データ インターフェイスを介して内部ルートが使用されます。
デフォルト設定は、スイッチを使用して同じネットワークに管理インターフェイスおよび内部インターフェイスを接続すると仮定しています。内部インターフェイスが DHCP サーバとして設定されているため、同じスイッチに管理ワークステーションを接続し、同じネットワーク上の DHCP を介してアドレスを取得できます。これで、Firepower Device Manager Web インターフェイスを開くことができます。
デフォルト設定に関する詳細については、『 Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager 』を参照してください。
次の図は、組み込み型ワイヤレス アクセスポイントを備えた ASA 5506W-X などの ASA 5506-X シリーズ アプライアンスで推奨される Firepower Threat Defense のネットワークの導入を示しています。
（注）導入には、別々の内部スイッチを使用する必要があります。
設定例では、次の動作によって上記のネットワーク導入を有効化します。
- 内部 --> 外部 へのトラフィック フロー
- DHCP からの外部 IP アドレス
- （ASA 5506W-X） WiFi <--> 内部 、 WiFi --> 外部 へのトラフィック フロー
- 内部 および WiFi 上のクライアントに対する DHCP アクセス ポイントおよびそのすべてのクライアントが ASA を DHCP サーバとして使用します。
- 管理 1/1 は、Firepower Device Manager を使用してデバイスのセットアップおよび管理を実行するために使用されます。Firepower Device Manager は、このボックスに含まれるシンプルな単一デバイスのマネージャです。
管理インターフェイスは、更新にインターネット アクセスが必要です。内部インターフェイスと同じネットワーク上に管理を配置すると、Firepower Threat Defense デバイスを内部のスイッチのみで導入して、内部インターフェイスをゲートウェイとして示すことができます。
物理的な管理インターフェイスは、Management 論理インターフェイスと Diagnostic 論理インターフェイスの間で共有されます。『 Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager 』の「Interfaces」の章を参照してください。
インターフェイスの接続
デフォルト設定では、特定のインターフェイスが内部および外部ネットワークに使用されると仮定しています。これらの前提に基づいてネットワーク ケーブルをインターフェイスに接続すると、初期設定を簡単に実行できるようになります。ASA 5506-X シリーズで上記のシナリオをケーブル接続するには、次の図を参照してください。
（注）次の図は、内部ネットワークに接続された管理コンピュータを使用する簡単なトポロジを示しています。他のトポロジも使用でき、基本的な論理ネットワーク接続、ポート、アドレッシング、構成の要件によって導入方法が異なります。
バージョン 6.2
図 5 バージョン 6.2 の ASA 5506W-X（Wi-Fi あり）、5506-X（Wi-Fi なし）
1. GigabitEthernet 1/1（外部）インターフェイスを ISP/WAN モデムまたはその他の外部デバイスに接続します。デフォルトでは、DHCP を使用して IP アドレスが取得されますが、初期設定時にスタティック アドレスを設定することもできます。
2. ローカルの管理ワークステーションを GigabitEthernet 1/2（または、内部のブリッジ グループ メンバーのインターフェイス）に接続します。
3. DHCP を使って IP アドレスを取得するようにワークステーションを設定します。ワークステーションは 192.168.1.0/24 ネットワーク上でアドレスを取得します。
（注）管理ワークステーションへの接続には他にもいくつかの方法があります。また、管理ポートに直接接続することもできます。ワークステーションは 192.168.45.0/24 ネットワーク上で DHCP 経由でアドレスを取得します。別のオプションは、ワークステーションをスイッチに接続したまま、GigabitEthernet 1/2 などの内部ポートの 1 つにそのスイッチを接続することです。ただし、他のデバイスがスイッチのネットワーク上で DHCP サーバを実行していないことを確認する必要があります。これは、そのデバイスが内部ブリッジ グループ 192.168.1.1 で実行中のデバイスと競合するためです。
Version 6.1
図 7 バージョン 6.1 の ASA 5506W-X（Wi-Fi あり）、5506-X（Wi-Fi なし）
1. 以下の機器のケーブルをレイヤ 2 イーサネット スイッチに接続します。
–GigabitEthernet 1/2 インターフェイス（内部）
–管理 1/1 インターフェイス（Firepower Device Manager 用）
（注）管理インターフェイスは Firepower Device Manager のみに属する独立したデバイスとして動作するため、内部インターフェイスと管理インターフェイスを同じネットワーク上で接続できます。
2. GigabitEthernet 1/1（外部）インターフェイスを ISP/WAN モデムまたはその他の外部デバイスに接続します。デフォルトでは、DHCP を使用して IP アドレスが取得されますが、初期設定時にスタティック アドレスを設定することもできます。
5. Firepower Threat Defense デバイスの電源投入
1. 電源コードを Firepower Threat Defense デバイスに接続し、電源コンセントに接続します。
電源コードを差し込むと電源が自動的にオンになります。電源ボタンはありません。
2. Firepower Threat Defense デバイスの背面にある電源 LED を確認します。緑色に点灯している場合は、デバイスの電源が入っています。
3. Firepower Threat Defense デバイスの背面にあるステータス LED を確認します。緑色に点灯している場合は、電源投入診断に合格しています。
6. Firepower Device Manager の起動
初めて Firepower Device Manager にログインすると、デバイス セットアップ ウィザードが表示され、システムの初期設定を実行します。
データ インターフェイスがゲートウェイ デバイス（たとえば、ケーブル モデムやルータなど）に接続されていることを確認します。エッジの導入では、これはインターネット向けのゲートウェイになります。データセンター導入の場合は、これがバックボーン ルータになります。4. ネットワークへの Firepower Threat Defense の導入で特定されているデフォルトの「外部」インターフェイスを使用します。
次に、内部のブリッジ グループに含まれる他のデータ ポートのいずれかに管理コンピュータを接続します。また、Management 物理インターフェイスに接続することもできます。
Management 物理インターフェイスをネットワークに接続する必要はありません。デフォルトでは、システムのライセンスとデータベースおよびその他のアップデートは、インターネットに接続するデータ インターフェイス（通常、外部インターフェイス）経由で取得されます。独立した管理ネットワークを使用する場合は、Management インターフェイスをネットワークに接続し、初期セットアップ完了後に独立した管理ゲートウェイを設定することもできます。
1. ブラウザを開き、Firepower Device Manager にログインします。CLI での初期設定を完了していない場合は、Firepower Device Manager を https: //ip-address で開きます。このアドレスは次のいずれかになります。
–（バージョン 6.2 以降）内部のブリッジ グループ インターフェイスに接続されている場合は https://192.168.1.1 。
–（バージョン 6.1）管理物理インターフェイスに接続されている場合は https://192.168.45.45 。
2. ユーザ名 admin 、およびパスワード Admin123 を使用してログインします。
3. これがシステムへの初めてのログインであり、CLI セットアップ ウィザードを使用していない場合、エンド ユーザ ライセンス契約を読んで承認し、管理パスワードを変更するように求められます。続行するには、これらの手順を完了する必要があります。
4. 外部インターフェイスおよび管理インターフェイスに対して次のオプションを設定し、[次へ（Next）] をクリックします。
（注）[次へ（Next）] をクリックすると、設定がデバイスに展開されます。インターフェイスの名前は「外部」となり、「outside_zone」セキュリティ ゾーンに追加されます。設定値が正しいことを確認します。
a. [外部インターフェイス（Outside Interface）]：これは、ゲートウェイ モードまたはルータに接続するためのデータ ポートです。デバイスの初期設定時に別の外部インターフェイスを選択することはできません。最初のデータ インターフェイスがデフォルトの外部インターフェイスです。
[IPv4 の設定（Configure IPv4）]：外部インターフェイス用の IPv4 アドレスです。DHCP を使用するか、または手動で静的 IP アドレス、サブネット マスク、およびゲートウェイを入力できます。[オフ（Off）] を選択して、IPv4 アドレスを設定しないという選択肢もあります。
[IPv6 の設定（Configure IPv6）]：外部インターフェイス用の IPv6 アドレスです。DHCP を使用するか、または手動で静的 IP アドレス、プレフィックス、およびゲートウェイを入力できます。[オフ（Off）] を選択して、IPv6 アドレスを設定しないという選択肢もあります。
[DNS サーバ（DNS Servers）]：システムの管理アドレス用の DNS サーバ。名前解決用に 1 つ以上の DNS サーバのアドレスを入力します。デフォルトは OpenDNS パブリック DNS サーバです。フィールドを編集し、デフォルトに戻したい場合は、[OpenDNS を使用（Use OpenDNS）] をクリックすると、フィールドに適切な IP アドレスがリロードされます。
[ファイアウォールホスト名（Firewall Hostname）]：システムの管理アドレスのホスト名です。
（注）デバイス セットアップ ウィザードを使用して Firepower Threat Defense デバイスを設定する場合は、アウトバウンドとインバウンドのトラフィックに対してシステムから 2 つのデフォルト アクセス ルールが提供されます。初期セットアップ後に、これらのアクセス ルールに戻って編集できます。
5. システム時刻を設定し、[次へ（Next）] をクリックします。
a. [タイムゾーン（Time Zone）]：システムのタイム ゾーンを選択します。
b. [NTP タイムサーバ（NTP Time Server）]：デフォルトの NTP サーバを使用するか、使用している NTP サーバのアドレスを手動で入力するかを選択します。バックアップ用に複数のサーバを追加できます。
スマート ライセンスのアカウントを取得し、システムが必要とするライセンスを適用する必要があります。最初は 90 日間の評価ライセンスを使用し、後でスマート ライセンスを設定できます。
デバイスを今すぐ登録するには、リンクをクリックして Smart Software Manager（SSM）のアカウントにログインし、新しいトークンを作成して、編集ボックスにそのトークンをコピーします。
評価ライセンスを使用するには、[登録せずに 90 日間の評価期間を開始する（Start 90 day evaluation period without registration）] を選択します。後でデバイスを登録し、スマート ライセンスを取得するには、メニューからデバイスの名前をクリックして [デバイスダッシュボード（Device Dashboard）] に進み、[スマートライセンス（Smart Licenses）] グループのリンクをクリックします。
デバイス セットアップ ウィザードが完了したら、ポップアップにデバイスを設定するための次のオプションが表示されます。
- 他のインターフェイスをネットワークに接続している場合は、[インターフェイスの設定（Configure Interfaces）] を選択して、接続されているインターフェイスをそれぞれ設定します。
- デフォルトのアクセス ルールを変更する場合は、[ポリシーの設定（Configure Policy）] を選択して、トラフィック ポリシーの設定および管理を行います。
いずれかのオプションを選択するか、またはポップアップを閉じて [デバイスダッシュボード（Device Dashboard）] に戻ることができます。
7. Firepower Device Manager でデバイスを設定する方法
セットアップ ウィザードの完了後、いくつかの基本ポリシーが適切に設定された機能しているデバイスが必要です。
- （ASA 5506-X を除く）外部および内部インターフェイス。その他のデータ インターフェイスは設定されません。
- （ASA 5506-X モデル）外部インターフェイスと、他のすべてのデータのインターフェイスが含まれる内部ブリッジ グループ。
- 内部インターフェイスと外部インターフェイスのセキュリティ ゾーン。
- 内部の外部へのすべてのトラフィックを信頼するアクセス ルール。
- 内部から外部へのすべてのトラフィックを外部インターフェイスの IP アドレスの固有のポートへ変換するインターフェイス NAT ルール。
- 内部インターフェイスまたはブリッジ グループで実行されている DHCP サーバ。
次の手順では、追加機能の設定の概要を説明します。各手順について詳細な情報を表示するには、ページのヘルプ ボタン（ ? ）をクリックしてください。
1. [デバイス（Device）] を選択してから、[スマート ライセンス（Smart License）] グループの [設定の表示（View Configuration）] をクリックします。
オプションの脅威のライセンスを使用する場合は、[有効化（Enable）] をクリックします。
（注）ISA 3000 は脅威のライセンスのみサポートします。マルウェアまたは URL フィルタリング ライセンスはサポートしません。したがって、ISA 3000 ではマルウェアや URL フィルタリングのライセンスを必要とする機能は設定できません。
登録していない場合は、このページから登録できます。[登録の要求（Request Register）] をクリックして、手順に従います。評価ライセンスの有効期限が切れる前に登録してください。
2. 他のインターフェイスを配線した場合は、[デバイス（Device）] を選択してから、[インターフェイス（Interfaces）] グループの [設定の表示（View Configuration）] をクリックして、配線した各インターフェイスを設定します。
ASA 5506-X はすべての非外部データ インターフェイスを含むブリッジ グループで事前設定済みのため、これらのインターフェイスを設定する必要はありません。ただし、ブリッジ グループを分割したい場合は、編集して別々に扱いたいインターフェイスを削除できます。その後、別々のネットワークをホストするインターフェイスとしてそれらを設定できます。
他のモデルでは、他のインターフェイスのブリッジ グループを作成、別々のネットワークを設定、または両方の組み合わせを設定できます。各インターフェイスの編集アイコンをクリックして、IP アドレスなどの設定を定義します。
次の例では、Web サーバなどのパブリックアクセス可能な資産を配置する「緩衝地帯」（DMZ）として使用するためのインターフェイスを構成します。完了したら [保存（Save）] をクリックします。
3. 新しいインターフェイスを構成する場合は、[オブジェクト（Objects）] を選択してから、目次から [セキュリティゾーン（Security Zones）] を選択します。
編集または必要に応じて新しいゾーンを作成します。インターフェイスではなく、セキュリティ ゾーンに基づいてポリシーを構成するため、各インターフェイスはゾーンに属している必要があります。インターフェイスを構成する場合、ゾーンにインターフェイスを置くことはできません。このため、新しいインターフェイスを作成した後、または既存のインターフェイスの目的を変更した後には常にゾーン オブジェクトを編集する必要があります。
次の例では、DMZ インターフェイスのために新しい DMZ ゾーンを作成する方法を示します。
4. 内部クライアントで DHCP を使用してデバイスから IP アドレスを取得する場合は、[デバイス（Device）] > [システム設定（System Settings）] > [DHCP サーバ（DHCP Server）] を選択してから、[DHCP サーバ（DHCP Servers）] タブを選択します。
すでに内部インターフェイス用に構成されている DHCP サーバがありますが、アドレス プールを編集したり、それを削除したりすることができます。他の内部インターフェイスを構成した場合は、それらのインターフェイス上に DHCP サーバをセットアップするのがごく一般的です。[+] をクリックして各内部インターフェイスのサーバとアドレス プールを構成します。
[構成（Configuration）] タブでクライアントに提供される WINS および DNS のリストを微調整することもできます。次の例では、アドレス プールの 192.168.4.50 ～ 192.168.4.240 で inside2 インターフェイス上の DHCP サーバを設定する方法を示しています。
5. [デバイス（Device）] を選択してから、[ルーティング（Routing）] グループで [設定の表示（View Configuration）]（または [最初の静的ルートを作成（Create First Static Route）]）をクリックし、デフォルト ルートを構成します。
デフォルト ルートは通常、外部インターフェイス以外に存在するアップストリームまたは ISP ルータを指しています。デフォルトの IPv4 ルートは任意の ipv4（0.0.0.0/0）、デフォルトの IPv6 ルートは任意の ipv6（::0/0）です。使用する IP バージョンごとにルートを作成します。外部インターフェイスのアドレスの取得に DHCP を使用する場合、必要なデフォルト ルートをすでに持っていることがあります。
（注）このページで定義したルートは、データ インターフェイス用のみです。管理インターフェイスには影響しません。[デバイス（Device）] > [システム設定（System Settings）] > [管理インターフェイス（Management Interface）] で管理ゲートウェイを設定します。
次の例に、IPv4 のデフォルト ルートを示します。この例では、isp ゲートウェイは ISP ゲートウェイの IP アドレスを識別するネットワーク オブジェクトです（アドレスは ISP から取得する必要があります）。[ゲートウェイ（Gateway）] の下部の [新しいネットワークを作成する（Create New Network）] ドロップダウン リストをクリックしてこのオブジェクトを作成することができます。
6. [ポリシー（Policies）] を選択してネットワークのセキュリティ ポリシーを構成します。
デバイス セットアップ ウィザードは、内部ゾーンと外部ゾーンの間のトラフィック フローを有効にします。また、外部インターフェイスを使用する場合に、全インターフェイスに対するインターフェイス NAT も有効にします。新しいインターフェイスを構成した場合でも、内部ゾーン オブジェクトに追加する場合はそれらにアクセス制御ルールが自動的に適用されます。
ただし、複数の内部インターフェイスがある場合は、内部ゾーンから内部ゾーンへのトラフィック フローを許可するアクセス制御ルールが必要です。他のセキュリティ ゾーンを追加する場合は、それらのゾーンとのトラフィックを許可するルールが必要です。これらは最低限の変更になります。
さらに、組織が必要とする結果を得るために、その他のポリシーを設定して、追加サービスの提供や、NAT およびアクセス ルールを微調整できます。次のポリシーを設定できます。
–[SSL 復号（SSL Decryption）]：暗号化された接続（HTTPS など）の侵入マルウェアを検査する場合、または URL およびアプリケーション使用ポリシーへのコンプライアンスを適用する場合は、接続を復号化する必要があります。どの接続を復号する必要があるかを判断するには SSL 復号ポリシーを使用します。システムは、検査後に接続を再暗号化します。
–[アイデンティティ（Identity）]：個々のユーザにネットワーク アクティビティを関連付ける、またはユーザまたはユーザ グループのメンバーシップに基づいてネットワーク アクセスを制御する場合は、特定のソース IP アドレスに関連付けられているユーザを判定するためにアイデンティティ ポリシーを使用します。
–[セキュリティインテリジェンス（Security Intelligence）]：ブラックリスト登録済みの IP アドレスまたは URL の接続をただちにドロップするには、セキュリティ インテリジェンス ポリシーを使用します。既知の不正なサイトをブラックリストに登録すれば、アクセス コントロール ポリシーでそれらを考慮する必要がなくなります。Cisco では、セキュリティ インテリジェンスのブラックリストが動的に更新されるように、既知の不正なアドレスや URL の定期更新フィードを提供しています。フィードを使用すると、ブラックリストの項目を追加または削除するためにポリシーを編集する必要がありません。
–[NAT]（ネットワーク アドレス変換）：内部 IP アドレスを外部のルーティング可能なアドレスに変換するために NAT ポリシーを使用します。
–[アクセス制御（Access Control）]：ネットワーク上で許可する接続の決定にアクセス コントロール ポリシーを使用します。セキュリティ ゾーン、IP アドレス、プロトコル、ポート、アプリケーション、URL、ユーザまたはユーザ グループによってフィルタ処理できます。また、アクセス コントロール ルールを使用して、侵入やファイル（マルウェア）ポリシーを適用します。このポリシーを使用して URL フィルタリングを実装します。
–[侵入（Intrusion）]：侵入ポリシーを使用して、既知の脅威を検査します。アクセス制御ルールを使用して侵入ポリシーを適用しますが、侵入ポリシーを編集して特定の侵入ルールを選択的に有効または無効にできます。
次の例では、アクセス制御ポリシーで内部ゾーンと DMZ ゾーンの間のトラフィックを許可する方法を示します。この例では、[接続の最後で（At End of Connection）] が選択されている場合、[ロギング（Logging）] を除いて他のいずれのタブでもオプションは設定されません。
7. [デバイス（Device）] を選択してから、[更新（Updates）] グループで [設定の表示（View Configuration）] をクリックし、システム データベースの更新スケジュールを設定します。
侵入ポリシーを使用している場合は、ルールと VDB のデータベースを定期的な更新を設定します。セキュリティ情報フィードを使用する場合は、それらの更新スケジュールを設定します。一致基準としてセキュリティ ポリシーで地理位置情報を使用する場合は、そのデータベースの更新スケジュールを設定します。
8. メニューの [導入（Deploy）] ボタンをクリックし、[今すぐ導入する（Deploy Now）] ボタン（
）をクリックして変更内容をデバイスに展開します。
8. ワイヤレス アクセス ポイント（ASA 5506W-X）の設定
ASA 5506W-X には、デバイスに統合されている Cisco Aironet 702i ワイヤレス アクセス ポイントが付属します。ワイヤレス アクセス ポイントは、デフォルトでは無効になっています。ワイヤレス無線を有効化し、SSID およびセキュリティの設定を行うには、アクセス ポイント Web インターフェイスに接続してください。
アクセス ポイントは、GigabitEthernet 1/9 インターフェイスを介して内部的に接続します。すべての Wi-Fi クライアントは GigabitEthernet 1/9 ネットワークに属します。セキュリティ ポリシーにより、Wi-Fi ネットワークが他のインターフェイス上の任意のネットワークにアクセスする方法が決まります。アクセス ポイントには、外部インターフェイスやスイッチ ポートは含まれません。
次の手順では、アクセス ポイントを設定する方法について説明します。この手順では、デバイス セットアップ ウィザードが完了していると仮定します。代わりに手動でデバイスを設定した場合、設定に基づいて手順を調整する必要があります。
- ワイヤレス LAN コントローラの使用の詳細については、『 Cisco Wireless LAN Controller Software documentation 』を参照してください。
- ワイヤレス アクセス ポイントのハードウェアおよびソフトウェアの詳細については、 Cisco Aironet 700 シリーズのマニュアル を参照してください。
1. ワイヤレス インターフェイス GigabitEthernet1/9 を設定して有効化します。
a. メニューでデバイス名をクリックして [デバイス ダッシュボード（Device Dashboard）] に移動し、[インターフェイス（Interfaces）] グループのリンクをクリックしてインターフェイスの一覧を開きます。
b. GigabitEthernet1/9 インターフェイスの編集アイコン（
）をクリックします。
● [インターフェイス名（Interface Name）]：インターフェイスの名前（ wifi など）を入力します。
● [ステータス（Status）]：スライダをクリックするとインターフェイスが有効になります。
● [Ipv4 アドレス（IPv4 Address）]：アドレス タイプとして [スタティック（Static）] を選択し、アドレスとサブネット マスクを入力します。たとえば、192.168.10.1/24 などと入力します。
2. Wi-Fi インターフェイスを内部インターフェイスと同じセキュリティ ゾーンに追加します。
内部 インターフェイスは、デバイス セットアップ時に設定し、 inside_zone という名前のセキュリティ ゾーンに配置してあります。アクセス ポイントの Webインターフェイスに到達できるようにするため、Wi-Fi インターフェイスを同じゾーンに配置する必要があります。
a. メニューの [オブジェクト（Objects）] をクリックし、コンテンツ テーブルから [セキュリティ ゾーン（Security Zones）] を選択します。
b. inside_zone の編集アイコン（ ）をクリックします。
c. [インターフェイス（Interfaces）] の下の [+] をクリックし、[wifi] インターフェイスを選択します。
3. inside_zone セキュリティ ゾーン内のインターフェイス間のトラフィックを許可するアクセス制御ルールを設定します。
デバイス セットアップ ウィザードでは、 inside_zone から outside_zone に流れるトラフィックを許可する（すなわち、内部のユーザがインターネットに到達可能になる）ルールが作成されます。[Wifi] インターフェイスを [inside_zone] に追加することにより、Wi-Fi ユーザもインターネット アクセスを許可するルールに含まれます。
ただし、デフォルトのアクションは、すべてのトラフィックをブロックすることなので、 inside_zone セキュリティ ゾーン内のインターフェイス間のトラフィックを有効にするルールを作成する必要があります。
a. メニューの [ポリシー（Policies）] をクリックします。
b. [アクセス制御（Access Control）] テーブルの上の [+] をクリックします。
● [タイトル（Title）]：ルールの名前を入力します。たとえば、Inside_Inside などと入力します。
● [アクション（Action）]：許可または信頼のいずれか。
● [送信元/接続先（Source/Destination）] > [送信元のゾーン（Source Zones）]：inside_zone を選択します。
● [送信元/接続先（Source/Destination）] > [接続先のゾーン（Destination Zones）]：inside_zone を選択します。
4. ワイヤレス インターフェイスで、DHCP サーバを設定します。
DHCP サーバはアクセスポイントに接続するデバイスに IP アドレスを供給します。また、アクセス ポイント自体にもアドレスを提供します。
a. メニューでデバイス名をクリックして、[デバイス ダッシュボード（Device Dashboard）] に移動します。
b. [システム設定（System Settings）] > [DHCP サーバ（DHCP Server）] をクリックします。
c. DHCP サーバ テーブルの上の [+] をクリックします。
● [DHCP サーバの有効化（Enable DHCP Server）]：スライダをクリックすると、DHCP サーバが有効になります。
● [インターフェイス（Interface）]： wifi インターフェイスを選択します。
● [アドレス プール（Address Pool）]：DHCP クライアントのアドレス プールを入力します。たとえば、ワイヤレス インターフェイスのアドレス例を使用している場合、プールは 192.168.10.2-192.168.10.254 になります。プールは、インターフェイスの IP アドレスと同じサブネット上にある必要があり、インターフェイスのアドレスやブロードキャスト アドレスをプールに含めることはできません。
5. メニューの [導入（Deploy）] ボタンをクリックし、[今すぐ導入する（Deploy Now）] ボタン（ ）をクリックして変更内容をデバイスに導入します。
ワイヤレス アクセス ポイントは、ワイヤレス インターフェイス用に定義された DHCP プールからアドレスを取得します。プール内の最初のアドレスを取得する必要があります。アドレスの例を使用した場合、これは「192.168.10.2」です。（最初のアドレスが機能しない場合は、プール内の次のアドレスを試します）。
a. 新しいブラウザ ウィンドウを使用し、ワイヤレス アクセス ポイントの IP アドレス、たとえば [http://192.168.10.2] に移動します。アクセスポイントの Web インターフェイスが表示されます。
このアドレスを開くには、内部ネットワークまたはそのネットワークにルーティングできるネットワーク上にいる必要があります。
b. ユーザ名 cisco 、パスワード Cisco を使用してログインします。
c. 左側の [簡易設定（Easy Setup）] > [ネットワーク設定（Network Configuration）] をクリックします。
d. [無線構成（Radio Configuration）] 領域で、[無線 2.4 GHz（Radio 2.4GHz）] セクションおよび [無線 5 GHz（Radio 5GHz）] セクションのそれぞれに対して、少なくとも以下のパラメータを設定し、セクションごとに [適用（Apply）] をクリックします。
● [SSID]：サービス セット識別子。ワイヤレス ネットワークの名前です。ユーザが Wi-Fi 接続用のワイヤレス ネットワークを選択する際に、この名前が表示されます。
● [ビーコン内のブロードキャスト SSID（Broadcast SSID in Beacon）]：このオプションを選択します。
● [ユニバーサル Admin モード（Universal Admin Mode）]：[無効（Disable）]。
● [セキュリティ（Security）]：使用するセキュリティ オプションを任意に選択します。
7. ワイヤレス アクセス ポイントの Web インターフェイスで、無線を有効化します。
a. 左側の [サマリー（Summary）] をクリックし、メイン ページの [ネットワークインターフェイス（Network Interfaces）] で、2.4 GHz 無線に対応するリンクをクリックします。
c. [無線の有効化（Enable Radio）] の設定では、[有効化（Enable）] ラジオ ボタンをクリックし、ページ下部の [適用（Apply）] をクリックします。
ワイヤレス アクセス ポイント構成の復元（ASA 5506W-X）
アクセス ポイントに到達できないときに、Firepower Threat Defense に推奨構成が設定されていて、他のネットワークの問題が見つからない場合は、アクセス ポイントのデフォルト構成を復元できます。Firepower Threat Defense CLI にアクセスする必要があります（コンソール ポートに接続するか、Telnet または SSH アクセスを構成します）。
1. Firepower Threat Defense CLI から、システム サポート CLI メニューに移動します。
2. enable コマンドを入力して、特権コマンドを有効にします。
enable コマンドを発行すると、システムからパスワードが要求されます。デフォルトでは、パスワードは空白です。
3. アクセス ポイントのデフォルト構成を復元するコマンドを入力します。
4. アクセス ポイント CLI については、『 Cisco IOS Configuration Guide for Autonomous Aironet Access Points（Aironet 自律アクセス ポイント用の Cisco IOS 構成ガイド） 』を参照してください。
ワイヤレス アクセス ポイント コンソールのアクセス（ASA 5506W-X）
コマンドライン インターフェイス（CLI）を使用して、ワイヤレス アクセス ポイントの構成およびモニタができます。Firepower Threat Defense CLI からアクセスします（コンソール ポートに接続するか、Telnet または SSH アクセスを構成します）。
1. Firepower Threat Defense CLI から、システム サポート CLI メニューに移動します。
2. enable コマンドを入力して、特権コマンドを有効にします。
enable コマンドを発行すると、システムからパスワードが要求されます。デフォルトでは、パスワードは空白です。
4. アクセス ポイント CLI については、『 Cisco IOS Configuration Guide for Autonomous Aironet Access Points（Aironet 自律アクセス ポイント用の Cisco IOS 構成ガイド） 』を参照してください。
9. 次の作業
- Firepower Device Manager を使用した Firepower Threat Defense の管理に関する詳細については、『 Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager 』、または Firepower Device Manager のオンライン ヘルプを参照してください。
フィードバック