Fehlerbehebung: FMC-Bereitstellungsfehler

Problem

In diesem Dokument wird beschrieben, wie Sie einen Fehler bei der FMC-Bereitstellung (Secure Firewall Management Center) beheben: "Diese Regel erfordert eine Lizenz für Bedrohungen, aber mindestens ein Gerät verfügt nicht über eine Lizenz für Bedrohungen."

• Das Secure Firewall Management Center (FMC) kann keine Konfigurationsänderungen an einer FTD-Firewall (Secure Firewall Threat Defense) bereitstellen.

• Bei Bereitstellungsversuchen generiert das System eine Validierungsfehlermeldung mit folgenden Informationen: "[Globale Liste der nicht blockierenden DNS-Geräte] Für diese Regel ist eine Threat-Lizenz erforderlich, aber mindestens ein Gerät verfügt nicht über eine Threat-Lizenz."

• Das Problem verhindert, dass Konfigurationsänderungen auf dem Zielgerät bereitgestellt werden.

FMC_Deploy_Error.png

Umwelt

• Cisco Secure Firewall Management Center (FMC)

• Cisco Secure Firewall Threat Defense (FTD) ohne Threat-Lizenz (IPS)

• Globale Konfiguration von DNS-Sicherheitsrichtlinien

Auflösung

Schritt 1: Navigieren Sie auf dem FMC zu Objekte > Sicherheitsinformationen > DNS-Listen und -Feeds:

FMC_Navigate_DNS_Lists_and_Feeds.png

Schritt 2: Bearbeiten Sie das Objekt "Global-Do-Not-Block-List-for-DNS":

FMC_Edit_DNS_Lists_and_Feeds.png

Schritt 3: Entfernen Sie die URL-Objekte aus der Liste, und klicken Sie auf Speichern:

Remove_URLs_from_List.png

Schritt 4: Bereitstellen der Richtlinie

Alternativ können Sie FTD eine Threat (IPS)-Lizenz zuweisen.

Nach diesen Konfigurationsänderungen wurde die Bereitstellung auf der FTD-Firewall erfolgreich abgeschlossen, ohne dass der vorherige Fehler bei der Lizenzvalidierung aufgetreten ist.

Ursache

Der Bereitstellungsfehler wurde durch eine Diskrepanz zwischen den Anforderungen der DNS Security Intelligence-Richtlinie und der auf dem Zielgerät verfügbaren Lizenzstufe verursacht. Die FTD-Firewall wurde ohne die Threat-Lizenz konfiguriert. Die globale DNS-Richtlinie für Sicherheitsinformationen enthielt jedoch Regeln, die speziell Funktionen für die Threat-Lizenz erforderten.

Die DNS-Sicherheitsinformationsfunktion mit globalen Block-/No-Block-Listen erfordert eine Threat-Lizenz, um ordnungsgemäß zu funktionieren. Als das FMC versuchte, Konfigurationsänderungen, die diese DNS-Sicherheitsinformationsregeln enthielten, auf einem Gerät ohne Threat-Lizenz bereitzustellen, verhinderte das System die Bereitstellung mit dem Validierungsfehler.

Verwandte Inhalte

• Anforderungen und Voraussetzungen für Security Intelligence

• Technischer Support und Downloads von Cisco