Resolución de problemas FMC Error de implementación

Problema

Este documento describe cómo resolver el error de falla de implementación de Secure Firewall Management Center (FMC) "Esta regla requiere una licencia de amenaza, pero al menos un dispositivo no tiene una licencia de amenaza."

• El Secure Firewall Management Center (FMC) no puede implementar los cambios de configuración en un firewall Secure Firewall Threat Defence (FTD).

• Durante los intentos de implementación, el sistema genera un mensaje de error de validación que indica: "[Lista global de no bloqueo para DNS] Esta regla requiere una licencia de amenaza, pero al menos un dispositivo no tiene una licencia de amenaza."

• El problema impide que se implementen cambios de configuración en el dispositivo de destino.

FMC_Deploy_Error.png

Entorno

• Cisco Secure Firewall Management Center (FMC)

• Cisco Secure Firewall Threat Defence (FTD) sin la licencia de amenazas (IPS)

• Políticas de inteligencia de seguridad de DNS configuradas globalmente

Resolución

Paso 1. En FMC, navegue hasta Objetos > Inteligencia de seguridad > Listas y fuentes de DNS:

FMC_Navigate_DNS_Lists_and_Feeds.png

Paso 2. Edite el objeto Global-Do-Not-Block-List-for-DNS:

FMC_Edit_DNS_Lists_and_Feeds.png

Paso 3. Quite los objetos URL de la lista y haga clic en Guardar:

Remove_URLs_from_List.png

Paso 4. Implemente la política.

También puede asignar una licencia de amenaza (IPS) a FTD.

Tras estas modificaciones de la configuración, la implementación en el firewall FTD se completó correctamente sin encontrar el error de validación de la licencia anterior.

Causa

El error de implementación se debe a una discordancia entre los requisitos de la directiva de inteligencia de seguridad de DNS y el nivel de licencia disponible en el dispositivo de destino. El firewall FTD se configuró sin la licencia de amenazas, pero la política de inteligencia de seguridad de DNS global contenía reglas que requerían específicamente capacidades de licencia de amenazas.

La función de inteligencia de seguridad de DNS con listas de bloqueo/no bloqueo globales requiere una licencia de amenaza para funcionar correctamente. Cuando FMC intentó implementar cambios de configuración que incluían estas reglas de inteligencia de seguridad de DNS en un dispositivo sin la licencia de amenaza, el sistema impidió la implementación con el error de validación.

Contenido relacionado

• Requisitos y requisitos previos de la inteligencia de seguridad

• Soporte técnico y descargas de Cisco