Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Informations générales

Configuration

Vérification

Bogues connus liés à l'outil de migration Firepower

Informations connexes

Introduction

Ce document décrit un exemple de migration de l'appliance de sécurité adaptative (ASA) vers Firepower Threat Defense (FTD) sur FPR4145.

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

- Connaissances de base sur ASA

- Connaissance de Firepower Management Center (FMC) et FTD

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- ASA version 9.12(2)

- FTD version 6.7.0

- FMC version 6.7.0

- Outil de migration Firepower version 2.5.0

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Exporter le fichier de configuration ASA au format .cfg ou .txt. FMC doit être déployé avec FTD enregistré sous celui-ci.

Configuration

1. Téléchargez l'outil de migration Firepower à partir de software.cisco.com comme illustré dans l'image.

2. Examiner et vérifier les exigences de la section Directives et limitations pour l'outil de migration Firepower.

3. Si vous prévoyez de migrer un fichier de configuration volumineux, configurez les paramètres de veille de sorte que le système ne se mette pas en veille lors d'une migration.

3.1. Sous Windows, accédez à Options d'alimentation dans le Panneau de configuration. Cliquez sur Modifier les paramètres du plan en regard de votre plan d'alimentation actuel. Modifier Mettre l'ordinateur en veille sur Jamais. Cliquez sur Enregistrer les modifications.

3.2. Pour MAC, accédez à Préférences système > Économie d'énergie. Cochez la case en regard pour empêcher l'ordinateur de dormir automatiquement lorsque l'écran est éteint et faites glisser l'option Désactiver l'affichage après le curseur sur Jamais.

Note: Cette boîte de dialogue s'affiche lorsque les utilisateurs MAC tentent d'ouvrir le fichier téléchargé. Ignorez ceci et suivez l'étape 4 A.

4. A. Pour MAC : utilisez le terminal et exécutez ces commandes.

4. B. Pour Windows - double-cliquez sur l'outil de migration Firepower pour le lancer dans un navigateur Google Chrome.

5. Acceptez la licence comme indiqué dans l'image.

6. Sur la page de connexion de Firepower Migration Tool, cliquez sur le lien de connexion CCO pour vous connecter à votre compte Cisco.com avec vos identifiants de connexion uniques.

Note: Si vous n'avez pas de compte Cisco.com, créez-le sur la page de connexion Cisco.com. Connectez-vous avec les informations d'identification par défaut suivantes :Username—admin Password—Admin123.

7. Sélectionnez la configuration source. Dans ce scénario, il s'agit de Cisco ASA (8.4+).

8. Sélectionnez Manual Upload (Téléchargement manuel) si vous n'avez pas de connectivité à l'ASA. Sinon, vous pouvez récupérer la configuration en cours à partir de l'ASA et saisir l'adresse IP de gestion et les détails de connexion. Dans notre scénario, un téléchargement manuel a été effectué.

Note: Cette erreur s'affiche si le fichier n'est pas pris en charge. Veillez à modifier le format en texte brut. (Une erreur s'affiche malgré l'extension .cfg).

9. Une fois le fichier téléchargé, les éléments sont analysés en fournissant un résumé comme illustré dans l'image :

10. Saisissez l'adresse IP FMC et les informations d'identification de connexion auxquelles la configuration ASA doit être migrée. Assurez-vous que l'adresse IP FMC est accessible depuis votre station de travail.

11. Une fois que le FMC est connecté, les FTD gérés sous celui-ci s'affichent.

12. Choisissez le FTD vers lequel vous voulez effectuer la migration de la configuration ASA.

Note: Il est recommandé de sélectionner le périphérique FTD, sinon les interfaces, les routes et la configuration VPN de site à site devront être effectuées manuellement.

13. Sélectionnez les fonctions à migrer, comme l'illustre l'image.

14. Sélectionnez Commencer la conversion pour lancer la pré-migration qui remplira les éléments relatifs à la configuration FTD.

15. Cliquez sur Télécharger le rapport précédemment affiché pour afficher le rapport de pré-migration tel qu'illustré dans l'image.

16. Mapper les interfaces ASA aux interfaces FTD, comme indiqué dans l'image.

17. Attribuez des zones de sécurité et des groupes d'interfaces aux interfaces FTD.

A. Si des zones de sécurité et des groupes d'interface sont déjà créés sur le FMC, vous pouvez les sélectionner selon les besoins :

B. Si vous devez créer des zones de sécurité et un groupe d'interfaces, cliquez sur Ajouter une zone de sécurité et un IG comme indiqué dans l'image.

C. Sinon, vous pouvez opter pour l'option Auto-Create qui créera des zones de sécurité et des groupes d'interfaces avec le nom ASA interface logique_sz et ASA interface_ig respectivement.

18. Examiner et valider chacun des éléments FTD créés. Les alertes sont affichées en rouge comme l'illustre l'image.

19. Les actions de migration peuvent être sélectionnées comme indiqué dans l'image si vous souhaitez modifier une règle. Les fonctions FTD d'ajout de fichiers et de stratégie IPS peuvent être effectuées à cette étape.

Note: Si des stratégies de fichiers existent déjà dans le FMC, elles seront renseignées comme indiqué dans l'image. Il en va de même pour les stratégies IPS et les stratégies par défaut.

La configuration du journal peut être effectuée pour les règles requises. La configuration du serveur Syslog existant sur le FMC peut être sélectionnée à ce stade.

Les actions de règle sélectionnées sont mises en surbrillance pour chaque règle.

20. De même, NAT, Network Object, Port Objects, Interfaces, Routes, VPN Objects, Site-to-Site VPN Tunnels et d'autres éléments selon votre configuration peuvent être examinés étape par étape.

Note: L'alerte sera avertie, comme l'illustre l'image, de la mise à jour de la clé pré-partagée, car elle ne sera pas copiée dans le fichier de configuration ASA. Sélectionnez Actions > Mettre à jour la clé prépartagée pour entrer la valeur.

21. Enfin, cliquez sur l'icône Valider en bas à droite de l'écran, comme indiqué dans l'image.

22. Une fois la validation terminée, cliquez sur Push Configuration comme indiqué dans l'image.

23. Une fois la migration réussie, le message qui s'affiche s'affiche dans l'image.

Note: Si la migration échoue, cliquez sur Télécharger le rapport afin d'afficher le rapport post-migration.

Vérification

Utilisez cette section pour confirmer que votre configuration fonctionne correctement.

Validation sur le FMC.

1. Accédez à Stratégies > Contrôle d'accès > Stratégie de contrôle d'accès > Affectation de stratégie afin de confirmer que le FTD sélectionné est renseigné.

Note: La stratégie de contrôle d'accès à la migration aurait un nom avec le préfixe FTD-Mig-ACP. Si aucun FTD n'a été sélectionné à l'étape 2.8, le FTD doit être sélectionné sur le FMC.

2. Poussez la stratégie vers le FTD. Accédez à Déployer > Déploiement > Nom du FTD > Déployer comme indiqué dans l'image.

Bogues connus liés à l'outil de migration Firepower

- ID de bogue Cisco CSCwa56374 - L'outil FMT se bloque sur la page de mappage de zone avec une erreur avec une utilisation élevée de la mémoire

- ID de bogue Cisco CSCvz88730 - Échec de transmission d'interface pour le type d'interface de gestion Port-Channel FTD

- ID de bogue Cisco CSCvx21986 - Migration Port-Channel vers la plate-forme cible - Virtual FTD non pris en charge

- ID de bogue Cisco CSCvy63003 - L'outil de migration doit désactiver la fonctionnalité d'interface si FTD fait déjà partie du cluster

- ID de bogue Cisco CSCvx08199 - La liste de contrôle d'accès doit être fractionnée lorsque la référence de l'application est supérieure à 50

Informations connexes

- Migration du pare-feu ASA vers la protection contre les menaces grâce à l'outil de migration du pare-feu

- Support et documentation techniques - Cisco Systems