Dépannage de l'erreur de déploiement FMC

Problème

Ce document explique comment dépanner l'erreur d'échec de déploiement de Secure Firewall Management Center (FMC) « Cette règle requiert une licence Threat, mais au moins un périphérique ne dispose pas d'une licence Threat. »

• Le Centre de gestion du pare-feu (FMC) ne parvient pas à déployer les modifications de configuration sur un pare-feu FTD (Secure Firewall Threat Defense).

• Lors des tentatives de déploiement, le système génère un message d'erreur de validation indiquant : "[Liste globale de refus de blocage pour DNS] Cette règle requiert une licence de menace, mais au moins un périphérique ne dispose pas d'une licence de menace."

• Le problème empêche le déploiement de toute modification de configuration sur l’équipement cible.

Erreur_Déploiement_FMC.png

Environnement

• Cisco Secure Firewall Management Center (FMC)

• Cisco Secure Firewall Threat Defense (FTD) sans licence de protection contre les menaces (IPS)

• Stratégies DNS Security Intelligence configurées globalement

Résolution

Étape 1. Sur FMC, accédez à Objects > Security Intelligence > DNS Lists and Feeds :

FMC_Navigate_DNS_Lists_and_Feeds.png

Étape 2. Modification de l’objet Global-Do-Not-Block-List-for-DNS :

FMC_Edit_DNS_Lists_and_Feeds.png

Étape 3. Supprimez le ou les objets URL de la liste et cliquez sur Enregistrer :

Remove_URLs_from_List.png

Étape 4 : déploiement de la stratégie

Vous pouvez également attribuer une licence IPS (Threat) à FTD.

Suite à ces modifications de configuration, le déploiement sur le pare-feu FTD s'est terminé avec succès sans rencontrer l'erreur de validation de licence précédente.

Motif

L'échec du déploiement est dû à une non-correspondance entre les exigences de la stratégie DNS Security Intelligence et le niveau de licence disponible sur le périphérique cible. Le pare-feu FTD a été configuré sans la licence Threat, mais la stratégie globale DNS Security Intelligence contenait des règles qui nécessitaient spécifiquement des fonctionnalités de licence Threat.

La fonctionnalité DNS Security Intelligence avec listes globales de blocage/non-blocage nécessite une licence Threat pour fonctionner correctement. Lorsque le FMC a tenté de déployer des modifications de configuration incluant ces règles DNS Security Intelligence sur un périphérique sans la licence Threat, le système a empêché le déploiement avec l'erreur de validation.

Autres informations utiles

• Configuration requise et prérequise pour Security Intelligence

• Assistance technique de Cisco et téléchargements