Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Configurazione

Verifica

Bug noti relativi allo strumento di migrazione Firepower

Informazioni correlate

Introduzione

Questo documento descrive un esempio di migrazione di Adaptive Security Appliance (ASA) a Firepower Threat Defense (FTD) su FPR4145.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Conoscenze base di ASA

- Conoscenza di Firepower Management Center (FMC) e FTD

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- ASA versione 9.12(2)

- FTD versione 6.7.0

- FMC versione 6.7.0

- Firepower Migration Tool versione 2.5.0

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Esportare il file di configurazione ASA in formato .cfg o .txt. Il CCP deve essere installato con un FTD registrato.

Configurazione

1. Scaricare Firepower Migration Tool da software.cisco.com come mostrato nell'immagine.

2. Esaminare e verificare i requisiti nella sezione Linee guida e limitazioni per lo strumento di migrazione Firepower.

3. Se si prevede di eseguire la migrazione di un file di configurazione di grandi dimensioni, configurare le impostazioni di sospensione in modo che il sistema non passi alla modalità sospensione durante un'operazione push di migrazione.

3.1. Per Windows, selezionare Opzioni risparmio energia nel Pannello di controllo. Fare clic su Modifica impostazioni combinazione accanto alla combinazione per il risparmio di energia corrente. Modifica Sospensione computer impostata su Mai. Fare clic su Salva modifiche.

3.2. Per MAC, passare a Preferenze di sistema > Risparmio energetico. Selezionare la casella accanto a per impedire che il computer si spenga automaticamente quando lo schermo è spento e trascinare Spegni schermo dopo il dispositivo di scorrimento su Mai.

Nota: Questo avviso viene visualizzato quando gli utenti MAC tentano di aprire il file scaricato. Ignorare l'avviso e seguire il passo 4 A.

4. A. Per MAC: utilizzare il terminale ed eseguire questi comandi.

4. B. Per Windows - fare doppio clic su Firepower Migration Tool per avviarlo in un browser Google Chrome.

5. Accettare la licenza come illustrato nell'immagine.

6. Nella pagina di accesso dello strumento di migrazione Firepower, fare clic sul collegamento di accesso con CCO per accedere all'account Cisco.com con le credenziali di accesso singolo.

Nota: Se non si dispone di un account Cisco.com, crearlo nella pagina di accesso Cisco.com. Accedere con le credenziali predefinite seguenti:Nome utente—Password amministratore—Admin123.

7. Selezionare la configurazione di origine. In questo scenario, è Cisco ASA (8.4+).

8. Se non si dispone della connettività all'appliance ASA, selezionare Caricamento manuale. In caso contrario, è possibile recuperare la configurazione in esecuzione dall'ASA e immettere i dettagli dell'IP di gestione e di accesso. In questo scenario, è stato eseguito un caricamento manuale.

Nota: Questo errore viene visualizzato se il file non è supportato. Assicurarsi di modificare il formato in testo normale. (L'errore si verifica nonostante l'estensione .cfg).

9. Una volta caricato il file, gli elementi vengono analizzati fornendo un riepilogo come mostrato nell'immagine:

10. Immettere le credenziali di accesso e l'indirizzo IP del controller di dominio a cui migrare la configurazione ASA. Verificare che l'indirizzo IP del CCP sia raggiungibile dalla postazione di lavoro.

11. Una volta collegato il CCP, vengono visualizzati gli FTD gestiti al suo interno.

12. Scegliere l'FTD su cui eseguire la migrazione della configurazione ASA.

Nota: Si consiglia di selezionare il dispositivo FTD, altrimenti le interfacce, i percorsi e la configurazione della VPN da sito a sito dovranno essere eseguiti manualmente.

13. Selezionare le funzionalità da migrare, come illustrato nell'immagine.

14. Selezionare Avvia conversione per avviare la pre-migrazione che popolerà gli elementi relativi alla configurazione FTD.

15. Fare clic su Scarica report visualizzato in precedenza per visualizzare il report di pre-migrazione, come mostrato nell'immagine.

16. Mappare le interfacce ASA alle interfacce FTD come richiesto, come mostrato nell'immagine.

17. Assegnare zone di sicurezza e gruppi di interfacce alle interfacce FTD.

R. Se nel CCP sono già state create zone di sicurezza e gruppi di interfacce, è possibile selezionarli in base alle esigenze:

B. Se è necessario creare aree di sicurezza e un gruppo di interfacce, fare clic su Add SZ & IG come mostrato nell'immagine.

C. In caso contrario, selezionare l'opzione Auto-Create per creare le zone di sicurezza e i gruppi di interfacce denominati rispettivamente ASA logical interface_sz e ASA logical interface_ig.

18. Esaminare e convalidare ogni elemento FTD creato. Gli avvisi vengono visualizzati in rosso, come mostrato nell'immagine.

19. Le azioni di migrazione possono essere selezionate come mostrato nell'immagine se si desidera modificare qualsiasi regola. In questa fase è possibile aggiungere funzioni FTD e criteri IPS.

Nota: Se i criteri file esistono già nel FMC, verranno popolati come illustrato nell'immagine. Lo stesso vale per i criteri IPS e i criteri predefiniti.

È possibile eseguire la configurazione del registro per le regole richieste. In questa fase è possibile selezionare la configurazione del server Syslog esistente nel FMC.

Le azioni selezionate verranno evidenziate di conseguenza per ogni regola.

20. Analogamente, NAT, oggetto di rete, oggetti porta, interfacce, route, oggetti VPN, tunnel VPN da sito a sito e altri elementi in base alla configurazione possono essere rivisti passo dopo passo.

Nota: L'avviso viene notificato come mostrato nell'immagine per aggiornare la chiave già condivisa, in quanto non viene copiata nel file di configurazione dell'ASA. Selezionare Azioni > Aggiorna chiave già condivisa per immettere il valore.

21. Infine, fare clic sull'icona Convalida nella parte inferiore destra della schermata, come mostrato nell'immagine.

22. Una volta completata la convalida, fare clic su Push Configuration (Configurazione push) come mostrato nell'immagine.

23. Una volta completata la migrazione, il messaggio visualizzato viene visualizzato nell'immagine.

Nota: Se la migrazione non riesce, fare clic su Scarica report per visualizzare il report di post-migrazione.

Verifica

Fare riferimento a questa sezione per verificare che la configurazione funzioni correttamente.

Convalida sul CCP.

1. Per verificare che l'FTD selezionato sia compilato, selezionare Criteri > Controllo di accesso > Criteri di controllo di accesso > Assegnazione criteri.

Nota: Il criterio di controllo dell'accesso alla migrazione dovrebbe avere un nome con il prefisso FTD-Mig-ACP. Se al punto 2.8 non è stato selezionato alcun FTD, l'FTD deve essere selezionato sul CCP.

2. Spostare il criterio nell'FTD. Passare a Distribuisci > Distribuzione > Nome FTD > Distribuisci come mostrato nell'immagine.

Bug noti relativi allo strumento di migrazione Firepower

- ID bug Cisco CSCwa56374 - Lo strumento FMT si blocca sulla pagina di mappatura della zona a causa di un errore dovuto all'elevato utilizzo della memoria

- Cisco ID bug CSCvz88730 - Errore di push dell'interfaccia per il tipo di interfaccia di gestione del canale della porta FTD

- ID bug Cisco CSCvx21986 - Migrazione porta-canale alla piattaforma di destinazione - FTD virtuale non supportato

- ID bug Cisco CSCvy63003 - Lo strumento di migrazione deve disabilitare la funzione di interfaccia se FTD fa già parte del cluster

- ID bug Cisco CSCvx08199 - È necessario suddividere l'ACL quando il riferimento all'applicazione è superiore a 50

Informazioni correlate

- Migrazione di ASA Firewall a Threat Defense con lo strumento di migrazione del firewall

- Documentazione e supporto tecnico – Cisco Systems