Risoluzione degli errori di distribuzione di FMC

Problema

In questo documento viene descritto come risolvere i problemi relativi a errori di distribuzione di Centro gestione firewall protetto (FMC). Errore: "Questa regola richiede una licenza Threat, ma almeno un dispositivo non dispone di una licenza Threat."

• Centro gestione firewall protetto (FMC): impossibile distribuire le modifiche di configurazione in un firewall Secure Firewall Threat Defense (FTD).

• Durante i tentativi di distribuzione, il sistema genera un messaggio di errore di convalida che indica: "[Elenco globale di non blocco per DNS] Questa regola richiede una licenza Threat, ma almeno un dispositivo non dispone di una licenza Threat."

• Il problema impedisce la distribuzione delle modifiche della configurazione nel dispositivo di destinazione.

FMC_Deploy_Error.png

Ambiente

• Cisco Secure Firewall Management Center (FMC)

• Cisco Secure Firewall Threat Defense (FTD) senza licenza Threat (IPS)

• Criteri di intelligence per la sicurezza DNS configurati a livello globale

Risoluzione

Passaggio 1. In FMC passare a Oggetti > Security Intelligence > Elenchi e feed DNS:

FMC_Navigate_DNS_Lists_and_Feeds.png

Passaggio 2. Modificare l'oggetto Global-Do-Not-Block-List-for-DNS:

FMC_Edit_DNS_Lists_and_Feeds.png

Passaggio 3. Rimuovere gli oggetti URL dall'elenco e fare clic su Salva:

Remove_URLs_from_List.png

Passaggio 4. Distribuire il criterio.

In alternativa, assegnare una licenza Threat (IPS) a FTD.

In seguito a queste modifiche alla configurazione, la distribuzione nel firewall FTD è stata completata senza che si sia verificato l'errore di convalida della licenza precedente.

Causa

L'errore di distribuzione è stato causato da una mancata corrispondenza tra i requisiti dei criteri di Intelligence per la sicurezza DNS e il livello di licenza disponibile nel dispositivo di destinazione. Il firewall FTD è stato configurato senza la licenza Threat, ma i criteri globali di Security Intelligence del DNS contengono regole che richiedono in modo specifico le funzionalità della licenza Threat.

Per il corretto funzionamento della funzionalità di intelligence di sicurezza DNS con elenchi globali di blocco/non blocco è necessaria una licenza Threat. Quando il CCP ha tentato di distribuire modifiche alla configurazione che includevano queste regole di intelligence di sicurezza DNS in un dispositivo senza la licenza Threat, il sistema ha impedito la distribuzione con l'errore di convalida.

Contenuto correlato

• Requisiti e prerequisiti per Security Intelligence

• Supporto tecnico Cisco e download