内容

概要

前提条件

要件

使用するコンポーネント

背景説明

設定

確認

Firepower移行ツールに関連する既知のバグ

関連情報

概要

このドキュメントでは、FPR4145での適応型セキュリティアプライアンス(ASA)からFirepower Threat Defense(FTD)への移行の例について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- ASAに関する基礎知識

- Firepower Management Center(FMC)およびFTDに関する知識

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- ASA バージョン 9.12(2)

- FTDバージョン6.7.0

- FMCバージョン6.7.0

- Firepower Migration Toolバージョン2.5.0

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

ASA構成ファイルを.cfgまたは.txt形式でエクスポートします。FMCは、FTDが登録された状態で導入する必要があります。

設定

1.図に示すように、software.cisco.comからFirepower Migration Toolをダウンロードします。

2. Firepower Migration Toolのガイドラインと制限セクションの要件を確認し、確認します。

3.大規模な構成ファイルを移行する場合は、システムが移行プッシュ中にスリープ状態にならないようにスリープ設定を構成します。

3.1. Windowsの場合は、コントロールパネルの[電源オプション]に移動します。現在の電源プランの横にある[プラン設定の変更]をクリックします。変更コンピュータをスリープ状態に設定してNeverに変更します。[変更の保存]をクリックします。

3.2. MACの場合は、[システム設定] > [省エネルギー]に移動します。ディスプレイがオフのときにコンピュータが自動的にスリープ状態にならないようにボックスをオンにし、[Turn Display Off afterスライダを[Never]にドラッグします。

注：MACユーザーがダウンロードしたファイルを開こうとすると、この警告ダイアログが表示されます。これを無視して、ステップ4 Aに従います。

4. A. MACの場合 – ターミナルを使用して、次のコマンドを実行します。

4. B. Windowsの場合 – Firepower Migration Toolをダブルクリックして、Google Chromeブラウザで起動します。

5.図に示すように、ライセンスを受け入れます。

6. Firepower Migration Toolのログインページで、[Login with CCO]リンクをクリックして、シングルサインオンのクレデンシャルでCisco.comアカウントにログインします。

注：Cisco.comアカウントがない場合は、Cisco.comのログインページで作成します。次のデフォルトのクレデンシャルでログインします。ユーザ名：adminパスワード：Admin123。

7.ソース構成を選択します。このシナリオでは、Cisco ASA(8.4+)です。

8. ASAに接続できない場合は、[Manual Upload]を選択します。または、ASAから実行コンフィギュレーションを取得し、管理IPとログインの詳細を入力できます。このシナリオでは、手動アップロードが実行されました。

注：このエラーは、ファイルがサポートされていない場合に表示されます。形式をプレーンテキストに変更してください。（拡張子に.cfgが含まれているにもかかわらずエラーが発生します）。

9.ファイルがアップロードされると、図に示すように、要素が解析され、要約が提供されます。

10. ASA設定の移行先となるFMC IPおよびログインクレデンシャルを入力します。ワークステーションからFMC IPに到達できることを確認します。

11. FMCが接続されると、その下の管理対象FTDが表示されます。

12. ASA設定の移行を実行するFTDを選択します。

注：FTDデバイスを選択することをお勧めします。選択しない場合、インターフェイス、ルート、サイト間VPN設定は手動で行う必要があります。

13.図に示すように、移行に必要な機能を選択します。

14. 「変換の開始」を選択し、FTD構成に関連する要素を入力する事前移行を開始します。

15.前に表示した[Download Report]をクリックすると、図に示すように、移行前レポートが表示されます。

16.図に示すように、必要に応じてASAインターフェイスをFTDインターフェイスにマッピングします。

17. FTDインターフェイスにセキュリティゾーンとインターフェイスグループを割り当てます。

A. FMCにセキュリティゾーンとインターフェイスグループがすでに作成されている場合は、必要に応じて選択できます。

B.セキュリティゾーンとインターフェイスグループを作成する必要がある場合は、図に示すように[Add SZ & IG]をクリックします。

C.それ以外の場合は、ASA logical interface_szとASA logical interface_igという名前のセキュリティゾーンとインターフェイスグループをそれぞれ作成するAuto-Createオプションを選択できます。

18.作成された各FTD要素を確認および検証します。図に示すように、アラートは赤で表示されます。

19.ルールを編集する場合は、図に示すように移行アクションを選択できます。ファイルとIPSポリシーを追加するFTD機能は、この手順で実行できます。

注：FMCにすでにファイルポリシーが存在する場合は、図に示すように設定されます。IPSポリシーとデフォルトポリシーについても同様です。

ログの設定は、必要なルールに対して行うことができます。FMC上に存在するsyslogサーバ設定は、この段階で選択できます。

選択したルールアクションは、各ルールに応じて強調表示されます。

20.同様に、NAT、ネットワークオブジェクト、ポートオブジェクト、インターフェイス、ルート、VPNオブジェクト、サイト間VPNトンネル、およびその他の要素は、設定に従って手順ごとに確認できます。

注：事前共有キーはASA設定ファイルにコピーされないため、図に示すようにアラートが通知されます。「アクション」>「事前共有キーの更新」を選択して値を入力します。

21.最後に、図に示すように、画面の右下にある[Validate]アイコンをクリックします。

22.検証が成功したら、図に示すように[Push Configuration]をクリックします。

23.移行が成功すると、表示されるメッセージが画像に表示されます。

注：移行に失敗した場合は、[Download Report]をクリックして、移行後レポートを表示します。

確認

ここでは、設定が正常に機能しているかどうかを確認します。

FMCの検証

1. [Policies] > [Access Control] > [Access Control Policy] > [Policy Assignment]に移動し、選択したFTDが入力されていることを確認します。

注：移行アクセス制御ポリシーの名前には、プレフィックスFTD-Mig-ACPを使用します。ステップ2.8でFTDを選択しなかった場合は、FMCでFTDを選択する必要があります。

2.ポリシーをFTDにプッシュします。図に示すように、[Deploy] > [Deployment] > [FTD Name] > [Deploy]に移動します。

Firepower移行ツールに関連する既知のバグ

- Cisco Bug ID CSCwa56374 - FMTツールがゾーンマッピングページでハングし、メモリ使用率が高い

- Cisco Bug ID CSCvz88730 - FTDポートチャネル管理インターフェイスタイプのインターフェイスプッシュ障害

- Cisco Bug ID CSCvx21986 – ターゲットプラットフォームへのポートチャネル移行 – 仮想FTDはサポートされていません

- Cisco Bug ID CSCvy63003 - FTDがすでにクラスタに属している場合、移行ツールはインターフェイス機能を無効にする必要があります

- Cisco Bug ID CSCvx08199：アプリケーション参照が50を超える場合、ACLを分割する必要があります

関連情報

- ファイアウォール移行ツールによるASAファイアウォールの脅威防御への移行

- テクニカル サポートとドキュメント – Cisco Systems