FMCを介したFTD（HTTPSおよびSSH）への管理アクセスの設定
はじめに
このドキュメントでは、Firesight Management Center(FMC)を介したFirepower Threat Defense(FTD)（HTTPSおよびSSH）への管理アクセスの設定について説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- FirePOWER の知識
- ASA（適応型セキュリティアプライアンス）に関する基礎知識
- HTTPS(https)およびSSH（セキュアシェル）を介したASAでの管理アクセスに関する知識
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- 適応型セキュリティアプライアンス(ASA)Firepower Threat Defense Image for ASA(5506X/5506H-X/5506W-X、ASA 5508-X、ASA 5516-X)は、ソフトウェアバージョン6.0.1以降で動作します。
- ASA(5515-X、ASA 5525-X、ASA 5545-X、ASA 5555-X、ASA 5585-X)用のASA Firepower Threat Defenseイメージ。ソフトウェアバージョン6.0.1以降で実行されます。
- Firepower Management Center(FMC)バージョン6.0.1以降
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
バックグラウンド情報
Firepower Threat Defense(FTD)の開始時には、ASA関連の設定全体がGUIで実行されます。
ソフトウェアバージョン6.0.1を実行するFTDデバイスでは、system support diagnostic-cliを入力すると、ASA診断CLIにアクセスします。ただし、ソフトウェアバージョン6.1.0を実行するFTDデバイスでは、CLIが統合され、ASAコマンド全体がCLISHで設定されます。
外部ネットワークから直接管理アクセスを取得するには、HTTPSまたはSSHを介して管理アクセスを設定する必要があります。このドキュメントでは、外部からSSHまたはHTTPSを介して管理アクセスを取得するために必要な設定について説明します。
設定
管理アクセスに関連するすべての設定は、図に示すように、デバイスのプラットフォーム設定タブに移動すると設定されます。
次の図に示すように、鉛筆アイコンをクリックしたときに存在するポリシーを編集するか、新しいポリシーボタンをクリックして新しいFTDポリシーを作成し、脅威対策の設定としてタイプを選択します。
図に示すように、このポリシーを適用するFTDアプライアンスを選択し、Saveをクリックします。
管理アクセスの構成
管理アクセスの設定に必要な4つの主要な手順を次に示します。
ステップ 1：FMC GUIを介してFTDインターフェイスにIPを設定します。
SSHまたはHTTPSを介してFTDにアクセスできるインターフェイスでIPを設定します。FTDのInterfacesタブに移動して、既存のインターフェイスを編集します。
診断インターフェイスを設定するには、6つのステップがあります。
ステップ 1：移動先： Device > Device Managementの順に選択します。
ステップ 2デバイスまたはFTD HAクラスタを選択します。
ステップ 3Interfacesタブに移動します。
ステップ 4図に示すように、鉛筆アイコンをクリックして、管理アクセスを取得するようにインターフェイスを設定/編集します。
ステップ 5enableチェックボックスを選択して、インターフェイスを有効にします。Ipv4タブに移動し、IPタイプとしてstaticまたはDHCPを選択します。次に、図に示すように、インターフェイスのIPアドレスを入力して、OKをクリックします。
ステップ 6Saveをクリックし、ポリシーをFTDに展開します。
ステップ 2外部認証を設定します。
外部認証により、ユーザ認証用のActive DirectoryまたはRADIUSサーバへのFTDの統合が容易になります。ローカルに設定されたユーザは診断CLIに直接アクセスできないため、これは必要なステップです。診断CLIおよびGUIには、Lightweight Directory Access Protocol(LDAP)またはRADIUSを介して認証されたユーザだけがアクセスします。
外部認証を設定するには、6つの手順があります。
ステップ 1：移動先： デバイス>プラットフォームの設定
ステップ 2鉛筆アイコンをクリックして既存のポリシーを編集するか、新規ポリシーボタンをクリックしてタイプを選択し、新規FTDポリシーを作成します。 脅威対策の設定。
ステップ 3図に示すように、External Authenticationタブに移動します。
ステップ 4Addをクリックすると、次の図に示すようなダイアログボックスが表示されます。
- HTTPに対して有効にする：このオプションを有効にすると、FTD over HTTPSへのアクセスが提供されます。
- Enable for SSH:SSH経由でFTDへのアクセスを提供する場合は、このオプションを有効にします。
- Name:LDAP接続の名前を入力します。
- Description：外部認証オブジェクトの説明（オプション）を入力します。
- IP address：外部認証サーバのIPを保存するネットワークオブジェクトを入力します。ネットワークオブジェクトが設定されていない場合は、新しいネットワークオブジェクトを作成します。(+)アイコンをクリックします。
- Authentication Method：認証にRADIUSまたはLDAPプロトコルを選択します。
- Enable SSL：認証トラフィックを暗号化するには、このオプションを有効にします。
- Server Type：サーバタイプを選択します。よく知られているサーバタイプは、MS Active Directory、Sun、OpenLDAP、およびNovellです。デフォルトでは、このオプションはサーバタイプを自動検出するように設定されています。
- Port：認証が実行されるポートを入力します。
- Timeout：認証要求のタイムアウト値を入力します。
- Base DN：ベースDNを入力して、ユーザが存在できる範囲を指定します。
- LDAP Scope：検索するLDAPスコープを選択します。スコープは同じレベル内にあるか、サブツリー内を参照します。
- Username:LDAPディレクトリにバインドするユーザ名を入力します。
- Authentication password：このユーザのパスワードを入力します。
- Confirm：パスワードを再入力します。
- 使用可能なインターフェイス:FTDで使用可能なインターフェイスのリストが表示されます。
- 選択されたゾーンとインターフェイス：認証サーバへのアクセスに使用されるインターフェイスのリストが表示されます。
RADIUS認証には、サーバタイプのベースDNまたはLDAPスコープはありません。ポートはRADIUSポート1645です。
Secret:RADIUSの秘密鍵を入力します。
ステップ 5設定が完了したら、OKをクリックします。
ステップ 6ポリシーを保存し、Firepower Threat Defense(FTD)デバイスに展開します。
ステップ 3SSHアクセスを設定します。
SSHは、統合CLIへの直接アクセスを提供します。このオプションを使用して、CLIに直接アクセスし、debugコマンドを実行します。このセクションでは、FTD CLIにアクセスするようにSSHを設定する方法について説明します。
ASAでSSHを設定するには、6つの手順があります
6.0.1デバイスのみ：
これらの手順は、ソフトウェアバージョンが6.1.0未満および6.0.1より大きいFTDデバイスで実行します。6.1.0デバイスでは、これらのパラメータはOSから継承されます。
ステップ 1：Devices > Platform Settingsの順に移動します。
ステップ 2鉛筆のアイコンをクリックしたときに存在するポリシーを編集するか、または新しいポリシーボタンをクリックしてタイプとしてThreat Defense Settingsを選択したときに新しいFirepower Threat Defenseポリシーを作成します。
ステップ 3 Secure Shellセクションに移動します。図に示すように、ページが表示されます。
SSH version:ASAで有効にするSSHバージョンを選択します。 次の3つのオプションがあります。
- 1:SSHバージョン1のみを有効にします。
- 2: SSHバージョン2のみを有効にします。
- 1と2:SSHバージョン1と2の両方を有効にします。
Timeout：必要なSSHタイムアウトを分単位で入力します。
Enable Secure Copy：デバイスがSecure Copy(SCP)接続を許可し、SCPサーバとして動作するように設定するには、このオプションを有効にします。
6.0.1および6.1.0デバイス：
これらの手順は、SSHを介した管理アクセスを特定のインターフェイスと特定のIPアドレスに制限するように設定されています。
ステップ 1：Addをクリックして、次のオプションを設定します。
IPアドレス:SSH経由でCLIへのアクセスが許可されているサブネットを含むネットワークオブジェクトを選択します。ネットワークオブジェクトが存在しない場合は、(+)アイコンをクリックしてネットワークオブジェクトを作成します。
選択したゾーン/インターフェイス：SSHサーバへのアクセスに使用するゾーンまたはインターフェイスを選択します。
ステップ 2次の図に示すように、OKをクリックします。
SSHの設定は、次のコマンドを使用して、統合CLI（6.0.1デバイスのASA Diagnostic CLI）で表示できます。
> show running-config ssh
ssh 172.16.8.0 255.255.255.0 inside
ステップ 3SSHの設定が完了したら、Saveをクリックし、ポリシーをFTDに展開します。
ステップ 4HTTPSアクセスを設定します。
1つ以上のインターフェイスへのHTTPSアクセスを有効にするには、プラットフォーム設定のHTTPセクションに移動します。HTTPSアクセスは、分析のために診断セキュアWebインターフェイスからパケットキャプチャを直接ダウンロードする場合に特に便利です。
HTTPSアクセスを設定するには、6つの手順があります。
ステップ 1：Devices > Platform Settingsの順に移動します。
ステップ 2ポリシーの横にある鉛筆アイコンをクリックして存在するプラットフォーム設定ポリシーを編集するか、New Policyをクリックして新しいFTDポリシーを作成します。タイプとしてFirepower Threat Defenseを選択します。
ステップ 3HTTPセクションに移動すると、次の図に示すようなページが表示されます。
Enable HTTP server:このオプションを有効にすると、FTDでHTTPサーバが有効になります。
ポート：FTDが管理接続を受け入れるポートを選択します。
ステップ4:Addをクリックすると、図に示すようにページが表示されます。
IPアドレス：診断インターフェイスへのHTTPSアクセスを許可するサブネットを入力します。ネットワークオブジェクトが存在しない場合は、ネットワークオブジェクトを作成して(+)オプションを使用します。
選択されたゾーン/インターフェイス:SSHと同様、HTTPS設定には、HTTPS経由でアクセスできるインターフェイスが設定されている必要があります。HTTPS経由でFTDにアクセスするゾーンまたはインターフェイスを選択します。
HTTPSの設定は、統合CLI（6.0.1デバイスのASA Diagnostic CLI）で表示され、次のコマンドを使用します。
> show running-config http
http 172.16.8.0 255.255.255.0 inside
ステップ 5必要な設定が完了したら、OKを選択します。
ステップ 6必要な情報をすべて入力したら、Saveをクリックし、ポリシーをデバイスに展開します。
確認
現在、この設定に使用できる確認手順はありません。
トラブルシュート
FTDの管理アクセスの問題をトラブルシューティングする基本的な手順は次のとおりです。
ステップ 1：インターフェイスが有効で、IPアドレスが設定されていることを確認します。
ステップ 2外部認証が設定どおりに動作し、プラットフォーム設定の「外部認証」セクションで指定した適切なインターフェイスに外部認証が到達できることを確認します。
ステップ 3FTDのルーティングが正確であることを確認します。FTDソフトウェアバージョン6.0.1で、system support diagnostic-cliに移動します。 show routeコマンドとshow route management-onlyコマンドを実行して、それぞれFTDと管理インターフェイスのルートを表示します。
FTDソフトウェアバージョン6.1.0では、統合CLIで直接コマンドを実行します。
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
19-Jul-2022
|
シスコのガイドラインに従って、書式、SEO、修正済みリンク、スタイル要件、機械翻訳、文法などに対する更新が行われました。 |
1.0 |
24-Oct-2016
|
初版 |
フィードバック