内容

はじめに

前提条件

要件

使用するコンポーネント

背景説明

設定

ネットワーク図

タスク 1.FTD ソフトウェアのダウンロード

タスク 2.FXOSとFTDの互換性の確認

タスク 3.firepowerアプライアンスへのFTDイメージのアップロード

タスク 4.FTD管理インターフェイスとデータインターフェイスの設定

タスク 5.新しい論理デバイスの作成と設定

タスク 6.firepower Management Center(FMC)へのFTDの登録

タスク 7.FTDのアップグレード

解決方法

検証

Firepower 2100

FP2100へのFTDのインストール

FP2100でのFTDアップグレード

確認

トラブルシュート

関連情報

はじめに

このドキュメントでは、FirepowerアプライアンスでのFirepower Threat Defense(FTD)ソフトウェアのインストール、アップグレード、および登録について説明します。

前提条件

要件

このドキュメントに関する固有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- FXOS 2.0(1.37)が稼働するCiscoFirepower4140セキュリティアプライアンス

- 6.1.0.330を実行するFirepower Management Center

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

FTDは、次のプラットフォームにインストールできる統合ソフトウェアイメージです。

- ASA5506-X, ASA5506W-X, ASA5506H-X, ASA5508-X, ASA5516-X

- ASA5512-X、ASA5515-X、ASA5525-X、ASA5545-X、ASA5555-X

- Firepowerデバイス(FPR2100、FPR4100、FPR9300)

- VMware（ESXi）

- Amazon Web Services（AWS）

- カーネルベースの仮想マシン(KVM)

- サービス統合型ルータ(ISR)モジュール

設定

ネットワーク図

タスク 1.FTD ソフトウェアのダウンロード

図に示すように、Next-Generation Firewalls(NGFW) > 4100シリーズ>Firepower4140セキュリティアプライアンスの順に移動し、Firepower Threat Defense SoftwareをFirepowerします。

タスク 2.FXOSとFTDの互換性の確認

タスクの要件

シャーシで稼働しているFXOSのバージョンが、セキュリティモジュールにインストールするFTDのバージョンと互換性があることを確認します。

解決方法

ステップ 1：FXOSとFTDの互換性を確認します。

FTDイメージをモジュール/ブレードにインストールする前に、Firepowerシャーシが互換性のあるFXOSソフトウェアを実行していることを確認します。『FXOS 互換性ガイド』で、「論理デバイスの互換性テーブル」を確認します。FTD 6.1.xを実行するために最低限必要なFXOSのバージョンは、表2に示すように1.1(4.95)です。

FXOSイメージがターゲットFTDイメージと互換性がない場合は、まずFXOSソフトウェアをアップグレードします。

FXOSイメージの確認

方式 1.図に示すように、Firepower Chassis Manager(FCM)のUI Overviewページから次の操作を実行します。

方式 2. 図に示すように、FCMのSystem > Updateページに移動します。

方法 3.FXOSのCLIから：

FPR4100# show fabric-interconnect firmware

Fabric Interconnect A:

Running-Kern-Vers: 5.0(3)N2(4.01.35)

Running-Sys-Vers: 5.0(3)N2(4.01.35)

Package-Vers: 2.0(1.37)

Startup-Kern-Vers: 5.0(3)N2(4.01.35)

Startup-Sys-Vers: 5.0(3)N2(4.01.35)

Act-Kern-Status: Ready

Act-Sys-Status: Ready

Bootloader-Vers:

タスク 3.firepowerアプライアンスへのFTDイメージのアップロード

タスクの要件

FPR4100シャーシにFTDイメージをアップロードします。

解決方法

方法1:FCM UIからFTDイメージをアップロードします。

FPR4100 Chassis Managerにログインし、System > Updatesタブに移動します。Upload Imageを選択して、次の図に示すようにファイルをアップロードします。

図に示すように、FTDイメージファイルを参照して選択し、Uploadをクリックします。

エンドユーザライセンス契約書(EULA)に同意します。

検証は図に示すように行われます。

方法2:FXOS CLIからFTDイメージをアップロードする

FTDイメージは、FTP、Secure Copy(SCP)、Secure FTP(SFTP)、またはTFTPサーバからアップロードできます。

イメージ転送を開始する前に、シャーシ管理インターフェイスとリモートサーバ間の接続を確認します。

FPR4100# connect local-mgmt

FPR4100(local-mgmt)# ping 10.229.24.22

PING 10.229.24.22 (10.229.24.22) from 10.62.148.88 eth0: 56(84) bytes of data.

64 bytes from 10.229.24.22: icmp_seq=1 ttl=124 time=0.385 ms

64 bytes from 10.229.24.22: icmp_seq=2 ttl=124 time=0.577 ms

64 bytes from 10.229.24.22: icmp_seq=3 ttl=124 time=0.347 ms

FTDイメージをダウンロードするには、次のスコープに移動し、download imageコマンドを使用します。

FPR4100# scope ssa

FPR4100 /ssa # scope app-software

FPR4100 /ssa/app-software # download image ftp://ftp_username@10.229.24.22/cisco-ftd.6.1.0.330.SPA.csp

Password:

イメージのアップロードの進捗状況をモニタするには、次のコマンドを使用します。

FPR4100 /ssa/app-software # show download-task detail

Downloads for Application Software:

File Name: cisco-ftd.6.1.0.330.SPA.csp

Protocol: Ftp

Server: 10.229.24.22

Port: 0

Userid: ftp

Path:

Downloaded Image Size (KB): 95040

Time stamp: 2016-12-11T20:27:47.856

State: Downloading

Transfer Rate (KB/s): 47520.000000

Current Task: downloading image cisco-ftd.6.1.0.330.SPA.csp from 10.229.24.22(FSM-STAGE:sam:dme:ApplicationDownloaderDownload:Local)

ダウンロードが成功したことを確認するには、次のコマンドを使用します。

FPR4100 /ssa/app-software # show download-task

Downloads for Application Software:

File Name                      Protocol   Server        Port       Userid    State

------------------------------ ---------- ------------- ---------- --------- -----

cisco-ftd.6.1.0.330.SPA.csp    Ftp        10.229.24.22           0 ftp       Downloaded

詳細情報：

KSEC-FPR4100 /ssa/app-software # show download-task fsm status expand

File Name: cisco-ftd.6.1.0.330.SPA.csp

FSM Status:

Affected Object: sys/app-catalogue/dnld-cisco-ftd.6.1.0.330.SPA.csp/fsm

Current FSM: Download

Status: Success

Completion Time: 2016-12-11T20:28:12.889

Progress (%): 100

FSM Stage:

Order  Stage Name                               Status       Try

------ ---------------------------------------- ------------ ---

1      DownloadLocal                            Success      1

2      DownloadUnpackLocal                      Success      1

File Name: Cisco_FTD_SSP_Upgrade-6.1.0-330.sh

シャーシ リポジトリにイメージが表示されます。

KSEC-FPR4100 /ssa/app-software # exit

KSEC-FPR4100 /ssa # show app

Application:

Name       Version    Description Author     Deploy Type CSP Type    Is Default App

---------- ---------- ----------- ---------- ----------- ----------- --------------

asa        9.6.2.3    N/A         cisco      Native      Application No

ftd        6.1.0.330  N/A         cisco      Native      Application No

タスク 4.FTD管理インターフェイスとデータインターフェイスの設定

タスクの要件

firepowerアプライアンスでFTDの管理インターフェイスとデータインターフェイスを設定し、有効にします。

解決方法

新しいインターフェイスを作成するには、FCMにログインし、Interfacesタブに移動します。現在のインターフェイスが表示されます。新しいポートチャネルインターフェイスを作成するには、図に示すように、Add Port Channelボタンを選択します。

ステップ 1：ポートチャネルデータインターフェイスを作成します。

図に示すように、新しいポートチャネルインターフェイスを作成します。

Port Channel ID

10

Type

Data

[Enable]

Yes

Member ID

Ethernet1/1, Ethernet 1/2

Port Channel IDには、1 ～ 47の値を指定します。

注:PortChannel 48はクラスタに使用されます。

検証は図に示すように行われます。

ステップ 2：管理インターフェイスを作成します。

Interfacesタブで、インターフェイスを選択し、Editを選択して、図に示すように管理インターフェイスを設定します。

タスク 5.新しい論理デバイスの作成と設定

タスクの要件

スタンドアロン論理デバイスとしてFTDを作成し、導入します。

解決方法

ステップ 1：論理デバイスを追加します。

図に示すように、Logical Devicesタブに移動し、Add Deviceボタンを選択して新しい論理デバイスを作成します。

次の図に示すように、FTDデバイスを設定します。

Device Name

FTD

Template

Cisco Firepower Threat Defense

Image Version

6.1.0.330

ステップ 2：論理デバイスのブートストラップ。

論理デバイスを作成すると、Provisioning - device_nameウィンドウが表示されます。図に示すように、デバイスアイコンを選択して設定を開始します。

図に示すように、FTDのGeneral Informationタブを設定します。

Management Interface

Ethernet1/3

Address Type

IPv4 only

Management IP

10.62.148.84

ネットワークマスク

255.255.255.128

Network Gateway

10.62.148.1

図に示すように、FTDのSettingsタブを設定します。

登録キー

cisco

Password

Pa$$w0rd

Firepower Management Center の IP

10.62.148.50

Search domains

cisco.com

Firewall Mode

Routed

DNS Servers

192.168.0.1

Fully Qualified Hostname

FTD4100.cisco.com

Eventing Interface

-

契約に同意したことを確認し、OKを選択します。

ステップ 3：データインターフェイスを割り当てます。

Data Ports領域を展開し、FTDに割り当てる各インターフェイスを選択します。このシナリオでは、図に示すように、1つのインターフェイス(Port-channel10)が割り当てられています。

Saveを選択して、設定を終了します。

ステップ 4：インストールプロセスを監視します。

次の図に示すように、FCM UIから監視された場合のFTDのインストールの進行状況を示します。

firepowerCLIからインストールプロセスを監視します。

FPR4100# connect module 1 console

Telnet escape character is '~'.

Trying 127.5.1.1...

Connected to 127.5.1.1.

Escape character is '~'.

CISCO Serial Over LAN:

Close Network Connection to Exit

Cisco FTD: CMD=-start, CSP-ID=cisco-ftd.6.1.0.330__ftd_001_JAD19500F7YHCNL7715, FLAG=''

Cisco FTD starting ...

Registering to process manager ...

VNICs requested: 9,22

Cisco FTD started successfully.

Cisco FTD initializing ...

Firepower-module1>Setting up VNICs ...

Found Firepower management vnic  18.

No Firepower eventing vnic configured.

Updating /ngfw/etc/sf/arc.conf ...

Deleting previous CGroup Configuration ...

Initializing Threat Defense ...                                       [  OK  ]

Starting system log daemon...                                         [  OK  ]

Stopping mysql...

Dec 12 17:12:17 Firepower-module1 SF-IMS[14629]: [14629] pmtool:pmtool [ERROR] Unable to connect to UNIX socket at /ngfw/var/sf/run/PM_Control.sock: No such file or directory

Starting mysql...

Dec 12 17:12:17 Firepower-module1 SF-IMS[14641]: [14641] pmtool:pmtool [ERROR] Unable to connect to UNIX socket at /ngfw/var/sf/run/PM_Control.sock: No such file or directory

Flushing all current IPv4 rules and user defined chains: ...success

Clearing all current IPv4 rules and user defined chains: ...success

Applying iptables firewall rules:

Flushing chain `PREROUTING'

Flushing chain `INPUT'

Flushing chain `FORWARD'

Flushing chain `OUTPUT'

Flushing chain `POSTROUTING'

Flushing chain `INPUT'

Flushing chain `FORWARD'

Flushing chain `OUTPUT'

Applying rules successed

Flushing all current IPv6 rules and user defined chains: ...success

Clearing all current IPv6 rules and user defined chains: ...success

Applying ip6tables firewall rules:

Flushing chain `PREROUTING'

Flushing chain `INPUT'

Flushing chain `FORWARD'

Flushing chain `OUTPUT'

Flushing chain `POSTROUTING'

Flushing chain `INPUT'

Flushing chain `FORWARD'

Flushing chain `OUTPUT'

Applying rules successed

Starting nscd...

mkdir: created directory '/var/run/nscd'                              [  OK  ]

Starting , please wait......complete.

Firstboot detected, executing scripts

Executing S01virtual-machine-reconfigure                              [  OK  ]

Executing S02aws-pull-cfg                                             [  OK  ]

Executing S02configure_onbox                                          [  OK  ]

Executing S04fix-httpd.sh                                             [  OK  ]

Executing S06addusers                                                 [  OK  ]

Executing S07uuid-init                                                [  OK  ]

Executing S08configure_mysql                                          [  OK  ]

************ Attention *********

Initializing the configuration database.  Depending on available

system resources (CPU, memory, and disk), this may take 30 minutes

or more to complete.

************ Attention *********

Executing S09database-init                                            [  OK  ]

Executing S11database-populate                                        [  OK  ]

Executing S12install_infodb                                           [  OK  ]

Executing S15set-locale.sh                                            [  OK  ]

Executing S16update-sensor.pl                                         [  OK  ]

Executing S19cert-tun-init                                            [  OK  ]

Executing S20cert-init                                                [  OK  ]

Executing S21disable_estreamer                                        [  OK  ]

Executing S25create_default_des.pl                                    [  OK  ]

Executing S30init_lights_out_mgmt.pl                                  [  OK  ]

Executing S40install_default_filters.pl                               [  OK  ]

Executing S42install_default_dashboards.pl                            [  OK  ]

Executing S43install_default_report_templates.pl                      [  OK  ]

Executing S44install_default_app_filters.pl                           [  OK  ]

Executing S45install_default_realms.pl                                [  OK  ]

Executing S47install_default_sandbox_EO.pl                            [  OK  ]

Executing S50install-remediation-modules                              [  OK  ]

Executing S51install_health_policy.pl                                 [  OK  ]

Executing S52install_system_policy.pl                                 [  OK  ]

Executing S53change_reconciliation_baseline.pl                        [  OK  ]

Executing S70remove_casuser.pl                                        [  OK  ]

Executing S70update_sensor_objects.sh                                 [  OK  ]

Executing S85patch_history-init                                       [  OK  ]

Executing S90banner-init                                              [  OK  ]

Executing S96grow_var.sh                                              [  OK  ]

Executing S96install_vmware_tools.pl                                  [  OK  ]

********** Attention **********

Initializing the system's localization settings.  Depending on available

system resources (CPU, memory, and disk), this may take 10 minutes

or more to complete.

********** Attention **********

Executing S96localize-templates                                       [  OK  ]

Executing S96ovf-data.pl                                              [  OK  ]

Executing S97compress-client-resources                                [  OK  ]

Executing S97create_platinum_forms.pl                                 [  OK  ]

Executing S97install_cas                                              [  OK  ]

Executing S97install_cloud_support.pl                                 [  OK  ]

Executing S97install_geolocation.pl                                   [  OK  ]

Executing S97install_ssl_inspection.pl                                [  OK  ]

Executing S97update_modprobe.pl                                       [  OK  ]

Executing S98check-db-integrity.sh                                    [  OK  ]

Executing S98htaccess-init                                            [  OK  ]

Executing S98is-sru-finished.sh                                       [  OK  ]

Executing S99correct_ipmi.pl                                          [  OK  ]

Executing S99start-system                                             [  OK  ]

Executing S99z_db_restore                                             [  OK  ]

Executing S99_z_cc-integrity.sh                                       [  OK  ]

Firstboot scripts finished.

Configuring NTP...                                                    [  OK  ]

insmod: ERROR: could not insert module /lib/modules/kernel/drivers/uio/igb_uio.ko: File exists

rw console=ttyS0,38400 loglevel=2 auto kstack=128 reboot=force panic=1 ide_generic.probe_mask=0x1 ide1=noprobe pci=nocrs processor.max_cstate=1 iommu=pt platform=sspxru boot_img=disk0:/fxos-lfbff-k8.9.6.1.150.SPA ciscodmasz=786432 cisconrsvsz=2359296 hugepagesz=1g hugepages=24 ssp_mode=0

Fru Size                         : 512 bytes

Done

VNIC command successful

VNIC command successful

fatattr: FAT_IOCTL_GET_ATTRIBUTES: Inappropriate ioctl for device

fatattr: can't open '/mnt/disk0/.private2': No such file or directory

fatattr: can't open '/mnt/disk0/.ngfw': No such file or directory

Model reconfigure detected, executing scripts

Pinging mysql

Found mysql is running

Executing 45update-sensor.pl                                          [  OK  ]

Executing 55recalculate_arc.pl                                        [  OK  ]

Mon Dec 12 17:16:15 UTC 2016

Starting MySQL...

Pinging mysql

Pinging mysql, try 1

Found mysql is running

Detecting expanded storage...

Running initializeObjects...

Stopping MySQL...

Killing mysqld with pid 32651

Wait for mysqld to exit\c

done

Mon Dec 12 17:16:21 UTC 2016

Starting sfifd...                                                     [  OK  ]

Starting Cisco Firepower 4140 Threat Defense, please wait...No PM running!

...started.

Cisco FTD initialization finished successfully.

... output omitted ...

Reading from flash...

!

Cryptochecksum (changed): b1abfa7e 63faee14 affdddb0 9bc9d8cd

INFO: Power-On Self-Test in process.

.......................................................................

INFO: Power-On Self-Test complete.

INFO: Starting HW-DRBG health test (DRBG 0)...

INFO: HW-DRBG health test (DRBG 0) passed.

INFO: Starting HW-DRBG health test (DRBG 1)...

INFO: HW-DRBG health test (DRBG 1) passed.

INFO: Starting SW-DRBG health test...

INFO: SW-DRBG health test passed.

Firepower-module1>

Firepower-module1>show services status

Services currently running:

Feature | Instance ID | State | Up Since

-----------------------------------------------------------

ftd | 001_JAD19500F7YHCNL7715 | RUNNING | :00:08:07

タスク 6.firepower Management Center(FMC)へのFTDの登録

タスクの要件

FMCにFTDを登録します。

解決方法

ステップ 1：FTDとFMCの間の基本的な接続を確認します。

FTDをFMCに登録する前に、FTDとFMCの間の基本的な接続を確認します。

Firepower-module1>connect ftd

Connecting to ftd console... enter exit to return to bootCLI

> ping system 10.62.148.50

PING 10.62.148.50 (10.62.148.50) 56(84) bytes of data.

64 bytes from 10.62.148.50: icmp_seq=1 ttl=64 time=0.133 ms

64 bytes from 10.62.148.50: icmp_seq=2 ttl=64 time=0.132 ms

64 bytes from 10.62.148.50: icmp_seq=3 ttl=64 time=0.123 ms

ブートストラップの設定により、FTDにはマネージャFMCがすでに設定されています。

> show managers

Host                      : 10.62.148.50

Registration Key          : ****

Registration              : pending

RPC Status                :

ステップ 2：FMCにFTDを追加します。

図に示すように、FMCでDevices> Device Managementタブに移動し、Add... > Add Deviceの順に選択します。

図に示すように、FTDデバイスを設定します。

Registerボタンを選択します。

FMCで、タスクを確認して登録の進行状況を確認します。FMCでは、登録に加えて次の処理も行います。

- FTDデバイスを検出します（現在のインターフェイス設定を取得）。

- 初期ポリシーを展開します。

登録が正常に完了すると、次の図のようになります。

注：バージョン6.1では、オンボックス管理を提供するためにFirepower Device Manager(FDM)が導入されました。firepowerアプライアンスにインストールされたFTDは、FDMでは管理できません。

タスク 7.FTDのアップグレード

タスクの要件

FTDを6.1.0.330から6.1.0.1にアップグレードします。

解決方法

ステップ 1：互換性を確認します。

ターゲットのFTDバージョンがFXOSソフトウェアと互換性があることを確認するには、FXOSリリースノートを確認してください。必要に応じて、まずFXOSソフトウェアをアップグレードします。

ステップ 2：FTDをアップグレードします。

FTDソフトウェアは、FCMではなくFMCによって管理されます。FTDモジュールをアップグレードするには、図に示すように、FMCに接続し、System > Updatespageに移動して、Upload Updateを選択します。

次の図に示すように、FTDモジュールにアップデートをインストールします。

必要に応じて、準備状況の確認を開始できます。

次の図に、準備状況の確認が正常に行われたことを示します。

アップグレードプロセスを開始するには、図に示すように、Installをクリックします。

次の図に示すように、アップグレードにはFTDのリブートが必要です。

FTDのインストールと同様に、FTDのアップグレードプロセスはFMCのUI（タスク）から監視できます。アップグレードの進行状況は、FTD CLI（CLISHモード）から追跡できます。

アップグレードが完了したら、図に示すように、ポリシーをFTDに展開します。

検証

図に示すように、FMCのUIから次の操作を実行します。

図に示すように、FCMのUIから次の操作を実行します。

シャーシのCLIから：

FPR4100# scope ssa

FPR4100 /ssa # show app-instance

Application Name     Slot ID    Admin State     Operational State    Running Version Startup Version Cluster Oper State

-------------------- ---------- --------------- -------------------- --------------- --------------- ------------------

ftd                  1          Enabled         Online               6.1.0.1.53      6.1.0.330       Not Applicable

FTD CLI：

FPR4100# connect module 1 console

Telnet escape character is '~'.

Trying 127.5.1.1...

Connected to 127.5.1.1.

Escape character is '~'.

CISCO Serial Over LAN:

Close Network Connection to Exit

> show version

---------------[ FTD4100.cisco.com ]----------------

Model                     : Cisco Firepower 4140 Threat Defense (76) Version 6.1.0.1 (Build 53)

UUID                      : 22c66994-c08e-11e6-a210-931f3c6bbbea

Rules update version      : 2016-03-28-001-vrt

VDB version               : 275

----------------------------------------------------

>

Firepower 2100

firepower2100のFTDは、FXOSとFTDの両方のイメージを含む1つのバンドルを使用します。したがって、インストールとアップグレードの手順はFP4100/FP9300とは異なります。

FP2100へのFTDのインストール

次の4種類の手順があり、それぞれ大文字と小文字が区別されます。

ケース1：設定を消去し、同じFTDイメージでシステムを再起動します。

ケース2：新しいアプリケーションソフトウェアバージョンでシステムのイメージを変更します。

ケース3：システムのイメージを工場出荷時のデフォルト設定に戻します。

ケース4：システムのイメージを工場出荷時のデフォルト設定に戻します（adminパスワードの回復）。

各ケースとその手順に関連する詳細については、次の項目を確認してください。

再イメージ化手順

ケース2はFTDのインストールケースの大部分に使用されますが、ケース3（フォーマットとROMMONからのブート）は特定のケース（システムが不安定な場合やブートループの場合など）で使用できます。

FP2100でのFTDアップグレード

個別のFXOSバンドルがないため、FP2100でFTDをアップグレードするには、次の手順を実行します。

ステップ 1：互換性を確認します。

FTDがFMC（オフボックス管理）で管理されている場合は、ソフトウェアターゲットFTDリリースノートの「互換性」セクションを確認します。

ステップ 2：必要な場合は、まずFMCをアップグレードします。常に、FTDターゲットソフトウェアと同等またはそれ以上のバージョンのFMCソフトウェアを実行してください。

ステップ 3：FTDをアップグレードします。

FP4100/9300で文書化されている手順と同じ手順を使用します。FTDのアップグレード前に読むべき重要なドキュメント：

- FTDリリースノート（たとえば、バージョン6.3.0.2にアップグレードする場合は、『6.3.0.2リリースノート』を参照して、アップグレードパスおよびすべての関連する詳細を確認してください）

リリース ノート

- FMCアップグレードガイド(章：Firepower Threat Defenseのアップグレード：その他のデバイス)

CiscoFirepowerマネジメントセンターアップグレードガイド、バージョン6.0-7.0

確認

現在、この設定に使用できる確認手順はありません。

トラブルシュート

現在のところ、この設定に関する特定のトラブルシューティング情報はありません。

関連情報

- FXOS 互換性ガイド

- Cisco Firepower NGFW のドキュメント

- テクニカル サポートとドキュメント - Cisco Systems