Firepowerデバイス登録の設定、確認、トラブルシューティング

ダウンロード オプション

  • PDF     (1.8 MB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (1.5 MB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (1.1 MB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2023 年 8 月 14 日
Document ID:215540

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

    はじめに

    このドキュメントでは、Firepower Threat Defense(FTD)とFirepower Management Center(FMC)間の接続のトラブルシューティング手順について説明します。

    前提条件

    要件

    このドキュメントに関する固有の要件はありません。

    使用するコンポーネント

    このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

    • FTDソフトウェア6.6.xおよび6.5.x
    • FMCソフトウェア6.6.x

    このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。



    背景説明

    このドキュメントでは、管理対象FTDと管理対象FMC間の接続(sftunnel)の操作、検証、およびトラブルシューティングの手順について説明します。

    情報と例はFTDに基づいていますが、概念の大部分はNGIPS（7000/8000シリーズアプライアンス）またはASA55xx上のFirePOWERモジュールにも完全に適用できます。

    FTDは、次の2つの主要な管理モードをサポートしています。

    • FMCによるオフボックス：リモート管理とも呼ばれます。
    • Firepower Device Manager(FDM)またはCisco Defense Orchestrator(CDO)（ローカル管理とも呼ばれる）を介したオンボックス

    リモート管理の場合、FTDは最初に、デバイス登録と呼ばれるプロセスを使用するFMCに登録する必要があります。

    登録が完了すると、FTDとFMCはsftunnelと呼ばれるセキュアトンネルを確立します（この名前はSourcefireトンネルから派生しています）。



    設計オプション

    設計の観点からは、FTD - FMCは同じL3サブネットにある場合があります。

    Figure 1

    または異なるネットワークによって分離されます。

    Figure 2


    192.0.2.0

    注:sftunnelはFTD自体を通過することもできます。この設計は推奨されません。これは、FTDデータプレーンの問題により、FTDとFMC間の通信が中断される可能性があるためです。

    Figure3



    sftunnelを介して交換される情報

    このリストには、sftunnelを介して伝送されるほとんどの情報が含まれています。

    • アプライアンスのハートビート（キープアライブ）
    • 時刻の同期(NTP)
    • イベント（接続、侵入/IPS、ファイル、SSLなど）
    • マルウェアのルックアップ
    • ヘルスイベント/アラート
    • ユーザおよびグループ情報（アイデンティティポリシー用）
    • FTD HAステート情報
    • FTDクラスタの状態情報
    • Security Intelligent(SI)情報/イベント
    • Threat Intelligence Director(TID)の情報/イベント
    • キャプチャされたファイル
    • ネットワーク検出イベント
    • ポリシーバンドル（ポリシーの導入）
    • ソフトウェアアップグレードバンドル
    • ソフトウェアパッチバンドル
    • VDB
    • SRU



    sftunnelによって使用されるプロトコル/ポートは何ですか。

    sftunnelはTCPポート8305を使用します。バックエンドではTLSトンネルです。

    Figure 3b

    FTDのSftunnel TCPポートを変更する方法

    > configure network management-port 8306
Management port changed to 8306.

    注：この場合、FMCのポートも変更する必要があります(Configuration > Management Interfaces > Shared Settings)。これは、同じFMCにすでに登録されている他のすべてのデバイスに影響します。リモート管理ポートのデフォルト設定を保持することを強く推奨しますが、管理ポートがネットワーク上の他の通信と競合する場合は、別のポートを選択できます。管理ポートを変更する場合は、同時に通信する必要がある環境内のすべてのデバイスに対して管理ポートを変更する必要があります。



    sftunnelによって確立される接続の数

    sftunnelは2つの接続（チャネル）を確立します。

    • 制御チャネル
    • イベントチャネル

    Figure 3c


    各チャネルを開始するデバイスはどれか？

    シナリオによって異なります。このドキュメントの残りの部分で説明されているシナリオを確認します。

    設定

    登録の基本

    FTDのCLI

    FTDでは、デバイス登録の基本構文は次のとおりです。

    > configure manager add <FMC Host> <Registration Key> <NAT ID>

    値

    説明
    FMCホスト

    これは次のいずれかになります。

    • ホスト名
    • ipv4アドレス
    • ipv6アドレス
    • DONTRESOLVE（解決）
    登録キー

    これは、デバイス登録に使用される共有秘密の英数字文字列（2 ～ 36文字）です。英数字、ハイフン(-)、アンダースコア(_)、およびピリオド(.)のみ使用できます。
    NAT ID FMCとデバイス間の登録プロセス中に片側でIPアドレスが指定されていない場合に使用される英数字文字列。FMCで同じNAT IDを指定します。

    詳細については、『Cisco Firepower Threat Defenseコマンドリファレンス』を参照してください。



    FMCのUI

    FMCで、Devices > Device Managementの順に移動します。Add > Deviceを選択します。

    Figure 4

    Figure 5

    • HostでFTDのIPアドレスを指定します。
    • [表示名]で、任意の名前を指定します。
    • 登録キーは、FTD CLIで指定されたものと一致している必要があります。
    • 複数のドメインを使用する場合は、FTDを追加するドメインを指定します。
    • Groupで、FTDを追加するデバイスグループを指定します。
    • Access Control Policyで、FTDに導入するセキュリティポリシーを指定します。
    • スマートライセンス：設定された機能に必要なライセンスを指定します。
    • NAT ID：このドキュメントの後半で説明する特定のシナリオで必要です。

    詳細については、『Firepower Management Center Configuration Guide』の「Add Devices to the Firepower Management Center」を参照してください。




    シナリオ 1.FMCおよびFTDのスタティックIPアドレス

    Figure 7

    FTDのCLI

    > configure manager add <FMC Static IP> <Registration Key>

    例：

    > configure manager add 10.62.148.75 Cisco-123
Manager successfully configured.
Please make note of reg_key as this will be required while adding Device in FMC.

    背景情報


    FTDコマンドを入力するとすぐに、FTDはFMCへの接続を20秒ごとに試行しますが、FMCはまだ設定されていないため、TCP RSTで応答します。

    > capture-traffic

Please choose domain to capture traffic from:
  0 - eth0
  1 - Global

Selection? 0

Please specify tcpdump options desired.
(or enter '?' for a list of supported options)
Options: -n host 10.62.148.75
HS_PACKET_BUFFER_SIZE is set to 4.
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
18:53:33.365513 IP 10.62.148.42.46946 > 10.62.148.75.8305: Flags [S], seq 2274592861, win 29200, options [mss 1460,sackOK,TS val 55808298 ecr 0,nop,wscale 7], length 0
18:53:33.365698 IP 10.62.148.75.8305 > 10.62.148.42.46946: Flags [R.], seq 0, ack 2274592862, win 0, length 0
18:53:53.365973 IP 10.62.148.42.57607 > 10.62.148.75.8305: Flags [S], seq 1267517632, win 29200, options [mss 1460,sackOK,TS val 55810298 ecr 0,nop,wscale 7], length 0
18:53:53.366193 IP 10.62.148.75.8305 > 10.62.148.42.57607: Flags [R.], seq 0, ack 1267517633, win 0, length 0
18:54:13.366383 IP 10.62.148.42.55484 > 10.62.148.75.8305: Flags [S], seq 4285875151, win 29200, options [mss 1460,sackOK,TS val 55812298 ecr 0,nop,wscale 7], length 0
18:54:13.368805 IP 10.62.148.75.8305 > 10.62.148.42.55484: Flags [R.], seq 0, ack 4285875152, win 0, length 0

    デバイス登録ステータス：

    > show managers
Host                      : 10.62.148.75
Registration Key          : ****
Registration              : pending
RPC Status                :
Type                      : Manager
Host                      : 10.62.148.75
Registration              : Pending



    FTDはポートTCP 8305をリッスンします。

    admin@vFTD66:~$ netstat -na | grep 8305
tcp        0      0 10.62.148.42:8305       0.0.0.0:*               LISTEN



    FMCのUI

    この場合は、次を指定します。

    • ホスト（FTDのIPアドレス）
    • 表示名
    • 登録キー（FTDで設定されているものと一致する必要があります）
    • アクセス コントロール ポリシー
    • Domain
    • スマートライセンス情報

    Figure 8

    Registerを選択します。

    登録プロセスが開始されます。

    Figure 9


    FMCがポートTCP 8305でリッスンを開始します。

    admin@FMC2000-2:~$ netstat -na | grep 8305
tcp        0      0 10.62.148.75:8305       0.0.0.0:*               LISTEN

    バックグラウンドで、FMCはTCP接続を開始します。

    20:15:55.437434 IP 10.62.148.42.49396 > 10.62.148.75.8305: Flags [S], seq 655146775, win 29200, options [mss 1460,sackOK,TS val 56302505 ecr 0,nop,wscale 7], length 0
20:15:55.437685 IP 10.62.148.75.8305 > 10.62.148.42.49396: Flags [R.], seq 0, ack 655146776, win 0, length 0
20:16:00.463637 ARP, Request who-has 10.62.148.42 tell 10.62.148.75, length 46
20:16:00.463655 ARP, Reply 10.62.148.42 is-at 00:50:56:85:7b:1f, length 28
20:16:08.342057 IP 10.62.148.75.50693 > 10.62.148.42.8305: Flags [S], seq 2704366385, win 29200, options [mss 1460,sackOK,TS val 1181294721 ecr 0,nop,wscale 7], length 0
20:16:08.342144 IP 10.62.148.42.8305 > 10.62.148.75.50693: Flags [S.], seq 1829769842, ack 2704366386, win 28960, options [mss 1460,sackOK,TS val 56303795 ecr 1181294721,nop,wscale 7], length 0
20:16:08.342322 IP 10.62.148.75.50693 > 10.62.148.42.8305: Flags [.], ack 1, win 229, options [nop,nop,TS val 1181294722 ecr 56303795], length 0
20:16:08.342919 IP 10.62.148.75.50693 > 10.62.148.42.8305: Flags [P.], seq 1:164, ack 1, win 229, options [nop,nop,TS val 1181294722 ecr 56303795], length 163
20:16:08.342953 IP 10.62.148.42.8305 > 10.62.148.75.50693: Flags [.], ack 164, win 235, options [nop,nop,TS val 56303795 ecr 1181294722], length 0

    sftunnel Controlチャネルが確立されます。

    admin@FMC2000-2:~$ netstat -na | grep 8305
tcp        0      0 10.62.148.75:8305       0.0.0.0:*               LISTEN
tcp        0      0 10.62.148.75:50693      10.62.148.42:8305       ESTABLISHED

    > sftunnel-status

SFTUNNEL Start Time: Sat Apr 18 20:14:20 2020

        Both IPv4 and IPv6 connectivity is supported
        Broadcast count = 4
        Reserved SSL connections: 0
        Management Interfaces: 1
        eth0 (control events) 10.62.148.42,

***********************

**RUN STATUS****ksec-fs2k-2-mgmt.cisco.com*************
        Cipher used = AES256-GCM-SHA384 (strength:256 bits)
        ChannelA Connected: Yes, Interface eth0
        ChannelB Connected: No
        Registration: Completed.
        IPv4 Connection to peer '10.62.148.75' Start Time: Sat Apr 18 20:16:08 2020


PEER INFO:
        sw_version 6.6.0
        sw_build 90
        Management Interfaces: 1
        eth0 (control events) 10.62.148.75,
        Peer channel Channel-A is valid  type (CONTROL), using 'eth0', connected to '10.62.148.75' via '10.62.148.42'
        Peer channel Channel-B is not valid

    数分後、イベントチャネルが確立されます。イベントチャネルの発信側はいずれかの側にすることができます。この例では、FMCです。

    20:21:15.347587 IP 10.62.148.75.43957 > 10.62.148.42.8305: Flags [S], seq 3414498581, win 29200, options [mss 1460,sackOK,TS val 1181601702 ecr 0,nop,wscale 7], length 0
20:21:15.347660 IP 10.62.148.42.8305 > 10.62.148.75.43957: Flags [S.], seq 2735864611, ack 3414498582, win 28960, options [mss 1460,sackOK,TS val 56334496 ecr 1181601702,nop,wscale 7], length 0
20:21:15.347825 IP 10.62.148.75.43957 > 10.62.148.42.8305: Flags [.], ack 1, win 229, options [nop,nop,TS val 1181601703 ecr 56334496], length 0
20:21:15.348415 IP 10.62.148.75.43957 > 10.62.148.42.8305: Flags [P.], seq 1:164, ack 1, win 229, options [nop,nop,TS val 1181601703 ecr 56334496], length 163

    ランダムな送信元ポートは、接続開始側を示します。

    admin@FMC2000-2:~$ netstat -na | grep 10.62.148.42
tcp        0      0 10.62.148.75:50693      10.62.148.42:8305       ESTABLISHED
tcp        0      0 10.62.148.75:43957      10.62.148.42:8305       ESTABLISHED

    イベントチャネルがFTDによって開始された場合、出力は次のようになります。

    admin@FMC2000-2:~$ netstat -na | grep 10.62.148.42
tcp        0      0 10.62.148.75:58409      10.62.148.42:8305       ESTABLISHED
tcp        0      0 10.62.148.75:8305       10.62.148.42:46167      ESTABLISHED

    FTD側から：

    > sftunnel-status

SFTUNNEL Start Time: Sat Apr 18 20:14:20 2020

        Both IPv4 and IPv6 connectivity is supported
        Broadcast count = 6
        Reserved SSL connections: 0
        Management Interfaces: 1
        eth0 (control events) 10.62.148.42,

***********************

**RUN STATUS****ksec-fs2k-2-mgmt.cisco.com*************
        Cipher used = AES256-GCM-SHA384 (strength:256 bits)
        ChannelA Connected: Yes, Interface eth0
        Cipher used = AES256-GCM-SHA384 (strength:256 bits)
        ChannelB Connected: Yes, Interface eth0
        Registration: Completed.
        IPv4 Connection to peer '10.62.148.75' Start Time: Sat Apr 18 20:16:08 2020


PEER INFO:
        sw_version 6.6.0
        sw_build 90
        Management Interfaces: 1
        eth0 (control events) 10.62.148.75,
        Peer channel Channel-A is valid  type (CONTROL), using 'eth0', connected to '10.62.148.75' via '10.62.148.42'
        Peer channel Channel-B is valid  type (EVENT), using 'eth0', connected to '10.62.148.75' via '10.62.148.42'

    > show managers
Type                      : Manager
Host                      : 10.62.148.75
Registration              : Completed

>




    シナリオ 2.FTD DHCP IPアドレス – FMC固定IPアドレス

    このシナリオでは、FTD管理インターフェイスはDHCPサーバからIPアドレスを取得します。

    Figure 10

    FTDのCLI

    NAT IDを指定する必要があります。

    > configure manager add <FMC Static IP> <Registration Key> <NAT ID>

    例：

    > configure manager add 10.62.148.75 Cisco-123 nat123
Manager successfully configured.
Please make note of reg_key as this will be required while adding Device in FMC.

>

    FTDの登録ステータスは次のとおりです。

    > show managers
Host                      : 10.62.148.75
Registration Key          : ****
Registration              : pending
RPC Status                :
Type                      : Manager
Host                      : 10.62.148.75
Registration              : Pending

    FMCのUI

    この場合は、次を指定します。

    • 表示名
    • 登録キー（FTDで設定されているものと一致する必要があります）
    • アクセス コントロール ポリシー
    • Domain
    • スマートライセンス情報
    • NAT ID(ホストが指定されていない場合は必須)FTDで設定されたものと一致する必要があります)

    Figure 11


    この場合、sftunnelを起動するのは誰ですか。

    FTDは両方のチャネル接続を開始します。

    ftd1:/home/admin# netstat -an | grep 148.75
tcp        0      0 10.62.148.45:40273      10.62.148.75:8305       ESTABLISHED
tcp        0      0 10.62.148.45:39673      10.62.148.75:8305       ESTABLISHED



    シナリオ 3.FTD固定IPアドレス – FMC DHCP IPアドレス


    Figure 12

    > configure manager add DONTRESOLVE Cisco-123 nat123
Manager successfully configured.
Please make note of reg_key as this will be required while adding Device in FMC.

>



    注:DONTRESOLVEを使用する場合は、NAT IDが必要です。

    FMCのUI

    この場合は、次のように指定します。

    • FTDのIPアドレス
    • 表示名
    • 登録キー（FTDで設定されているものと一致する必要があります）
    • アクセス コントロール ポリシー
    • Domain
    • スマートライセンス情報
    • NAT ID（FTDで設定されたものと一致する必要があります）

    Figure13

    登録完了後のFTDは次のようになります。

    > show managers
Type                      : Manager
Host                      : 5a8454ea-8273-11ea-a7d3-d07d71db8f19DONTRESOLVE
Registration              : Completed

    この場合、sftunnelを起動するのは誰ですか。

    • FMCが制御チャネルを開始します。
    • イベントチャネルはどちらの側からも開始できます。
    root@FMC2000-2:/Volume/home/admin# netstat -an | grep 148.42
tcp        0      0 10.62.148.75:50465      10.62.148.42:8305       ESTABLISHED
tcp        0      0 10.62.148.75:48445      10.62.148.42:8305       ESTABLISHED




    シナリオ 4.FMC HAへのFTDの登録

    FTDでは、アクティブFMCのみを設定します。

    > configure manager add 10.62.184.22 cisco123
Manager successfully configured.
Please make note of reg_key as this will be required while adding Device in FMC.


    Figure15

    注:FTDから両方のFMCへのTCPポート8305トラフィックが許可されていることを確認します。

    まず、アクティブFMCへのsftunnelが確立されます。

    > show managers
Type                      : Manager
Host                      : 10.62.184.22
Registration              : Completed

    数分後、FTDはスタンバイFMCへの登録を開始します。

    Figure16

    > show managers
Type                      : Manager
Host                      : 10.62.184.22
Registration              : Completed

Type                      : Manager
Host                      : 10.62.148.249
Registration              : Completed

    FTDバックエンドでは、2つの制御チャネル（各FMCに1つ）と2つのイベントチャネル（各FMCに1つ）が確立されます。

    ftd1:/home/admin# netstat -an | grep 8305
tcp        0      0 10.62.148.42:8305       10.62.184.22:36975      ESTABLISHED
tcp        0      0 10.62.148.42:42197      10.62.184.22:8305       ESTABLISHED
tcp        0      0 10.62.148.42:8305       10.62.148.249:45373     ESTABLISHED
tcp        0      0 10.62.148.42:8305       10.62.148.249:51893     ESTABLISHED



    シナリオ 5.FTD HA

    FTD HAの場合、各ユニットにはFMCへの個別のトンネルがあります。

    Figure17

    両方のFTDを個別に登録し、FMCからFTD HAを形成します。詳細については、次の項目を確認してください。



    シナリオ 6.FTDクラスタ

    FTDクラスタの場合、各ユニットにはFMCへの個別のトンネルがあります。6.3 FMCリリース以降では、FMCに登録する必要があるのはFTDコントロールユニット(CSU)だけです。その後、残りのユニットはFMCによって自動的に検出され、登録されます。

    Figure 18

    注：最適なパフォーマンスを得るために制御ユニットを追加することをお勧めしますが、クラスタの任意のユニットを追加できます。詳細については、「Firepower Threat Defense(FTD)クラスタの作成」を参照してください。




    一般的な問題のトラブルシューティング

    1. FTD CLIの無効な構文

    FTDの構文が無効で、登録の試行に失敗した場合、FMC UIに非常に一般的なエラーメッセージが表示されます。

    Figure 14

    このコマンドでは、キーワードkeyは登録キーで、cisco123はNAT IDです。技術的にはそのようなキーワードはありませんが、キーワードキーを追加することは非常に一般的です。

    > configure manager add 10.62.148.75 key cisco123
Manager successfully configured.
Please make note of reg_key as this will be required while adding Device in FMC.

    推奨処置

    正しい構文を使用し、存在しないキーワードは使用しないでください。

    > configure manager add 10.62.148.75 cisco123
Manager successfully configured.
Please make note of reg_key as this will be required while adding Device in FMC.



    2. FTDとFMC間の登録キーの不一致

    FMCのUIには次のように表示されます。

    Figure 14



    推奨処置

    FTDで/ngfw/var/log/messagesファイルを調べて、認証の問題がないか確認します。

    方法1：過去のログを確認する

    > system support view-files
Type a sub-dir name to list its contents: s

Type the name of the file to view ([b] to go back, [Ctrl+C] to exit)
> messages
Apr 19 04:02:05 vFTD66 syslog-ng[1440]: Configuration reload request received, reloading configuration;
Apr 19 04:02:07 vFTD66 SF-IMS[3116]: [3116] pm:control [INFO] ControlHandler auditing message->type 0x9017, from '', cmd '/ngf
w/usr/bin/perl /ngfw/usr/local/sf/bin/run_hm.pl --persistent', pid 19455 (uid 0, gid 0)
/authenticate

Apr 19 20:17:14 vFTD66 SF-IMS[18974]: [19131] sftunneld:sf_ssl [WARN] Accept: Failed to authenticate peer '10.62.148.75' <- The problem

    方法2：ライブログを確認する

    > expert
ftd1:~$ sudo su
Password:
ftd1::/home/admin# tail -f /ngfw/var/log/messages

    FTDで/etc/sf/sftunnel.confファイルの内容をチェックし、登録キーが正しいことを確認します。

    ftd1:~$ cat /etc/sf/sftunnel.conf | grep reg_key
        reg_key cisco-123;



    3. FTDとFMC間の接続の問題

    FMCのUIには次のように表示されます。

    Figure 14

    推奨される対処法

    • パス内にトラフィック(TCP 8305)をブロックするデバイス（ファイアウォールなど）がないことを確認します。FMC HAの場合は、TCPポート8305へのトラフィックが両方のFMCに対して許可されていることを確認します。
    • キャプチャを取得して、双方向通信を確認します。FTDでcapture-trafficコマンドを使用します。TCP 3ウェイハンドシェイクがあり、TCP FINまたはRSTパケットがないことを確認します。
    > capture-traffic

Please choose domain to capture traffic from:
  0 - eth0
  1 - Global

Selection? 0

Please specify tcpdump options desired.
(or enter '?' for a list of supported options)
Options: -n host 10.62.148.75
HS_PACKET_BUFFER_SIZE is set to 4.
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
20:56:09.393655 IP 10.62.148.42.53198 > 10.62.148.75.8305: Flags [S], seq 3349394953, win 29200, options [mss 1460,sackOK,TS val 1033596 ecr 0,nop,wscale 7], length 0
20:56:09.393877 IP 10.62.148.75.8305 > 10.62.148.42.53198: Flags [R.], seq 0, ack 3349394954, win 0, length 0
20:56:14.397412 ARP, Request who-has 10.62.148.75 tell 10.62.148.42, length 28
20:56:14.397602 ARP, Reply 10.62.148.75 is-at a4:6c:2a:9e:ea:10, length 46

    同様に、FMCでキャプチャを取り、双方向通信を確認します。

    root@FMC2000-2:/var/common# tcpdump -i eth0 host 10.62.148.42 -n -w sftunnel.pcap

    また、pcap形式でキャプチャをエクスポートし、パケットの内容を確認することをお勧めします。

    ftd1:/home/admin# tcpdump -i eth0 host 10.62.148.75 -n -w tunnel.pcap
HS_PACKET_BUFFER_SIZE is set to 4.
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes

    考えられる原因:

    • FMCにFTDデバイスが追加されていません。
    • パス内のデバイス（ファイアウォールなど）は、トラフィックをブロックまたは変更します。
    • パケットがパス内で正しくルーティングされていません。
    • FTDまたはFMCのsftunnelプロセスがダウンしている（シナリオ6を確認）
    • パスにMTUの問題がある（シナリオを確認）。

    キャプチャ分析については、次のドキュメントを確認してください。

    ネットワークの問題を効果的にトラブルシューティングするための Firepower ファイアウォールキャプチャの分析



    4. FTDとFMC間でソフトウェアに互換性がない

    FMCのUIには次のように表示されます。

    Figure 14

    推奨処置

    FTD /ngfw/var/log/messagesファイルを確認します。

    Apr 19 22:08:09 mzafeiro_vFTD66 SF-IMS[12730]: [12830] sftunneld:sf_connections [INFO] Need to send SW version and Published Services to 10.62.148.247
Apr 19 22:08:09 mzafeiro_vFTD66 SF-IMS[12730]: [12830] sftunneld:sf_channel [INFO] >> ChannelState do_dataio_for_heartbeat peer 10.62.148.247 / channelA / CONTROL [ msgSock & ssl_context ] <<
Apr 19 22:08:09 mzafeiro_vFTD66 SF-IMS[12730]: [12830] sftunneld:sf_heartbeat [INFO] Saved SW VERSION from peer 10.62.148.247 (10.10.0.4)
Apr 19 22:08:09 mzafeiro_vFTD66 SF-IMS[12730]: [12830] sftunneld:ssl_mac [WARN] FMC(manager) 10.62.148.247 send unsupported version 10.10.0.4
Apr 19 22:08:09 mzafeiro_vFTD66 SF-IMS[12730]: [12830] sftunneld:sf_connections [INFO] <<<<<<<<<<<<<<<<<<<<<< ShutDownPeer 10.62.148.247 >>>>>>>>>>>>>>>>>>>>>>>>
Apr 19 22:08:09 mzafeiro_vFTD66 SF-IMS[12730]: [12830] sftunneld:stream_file [INFO] Stream CTX destroyed for 10.62.148.247
Apr 19 22:08:09 mzafeiro_vFTD66 SF-IMS[12730]: [12830] sftunneld:sf_channel [INFO] >> ChannelState ShutDownPeer peer 10.62.148.247 / channelA / CONTROL [ msgSock & ssl_context ] <<

    Firepowerの互換性マトリクスを確認します。

    Cisco Firepower 互換性ガイド



    5. FTDとFMCの時間差

    FTD-FMC通信は、2つのデバイス間の時間差の影響を受けます。これは、同じNTPサーバによってFTDとFMCを同期させる設計要件です。

    具体的には、FTDが41xxや93xxなどのプラットフォームにインストールされている場合、親シャーシ(FXOS)から時間設定を取得します。



    推奨処置

    シャーシマネージャ(FCM)とFMCが同じ時刻源（NTPサーバ）を使用していることを確認します



    6. sftunnelプロセスがダウンまたは無効になる

    FTDでは、sftunnelプロセスが登録プロセスを処理します。マネージャの設定前のプロセスのステータスを次に示します。

    > pmtool status
…
sftunnel (system) - Waiting
Command: /ngfw/usr/local/sf/bin/sftunnel -d -f /etc/sf/sftunnel.conf
PID File: /ngfw/var/sf/run/sftunnel.pid
Enable File: /ngfw/etc/sf/sftunnel.conf
CPU Affinity:
Priority: 0
Next start: Mon Apr 20 06:12:06 2020
Required by: sfmgr,sfmbservice,sfipproxy
CGroups: memory=System/ProcessHigh


    登録ステータス：

    > show managers
No managers configured.



    マネージャを設定します。

    > configure manager add 10.62.148.75 cisco123
Manager successfully configured.
Please make note of reg_key as this will be required while adding Device in FMC.

    これでプロセスはアップ状態になります。

    > pmtool status
…
sftunnel (system) - Running 24386
Command: /ngfw/usr/local/sf/bin/sftunnel -d -f /etc/sf/sftunnel.conf
PID File: /ngfw/var/sf/run/sftunnel.pid
Enable File: /ngfw/etc/sf/sftunnel.conf
CPU Affinity:
Priority: 0
Next start: Mon Apr 20 07:12:35 2020
Required by: sfmgr,sfmbservice,sfipproxy
CGroups: memory=System/ProcessHigh(enrolled)

    まれに、プロセスがダウンしたり無効になったりすることがあります。

    > pmtool status
…
sftunnel (system) - User Disabled
Command: /ngfw/usr/local/sf/bin/sftunnel -d -f /etc/sf/sftunnel.conf
PID File: /ngfw/var/sf/run/sftunnel.pid
Enable File: /ngfw/etc/sf/sftunnel.conf
CPU Affinity:
Priority: 0
Next start: Mon Apr 20 07:09:46 2020
Required by: sfmgr,sfmbservice,sfipproxy
CGroups: memory=System/ProcessHigh

    マネージャのステータスは正常です。

    > show managers
Host                      : 10.62.148.75
Registration Key          : ****
Registration              : pending
RPC Status                :

    一方、デバイスの登録は失敗します。

    Figure 14

    FTDでは、/ngfw/var/log/messagesに関連するメッセージは表示されません

    推奨処置

    FTDトラブルシューティングファイルを収集し、Cisco TACに連絡する



    7.セカンダリFMCでFTDの登録保留中

    FMC HAセットアップへの最初のFTD登録後、FTDデバイスがセカンダリFMCに追加されないシナリオがあります。

    推奨処置

    このドキュメントで説明する手順を使用してください。

    CLIを使用したFirepower Management Centerハイアベイラビリティでのデバイス登録の解決

    警告：この手順にはデバイスの登録解除が含まれているため、この手順は煩雑です。これはFTDデバイスの設定に影響します（削除されます）。この手順は、FTDの初期登録とセットアップ中にのみ使用することを推奨します。別のケースでは、FTDおよびFMCのトラブルシューティングファイルを収集し、Cisco TACに連絡してください。

    8.パスMTUにより登録が失敗する

    Cisco TACには、sftunnelトラフィックが小さなMTUのリンクを通過する必要があるシナリオがあります。sftunnelパケットにDon't fragmentビットが設定されているため、フラグメンテーションは許可されません。

    Figure19

    また、/ngfw/var/log/messagesファイルには、次のようなメッセージが表示されます。

    MSGS: 10-09 14:41:11 ftd1 SF-IMS[7428]: [6612] sftunneld:sf_ssl [ERROR] Connect:SSLハンドシェイクが失敗しました



    推奨処置

    フラグメンテーションによるパケット損失があるかどうかを確認するには、FTD、FMC、およびパス内のデバイスでキャプチャを実行します。両端に到着するパケットが表示されるかどうかを確認します。

    FTDでは、FTD管理インターフェイスのMTUを小さくします。デフォルト値は1500バイトです。管理インターフェイスの最大は1500、イベントインターフェイスの最大は9000です。このコマンドは、FTD 6.6リリースで追加されました。

    Cisco Firepower Threat Defenseコマンドリファレンス

    例

    > configure network mtu 1300
MTU set successfully to 1300 from 1500 for eth0
Refreshing Network Config...
Interface eth0 speed is set to '10000baseT/Full'

    検証

    > show network
===============[ System Information ]===============
Hostname                  : ksec-sfvm-kali-3.cisco.com
DNS Servers               : 192.168.200.100
Management port           : 8305
IPv4 Default route
  Gateway                 : 10.62.148.1
  Netmask                 : 0.0.0.0


======================[ eth0 ]======================
State                     : Enabled
Link                      : Up
Channels                  : Management & Events
Mode                      : Non-Autonegotiation
MDI/MDIX                  : Auto/MDIX
MTU                       : 1300
MAC Address               : 00:50:56:85:7B:1F
----------------------[ IPv4 ]----------------------
Configuration             : Manual
Address                   : 10.62.148.42
Netmask                   : 255.255.255.128
Gateway                   : 10.62.148.1
----------------------[ IPv6 ]----------------------


    FTDからのパスMTUを確認するには、次のコマンドを使用できます。

    root@firepower:/home/admin# ping -M do -s 1472 10.62.148.75

    doオプションは、ICMPパケットのdon't fragmentビットを設定します。さらに、1472を指定すると、デバイスは1500バイトを送信します。（IPヘッダー= 20バイト）+（ICMPヘッダー= 8バイト）+（1472バイトのICMPデータ）

    FMCでは、このドキュメントで説明されているように、FMC管理インターフェイスのMTU値を小さくします。

    Firepower Management Center(FMC)管理インターフェイスの設定



    9. Chassis Manager UIからブートストラップが変更された後、FTDが登録解除される

    これはFP41xxおよびFP93xxプラットフォームに適用され、Cisco Bug ID CSCvn45138に記載されています を参照。

    一般に、ディザスタリカバリを行わない限り、Chassis Manager(FCM)からのブートストラップの変更は行わないでください。



    推奨処置

    ブートストラップの変更を行い、条件に一致した（ブートストラップの変更後にFTDが起動している間にFTD-FMC通信が切断された）場合は、FTDを削除し、FMCに再登録する必要があります。




    10. ICMPリダイレクトメッセージが原因でFTDがFMCへのアクセスを失う

    この問題は、登録プロセスに影響を与えたり、登録後にFTD-FMC通信を中断したりする可能性があります。

    この場合の問題は、FTD管理インターフェイスにICMPリダイレクトメッセージを送信し、FTD-FMC通信をブラックホール化するネットワークデバイスです。

    この問題の識別方法

    この場合、10.100.1.1はFMCのIPアドレスです。FTDには、FTDが管理インターフェイスで受信したICMPリダイレクトメッセージによりキャッシュされたルートがあります。

    ftd1:/ngfw/var/common# ip route get 10.100.1.1
10.100.1.1 via 10.10.1.1 dev br1  src 10.10.1.23
    cache


    推奨処置

    手順 1

    ICMPを送信するデバイス（たとえば、アップストリームL3スイッチ、ルータなど）でICMPリダイレクトを無効にします。

    手順 2

    FTD CLIからFTDルートキャッシュをクリアします。

    ftd1:/ngfw/var/common# ip route flush 10.100.1.1

    リダイレクトされない場合は、次のように表示されます。

    ftd1:/ngfw/var/common# ip route get 10.100.1.1
10.100.1.1 via 10.62.148.1 dev eth0  src 10.10.1.23
    cache  mtu 1500 advmss 1460 hoplimit 64


    参考資料



    関連情報



    更新履歴

    改定 発行日 コメント
    3.0
    14-Aug-2023
    共同作成者リストを更新しました。
    2.0
    19-Jul-2022
    現在のシスコガイドラインに適合するように、フォーマット、機械翻訳、ゲルンド、SEO、スタイル要件などに関する記事を更新。
    1.0
    20-May-2020
    初版
    TAC Authored

    シスコ エンジニア提供

    • Mikis Zafeiroudis氏
      Cisco TACエンジニア
    • イルキンガシモフ
      Cisco TACエンジニア

    このドキュメントは役に立ちましたか?

    Feedbackフィードバック

    シスコに問い合わせ

    このドキュメントは次の製品に対応しています