内容

はじめに

前提条件、サポート対象プラットフォーム、ライセンス

最低限のソフトウェアおよびハードウェアプラットフォーム

ライセンス

使用するコンポーネント

背景説明

最新情報

FTDマルチインスタンスをサポートするプラットフォーム

3100シリーズと4200シリーズの違い

サポートされる展開

フィーチャの説明とウォークスルー

4200シリーズインスタンスの仕様

最大インスタンスサポート

FTDインスタンスサイズ

Lina（データプレーン）Snortコア割り当て

設定

設定の概要

FMCで4200シリーズをマルチインスタンスモードに変換

単一デバイスの変換

複数のデバイスを変換する（一括変換）

進行状況の監視と完了

FMCシャーシの概要ページ

FMCシャーシ概要ページの概要

シャーシページの概要タブのセクション

インターフェイスの管理

「インタフェース」タブの要約

物理インターフェイス設定の変更

サブインターフェイスの管理

EtherChannelの管理

デバイス設定の同期

Netmodホットスワップ/ブレイクアウトサポート

4200ネイティブはEPMホットスワップおよびブレークアウトをサポート

OIR: EPM確認の有効化/無効化

EPM使用可能完了：インタフェース通知を受信しました

EPMインタフェース変更通知

シャーシページのブレーク/参加オプション

ブレーク/ジョイン後のインターフェイスの変更

インターフェイス変更によるインスタンスへの影響

インスタンス管理

インスタンスの作成

インスタンスの編集

インスタンスの削除

SNMP の設定（SNMP Configuration）

シャーシのインポート/エクスポート

設定のエクスポート

設定のインポート

シャーシのインポート/エクスポートに関する注意事項

シャーシプラットフォーム設定ポリシー

シャーシプラットフォームの設定：DNS

シャーシプラットフォームの設定：SSH

シャーシプラットフォームの設定：SSHアクセスリスト

シャーシプラットフォームの設定：時刻同期

Management CenterのNTPから

カスタムNTPサーバ

シャーシプラットフォームの設定：タイムゾーン

シャーシプラットフォーム設定：Syslog

シャーシプラットフォームの設定：保存と展開

シャーシの登録解除

マルチインスタンスからネイティブモードへの変換

FMC Rest API

ネイティブからマルチインスタンスへの変換用のREST API

シャーシ管理用REST API

Netmods（ネットワークモジュール）管理用REST API

インスタンス管理用REST API

SNMP管理用REST API

要約を取得するREST API

インターフェイス管理用REST API

物理インターフェイスの更新

サブインターフェイスの設定

EtherChannelインターフェイスの設定

REST APIのBreak/Joinインターフェイス

インターフェイスの中断のためのRESTフロー

インターフェイス参加のRESTフロー

デバイスREST APIの同期

トラブルシューティング/診断

FXOSロギング

FMCロギング

シャーシのトラブルシューティング

トラブルシューティングの段階的検証に関する問題例

FMCでのシャーシ障害の自動登録

問題のトラブルシューティング

FMCでのインスタンスの自動登録

問題のトラブルシューティング

FMCでのネイティブデバイス登録

問題のトラブルシューティング

参考資料

インターフェイスオプションとハイアベイラビリティ

インターフェイスオプション

スタンドアロンまたは高可用性

デュアル管理インタフェースの活用

内部追跡情報

はじめに

このドキュメントでは、FTD 7.6を搭載したFirepower 4200ファイアウォールシリーズでコンテナ（マルチインスタンスモード）を設定する方法と関連する詳細について説明します。

前提条件、サポート対象プラットフォーム、ライセンス

最低限のソフトウェアおよびハードウェアプラットフォーム

注意：マルチインスタンスは、どのプラットフォームでもFDMではサポートされていません。

ライセンス

- 機能ライセンスは各インスタンスに手動で割り当てられますが、4200シリーズデバイスごとに機能ごとに1つのライセンスしか消費しません。

- たとえば、3つのFTDインスタンスを持つ4200シリーズの場合、同じFMC上では、使用するインスタンス数に関係なく、1つのURLライセンスのみが必要です。

- すべてのライセンスは、同じFMC上にある場合、コンテナインスタンスごとではなく、4200シリーズデバイスごとに消費されます。したがって、4200シリーズデバイス上のすべてのインスタンスでは、ライセンスの実装のために同じFMCを使用することを推奨します。

使用するコンポーネント

このドキュメントは、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。稼働中のネットワークで作業を行う場合、コマンドの影響について十分に理解したうえで作業してください。

背景説明

- FTDでは、3100モデル（および9300および4100シリーズ）ですでにマルチインスタンス(MI)がサポートされていますが、4200シリーズではサポートされていません。

- 4200モデルは、FMCのネイティブモードでのみサポートされています。

- 4200では、7.4.xで複数のインスタンスを作成する機能はありません。

- 3100のマルチインスタンス(MI)は7.4.1でサポートされています。

- インスタンスはFMCを使用して作成および管理できます（FCMを使用する必要がある9300および4100シリーズとは異なります）。

- FXOSは、MIモードの場合、FMCのシャーシのアップグレードGUIを使用して更新できます。

- MIモードへの変換はCLIを介して行われます。

最新情報

- 4200シリーズでは、MIインスタンスのプロビジョニングと管理を行うことができます。

- FMC:4200シリーズ（MIモード）およびFTDインスタンス向けの単一管理ソリューション

- 3100および4200シリーズデバイスのFMCで、ネイティブデバイスをMIモードに単一または一括で変換可能

- ターゲット市場：エンタープライズ/大規模企業 – インターネットエッジ、データセンター

FTDマルチインスタンスをサポートするプラットフォーム

3100シリーズと4200シリーズの違い

- 4200には2つの管理インターフェイスがあり、一方を管理用、もう一方をイベント用に使用できます。

- Management1/1インターフェイスとManagement1/2インターフェイスはどちらも、すべてのFTDコンテナインスタンスにブートストラップされます。

- 一方または両方の管理インターフェイスをMIモードで使用できます。

- Management1/1（管理とイベントの両方）、または

- Management1/1は管理に使用され、Management1/2はイベントに使用されます。

- Management 1/2インターフェイスを使用してトラフィックをルーティングするには、スタティックルートを定義する必要があります。

- サイズが大きいため、3100よりも多くのインスタンスを4200に作成できます

サポートされる展開

- スタンドアロンFTDインスタンスを使用した4200シリーズ（MIモード）の管理

- HA FTDインスタンスを使用した4200シリーズ（MIモード）の管理*

注:FPR4100シリーズの場合と同様に、FTD-HAの場合、プライマリノードとセカンダリノードは2つの異なる4200シリーズ（MIモード）デバイス上にある必要があります。また、このリリースではMIクラスタリングはサポートされていません。

フィーチャの説明とウォークスルー

7.6.0でのマルチインスタンス設定の変更：

- MIモードでの4200シリーズのサポート

- 3100シリーズのMIモード管理に関連するFMCの変更：

- FMCでのネイティブモードからMIモードへのデバイスの変換

- デバイスがMIモードに変換できるかどうかを確認する準備状況のチェック

- 変換後にFMCでFTDインスタンスを自動登録

4200シリーズインスタンスの仕様

最大インスタンスサポート

インスタンス密度は、次の2つの主な要因によって決まります。

1. 特定のプラットフォーム上のCPUコアの量とディスク容量

2. インスタンスにプロビジョニングするために使用できるリソースの数。最小のインスタンス・サイズには、3つの物理CPU（6つの論理コア）と48 GBのディスク容量が必要です。

FTDインスタンスサイズ

Lina（データプレーン）Snortコア割り当て

4215

4225

4245

インスタンスサイズ

データプレーンコア

Snortコア

データプレーンコア

Snortコア

データプレーンコア

Snortコア

6

2

2

2

2

2

2

8

2

4

2

4

2

4

10

4

4

4

4

4

4

12

4

6

4

6

4

6

14

6

8

6

6

6

6

16

6

8

6

6

8

8

18

8

10

8

8

8

10

20

8

10

8

8

10

10

22

10

12

10

10

10

12

24

12

12

10

10

10

12

26

12

14

12

12

12

12

28

14

14

12

14

12

14

30

14

16

14

14

14

14

32

14

16

14

16

14

16

34

16

16

16

16

16

16

36

16

18

16

18

16

18

38

18

18

18

18

18

18

40

18

20

18

20

18

20

42

20

20

20

20

20

20

44

20

22

20

22

20

22

46

22

22

22

22

22

22

48

22

24

22

24

22

24

50

24

24

24

24

24

24

52

24

26

24

26

24

26

54

26

26

26

26

24

26

56

26

28

26

28

26

28

58

28

28

28

28

28

28

60

28

30

28

39

28

30

62

30

30

30

30

30

30

64

30

32

30

32

66

30

34

30

34

68

32

34

32

34

70

32

36

32

36

72

34

36

34

36

74

34

38

34

38

76

36

38

36

38

78

36

40

36

40

80

38

40

38

40

82

38

42

38

42

84

40

42

40

42

86

40

44

40

44

88

42

44

42

44

90

42

46

42

46

92

44

46

44

46

94

44

48

44

48

96

46

48

46

48

98

46

50

46

50

100

48

50

48

50

102

48

52

48

52

104

50

52

50

52

106

50

54

50

54

108

52

54

52

54

110

52

56

52

56

112

54

56

54

56

114

54

58

54

58

116

56

58

56

58

118

56

60

56

60

120

58

60

58

60

122

58

62

58

62

124

60

62

60

62

128

60

64

130

60

66

132

62

66

134

62

68

136

64

68

138

64

70

140

66

70

142

66

72

144

68

72

146

68

74

148

70

74

150

70

76

152

72

76

154

72

78

156

74

78

158

74

80

254

120

130

設定

設定の概要

1. FMCでの4200シリーズ（ネイティブモード）デバイスの登録

2. 新！FMCで、デバイスを選択し、ネイティブモードからMIモードに変換します

3. 新！MIシャーシは変換後にFMCに自動登録される

4. 物理インターフェイスの更新

5. FTDインスタンスを作成し、インターフェイスを割り当てます。

6. FMCからのポートチャネルとサブインターフェイスの作成/更新/削除

7. プラットフォーム設定の構成

8. デバイスへの設定変更の導入

9. FTDインスタンスがFMCに自動登録

FMCで4200シリーズをマルチインスタンスモードに変換

デフォルトでは、4200はネイティブモードです。

1. デバイスに接続し、マネージャを作成します（すでに文書化されています）。

2. ネイティブデバイスをFMCに登録します（すでに文書化されています）。

3. FMCを使用したマルチインスタンスへの変換

4. FMCで、マルチインスタンスに変換する必要があるデバイスを選択し、変換をトリガーします。1つ以上のデバイスを選択できます。

注：ネイティブモードからMIモードに切り替えると、シャーシ上のすべての設定がリセットされます。MIモードからネイティブモードへの変換は、引き続きCLIを介して行われます。

単一デバイスの変換

1. 変換を開始するには、Devices > Device managementの順に移動します。

2. 選択したデバイスを検証し、Continueをクリックします。

選択したデバイスの検証

3. 準備状況の確認と初期変換：

準備状況のチェック

複数のデバイスを変換する（一括変換）

1. デバイスの選択：

2. 選択の確認：

3. 準備チェックと変換の開始：

進行状況の監視と完了

1. 変換の開始通知：

2. シャーシの自動登録：

3. 変換後の通知：

4200シリーズ（MIモード）デバイスをリストした結果のデバイス管理ページ：

FMCシャーシの概要ページ

FMCシャーシ概要ページの概要

FMCシャーシの概要ページに、4200シリーズ（MIモード）デバイスの完全な要約が表示されます。内容は次のとおりです。

- 利用可能なネットワークモジュールを含む、デバイスの背面パネルの写真

- 障害の概要、重要度

- インターフェイスの概要、ステータス

- FTDインスタンスの概要、ステータス

- ハードウェアの統計情報：FAN、電源、メモリ、CPU使用率、ストレージ

Manageをクリックして、Chassis Overviewに移動します。

シャーシページの概要タブ：

シャーシページの概要タブのセクション

[概要]タブにはセクションがあります。クリックして詳細を表示：

- バックプレーン

- 障害

- インターフェイス

- インスタンス

- ハードウェア統計情報

次の図に示すように、セクションは番号別にマッピングされます。

1. バックプレーンビュー：

2. 障害セクション：

3. インターフェイスセクション：

4. インスタンスセクション：

前の図に、オフラインからオンラインへのインスタンスの移行を示します。

- プロビジョニング後(1)

- インスタンスはオンラインになるまでオフラインである(2)

- 中間状態も反映される(3)

5. ハードウェア統計：

インターフェイスの管理

「インタフェース」タブでサポートされる操作：

- 物理インターフェイスのアップデート

- サブインターフェイスの作成/更新/削除

- EtherChannelインターフェイスの作成/更新/削除

- 同期インターフェイスの設定

- ネットワークモジュールのOIR

- 物理インターフェイスの切断/参加

「インタフェース」タブの要約

[インターフェイス]タブのランディングページには、物理インターフェイス、サブインターフェイス、EtherChannel、EtherChannelサブインターフェイスなど、シャーシ用に管理されているすべてのタイプのインターフェイスが表示されます。

物理インターフェイス設定の変更

物理インターフェイスの次の属性を更新できます。

- 状態（有効/無効）

- ポートタイプ(データ | データ共有)

- 管理デュプレックス

- 管理速度

- 自動ネゴシエーション

サブインターフェイスの管理

Addボタンからサブインターフェイスオプションを選択して、新しいインターフェイスを追加します。

サブインターフェイスの次のアトリビュートを変更できます。

- 親インターフェイス

- ポートタイプ（データ/データ共有）

- サブインターフェイスID

- VLAN ID

EtherChannelの管理

新しいEtherChannelインターフェイスを作成するには、Addボタンの下にある「EtherChannel interface」を使用します。

EtherChannelに設定できる属性は次のとおりです。

- イーサチャネルID

- ポートタイプ（データ/データ共有）

- メンバーインターフェイス

- 管理速度

- 管理デュプレックス

- LACPモード

- LACPレート

- 自動ネゴシエーション

デバイス設定の同期

FMCの設定とデバイスの設定が同期されない場合があります。1つのケースは、ユーザがnetmodを削除または挿入した場合です。このような場合は、同期デバイスを実行できます。

Netmodホットスワップ/ブレイクアウトサポート

ドキュメントで使用されている「ホットスワップ」は、他の内部マニュアルでは活性挿抜(OIR)と呼ばれています。

ネットワークモジュールのイネーブル/ディセーブル時、またはインターフェイスのブレークや参加の際に、即座に配備されます。マルチインスタンスモードは、ネイティブモードの4200シリーズと同じです。

FMCは、受信した応答を現在の設定と比較し、ユーザが確認応答するためのインターフェイス変更通知を作成します。

4200ネイティブはEPMホットスワップおよびブレークアウトをサポート

EPM OIRおよびBreakoutは、スタンドアロンのネイティブ・モードのセキュア・ファイアウォール4200シリーズ・スタンドアロンですでにサポートされています。

4200シリーズEPM OIRおよびBreakout FMCドキュメント：

- https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/hardware/4200/fw-4200-install/m-overview.html

OIR: EPM確認の有効化/無効化

ユーザがモジュールの有効化に切り替えると、誤ってクリックしていないことを確認する警告が表示されます。

EPM使用可能完了：インタフェース通知を受信しました

- EPMを有効にすると、新しいインタフェースがデバイスに関連付けられます。

- FMCは、関連付けられたインターフェイスに関する通知を受信します。

- FMCで、ユーザは変更を受け入れる必要があります。

次のスクリーンショットは、関連付けられたインターフェイスを表示するオプションを示しています。

EPMインタフェース変更通知

「インタフェースのリスト」ページには、EPMが使用可能なときに追加されるインタフェースがリストされます。詳細を確認するには、ここをクリックして[インタフェースの変更]ダイアログを開きます。

クリックすると、保存後に詳細が利用できないことがわかります。

シャーシページのブレーク/参加オプション

Interface Break Confirmation WizardがBreakオプションがトリガーされたときに起動します。

インターフェイスの中断が確認されると、シャーシページにインターフェイスの更新通知が表示されます。

ブレーク/ジョイン後のインターフェイスの変更

Accept Changesをクリックすると、FMCで次のインターフェイスが使用できるようになります。

インターフェイス変更によるインスタンスへの影響

インスタンス管理

Instance Managementでは、次のことが可能です。

- 4200シリーズ（MIモード）デバイス上の既存のすべてのFTDインスタンスとその詳細を表示します。

- 目的のCPUコアとソフトウェアバージョンでFTDインスタンスを作成または更新します。

- 既存のFTDインスタンスを削除します。

- ユーザはFTDポリシー（FTDインスタンスのアクセスポリシーとプラットフォーム設定ポリシー）を選択できます。

- FTDインスタンスがオンラインになったら、それをFMCに自動登録します。

インスタンスの作成

Add Instanceをクリックしてウィザードを起動します。

ステップ1:契約：

ステップ 2：

- インスタンス設定の基本：

- インスタンス構成IP:

ステップ 3：インターフェイス割り当て：

ステップ 4：デバイス管理：

ステップ5:概要：

設定を完了するには、保存して展開します。

導入が成功した後のFTDインスタンスの自動登録：

Management Centerに登録されているインスタンス：

インスタンスの編集

鉛筆アイコンをクリックして、FTDインスタンスを編集します。

ステップ 1：FTDインスタンスの編集：

ステップ 2：インスタンスのインターフェイス割り当ての編集：

ステップ3:編集インスタンスの概要：

インスタンスの削除

SNMP の設定（SNMP Configuration）

SNMPを設定するには、システム設定タブに移動します。

シャーシのインポート/エクスポート

設定のエクスポート

Manage Chassis > System Configuration > Import/Exportの順に移動します。

設定のインポート

Manage Chassis > System Configuration > Import/Exportの順に移動します。

シャーシのインポート/エクスポートに関する注意事項

- シャーシ上の既存の設定はすべて、インポートされたファイル内の設定に置き換えられます。

- 構成がインポートされるプラットフォームソフトウェアのバージョンは、エクスポートされたバージョンと同じである必要があります。

- 設定をインポートするシャーシには、エクスポートの実行時に同じ数のネットワークモジュールがインストールされている必要があります。

- 設定がインポートされるシャーシには、論理デバイス用に同じアプリケーションイメージがインストールされている必要があります。

- アプリケーション固有の構成設定はエクスポートされません。シャーシ構成のみがエクスポートされます。

- FTDインスタンスのバックアップは個別に行う必要があります。

シャーシプラットフォーム設定ポリシー

シャーシプラットフォーム設定ポリシーを使用すると、次のプラットフォーム固有の設定を行うことができます。

- 時刻の同期(NTP)

- DNS

- Syslog

- タイムゾーン

- ユーザは新しい「シャーシプラットフォーム設定」ポリシーを作成し、複数の4200シリーズ（MIモード）シャーシに割り当てることができます。

ヒント：シャーシプラットフォームの設定は、シャーシにのみ適用されます。インスタンスにプラットフォーム設定を適用する場合は、脅威対策プラットフォーム設定ポリシーを使用できます。

1. シャーシプラットフォーム設定ポリシーに移動します。

2. シャーシプラットフォーム設定を作成します。

3. シャーシプラットフォーム設定ポリシーページ：

シャーシプラットフォームの設定：DNS

シャーシプラットフォーム設定ポリシーのDNSセクションでDNSサーバグループをイネーブルにして追加します。

シャーシプラットフォームの設定：SSH

- シャーシプラットフォーム設定ポリシーのSSHセクションでSSHサーバをイネーブルにして追加します。

- SSHクライアントの有効化と追加：

シャーシプラットフォームの設定：SSHアクセスリスト

このタブは、「シャーシプラットフォームの設定」の「SSH」セクションでSSHを有効にした後にのみ表示されます。

- SSHアクセスリストを作成します。

- SSHアクセスリストのネットワークオブジェクトの追加：

- 新しいネットワークオブジェクトを追加します。

- ネットワークオブジェクトの表示：

- ネットワークオブジェクトを選択：

- ネットワークオブジェクトは、次の図に示すように作成できます。

- 追加されたネットワークオブジェクトの表示：

シャーシプラットフォームの設定：時刻同期

時刻の同期は、次の2つの方法で実行できます。

1. Management CenterからのNTP経由

2. カスタムNTPサーバ

Management CenterのNTPから

カスタムNTPサーバ

シャーシプラットフォームの設定：タイムゾーン

タイムゾーンの設定：

シャーシプラットフォーム設定：Syslog

- Syslog Local Destinationsタブ：

- Syslogのリモート接続先タブ：

- Syslog Local Sourcesタブ：

シャーシプラットフォームの設定：保存と展開

シャーシプラットフォーム設定の変更を保存し、展開します。

シャーシの登録解除

FMCからシャーシの登録を解除するには、Devices > Device Management > deleteの順に移動します。

マルチインスタンスからネイティブモードへの変換

現在、FMCはネイティブからマルチインスタンスへの変換のみをサポートしています。したがって、デバイスをネイティブモードに戻すには、ユーザはCLIを使用する必要があります。

ステップ1:FMCからシャーシを登録解除します。

ステップ2：次のCLIコマンドを使用して、4200シリーズのデバイスをネイティブモードに変換します。

firepower-4215# scope system

firepower-4215 /system # set deploymode native

FMC Rest API

FMCパブリックREST APIは、FMCからサポートされるすべての操作で使用できます。

ネイティブからマルチインスタンスへの変換用のREST API

ネイティブ・デバイスがマルチインスタンス変換に対応しているかどうかを確認するためのPOST API:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/operational/switchmodereadinesscheck

サンプルPOSTリクエストJSON:

{

"devices": [

{

"id": "DeviceUUID",

"type": "Device"

}

],

"conversionType": "NATIVE_TO_MULTI_INSTANCE"

}

シングルネイティブからマルチインスタンスへの変換をトリガーするPOST API:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/operational/switchmode

サンプルPOSTリクエストJSON:

{

"items": [

{

"id": "

", "displayName": "Sample_Chassis_Name1" } ], "conversionType": "NATIVE_TO_MULTI_INSTANCE" }

POST APIを使用して一括ネイティブからマルチインスタンスへの変換をトリガー：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/operational/switchmode

サンプルPOSTリクエストJSON:

{

"items": [

{

"id": "

", "displayName": "Sample_Chassis_Name1" }, { "id": "

", "displayName": "Sample_Chassis_Name2" } ], "conversionType": "NATIVE_TO_MULTI_INSTANCE" }

シャーシ管理用REST API

POST管理センターへのシャーシの追加：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis

すべてのシャーシを取得：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/

uuidで特定のシャーシを取得します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{objectId}

uuidによるシャーシの削除：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{objectId}

サンプルPOSTリクエストJSON:

{

"type": "FMCManagedChassis",

"chassisName": "CHASSIS123",

"chassisHostName": "192.168.xx.74",

"regKey": "*****"

}

Netmods（ネットワークモジュール）管理用REST API

uuidでネットワークモジュールを取得します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/networkmodules/{objectId}

すべてのネットワークモジュールを取得：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/networkmodules/

PUT：既存のネットワークモジュールをuuid（大文字と小文字の区別あり）で編集します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/networkmodules/{objectId}

PUT:FXOSからネットワークモジュールのデータを取得し、Management Centerを更新します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/operational/syncnetworkmodule

サンプルGET応答

{

"metadata": {

"timestamp": 1688670821060,

"domain": {

"name": "Global",

"id": "e276abec-e0f2-11e3-8169-************",

"type": "Domain"

}

},

"links": {

"self": "https://u32c01p10-vrouter.cisco.com:32300/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-************/chassis/fmcmanagedchassis/f0f11b69-4229-4025-b0b9-************/networkmodules/0050568A-3F3F-0ed3-0000-0************"

},

"id": "0050568A-3F3F-0ed3-0000-************",

"moduleState": "ENABLED",

"type": "NetworkModule",

"description": "Cisco FPR 8X1G 8X10G 1RU Module",

"model": "FPR-3120",

"operationState": "ok",

"numOfPorts": 16,

"slotId": "1",

"vendor": "Cisco Systems, Inc.",

"name": "Network Module 1"

}

インスタンス管理用REST API

POST管理センターへのシャーシの追加：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/logicaldevices

すべてのシャーシを取得：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/logicaldevices

uuidによる特定のインスタンスの取得：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/logicaldevices/{objectId}

PUT - uuidによるインスタンスの編集：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/logicaldevices/{objectId}

uuidによるシャーシの削除：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/logicaldevices/{objectId}

サンプルPUT要求：

{

"name": "ftd1",

"operationalState": "string",

"deviceRegistration": {

"licenseCaps": [

"MALWARE",

"URLFilter",

"CARRIER",

"PROTECT"

],

"accessPolicy": {

"name": "AC Policy name",

"id": "

", "type": "AccessPolicy" }, "deviceGroup": { "name": "DeviceGroup name", "id": "

", "type": "DeviceGroup" } }, "managementBootstrap": { "ipv4": { "gateway": "192.168.xx.68", "ip": "192.168.xx.78", "mask": "255.255.255.0" }, "adminState": "enable", "firepowerManagerIP": "192.168.xx.32", "permitExpertMode": "yes", "searchDomain": "string", "firewallMode": "Routed", "dnsServers": "192.168.xx.123", "natId": "natId", "registrationKey": "regKey", "adminPassword": "adminPwd", "fqdn": "fqdn" }, "externalPortLink": [ { "name": "Ethernet1/1", "id": "

", "type": "ChassisInterface" }, { "name": "Ethernet2/2.1", "id": "

", "type": "ChassisInterface" } ], "type": "LogicalDevice" }

SNMP管理用REST API

uuidによるSNMP設定の取得：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/snmpsettings/{objectId}

すべてのSNMP設定を取得します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/snmpsettings/

PUT：既存のネットワークモジュールをuuidで編集します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/snmpsettings/{objectId}

サンプルGET応答：

{

"snmpAdminInstance": {

"id": "logicalDeviceUuid",

"type": "LogicalDevice",

"name": "ftd3"

},

"id": "snmpsettingsUUID2",

"type": "SnmpSetting"

}

要約を取得するREST API

このリストには、サマリーをフェッチするためのREST APIに関する詳細情報が含まれています。

- 障害

- インスタンス

- 在庫

- インターフェイス

- アプリ情報

シャーシのGET Faults Summary:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/faultsummary

サンプル応答：

{

"links": {

"self": "

/api/fmc_config/v1/domain/domainUUID/chassis/fmcmanagedchassis/containerUUID/faultsummary?offset=0&limit=25&expanded=true" }, "items": [ { "faultList": [ { "id": 27429, "isAcknowledged": "no", "cause": "device-registration-pending", "gateway": "3::1", "ip": "3::2", "prefixLength": "33" } ], "managementPort": "Management1", "operationalState": "online", "adminState": "enabled", "deployType": "container" } ], "modifiedTime": "2022-07-05T06:39:25Z", "type": "InstanceSummary" ], "paging": { "offset": 0, "limit": 25, "count": 1, "pages": 1 } }

シャーシのGETインスタンスの概要：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/instancesummary

サンプル応答：

{

"links": {

"self": "

/api/fmc_config/v1/domain/domainUUID/chassis/fmcmanagedchassis/containerUUID/instancesummary?offset=0&limit=25&expanded=true" }, "items": [ { "instanceList": [ { "name": "ftdmi2", "startupVersion": "7.3.0.1402", "coresUsed": 6, "ipv4": { "gateway": "192.168.xx.68", "ip": "192.168.xx.78", "mask": "255.255.255.0" }, "ipv6": { "gateway": "3::1", "ip": "3::2", "prefixLength": "33" }, "managementPort": "Management1", "operationalState": "online", "adminState": "enabled", "deployType": "container" } ], "modifiedTime": "2022-07-05T06:39:25Z", "type": "InstanceSummary" } ], "paging": { "offset": 0, "limit": 25, "count": 1, "pages": 1 } }

シャーシのインベントリサマリーの取得：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/inventorysummary

サンプル応答：

{

"links": {

"self": "

/api/fmc_config/v1/domain/domainUUID/chassis/fmcmanagedchassis/containerUUID/inventorysummary?offset=0&limit=25&expanded=true" }, "items": [ { "fanList": [ { "operationalState": "operable", "operability": "operable", "power": "on", "thermalStatus": "ok", "module": 1, "tray": 1, "id": 1, "model": "N/A", "vendor": "N/A" }, { "operationalState": "operable", "operability": "operable", "power": "on", "thermalStatus": "ok", "module": 1, "tray": 1, "id": 2, "model": "N/A", "vendor": "N/A" } ], "powerSupplyList": [ { "id": 2, "operationalState": "operable", "operability": "operable", "serialNumber": "***********", "thermalStatus": "ok", "model": "FPR2K-PWR-AC-400", "vendor": "Cisco Systems, Inc" } ], "processorList": [ { "id": 1, "operationalState": "operable", "operability": "operable", "vendor": "AuthenticAMD", "model": "49 AMD EPYC 7282 16-Core Processor", "type": "CPU", "thermalStatus": "ok" } ], "securityModuleList": [ { "id": 1, "operationalState": "ok", "operability": "operable", "serialNumber": "***********", "vendor": "Cisco Systems, Inc", "model": "FPR-3120", "availableCores": 24, "totalCores": 32 } ], "memoryList": [ { "capacity": 65536, "id": 1, "array": 1, "bank": 0, "model": "HMAA8GR7AJR4N-XN", "operationalState": "operable", "operability": "operable", "performance": "ok", "power": "not-supported", "serialNumber": "********", "thermalStatus": "ok", "vendor": "Hynix" } ], "model": "FPR-3120", "availableCores": 24, "totalCores": 32 } ], "paging": { "offset": 0, "limit": 25, "count": 1, "pages": 1 } }

シャーシのインターフェイスの概要を取得します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/interfacesummary

サンプル応答：

{

"links": {

"self": "

/api/fmc_config/v1/domain/domainUUID/chassis/fmcmanagedchassis/containerUUID/interfacesummary?offset=0&limit=25" }, "items": [ { "interfaceList": [ { "name": "Ethernet1/8", "operationalState": "up", "adminState": "disabled", "portType": "data", "operationalSpeed": "10mbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Ethernet1/7", "operationalState": "up", "adminState": "disabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Ethernet1/6", "operationalState": "up", "adminState": "disabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Ethernet1/3", "operationalState": "up", "adminState": "disabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Ethernet1/2", "operationalState": "up", "adminState": "enabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Ethernet1/1", "operationalState": "up", "adminState": "enabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "PhysicalInterface" }, { "name": "Port-channel48", "operationalState": "up", "adminState": "enabled", "portType": "data", "operationalSpeed": "1gbps", "adminSpeed": "1gbps", "adminDuplex": "fullDuplex", "autoNegotiation": "yes", "mediaType": "rj45", "type": "EtherChannelInterface" } ], "modifiedTime": "2022-07-05T06:39:25Z", "type": "InterfaceSummary" } ], "paging": { "offset": 0, "limit": 25, "count": 1, "pages": 1 } }

シャーシのアプリ情報の取得：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID} /inventorysummary

サンプル応答：

{

"links": {

"self": "

/api/fmc_config/v1/domain/domainUUID/chassis/fmcmanagedchassis/containerUUID/appinfo?offset=0&limit=25&expanded=true" }, "items": [ { "appVersion": "7.4.0.1024", "type": "AppInfo" }, { "appVersion": "7.4.0.1075", "type": "AppInfo" } ], "paging": { "offset": 0, "limit": 25, "count": 1, "pages": 1 } }

インターフェイス管理用REST API

このセクションでは、インターフェイス設定管理用のREST APIについて詳しく説明します。

- インターフェイス設定の変更に使用されるURL

- インターフェイスのブレーク/ジョインに使用されるURL

- 同期デバイスの構成に使用するURL

物理インターフェイスの更新

物理インターフェイスのアップデートをサポートするために、次のURLが導入されました。

すべての物理インターフェイスを取得します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/physicalinterfaces

インターフェイスuuidによって特定の物理インターフェイスを取得します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/physicalinterface s/{interfaceUUID}

インターフェイスuuidでインターフェイスを更新します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/physicalinterface s/{interfaceUUID}

物理インターフェイスモデルは次のようになります。

{

"metadata": {

"supportedSpeed": "TEN_GBPS,ONE_GBPS,TWENTY_FIVE_GBPS,DETECT_SFP",

"mediaType": "sfp",

"sfpType": "none",

"isBreakoutCapable": false,

"isSplitInterface": false,

"timestamp": 1692344434067,

"domain": {

"name": "Global",

"id": "e276abec-e0f2-11e3-8169-**********",

"type": "Domain"

}

},

"type": "PhysicalInterface",

"name": "Ethernet2/2",

"portType": "DATA",

"adminState": "DISABLED",

"hardware": {

"flowControlSend": "OFF",

"fecMode": "AUTO",

"autoNegState": true,

"speed": "DETECT_SFP",

"duplex": "FULL"

},

"LLDP": {

"transmit": false,

"receive": false

},

"id": "*************************************"

}

サブインターフェイスの設定

サブインターフェイスの管理をサポートするために、次のURLが導入されました。

すべてのサブインターフェイスを取得：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/subinterfaces

インターフェイスuuidによって特定のサブインターフェイスを取得します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/subinterfaces/{interfaceUUID}

新しいサブインターフェイスの投稿：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/subinterfaces

インターフェイスuuidによるインターフェイスの更新：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/subinterfaces/{interfaceUUID}

インターフェイスuuidでサブインターフェイスを削除します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/subinterfaces/{interfaceUUID}

サブインターフェイスモデルは次のようになります。

{

"metadata": {

"isBreakoutCapable": false,

"isSplitInterface": false,

"timestamp": 1692536476265,

"domain": {

"name": "Global",

"id": "e276abec-e0f2-11e3-8169-**********",

"type": "Domain"

}

},

"type": "SubInterface",

"name": "Ethernet1/3.3",

"portType": "DATA",

"subIntfId": 3,

"parentInterface": {

"type": "PhysicalInterface",

"id": "00505686-9A51-0ed3-0000-**********",

"name": "Ethernet1/3"

},

"vlanId": 3,

"id": "*************************************"

}

EtherChannelインターフェイスの設定

EtherChannel EtherChannelインターフェイスの管理をサポートするために、次のURLが導入されました。

すべてのetherchannelインターフェイスを取得します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/etherchannelinterfaces/{interfaceUUID}

インターフェイスuuidによって特定のetherchannelインターフェイスを取得します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/etherchannelinterfaces/{interfaceUUID}

新しいEtherChannelインターフェイスのPOST:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/etherchannelinterfaces

インターフェイスuuidによるインターフェイスの更新：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/etherchannelinterfaces/{interfaceUUID}

インターフェイスuuidによってetherchannelインターフェイスを削除します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/etherchannelinterfaces/{interfaceUUID}

EtherChannelインターフェイスモデルは次のようになります。

{

"metadata": {

"supportedSpeed": "HUNDRED_MBPS,TEN_MBPS,ONE_GBPS",

"timestamp": 1692536640172,

"domain": {

"name": "Global",

"id": "e276abec-e0f2-11e3-8169-**********",

"type": "Domain"

}

},

"type": "EtherChannelInterface",

"name": "Port-channel45",

"portType": "DATA",

"etherChannelId": 45,

"selectedInterfaces": [

{

"type": "PhysicalInterface",

"id": "00505686-9A51-0ed3-0000-**********",

"name": "Ethernet1/4"

},

{

"type": "PhysicalInterface",

"id": "00505686-9A51-0ed3-0000-**********",

"name": "Ethernet1/5"

}

],

"lacpMode": "ON",

"lacpRate": "FAST",

"adminState": "DISABLED",

"hardware": {

"flowControlSend": "OFF",

"autoNegState": true,

"speed": "ONE_GBPS",

"duplex": "FULL"

},

"LLDP": {

"transmit": true,

"receive": true

},

"id": "00505686-9A51-0ed3-0000-**********"

}

REST APIのBreak/Joinインターフェイス

4200シリーズのインターフェイスのブレークアウト/参加をサポートするために、次のURLを使用できます。

取得：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/chassisinterfaces/{interfaceUUID}/evaluateoperation

インターフェイスのブレーク/ジョインの実行可能性を評価します。

投稿：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/operational/breakoutinterfaces

インターフェイスを切断する

投稿：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/operational/joininterfaces

破損したインターフェイスのセットを結合します。

インターフェイスの中断のためのRESTフロー

1. fmcmanagedchassisエンドポイントを使用して、FMC管理対象シャーシデバイス(4200)を見つけます。

GET /api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis

FMCが管理するシャーシデバイスのリストと、各デバイスのID、名前、モデルなどの詳細を含むマルチインスタンスデバイスを返します。「マルチインスタンス」デバイスを選択します。

サンプル応答：

{

"id": "fcaa9ca4-85e5-4bb0-b049-**********",

"type": "FMCManagedChassis",

"chassisName": "192.168.0.75",

"chassisMode": "MULTIINSTANCE",

"links": {

"self": "https://u32c01p06-vrouter.cisco.com:22512/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/chassis/fmcmanagedchassis/fcaa9ca4-85e5-4bb0-b049-**********"

}

}

2. interfaces/physicalinterfacesエンドポイントを使用して、インターフェイスがブレイクアウト対応かどうかを確認します。

サブ会議は、「isBreakoutCapable」がtrueでmediaTypeがQSFPの場合にのみ可能です。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/interfacesを取得します

サンプル応答：

{

"metadata": {

"supportedSpeed": "FORTY_GBPS,DETECT_SFP",  >>>>>>>>>

"mediaType": "qsfp",                        >>>>>>>>>

"sfpType": "none",

"isBreakoutCapable": true,                  >>>>>>>>>

"breakoutFactor": "4",                      >>>>>>>>>

"isSplitInterface": false,

"timestamp": 1692344434067,

"domain": {

"name": "Global",

"id": "e276abec-e0f2-11e3-8169-**********",

"type": "Domain"

}

},

"type": "PhysicalInterface",

"name": "Ethernet2/4",

"portType": "DATA",

"adminState": "DISABLED",

"hardware": {

"flowControlSend": "OFF",

"fecMode": "AUTO",

"autoNegState": true,

"speed": "DETECT_SFP",

"duplex": "FULL"

},

"LLDP": {

"transmit": false,

"receive": false

},

"id": "00505686-9A51-0ed3-0000-**********"

}

3. インターフェイスで、evaluateoperationエンドポイントを使用してブレーク操作の実行可能性を評価します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/chassisinterfaces/{interfaceUUID}/evaluateoperationを取得する

応答に警告やエラーがない場合、ユーザはブレーク操作を実行できます。

サンプル応答：

応答にエラーがある場合、ユーザはブレーク操作を実行できません。

{

"operationType": "BREAKOUT",

"interfaceUsages": [

{

"conflictType": "Interface usage on instance(s)",

"severity": "ERROR",              >>>>>>>>>

"description": "Interface Ethernet2/4 can not be split. Remove it from instances [FTD1] and try again.\n"

}

],

"readinessState": "NOT_READY",        >>>>>>>>>

"links": {

"self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/chassis/fmcmanagedchassis/19d967e6-ef81-4f2e-b311-**********/chassisinterfaces/00505686-662F-0ed3-0000-004294969274/evaluateoperation/00505686-662F-0ed3-0000-**********"

},

"type": "ChassisInterface",

"id": "00505686-662F-0ed3-0000-**********"

}

4. インターフェイスがブレークアウト対応で、準備状態が「READY」の場合、ブレークアウトインターフェイスエンドポイントを使用してインターフェイスをブレークします。

POST /api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/operational/breakoutinterfaces

要求：

{

"targetInterfaces": [

{

"id": "***************ed3-0000-004294969276",

"metadata": {

"type": "PhysicalInterface"

}

}

],

"type": "BreakoutInterface"

}

回答：

{

"id": "4294969716",

"type": "TaskStatus",

"links": {

"self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/job/taskstatuses/4294969716"

},

"taskType": "DEVICE_DEPLOYMENT",

"message": "Deployment status for ************************************: SUCCEEDED",

"status": "Interface notification received"

}

5. ブレーク応答のタスクIDを使用してタスク完了を追跡します。タスクのステータスを「Interface Notification received」に設定します。

GET /api/fmc_config/v1/domain/{domainUUID}/job/taskstatuses/{objectId}

{

"metadata": {

"task": {

"id": "4294969699",

"links": {

"self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/job/taskstatuses/4294969699"

}

}

},

"targetInterfaces": [

{

"id": "00505686-662F-0ed3-0000-**********",

"type": "PhysicalInterface"

}

],

"type": "BreakoutInterface"

}

{

"id": "4294969716",

"type": "TaskStatus",

"links": {

"self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/job/taskstatuses/4294969716"

},

"taskType": "DEVICE_DEPLOYMENT",

"message": "Deployment status for ************************************: SUCCEEDED",

"status": "Interface notification received"

}

6. chassisinterfaceeventsエンドポイントを使用して、インターフェイスの変更を取得します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/ fmcmanagedchassis/{containerUUID}/chassisinterfaceeventsを取得します。

サンプル応答：

[

{

"change": "Interface is deleted",

"type": "PhysicalInterface",

"state": "DISASSOCIATED",

"name": "Ethernet2/3"

},

{

"change": "Interface is associated",

"type": "PhysicalInterface",

"state": "ASSOCIATED",

"name": "Ethernet2/3/2"

},

{

"change": "Interface is associated",

"type": "PhysicalInterface",

"state": "ASSOCIATED",

"name": "Ethernet2/3/3"

},

{

"change": "Interface is associated",

"type": "PhysicalInterface",

"state": "ASSOCIATED",

"name": "Ethernet2/3/4"

}

]

7. インターフェイス通知が受信されない場合は、chassisinterfaceeventsエンドポイントを使用してデバイスを同期し、保留中の変更があることを確認します。

/api/fmc_config/v1/domain/{domainUUID}/devices/devicerecords/{containerUUID}/ chassisinterfaceeventsをポストする

要求:：

{

"action": "SYNC_WITH_DEVICE"

}

回答：

{

"action": "SYNC_WITH_DEVICE",

"hasPendingChanges": true

}

8. 通知を受信したら、chassisinterfaceeventsエンドポイントを使用して変更を受け入れます。

/api/fmc_config/v1/domain/{domainUUID}/devices/devicerecords/{containerUUID}/ chassisinterfaceeventsをポストする

要求:：

{

"action":"ACCEPT_CHANGES"

}

9. すべてのシャーシインターフェイスを取得し、インターフェイスエンドポイントを使用して分割された（破損した）インターフェイスを見つけます。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/interfacesを取得します

40Gインターフェイス（eth2/2など）は、4x10Gインターフェイス（eth2/2/1、eth2/2/2、eth2/2/3、およびeth2/2/4）に分割されます

インターフェイス参加のRESTフロー

1. interfaces/physicalinterfacesエンドポイントを使用して、インターフェイスが故障しているかどうかを確認します。

結合操作は、"isSplitInterface"がtrueでmediaTypeがSFPの場合にのみ可能です

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/interfacesを取得します

{

"metadata": {

"supportedSpeed": "TEN_GBPS,DETECT_SFP",

"mediaType": "sfp",

"sfpType": "none",

"isBreakoutCapable": false,

"breakoutFactor": "4",

"isSplitInterface": true,

"timestamp": 1692541554935,

"domain": {

"name": "Global",

"id": "e276abec-e0f2-11e3-8169-**********",

"type": "Domain"

}

},

"type": "PhysicalInterface",

"name": "Ethernet2/3/4",

"portType": "DATA",

"adminState": "DISABLED",

"LLDP": {

"transmit": false,

"receive": false

},

"hardware": {

"flowControlSend": "OFF",

"speed": "DETECT_SFP",

"duplex": "FULL",

"fecMode": "AUTO",

"autoNegState": true

},

"id": "00505686-662F-0ed3-0001-**********"

}

2. 4つの分割インターフェイスの1つでevaluateoperationエンドポイントを使用して、結合操作の実行可能性を評価します。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/ch assisinterfaces/{interfaceUUID}/evaluateoperationを取得する

- 応答に警告またはエラーがない場合、ユーザは参加操作を実行できます。

{

"operationType": "JOIN",

"readinessState": "READY",

"links": {

"self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-**********/chassis/fmcmanagedchassis/19d967e6-ef81-4f2e-b311-**********/chassisinterfaces/00505686-662F-0ed3-0001-**********/evaluateoperation/00505686-662F-0ed3-0001-**********"

},

"type": "ChassisInterface",

"id": "00505686-662F-0ed*******************"

}

- 応答にエラーがある場合、ユーザは参加操作を実行できません。

{

"operationType": "JOIN",

"interfaceUsages": [

{

"conflictType": "Interface used in EtherChannel Configuration",

"severity": "ERROR",

"description": "Interface (Ethernet2/3/4) referred to in Ether Channel Interface (Port-channel32) configurations will be impacted due to the JOIN operation."

}

],

"readinessState": "NOT_READY",

"links": {

"self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-*********/chassis/fmcmanagedchassis/19d967e6-ef81-4f2e-b311-********/chassisinterfaces/00505686-662F-0ed3-0001-692539698200/evaluateoperation/00505686-662F-0ed3-0001-***********"

},

"type": "ChassisInterface",

"id": "00505686-662F-0ed*******************"

}

3. インターフェイスが壊れ、準備状態が「READY」の場合、joininterfacesエンドポイントを使用してインターフェイスに参加します。interface_uuidは、4つの壊れたインターフェイスのIDにすることができます。

POST/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/operational/joininterfaces

要求：

{

"targetInterfaces": [

{

"id": "***************ed3-0001-692539698200",

"type": "PhysicalInterface"

}

],

"type": "JoinInterface"

}

レスポンス：

{

"metadata": {

"task": {

"id": "4294970217",

"links": {

"self": "

/api/fmc_config/v1/domain/e27"***************-8169-6d9ed49b625f/job/taskstatuses/4294970217" } } }, "targetInterfaces": [ { "id": "***************ed3-0001-692539698200", "type": "PhysicalInterface" }, { "id": "***************ed3-0001-692539698201", "type": "PhysicalInterface" }, { "id": "***************ed3-0001-692539698202", "type": "PhysicalInterface" }, { "id": "***************ed3-0001-692539698203", "type": "PhysicalInterface" } ], "type": "JoinInterface" }

4. 加入応答のタスクIDを使用してタスク完了を追跡します。タスクのステータスを「Interface Notification received」に設定します。

GET /api/fmc_config/v1/domain/{domainUUID}/job/taskstatuses/{objectId}

レスポンス：

{

"id": "4294970237",

"type": "TaskStatus",

"links": {

"self": "https://u32c01p06-vrouter.cisco.com:22542/api/fmc_config/v1/domain/e276abec-e0f2-11e3-8169-6d9ed49b625f/job/taskstatuses/4294970237"

},

"taskType": "SSP_EPM_OIR",

"message": "Deployment status for 19d967e6-xxxx-xxxx-xxxx-85ff6cef6d3f: SUCCEEDED",

"status": "Interface notification received"

}

5. chassisinterfaceeventsエンドポイントを使用して、インターフェイスの変更を取得します。

/api/fmc_config/v1/domain/{domainUUID}/devices/devicerecords/{containerUUID}/chassisinterfaceeventsを取得します。

レスポンス：

[

{

"change": "Interface is associated",

"type": "PhysicalInterface",

"state": "ASSOCIATED",

"name": "Ethernet2/3"

},

{

"change": "Interface is deleted",

"type": "PhysicalInterface",

"state": "DISASSOCIATED",

"name": "Ethernet2/3/1"

},

{

"change": "Interface is deleted",

"type": "PhysicalInterface",

"state": "DISASSOCIATED",

"name": "Ethernet2/3/2"

},

{

"change": "Interface is deleted",

"type": "PhysicalInterface",

"state": "DISASSOCIATED",

"name": "Ethernet2/3/3"

},

{

"change": "Interface is deleted",

"type": "PhysicalInterface",

"state": "DISASSOCIATED",

"name": "Ethernet2/3/4"

}

]

6. インターフェイス通知が受信されない場合は、chassisinterfaceeventsエンドポイントを使用してデバイスを同期し、保留中の変更があることを確認します。

/api/fmc_config/v1/domain/{domainUUID}/devices/devicerecords/{containerUUID}/chassisinterfaceeventsをポストする

要求：

{

"action":"SYNC_WITH_DEVICE"

}

回答：

{

"action":"SYNC_WITH_DEVICE",

"hasPendingChanges":true

}

7. 通知を受信したら、chassisinterfaceeventsエンドポイントを使用して変更を受け入れます。

/api/fmc_config/v1/domain/{domainUUID}/devices/devicerecords/{containerUUID}/chassisinterfac eeventsをポストします。

要求：

{

"action":"ACCEPT_CHANGES"

}

8. すべてのシャーシインターフェイスを取得し、参加しているインターフェイスと、インターフェイスエンドポイントを使用している他のインターフェイスを見つけます。

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/interfacesを取得します

たとえば、Joinが10Gインターフェイス(eth2/2/1)で開始されると、応答では40Gインターフェイスeth2/2が使用可能になります。

デバイスREST APIの同期

ネットワークモジュールとインターフェイスの同期をサポートするために、次のURLが導入されました。

POST:

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/chassisinterfaceイベント

ペイロードあり

{"action": "SYNC_WITH_DEVICE"} - >同期をトリガーします

{"action": "ACCEPT_CHANGES"} - >変更の承諾

取得：

/api/fmc_config/v1/domain/{domainUUID}/chassis/fmcmanagedchassis/{containerUUID}/chassisinterfaceイベント

生成された変更イベントを一覧表示します

トラブルシューティング/診断

FXOSロギング

登録が失敗した場合は、次のFXOS CLIを使用して、sftunnel、sfipproxyプロセスが起動しているかどうかを確認できます。

firepower# connect local-mgmt

firepower-4215(local-mgmt)# show processes | include sftunnel grep: (standard input): binary file matches

3323 root 20 0 80328 2024 1544 S 0.0 0.0 0:11.53 /opt/cisco/sftunnel/sfipproxy -d –f /etc/sf/sfipproxy.conf

22066 root 20 0 376880 7140 5944 S 0.0 0.0 0:41.18 /opt/cisco/sftunnel/sftunnel -d -f /etc/sf/sftunnel.conf

CLIに端末コンソールを使用している場合は、次に示すCLIを使用して端末の幅を適切な値に設定することにより、show processesの出力が切り捨てられていないことを確認します。

firepower-4215(local-mgmt)# terminal width 100

SFTunnelプロセスが起動して実行されているにもかかわらず、登録が失敗する場合は、次のコマンドを使用して失敗の原因を調べることができます。

Connect local-mgmtから/opt/cisco/platform/logs/sfmessagesでsyslogメッセージを表示するために、FXOSに新しいCLIを導入

firepower# connect local-mgmt

firepower(local-mgmt)# tail-mgmt-log sfmessages

Dec 9 18:31:17 firepower Ipc [30483]: add ep: 1,0x5613aa0e2fe8 total = 1 Dec 9 18:31:17 firepower Ipc [30483]: add ep: 1,0x5613aa0ec528 total = 2 Dec 9 18:31:17 firepower Ipc [30483]: add ep: 1,0x5613aa0f5ea8 total = 3 Dec 9 18:31:18 firepower SF-IMS[12621]: [12625] sftunneld:SYNC_PROC [INFO] Change in directory /var/sf/sync detected (0 vs 1670610348)

FMCロギング

- デバイスの登録が失敗した場合は、この場所でusmsharedsvcs.logとvmssharedsvcs.logを検索し、文字列「CHASSIS DISCOVERY」または「NATIVE_TO_MULTI_INSTANCE」を検索して、失敗の潜在的な原因を見つけます。

- また、SFTunnelの問題については、/var/log/action_queue.logと/var/sf/messagesを調べてください。

- /var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log /var/opt/CSCOpx/MDC/log/operation/vmssharedsvcs.log

- シャーシの自動登録が失敗した場合、usmsharedsvcs.logとvmssharedsvcs.logを見つけて文字列「CHASSIS DISCOVERY」と「NATIVE_TO_MULTI_INSTANCE」を検索し、失敗の潜在的な原因を見つけます。

- インスタンスの自動登録が失敗した場合は、usmsharedsvcs.logとvmssharedsvcs.logを検索し、文字列「MI_FTD_INSTANCE_AUTO_REGISTRATION」を検索して失敗の原因を見つけます。

- デバイス上で導入エラーが発生した場合は、「導入 – >導入履歴 – >失敗した導入をクリック – >トランスクリプトを開く」に移動します。このファイルには失敗の理由が含まれています。

シャーシのトラブルシューティング

FMCは、デバイス管理ページからのシャーシトラブルシューティング(FPRM)の生成をサポートします。

- FTDデバイスと同様に、シャーシデバイスに使用可能なトラブルシューティングオプションがあります。このオプションでは、シャーシのトラブルシューティングを生成し、ユーザがFMCからトラブルシューティングバンドルをダウンロードできます。

- これにより、シャーシから「show tech-support form」バンドルが収集されます。

シャーシのトラブルシューティングオプションと生成：

シャーシのトラブルシューティングの進行状況とダウンロード：

トラブルシューティングの段階的検証に関する問題例

FMCでのシャーシ障害の自動登録

問題：FMCでシャーシの自動登録が失敗する。

予想される結果：

- FMCから変換が開始されると、FMCで登録解除と自動登録が行われることが想定されます。

実際の結果

- シャーシの自動登録に失敗しました

問題のトラブルシューティング

1. 変換を確認します。

- FMCで変換がトリガーされたことを確認します。

- デバイスにログインし、デバイスがコンテナモードに変換されているかどうかを確認します。

- デバイスが変換されたかどうかを確認するには、次のコマンドを実行します。

firepower# scope sys

firepower /system # show

Systems:

Name Mode Deploy Mode System IP Address System IPv6 Address

---------- ----------- ----------- ----------------- -------------------

firepower Stand Alone Container 192.168.xx.xx ::

2. デバイスマネージャを確認します。

- デバイスマネージャが正しく設定されているかどうかを確認します。

firepower# show device-manager

Device manager:

Name: manager

Hostname: 10.10.xx.xx

NAT id: 3ab4bb1a-d723-11ee-a694-89055xxxxxxx

Registration Status: Completed

Error Msg:

3. 確認するログ：

3.1. /var/opt/CSCOpx/MDC/log/operation/vmssharedsvcs.logおよび/var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.logに移動します。

3.2.ファイル内でキーワード「NATIVE_TO_MI_CONVERSION」および「CHASSIS DISCOVERY」を検索し、障害の原因を見つけます。

FMCでのインスタンスの自動登録

問題：インスタンスの自動登録がFMCで失敗しています。

予想される結果：

- インスタンスがFMCからプロビジョニングされると、FMCに自動登録されます。

実際の結果

- インスタンスの自動登録に失敗しました

問題のトラブルシューティング

- インスタンスの作成後にデプロイがトリガーされたことを確認します。

- 展開が実行されない場合は、デバイスに変更を展開してください。

- 導入に失敗した場合は、「導入履歴 – >トランスクリプト」をクリックします。失敗の理由を確認し、修正して展開を再試行してください。

- インスタンスがインストールされ、稼働状態がオンラインであることを確認します。シャーシのサマリーページを使用して、インスタンスのプロビジョニングのステータスを確認できます。

- 次のコマンドを使用して、インスタンスFTDでSFTunnelが起動し、動作していることを確認します。

ps -ef | grep -i "sftunnel”

- SFTunnelが実行されていない場合は、再起動コマンドを実行してみてください。

pmtool restartById sftunnel

- /var/opt/CSCOpx/MDC/log/operation/vmssharedsvcs.logおよび/var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.logに移動します。

- ファイルでキーワード「MI_FTD_INSTANCE_AUTO_REGISTRATION」を検索し、失敗の理由を見つけます。

FMCでのネイティブデバイス登録

問題：デバイスをネイティブモードに戻した後、FMCでネイティブデバイス登録が失敗する

- ユーザがシャーシ（MIモード）をネイティブモードに戻したが、FMCからシャーシを削除し忘れた場合、デバイスはFMC上でオフラインになります。

- ユーザがこのネイティブデバイスをFMCに再登録しようとすると、登録が失敗します。

問題のトラブルシューティング

- デバイスをネイティブモードに戻す前に、FMCからシャーシエントリが削除されていることを確認します。

- エントリが削除されたら、ネイティブデバイスをFMCに再登録してみます。

参考資料

- 共有インターフェイスに関する情報

https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/threat-defense/use-case/multi-instance-sec-fw/multi-instance-sec-fw.html#shared-interface-scalability-WGUIEF

- 3100マルチインスタンスページ（シスコのサポートサイト）:

https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/threat-defense/use-case/multi-instance-sec-fw/multi-instance-sec-fw.html

インターフェイスオプションとハイアベイラビリティ

インターフェイスオプション

スタンドアロンまたは高可用性

デュアル管理インタフェースの活用

- ネイティブモードの4200と同様に、2つの物理管理ポートは、管理トラフィック用のインターフェイス冗長性をサポートするため、または管理とイベント用の個別のインターフェイスをサポートするために提供されます。

- 9300および4100デバイスと4200シリーズには、デュアル管理インターフェイスがあります。2つ目の管理インターフェイスであるManagement 1/2は、イベント用に使用することを目的としています。

- マルチインスタンス（別名「コンテナ」）モードでは、各インスタンスの脅威対策CLIでこのインターフェイスを設定できます。インスタンスごとに同じネットワーク上のIPアドレスを割り当てます。

- コンテナモードでは、各FTDインスタンスにManagement 1/1とManagement 1/2の両方のインターフェイスが自動的に割り当てられます。

- 2番目の管理インターフェイスは、デフォルトでは無効になっています。

- FMCを使用してManagement1/2を設定することはできません。FTD CLISHを使用して設定する必要があります（9300/4100では、これとは対照的にFXOS CLIで行われます）。目的のIPアドレスタイプ、アドレス、サブネット、およびスタティックルートを指定して、次のコマンドを使用します。

configure network ipv4 manual 192.168.0.xx 255.255.255.0 192.168.0.1 management1

内部追跡情報