FTDマネージャのアクセスデータインターフェイスの変更

ダウンロード オプション

  • PDF     (791.3 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (552.5 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (364.8 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2026 年 8 月 7 日
Document ID:226241

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。


はじめに

このドキュメントでは、セキュアファイアウォール脅威対策(FTD)マネージャアクセスデータインターフェイスを変更する手順について説明します。


前提条件

要件

  • 製品の基礎知識
  • FTD管理およびデータインターフェイス上の管理に精通していること。


使用するコンポーネント


このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

  • Cisco Secure Firewall 4200
  • セキュアファイアウォール脅威対策(FTD)10.0.x、7.6.4
  • セキュアファイアウォール管理センター(FMC)10.0.x

初期設定

1. FMCは、アクティブとスタンバイのIPアドレス10.62.113.125と10.62.113.126をそれぞれ使用して、データインターフェイスEthernet1/1とnameif outside1を介して、ハイアベイラビリティ(HA)のFTDを管理します。

Manager access interface is outside1



FTD CLISHでの検証：

> show network management-data-interface

Physical Interface               Name of the Interface
Ethernet1/1              outside1

> show network 
===============[ System Information ]===============
Hostname                  : CSF4215-3
..
DNS from router           : enabled
Management port           : 8305
IPv4 Default route
  Gateway                 : data-interfaces
…
======[ System Information - Data Interfaces ]======
DNS Servers               : 192.0.2.100
Interfaces                : Ethernet1/1

==================[ Ethernet1/1 ]===================

State                     : Enabled
Link                      : Up
Name                      : outside1
MTU                       : 1500
MAC Address               : 40:F4:9F:3D:5A:0E
----------------------[ IPv4 ]----------------------
Configuration             : Manual
Address                   : 10.62.113.125
Netmask                   : 255.255.255.0
Gateway                   : 10.62.113.1
…


2. FTD HAユニットとFMCの間にsftunnel接続が確立されます。

> sftunnel-status-brief 
PEER:fmc.example.org
        SFTunnel Status:-
                Channel A: Connected
                Channel B: Connected
        Peer channel Channel-A is valid  type (CONTROL), using 'tap_nlp', connected to '198.51.100.23' via '169.254.1.3'
        Peer channel Channel-B is valid  type (EVENT), using 'tap_nlp', connected to '198.51.100.23' via '169.254.1.3'
        Registration: Completed.
        IPv4 Connection to peer 'fmc.example.org' Start Time: Fri Jul 17 08:22:31 2026 UTC
        Heartbeat Send Time:     Fri Jul 17 08:52:42 2026 UTC
        Heartbeat Received Time: Fri Jul 17 08:53:03 2026 UTC
        Last disconnect time   : Fri Jul 17 08:22:16 2026 UTC
        Last disconnect reason : Process shutdown due to stop request from PM


3. FTDはDNS解決を使用してFMCに接続します。マネージャは、完全修飾ドメイン名(FQDN)に基づいて設定されます。

> show managers 
Type                      : Manager
Host                      : fmc.example.org
Display name              : fmc.example.org
Version                   : 10.0.1 (Build 1)
Identifier                : 6d86efc4-c095-11f0-9244-48f1a7894b18
Registration              : Completed
Management type           : Configuration and analytics

> show network
===============[ System Information ]===============
Hostname                  : KSEC-FPR-4215-3
Domains                   : example.org
DNS Servers               : 192.0.2.100
DNS from router           : enabled
Management port           : 8305
IPv4 Default route
  Gateway                 : data-interfaces
…

DNSサーバにはoutside1インターフェイスを介して到達できます。



4. sftunnel接続は、Linaエンジン経由で確立されます。

> show conn all port 8305
26 in use, 32 most used
Inspect Snort:
        preserve-connection: 0 enabled, 0 in effect, 0 most enabled, 0 most in effect

TCP nlp_int_tap  10.62.113.125(169.254.1.3):8305 outside1  198.51.100.23:45647, idle 0:00:03, bytes 2129062, flags UIO 
TCP nlp_int_tap  10.62.113.125(169.254.1.3):37141 outside1  198.51.100.23:8305, idle 0:00:04, bytes 148581, flags UxIO



設定手順



目標は、現在のoutside1インターフェイスからターゲットのoutside2インターフェイスにマネージャアクセスを移動することです。アクティブとスタンバイのoutside2のIPアドレスは、それぞれ10.62.114.51/24と10.62.114.52/24です。

FTDバージョン7.7.0以降では、冗長マネージャアクセスデータインターフェイスがサポートされており、複数のマネージャアクセスインターフェイスの設定と導入が可能です。この機能は、7.7.0より前のバージョンではサポートされていません。

このため、特定のステップがスキップされたり、異なるアクションが含まれたりします。 

注意:どの手順でも、FMCからFTDを登録解除/削除しないでください。



  1. FTDへのコンソールアクセスを持つことを推奨します。
  • Firepower 4100/9300の場合は、SSHを使用してシャーシに接続してから、connect module x consoleコマンドを使用してネイティブFTDコンソールに接続できます。ここでxはスロット/セキュリティモジュールIDです。
  • マルチインスタンス(MI)モードでFTDを実行しているFirepower 4100/9300の場合は、SSHを使用してシャーシに接続してから、connect module x telnetコマンドを使用してネイティブFTDコンソールに接続できます。ここでxはスロット/セキュリティモジュールIDです。次に、connect ftd <ftd_id>コマンドを使用してFTDインスタンスに接続します。
  • MIモードのセキュアファイアウォール3100/4200の場合は、SSHを使用してシャーシに接続してから、connect ftd <identifier>コマンドを使用してFTDコンソールに接続できます。
  1. 保留中のポリシーを展開します。
  1. FTDとFMCのバックアップを取ることを強くお勧めします。FTD HAの場合は、両方のユニットのバックアップを取ります。
  1. 必要に応じて、ターゲットインターフェイスのnameif、IPアドレス、セキュリティゾーン、およびその他のインターフェイス関連の設定を構成します。
  1. ターゲットインターフェイスのスタンバイIPアドレスを設定します。
  1. FTDソフトウェアバージョンが7.7.0以降の場合は、ターゲットインターフェイスでマネージャアクセスをイネーブルにし、必要に応じて管理アクセスネットワークを調整します。

Enable manager access interface on outside2



7.7.0よりも前のFTDバージョンは、冗長マネージャアクセスデータインターフェイスをサポートしていないことに注意してください。2番目のマネージャアクセスインターフェイスを設定しようとすると、次のエラーメッセージが表示されます。

Dual manager access interface is unsupported on version earlier than 7.7.0

7.7.0よりも前のFTDバージョンでは、ステップ7と8を必ずスキップしてください。

7. ポリシーを展開し、FTD CLISHの設定を確認します。次の例では、nameif outside2を持つEthernet1/2インターフェイスのIPアドレスはそれぞれ10.62.114.51と10.62.114.52です。

> show ip 
System IP Addresses:
Interface                Name                   IP address      Subnet mask     Method
Ethernet1/1              outside1               10.62.113.125   255.255.255.0   manual <- source interface
Ethernet1/2              outside2               10.62.114.51    255.255.255.0   manual <- target interface
Ethernet1/4              fover                  10.9.0.21       255.255.255.0   unset


outside2インターフェイスがsftunnel設定に追加されます。

> show running-config sftunnel
sftunnel interface outside2 <- target interface
sftunnel interface outside1 <- source interface
sftunnel port 8305
sftunnel route-map FMC_GEN_19283746_RBD_DUAL_WAN_RMAP_91827346


ネットワークアドレス変換(NAT)テーブルにはさらに多くのルールがインストールされていますが、outside1インターフェイスを持つルールが使用されています。

> show nat detail
Manual NAT Policies Implicit (Section 0)
1 (nlp_int_tap) to (outside1) source static nlp_server__sftunnel_0.0.0.0_intf5 interface  destination static 0_0.0.0.0_5 0_0.0.0.0_5 service tcp 8305 8305
    translate_hits = 1448, untranslate_hits = 1448
    Source - Origin: 169.254.1.3/32, Translated: 10.62.113.125/24
    Destination - Origin: 0.0.0.0/0, Translated: 0.0.0.0/0
    Service - Protocol: tcp Real: 8305 Mapped: 8305
2 (nlp_int_tap) to (outside2) source static nlp_server__sftunnel_0.0.0.0_intf6 interface  destination static 0_0.0.0.0_9 0_0.0.0.0_9 service tcp 8305 8305 
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: 169.254.1.3/32, Translated: 10.62.114.51/24
    Destination - Origin: 0.0.0.0/0, Translated: 0.0.0.0/0
    Service - Protocol: tcp Real: 8305 Mapped: 8305
3 (nlp_int_tap) to (outside1) source static nlp_server__sftunnel_::_intf5 interface ipv6  destination static 0_::_6 0_::_6 service tcp 8305 8305
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: fd00:0:0:1::3/128, Translated:
    Destination - Origin: ::/0, Translated: ::/0
    Service - Protocol: tcp Real: 8305 Mapped: 8305
4 (nlp_int_tap) to (outside2) source static nlp_server__sftunnel_::_intf6 interface ipv6  destination static 0_::_10 0_::_10 service tcp 8305 8305 
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: fd00:0:0:1::3/128, Translated:
    Destination - Origin: ::/0, Translated: ::/0
    Service - Protocol: tcp Real: 8305 Mapped: 8305
5 (nlp_int_tap) to (outside1) source dynamic nlp_client_0_intf5 interface
    translate_hits = 653, untranslate_hits = 0
    Source - Origin: 169.254.1.3/32, Translated: 10.62.113.125/24
6 (nlp_int_tap) to (outside2) source dynamic nlp_client_0_intf6 interface 
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: 169.254.1.3/32, Translated: 10.62.114.51/24
7 (nlp_int_tap) to (outside1) source dynamic nlp_client_0_ipv6_intf5 interface ipv6
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: fd00:0:0:1::3/128, Translated:
8 (nlp_int_tap) to (outside2) source dynamic nlp_client_0_ipv6_intf6 interface ipv6 
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: fd00:0:0:1::3/128, Translated:


8. ハイアベイラビリティステータスとインターフェイスモニタリングを確認します。

> show monitor-interface 
        This host: Primary - Active 
                Interface management (203.0.113.130): Normal (Monitored)
                Interface outside1 (10.62.113.125): Normal (Monitored)
                Interface outside2 (10.62.114.51): Normal (Monitored)
        Other host: Secondary - Standby Ready 
                Interface management (203.0.113.131): Normal (Monitored)
                Interface outside1 (10.62.113.126): Normal (Monitored)
                Interface outside2 (10.62.114.52): Normal (Monitored)


9. outside2インターフェイス経由でFTDを管理する場合は、プラットフォーム設定のSSH Accessセクションでアクセスが許可されていることを確認します。

10. 必要な変更を行い、ターゲットインターフェイスを介したドメインネームサーバ(DNS)およびFMCへの接続を許可します。

  • FMCとFTDの間の接続にドメイン名解決(DNS)が必要な場合は、FTDが、DNSサーバに到達するために使用されるネクストホップへのターゲットインターフェイスを介して到達できることを確認します。DNS解決もトランジットパスで許可する必要があります。
  • FTDがターゲットインターフェイス経由で、FMCに到達するために使用されるネクストホップに到達できることを確認します。 
  • TCPポート8305を介したFMCとFTDの間の双方向接続が、ターゲットインターフェイス上のトランジットパスで許可されていることを確認します。接続は両方向で許可されている必要があります。



この場合、IP 10.62.114.1をターゲットインターフェイス上のデフォルトゲートウェイとして使用する必要があります。ネクストホップIPアドレスは、インターネット制御メッセージプロトコル(ICMP)を使用して到達可能です。

> ping 10.62.114.1
Please use 'CTRL+C' to cancel/abort...
Sending 5, 100-byte ICMP Echos to 10.62.114.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/10 ms

中継パスまたはネクストホップでICMPが管理上ブロックされている場合は、ネクストホップのMedia Access Control（MAC；メディアアクセス制御）アドレスが、show arpコマンドの出力に表示されており、有効であることを確認します。

> show arp 
        fover 10.9.0.22 4c01.f7e9.e111 13275
        outside1 10.62.113.1 c02c.1782.2cbf 1
        outside1 10.62.113.126 4c01.f7e9.e10e 5453
        outside2 10.62.114.1 c02c.1782.2cbf 0
        outside2 10.62.114.52 4c01.f7e9.e10f 5453

11. FTDのバージョンに応じて、次の手順を実行します。

  • バージョン7.7.0以降：FMCで、送信元インターフェイス(outside1)経由のマネージャアクセスを無効にし、ルーティングを調整します。これには、DNSサーバ（DNSを使用してFMCにアクセスする場合）へのルーティングと、ターゲットインターフェイス(outside2)経由のFMCが含まれます。 たとえば、特定のスタティックルートを設定するか、ターゲットインターフェイスでデフォルトゲートウェイを設定します。
  • 7.7.0よりも前のバージョン：FMCで、送信元インターフェイス(outside1)経由のマネージャアクセスを無効にし、ターゲットインターフェイス(outside2)経由のマネージャアクセスを有効にし、ルーティングを調整します。これには、DNSを使用してFMCにアクセスする場合のDNSサーバへのルーティング、およびターゲットインターフェイス(outside2)経由のFMCへのルーティングが含まれます。 たとえば、特定のスタティックルートを設定するか、ターゲットインターフェイスでデフォルトゲートウェイを設定します。 

12. ポリシーの展開

13. FTD CLISHでの確認：

> show route 0.0.0.0

Routing entry for 0.0.0.0 0.0.0.0, supernet
  Known via "static", distance 1, metric 0, candidate default path
  Routing Descriptor Blocks:
  * 10.62.114.1, via outside2 <- default route over outside2
      Route metric is 0, traffic share count is 1


> show running-config sftunnel
sftunnel interface outside2 <- sftunnel is enabled only over outside2
sftunnel port 8305


> show nat detail
Manual NAT Policies Implicit (Section 0)
1 (nlp_int_tap) to (outside2) source static nlp_server__sftunnel_0.0.0.0_intf6 interface  destination static 0_0.0.0.0_9 0_0.0.0.0_9 service tcp 8305 8305 
    translate_hits = 3, untranslate_hits = 3
    Source - Origin: 169.254.1.3/32, Translated: 10.62.114.51/24
    Destination - Origin: 0.0.0.0/0, Translated: 0.0.0.0/0
    Service - Protocol: tcp Real: 8305 Mapped: 8305
2 (nlp_int_tap) to (outside2) source static nlp_server__sftunnel_::_intf6 interface ipv6  destination static 0_::_10 0_::_10 service tcp 8305 8305
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: fd00:0:0:1::3/128, Translated:
    Destination - Origin: ::/0, Translated: ::/0
    Service - Protocol: tcp Real: 8305 Mapped: 8305
3 (nlp_int_tap) to (outside2) source dynamic nlp_client_0_intf6 interface
    translate_hits = 407, untranslate_hits = 0
    Source - Origin: 169.254.1.3/32, Translated: 10.62.114.51/24
4 (nlp_int_tap) to (outside2) source dynamic nlp_client_0_ipv6_intf6 interface ipv6
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: fd00:0:0:1::3/128, Translated:


> show conn all port 8305
31 in use, 42 most used
Inspect Snort:
        preserve-connection: 0 enabled, 0 in effect, 0 most enabled, 0 most in effect

TCP nlp_int_tap  10.62.114.51(169.254.1.3):56853 outside2  198.51.100.23:8305, idle 0:00:06, bytes 33008, flags UxIO  <- connectivity over outside2
TCP nlp_int_tap  10.62.114.51(169.254.1.3):32905 outside2  198.51.100.23:8305, idle 0:00:00, bytes 1595942, flags UxIO <- connectivity over outside2


14. 「show network」CLISHコマンドの出力のDNSサーバを変更する必要がある場合は、新しいDNSサーバを設定します。

> configure network dns servers 192.0.2.184


15. FMCで、FTDの管理IPアドレスをoutside2のIPアドレスに変更してから、スライダを使用して接続を無効にしてから再度有効にします。HA内の両方のユニットに対して、この手順を繰り返します。

Configure FTD management IP address on FMC

16. すべてのFTDでsftunnel接続を確認します。

> sftunnel-status-brief 
PEER:198.51.100.23
        SFTunnel Status:-
                Channel A: Connected
                Channel B: Connected
        Peer channel Channel-A is valid  type (CONTROL), using 'tap_nlp', connected to '198.51.100.23' via '169.254.1.3'
        Peer channel Channel-B is valid  type (EVENT), using 'tap_nlp', connected to '198.51.100.23' via '169.254.1.3'
        Registration: Completed.
        IPv4 Connection to peer '198.51.100.23' Start Time: Thu Jul 16 16:37:14 2026 UTC
        Heartbeat Send Time:     Thu Jul 16 16:38:13 2026 UTC
        Heartbeat Received Time: Thu Jul 16 16:39:13 2026 UTC
        Last disconnect time   : Thu Jul 16 16:37:11 2026 UTC
        Last disconnect reason : Both control and event channel connections with peer went down

> show conn all port 8305
32 in use, 42 most used
Inspect Snort:
        preserve-connection: 0 enabled, 0 in effect, 0 most enabled, 0 most in effect

TCP nlp_int_tap  10.62.114.51(169.254.1.3):8305 outside2  198.51.100.23:36383, idle 0:00:00, bytes 235757, flags UIO  <- new connection over different source port
TCP nlp_int_tap  10.62.114.51(169.254.1.3):8305 outside2  198.51.100.23:50963, idle 0:00:01, bytes 12319, flags UIO <- new connection over different source port


17. プラットフォーム設定のDNSサーバーを変更する必要がある場合は、適切な構成の変更を行い、ポリシーを展開します。

管理接続のトラブルシューティング


確認には次のコマンドを使用します。

  1. show network：管理インターフェイスの設定を表示します。
  2. sftunnel-status-brief:sftunnelの接続ステータスを表示します。
  3. show run sftunnel：ファイアウォールエンジン(Lina)のsftunnel設定を表示します。
  4. show conn all port 8305:Linaエンジン経由のsftunnel接続を表示します。



管理接続の問題のトラブルシューティングについては、公式ガイドの「管理接続のトラブルシューティング」セクションを参照してください。

 

参照資料

  1. Cisco Secure Firewall Management Centerデバイス設定ガイド、10.x
  2. マネージャアクセスインターフェイスの変更
  3. 管理接続のトラブルシューティング

更新履歴

改定 発行日 コメント
1.0
07-Aug-2026
初版
TAC Authored

シスコ エンジニア提供

  • イルキンガシモフ
    Cisco TACエンジニア
  • ミキーズザフェイロディス
    Cisco TACエンジニア

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています