次のいずれかの導入モデルを使用して、ASA FirePOWER モジュールを設定できます。

• インライン モード：インライン導入では、実際のトラフィックが ASA FirePOWER モジュールに送信されるため、トラフィックで発生する内容は、モジュールのポリシーの影響を受けます。望ましくないトラフィックがドロップされ、ポリシーにより適用された他のアクションが実行された後、トラフィックは ASA に返されて、追加の処理および最終的な伝送が行われます。

• インライン タップ モニター専用モード（ASA インライン）：インライン タップ モニター専用導入では、トラフィックのコピーが ASA FirePOWER モジュールに送信されますが、ASA に戻されることはありません。インライン タップ モードでは、ASA FirePOWER モジュールがトラフィックに対して実行したと思われる内容を確認し、ネットワークに影響を与えずにトラフィックの内容を評価できます。ただし、このモードでは、ASA でそのポリシーをトラフィックに適用するため、アクセス ルール、TCP 正規化などによりトラフィックがドロップされる可能性があります。

• パッシブ モニター専用（トラフィック転送）モード：FirePOWER サービス デバイスを使用した ASA がトラフィックに影響を与える可能性を回避する場合は、トラフィック転送インターフェイスを設定してスイッチの SPAN ポートに接続できます。このモードでは、トラフィックは ASA 処理なしで ASA FirePOWER モジュールに直接送信されます。トラフィックはドロップされ、モジュールからは何も返されず、ASA はどのインターフェイスからもトラフィックを送信しません。トラフィック転送を設定するには、ASA をシングル コンテキスト トランスペアレント モードで運用する必要があります。

ASA および ASA FirePOWER には、必ず一貫性のあるポリシーを設定してください。両方のポリシーは、トラフィックのインライン モードまたはモニター専用モードを反映する必要があります。

次の各セクションでは、これらのモードについて詳しく説明します。

モジュールには、初期設定およびトラブルシューティング専用の基本 CLI（コマンド ライン インタフェース）があります。次のいずれかの方法を使用して、ASA FirePOWER モジュールでセキュリティ ポリシーを設定します。

• Firepower/FireSIGHT Management Center：別の Management Center アプライアンス上でホストするか、または仮想アプライアンスとしてホストできます。Management Center アプリケーションは、バージョン 6.0 からは Firepower と呼ばれています。以前のバージョンでは、FireSIGHT と呼ばれます。

• ASDM（ご使用のモデル/バージョンとの互換性の確認）：オンボックスの ASDM を使用して、ASA とモジュールの両方を管理できます。

ASA には、HTTP インスペクションを含む、多数の高度なアプリケーション インスペクション機能があります。ただし、ASA FirePOWER モジュールには ASA よりも高度な HTTP インスペクション機能があり、その他のアプリケーションについても機能が追加されています。たとえば、アプリケーション使用状況のモニタリングと制御です。

ASA では次の設定制限に従う必要があります。

• ASA FirePOWER モジュールに送信する HTTP トラフィックでは ASA インスペクションを設定しないでください。

• Mobile User Security（MUS）サーバーを有効にしないでください。このサーバーは、ASA FirePOWER モジュールとの互換性がありません。

ASA 上の他のアプリケーション インスペクションは ASA FirePOWER モジュールと互換性があり、これにはデフォルト インスペクションも含まれます。

ASA FirePOWER モジュールは、管理元である FirePOWER Management Center から HTTP を介して URL フィルタリングのデータを取得します。このデータベースをダウンロードできないと、モジュールは URL フィルタリングを実行できません。

ASA FirePOWER モジュールと FirePOWER Management Center の間にデバイスがあり、それが ASA HTTP インスペクションか、を行っている場合、そのインスペクションにより、ASA FirePOWER モジュールから FirePOWER Management Center への HTTP GET リクエストがブロックされる場合があります。この問題は、ASA FirePOWER モジュールをホストしている ASA に HTTP インスペクションを設定している場合も発生します（これは誤った設定です）。

問題を解決するには、状況に応じて次のいずれかを実行します。

• ASA FirePOWER モジュールをホストしている ASA に HTTP インスペクションを設定している場合は、HTTP インスペクションの設定を削除します。ASA FirePOWER インスペクションと ASA HTTP インスペクションは両立できません。

• ASA HTTP インスペクションを行う中間デバイスがある場合は、HTTP インスペクション ポリシー マップからプロトコル違反をドロップするアクションを削除します。

  
  policy-map type inspect http http_inspection_policy
     parameters
        no protocol-violation action drop-connection
   
  

ASA FirePOWER モジュール管理インターフェイスをネットワークに接続する方法を決定するには、ファイアウォール モードおよび ASA モデルのセクションを参照してください。

ASA FirePOWER CLI を使用して、基本的なネットワーク設定を構成し、モジュールのトラブルシューティングを行います。

ASA から ASA FirePOWER ソフトウェア モジュール CLI にアクセスするには、ASA からセッション接続できます。

モジュールへのセッションを開始することも（Telnet を使用）、仮想コンソール セッションを作成することもできます。コンソール セッションは、コントロール プレーンがダウンし、Telnet セッションを確立できない場合に便利です。マルチ コンテキスト モードでは、システム実行スペースからセッションを開きます。

Telnet またはコンソール セッションでは、ユーザー名とパスワードの入力を求められます。ASA FirePOWER に設定されている任意のユーザー名でログインできます。最初は、admin が唯一の設定済みユーザー名です（このユーザー名は常に使用可能です）。最初のデフォルトのパスワードは、イメージのタイプ（完全なイメージまたはブート イメージ）とソフトウェア リリースに応じて異なります。ASA FirePOWER のデフォルト を参照してください。

• Telnet セッション：

  session sfr

  ASA FirePOWER CLI にいるときに ASA CLI に戻るには、モジュールからログアウトするコマンド（logout や exit など）を入力するか、Ctrl+Shift+6、x を押します。

• コンソール セッション：

  session sfr console

  コンソール セッションからログアウトする唯一の方法は、Ctrl+Shift+6、x を押すことです。モジュールからログアウトすると、モジュールのログイン プロンプトに戻ります。

（注）

session sfr console コマンドは、Ctrl+Shift+6、x がターミナル サーバーのプロンプトに戻るエスケープ シーケンスであるターミナル サーバーとともに使用しないでください。Ctrl+Shift+6、x は、ASA FirePOWER コンソールをエスケープし ASA プロンプトに戻るシーケンスでもあります。したがって、この状況で ASA FirePOWER コンソールを終了しようとすると、代わりにターミナル サーバー プロンプトに戻ります。ASA にターミナル サーバーを再接続すると、ASA FirePOWER コンソール セッションがまだアクティブなままであり、ASA プロンプトに戻ることができません。ASA プロンプトにコンソールを戻すには、直接シリアル接続を使用する必要があります。この状況が発生した場合は、console コマンドの代わりに session sfr コマンドを使用します。

アップグレードを適用する前に、ASA が新しいバージョンに最小限必要なリリースを実行していることを確認します。場合によっては、モジュールをアップグレードする前に ASA をアップグレードする必要があります。アップグレードの適用に関する詳細については、Management Center のオンライン ヘルプ、『FireSIGHT System User Guide 5.4』または『Firepower Management Center Configuration Guide 6.0』を参照してください。

ASDM 管理では、[Configuration] > [ASA FirePOWER Configuration] > [Updates] を使用して、アップグレードをシステム ソフトウェアおよびコンポーネントに適用できます。詳細については、[Updates] ページの [Help] をクリックします。

[Home] ページで [ASA FirePOWER Status] タブを選択すると、モジュールに関する情報が表示されます。この情報には、モデル、シリアル番号、ソフトウェア バージョンなどのモジュール情報と、アプリケーション名、アプリケーション ステータス、データ プレーン ステータス、全体のステータスなどのモジュール ステータスが含まれます。モジュールが Management Center に登録されている場合は、リンクをクリックしてアプリケーションを開き、詳細な分析やモジュールの設定を行うことができます。

ASDM を使用したモジュールを管理する際、[Home] > [ASA FirePOWER Dashboard] ページを使用して、モジュールで実行中のソフトウェア、製品のアップデート、ライセンシング、システムの負荷、ディスクの使用、システム時間、およびインターフェイスのステータスについての概要情報を表示することもできます。

sfr コマンドを含む各サービス ポリシーの統計情報およびステータスを表示するには、show service-policy sfr コマンドを使用します。カウンタをクリアするには、clear service-policy を使用します。

次に、ASA FirePOWER サービス ポリシーと現在の統計情報およびモジュールのステータスを表示する例を示します。モニター専用モードでは、入力カウンタはゼロのままです。

ciscoasa# show service-policy sfr 

Global policy:
  Service-policy: global_policy
    Class-map: my-sfr-class
      SFR: card status Up, mode fail-close
        packet input 2626422041, packet output 2626877967, drop 0, reset-drop 0, proxied 0

ASDM を使用した ASA FirePOWER モジュールを管理する際、次のページを使用してモジュールの運用情報を表示できます。

• [Home] > [ASA FirePOWER Reporting]：レポート作成のページには、Web カテゴリ、ユーザー、送信元、モジュールを通じてトラフィックが渡される宛先など、さまざまなモジュールの統計に対して上位 10 個のダッシュボードが提示されます。

• [Monitoring] > [ASA FirePOWER Monitoring]：モジュールをモニターするためのいくつかのページがあり、syslog、タスク ステータス、モジュール統計、リアルタイムのイベント ビューアが含まれています。

ASA FirePOWER モジュールを通過する接続を表示するには、次のいずれかのコマンドを入力します。

• show asp table classify domain sfr

  トラフィックを ASA FirePOWER モジュールに送信するために作成された NP ルールを表示します。

• show asp drop

  ドロップされたパケットを表示します。ドロップのタイプについては、以下で説明します。

• show conn

  「X - inspected by service module」フラグを表示することにより、接続がモジュールに転送されているかどうかを示します。

show asp drop コマンドは、ASA FirePOWER モジュールに関連する次のドロップ理由を含めることができます。

ciscoasa# show asp table classify domain sfr 

Input Table
in  id=0x2aaae04034f0, priority=71, domain=sfr, deny=false
        hits=0, user_data=0x2aaadfdedf40, cs_id=0x0, use_real_addr, flags=0x0, protocol=0
        src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
        dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0
        input_ifc=management, output_ifc=any

Output Table:  

L2 - Output Table:

L2 - Input Table:

Last clearing of hits counters: Never