これらのデバイスは、以下の新しいネットワークモジュールをサポートしています。

• 2 ポート 100G QSFP+ ネットワークモジュール（FPR4K-XNM-2X100G）

• 4 ポート 200G QSFP+ ネットワークモジュール（FPR4K-XNM-4X200G）

参照： Cisco Secure Firewall 4215、4225、4245 ハードウェア設置ガイド

アップグレードの影響。 アップグレード後にインターフェイスをマージします。

7.4 以降を使用している新しいデバイスの場合、レガシー診断インターフェイスは使用できません。マージされた管理インターフェイスのみを使用できます。

7.4 以降にアップグレードした場合：

• 診断インターフェイスの設定がない場合は、インターフェイスが自動的にマージされます。

• 診断インターフェイスの設定がある場合は、インターフェイスを手動でマージすることも、診断インターフェイスを引き続き個別に使用することもできます。ただし、診断インターフェイスのサポートは今後のリリースで廃止されるため、できるだけ早くインターフェイスをマージしてください。

マージモードでは、デフォルトでデータルーティングテーブルを使用するように AAA トラフィックの動作も変更されます。管理専用ルーティングテーブルは、設定で管理専用インターフェイス（管理を含む）を指定した場合にのみ使用できるようになりました。

プラットフォーム設定の場合、これは次のことを意味します。

• 診断インターフェイスで、HTTP、ICMP、または SMTP を有効にすることはできなくなりました。

• SNMP については、診断インターフェイスではなく管理インターフェイスでホストを許可できます。

• Syslog サーバーについては、診断インターフェイスではなく管理インターフェイスでアクセスできます。

• Syslog サーバーまたは SNMP ホストのプラットフォーム設定で診断インターフェイスが名前で指定されている場合、マージされたデバイスとマージされていないデバイスに別々のプラットフォーム設定ポリシーを使用する必要があります。

• インターフェイスを指定しない場合、DNS ルックアップは管理専用ルーティングテーブルにフォールバックしなくなりました。

新規/変更された画面：[デバイス（Devices）] > [デバイス管理（Device Management）] > [インターフェイス（Interfaces）]

新規/変更されたコマンド： show management-interface convergence

参照：「Merge the Management and Diagnostic Interfaces」

管理専用インターフェイスまたはループバック インターフェイスのみを含むインターフェイス グループ オブジェクトを作成でき、作成したグループを DNS サーバー、HTTP アクセス、SSH などの管理機能に使用できます。ループバックグループは、ループバック インターフェイスを利用できるすべての機能で使用できますが、DNS では管理インターフェイスはサポートされていない点に注意してください。

新規/変更された画面：[オブジェクト（Objects）] > [オブジェクト管理（Object Management）] > [インターフェイス（Interface）] > [追加（Add）] > [インターフェイスグループ（Interface Group）]

参照：「Interface」

その他のバージョンの制限：Threat Defense バージョン 7.3.x ではサポートされていません。

参照：「Heartbeat Module Redundancy」

ポリシーベースルーティング（PBR）は、特定の宛先 IP のメトリックではなく、アプリケーションドメインの HTTP クライアントを介したパスモニタリングによって収集された評価指標（RTT、ジッター、パケット損失、および MOS）を使用できるようになりました。インターフェイスの HTTP ベースのアプリケーション モニタリング オプションは、デフォルトで有効になっています。モニタリング対象のアプリケーションが搭載され、パスを決定するためのインターフェイスの順序付けを行う一致 ACL を使用して、PBR ポリシーを設定できます。

新規/変更された画面：[デバイス（Devices）] > [デバイス管理（Device Management）] > [デバイスの編集（Edit Device）] > [インターフェイスの編集（Edit interface）] > [パスモニタリング（Path Monitoring）] > [HTTPベースのアプリケーション モニタリングの有効化（Enable HTTP based Application Monitoring）] チェックボックス。

プラットフォームの制限：クラスタ化されたデバイスではサポートされていません。

参照：「Configure Path Monitoring Settings」

ユーザーとユーザーグループ、および PBR ポリシーの SGT に基づいてネットワークトラフィックを分類できるようになりました。PBR ポリシーの拡張 ACL を定義するときに、ID および SGT オブジェクトを選択します。

新規/変更された画面：[オブジェクト（Objects）] > [オブジェクト管理（Object Management）] > [アクセスリスト（Access List）] > [拡張（Extended）] > [拡張アクセスリストの追加/編集（Add/Edit Extended Access List）] > [拡張アクセスリストエントリの追加/編集（Add/Edit Extended Access List Entry）] > [ユーザー（Users）] および [セキュリティグループタグ（Security Group Tag）]

参照：「Configure Extended ACL Objects」

Cisco Secure Firewall 4200 では、VTI ループバックインターフェイスを介した適格な IPsec 接続がデフォルトでオフロードされます。以前は、この機能は Secure Firewall 3100 の物理インターフェイスでサポートされていました。

FlexConfig と flow-offload-ipsec コマンドを使用して構成を変更できます。

その他の要件：FPGA ファームウェア 6.2 以降

参照：「IPSec Flow Offload」

暗号デバッグの機能拡張は次のとおりです。

• 暗号アーカイブは、テキスト形式とバイナリ形式で使用できるようになりました。

• 追加の SSL カウンタをデバッグに使用できます。

• スタックした暗号化ルールは、デバイスを再起動せずに ASP テーブルから削除できます。

新規/変更された CLI コマンド： show counters

Secure Client をカスタマイズして、それらのカスタマイズを VPN ヘッドエンドに展開できるようになりました。サポートされている Secure Client のカスタマイズは次のとおりです。

• GUI テキストとメッセージ

• アイコンとイメージ

• スクリプト

• バイナリ

• Customized Installer Transforms

• Localized Installer Transforms

エンドユーザーが Secure Client から接続すると、Threat Defense によりそれらのカスタマイズがエンドポイントに配布されます。

新規/変更された画面：

• [オブジェクト（Objects）] > [オブジェクト管理（Object Management）] > [VPN] > [Secure Clientのカスタマイズ（Secure Client Customization）]

• [デバイス（Device）] > [リモートアクセス（Remote Access）] > [VPNポリシーの編集（Edit VPN policy）] > [詳細設定（Advanced）] > [Secure Clientのカスタマイズ（Secure Client Customization）]

参照：「Customize Secure Client」

サイト間 VPN トラフィックを NAT 変換から簡単に免除できるようになりました。

新規/変更された画面：

• エンドポイントの NAT 免除の有効化：[デバイス（Devices）] > [VPN] > [サイト間（Site To Site）] > [サイト間VPNの追加/編集（Add/Edit Site to Site VPN）] > [エンドポイントの追加/編集（Add/Edit Endpoint）] > [ネットワークアドレス変換からVPNトラフィックを免除する（Exempt VPN traffic from network address translation）]

• NAT ポリシーのないデバイスの NAT 免除ルールの表示：[デバイス（Devices）] > [NAT] > [NAT免除（NAT Exemptions）]

• 単一デバイスの NAT 免除ルールの表示：[デバイス（Devices）] > [NAT] > [Threat Defense NATポリシー（Threat Defense NAT Policy）] > [NAT免除（NAT Exemptions）]

参照：「NAT Exemption」

サイト間 VPN ダッシュボードで、VPN ノードの IKE および IPsec セッションの詳細を使いやすい形式で表示できます。

新規/変更された画面：[概要（Overview ）] > [サイト間VPN（Site to Site VPN）] の順に選択し、[トンネルステータス（Tunnel Status）] ウィジェットの下で、トポロジにカーソルを合わせて [表示（View）] をクリックし、[CLIの詳細（CLI Details）] タブをクリックします。

参照：「Monitoring the Site-to-Site VPNs」

Zero Trust アクセスが導入され、外部の SAML ID プロバイダー（IdP）ポリシーを使用して、ネットワークの内部（オンプレミス）または外部（リモート）から保護された Web ベースのリソース、アプリケーション、またはデータへのアクセスを認証および承認できます。

設定では、ゼロトラスト アプリケーション ポリシー、アプリケーショングループ、およびアプリケーションを指定します。

新規/変更された画面：

• [ポリシー（Policies）] > [Zero Trustアプリケーション（Zero Trust Application）]

• [分析（Analysis）] > [接続（Connections）] > [イベント（Events）]

• [概要（Overview）] > [ダッシュボード（Dashboard）] > [Zero Trust]

新規/変更された CLI コマンド：

• show running-config zero-trust application

• show running-config zero-trust application-group

• show zero-trust sessions

• show zero-trust statistics

• show cluster zero-trust statistics

• clear zero-trust sessions application

• clear zero-trust sessions user

• clear zero-trust statistics

管理対象デバイスのバージョン 7.3 以降の IPv6 ネットワークに対しては、BGP グレースフルリスタートを設定できます。

新規/変更された画面：[デバイス（Devices）] > [デバイス管理（Device Management）] > [デバイスの編集（Edit Device）] > [ルーティング（Routing）] > [BGP] > [IPv6] > [ネイバー（Neighbor）] > [ネイバーの追加/編集（Add/Edit Neighbor）]。

参照：「Configure BGP Neighbor Settings」

ルートベースのサイト間 VPN にダイナミック VTI を使用して仮想ルータを設定できるようになりました。

新規/変更された画面：[使用可能なインターフェイス（Available Interfaces）] の下の [デバイス（Devices）] > [デバイス管理（Device Management）] > [デバイスの編集（Edit Device）] > [ルーティング（Routing）] > [仮想ルータのプロパティ（Virtual Router Properties）] > [ダイナミックVTIインターフェイス（Dynamic VTI interfaces）]。

プラットフォームの制限：ネイティブモードのスタンドアロンまたは高可用性デバイスでのみサポートされます。コンテナインスタンスやクラスタ化されたデバイスではサポートされていません。

参照：「About Virtual Routers and Dynamic VTI」

暗号化された可視性エンジン（EVE）で、次のことができるようになりました。

• 脅威スコアに基づいて暗号化トラフィック内の悪意のある通信をブロックする。

• EVE で検出されたプロセスに基づいてクライアント アプリケーションを判断する。

• 検出のために、フラグメント化された Client Hello パケットを再構成する。

新規/変更された画面：アクセス コントロール ポリシーの詳細設定を使用して EVE を有効にし、これらの設定を行います。

参照：「Encrypted Visibility Engine」

エレファントフローのバイパスまたはスロットリングから特定のネットワークとポートを免除できるようになりました。

新規/変更された画面：

• アクセス コントロール ポリシーの詳細設定でエレファントフロー検出を構成するときに、[エレファントフローの修復（Elephant Flow Remediation）] オプションを有効にすると、[ルールの追加（Add Rule）] をクリックして、バイパスまたはスロットリングから免除するトラフィックを指定できるようになりました。

• システムがバイパスまたはスロットリングから免除されているエレファントフローを検出すると、[エレファントフローが免除されました（Elephant Flow Exempted）] という理由でフロー中接続イベントを生成します。

プラットフォームの制限：Firepower 2100 シリーズではサポートされていません。

JavaScript を正規化し、正規化されたコンテンツに対してルールを照合することで実行される JavaScript インスペクションを改善しました。

参照：「HTTP Inspect Inspector」および Cisco Secure Firewall Management Center Snort 3 コンフィギュレーション ガイド [英語]

Management Center の Cisco Secure Dynamic Attributes コネクタを設定できるようになりました。以前は、スタンドアロン アプリケーションとしてのみ使用できました。

参照：「Cisco Secure Dynamic Attributes コネクタ」

NetFlow は、パケットフローの統計情報を提供するシスコアプリケーションの 1 つです。Management Center の Web インターフェイスを使用して、Threat Defense デバイスを NetFlow エクスポータとして設定できるようになりました。既存の NetFlow FlexConfig があり、Web インターフェイスで設定をやり直す場合は、廃止された FlexConfig を削除するまで展開できません。

新規/変更された画面：[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）] > [Threat Defense設定ポリシー（Threat Defense Settings policy）] > [NetFlow]

参照：「Configure NetFlow」

新規または既存のデバイス正常性ダッシュボードに、600 を超える新しい ASP（高速セキュリティパス）ドロップメトリックを追加できます。[ASPドロップ（ASP Drops）] メトリックグループを選択していることを確認します。

新規/変更された画面：[システム（System）]（） > [正常性（Health）] > [モニター（Monitor）] > [デバイス（Device）]

参照：「show asp drop Command Usage」

以前は、Threat Defense は IPv4 OCSP URL のみをサポートしていました。現在、Threat Defense は IPv4 と IPv6 の両方の OCSP URL をサポートしています。

参照：「 Certificate Enrollment Object Revocation Options」

次の作業に進んでください。

• [システム（System）]（） > [スマートライセンス（Smart Licenses）] から Threat Defense クラスタのスマートライセンスを管理します。以前は、[デバイス管理（Device Management）] ページを使用する必要がありました。

  参照：クラスタリングのライセンス

• メッセージセンター通知のレポートをダウンロードします。メッセージセンターで、[通知を表示（Show Notifications）] スライダの横にある新しい [レポートのダウンロード（Download Report）] アイコンをクリックします。

  参照：システムメッセージの管理

• すべての登録済みデバイスのレポートをダウンロードします。[デバイス（Devices）] > [デバイス管理（Device Management）]に移動し、ページの右上にある新しい [デバイスリストレポートのダウンロード（Download Device List Report）] リンクをクリックします。

  参照：管理対象デバイスリストのダウンロード

• カスタム ヘルス モニタリング ダッシュボードを簡単に作成し、既存のダッシュボードを簡単に編集できます。

  参照：「Correlating Device Metrics」

Secure Firewall 4200 では、 コマンドで新しいdirection キーワードcapture を使用できます。

新規/変更された CLI コマンド：capturecapture_nameswitchinterfaceinterface_name[ direction{ both| egress| ingress} ]

参照： Cisco Secure Firewall Threat Defense コマンドリファレンス

Management Center の Web インターフェイスから、Threat Defense デバイスを NetFlow エクスポータとして設定できるようになりました。この設定をすると、廃止された FlexConfig を削除するまで展開できません。

参照：「Configure NetFlow」

ディスク使用状況モジュールは、管理対象外のディスク使用率が高い場合にアラートを出さなくなりました。正常性ポリシーを管理対象デバイスに展開する（アラートの表示を停止する）か、デバイスを 7.0.6、7.2.4、または 7.4 にアップグレードする（アラートの送信を停止する）まで、これらのアラートが表示され続ける場合があります。

残りのディスク使用量アラートについては、「Disk Usage and Drain of Events Health Monitor Alerts」を参照してください。