Cisco Firepower 4100/9300 FXOS Firepower Chassis Manager 2.3(1) コンフィギュレーション ガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco Firepower 4100/9300 FXOS Firepower Chassis Manager 2.3(1) コンフィギュレーション ガイド

Chapter Title

論理デバイス

検索結果

Updated:
2019年1月1日

章のタイトル： 論理デバイス

論理デバイス

論理デバイスについて

論理デバイスでは、1 つのアプリケーション インスタンス（ASA または Firepower Threat Defense のいずれか）および 1 つのオプション デコレータ アプリケーション（Radware DefensePro）を実行し、サービス チェーンを形成できます。

論理デバイスを追加する場合は、アプリケーション インスタンス タイプとバージョンを定義し、インターフェイスを割り当て、アプリケーション設定に送信されるブートストラップ設定を構成することもできます。


（注）  

Firepower 9300 の場合、シャーシ内のすべてのモジュールに同じアプリケーション インスタンス タイプ（ASA または Firepower Threat Defense）をインストールする必要があります。現時点では、他のタイプはサポートされていません。モジュールでは、異なるバージョンのアプリケーション インスタンス タイプを実行できます。

スタンドアロン論理デバイスとクラスタ化論理デバイス

次の論理デバイス タイプを追加することができます。

  • スタンドアロン：スタンドアロン論理デバイスはスタンドアロン ユニットまたはハイ アベイラビリティ ペアのユニットとして動作します。

  • クラスタ：クラスタ化論理デバイスを使用すると複数のユニットをグループ化することで、単一デバイスのすべての利便性（管理、ネットワークへの統合）を提供し、同時に複数デバイスによるスループットの向上と冗長性を実現できます。Firepower 9300 などの複数のモジュール デバイスが、シャーシ内クラスタリングをサポートします。Firepower 9300 のすべての 3 つのモジュール アプリケーション インスタンスは、1 つの論理デバイスに属しています。


    （注）  

    Firepower 9300 の場合、すべてのモジュールがクラスタに属している必要があります。1 つのセキュリティ モジュールにスタンドアロン論理デバイスを作成し、残り 2 つのセキュリティ モジュールを使用してクラスタを作成することはできません。

論理デバイスの要件と前提条件

要件と前提条件については、次のセクションを参照してください。

クラスタリングの要件と前提条件

クラスタ モデルのサポート

  • Firepower 9300 の ASA：シャーシ内、シャーシ間、およびサイト間クラスタリングでサポート。

  • Firepower 4100 シリーズ の ASA：シャーシ間およびシャーシ内クラスタリングでサポート。

  • Firepower 9300 の FTD：シャーシ内およびシャーシ間クラスタリングでサポート。

  • Firepower 4100 シリーズ の FTD：シャーシ間クラスタリングでサポート。

  • Radware DefensePro：ASA によるシャーシ内クラスタリングでサポート。

  • Radware DefensePro：FTD によるシャーシ内クラスタリングでサポート。

シャーシ間のクラスタリング ハードウェアおよびソフトウェアの要件

クラスタ内のすべてのシャーシ：

  • Firepower4100シリーズ：すべてのシャーシが同一モデルである必要があります。Firepower 9300：すべてのセキュリティ モジュールは同じタイプである必要があります。各シャーシに異なる数のセキュリティ モジュールをインストールできますが、すべての空のスロットを含め、シャーシのすべてのモジュールをクラスタに含める必要があります。

  • イメージ アップグレード時を除き、同じ FXOS ソフトウェアを実行する必要があります。

  • クラスタに割り当てるインターフェイスは、管理インターフェイス、EtherChannel、アクティブ インターフェイス、スピード、デュプレックスなど、同じインターフェイス構成を含める必要があります。同じインターフェイス ID の容量が一致し、インターフェイスが同じスパンド EtherChannel に内に問題なくバンドルできる限り、シャーシに異なるタイプのネットワーク モジュールを使用できます。シャーシ間クラスタリングでは、すべてのデータ インターフェイスを EtherChannel とする必要があります。（インターフェイス モジュールの追加または削除、あるいは EtherChannel の設定などにより）クラスタリングを有効にした後に FXOS でインターフェイスを変更した場合は、各シャーシで同じ変更を行います（スレーブ ユニットから始めて、マスターで終わります）。

  • 同じ NTP サーバを使用する必要があります。 Firepower Threat Defense のため、Firepower Management Center は同じ NTP サーバを使用する必要があります。手動で時間を設定しないでください。

  • ASA：各 FXOS シャーシは、License Authority またはサテライト サーバに登録されている必要があります。スレーブ ユニットに追加費用はかかりません。 永続ライセンスを予約するには、シャーシごとに個別のライセンスを購入する必要があります。Firepower Threat Defense では、すべてのライセンスは Firepower Management Center で処理されます。

シャーシ間クラスタリングのスイッチ要件

  • Firepower 4100/9300 シャーシのクラスタリングを設定する前に、スイッチの設定を完了し、シャーシからスイッチまですべての EtherChannel を良好に接続してください。

  • サポートされているスイッチのリストについては、「Cisco FXOS Compatibility」を参照してください。

サイト間クラスタリング用の Data Center Interconnect のサイジング

次の計算と同等の帯域幅をクラスタ制御リンク トラフィック用に Data Center Interconnect（DCI）に確保する必要があります。

メンバの数が各サイトで異なる場合、計算には大きい方の値を使用します。DCI の最小帯域幅は、1 つのメンバに対するクラスタ制御リンクのサイズ未満にすることはできません。

次に例を示します。

  • 4 サイトの 2 メンバの場合。

    • 合計 4 クラスタ メンバ

    • 各サイト 2 メンバ

    • メンバあたり 5 Gbps クラスタ制御リンク

    予約する DCI 帯域幅 = 5 Gbps（2/2 x 5 Gbps）。

  • 3 サイトの 6 メンバの場合、サイズは増加します。

    • 合計 6 クラスタ メンバ

    • サイト 1 は 3 メンバ、サイト 2 は 2 メンバ、サイト 3 は 1 メンバ

    • メンバあたり 10 Gbps クラスタ制御リンク

    予約する DCI 帯域幅 = 15 Gbps（3/2 x 10 Gbps）。

  • 2 サイトの 2 メンバの場合。

    • 合計 2 クラスタ メンバ

    • 各サイト 1 メンバ

    • メンバあたり 10 Gbps クラスタ制御リンク

    予約する DCI 帯域幅 = 10 Gbps（1/2 x 10 Gbps = 5 Gbps、ただし最小帯域幅がクラスタ制御リンク（10 Gbps）のサイズ未満になってはなりません）。

論理デバイスに関する注意事項と制約事項

ガイドラインと制限事項については、以下のセクションを参照してください。

一般的なガイドラインと制限事項

ファイアウォール モード

FTD のブートストラップ設定でファイアウォール モードをルーテッドまたはトランスペアレントに設定することができます。 ASA の場合、展開後に、ファイアウォール モードをトランスペアレントに変更することができます。 ASA のトランスペアレント ファイアウォール モードへの変更を参照してください。

ハイ アベイラビリティ

  • アプリケーション設定内でハイ アベイラビリティを設定します。

  • 任意のデータ インターフェイスをフェールオーバー リンクおよびステート リンクとして使用できます。

  • 詳細については、ハイ アベイラビリティのためのアプリケーション設定ガイドの章を参照してください。

コンテキスト モード

  • マルチ コンテキスト モードは ASA でのみサポートされています。

  • 展開後に、ASA のマルチ コンテキスト モードを有効にします。

クラスタリング ガイドラインと制限事項

シャーシ間クラスタリングのスイッチ

  • ASR 9006 では、非デフォルト MTU を設定する場合は、ASR インターフェイス MTU をクラスタ デバイス MTU より 14 バイト大きく設定します。そうしないと、mtu-ignore オプションを使用しない限り、OSPF 隣接関係（アジャセンシー）ピアリングの試行が失敗する可能性があります。クラスタ デバイス MTU は、ASR IPv4 MTU と一致する必要があります。

  • クラスタ制御リンク インターフェイスのスイッチでは、クラスタ ユニットに接続されるスイッチ ポートに対してスパニングツリー PortFast をイネーブルにすることもできます。このようにすると、新規ユニットの参加プロセスを高速化できます。

  • スイッチ上のスパンド EtherChannel のバンドリングが遅いときは、スイッチの個別インターフェイスに対して LACP 高速レートをイネーブルにできます。Nexus シリーズなど一部のスイッチでは、インサービス ソフトウェア アップグレード（ISSU）を実行する際に LACP 高速レートがサポートされないことに注意してください。そのため、クラスタリングで ISSU を使用することは推奨されません。

  • スイッチでは、EtherChannel ロードバランシング アルゴリズム source-dest-ip または source-dest-ip-port（Cisco Nexus OS および Cisco IOS の port-channel load-balance コマンドを参照）を使用することをお勧めします。クラスタのデバイスにトラフィックを不均一に配分する場合があるので、ロード バランス アルゴリズムでは vlan キーワードを使用しないでください。

  • スイッチの EtherChannel ロードバランシング アルゴリズムを変更すると、スイッチの EtherChannel インターフェイスは一時的にトラフィックの転送を停止し、スパニングツリー プロトコルが再始動します。トラフィックが再び流れ出すまでに、少し時間がかかります。

  • クラスタ制御リンク パスのスイッチでは、L4 チェックサムを検証しないようにする必要があります。クラスタ制御リンク経由でリダイレクトされたトラフィックには、正しい L4 チェックサムが設定されていません。L4 チェックサムを検証するスイッチにより、トラフィックがドロップされる可能性があります。

  • ポートチャネル バンドルのダウンタイムは、設定されているキープアライブ インターバルを超えてはなりません。

  • Supervisor 2T EtherChannel では、デフォルトのハッシュ配信アルゴリズムは適応型です。VSS 設計での非対称トラフィックを避けるには、クラスタ デバイスに接続されているポートチャネルでのハッシュ アルゴリズムを固定に変更します。

    router(config)# port-channel id hash-distribution fixed

    アルゴリズムをグローバルに変更しないでください。VSS ピア リンクに対しては適応型アルゴリズムを使用できます。

シャーシ間クラスタリングの EtherChannel

  • スイッチ接続用に、EtherChannel モードをアクティブに設定します。クラスタ制御リンクであっても、Firepower 4100/9300 シャーシではオン モードはサポートされません。

  • FXOS EtherChannel にはデフォルトで [fast] に設定されている LACP レートがあります。Nexus シリーズなど一部のスイッチでは、インサービス ソフトウェア アップグレード（ISSU）を実行する際に LACP 高速レートがサポートされないため、クラスタリングで ISSU を使用することは推奨されません。

  • 15.1(1)S2 より前の Catalyst 3750-X Cisco IOS ソフトウェア バージョンでは、クラスタ ユニットはスイッチ スタックに EtherChannel を接続することをサポートしていませんでした。デフォルトのスイッチ設定では、クラスタ ユニット EtherChannel がクロス スタックに接続されている場合、マスター スイッチの電源がオフになると、残りのスイッチに接続されている EtherChannel は起動しません。互換性を高めるため、stack-mac persistent timer コマンドを設定して、十分なリロード時間を確保できる大きな値、たとえば 8 分、0（無制限）などを設定します。または、15.1(1)S2 など、より安定したスイッチ ソフトウェア バージョンにアップグレードできます。

  • スパンド EtherChannel とデバイス ローカル EtherChannel のコンフィギュレーション：スパンド EtherChannel と デバイス ローカル EtherChannel に対してスイッチを適切に設定します。

    • スパンド EtherChannel：クラスタ ユニット スパンド EtherChannel（クラスタのすべてのメンバに広がる）の場合は、複数のインターフェイスが結合されてスイッチ上の単一の EtherChannel となります。各インターフェイスがスイッチ上の同じチャネル グループ内にあることを確認してください。

    • デバイス ローカル EtherChannel：クラスタ ユニット デバイス ローカル EtherChannel（クラスタ制御リンク用に設定された EtherChannel もこれに含まれます）は、それぞれ独立した EtherChannel としてスイッチ上で設定してください。スイッチ上で複数のクラスタ ユニット EtherChannel を結合して 1 つの EtherChannel としないでください。

サイト間クラスタリング

サイト間クラスタリングについては、次のガイドラインを参照してください。

  • クラスタ制御リンクの遅延が、ラウンドトリップ時間（RTT）20 ms 未満である必要があります。

  • クラスタ制御リンクは、順序の異常やパケットのドロップがない信頼性の高いものである必要があります。たとえば、専用リンクを使用する必要があります。

  • 接続の再分散を設定しないでください。異なるサイトのクラスタ メンバには接続を再分散できません。

  • クラスタの実装では、着信接続用の複数のサイトでメンバが区別されません。したがって、特定の接続に対する接続のロールが複数のサイトにまたがる場合があります。これは想定されている動作です。ただし、ディレクタ ローカリゼーションを有効にすると、接続オーナーと同じサイトからローカル ディレクタ権限が常に選択されます（サイト ID に応じて）。また、元のオーナーに障害が発生するとローカル ディレクタは同じサイトの新しいオーナーを選択します（注：サイト間でトラフィックが非対称で、元のオーナーに障害が発生した後もリモート サイトから継続的なトラフィックがある場合、リモート サイトのユニットが re-hosting ウィンドウ内でデータ パケットを受信する場合はこのリモート サイトのユニットが新しいオーナーとなることがあります）。

  • ディレクタ ローカリゼーションでは、次のトラフィック タイプのローカリゼーションをサポートしていません。NAT または PAT のトラフィック、SCTP がインスペクションを行うトラフィック、オーナーのフラグメンテーション クエリ。

  • トランスペアレント モードの場合、内部ルータと外部ルータのペア間にクラスタを配置すると（AKA ノースサウス挿入）、両方の内部ルータが同じ MAC アドレスを共有し、両方の外部ルータが同じ MAC アドレスを共有する必要があります。サイト 1 のクラスタ メンバがサイト 2 のメンバに接続を転送するとき、宛先 MAC アドレスは維持されます。MAC アドレスがサイト 1 のルータと同じである場合にのみ、パケットはサイト 2 のルータに到達します。

  • トランスペアレント モードの場合、内部ネットワーク間のファイル用に各サイトのデータ ネットワークとゲートウェイ ルータ間にクラスタを配置すると（AKA イーストウェスト挿入）、各ゲートウェイ ルータは、HSRP などの First Hop Redundancy Protocol（FHRP）を使用して、各サイトで同じ仮想 IP および MAC アドレスの宛先を提供します。データ VLAN は、オーバーレイ トランスポート仮想化（OTV）または同様のものを使用してサイト全体にわたって拡張されます。ローカル ゲートウェイ ルータ宛てのトラフィックが DCI 経由で他のサイトに送信されないようにするには、フィルタを作成する必要があります。ゲートウェイ ルータが 1 つのサイトで到達不能になった場合、トラフィックが正常に他のサイトのゲートウェイに到達できるようにフィルタを削除する必要があります。

  • スパンド EtherChannel を使用したルーテッド モードでは、サイト固有の MAC アドレスを設定します。OTV または同様のものを使用してサイト全体にデータ VLAN を拡張します。グローバル MAC アドレス宛てのトラフィックが DCI 経由で他のサイトに送信されないようにするには、フィルタを作成する必要があります。クラスタが 1 つのサイトで到達不能になった場合、トラフィックが正常に他のサイトのクラスタ ユニットに到達できるようにフィルタを削除する必要があります。ダイナミック ルーティングは、サイト間クラスタが拡張セグメントのファースト ホップ ルータとして機能する場合はサポートされません。

その他のガイドライン

  • 冗長性を持たせるため、VSS または vPC に EtherChannel を接続することを推奨します。

  • シャーシ内では、スタンドアロン モードで一部のシャーシ セキュリティ モジュールをクラスタ化し、他のセキュリティ モジュールを実行することはできません。クラスタ内にすべてのセキュリティ モジュールを含める必要があります。

デフォルト

クラスタ制御リンクはポート チャネル 48 を使用します。

スタンドアロン論理デバイスの追加

スタンドアロン論理デバイスは単独またはハイ アベイラビリティ ユニットとして使用できます。ハイ アベイラビリティの使用率の詳細については、ハイ アベイラビリティ ペアの追加を参照してください。

スタンドアロン ASA の追加

スタンドアロンの論理デバイスは、単独またはハイ アベイラビリティ ペアで動作します。Firepower 9300 などの複数のモジュール デバイスでは、クラスタまたはスタンドアロン デバイスを導入できます。クラスタはすべてのモジュールを使用する必要があるため、たとえば、2 モジュール クラスタと単一のスタンドアロン デバイスをうまく組み合わせることはできません。

Firepower 4100/9300 シャーシからルーテッド ファイアウォール モード ASA を展開できます。ASA をトランスペアレント ファイアウォール モードに変更するには、この手順を完了し、ASA のトランスペアレント ファイアウォール モードへの変更を参照してください。

マルチ コンテキスト モードの場合、最初に論理デバイスを展開してから、ASA アプリケーションでマルチ コンテキスト モードを有効にする必要があります。

始める前に

  • 論理デバイスに使用するアプリケーション イメージを Cisco.com からダウンロードして（Cisco.com からのイメージのダウンロードを参照）、そのイメージを Firepower 4100/9300 シャーシにアップロードします（Firepower セキュリティ アプライアンスへのイメージのアップロードを参照）。


    （注）  
    シャーシ内のすべてのモジュールに同じアプリケーション インスタンス タイプ（ASA または Firepower Threat Defense）をインストールする必要があります。現時点では、他のアプリケーション タイプはサポートされていません。モジュールは特定のアプリケーション タイプの異なるバージョンを実行できますが、すべてのモジュールを同じタイプのアプリケーション インスタンスとして設定する必要があります。

  • 論理デバイスで使用する管理インターフェイスを設定します。管理インターフェイスが必要です。この管理インターフェイスは、シャーシの管理のみに使用されるシャーシ管理インターフェイスと同じではありません（シャーシ管理インターフェイスは、[Interfaces] タブの上部に [MGMT] として表示されます）。

手順

ステップ 1

[Logical Devices] を選択します。

[Logical Devices] ページに、シャーシ上にある論理デバイスのリストが表示されます。

ステップ 2

[Add Device] をクリックします。

[Add Device] ダイアログボックスが表示されます。

ステップ 3

[Device Name] に論理デバイスの名前を入力します。

この名前は、Firepower 4100/9300 シャーシ スーパバイザが管理設定を行ってインターフェイスを割り当てるために使用します。これはセキュリティ モジュール/エンジン設定で使用されるデバイス名ではありません。

ステップ 4

[Template] では、[Cisco Adaptive Security Appliance] を選択します。

ステップ 5

[Image Version] を選択します。

ステップ 6

[Device Mode] では、[Standalone] オプション ボタンをクリックします。

ステップ 7

[OK] をクリックします。

[Provisioning - device name] ウィンドウが表示されます。

ステップ 8

[Data Ports] 領域を展開し、デバイスに割り当てるポートをそれぞれクリックします。

ステップ 9

画面中央のデバイス アイコンをクリックします。

初期ブートストラップ設定を設定できるダイアログボックスが表示されます。これらの設定は、初期導入専用、またはディザスタ リカバリ用です。通常の運用では、アプリケーション CLI の設定でほとんどの値を変更できます。
ステップ 10

[General Information] タブで、次の手順を実行します。

  1. （Firepower 9300 などの複数のモジュール デバイスの場合）[Security Module Selection] の下で、この論理デバイスに使用するセキュリティ モジュールをクリックします。

  2. [Management Interface] を選択します。

  3. 管理インターフェイスを選択します。[Address Type]、[IPv4 only]、[IPv6 only]、または [IPv4 and IPv6]。

  4. [Management IP] アドレスを設定します。

  5. ネットワーク マスクまたはプレフィックス長を入力します。

  6. ネットワーク ゲートウェイ アドレスを入力します。

ステップ 11

[Settings] タブをクリックします。

ステップ 12

管理者ユーザの [Password] を入力して確認し、パスワードを有効にします。

事前設定されている ASA 管理者ユーザおよびイネーブル パスワードはパスワードの回復時に役立ちます。FXOS アクセスが可能な場合、管理者ユーザ パスワードを忘れたときにリセットできます。

ステップ 13

[OK] をクリックして、設定ダイアログボックスを閉じます。

ステップ 14

[Save] をクリックします。

シャーシは、指定したソフトウェア バージョンをダウンロードし、指定したセキュリティ モジュール/エンジンにブートストラップ設定と管理インターフェイス設定をプッシュすることで、論理デバイスを導入します。

ステップ 15

論理デバイスを導入後、デバイスの前に配置される DDoS 検出および緩和サービスとして、サードパーティの Radware DefensePro 仮想プラットフォームをインストールできます。Radware DefensePro についてを参照してください。

スタンドアロン Firepower Threat Defense の追加

スタンドアロンの論理デバイスは、単独またはハイ アベイラビリティ ペアで動作します。Firepower 9300 などの複数のモジュール デバイスでは、クラスタまたはスタンドアロン デバイスを導入できます。クラスタはすべてのモジュールを使用する必要があるため、たとえば、2 モジュール クラスタと単一のスタンドアロン デバイスをうまく組み合わせることはできません。

始める前に

  • 論理デバイスに使用するアプリケーション イメージを Cisco.com からダウンロードして（Cisco.com からのイメージのダウンロードを参照）、そのイメージを Firepower 4100/9300 シャーシにアップロードします（Firepower セキュリティ アプライアンスへのイメージのアップロードを参照）。


    （注）  
    シャーシ内のすべてのモジュールに同じアプリケーション インスタンス タイプ（ASA または Firepower Threat Defense）をインストールする必要があります。現時点では、他のアプリケーション タイプはサポートされていません。モジュールは特定のアプリケーション タイプの異なるバージョンを実行できますが、すべてのモジュールを同じタイプのアプリケーション インスタンスとして設定する必要があります。

  • 論理デバイスで使用する管理インターフェイスを設定します。管理インターフェイスが必要です。この管理インターフェイスは、シャーシの管理のみに使用されるシャーシ管理インターフェイスと同じではありません（シャーシ管理インターフェイスは、[Interfaces] タブの上部に [MGMT] として表示されます）。

  • また、少なくとも 1 つのデータ型インターフェイスを設定する必要があります。必要に応じて、すべてのイベントのトラフィック（Web イベントなど）を運ぶ firepower-eventing インターフェイスも作成できます。詳細については、インターフェイス タイプを参照してください。

手順

ステップ 1

[Logical Devices] を選択します。

[Logical Devices] ページに、シャーシ上にある論理デバイスのリストが表示されます。

ステップ 2

[Add Device] をクリックします。

[Add Device] ダイアログボックスが表示されます。

ステップ 3

[Device Name] に論理デバイスの名前を入力します。

この名前は、Firepower 4100/9300 シャーシ スーパバイザが管理設定を行ってインターフェイスを割り当てるために使用します。これはセキュリティ モジュール/エンジン設定で使用されるデバイス名ではありません。

ステップ 4

[Template] では、[Cisco Firepower Threat Defense] を選択します。

ステップ 5

[Image Version] を選択します。

ステップ 6

[Device Mode] では、[Standalone] オプション ボタンをクリックします。

ステップ 7

[OK] をクリックします。

[Provisioning - device name] ウィンドウが表示されます。

ステップ 8

[Data Ports] 領域を展開し、デバイスに割り当てるインターフェイスをそれぞれクリックします。

ハードウェア バイパス 対応のポートは次のアイコンで表示されます：。ハードウェア バイパス ペアの両方のインターフェイスとも割り当てられていない場合、割り当てが意図的であることを確認する警告メッセージが表示されます。ハードウェア バイパス 機能を使用する必要はないため、単一のインターフェイスを割り当てることができます。

ステップ 9

画面中央のデバイス アイコンをクリックします。

初期ブートストラップ設定を設定できるダイアログボックスが表示されます。これらの設定は、初期導入専用、またはディザスタ リカバリ用です。通常の運用では、アプリケーション CLI の設定でほとんどの値を変更できます。
ステップ 10

[General Information] タブで、次の手順を実行します。

  1. （Firepower 9300 などの複数のモジュール デバイスの場合）[Security Module Selection] の下で、この論理デバイスに使用するセキュリティ モジュールをクリックします。

  2. [Management Interface] を選択します。

  3. 管理インターフェイスを選択します。[Address Type]、[IPv4 only]、[IPv6 only]、または [IPv4 and IPv6]。

  4. [Management IP] アドレスを設定します。

  5. ネットワーク マスクまたはプレフィックス長を入力します。

  6. ネットワーク ゲートウェイ アドレスを入力します。

ステップ 11

[Settings] タブで、次の手順を実行します。

  1. [Registration Key] フィールドで、登録時に Firepower Management Center と デバイス間で共有するキーを入力します。

  2. [Password] フィールドにデバイスのパスワードを入力します。

  3. [Firepower Management Center IP] フィールドに、管理 Firepower Management Center の IP アドレスを入力します。

  4. [Search Domains] フィールドに、デバイスの検索ドメインのカンマ区切りのリストを入力します。

  5. [Firewall Mode]、[Transparent]、または [Routed] を選択します。

  6. [DNS Servers] フィールドに、使用するデバイスの DNS サーバのカンマ区切りのリストを入力します。

  7. [Fully Qualified Hostname] フィールドに、脅威防御デバイスの完全修飾名を入力します。

  8. Firepower イベントの送信に使用する [Eventing Interface] を選択します。指定しない場合は、管理インターフェイスが使用されます。

    Firepower イベントに使用するインターフェイスを指定するには、インターフェイスを firepower-eventing インターフェイスとして設定する必要があります。詳細については、Firepower インターフェイスについてを参照してください。

ステップ 12

[Agreement] タブで、エンド ユーザ ライセンス（EULA）を読んで、同意します。

ステップ 13

[OK] をクリックして、設定ダイアログボックスを閉じます。

ステップ 14

[Save] をクリックします。

シャーシは、指定したソフトウェア バージョンをダウンロードし、指定したセキュリティ モジュール/エンジンにブートストラップ設定と管理インターフェイス設定をプッシュすることで、論理デバイスを導入します。

ステップ 15

論理デバイスを導入後、デバイスの前に配置される DDoS 検出および緩和サービスとして、サードパーティの Radware DefensePro 仮想プラットフォームをインストールできます。Radware DefensePro についてを参照してください。

ハイ アベイラビリティ ペアの追加

Firepower Threat Defense または ASA ハイ アベイラビリティ（フェールオーバーとも呼ばれる）は、FXOS ではなく、アプリケーション内で設定します。ただし、ハイ アベイラビリティのシャーシを準備するには、次の手順を参照してください。

始める前に

  • ハイ アベイラビリティ システム要件については、ハイ アベイラビリティのアプリケーション設定ガイドの章を参照してください。

手順

ステップ 1

各論理デバイスは個別のシャーシ上にある必要があります。Firepower 9300 のシャーシ内のハイ アベイラビリティは推奨されず、サポートされない可能性があります。
ステップ 2

各論理デバイスに同一のインターフェイスを割り当てます。
ステップ 3

フェールオーバー リンクとステート リンクに対して 1 つまたは 2 つのデータ インターフェイスを割り当てます。

これらのインターフェイスは、2 つのシャーシ間でハイ アベイラビリティ トラフィックを交換します。統合されたフェールオーバー リンクとステート リンクには、10 GB のデータ インターフェイスを使用することを推奨します。使用可能なインターフェイスがあれば、別のフェールオーバーおよびステートのリンクを使用できます。ステート リンクには、ほとんどの帯域幅が必要です。フェールオーバー リンクまたはステート リンクに管理タイプのインターフェイスを使用することはできません。同じネットワーク セグメント上で他のデバイスをフェールオーバー インターフェイスとして使用せずに、シャーシ間でスイッチを使用することをお勧めします。

ステップ 4

論理デバイスでハイ アベイラビリティを有効にします。
ステップ 5

ハイ アベイラビリティを有効にした後にインターフェイスを変更する必要がある場合は、スタンバイ ユニットを最初に変更し、次にアクティブ ユニットを変更します。

（注）   

ASA の場合、FXOS でインターフェイスを削除すると（たとえば、ネットワーク モジュールの削除、EtherChannel の削除、または EtherChannel へのインターフェイスの再割り当てなど）、必要な調整を行うことができるように、ASA 設定では元のコマンドが保持されます。設定からインターフェイスを削除すると、幅広い影響が出る可能性があります。ASA OS の古いインターフェイス設定は手動で削除できます。

クラスタの追加

クラスタリングを利用すると、複数のデバイスをグループ化して 1 つの論理デバイスとすることができます。クラスタは、単一デバイスのすべての利便性（管理、ネットワークへの統合）を備える一方で、複数デバイスによって高いスループットおよび冗長性を達成します。複数のモジュールを含む Firepower 9300 は、1 つのシャーシ内のすべてのモジュールをクラスタにグループ化する、シャーシ内クラスタリングをサポートします。複数のシャーシをまとめてグループ化する、シャーシ間クラスタリングも使用できます。シャーシ間クラスタリングは、Firepower 4100 シリーズなどの単一モジュール デバイスの唯一のオプションです。

Firepower 4100/9300 シャーシでのクラスタリングについて

クラスタは、単一の論理ユニットとして機能する複数のデバイスから構成されます。Firepower 4100/9300 シャーシにクラスタを展開すると、以下の処理が実行されます。

  • ユニット間通信用のクラスタ制御リンク（デフォルトのポート チャネル 48）を作成します。シャーシ内クラスタリングでは（Firepower 9300のみ）、このリンクは、クラスタ通信に Firepower 9300 バックプレーンを使用します。 シャーシ間クラスタリングでは、シャーシ間通信のために、この EtherChannel に物理インターフェイスを手動で割り当てる必要があります。

  • アプリケーション内のクラスタ ブートストラップ コンフィギュレーションを作成します。

    クラスタを展開すると、クラスタ名、クラスタ制御リンク インターフェイス、およびその他のクラスタ設定を含む各ユニットに対して、最小限のブートストラップ構成が Firepower 4100/9300 シャーシ スーパーバイザからプッシュされます。 クラスタリング環境をカスタマイズする場合、ブートストラップ コンフィギュレーションの一部は、アプリケーション内でユーザが設定できます。

  • スパンド インターフェイスとして、クラスタにデータ インターフェイスを割り当てます。

    シャーシ内クラスタリングでは、スパンド インターフェイスは、シャーシ間クラスタリングのように EtherChannel に制限されません。Firepower 9300 スーパーバイザは共有インターフェイスの複数のモジュールにトラフィックをロードバランシングするために内部で EtherChannel テクノロジーを使用するため、スパンド モードではあらゆるタイプのデータ インターフェイスが機能します。 シャーシ間クラスタリングでは、すべてのデータ インターフェイスでスパンド EtherChannel を使用します。


    （注）  

    管理インターフェイス以外の個々のインターフェイスはサポートされていません。

  • 管理インターフェイスをクラスタ内のすべてのユニットに指定します。

ここでは、クラスタリングの概念と実装について詳しく説明します。

標準出荷単位とセカンダリ単位の役割

クラスタのメンバーの 1 つが標準出荷単位です。標準出荷単位は自動的に決定されます。他のすべてのメンバーはセカンダリ単位です。

すべてのコンフィギュレーション作業は標準出荷単位でのみ実行する必要があります。コンフィギュレーションはその後、セカンダリ単位に複製されます。

クラスタ制御リンク

クラスタ制御リンクは、ポートチャネル 48 インターフェイスを使用して自動的に作成されます。シャーシ間クラスタリングでは、このインターフェイスにメンバ インターフェイスはありません。 シャーシ間クラスタリングでは、EtherChannel に 1 つ以上のインターフェイスを追加する必要があります。このクラスタ タイプの EtherChannel は、シャーシ内クラスタリング用のクラスタ通信に Firepower 9300 バックプレーンを使用します。

2 メンバ シャーシ間クラスタの場合、シャーシと別のシャーシとの間をクラスタ制御リンクで直接接続しないでください。インターフェイスを直接接続した場合、一方のユニットで障害が発生すると、クラスタ制御リンクが機能せず、他の正常なユニットも動作しなくなります。スイッチを介してクラスタ制御リンクを接続した場合は、正常なユニットについてはクラスタ制御リンクは動作を維持します。

クラスタ制御リンク トラフィックには、制御とデータの両方のトラフィックが含まれます。

シャーシ間クラスタリングのクラスタ制御リンクのサイズ

可能であれば、各シャーシの予想されるスループットに合わせてクラスタ制御リンクをサイジングする必要があります。そうすれば、クラスタ制御リンクが最悪のシナリオを処理できます。

クラスタ制御リンク トラフィックの内容は主に、状態アップデートや転送されたパケットです。クラスタ制御リンクでのトラフィックの量は常に変化します。転送されるトラフィックの量は、ロード バランシングの有効性、または中央集中型機能のための十分なトラフィックがあるかどうかによって決まります。次に例を示します。

  • NAT では接続のロード バランシングが低下するので、すべてのリターン トラフィックを正しいユニットに再分散する必要があります。

  • メンバーシップが変更されると、クラスタは大量の接続の再分散を必要とするため、一時的にクラスタ制御リンクの帯域幅を大量に使用します。

クラスタ制御リンクの帯域幅を大きくすると、メンバーシップが変更されたときの収束が高速になり、スループットのボトルネックを回避できます。


（注）  

クラスタに大量の非対称（再分散された）トラフィックがある場合は、クラスタ制御リンクのサイズを大きくする必要があります。

シャーシ間クラスタリングのクラスタ制御リンク冗長性

次の図は、仮想スイッチング システム（VSS）または仮想ポート チャネル（vPC）環境でクラスタ制御リンクとして EtherChannel を使用する方法を示します。EtherChannel のすべてのリンクがアクティブです。スイッチが VSS または vPC の一部である場合は、同じ EtherChannel 内の Firepower 4100/9300 シャーシ インターフェイスをそれぞれ、VSS または vPC 内の異なるスイッチに接続できます。スイッチ インターフェイスは同じ EtherChannel ポートチャネル インターフェイスのメンバです。複数の個別のスイッチが単一のスイッチのように動作するからです。この EtherChannel は、スパンド EtherChannel ではなく、デバイス ローカルであることに注意してください。

シャーシ間クラスタリングのクラスタ制御リンクの信頼性

クラスタ制御リンクの機能を保証するには、ユニット間のラウンドトリップ時間（RTT）が 20 ms 未満になるようにします。この最大遅延により、異なる地理的サイトにインストールされたクラスタ メンバとの互換性が向上します。遅延を調べるには、ユニット間のクラスタ制御リンクで ping を実行します。

クラスタ制御リンクは、順序の異常やパケットのドロップがない信頼性の高いものである必要があります。たとえば、サイト間の導入の場合、専用リンクを使用する必要があります。

クラスタ制御リンク ネットワーク

Firepower 4100/9300 シャーシは、シャーシ ID およびスロット ID（127.2.chassis_id.slot_id）に基づいて、各ユニットのクラスタ制御リンク インターフェイス IP アドレスを自動生成します。この IP アドレスは、FXOS でもアプリケーション内でも手動で設定できません。クラスタ制御リンク ネットワークには、ユニット間のルータを含めることはできません。レイヤ 2 スイッチングのみが許可されます。 サイト間トラフィックには、オーバーレイ トランスポート仮想化（OTV）を使用することをお勧めします。

管理ネットワーク

すべてのユニットを単一の管理ネットワークに接続することを推奨します。このネットワークは、クラスタ制御リンクとは別のものです。

管理インターフェイス

管理タイプのインターフェイスをクラスタに割り当てる必要があります。このインターフェイスはスパンド インターフェイスではなく、特別な個別インターフェイスです。管理インターフェイスによって各単位に直接接続できます。

ASA の場合は、メイン クラスタ IP アドレスはそのクラスタの固定アドレスであり、常に現在の標準出荷単位に属します。アドレス範囲も設定して、現在の標準出荷単位を含む各単位がその範囲内のローカル アドレスを使用できるようにする必要があります。このメイン クラスタ IP アドレスによって、管理アクセスのアドレスが一本化されます。標準出荷単位が変更されると、メイン クラスタ IP アドレスは新しい標準出荷単位に移動するので、クラスタの管理をシームレスに続行できます。ローカル IP アドレスは、ルーティングに使用され、トラブルシューティングにも役立ちます。たとえば、クラスタを管理するにはメイン クラスタ IP アドレスに接続します。このアドレスは常に、現在の標準出荷単位に関連付けられています。個々のメンバを管理するには、ローカル IP アドレスに接続します。TFTP や syslog などの発信管理トラフィックの場合、標準出荷単位を含む各単位は、ローカル IP アドレスを使用してサーバに接続します。

Firepower Threat Defense では、同じネットワークの各単位に管理 IP アドレスを割り当てます。各単位を FMCに追加するときは、次の IP アドレスを使用します。

スパンド EtherChannel

シャーシあたり 1 つ以上のインターフェイスをグループ化して、クラスタのすべてのシャーシに広がる EtherChannel とすることができます。EtherChannel によって、チャネル内の使用可能なすべてのアクティブ インターフェイスのトラフィックが集約されます。スパンド EtherChannel は、ルーテッドとトランスペアレントのどちらのファイアウォール モードでも設定できます。ルーテッド モードでは、EtherChannel は単一の IP アドレスを持つルーテッド インターフェイスとして設定されます。トランスペアレント モードでは、IP アドレスはブリッジグループ メンバーではなく BVI に割り当てられます。EtherChannel は初めから、ロード バランシング機能を基本的動作の一部として備えています。

サイト間クラスタリング

サイト間インストールの場合、次の推奨ガイドラインに従う限り、クラスタリングを利用できます。

各クラスタ シャーシを個別のサイト ID に属するように設定できます。

サイト ID は、サイト固有の MAC アドレスおよび IP アドレスと連動します。クラスタから送信されたパケットは、サイト固有の MAC アドレスおよび IP アドレスを使用するのに対し、クラスタで受信したパケットは、グローバル MAC アドレスおよび IP アドレスを使用します。この機能により、MAC フラッピングの原因となる 2 つの異なるポートで両方のサイトから同じグローバル MAC アドレスをスイッチが学習するのを防止します。代わりに、スイッチはサイトの MAC アドレスのみを学習します。サイト固有の MAC アドレスおよび IP アドレスは、スパンド EtherChannel のみを使用したルーテッド モードでサポートされます。

サイト ID は、LISP インスペクションを使用したフロー モビリティの有効化、データセンターのサイト間クラスタリングのパフォーマンス向上とラウンドトリップ時間の遅延短縮のためのディレクタ ローカリゼーションの有効化、およびトラフィック フローのバックアップ オーナーが常にオーナーとは異なるサイトに存在する接続に対するサイト冗長性の有効化のためにも使用されます。

サイト間クラスタリングの詳細については、以下の項を参照してください。

ASA クラスタの追加

単独の Firepower 9300 シャーシをシャーシ内クラスタとして追加することも、複数のシャーシをシャーシ間クラスタリングに追加することもできます。 シャーシ間クラスタリングでは、各シャーシを別々に設定します。1 つのシャーシにクラスタを追加したら、導入を簡単にするため、ブートストラップ設定を最初のシャーシから次のシャーシにコピーし、

ASA クラスタの作成

Firepower 4100/9300 シャーシにクラスタを展開します。

マルチ コンテキスト モードの場合、最初に論理デバイスを展開してから、ASA アプリケーションでマルチ コンテキスト モードを有効にする必要があります。

Firepower 4100/9300 シャーシからルーテッド ファイアウォール モード ASA を展開できます。ASA をトランスペアレント ファイアウォール モードに変更するには、初期導入を完了し、ASA CLI 内でファイアウォール モードを変更します。

始める前に

  • モジュールがインストールされていない場合でも、Firepower 9300 シャーシの 3 つすべてのモジュール スロットでクラスタリングを有効にする必要があります。3 つすべてのモジュールを設定していないと、クラスタは機能しません。

  • [Interfaces] タブで、ポート チャネル 48 クラスタ タイプのインターフェイスは、メンバ インターフェイスが含まれていない場合は、[Operation State] を [failed] と表示します。シャーシ内クラスタリングの場合、この EtherChannel はメンバ インターフェイスを必要としないため、この動作状態は無視して構いません。

手順
ステップ 1

クラスタを展開する前に、1 つ以上のデータ タイプのインターフェイスまたは EtherChannel（ポートチャネルとも呼ばれる）を追加します。EtherChannel（ポート チャネル）の追加または物理インターフェイスの設定を参照してください。

また、データ インターフェイスはクラスタを展開した後でも、そのクラスタに追加できます。

シャーシ間クラスタリングでは、全データ インターフェイスは 1 つ以上のメンバ インターフェイスを持つ EtherChannel である必要があります。各シャーシに同じ EtherChannel を追加します。

ステップ 2

管理タイプのインターフェイスまたは EtherChannel を追加します。EtherChannel（ポート チャネル）の追加または物理インターフェイスの設定を参照してください。

シャーシ間クラスタリングの場合、各シャーシに同じ管理インターフェイスを追加します。管理インターフェイスが必要です。この管理インターフェイスは、シャーシの管理のみに使用される（[Interfaces] タブの上部に [MGMT] として表示される）シャーシ管理インターフェイスと同じではありません。

ステップ 3

シャーシ間クラスタリングでは、ポート チャネル 48 にメンバー インターフェイスを追加し、クラスタ制御リンクとして使用します。

メンバ インターフェイスを含めないと、論理デバイスを展開したときに、Firepower Chassis Managerでこのクラスタがシャーシ内クラスタとみなされ、[Chassis ID] フィールドが表示されません。各シャーシに同じメンバ インターフェイスを追加します。

ステップ 4

[Logical Devices] を選択します。

[Logical Devices] ページに、シャーシ上にある論理デバイスのリストが表示されます。

ステップ 5

[Add Device] をクリックします。

[Add Device] ダイアログボックスが表示されます。

ステップ 6

[Device Name] に論理デバイスの名前を入力します。

この名前は、Firepower 4100/9300 シャーシ スーパバイザが管理設定を行ってインターフェイスを割り当てるために使用します。これはセキュリティ モジュール/エンジン設定で使用されるデバイス名ではありません。

ステップ 7

[Template] では、[Cisco Adaptive Security Appliance] を選択します。

ステップ 8

[ASA Image Version] を選択します。

ステップ 9

[Device Mode] では、[Cluster] オプション ボタンをクリックします。

ステップ 10

[Create New Cluster] ラジオ ボタンをクリックします。

ステップ 11

[OK] をクリックします。

スタンドアロン デバイスを設定している場合は、新しいクラスタに置き換えるように求められます。[Provisioning - device name] ウィンドウが表示されます。

デフォルトでは、すべてのインターフェイスがクラスタに割り当てられます。

ステップ 12

画面中央のデバイス アイコンをクリックします。

[ASA Configuration] ダイアログボックスが [Cluster Information] タブが選択された状態で表示されます。

ステップ 13

[Chassis ID] フィールドに、シャーシ ID を入力します。クラスタの各シャーシに固有の ID を使用する必要があります。

ステップ 14

サイト間クラスタリングの場合、[Site ID] フィールドに、このシャーシのサイト ID を 1 ～ 8 の範囲で入力します。

ステップ 15

[Cluster Key] フィールドで、クラスタ制御リンクの制御トラフィック用の認証キーを設定します。

共有秘密は、1 ～ 63 文字の ASCII 文字列です。共有秘密は、キーを生成するために使用されます。このオプションは、データパス トラフィック（接続状態アップデートや転送されるパケットなど）には影響しません。データパス トラフィックは、常にクリア テキストとして送信されます。

ステップ 16

[Cluster Group Name] を設定します。これはセキュリティ モジュール設定のクラスタ グループ名です。

名前は 1 ～ 38 文字の ASCII 文字列であることが必要です。

ステップ 17

[Management Interface] をクリックして、先に作成した管理インターフェイスを選択します。

ステップ 18

管理インターフェイスの [Address Type] を選択します。

この情報は、セキュリティ モジュール設定で管理インターフェイスを設定するために使用されます。

  1. [Management IP Pool] フィールドに、開始アドレスと終了アドレスをハイフンで区切って入力し、ローカル IP アドレスのプールを設定します。このうちの 1 つがインターフェイス用に各クラスタ ユニットに割り当てられます。

    最低でも、クラスタ内のユニット数と同じ数のアドレスが含まれるようにしてください。Firepower 9300 の場合、すべてのモジュール スロットが埋まっていないとしても、シャーシごとに 3 つのアドレスを含める必要があることに注意してください。クラスタを拡張する予定の場合は、アドレスを増やします。現在のマスター ユニットに属する仮想 IP アドレス（メイン クラスタ IP アドレスと呼ばれる）は、このプールの一部ではありません。必ず、同じネットワークの IP アドレスの 1 つをメイン クラスタ IP アドレス用に確保してください。IPv4 アドレスと IPv6 アドレス（どちらか一方も可）を使用できます。

  2. ネットワーク マスクまたはプレフィックス長を入力します。

  3. ネットワーク ゲートウェイを入力します。

  4. 仮想 IP アドレスを入力します。

    この IP アドレスは、クラスタ プール アドレスと同じネットワーク上に存在している必要がありますが、プールに含まれていてはなりません。

ステップ 19

[Settings] タブをクリックします。

ステップ 20

管理者ユーザの [Password] を入力して確認し、パスワードを有効にします。

事前設定されている ASA 管理者ユーザはパスワードの回復時に役立ちます。FXOS アクセスができる場合、管理者ユーザ パスワードを忘れたときにリセットできます。
ステップ 21

[OK] をクリックして、[ASA Configuration] ダイアログボックスを閉じます。

ステップ 22

[Save] をクリックします。

Firepower 4100/9300 シャーシ スーパバイザは、指定したソフトウェア バージョンをダウンロードし、各セキュリティ モジュールにクラスタ ブートストラップ コンフィギュレーションと管理インターフェイス設定をプッシュすることで、クラスタを展開します。

ステップ 23

シャーシ間クラスタリングでは、クラスタに次のシャーシを追加します。

  1. 最初のシャーシの Firepower Chassis Manager で、右上の [Show Cluster Details] アイコンをクリックして、表示されるクラスタ設定をコピーします。

  2. 次のシャーシの Firepower Chassis Manager に接続し、この手順に従って論理デバイスを追加します。

  3. [Join an Existing Cluster] を選択します。

  4. [Copy config] チェック ボックスをクリックして、[OK] をクリックします。このチェックボックスをオフにする場合は、手動で最初のシャーシの設定に一致するように設定を入力する必要があります。

  5. [Copy Cluster Details] ボックスに、最初のシャーシのクラスタ設定を貼り付け、[OK] をクリックします。

  6. 画面中央のデバイス アイコンをクリックします。クラスタ情報は大半は事前に入力済みですが、次の設定は変更する必要があります。

    • Chassis ID：一意のシャーシ ID を入力します。

    • Site ID：正しいサイト ID を入力します。

    • Cluster Key：（事前に入力されていない）同じクラスタ キーを入力します。

    [OK] をクリックします。

  7. [Save] をクリックします。

ステップ 24

マスター ユニット ASA に接続して、クラスタリング設定をカスタマイズします。

クラスタ メンバの追加

ASA クラスタ メンバを追加または置き換えます。


（注）  

この手順は、シャーシの追加または置換にのみ適用されます。クラスタリングがすでに有効になっている Firepower 9300 にモジュールを追加または置換する場合、モジュールは自動的に追加されます。

始める前に

  • 既存のクラスタに、この新しいメンバ用の管理 IP アドレスプール内で十分な IP アドレスが割り当てられているようにしてください。それ以外の場合は、この新しいメンバを追加する前に、各シャーシ上の既存のクラスタ ブートストラップ設定を編集する必要があります。この変更により論理デバイスが再起動します。

  • インターフェイスの設定は、新しいシャーシでの設定と同じである必要があります。

  • マルチ コンテキスト モードでは、最初のクラスタ メンバの ASA アプリケーションでマルチ コンテキスト モードを有効にします。追加のクラスタ メンバはマルチ コンテキスト モード設定を自動的に継承します。

手順
ステップ 1

既存のクラスタ シャーシ Firepower Chassis Manager で、[Logical Devices] を選択して [Logical Devices] ページを開きます。

ステップ 2

右上の [Show Configuration] アイコン（[Show Configuration] アイコン） をクリックして、表示されるクラスタの設定をコピーします。

ステップ 3

新しいシャーシの Firepower Chassis Manager に接続して、[Add Device] をクリックします。

ステップ 4

[Device Name] には、論理デバイスの名前を指定します。

ステップ 5

[Template] では、[Cisco Adaptive Security Appliance] を選択します。

ステップ 6

[Image Version] では、ASA のソフトウェア バージョンを選択します。

ステップ 7

[Device Mode] では、[Cluster] オプション ボタンをクリックします。

ステップ 8

[Join an Existing Cluster] を選択します。

ステップ 9

[Copy config] チェック ボックスをクリックして、[OK] をクリックします。このチェックボックスをオフにする場合は、手動で最初のシャーシの設定に一致するように設定を入力する必要があります。

ステップ 10

[Copy Cluster Details] ボックスに、最初のシャーシのクラスタ設定を貼り付け、[OK] をクリックします。

ステップ 11

画面中央のデバイス アイコンをクリックします。クラスタ情報は大半は事前に入力済みですが、次の設定は変更する必要があります。

  • Chassis ID：一意のシャーシ ID を入力します。

  • Site ID：正しいサイト ID を入力します。

  • Cluster Key：（事前に入力されていない）同じクラスタ キーを入力します。

[OK] をクリックします。

ステップ 12

[Save] をクリックします。

Firepower Threat Defense Cluster の追加

単独の Firepower 9300 シャーシをシャーシ内クラスタとして追加することも、複数のシャーシをシャーシ間クラスタリングに追加することもできます。 シャーシ間クラスタリングでは、各シャーシを別々に設定します。1 つのシャーシにクラスタを追加したら、導入を簡単にするため、ブートストラップ設定を最初のシャーシから次のシャーシにコピーし、次のシャーシにほぼ同じ設定を入力します。

Firepower Threat Defense クラスタの作成

クラスタは、Firepower 4100/9300 シャーシ スーパバイザから簡単に展開できます。すべての初期設定が各ユニットに自動的に生成されます。 シャーシ間クラスタリングでは、各シャーシを別々に設定します。展開を容易にするために、1 つのシャーシにクラスタを展開し、その後、最初のシャーシから次のシャーシにブートストラップ コンフィギュレーションをコピーできます。

始める前に

  • モジュールがインストールされていない場合でも、Firepower 9300 シャーシの 3 つすべてのモジュール スロットでクラスタリングを有効にする必要があります。3 つすべてのモジュールを設定していないと、クラスタは機能しません。

  • [Interfaces] タブで、ポート チャネル 48 クラスタ タイプのインターフェイスは、メンバ インターフェイスが含まれていない場合は、[Operation State] を [failed] と表示します。シャーシ内クラスタリングの場合、この EtherChannel はメンバ インターフェイスを必要としないため、この動作状態は無視して構いません。

手順
ステップ 1

クラスタを展開する前に、1 つ以上のデータ タイプのインターフェイスまたは EtherChannel（ポートチャネルとも呼ばれる）を追加します。

導入後にもクラスタにデータ インターフェイスを追加できます。

シャーシ間クラスタリングでは、全データ インターフェイスは 1 つ以上のメンバ インターフェイスを持つ EtherChannel である必要があります。各シャーシに同じ EtherChannel を追加します。

ステップ 2

管理タイプのインターフェイスまたは EtherChannel を追加します。

シャーシ間クラスタリングの場合、各シャーシに同じ管理インターフェイスを追加します。管理インターフェイスが必要です。この管理インターフェイスは、シャーシの管理のみに使用される（[Interfaces] タブの上部に [MGMT] として表示される）シャーシ管理インターフェイスと同じではありません。

ステップ 3

シャーシ間クラスタリングでは、ポート チャネル 48 にメンバー インターフェイスを追加し、クラスタ制御リンクとして使用します。

メンバ インターフェイスを含めないと、論理デバイスを展開したときに、Firepower Chassis Managerでこのクラスタがシャーシ内クラスタとみなされ、[Chassis ID] フィールドが表示されません。各シャーシに同じメンバ インターフェイスを追加します。

ステップ 4

（任意） Firepower-eventing インターフェイスを追加します。

このインターフェイスは、FTD デバイスのセカンダリ管理インターフェイスです。このインターフェイスを使用するには、FTD CLI で IP アドレスなどのパラメータを設定する必要があります。たとえば、イベント（Web イベントなど）から管理トラフィックを分類できます。Firepower Threat Defense コマンド リファレンスの configure network コマンドを参照してください。

シャーシ間クラスタリングの場合、各シャーシに同じイベント インターフェイスを追加します。

ステップ 5

[Logical Devices] を選択します。

[Logical Devices] ページに、シャーシ上にある論理デバイスのリストが表示されます。

ステップ 6

[Add Device] をクリックします。

[Add Device] ダイアログボックスが表示されます。

ステップ 7

[Device Name] に論理デバイスの名前を入力します。

この名前は、Firepower 4100/9300 シャーシ スーパバイザが管理設定を行ってインターフェイスを割り当てるために使用します。これはセキュリティ モジュール/エンジン設定で使用されるデバイス名ではありません。

ステップ 8

[Template] には、[Cisco Firepower Threat Defense] を選択します。

ステップ 9

Firepower Threat Defense の [Image Version] を選択します。

ステップ 10

[Device Mode] では、[Cluster] オプション ボタンをクリックします。

ステップ 11

[Create New Cluster] ラジオ ボタンをクリックします。

ステップ 12

[OK] をクリックします。

スタンドアロン デバイスを設定している場合は、新しいクラスタに置き換えるように求められます。[Provisioning - device name] ウィンドウが表示されます。

シャーシ間クラスタリングの場合、デフォルトですべてのインターフェイスがクラスタに割り当てられています。ハードウェア バイパス対応ポートは次のアイコンのように表示されます：。ハードウェア バイパス ペアの両方のインターフェイスとも割り当てられていない場合、割り当てが意図的であることを確認する警告メッセージが表示されます。ハードウェア バイパス機能を使用する必要はないため、必要に応じて単一のインターフェイスを割り当てることができます。 ハードウェア バイパス ポートは、EtherChannel のメンバーとしてサポートされないため、シャーシ間クラスタリングではサポートされません。

ステップ 13

画面中央のデバイス アイコンをクリックします。

[Cisco Firepower Threat Defense Configuration] ダイアログボックスが表示されます。

ステップ 14

[Cluster Information] タブで、次の手順を実行します。

  1. [Chassis ID] フィールドに、シャーシ ID を入力します。クラスタの各シャーシに固有の ID を使用する必要があります。

  2. サイト間クラスタリングの場合は、[Site ID] フィールドにこのシャーシのサイト ID（1 ～ 8）を入力します。この機能は、Firepower Management Center FlexConfig 機能を使用した場合にのみ構成可能です。

  3. [Cluster Key] フィールドで、クラスタ制御リンクの制御トラフィックの認証キーを設定します。

    共有秘密は、1 ～ 63 文字の ASCII 文字列です。共有秘密は、キーを生成するために使用されます。このオプションは、データパス トラフィック（接続状態アップデートや転送されるパケットなど）には影響しません。データパス トラフィックは、常にクリア テキストとして送信されます。

  4. [Cluster Group Name] を設定します。これは、論理デバイス設定のクラスタ グループ名です。

    名前は 1 ～ 38 文字の ASCII 文字列であることが必要です。

  5. [Management Interface] ドロップダウン リストから、論理デバイスで使用する管理インターフェイスを選択します。

    ハードウェア バイパス 対応のインターフェイスをマネジメント インターフェイスとして割り当てると、割り当てが意図的であることを確認する警告メッセージが表示されます。

ステップ 15

[Settings] タブで、次の手順を実行します。

  1. [Registration Key] フィールドに、登録時に Firepower Management Center とクラスタ メンバー間で共有するキーを入力します。

  2. [Password] フィールドに、クラスタの管理者ユーザのパスワードを入力します。

  3. [Firepower Management Center IP] フィールドに、管理 Firepower Management Center の IP アドレスを入力します。

  4. [Search Domains] フィールドに、管理ネットワークの検索ドメインのカンマ区切りのリストを入力します。

  5. [Firewall Mode] ドロップダウン リストから、[Transparent] または [Routed] を選択します。

  6. [DNS Servers] フィールドに、FTD デバイスがその管理ネットワーク上で使用する必要がある DNS サーバのカンマ区切りのリストを入力します。

  7. [Fully Qualified Hostname] フィールドに、FTD デバイスの完全修飾名を入力します。

  8. [Eventing Interface] ドロップダウン リストから、Firepower イベントを送信するインターフェイスを選択します。指定しない場合は、管理インターフェイスが使用されます。

    Firepower イベントに使用する別のインターフェイスを指定するには、firepower-eventing インターフェイスとしてインターフェイスを設定する必要があります。ハードウェア バイパス対応のインターフェイスを Eventing インターフェイスとして割り当てると、割り当てが意図的であることを確認する警告メッセージが表示されます。

ステップ 16

[Interface Information] タブで、クラスタ内の各セキュリティ モジュールの管理 IP アドレスを設定します。[Address Type] ドロップダウン リストからアドレスのタイプを選択し、セキュリティ モジュールごとに次の手順を実行します。

（注）   

モジュールがインストールされていない場合でも、シャーシの 3 つすべてのモジュール スロットで IP アドレスを設定する必要があります。3 つすべてのモジュールを設定していないと、クラスタは機能しません。

  1. [Management IP] フィールドで、IP アドレスを設定します。

    モジュールごとに同じネットワークの IP アドレスを指定します。

  2. ネットワーク マスクまたはプレフィックス長を入力します。

  3. ネットワーク ゲートウェイ アドレスを入力します。

ステップ 17

[Agreement] タブで、エンド ユーザ ライセンス契約（EULA）を読み、これに同意します。

ステップ 18

[OK] をクリックして、[Cisco Firepower Threat Defense Configuration] ダイアログボックスを閉じます。

ステップ 19

[Save] をクリックします。

Firepower 4100/9300 シャーシ スーパバイザは、指定したソフトウェア バージョンをダウンロードし、各セキュリティ モジュールにクラスタ ブートストラップ コンフィギュレーションと管理インターフェイス設定をプッシュすることで、クラスタを展開します。

ステップ 20

シャーシ間クラスタリングでは、クラスタに次のシャーシを追加します。

  1. 最初のシャーシの Firepower Chassis Manager で、右上にある [Show Configuration] アイコン（[Show Configuration] アイコン） をクリックして、表示されるクラスタの設定をコピーします。

  2. 次のシャーシの Firepower Chassis Manager に接続し、この手順に従って論理デバイスを追加します。

  3. [Join an Existing Cluster] を選択します。

  4. [Copy config] チェック ボックスをクリックして、[OK] をクリックします。このチェックボックスをオフにする場合は、手動で最初のシャーシの設定に一致するように設定を入力する必要があります。

  5. [Copy Cluster Details] ボックスに、最初のシャーシのクラスタ設定を貼り付け、[OK] をクリックします。

  6. 画面中央のデバイス アイコンをクリックします。クラスタ情報は大半は事前に入力済みですが、次の設定は変更する必要があります。

    • Chassis ID：一意のシャーシ ID を入力します。

    • Site ID：サイト間クラスタリングの場合、このシャーシのサイト ID（1 ～ 8）を入力します。この機能は、Firepower Management Center FlexConfig 機能を使用した場合にのみ構成可能です。

    • Cluster Key：（事前に入力されていない）同じクラスタ キーを入力します。

    • Management IP：各モジュールの管理アドレスを、他のクラスタ メンバーと同じネットワーク上に存在する一意の IP アドレスとなるように変更します。

    [OK] をクリックします。

  7. [Save] をクリックします。

ステップ 21

管理 IP アドレスを使用して各ユニットを個別に Firepower Management Center に追加し、それらを Web インターフェイスでクラスタにグループ化します。

すべてのクラスタ ユニットは、Firepower Management Center に追加する前に、FXOS で正常な形式のクラスタ内に存在している必要があります。

クラスタ メンバの追加

既存のクラスタ内の FTD クラスタ メンバを追加または置き換えます。


（注）  

この手順における FXOS の手順は、新しいシャーシの追加のみに適用されます。クラスタリングがすでに有効になっている Firepower 9300 に新しいモジュールを追加する場合、モジュールは自動的に追加されます。ただし、Firepower Management Center に新しいモジュールを追加する必要があります。Firepower Management Center の手順までスキップします。
始める前に

  • 置き換える場合は、Firepower Management Center から古いクラスタ メンバを削除する必要があります。新しいユニットに置き換えると、Firepower Management Center 上の新しいデバイスとみなされます。

  • インターフェイスの設定は、新しいシャーシでの設定と同じである必要があります。

手順
ステップ 1

既存のクラスタ シャーシ Firepower Chassis Manager で、[Logical Devices] を選択して [Logical Devices] ページを開きます。

ステップ 2

右上の [Show Configuration] アイコン（[Show Configuration] アイコン） をクリックして、表示されるクラスタの設定をコピーします。

ステップ 3

新しいシャーシの Firepower Chassis Manager に接続して、[Add Device] をクリックします。

ステップ 4

[Device Name] に論理デバイスの名前を入力します。

ステップ 5

[Template] では、[Cisco Firepower Threat Defense] を選択します。

ステップ 6

[Image Version] では、FTD ソフトウェア バージョンを選択します。

ステップ 7

[Device Mode] では、[Cluster] オプション ボタンをクリックします。

ステップ 8

[Join an Existing Cluster] を選択します。

ステップ 9

[Copy config] チェック ボックスをクリックして、[OK] をクリックします。このチェックボックスをオフにする場合は、手動で最初のシャーシの設定に一致するように設定を入力する必要があります。

ステップ 10

[Copy Cluster Details] ボックスに、最初のシャーシのクラスタ設定を貼り付け、[OK] をクリックします。

ステップ 11

画面中央のデバイス アイコンをクリックします。クラスタ情報は大半は事前に入力済みですが、次の設定は変更する必要があります。

  • Chassis ID：一意のシャーシ ID を入力します。

  • Site ID：サイト間クラスタリングの場合、このシャーシのサイト ID（1 ～ 8）を入力します。この機能は、Firepower Management Center FlexConfig 機能を使用した場合にのみ構成可能です。

  • Cluster Key：（事前に入力されていない）同じクラスタ キーを入力します。

  • Management IP：各モジュールの管理アドレスを、他のクラスタ メンバと同じネットワーク上に存在する一意の IP アドレスとなるように変更します。

[OK] をクリックします。

ステップ 12

[Save] をクリックします。

ステップ 13

Firepower Management Center で、[Devices] > [Device Management] を選択してから [Add] > [Add Device] を選択して、新しい論理デバイスを追加します。

ステップ 14

[Add] > [Add Cluster] を選択します。

ステップ 15

ドロップダウン リストから現在の [Master] デバイスを選択します。

クラスタにすでに含まれているマスター デバイスを選択した場合、既存のクラスタの名前が自動入力され、[Slave Devices] ボックスに選択可能なすべてのスレーブ デバイスが表示されます。これには、FMC に追加したばかりの新しいユニットが含まれます。

ステップ 16

[Add] をクリックし、次に [Deploy] をクリックします。

クラスタは新しいメンバを追加して更新されます。

Radware DefensePro の設定

Cisco Firepower 4100/9300 シャーシは、単一ブレードで複数のサービス（ファイアウォール、サードパーティの DDoS アプリケーションなど）をサポートできます。これらのアプリケーションとサービスは、リンクされて、サービス チェーンを形成します。

Radware DefensePro について

現在サービスされているサービス チェーン コンフィギュレーションでは、サードパーティ製の Radware DefensePro 仮想プラットフォームを ASA ファイアウォールの手前、または Firepower Threat Defense の手前で実行するようにインストールできます。Radware DefensePro は、Firepower 4100/9300 シャーシに分散型サービス妨害（DDoS）の検出と緩和機能を提供する KVM ベースの仮想プラットフォームです。Firepower 4100/9300 シャーシでサービス チェーンが有効になると、ネットワークからのトラフィックは主要な ASA または Firepower Threat Defense ファイアウォールに到達する前に DefensePro 仮想プラットフォームを通過する必要があります。


（注）  

  • Radware DefensePro 仮想プラットフォームは、Radware vDP（仮想 DefensePro）、またはシンプルに vDP と呼ばれることがあります。

  • Radware DefensePro 仮想プラットフォームは、リンク デコレータと呼ばれることもあります。

Radware DefensePro の前提条件

Radware DefensePro を Firepower 4100/9300 シャーシに導入する前に、etc/UTC タイムゾーンで NTP サーバを使用するように Firepower 4100/9300 シャーシを構成する必要があります。Firepower 4100/9300 シャーシの日付と時刻の設定の詳細については、日時の設定を参照してください。

サービス チェーンのガイドライン

モデル

  • Radware DefensePro（vDP）プラットフォームは、次のセキュリティ アプライアンスの ASA でサポートされています。

    • Firepower 9300

    • Firepower 4120：このプラットフォームでは、CLI を使用して Radware DefensePro を導入する必要があります。Firepower Chassis Manager は、この機能をサポートしていません。

    • Firepower 4140：このプラットフォームでは、CLI を使用して Radware DefensePro を導入する必要があります。Firepower Chassis Manager は、この機能をサポートしていません。

    • Firepower 4150

  • Radware DefensePro プラットフォームは、次のセキュリティ アプライアンスの Firepower Threat Defense でサポートされています。

    • Firepower 9300

    • Firepower 4110：論理デバイスと同時にデコレータを導入する必要があります。デバイスにすでに論理デバイスが設定された後で、デコレータをインストールすることはできません。

    • Firepower 4120：論理デバイスと同時にデコレータを導入する必要があります。デバイスにすでに論理デバイスが設定された後で、デコレータをインストールすることはできません。

    • Firepower 4140

    • Firepower 4150

その他のガイドライン

  • サービス チェーンは、シャーシ内クラスタ コンフィギュレーションではサポートされていません。ただし、Radware DefensePro（vDP）アプリケーションは、シャーシ内クラスタ シナリオのスタンドアロン コンフィギュレーションに導入できます。

  • DefensePro アプリケーションは最大 3 つのセキュリティ モジュールの個別のインスタンスとして動作できます。

スタンドアロンの論理デバイスでの Radware DefensePro の設定

Radware DefensePro をスタンドアロン ASA または Firepower Threat Defense 論理デバイスの前にある単一のサービス チェーンにインストールするには、次の手順に従います。


（注）  

Firepower 4120 または 4140 セキュリティ アプライアンス上で ASA の前に Radware vDP をインストールする場合、FXOS CLI を使用してデコレータを展開する必要があります。Radware DefensePro を、Firepower 4100 デバイス上で ASA の前にあるサービス チェーンにインストールして設定する方法の詳細な CLI 手順については、『FXOS CLI Configuration Guide』を参照してください。

始める前に

手順

ステップ 1

vDP で別の管理インターフェイスを使用する場合は、物理インターフェイスの設定に従ってインターフェイスを有効にし、そのタイプが mgmt になるように設定してください。そうしない場合、アプリケーション管理インターフェイスを共有できます。

ステップ 2

[Logical Devices] を選択して [Logical Devices] ページを開きます。

[Logical Devices] ページに、シャーシに設定されている論理デバイスのリストが表示されます。論理デバイスが設定されていない場合は、これを通知するメッセージが表示されます。

ステップ 3

スタンドアロン ASA または Firepower Threat Defense 論理デバイスを作成します（スタンドアロン ASA の追加またはスタンドアロン Firepower Threat Defense の追加を参照）。

ステップ 4

[Decorators] 領域で、[vDP] を選択します。[Radware: Virtual DefensePro - Configuration] ウィンドウが表示されます。[General Information] タブで、次のフィールドを設定します。

ステップ 5

Firepower 4100/9300 シャーシ に複数の vDP バージョンをアップロードしている場合は、[Version] ドロップダウンから使用するバージョンを選択します。

ステップ 6

リソース構成可能な Radware DefensePro アプリケーションがある場合は、[Resource Profile] ドロップダウンの下に、サポートされているリソース プロファイルのリストが表示されます。デバイスに割り当てるリソース プロファイルを選択してください。リソース プロファイルを選択しない場合、デフォルトの設定が使用されます。

ステップ 7

[Management Interface] ドロップダウンで、この手順のステップ 1 で作成した管理インターフェイスを選択します。

ステップ 8

デフォルトの [Address Type]（[IPv4 only]、[IPv6 only]、または [IPv4 and IPv6]）を選択します。

ステップ 9

前のステップで選択した [Address Type] に基づいて次のフィールドを設定します。

  1. [Management IP] フィールドで、ローカル IP アドレスを設定します。

  2. IPv4 のみ：ネットワーク マスクを入力します。

    IPv6 のみ：プレフィックス長を入力します。

  3. ネットワーク ゲートウェイ アドレスを入力します。

ステップ 10

デバイスに割り当てる各データ ポートの横にあるチェックボックスをクリックします。

ステップ 11

[OK] をクリックします。

ステップ 12

[Save] をクリックします。

Firepower eXtensible Operating System は、指定したソフトウェア バージョンをダウンロードし、指定したセキュリティ モジュールにブートストラップ コンフィギュレーションと管理インターフェイス設定をプッシュすることで、論理デバイスを導入します。

次のタスク

DefensePro アプリケーションのパスワードを設定します。パスワードを設定するまでは、アプリケーションはオンラインにならないことに注意してください。詳細については、cisco.com に用意されている『Radware DefensePro DDoS Mitigation User Guide』を参照してください。

シャーシ内クラスタの Radware DefensePro の設定

Radware DefensePro イメージをインストールして ASA または Firepower Threat Defense シャーシ内クラスタの前にサービス チェーンを設定するには、次の手順に従います。


（注）  

サービス チェーンは、シャーシ内クラスタ コンフィギュレーションではサポートされていません。ただし、Radware DefensePro アプリケーションは、シャーシ内クラスタ シナリオのスタンドアロン コンフィギュレーションに導入できます。

始める前に

手順

ステップ 1

vDP で別の管理インターフェイスを使用する場合は、物理インターフェイスの設定に従ってインターフェイスを有効にし、そのタイプが mgmt になるように設定してください。そうしない場合、アプリケーション管理インターフェイスを共有できます。

ステップ 2

ASA または Firepower Threat Defense シャーシ内クラスタを設定します（ASA クラスタの作成またはFirepower Threat Defense クラスタの作成を参照）。

シャーシ内クラスタを設定する手順の最後で [Save] をクリックする前に、以下のステップに従ってクラスタに vDP デコレータを追加しておく必要があります。

ステップ 3

[Decorators] 領域で、[vDP] を選択します。[Radware: Virtual DefensePro - Configuration] ダイアログボックスが表示されます。[General Information] タブで、次のフィールドを設定します。

ステップ 4

Firepower 4100/9300 シャーシ に複数の vDP バージョンをアップロードした場合は、使用する vDP バージョンを [Version] ドロップダウンで選択します。

ステップ 5

リソース構成可能な Radware DefensePro アプリケーションがある場合は、[Resource Profile] ドロップダウンの下に、サポートされているリソース プロファイルのリストが表示されます。デバイスに割り当てるリソース プロファイルを選択してください。リソース プロファイルを選択しない場合、デフォルトの設定が使用されます。

ステップ 6

[Management Interface] ドロップダウンで管理インターフェイスを選択します。

ステップ 7

vDP デコレータに割り当てる各データ ポートの横にあるチェックボックスをクリックします。

ステップ 8

[Interface Information] タブをクリックします。

ステップ 9

使用する [Address Type]（[IPv4 only]、[IPv6 only]、または [IPv4 and IPv6]）を選択します。

ステップ 10

各セキュリティ モジュールで、次のフィールドを設定します。表示されるフィールドは、前のステップで選択した [Address Type] により異なります。

  1. [Management IP] フィールドで、ローカル IP アドレスを設定します。

  2. IPv4 のみ：ネットワーク マスクを入力します。

    IPv6 のみ：プレフィックス長を入力します。

  3. ネットワーク ゲートウェイ アドレスを入力します。

ステップ 11

[OK] をクリックします。

ステップ 12

[Save] をクリックします。

Firepower eXtensible Operating System は、指定したソフトウェア バージョンをダウンロードし、指定したセキュリティ モジュールにブートストラップ コンフィギュレーションと管理インターフェイス設定をプッシュすることで、論理デバイスを導入します。

ステップ 13

[Logical Devices] を選択して [Logical Devices] ページを開きます。

ステップ 14

設定された論理デバイスのリストをスクロールして vDP のエントリを表示します。[Management IP] 列に示されている属性を確認します。

  • [CLUSTER-ROLE] 要素の DefensePro インスタンスが「unknown 」と表示される場合は、vDP クラスタの作成を完了するために、DefensePro アプリケーションを入力してマスター IP アドレスを設定する必要があります。
  • [CLUSTER-ROLE] 要素の DefensePro インスタンスが「primary 」または「secondary 」と表示される場合は、アプリケーションはオンラインで、クラスタ化されています。

次のタスク

DefensePro アプリケーションのパスワードを設定します。パスワードを設定するまでは、アプリケーションはオンラインにならないことに注意してください。詳細については、cisco.com に用意されている『Radware DefensePro DDoS Mitigation User Guide』を参照してください。

UDP/TCP ポートのオープンと vDP Web サービスの有効化

Radware APSolute Vision Manager インターフェイスは、さまざまな UDP/TCP ポートを使用して Radware vDP のアプリケーションと通信します。vDP のアプリケーション が APSolute Vision Manager と通信するために、これらのポートがアクセス可能でありファイアウォールによってブロックされないことを確認します。オープンする特定のポートの詳細については、APSolute Vision ユーザ ガイドの次の表を参照してください。

  • Ports for APSolute Vision Server-WBM Communication and Operating System

  • Communication Ports for APSolute Vision Server with Radware Devices

Radware APSolute Vision で FXOS シャーシ内に配置される Virtual DefensePro アプリケーションを管理するために、FXOS CLI を使用して vDP Web サービスを有効にする必要があります。

手順

ステップ 1

FXOS CLI から、vDP のアプリケーション インスタンスに接続します。

connect module slot console

connect vdp

ステップ 2

vDP Web サービスを有効化します。

manage secure-web status set enable

ステップ 3

vDP アプリケーションのコンソールを終了して FXOS モジュール CLI に戻ります。

Ctrl ]

論理デバイスの管理

論理デバイスを削除し、ASA をトランスペアレント モードに変換し、インターフェイス コンフィギュレーションを変更し、既存の論理デバイスで他のタスクを実行できます。

アプリケーションのコンソールへの接続

次の手順に従ってアプリケーションのコンソールに接続します。

手順

ステップ 1

モジュール CLI に接続します。

connect module slot_number console

複数のセキュリティ モジュールをサポートしないデバイスのセキュリティ エンジンに接続するには、slot_number として 1 を使用します。

例:


Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>
ステップ 2

アプリケーションのコンソールに接続します。 デバイスの適切なコマンドを入力します。

connect asa

connect ftd

connect vdp name

例:


Firepower-module1> connect asa
Connecting to asa(asa1) console... hit Ctrl + A + D  to return to bootCLI
[...]
asa>

例:


Firepower-module1> connect ftd
Connecting to ftd(ftd-native) console... enter exit to return to bootCLI
>
ステップ 3

アプリケーション コンソールを終了して FXOS モジュール CLI に移動します。

  • ASA：Ctrl-a, d と入力

  • FTD：Ctrl-a, d と入力

  • vDP：Ctrl-], . と入力

トラブルシューティングのために FXOS モジュールの CLI を使用する場合があります。

ステップ 4

FXOS CLI のスーパバイザ レベルに戻ります。

  1. ~ と入力

    Telnet アプリケーションに切り替わります。

  2. Telnet アプリケーションを終了するには、次を入力します。

    telnet>quit

例

次に、セキュリティ モジュール 1 の ASA に接続してから、FXOS CLI のスーパバイザ レベルに戻る例を示します。 

Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>connect asa
asa> ~
telnet> quit
Connection closed.
Firepower#

論理デバイスの削除

手順

ステップ 1

[Logical Devices] を選択して [Logical Devices] ページを開きます。

[Logical Devices] ページに、シャーシに設定された論理デバイスのリストが表示されます。論理デバイスが設定されていない場合は、これを通知するメッセージが代わりに表示されます。

ステップ 2

削除する論理デバイスの [Delete] をクリックします。

ステップ 3

[Yes] をクリックして、論理デバイスの削除を確定します。

ステップ 4

[Yes] をクリックして、アプリケーション設定の削除を確定します。

論理デバイスに関連付けられていないアプリケーション インスタンスの削除

論理デバイスを削除すると、その論理デバイスのアプリケーション設定も削除するかどうかが尋ねられます。アプリケーション設定を削除しない場合、そのアプリケーション インスタンスが削除されるまで、別のアプリケーションを使用して論理デバイスを作成することはできません。セキュリティ モジュール/エンジンが論理デバイスとすでに関連付けられていない場合は、アプリケーション インスタンスを削除するために以下の手順を使用できます。

手順

ステップ 1

[Logical Devices] を選択して、[Logical Devices] ページを開きます。

[Logical Devices] ページに、シャーシに設定された論理デバイスのリストが表示されます。論理デバイスが設定されていない場合は、これを通知するメッセージが代わりに表示されます。論理デバイスのリストの下に、論理デバイスに関連付けられていないアプリケーション インスタンスのリストが表示されます。
ステップ 2

削除するアプリケーション インスタンスの [Delete] をクリックします。

ステップ 3

[Yes] をクリックして、このアプリケーション インスタンスを削除することを確認します。

ASA のトランスペアレント ファイアウォール モードへの変更

Firepower 4100/9300 シャーシのルーテッド ファイアウォール モード ASA のみを導入できます。ASA をトランスペアレント ファイアウォール モードに変更するには、初期導入を完了し、ASA CLI 内でファイアウォール モードを変更します。スタンドアロン ASA の場合、ファイアウォール モードを変更すると設定が消去されるため、Firepower 4100/9300 シャーシから設定を再導入して、ブートストラップ設定を回復する必要があります。ASA はトランスペアレント モードのままで、ブートストラップ設定が機能した状態になっています。クラスタ化された ASA の場合、設定は消去されないため、FXOS からブートストラップ設定を再導入する必要はありません。

手順

ステップ 1

アプリケーションのコンソールへの接続に従って、ASA コンソールに接続します。クラスタの場合、プライマリ ユニットに接続します。フェールオーバー ペアの場合、アクティブ ユニットに接続します。

ステップ 2

コンフィギュレーション モードに入ります。

enable

configure terminal

デフォルトでは、イネーブル パスワードは空白です。
ステップ 3

ファイアウォール モードをトランスペアレントに設定します。

firewall transparent

ステップ 4

設定を保存します。

write memory

クラスタまたはフェールオーバー ペアの場合、この設定はセカンダリ ユニットに複製されます。


asa(config)# firewall transparent
asa(config)# write memory
Building configuration...
Cryptochecksum: 9f831dfb 60dffa8c 1d939884 74735b69

3791 bytes copied in 0.160 secs
[OK]
asa(config)#
Beginning configuration replication to Slave unit-1-2
 End Configuration Replication to slave.

asa(config)#
ステップ 5

Firepower Chassis Manager の [Logical Devices] ページで、[Edit] アイコンをクリックして ASA を編集します。

[Provisioning] ページが表示されます。

ステップ 6

デバイスのアイコンをクリックして、ブートストラップ設定を編集します。設定の値を変更し、[OK] をクリックします。

少なくとも 1 つのフィールド（[Password] フィールドなど）の値を変更する必要があります。

ブートストラップ設定の変更に関する警告が表示されます。[Yes] をクリックします。

ステップ 7

[Restart Now] をクリックして、ASA に設定を再導入します。シャーシ間クラスタまたはフェールオーバー ペアの場合、各シャーシでステップ 5 ～ 7 を繰り返してブートストラップ設定を再導入します。

シャーシ/セキュリティ モジュールがリロードし、ASA が再度稼働するまで数分待ちます。ASA は、これでブートストラップ設定が機能するようになりますが、トランスペアレント モードのままです。

Firepower Threat Defense 論理デバイスのインターフェイスの変更

Firepower Threat Defense 論理デバイスでは、インターフェイスの割り当てや割り当て解除、または管理インターフェイスの置き換えを行うことができます。その後、Firepower Management Center でインターフェイス設定を同期できます。

始める前に

  • 物理インターフェイスの設定およびEtherChannel（ポート チャネル）の追加に従って、インターフェイスを設定し、EtherChannel を追加します。

  • 論理デバイスに影響を与えず、かつ Firepower Management Center での同期を必要とせずに、割り当てられた EtherChannel のメンバーシップを編集できます。

  • すでに割り当てられているインターフェイスを EtherChannel に追加するには（たとえば、デフォルトではすべてのインターフェイスがクラスタに割り当てられます）、まず論理デバイスからインターフェイスの割り当てを解除し、次に EtherChannel にインターフェイスを追加する必要があります。新しい EtherChannel の場合、デバイスに EtherChannel を割り当てることができます。

  • 管理インターフェイスまたは Firepower イベント インターフェイスを管理 EtherChannel に置き換えるには、未割り当てのデータ メンバー インターフェイスが少なくとも 1 つある EtherChannel を作成し、現在の管理インターフェイスをその EtherChannel に置き換える必要があります。Firepower Threat Defense デバイスがリブートし（管理インターフェイスを変更するとリブートします）、Firepower Management Center で設定を同期すると、（現在未割り当ての）管理インターフェイスも EtherChannel に追加できます。

  • クラスタリングや高可用性のため、Firepower Management Center で設定を同期する前に、すべてのユニットでインターフェイスを追加または削除していることを確認してください。最初にスレーブ / スタンバイ ユニットでインターフェイスを変更してから、マスター / アクティブ ユニットで変更することをお勧めします。新しいインターフェイスは管理上ダウンした状態で追加されるため、インターフェイス モニタリングに影響を及ぼさないことに注意してください。

手順

ステップ 1

Firepower Chassis Manager で、[Logical Devices] を選択します。

ステップ 2

右上にある [Edit] アイコンをクリックして、その論理デバイスを編集します。

ステップ 3

[Data Ports] 領域でデータ インターフェイスの選択を解除して、そのインターフェイスの割り当てを解除します。

ステップ 4

[Data Ports] 領域で新しいデータ インターフェイスを選択して、そのインターフェイスを割り当てます。

ステップ 5

次のように、管理インターフェイスまたはイベント インターフェイスを置き換えます。

これらのタイプのインターフェイスでは、変更を保存するとデバイスがリブートします。

  1. ページ中央のデバイス アイコンをクリックします。

  2. [General/Cluster Information] タブで、ドロップダウン リストから新しい [Management Interface] を選択します。

  3. [Settings] タブで、ドロップダウン リストから新しい [Eventing Interface] を選択します。

  4. [OK] をクリックします。

管理インターフェイスの IP アドレスを変更した場合は、Firepower Management Center でデバイスの IP アドレスも変更する必要があります。[Devices] > [Device Management] > [Device/Cluster] と移動します。[Management] 領域で、ブートストラップ設定アドレスと一致するように IP アドレスを設定します。

ステップ 6

[Save] をクリックします。

ステップ 7

Firepower Management Center にログインします。

ステップ 8

[Devices] > [Device Management] の順に選択し、FTD デバイスの編集アイコン（）をクリックします。[Interfaces] タブがデフォルトで選択されています。

ステップ 9

[Interfaces] タブの左上にある [Sync Interfaces from device] ボタンをクリックします。

ステップ 10

[Save] をクリックします。

これで、[Deploy] をクリックして割り当てられているデバイスにポリシーを展開できます。変更を展開するまで、変更は有効ではありません。

ASA 論理デバイスのインターフェイスの変更

ASA 論理デバイスでは、管理インターフェイスの割り当て、割り当て解除、または置き換えを行うことができます。ASDM は、新しいインターフェイスを自動的に検出します。

始める前に

  • 物理インターフェイスの設定およびEtherChannel（ポート チャネル）の追加に従って、インターフェイスを設定し、EtherChannel を追加します。

  • 論理デバイスに影響を与えずに、割り当てられた EtherChannel のメンバーシップを編集できます。

  • すでに割り当てられているインターフェイスを EtherChannel に追加するには（たとえば、デフォルトではすべてのインターフェイスがクラスタに割り当てられます）、まず論理デバイスからインターフェイスの割り当てを解除し、次に EtherChannel にインターフェイスを追加する必要があります。新しい EtherChannel の場合、デバイスに EtherChannel を割り当てることができます。

  • FXOS で割り当てられたインターフェイスを削除すると（たとえば、ネットワーク モジュールの削除、EtherChannel の削除、または割り当てられたインターフェイスの EtherChannel への再割り当てなど）、必要な調整を行うことができるように、ASA 設定では元のコマンドが保持されます。設定からインターフェイスを削除すると、幅広い影響が出る可能性があります。ASA OS の古いインターフェイス設定は手動で削除できます。

  • 管理インターフェイスを管理 EtherChannel に置き換えるには、未割り当てのデータ メンバー インターフェイスが少なくとも 1 つある EtherChannel を作成し、現在の管理インターフェイスをその EtherChannel に置き換える必要があります。ASA がリロードし（管理インターフェイスを変更するとリロードします）、（現在未割り当ての）管理インターフェイスも EtherChannel に追加できます。

  • クラスタリングまたはフェールオーバーのために、必ずすべてのユニットでインターフェイスを追加または削除します。最初にスレーブ / スタンバイ ユニットでインターフェイスを変更してから、マスター / アクティブ ユニットで変更することをお勧めします。新しいインターフェイスは管理上ダウンした状態で追加されるため、インターフェイス モニタリングに影響を及ぼしません。

手順

ステップ 1

Firepower Chassis Manager で、[Logical Devices] を選択します。

ステップ 2

右上にある [Edit] アイコンをクリックして、その論理デバイスを編集します。

ステップ 3

[Data Ports] 領域でデータ インターフェイスの選択を解除して、そのインターフェイスの割り当てを解除します。

ステップ 4

[Data Ports] 領域で新しいデータ インターフェイスを選択して、そのインターフェイスを割り当てます。

ステップ 5

次のように、管理インターフェイスを置き換えます。

このタイプのインターフェイスでは、変更を保存するとデバイスがリロードします。

  1. ページ中央のデバイス アイコンをクリックします。

  2. [General/Cluster Information] タブで、ドロップダウン リストから新しい [Management Interface] を選択します。

  3. [OK] をクリックします。

ステップ 6

[Save] をクリックします。

論理デバイスのブートストラップ設定の変更または回復

論理デバイスのブートストラップ設定は、変更することができます。変更した後、直ちに新しい設定を使用してアプリケーションを再起動することも、変更を保存しておいて後で新しい設定を使用してアプリケーション インスタンスを再起動することもできます。

手順

ステップ 1

Firepower Chassis Manager で、[Logical Devices] を選択します。

ステップ 2

右上にある [Edit] アイコンをクリックして、その論理デバイスを編集します。

ステップ 3

ページ中央のデバイス アイコンをクリックします。
ステップ 4

必要に応じて論理デバイスの設定を変更します。
ステップ 5

[OK] をクリックします。

ステップ 6

[Restart Now] をクリックして、変更を保存すると同時にアプリケーション インスタンスを再起動します。アプリケーション インスタンスを再起動せずに変更を保存するには、[Restart Later] をクリックします。

（注）   

[Restart Later] を選択した場合、アプリケーション インスタンスを再起動する準備が整ってから、[Logical Devices] ページで [Restart Instance] をクリックしてアプリケーション インスタンスを再起動できます。

[Logical Devices] ページ

Firepower Chassis Manager の [Logical Devices] ページを使用して、論理デバイスを作成、編集、削除します。[Logical Devices] ページには、各 Firepower 4100/9300 シャーシ セキュリティ モジュール/エンジンにインストールされている論理デバイスの情報エリアが含まれています。

各論理デバイス エリアのヘッダーには次の情報が含まれています。

  • 論理デバイスの一意の名前。

  • 論理デバイスのモード（スタンドアロンまたはクラスタ）。

  • [Status]：論理デバイスの状態を示します。

    • [ok]：論理デバイスの設定は完了しています。

    • [incomplete-configuration]：論理デバイス設定は未完了です。

各論理デバイス エリアには次の情報が含まれています。

  • [Security Module]：セキュリティ モジュールを示します。

  • [Ports]：アプリケーション インスタンスに割り当てられたポートを示します。

  • [Application]：セキュリティ モジュールで実行しているアプリケーションを示します。

  • [Version]：セキュリティ モジュールで実行しているアプリケーションのソフトウェア バージョン番号を示します。


    （注）  

    FTD の論理デバイスへの更新は Firepower Management Center を使用して行います。Firepower Chassis Manager の [Logical Devices] > [Edit] および [System] > [Updates] ページには反映されません。これらのページで、表示されるバージョンは、FTD 論理デバイスを作成するために使用されたソフトウェア バージョン（CSP イメージ）を示します。

  • [Management IP]：論理デバイス管理 IP として割り当てられているローカル IP アドレスを示します。

  • [Gateway]：アプリケーション インスタンスに割り当てられているネットワーク ゲートウェイ アドレスを示します。

  • [Management Port]：アプリケーション インスタンスに割り当てられている管理ポートを示します。

  • [Status]：アプリケーション インスタンスの状態を示します。

    • [Online]：アプリケーションは実行中であり、動作しています。

    • [Offline]：アプリケーションは停止され、使用できません。

    • [Installing]：アプリケーションのインストールを実行しています。

    • [Not Installed]：アプリケーションがインストールされていません。

    • [Install Failed]：アプリケーションのインストールに失敗しました。

    • [Starting]：アプリケーションを起動しています。

    • [Start Failed]：アプリケーションの起動に失敗しました。

    • [Started]：アプリケーションは正常に開始し、アプリケーション エージェントのハートビートを待機しています。

    • [Stopping]：アプリケーションは停止処理中です。

    • [Stop Failed]：アプリケーションをオフラインにできませんでした。

    • [Not Responding]：アプリケーションは応答不能です。

    • [Updating]：アプリケーション ソフトウェアの更新が進行中です。

    • [Update Failed]：アプリケーション ソフトウェアの更新に失敗しました。

    • [Update Succeeded]：アプリケーション ソフトウェアの更新に成功しました。

    • [Unsupported]：このインストール済みアプリケーションはサポートされていません。

    セキュリティ モジュールが存在しないか障害状態の場合は、その情報がステータス フィールドに表示されます。情報アイコンにカーソルを合わせると、障害に関する詳細情報が表示されます。セキュリティ モジュールの障害について詳しくは、FXOS セキュリティ モジュール/セキュリティ エンジンについてを参照してください。

  • [Attributes]：現在実行中のアプリケーション インスタンスの追加属性を示します。


    （注）  

    アプリケーションのブートストラップ設定を変更した後、直ちにアプリケーション インスタンスを起動しなければ、[Attributes] フィールドには現在実行中のアプリケーションに関する情報が表示され、アプリケーションを再起動するまで変更は反映されません。

    • [Cluster Operation Status]：アプリケーション インスタンスに割り当てられている管理 URL を示します。

    • [Management IP/Firepower Management IP]：アプリケーション インスタンスに割り当てられている管理 IP アドレスを示します。

    • [Cluster Role]：アプリケーション インスタンス、マスターまたはスレーブのクラスタ ロールを示します。

    • [HA Role]：アプリケーション インスタンス、アクティブまたはスタンバイのハイ アベイラビリティ ロールを示します。

    • [Management URL]：アプリケーション インスタンスに割り当てられている管理アプリケーションの URL を示します。

    • [UUID]：アプリケーション インスタンスの汎用一意識別子を示します。

Firepower Chassis Manager の [Logical Devices] ページから、論理デバイスに対して次の機能を実行できます。

  • [Refresh]：[Logical Devices] ページに表示されている情報が更新されます。

  • [Add Device]：論理デバイスを作成できます。

  • [Edit]：既存の論理デバイスを編集できます。

  • [Update Version]：論理デバイス上のソフトウェアをアップグレードまたはダウングレードできます。

  • [Delete]：論理デバイスが削除されます。

  • [Show Configuration]：ダイアログ ボックスが開き、論理デバイスまたはクラスタの構成情報が JSON 形式で表示されます。クラスタに含める追加デバイスを作成する際は、この構成情報をコピーして使用できます。

  • [Enable/Disable]：アプリケーション インスタンスが有効化/無効化されます。

  • [Upgrade/Downgrade]：アプリケーション インスタンスをアップグレード/ダウングレードできます。

  • [Restart Instance]：アプリケーション インスタンスを再起動できます。デバイスのブートストラップ情報を変更した後、アプリケーション インスタンスをまだ再起動していない場合、[Restart Instance] をクリックすることで、既存の管理ブートストラップ情報をクリアし、新しいブートストラップ情報を使用してアプリケーション インスタンスを再起動できます。

  • [Go To Device Manager]：アプリケーション インスタンスに定義されている Firepower Management Center または ASDM へのリンクを提示します。

サイト間クラスタリングの例

次の例ではサポートされるクラスタの導入を示します。

スパンド EtherChannel トランスペアレント モード ノースサウス サイト間の例

次の例では、内部ルータと外部ルータの間に配置された（ノースサウス挿入）2 つのデータセンターのそれぞれに 2 つのクラスタ メンバがある場合を示します。クラスタ メンバは、DCI 経由のクラスタ制御リンクによって接続されています。各サイトのクラスタ メンバは、内部および外部のスパンド EtherChannels を使用してローカル スイッチに接続します。各 EtherChannel は、クラスタ内のすべてのシャーシにスパンされます。

各データセンターの内部ルータと外部ルータは OSPF を使用し、トランスペアレント ASA を通過します。MAC とは異なり、ルータの IP はすべてのルータで一意です。DCI に高コスト ルートを割り当てることにより、特定のサイトですべてのクラスタ メンバがダウンしない限り、トラフィックは各データセンター内に維持されます。クラスタが非対称型の接続を維持するため、ASA を通過する低コストのルートは、各サイトで同じブリッジ グループを横断する必要があります。1 つのサイトのすべてのクラスタ メンバに障害が発生した場合、トラフィックは各ルータから DCI 経由で他のサイトのクラスタ メンバに送られます。

各サイトのスイッチの実装には、次のものを含めることができます。

  • サイト間 VSS/vPC：このシナリオでは、データセンター 1 に 1 台のスイッチをインストールし、データセンター 2 に別のスイッチをインストールします。1 つのオプションとして、各データセンターのクラスタ ユニットはローカル スイッチだけに接続し、VSS/vPC トラフィックは DCI を経由します。この場合、接続のほとんどの部分は各データセンターに対してローカルに維持されます。オプションとして、DCI が余分なトラフィック量を処理できる場合、各ユニットを DCI 経由で両方のスイッチに接続できます。この場合、トラフィックは複数のデータセンターに分散されるため、DCI を非常に堅牢にするためには不可欠です。

  • 各サイトのローカル VSS/vPC：スイッチの冗長性を高めるには、各サイトに 2 つの異なる VSS/vPC ペアをインストールできます。この場合、クラスタ ユニットは、両方のローカル スイッチだけに接続されたデータセンター 1 のシャーシおよびこれらのローカル スイッチに接続されたデータセンター 2 のシャーシとはスパンド EtherChannel を使用しますが、スパンド EtherChannel は基本的に「分離」しています。各ローカル VSS/vPC は、スパンド EtherChannel をサイトローカルの EtherChannel として認識します。

スパンド EtherChannel トランスペアレント モード イーストウェスト サイト間の例

次の例では、各サイトのゲートウェイ ルータと 2 つの内部ネットワーク（アプリケーション ネットワークと DB ネットワーク）間に配置された（イーストウェスト挿入）2 つのデータセンターのそれぞれに 2 つのクラスタ メンバがある場合を示します。クラスタ メンバは、DCI 経由のクラスタ制御リンクによって接続されています。各サイトのクラスタ メンバは、内部および外部のアプリケーション ネットワークと DB ネットワークの両方にスパンド EtherChannels を使用してローカル スイッチに接続します。各 EtherChannel は、クラスタ内のすべてのシャーシにスパンされます。

各サイトのゲートウェイ ルータは、HSRP などの FHRP を使用して、各サイトで同じ宛先の仮想 MAC アドレス と IP アドレスを提供します。予期せぬ MAC アドレスのフラッピングを避けるために推奨されている方法は 、ゲートウェイ ルータの実際の MAC アドレスを ASA MAC アドレス テーブルに静的に追加することです。これらのエントリがないと、サイト 1 のゲートウェイがサイト 2 のゲートウェイと通信する場合に、そのトラフィックが ASA を通過して、内部インターフェイスからサイト 2 に到達しようとして、問題が発生する可能性があります。データ VLAN は、オーバーレイ トランスポート仮想化（OTV）（または同様のもの）を使用してサイト間に拡張されます。トラフィックがゲートウェイ ルータ宛てである場合にトラフィックが DCI を通過して他のサイトに送信されないようにするには、フィルタを追加する必要があります。1 つのサイトのゲートウェイ ルータが到達不能になった場合、トラフィックが他のサイトのゲートウェイに送信されるようにフィルタを削除する必要があります。



vPC/VSS オプションについては、スパンド EtherChannel トランスペアレント モード ノースサウス サイト間の例を参照してください。

論理デバイスの履歴

機能名

プラットフォーム リリース

機能情報

Firepower 4100/9300 シャーシ 上の ASA のサイト間クラスタリングの改善

2.1(1)

ASA クラスタを展開すると、それぞれの Firepower 4100/9300 シャーシのサイト ID を設定できます。以前は、ASA アプリケーション内でサイト ID を設定する必要がありました。この新機能により初期展開が簡単になります。ASA 構成内でサイト ID を設定することはできないことに注意してください。また、サイト間クラスタリングとの互換性を高めるために、安定性とパフォーマンスに関する複数の改善が含まれる ASA 9.7(1) および FXOS 2.1.1 にアップグレードすることを推奨します。

次の画面が変更されました。[Logical Devices] > [Configuration]

6 つの FTD モジュールのシャーシ間クラスタリング

2.1(1)

FTD のシャーシ間クラスタリングを有効化できます。最大 6 つのシャーシに最大 6 つのモジュールを含めることができます。

次の画面が変更されました。[Logical Devices] > [Configuration]

Firepower 9300 の FTD でのシャーシ内クラスタリング サポート

1.1.4

Firepower 9300 が FTD アプリケーションでシャーシ内クラスタリングをサポートするようになりました。

次の画面が変更されました。[Logical Devices] > [Configuration]

6 つの ASA モジュールのシャーシ間クラスタリング

1.1.3

ASA のシャーシ間クラスタリングが実現されました。最大 6 つのシャーシに最大 6 つのモジュールを含めることができます。

次の画面が変更されました。[Logical Devices] > [Configuration]

Cisco ASA のシャーシ内クラスタリング

1.1.1

Firepower 9300 シャーシ内のすべての ASA セキュリティ モジュールをクラスタ化できるようになりました。

次の画面が導入されました。[Logical Devices] > [Configuration]

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ