Firepower Management Center を使用した Cisco Firepower Threat Defense（ASA 5506-X シリーズ用）クイック スタート ガイド
Table of Contents
Firepower Management Center を使用した Cisco Firepower Threat Defense（ASA 5506-X シリーズ用）クイック スタート ガイド
4. ネットワークへの Firepower Threat Defense の導入
5. Firepower Threat Defense デバイスの電源投入
6. Firepower Management 用のデバイス設定
7. デバイスの Firepower Management Center への登録お よびスマート ライセンスの割り当て
8. ワイヤレス アクセス ポイント（ASA 5506W-X）の構成
ワイヤレス アクセス ポイント構成の復元（ASA 5506W-X）
ワイヤレス アクセス ポイント コンソールのアクセス（ASA 5506W-X）
Firepower Management Center を使用した Cisco Firepower Threat Defense（ASA 5506-X シリーズ用）クイック スタート ガイド
警告
：Firepower Threat Defense の 6.3 以降のリリースを ASA 5506-X、5506W-X、および 5506H-X にインストールすることはできません。これらのプラットフォームに関してサポートされる Firepower Threat Defense の最後のリリースは 6.2.3 です。
1. 対象読者
このガイドでは、Firepower Threat Defense デバイスの初期設定を実行する方法と、Firepower Management Center にデバイスを登録する方法について説明します。大規模ネットワークの一般的な導入では、複数の管理対象デバイスがネットワーク セグメントにインストールされ、トラフィックが分析用にモニタされて Firepower Management Center にレポートされます。Firepower Management Center は、管理、分析、レポートのタスクを実行できる Web インターフェイスを備えた集中管理コンソールを提供します。
単一またはごく少数のデバイスが含まれるネットワークでは、高性能の多機能デバイス マネージャを使用する必要がなく、一体型の Firepower Device Manager を使用できます。Firepower Device Manager の Web ベースのデバイス セットアップ ウィザードを使用して、小規模ネットワークの導入に最もよく使用されるソフトウェアの基本機能を設定できます（ http://www.cisco.com/go/fdm-quick 参照）。
2. パッケージの内容
この項では、シャーシのパッケージの内容について説明します。この内容は変更される場合があるため、実際に含まれているアイテムは多かったり、少なかったりする場合があることにご注意ください。
3. ライセンス要件
Firepower Threat Defense デバイスには、Cisco Smart Licensing が必要です。Smart Licensing により、ライセンスの購入とライセンスのプールの一元管理を行うことができます。製品認証キー（PAK）ライセンスとは異なり、スマート ライセンスは特定のシリアル番号またはライセンス キーに関連付けられません。Smart Licensing を利用すれば、ライセンスの使用状況やニーズをひと目で評価することもできます。
また、Smart Licensing では、まだ購入していない製品の機能を使用できます。Cisco Smart Software Manager に登録すると、すぐにライセンスの使用を開始できます。また、後でライセンスを購入することもできます。これによって、機能の展開および使用が可能になり、発注書の承認による遅延がなくなります。
Firepower 機能のスマート ライセンスを複数購入する場合は、それらのライセンスを Cisco Smart Software Manager（ http://www.cisco.com/web/ordering/smart-software-manager/index.html ）で管理できます。Smart Software Manager では、組織のマスター アカウントを作成できます。Cisco Smart Software Manager の詳細については、『 Cisco Smart Software Manager User Guide 』を参照してください。
Firepower Threat Defense デバイスや Firepower Threat Defense Virtual を購入すると、自動的に基本ライセンスが含まれます。すべての追加ライセンス（Threat、Malware、URL Filtering）はオプションです。Firepower Threat Defense のライセンスに関する詳細については、『 Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager 』の「Licensing the System」の章を参照してください。
4. ネットワークへの Firepower Threat Defense の導入
次の図に、ASA 5506-X シリーズ アプライアンスおよび組み込みワイヤレス アクセス ポイント（ASA 5506W-X）で推奨される Firepower Threat Defense ネットワーク導入を示します。
（注） 導入には、別々の内部スイッチを使用する必要があります。
設定例では、次の動作によって上記のネットワーク導入を有効化します。
- 内部 --> 外部 へのトラフィック フロー
- DHCP からの外部 IP アドレス
- （ASA 5506W-X） WiFi <--> 内部 、 WiFi --> 外部 へのトラフィック フロー
- 内部 および WiFi 上のクライアントに対する DHCP アクセス ポイントおよびそのすべてのクライアントが ASA を DHCP サーバとして使用します。
- Management 1/1 は、Firepower Threat Defense デバイスをセットアップし、Firepower Management Center に登録するために使用されます。
管理インターフェイスは、更新にインターネット アクセスが必要です。内部インターフェイスと同じネットワーク上に管理を配置すると、Firepower Threat Defense デバイスを内部のスイッチのみで導入して、内部インターフェイスをゲートウェイとして示すことができます。
物理的な管理インターフェイスは、Management 論理インターフェイスと Diagnostic 論理インターフェイスの間で共有されます。『 Firepower Management Center Configuration Guide 』の「Firepower Threat Defense」の章を参照してください。
（注） 内部ネットワーク上に独立したルータを導入すると、管理と内部の間でルーティングできます。さまざまな導入構成例については、『Firepower Management Center Configuration Guide』の「Interfaces for Firepower Threat Defense」の章を参照してください。
ASA 5506-X シリーズで上記のシナリオのようにケーブル接続するには、次の図を参照してください。
（注） 次の図は、レイヤ 2 スイッチを使用する簡単なトポロジを示しています。他のトポロジも使用でき、基本的な論理ネットワーク接続、ポート、アドレッシング、構成の要件によって導入方法が異なります。
1. 以下の機器のケーブルをレイヤ 2 イーサネット スイッチに接続します。
–GigabitEthernet 1/2 インターフェイス（内部）
–Management 1/1 インターフェイス（Firepower Management Center 用）
（注） 管理インターフェイスは Firepower Management のみに属する独立したデバイスとして動作するため、内部インターフェイスと管理インターフェイスを同じネットワーク上で接続できます。
2. GigabitEthernet 1/1（外部）インターフェイスを ISP/WAN モデムまたはその他の外部デバイスに接続します。デフォルトでは、DHCP を使用して IP アドレスが取得されますが、初期設定時にスタティック アドレスを設定することもできます。
5. Firepower Threat Defense デバイスの電源投入
1. 電源コードを Firepower Threat Defense デバイスに接続し、電源コンセントに接続します。
電源コードを差し込むと電源が自動的にオンになります。電源ボタンはありません。
2. Firepower Threat Defense デバイスの背面にある電源 LED を確認します。緑色に点灯している場合は、デバイスの電源が入っています。
3. Firepower Threat Defense デバイスの背面にあるステータス LED を確認します。緑色に点灯している場合は、電源投入診断に合格しています。
6. Firepower Management 用のデバイス設定
最初に CLI にアクセスするときに、セットアップ ウィザードによって、Firepower Threat Defense デバイスの設定に必要な基本のネットワーク設定パラメータのプロンプトが表示され、Firepower Management Center への登録が要求されます。管理 IP アドレスと関連するゲートウェイ ルートは、インターフェイス リストの Firepower Management Center Web インターフェイスまたはデバイスのスタティック ルートに含まれていません。これらは、セットアップ スクリプトおよび CLI によってのみ設定できます。
データ インターフェイスがゲートウェイ デバイス（たとえば、ケーブル モデムやルータなど）に接続されていることを確認します。エッジの導入では、これはインターネット向けのゲートウェイになります。データセンター導入の場合は、これがバックボーン ルータになります。
Management インターフェイスは、インターネットにアクセスできるゲートウェイに接続する必要もあります。システムのライセンスおよびデータベースのアップデートにインターネット アクセスが必要です。
1. たとえば、コンソール ポートから、または SSH を使用して、デバイスに接続します。
–モニタとキーボードが取り付けられたデバイスの場合は、コンソールからログインします。
–デバイスの管理インターフェイスへのアクセスでは、管理インターフェイスのデフォルト IPv4 アドレス（192.168.45.45）に SSH を実行します。
2. ユーザ名 admin およびパスワード Admin123 でログインします。
3. Firepower Threat Defense システムが起動すると、セットアップ ウィザードでシステムの設定に必要な次の情報の入力が求められます。
–管理ポートの IPv4 アドレスとサブネット マスク、または IPv6 アドレスとプレフィックス
–デフォルト ゲートウェイ IPv4 か IPv6 またはその両方
4. セットアップ ウィザードの設定を確認します。デフォルト値または以前に入力した値がカッコ内に表示されます。以前に入力した値をそのまま使用する場合は、Enter を押します。
5. 新しいログイン クレデンシャルを使用して、アプライアンスに再接続します。
6. ファイアウォール モードを設定します。次に例を示します。
（注） 初期設定でファイアウォール モードを設定することをお勧めします。デフォルト モードはルーテッドです。初期設定後にファイアウォール モードを変更すると、実行コンフィギュレーションが消去されます。詳細については、『Firepower Management Center Configuration Guide』の「Transparent or Routed Firewall Mode」の章を参照してください。
7. デフォルトのシステム設定が処理されるのを待ちます。数分かかることがあります。
8. Firepower Threat Defense デバイスを Firepower Management Center へ登録します。
–{ hostname | IPv4_address | IPv6_address | DONTRESOLVE } は、Firepower Management Center の完全修飾ホスト名または IP アドレスのいずれかを指定します。Firepower Management Center を直接アドレス指定できない場合は、DONTRESOLVE を使用します。
– reg_key は、Firepower Threat Defense モジュールを Firepower Management Center へ登録するために必要な一意の英数字による登録キーです。
（注） 登録キーは、ユーザが生成した 1 回限り使用できる一意のキーで、37 文字を超えてはなりません。有効な文字には、英数字（A～Z、a～z、0～9）、およびハイフン（-）などがあります。デバイスを Firepower Management Center に追加するときに、この登録キーを思い出す必要があります。
– nat_id は、Firepower Management Center と Firepower Threat Defense 間の登録プロセス中に使用されるオプションの英数字文字列です。hostname が DONTRESOLVE に設定されている場合に必要です。
9. configure manager add コマンドを使用して、このデバイスを管理する Firepower Management Center アプライアンスを指定します。
登録キーは、ユーザ生成の 1 回しか使用できないキーです。Firepower Threat Defense デバイスを Firepower Management Center のインベントリに追加する必要があります。次に、簡単な例を示します。
デバイスと Firepower Management Center が NAT デバイスによって分けられている場合は、登録キーと一緒に一意の NAT ID を入力し、ホスト名の代わりに DONTRESOLVE を指定します。たとえば次のようにします。
Firepower Management Center およびセキュリティ アプライアンスでは、初期登録の認証と承認を行うために、登録キーおよび NAT ID（IP アドレスではなく）を使用します。NAT ID は、最初の通信に対する信頼を確立し、正しい登録キーを検索するために、管理対象アプライアンスの登録に使用するすべての NAT ID の中で一意である 必要があります 。
（注） Firepower Management Center または Firepower Threat Defense のいずれかのセキュリティ アプライアンスのうちの少なくとも 1 つは、2 つのアプライアンス間で双方向の SSL 暗号化通信チャネルを確立するために、パブリック IP アドレスを持つ必要があります。
7. デバイスの Firepower Management Center への登録およびスマート ライセンスの割り当て
- Firepower Management Center で Smart Licensing を設定します。以下の Cisco スマート アカウントがあることを確認します。Cisco Software Central（ https://software.cisco.com/ ）で作成できます。
- Firepower Threat Defense の基本ライセンスがスマート アカウントに追加されていることを確認します（例：L-ASA5516T-BASE=）。
1. ブラウザで HTTPS 接続を使用して、上記で入力したホスト名またはアドレスを使用して Firepower Management Center にログインします。たとえば、https://MC.example.com などです。
2. デバイスを追加するには、[デバイス管理（Device Management）] ページ（[デバイス（Devices）] > [デバイス管理（Device Management）]）を使用します。詳細については、オンライン ヘルプまたは『Firepower Management Center Configuration Guide』の「Managing Devices」の章を参照してください。
3. CLI 設定時に、デバイスに設定済みの管理 IP アドレスを入力します。
4. CLI 設定時にデバイスで指定されたのと同じ登録キーを使用します。
5. [Smart Licensing] オプション（[Threat]、[URL]、[Advanced Malware]）を選択します。
これらのライセンスはすでにスマート アカウントにある必要があります。スマート アカウントにアプライアンスの基本ライセンスがあることを確認してください。
8. ワイヤレス アクセス ポイント（ASA 5506W-X）の構成
ASA 5506W-X には、デバイスに統合されている Cisco Aironet 702i ワイヤレス アクセス ポイントが付属します。ワイヤレス アクセス ポイントは、デフォルトでは無効になっています。ワイヤレス無線を有効化し、SSID およびセキュリティの設定を行うには、アクセス ポイント Web インターフェイスに接続してください。
アクセス ポイントは、GigabitEthernet 1/9 インターフェイスを介して内部的に接続します。すべての Wi-Fi クライアントは GigabitEthernet 1/9 ネットワークに属します。セキュリティ ポリシーにより、Wi-Fi ネットワークが他のインターフェイス上の任意のネットワークにアクセスする方法が決まります。アクセス ポイントには、外部インターフェイスやスイッチ ポートは含まれません。
次の手順では、アクセス ポイントの設定方法について説明します。
- ワイヤレス LAN コントローラの使用の詳細については、『 Cisco Wireless LAN Controller Software 』のマニュアルを参照してください。
- ワイヤレス アクセス ポイントのハードウェアおよびソフトウェアの詳細については、 Cisco Aironet 700 シリーズのマニュアル を参照してください。
- ASA 5506W-X デバイスを管理している Firepower Management Center にログインします。この手順は、インターフェイス設定のごく一部にすぎません。この時点では、他のパラメータを設定しないようにします。
1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択して、Firepower Threat Defense デバイスの編集アイコン（
）をクリックします。
[インターフェイス（Interfaces）] タブがデフォルトで選択されています。
2. 編集するインターフェイス（今回は、GigabitEthernet1/9）の横にある編集アイコン（ ）をクリックします。
a. [モード（Mode）] ドロップダウン リストで、[なし（None）] を選択します。
b. オプションで、[名前（Name）] を追加します。たとえば、AP-FTD などです。
c. [有効化（Enabled）] チェック ボックスをオンにして、インターフェイスを有効化します。
d. 内部インターフェイスと同じゾーンに GigabitEthernet1/9 を追加します。
e. オプションで、[説明（Description）] を追加します。
f. IP アドレスを設定します。たとえば、192.168.10.2-254 などです。
これは、アクセス ポイント自体の IP アドレスとアクセス ポイント上のクライアントの IP アドレスを指定します。
a. [サーバの追加（Add Server）] ダイアログ ボックスで [GigabitEthernet1/9] を選択します。
b. このインターフェイスに以前指定したのと同じ IP アドレス プールを追加します。たとえば、192.168.10.2-254 などです。
c. [DHCP サーバの有効化（Enable DHCP Server）] チェック ボックスをオンにして、DHCP サーバを有効化します。
ワイヤレス アクセス ポイントは、ワイヤレス インターフェイス用に定義された DHCP プールからアドレスを取得します。プール内の最初のアドレスを取得する必要があります。アドレスの例を使用した場合、これは「192.168.10.2」です。（最初のアドレスが機能しない場合は、プール内の次のアドレスを試します）。
a. 新しいブラウザ ウィンドウを使用し、ワイヤレス アクセス ポイントの IP アドレス、たとえば [http://192.168.10.2] に移動します。アクセスポイントの Web インターフェイスが表示されます。
このアドレスを開くには、内部ネットワークまたはそのネットワークにルーティングできるネットワーク上にいる必要があります。
b. ユーザ名 cisco 、パスワード Cisco を使用してログインします。
c. 左側の [簡易設定（Easy Setup）] > [ネットワーク設定（Network Configuration）] をクリックします。
d. [無線構成（Radio Configuration）] 領域で、[無線 2.4 GHz（Radio 2.4GHz）] セクションおよび [無線 5 GHz（Radio 5GHz）] セクションのそれぞれに対して、少なくとも以下のパラメータを設定し、セクションごとに [適用（Apply）] をクリックします。
● [SSID]：サービス セット識別子。ワイヤレス ネットワークの名前です。ユーザが Wi-Fi 接続用のワイヤレス ネットワークを選択する際に、この名前が表示されます。
● [ビーコン内のブロードキャスト SSID（Broadcast SSID in Beacon）]：このオプションを選択します。
● [ユニバーサル Admin モード（Universal Admin Mode）]：[無効（Disable）]。
● [セキュリティ（Security）]：使用するセキュリティ オプションを任意に選択します。
7. ワイヤレス アクセス ポイントの Web インターフェイスで、無線を有効化します。
a. 左側の [サマリー（Summary）] をクリックし、メイン ページの [ネットワークインターフェイス（Network Interfaces）] で、2.4 GHz 無線に対応するリンクをクリックします。
c. [無線の有効化（Enable Radio）] の設定では、[有効化（Enable）] ラジオ ボタンをクリックし、ページ下部の [適用（Apply）] をクリックします。
- デバイスのポリシーとデバイス設定を構成します。デバイスを Management Center に追加すると、Firepower Management Center ユーザ インターフェイスを使用してデバイス管理設定を構成したり、アクセス コントロール ポリシーや Firepower Threat Defense システムを使用してトラフィックを管理するためのその他の関連ポリシーを設定および適用することができます。
ワイヤレス アクセス ポイント構成の復元（ASA 5506W-X）
アクセス ポイントに到達できないときに、Firepower Threat Defense に推奨構成が設定されていて、他のネットワークの問題が見つからない場合は、アクセス ポイントのデフォルト構成を復元できます。Firepower Threat Defense CLI にアクセスする必要があります（コンソール ポートに接続するか、Telnet または SSH アクセスを構成します）。
1. Firepower Threat Defense CLI から、システム サポート CLI メニューに移動します。
2. enable コマンドを入力して、特権コマンドを有効にします。
enable コマンドを発行すると、システムからパスワードが要求されます。デフォルトでは、パスワードは空白です。
3. アクセス ポイントのデフォルト構成を復元するコマンドを入力します。
4. アクセス ポイント CLI については、『 Cisco IOS Configuration Guide for Autonomous Aironet Access Points（Aironet 自律アクセス ポイント用の Cisco IOS 構成ガイド） 』を参照してください。
ワイヤレス アクセス ポイント コンソールのアクセス（ASA 5506W-X）
コマンドライン インターフェイス（CLI）を使用して、ワイヤレス アクセス ポイントの構成およびモニタができます。Firepower Threat Defense CLI からアクセスします（コンソール ポートに接続するか、Telnet または SSH アクセスを構成します）。
1. Firepower Threat Defense CLI から、システム サポート CLI メニューに移動します。
2. enable コマンドを入力して、特権コマンドを有効にします。
enable コマンドを発行すると、システムからパスワードが要求されます。デフォルトでは、パスワードは空白です。
4. アクセス ポイント CLI については、『 Cisco IOS Configuration Guide for Autonomous Aironet Access Points（Aironet 自律アクセス ポイント用の Cisco IOS 構成ガイド） 』を参照してください。
8. 次の作業
- Firepower Management Center による Firepower Threat Defense の管理の詳細については、『 Firepower Management Center configuration guide 』または Firepower Management Center のオンライン ヘルプを参照してください。
フィードバック