Firewall Management Center へのファイアウォールの登録

ゼロタッチプロビジョニングを使用すると、デバイスで初期設定を実行することなく、シリアル番号でデバイスを Firewall Management Center に登録できます。Firewall Management Center は、この機能のために Security Cloud Control と統合されます。

Note

Firewall Management Center バージョン 7.4 では、Security Cloud Control を使用してデバイスを追加する必要があります。詳細については、7.4 のガイドを参照してください。ネイティブ Firewall Management Center ワークフローは 7.6 で追加されました。また、7.4 でのクラウド統合については、Firewall Management Center の [SecureXとの統合（SecureX Integration）] ページを参照してください。

登録後のデフォルト設定：

ゼロタッチプロビジョニングを使用すると、以下のインターフェイスが事前設定されます。他の設定（内部の DHCP サーバー、アクセスコントロールポリシー、セキュリティゾーンなど）は設定されないことに注意してください。

イーサネット 1/1：「外部」、DHCP からの IP アドレス、IPv6 自動設定
イーサネット 1/2（または 1010、VLAN1 インターフェイスの場合）：「内部」、192.168.95.1/24
デフォルトルート：外部インターフェイスで DHCP を介して取得

要件：

マネージャアクセス向けに外部インターフェイスを使用する際は、デフォルトで DHCP が使用されます。高可用性を有効にする前に、IP アドレスを静的アドレスに変更する必要があります。または、代わりに管理インターフェイスを使用することができます。高可用性を備えた管理で DHCP がサポートされます。

Before you begin

デバイスにパブリック IP アドレスまたは FQDN がない場合、Firewall Management Center のパブリック IP アドレス/FQDN を設定し（たとえば、NAT の背後にある場合）、デバイスが管理接続を開始できるようにします。を参照してください。
IP アドレスとデフォルトゲートウェイを提供する管理またはイーサネット 1/1 用の DHCP サーバー。

OpenDNS パブリック DNS サーバーへのネットワークアクセス。IPv4：208.67.220.220 および 208.67.222.222、IPv6：2620:119:35::35。DHCP から取得した DNS サーバーは使用されません。

次の名前を解決する必要があります。

Table 1. ゼロタッチプロビジョニングの FQDN
FQDN
*.cisco.com（多くの FQDN）
*.defenseorchestrator.com（多くの FQDN）
*.defenseorchestrator.eu（EU の場合、多くの FQDN）
0.sourcefire.pool.ntp.org、1.sourcefire.pool.ntp.org、2.sourcefire.pool.ntp.org
1.200.159.162.in-addr.arpa
60.19.239.178.in-addr.arpa
connected.by.freedominter.net
time.cloudflare.com
udc.neo4j.org

手順

手順の概要

シリアル番号を使用してデバイスを初めて追加する場合は、Firewall Management Center と Security Cloud Control を統合します。
デバイスのシリアル番号を取得します。
LED をチェックして、ファイアウォールの登録準備ができていることを確認します。
[デバイス（Devices）] > [デバイス管理（Device Management）] を選択します。
[追加（Add）] ドロップダウンメニューから、[デバイス（Device）] を選択します。
[シリアル番号（Serial Number）] 、[基本（Basic）]、[次へ（Next）] の順に選択します。
デバイスの詳細を設定して [次へ（Next）] をクリックします。
デバイスの初期設定を行います。
[デバイスの追加（Add device）] をクリックします。

手順の詳細

シリアル番号を使用してデバイスを初めて追加する場合は、Firewall Management Center と Security Cloud Control を統合します。

Note

Firewall Management Center 高可用性ペアの場合は、セカンダリ Firewall Management Center を Security Cloud Control と統合する必要もあります。

[統合（Integrations）] > [Security Cloud Control] を選択します。
[Cisco Security Cloudを有効化（Enable Cisco Security Cloud）]、[ Security Cloud Controlを有効化（Enable Security Cloud Control）] をクリックして、別のブラウザタブを開き、Security Cloud Control アカウントにログインし、表示されたコードを確認します。

このページがポップアップブロッカーによってブロックされていないことを確認してください。もし Security Cloud Control アカウントを持っていない場合は、この手順を実行中に追加できます。

この統合の詳細については、「」を参照してください。

Firewall Management Center と Security Cloud Control を統合した後、Security Cloud Control はオンプレミスの Firewall Management Center をオンボーディングします。Security Cloud Control を動作させるには、ゼロタッチプロビジョニングの一覧で Firewall Management Center が必要です。ただし、Security Cloud Control を直接使用する必要はありません。Security Cloud Control を使用する場合、その Firewall Management Center のサポートは、デバイスの導入準備、管理対象デバイスの表示、Firewall Management Center に関連付けられたオブジェクトの表示、および Firewall Management Center の相互起動に限定されています。
[ゼロタッチプロビジョニングの有効化（Enable Zero-Touch Provisioning）] がオンになっていることを確認します。
[保存（Save）] をクリックします。

デバイスのシリアル番号を取得します。

デバイスには 2 つのシリアル番号（シャーシのシリアル番号と PCB（回路基板）のシリアル番号）が含まれています。どちらのシリアル番号でも機能するはずです。

梱包箱がある場合は、ラベルにシャーシのシリアル番号が表示されています。
シャーシのシリアル番号は、デバイスの下部にあるコンプライアンスラベルに記載されています。
PCB のシリアル番号は、「S/N」というシャーシのラベルに記載されています。
シリアル番号は次の CLI コマンドを使用して表示できます。
- FXOS： show chassis detail は両方のシリアル番号を示します。
- Firewall Threat Defense： show inventory はシャーシのシリアル番号を示します。 show serial-number は PCB のシリアル番号を示します。

LED をチェックして、ファイアウォールの登録準備ができていることを確認します。

Table 2. ゼロタッチプロビジョニング：システム（S）LED の動作
S LED	説明	ファイアウォールの電源を入れた後の時間（分:秒）
緑色で低速点滅	Cisco Cloud に接続され、オンボーディングの準備ができています	15:00 ～ 30:00
グリーンとオレンジに交互に点滅（エラー条件）	Cisco Cloud に接続できませんでした	15:00 ～ 30:00

[デバイス（Devices）] > [デバイス管理（Device Management）] を選択します。

[追加（Add）] ドロップダウンメニューから、[デバイス（Device）] を選択します。

[シリアル番号（Serial Number）] 、[基本（Basic）]、[次へ（Next）] の順に選択します。

デバイスの詳細を設定して [次へ（Next）] をクリックします。

ドメイン — Figure 2. デバイスの詳細（Device Details）

[ドメイン（Domain）]：マルチドメイン環境で、リーフドメインを選択します。
[デバイスグループ（Device group）]：単一ドメイン環境で、デバイスを [デバイスグループ（Device group）] に追加します。
[シリアル番号（Serial number）]：追加するデバイスの IP アドレスまたはホスト名を入力します。デバイスの IP アドレスが不明な場合は（NAT の背後にある場合など）、このフィードを空欄のままにします。
[表示名（Display name）]：Firewall Management Center に表示するデバイスの名前を入力します。この名前は変更できません。
[デバイスのパスワード（Device password）]：このデバイスが未設定の場合、または新規インストールの場合は、[新しいパスワード（New Password）] を設定して、パスワードを確認する必要があります。

すでにログインして、パスワードを変更済みの場合のみ、[I already changed the password on the device] をオンにします。そうしなければ、登録が失敗します。

デバイスの初期設定を行います。

[アクセスコントロールポリシー（Access control policy）]：登録時にデバイスに展開する最初のポリシーを選択するか、新しいポリシーを作成します。使用する必要があることがわかっているカスタマイズ済みのポリシーがすでにある場合を除き、[[追加（Add）] ()]、[すべてのトラフィックをブロック（Block all traffic）] の順に選択します。後でこれを変更してトラフィックを許可することができます。
[スマートライセンス（Smart licensing）]：ライセンスを選択します。
- このデバイスは物理と仮想のどちらですか? —[物理デバイス]
- [ライセンスタイプ（License type）]：デバイスに割り当てる各ライセンスのタイプを確認します。
デバイスを追加したら、ライセンスを適用できます。
[パケットを転送（Transfer packets）]：このオプションを有効にすると、侵入イベントが発生するたびに、デバイスが検査のためにパケットを Firewall Management Center に転送します。

侵入イベントごとに、デバイスは、イベント情報とイベントをトリガーしたパケットを検査のために Firewall Management Center に送信します。このオプションを無効にした場合は、イベント情報だけが Firewall Management Center に送信され、パケットは送信されません。

[デバイスの追加（Add device）] をクリックします。

Firewall Management Center がデバイスのハートビートを確認して通信を確立するまでに、最大 2 分かかる場合があります。

外部インターフェイスでゼロタッチプロビジョニングを使用する場合、Security Cloud Control は DDNS プロバイダーとして機能し、以下を実行します。

[FMCのみ（FMC Only）] 方式を使用して外部で DDNS を有効にします。この方式は、ゼロタッチプロビジョニングデバイスでのみサポートされます。
外部 IP アドレスをホスト名 serial-number.local にマッピングします。
IP アドレス/ホスト名マッピングを Firewall Management Center に提供し、ホスト名を正しい IP アドレスに解決できるようにします。
DHCP リースが更新された場合など、IP アドレスが変更された場合に Firewall Management Center に通知します。

管理インターフェイスでゼロタッチプロビジョニングを使用する場合、DDNS はサポートされません。デバイスが管理接続を開始できるように、Firewall Management Center はパブリックに到達可能である必要があります。

Security Cloud Control を引き続き DDNS プロバイダーとして使用することも、後で Firewall Management Center の DDNS 設定を別の方式に変更することもできます。

	1.	Firewall Management Center にログインします。次の URL を入力します。 https://fmc_ip_address ユーザー名とパスワードを入力します。 [ログイン（Log In）] をクリックします。
	2.	[デバイス（Devices）] > [デバイス管理（Device Management）] を選択します。
	3.	[追加（Add）] ドロップダウンメニューから、[デバイス（Device）] を選択します。
	4.	[Registration Key]、[Basic]、[Next] の順にクリックします。 Figure 4. デバイスの登録方法
	5.	デバイスの詳細を設定して [Next] をクリックします。 Figure 5. デバイスの詳細 [Domain]：マルチドメイン環境で、リーフドメインを選択します。 [Device group]：単一ドメイン環境で、デバイスを [Device group] に追加します。 [Hostname or IP address]：追加するデバイスの IP アドレスまたはホスト名を入力します。デバイスの IP アドレスが不明な場合は（NAT の背後にある場合など）、このフィードを空欄のままにします。 [Display name]：Firewall Management Center に表示するデバイスの名前を入力します。この名前は変更できません。 [Registration key]：初期構成と同じ登録キーを入力します。 [Unique NAT ID]：初期設定と同じ識別子を入力します。 [Analytics-only management center]：。
	6.	デバイスの初期設定を行います。 Figure 6. デバイスの初期設定 [アクセスコントロールポリシー（Access control policy）]：登録時にデバイスに展開する最初のポリシーを選択するか、新しいポリシーを作成します。使用する必要があることがわかっているカスタマイズ済みのポリシーがすでにある場合を除き、[[追加（Add）] ()]、[すべてのトラフィックをブロック（Block all traffic）] の順に選択します。後でこれを変更してトラフィックを許可することができます。 [スマートライセンス（Smart licensing）]：ライセンスを選択します。このデバイスは物理と仮想のどちらですか? —[物理デバイス] [ライセンスタイプ（License type）]：デバイスに割り当てる各ライセンスのタイプを確認します。デバイスを追加したら、ライセンスを適用できます。 [パケットを転送（Transfer packets）]：このオプションを有効にすると、侵入イベントが発生するたびに、デバイスが検査のためにパケットを Firewall Management Center に転送します。侵入イベントごとに、デバイスは、イベント情報とイベントをトリガーしたパケットを検査のために Firewall Management Center に送信します。このオプションを無効にした場合は、イベント情報だけが Firewall Management Center に送信され、パケットは送信されません。
	7.	[Add device] をクリックします。 Firewall Management Center がデバイスのハートビートを確認して通信を確立するまでに、最大 2 分かかる場合があります。登録が成功すると、デバイスがリストに追加されます。失敗した場合は、エラーメッセージが表示されます。デバイスの登録に失敗した場合は、次の項目を確認してください。 ping：デバイスの CLI にアクセスし、次のコマンドを使用して Firewall Management Center の IP アドレスへの ping を実行します。 ping system ip_address ping が成功しない場合は、show network コマンドを使用してネットワーク設定を確認します。デバイスの IP アドレスを変更する必要がある場合は、configure network {ipv4 \| ipv6} manual コマンドを使用します。登録キー、NAT ID、および Firewall Management Center IP アドレス：両方のデバイスで同じ登録キーを使用していることを確認し、使用している場合は NAT ID を使用していることを確認します。configure manager add コマンドを使用して、デバイスで登録キーと NAT ID を設定することができます。トラブルシューティングの詳細については、https://cisco.com/go/fmc-reg-error を参照してください。

シリアル番号を使用したファイアウォールの追加（ゼロタッチプロビジョニング）

Before you begin

手順

手順の概要

手順の詳細

手動プロビジョニングを使用したファイアウォールの追加

手順