ステップ 1

Chassis Manager で、[論理デバイス（Logical Devices）] を選択します。

ステップ 2

[追加（Add）] > [スタンドアロン（Standalone）] をクリックし、次のパラメータを設定します。

1. デバイス名を入力します。

   この名前は、シャーシ スーパーバイザが管理設定を行ってインターフェイスを割り当てるために使用します。これはアプリケーション設定で使用されるデバイス名ではありません。

2. [Template] では、[Cisco Firepower Threat Defense] を選択します。

3. [Image Version] を選択します。

4. [インスタンスタイプ（Instance Type）]：[コンテナ（Container）] または [ネイティブ（Native）] を選択します。

   ネイティブ インスタンスはセキュリティ モジュール/エンジンのすべてのリソース（CPU、RAM、およびディスク容量）を使用するため、ネイティブ インスタンスを 1 つのみインストールできます。コンテナ インスタンスでは、セキュリティ モジュール/エンジンのリソースのサブセットを使用するため、複数のコンテナ インスタンスをインストールできます。

5. [OK] をクリックします。

   [Provisioning - device name] ウィンドウが表示されます。

ステップ 3

[Data Ports] 領域を展開し、デバイスに割り当てるインターフェイスをそれぞれクリックします。

[インターフェイス（Interfaces）] ページで以前に有効にしたデータ インターフェイスとデータ共有インターフェイスのみを割り当てることができます。後で Management Center でこれらのインターフェイスを有効にして設定します。これには、IP アドレスの設定も含まれます。

コンテナ インスタンスごとに最大 10 のデータ共有インターフェイスを割り当てることができます。また、各データ共有インターフェイスは、最大 14 個のコンテナ インスタンスに割り当てることができます。データ共有インターフェイスは [Sharing] アイコン（） で示されます。

ハードウェア バイパス 対応のポートは次のアイコンで表示されます：。特定のインターフェイスモジュールでは、インライン セット インターフェイスに対してのみハードウェアバイパス機能を有効にできます（インラインセットの詳細については、『Firepower Management Center コンフィギュレーション ガイド』を参照）。ハードウェア バイパスは、停電時にトラフィックがインライン インターフェイス ペア間で流れ続けることを確認します。この機能は、ソフトウェアまたはハードウェア障害の発生時にネットワーク接続を維持するために使用できます。ハードウェア バイパス ペアの両方のインターフェイスとも割り当てられていない場合、割り当てが意図的であることを確認する警告メッセージが表示されます。ハードウェア バイパス 機能を使用する必要はないため、単一のインターフェイスを割り当てることができます。

ステップ 4

画面中央のデバイス アイコンをクリックします。

ステップ 5

[一般情報（General Information）] ページで、次の手順を実行します。

1. [セキュリティモジュールの選択（Security Module Selection）] の下で、この論理デバイスに使用するセキュリティ モジュールをクリックします。

2. コンテナのインスタンスでは、リソースのプロファイルを指定します。

   後でさまざまなリソースプロファイルを割り当てると、インスタンスがリロードされ、この操作に約 5 分かかることがあります。確立されたハイ アベイラビリティ ペアまたはクラスタの場合に、異なるサイズのリソース プロファイルを割り当てるときは、すべてのメンバのサイズが同じであることをできるだけ早く確認してください。

3. [Management Interface] を選択します。

   このインターフェイスは、論理デバイスを管理するために使用されます。このインターフェイスは、シャーシ管理ポートとは別のものです。

4. 管理インターフェイスを選択します。[アドレスタイプ（Address Type）]：[IPv4のみ（IPv4 only）]、[IPv6のみ（IPv6 only）]、または [IPv4およびIPv6（IPv4 and IPv6）]。

5. [Management IP] アドレスを設定します。

   このインターフェイスに一意の IP アドレスを設定します。

6. [Network Mask] または [Prefix Length] に入力します。

7. ネットワーク ゲートウェイ アドレスを入力します。

ステップ 6

[設定（Settings）] タブで、次の項目を入力します。

1. ネイティブ インスタンスの場合は、[アプリケーションインスタンスの管理タイプ（Management type of application instance）] ドロップダウン リストで [FMC] を選択します。

   ネイティブインスタンスは、マネージャとしての Device Manager もサポートしています。論理デバイスを展開した後にマネージャ タイプを変更することはできません。

2. 管理 Management Center の [Firepower Management Center IP] またはホスト名を入力します。Management Center の IP アドレスがわからない場合は、このフィールドを空白のままにして、[Firepower Management Center NAT ID] フィールドにパスフレーズを入力します。

3. FTD SSH セッションからエキスパート モード、[Yes]、または [No] を許可します。エキスパートモードでは、高度なトラブルシューティングに Threat Defense シェルからアクセスできます。

   このオプションで [はい（Yes）] を選択すると、SSH セッションからコンテナインスタンスに直接アクセスするユーザーがエキスパートモードを開始できます。[いいえ（No）] を選択した場合、FXOS CLI からコンテナインスタンスにアクセスするユーザーのみがエキスパートモードを開始できます。インスタンス間の分離を増やすには、[No] を選択することをお勧めします。

   マニュアルの手順で求められた場合、または Cisco Technical Assistance Center から求められた場合のみ、エキスパート モードを使用します。このモードを開始するには、Threat Defense CLI で expert コマンドを使用します。

4. カンマ区切りリストとして [検索ドメイン（Search Domains）] を入力します。

5. [Firewall Mode] を [Transparen] または [Routed] に選択します。

   ルーテッド モードでは、Threat Defense はネットワーク内のルータ ホップと見なされます。ルーティングを行う各インターフェイスは異なるサブネット上にあります。一方、トランスペアレント ファイアウォールは、「Bump In The Wire」または「ステルス ファイアウォール」のように機能するレイヤ 2 ファイアウォールであり、接続されたデバイスへのルータ ホップとしては認識されません。

   ファイアウォール モードは初期展開時にのみ設定します。ブートストラップの設定を再適用する場合、この設定は使用されません。

6. [DNS Servers] をカンマ区切りのリストとして入力します。

   たとえば、Management Centerのホスト名を指定する場合、Threat Defense は DNS を使用します。

7. Threat Defense の [Fully Qualified Hostname] を入力します。

8. 登録時に Management Center とデバイス間で共有する [Registration Key] を入力します。

   このキーには、1 ～ 37 文字の任意のテキスト文字列を選択できます。Threat Defense を追加するときに、Management Center に同じキーを入力します。

9. CLI アクセス用の Threat Defense 管理ユーザの [Password] を入力します。

10. イベントの送信に使用する [イベンティングインターフェイス（Eventing Interface）] を選択します。指定しない場合は、管理インターフェイスが使用されます。

    このインターフェイスは、Firepower-eventing インターフェイスとして定義する必要があります。

11. コンテナインスタンスの場合は、[ハードウェア暗号化（Hardware Crypto）] を [有効（Enabled）] または [無効（Disabled）] に設定します。

    この設定により、ハードウェアの TLS 暗号化アクセラレーションが有効になり、特定タイプのトラフィックのパフォーマンスが向上します。詳細については、Firepower Management Center コンフィギュレーション ガイドを参照してください。この機能はネイティブ インスタンスではサポートされていません。このインスタンスに割り当てられているハードウェア暗号化リソースの割合を表示するには、show hw-crypto コマンドを入力します。

ステップ 7

[利用規約（Agreement）] タブで、エンド ユーザ ライセンス（EULA）を読んで、同意します。

ステップ 8

[OK] をクリックして、設定ダイアログボックスを閉じます。

ステップ 9

[保存（Save）] をクリックします。

シャーシは、指定したソフトウェアバージョンをダウンロードし、アプリケーション インスタンスにブートストラップ設定と管理インターフェイス設定をプッシュすることで、論理デバイスを導入します。[ 論理デバイス（Logical Devices） ] ページで、新しい論理デバイスのステータスを確認します。論理デバイスの [Status] が [online] と表示されたら、アプリケーションでセキュリティ ポリシーの設定を開始できます。

ステップ 1

サポートされているブラウザを使用して、次の URL を入力します。

ステップ 2

ユーザー名とパスワードを入力します。

ステップ 3

[ログイン（Log In）] をクリックします。

ステップ 1

お使いのスマート ライセンシング アカウントに、必要なライセンスが含まれていることを確認してください。

ライセンスは、シスコまたは販売代理店からデバイスを購入した際に、スマート ソフトウェア ライセンシング アカウントにリンクされています。ただし、主導でライセンスを追加する必要がある場合は、Cisco Commerce Workspace で [製品とソリューションの検索（Find Products and Solutions）] 検索フィールドを使用します。次のライセンス PID を検索します。

（注）	PID が見つからない場合は、注文に手動で PID を追加できます。

• IPS、マルウェア防御、および URL ライセンスの組み合わせ：

  • L-FPR9K-40T-TMC=

  • L-FPR9K-48T-TMC=

  • L-FPR9K-56T-TMC=

  上記の PID のいずれかを注文に追加すると、次のいずれかの PID に対応する期間ベースのサブスクリプションを選択できます。

  • L-FPR9K-40T-TMC-1Y

  • L-FPR9K-40T-TMC-3Y

  • L-FPR9K-40T-TMC-5Y

  • L-FPR9K-48T-TMC-1Y

  • L-FPR9K-48T-TMC-3Y

  • L-FPR9K-48T-TMC-5Y

  • L-FPR9K-56T-TMC-1Y

  • L-FPR9K-56T-TMC-3Y

  • L-FPR9K-56T-TMC-5Y

• Cisco Secure Client：『Cisco Secure Client 発注ガイド』を参照してください。

• キャリアライセンス：

  • L-FPR9K-FTD-CAR=

ステップ 2

まだ設定していない場合は、スマート ライセンシング サーバーに Management Center を登録します。

ステップ 1

Management Center で、[デバイス（Devices）] > [デバイス管理（Device Management）] の順に選択します。

ステップ 2

[追加（Add）] ドロップダウン リストから、[デバイスの追加（Add Device）] を選択します。

次のパラメータを設定します。

• [ホスト（Host）]：追加する Threat Defense の IP アドレスかホスト名を入力します。Threat Defense の最初のブートストラップ設定で Management Center の IP アドレスと NAT ID の両方を指定した場合は、このフィールドを空のままにしておくことができます。

  （注）	HA 環境では、両方の Management Center が NAT の背後にある場合、プライマリ Management Center のホスト IP または名前なしで Threat Defense を登録できます。ただし、Threat Defense をセカンダリ Management Center に登録するには、Threat Defense の IP アドレスかホスト名を指定する必要があります。

• [表示名（Display Name）] フィールドに、Management Center に表示する Threat Defense の名前を入力します。

• [登録キー（Registration key）]：Threat Defense の最初のブートストラップ設定で指定したものと同じ登録キーを入力します。

• [ドメイン（Domain）]：マルチドメイン環境を使用している場合は、デバイスをリーフドメインに割り当てます。

• [グループ（Group）]：グループを使用している場合は、デバイスグループに割り当てます。

• [アクセスコントロールポリシー（Access Control Policy）]：初期ポリシーを選択します。使用する必要があることがわかっているカスタマイズ済みのポリシーがすでにある場合を除いて、[新しいポリシーの作成（Create new policy）] を選択し、[すべてのトラフィックをブロック（Block all traffic）] を選択します。後でこれを変更してトラフィックを許可することができます。「内部から外部へのトラフィックの許可」を参照してください。

  

• [スマートライセンス（Smart Licensing）]：展開する機能に必要なスマートライセンスとして、[マルウェア（Malware）]（マルウェアインスペクションを使用する予定の場合）、[脅威（Threat）]（侵入防御を使用する予定の場合）、および [URL]（カテゴリベースの URL フィルタリングを実行する予定の場合）を割り当てます。注：デバイスを追加した後、[システム（System）] > [ライセンス（Licenses）] > [スマートライセンス（Smart Licenses）] ページから セキュアクライアント リモートアクセス VPN のライセンスを適用できます。

• [一意のNAT ID（Unique NAT ID）]：Threat Defense の最初のブートストラップ設定で指定した NAT ID を指定します。

• [パケットの転送（Transfer Packets）]：デバイスから Management Center へのパケット転送を許可します。このオプションを有効にして IPS や Snort などのイベントがトリガーされた場合は、デバイスが検査用としてイベントメタデータ情報とパケットデータを Management Center に送信します。このオプションを無効にした場合は、イベント情報だけが Management Center に送信され、パケットデータは送信されません。

ステップ 3

[登録（Register）] （別のデバイスを追加する場合は [別のデバイスを登録して追加（Register and Add Another）] ）をクリックし、登録が成功したことを確認します。

ステップ 1

（オプション 1）脅威に対する防御 管理インターフェイスの IP アドレスに直接 SSH 接続します。

ステップ 2

（オプション 2）コンソール接続または Telnet 接続を使用して、モジュール CLI に接続します。

1. セキュリティ モジュール に接続します。

   connect module slot_number { console | telnet}

   Telnet 接続を使用する利点は、モジュールに同時に複数のセッションを設定でき、接続速度が速くなることです。

   例:

   
   Firepower# connect module 1 console
   Telnet escape character is '~'.
   Trying 127.5.1.1...
   Connected to 127.5.1.1.
   Escape character is '~'.
   
   CISCO Serial Over LAN:
   Close Network Connection to Exit
   
   Firepower-module1> 
   
   

2. 脅威に対する防御 コンソールに接続します。

   connect ftd name

   複数のアプリケーション インスタンスがある場合は、インスタンスの名前を指定する必要があります。インスタンス名を表示するには、名前を付けずにコマンドを入力します。

   例:

   
   Firepower-module1> connect ftd FTD_Instance1
   
   ============================= ATTENTION ==============================
   You are connecting to ftd from a serial console. Please avoid
   executing any commands which may produce large amount of output.
   Otherwise, data cached along the pipe may take up to 12 minutes to be
   drained by a serial console at 9600 baud rate after pressing Ctrl-C.
   
   To avoid the serial console, please login to FXOS with ssh and use
   'connect module <slot> telnet' to connect to the security module.
   ======================================================================
   
   Connecting to container ftd(FTD_Instance1) console... enter "exit" to return to bootCLI
   > 
   
   

3. exit と入力し、アプリケーション コンソールを終了して FXOS モジュール CLI に移動します。

   （注）	6.3 より前のバージョンの場合は、Ctrl-a, d と入力します。

4. FXOS CLI のスーパバイザ レベルに戻ります。

   コンソールを終了するには、以下を実行します。

   1. ~ と入力

      Telnet アプリケーションに切り替わります。

   2. Telnet アプリケーションを終了するには、次を入力します。

      telnet>quit

   Telnet セッションを終了するには、以下を実行します。

   Ctrl-], . と入力