セットアップウィザードを完了すると、内部インターフェイス（Ethernet1/2）のデフォルト設定に加えて、FMC の管理に切り替えるときに維持される外部（Ethernet1/1）インターフェイスも設定できます。

管理インターフェイスには、データインターフェイスに設定されたゲートウェイが必要です。デフォルトでは、管理インターフェイスは DHCP から IP アドレスとゲートウェイを受信します。DHCP からゲートウェイを受信しない場合（たとえば、管理インターフェイスをネットワークに接続していない場合）、ゲートウェイはデフォルトでデータインターフェイスになり、何も設定する必要はありません。DHCP からゲートウェイを受信した場合は、代わりに管理インターフェイスに静的 IP アドレスを設定し、ゲートウェイをデータインターフェイスに設定する必要があります。

FDM におけるインターフェイスの設定の詳細については、「FDM でのファイアウォールの設定」を参照してください。FMC にデバイスを登録すると、FDM の他の設定は保持されません。

インターフェイスを通過するデフォルトルートがあることを確認するように求めるメッセージが表示されます。外部を選択した場合は、セットアップウィザードの一環としてこのルートがすでに設定されています。別のインターフェイスを選択した場合は、FMC に接続する前にデフォルトルートを手動で設定する必要があります。FDM におけるスタティックルートの設定の詳細については、「FDM でのファイアウォールの設定」を参照してください。

DDNS は、FTD の IP アドレスが変更された場合に FMC が完全修飾ドメイン名（FQDN）で FTD に到達できるようにします。[デバイス（Device）] > [システム設定（System Settings）] > [DDNSサービス（DDNS Service）] を参照して DDNS を設定します。

FTD を FMC に追加する前に DDNS を設定すると、FTD は Cisco Trusted Root CA バンドルからすべての主要 CA の証明書を自動的に追加するため、FTD は HTTPS 接続の DDNS サーバー証明書を検証できます。FTD は、DynDNS リモート API 仕様（https://help.dyn.com/remote-access-api/）を使用するすべての DDNS サーバーをサポートします。

FMC への切り替えをキャンセルする場合は、[登録のキャンセル（Cancel Registration）] をクリックします。キャンセルしない場合は、[Management Center/CDO登録設定の保存（Saving Management Center/CDO Registration Settings）] [FMC登録設定の保存（Saving FMC Registration Settings）] [FMC登録設定の保存（Saving FMC Registration Settings）] のステップが完了するまで FDM ブラウザウィンドウを閉じないでください。閉じた場合、プロセスは一時停止し、FDM に再接続した場合のみ再開されます。

[Management Center/CDO登録設定の保存（Saving Management Center/CDO Registration Settings）] [FMC登録設定の保存（Saving FMC Registration Settings）] [FMC登録設定の保存（Saving FMC Registration Settings）] ステップの後に FDM に接続したままにする場合、その後 [Management CenterまたはCDOとの正常接続 (Successful Connection with Management Center or CDO)] [FMCとの正常接続（Successful Connection with FMC）] [FMCとの正常接続（Successful Connection with FMC）] ダイアログボックスが表示され、FDM から切断されます。

コンソールポートは FXOS CLI に接続します。

初めて FXOS にログインしたときは、パスワードを変更するよう求められます。このパスワードは、SSH の FTD ログインにも使用されます。

connect ftd

データインターフェイスで FMC アクセスを有効にした場合でも、管理インターフェイスの設定が使用されます。

デフォルト値または以前に入力した値がカッコ内に表示されます。以前に入力した値をそのまま使用する場合は、Enter を押します。

次のガイドラインを参照してください。

• [DHCP経由または手動でIPv4を設定しますか？（Configure IPv4 via DHCP or manually?）]：[手動（manual）] を選択します。管理インターフェイスを使用する予定がない場合でも、プライベートアドレスなどの IP アドレスを設定する必要があります。管理インターフェイスが DHCP に設定されている場合、管理用のデータインターフェイスを設定することはできません。これは、data-interfaces である必要があるデフォルトルートが DHCP サーバーから受信したルートで上書きされる可能性があるためです。

• [管理インターフェイスのIPv4デフォルトゲートウェイを入力（Enter the IPv4 default gateway for the management interface）]：ゲートウェイを [data-interfaces] に設定します。この設定は、FMC アクセス データ インターフェイスを通じてルーティングできるように、バックプレーンを介して管理トラフィックを転送します。

• [ネットワーク情報が変更された場合は再接続が必要（If your networking information has changed, you will need to reconnect）]：SSH で接続している場合は、接続が切断されます。管理コンピュータが管理ネットワーク上にある場合は、新しい IP アドレスとパスワードで再接続できます。（データインターフェイス経由で）デフォルトルートが変更されたため、リモートネットワークからはまだ再接続できません。コンソール接続は影響を受けません。

• [デバイスをローカルで管理しますか（Manage the device locally?）]：FMC を使用するには「no」を入力します。yes と入力すると、代わりに FDM を使用することになります。

• [ファイアウォールモードを設定しますか？（Configure firewall mode?）]：routed と入力します。外部 FMCアクセスは、ルーテッド ファイアウォール モードでのみサポートされています。

configure network management-data-interface

その後、外部インターフェイスの基本的なネットワーク設定を行うように求めるプロンプトが表示されます。このコマンドの使用については、次の詳細を参照してください。

• データインターフェイスを管理に使用する場合、管理インターフェイスでは DHCP を使用できません。初期セットアップ時に IP アドレスを手動で設定しなかった場合は、configure network {ipv4 | ipv6} manual コマンド を使用して設定できるようになりました。管理インターフェイス ゲートウェイを data-interfaces に設定しなかった場合は、ここでこのコマンドで設定します。

• FTD を FMC に追加すると、FMC はインターフェイス設定（インターフェイス名と IP アドレス、ゲートウェイへの静的ルート、DNS サーバー、DDNS サーバーなど）を検出して維持します。DNS サーバー設定の詳細については、次を参照してください。FMC では、後で FMC アクセスインターフェイスの設定を変更できますが、FTD または FMC による管理接続の再確立を妨げるような変更を加えないようにしてください。管理接続が中断された場合、FTD には以前の展開を復元する configure policy rollback コマンドが含まれます。

• DDNS サーバー更新の URL を設定すると、FTD は Cisco Trusted Root CA バンドルからすべての主要 CA の証明書を自動的に追加するため、FTD は HTTPS 接続の DDNS サーバー証明書を検証できます。FTD は、DynDNS リモート API 仕様（https://help.dyn.com/remote-access-api/）を使用するすべての DDNS サーバーをサポートします。

• このコマンドは、「データ」インターフェイス DNS サーバーを設定します。セットアップスクリプトで（または configure network dns servers コマンドを使用して）設定した管理 DNS サーバーは、管理トラフィックに使用されます。データ DNS サーバーは、DDNS（設定されている場合）またはこのインターフェイスに適用されるセキュリティポリシーに使用されます。

  FMC では、この FTD に割り当てるプラットフォーム設定ポリシーでデータインターフェイス DNS サーバーが設定されます。FMC に FTD を追加すると、ローカル設定が維持され、DNS サーバーはプラットフォーム設定ポリシーに追加されません。ただし、DNS 設定を含む FTD に後でプラットフォーム設定ポリシーを割り当てると、その設定によってローカル設定が上書きされます。FMC と FTD を同期させるには、この設定に一致するように DNS プラットフォーム設定をアクティブに設定することをお勧めします。

  また、ローカル DNS サーバーは、DNS サーバーが初期登録で検出された場合にのみ FMC で保持されます。たとえば、管理インターフェイスを使用してデバイスを登録し、後で configure network management-data-interface コマンドを使用してデータインターフェイスを設定した場合、FTD 設定と一致するように、DNS サーバーを含むこれらの設定のすべてを FMC で手動で設定する必要があります。

• 管理インターフェイスは、FTD を FMC に登録した後に、管理インターフェイスまたは別のデータインターフェイスのいずれかに変更できます。

• セットアップウィザードで設定した FQDN がこのインターフェイスに使用されます。

• コマンドの一部としてデバイス設定全体をクリアできます。このオプションはリカバリシナリオで使用できますが、初期セットアップや通常の操作には使用しないでください。

• データ管理を無効にするには、configure network management-data-interface disable コマンドを入力します。

configure network management-data-interface client ip_address netmask

デフォルトでは、すべてのネットワークが許可されます。

configure manager add {hostname | IPv4_address | IPv6_address | DONTRESOLVE} reg_key [nat_id]

• {hostname | IPv4_address | IPv6_address | DONTRESOLVE}—Specifies either the FQDN or IP address of the FMC.FMC を直接アドレス指定できない場合は、DONTRESOLVE を使用します。双方向の SSL 暗号化通信チャネルを 2 台のデバイス間に確立するには、少なくても 1 台以上のデバイス（FMC または FTD）に到達可能な IP アドレスが必要です。このコマンドで DONTRESOLVE を指定するには、到達可能な IP アドレスまたはホスト名が FTD に必要です。

• reg_key：FTD を登録するときに FMC でも指定する任意のワンタイム登録キーを指定します。登録キーは 37 文字以下にする必要があります。有効な文字には、英数字（A～Z、a～z、0～9）、およびハイフン（-）などがあります。

• nat_id：FMC でも指定する、任意で一意の 1 回限りの文字列を指定します。管理にデータインターフェイスを使用する場合は、登録用に FTD と FMC の両方で NAT ID を指定する必要があります。NAT ID は 37 文字以下にする必要があります。有効な文字には、英数字（A～Z、a～z、0～9）、およびハイフン（-）などがあります。この ID は、FMC に登録する他のデバイスには使用できません。

システムを適切にシャットダウンすることが重要です。単純に電源プラグを抜いたり、電源スイッチを押したりすると、重大なファイル システムの損傷を引き起こすことがあります。バックグラウンドでは常に多数のプロセスが実行されており、電源プラグを抜いたり、電源を切断したりすると、システムをグレースフルシャットダウンできないことを覚えておいてください。

FMC へのアクセスには任意のデータインターフェイスを使用できます。たとえば、内部 FMC がある場合は内部インターフェイスなどです。ただし、このガイドでは主に外部インターフェイスアクセスについて説明します。これは、リモート支社で最も用いられる可能性が高いシナリオであるためです。

内部には任意のインターフェイスを選択できます。

支社では、日常的に使用するためのコンソール接続は必要ありません。ただし、トラブルシューティングに必要な場合があります。

https://fmc_ip_address

ライセンスは、シスコまたは販売代理店からデバイスを購入した際に、スマート ソフトウェア ライセンシング アカウントにリンクされています。ただし、主導でライセンスを追加する必要がある場合は、Cisco Commerce Workspace で [製品とソリューションの検索（Find Products and Solutions）] 検索フィールドを使用します。次のライセンス PID を検索します。

• 基本ライセンス：

  • L-FPR3110-BSE=

  • L-FPR3120-BSE=

  • L-FPR3130-BSE=

  • L-FPR3140-BSE=

• 脅威、マルウェア、および URL ライセンスの組み合わせ：

  • L-FPR3110T-TMC=

  • L-FPR3120T-TMC=

  • L-FPR3130T-TMC=

  • L-FPR3140T-TMC=

  上記の PID のいずれかを注文に追加すると、次のいずれかの PID に対応する期間ベースのサブスクリプションを選択できます。

  • L-FPR3110T-TMC-1Y

  • L-FPR3110T-TMC-3Y

  • L-FPR3110T-TMC-5Y

  • L-FPR3120T-TMC-1Y

  • L-FPR3120T-TMC-3Y

  • L-FPR3120T-TMC-5Y

  • L-FPR3130T-TMC-1Y

  • L-FPR3130T-TMC-3Y

  • L-FPR3130T-TMC-5Y

  • L-FPR3140T-TMC-1Y

  • L-FPR3140T-TMC-3Y

  • L-FPR3140T-TMC-5Y

• RA VPN：『Cisco AnyConnect Ordering Guide』を参照してください。

登録を行うには、Smart Software Manager で登録トークンを生成する必要があります。詳細については、『FMC コンフィグレーション ガイド』を参照してください。ロータッチプロビジョニングの場合は、Smart Software Manager に登録するとき、または登録した後に、ロータッチプロビジョニングのクラウドアシスタンスを有効にする必要があります。[システム（System）] > [ライセンス（Licenses）] > [スマートライセンス（Smart Licenses）] ページを参照してください。

次のパラメータを設定します。

• [ホスト（Host）]：追加する FTD の IP アドレスかホスト名を入力します。FTD の最初の設定で FMC の IP アドレスと NAT ID の両方を指定した場合は、このフィールドを空のままにしておくことができます。

  （注）	HA 環境では、両方の FMC が NAT の背後にある場合、プライマリ FMC のホスト IP または名前なしで FTD を登録できます。ただし、FTD をセカンダリ FMC に登録するには、FTD の IP アドレスかホスト名を指定する必要があります。

• [表示名（Display Name）] フィールドに、FMC に表示する FTD の名前を入力します。

• [登録キー（Registration key）]：FTD の最初の設定で指定したものと同じ登録キーを入力します。

• [ドメイン（Domain）]：マルチドメイン環境を使用している場合は、デバイスをリーフドメインに割り当てます。

• [グループ（Group）]：グループを使用している場合は、デバイスグループに割り当てます。

• [アクセスコントロールポリシー（Access Control Policy）]：初期ポリシーを選択します。使用する必要があることがわかっているカスタマイズ済みのポリシーがすでにある場合を除いて、[新しいポリシーの作成（Create new policy）] を選択し、[すべてのトラフィックをブロック（Block all traffic）] を選択します。後でこれを変更してトラフィックを許可することができます。「内部から外部へのトラフィックの許可」を参照してください。

  

• [スマートライセンス（Smart Licensing）]：展開する機能に必要なスマートライセンスとして、[マルウェア（Malware）]（マルウェアインスペクションを使用する予定の場合）、[脅威（Threat）]（侵入防御を使用する予定の場合）、および [URL]（カテゴリベースの URL フィルタリングを実行する予定の場合）を割り当てます。注：デバイスを追加した後、[システム（System）] > [ライセンス（Licenses）] > [スマートライセンス（Smart Licenses）] ページから AnyConnect リモートアクセス VPN のライセンスを適用できます。

• [一意のNAT ID（Unique NAT ID）]：FTD の最初の設定で指定した NAT ID を指定します。

• [パケットの転送（Transfer Packets）]：デバイスから FMC へのパケット転送を許可します。このオプションを有効にして IPS や Snort などのイベントがトリガーされた場合は、デバイスが検査用としてイベントメタデータ情報とパケットデータを FMC に送信します。このオプションを無効にした場合は、イベント情報だけが FMC に送信され、パケットデータは送信されません。

登録が成功すると、デバイスがリストに追加されます。失敗した場合は、エラーメッセージが表示されます。FTD が登録に失敗した場合は、次の項目を確認してください。

• ping：FTD CLI にアクセスし、次のコマンドを使用して FMC の IP アドレスへの ping を実行します。

  ping system ip_address

  ping が成功しない場合は、show network コマンドを使用してネットワーク設定を確認します。FTD 管理 IP アドレスを変更する必要がある場合は、configure network management-data-interface コマンドを使用します。

• 登録キー、NAT ID、および FMC IP アドレス：両方のデバイスで同じ登録キーを使用していることを確認し、使用している場合は NAT ID を使用していることを確認します。configure manager add コマンドを使用して、FTD で登録キーと NAT ID を設定することができます。

トラブルシューティングの詳細については、https://cisco.com/go/fmc-reg-error を参照してください。

• 9600 ボー

• 8 データ ビット

• パリティなし

• 1 ストップ ビット

FXOS CLI に接続します。ユーザー名 admin と、初期セットアップ時に設定したパスワードを使用して CLI にログインします（デフォルトは Admin123）。

connect ftd

ログイン後に、CLI で使用可能なコマンドの情報を確認するには、help または ? を入力します。使用方法については、『Secure Firewall Threat Defense のコマンドリファレンス』を参照してください。

このコマンドにより、FXOS CLI プロンプトに戻ります。FXOS CLI で使用可能なコマンドの情報を確認するには、? を入力します。

configure policy rollback

ロールバック後、FTD はロールバックが正常に完了したことを FMC に通知します。FMC では、構成がロールバックされたことを示すバナーが展開画面に表示されます。

ロールバックが失敗した場合、一般的な展開の問題についてhttps://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw-virtual/215258-troubleshooting-firepower-threat-defense.htmlを参照してください。場合によっては、FMC アクセスの復元後にロールバックが失敗することがあります。この場合、FMC の構成の問題を解決して、FMC から再展開できます。

FMC で、[デバイス（Devices）] > [デバイス管理（Device Management）] > [デバイス（Device）] > [管理（Management）] > [FMCアクセスの詳細（FMC Access Details）] > [接続ステータス（Connection Status）] ページの順に選択して管理接続のステータスを確認します。

管理接続のステータスを表示するには、FTD CLI で、sftunnel-status-brief コマンドを入力します。

接続の再確立に 10 分以上かかる場合は、接続のトラブルシューティングを行う必要があります。データインターフェイスでの管理接続のトラブルシューティング を参照してください。

System is stopped.
It is safe to power off now.
Do you want to reboot instead? [y/N]

コンソールから接続していない場合は、約 3 分間待ってシステムがシャットダウンしたことを確認します。