단계 1

컴퓨터에서 Secure Firewall 마이그레이션 툴용 폴더를 생성합니다.

참고	Secure Firewall 마이그레이션 툴의 최신 버전을 다운로드할 때마다 새 폴더를 생성하고 기존 폴더를 사용하지 않아야 합니다.

단계 2

https://software.cisco.com/download/home/286306503/type으로 이동하여 Firewall 마이그레이션 툴을 클릭합니다.

단계 3

생성한 폴더에 최신 버전의 Secure Firewall 마이그레이션 툴을 다운로드합니다.

단계 4

Security Cloud Control 사용자이고 여기에서 호스팅되는 마이그레이션 툴을 사용하려는 경우, Security Cloud Control 테넌트에 로그인한 후 왼쪽 창에서 Administration(관리) > Migration(마이그레이션) > Firewall Migration 툴로 이동하여 마이그레이션 인스턴스를 만듭니다.

단계 1

컴퓨터에서 Secure Firewall 마이그레이션 툴을 다운로드한 폴더로 이동합니다.

단계 2

다음 중 하나를 수행합니다.

• Windows 시스템에서 Secure Firewall 마이그레이션 툴 실행 파일을 더블 클릭하여 Google Chrome 브라우저에서 실행합니다.

  프롬프트가 표시되면 Yes(예)를 클릭하여 Secure Firewall 마이그레이션 툴에서 시스템을 변경할 수 있도록 허용합니다.

  참고	브라우저의 팝업 차단 기능을 반드시 비활성화해 주십시오. 팝업 차단 기능이 활성화되어 있으면 로그인 팝업이 표시되지 않을 수 있습니다.

  Secure Firewall 마이그레이션 툴은 Log(로그) 및 Resources(리소스) 폴더를 포함하여 해당 파일이 있는 폴더에 모든 관련 파일을 생성하고 저장합니다.

• Mac에서 Secure Firewall 마이그레이션 툴*.command 파일을 원하는 폴더로 이동하고, 터미널 애플리케이션을 실행하고, Secure Firewall 마이그레이션 툴이 설치된 폴더로 이동한 후 다음 명령을 실행합니다.

  # chmod 750 Firewall_Migration_Tool-version_number.command

  # ./Firewall_Migration_Tool-version_number.command

  Secure Firewall 마이그레이션 툴은 Log(로그) 및 Resources(리소스) 폴더를 포함하여 해당 파일이 있는 폴더에 모든 관련 파일을 생성하고 저장합니다.

  팁	Secure Firewall 마이그레이션 툴을 열려고 하면 확인된 개발자가 Secure Firewall 마이그레이션 툴을 Apple에 등록하지 않았으므로 경고 대화 상자가 표시됩니다. 확인되지 않은 개발자로부터 애플리케이션을 여는 방법에 대한 자세한 내용은 확인되지 않은 개발자의 앱 열기를 참고하십시오.

  참고	MAC 터미널 압축 방법을 사용합니다.

단계 3

Cisco와 텔레메트리 정보를 공유하려는 경우 End User License Agreement(엔드 유저 라이선스 계약) 페이지에서 I agree to share data with Cisco Success Network(Cisco Success Network와 데이터 공유 동의)를 클릭하고, 그렇지 않은 경우 I'll do later(나중에)를 클릭합니다.

단계 4

Secure Firewall 마이그레이션 툴의 로그인 페이지에서 다음 중 하나를 수행합니다.

• Cisco Success Network와 통계를 공유하려면 Login with CCO(CCO로 로그인) 링크를 클릭하여 SSO(Single Sign-On, 단일 인증) 자격 증명으로 Cisco.com 계정에 로그인합니다. Cisco.com 계정이 없는 경우 Cisco.com 로그인 페이지에서 생성합니다.

  Cisco.com 계정을 사용하여 로그인한 경우 8단계로 진행합니다.

• 인터넷 액세스가 불가능한 에어 갭(air-gapped) 네트워크에 방화벽을 구축한 경우 Cisco TAC에 문의하여 관리자 자격 증명을 사용하는 빌드를 받으십시오. 이 빌드는 시스코에 사용량 통계를 보내지 않으며, TAC가 자격 증명을 제공할 수 있습니다.

단계 5

Reset Password(비밀번호 재설정) 페이지에서 이전 비밀번호와 새 비밀번호를 입력하고 확인을 위해 새 비밀번호를 다시 입력합니다.

단계 6

Reset(재설정)을 클릭합니다.

단계 7

새 비밀번호로 로그인합니다.

참고	비밀번호를 잊어버린 경우 <migration_tool_folder>에서 기존의 모든 데이터를 삭제하고 Secure Firewall 마이그레이션 툴을 다시 설치합니다.

단계 8

마이그레이션 전 체크리스트를 검토하고 나열된 모든 항목을 완료했는지 확인합니다.

단계 9

New Migration(새 마이그레이션)을 클릭합니다.

단계 10

Secure Firewall 마이그레이션 툴의 최신 버전을 실행하고 있는지 확실하지 않은 경우 Software Update Check(소프트웨어 업데이트 확인) 화면에서 Cisco.com을 통해 버전을 확인합니다.

단계 11

Proceed(진행)를 클릭합니다.

단계 1

Select Target(대상 선택) 화면의 Firewall Management(방화벽 관리) 섹션에서 다음을 수행합니다. 온프레미스 Firewall Management Center 또는 클라우드 제공 Firewall Management Center로 마이그레이션하도록 선택할 수 있습니다.

1. On-Prem FMC(온프레미스 FMC) 라디오 버튼을 클릭합니다.

2. Management Center의 IP 주소 또는 FQDN(정규화된 도메인 이름)을 입력합니다.

3. Domain(도메인) 드롭다운 목록에서 마이그레이션할 도메인을 선택합니다.

   Firewall Threat Defense 디바이스로 마이그레이션하려는 경우 선택한 도메인에서 사용 가능한 Firewall Threat Defense 디바이스로만 마이그레이션할 수 있습니다.

4. Connect(연결)를 클릭하고 2단계로 진행합니다.

1. Cloud 사용 FMC 라디오 버튼을 클릭합니다.

2. 지역을 선택하고 Security Cloud Control API 토큰을 붙여넣습니다. API 토큰을 생성합니다. Security Cloud Control에서 다음 단계를 수행합니다.

   1. Security Cloud Control에 로그인합니다.

   2. 오른쪽 상단에서 Preferences(환경 설정) > General Preferences(일반 환경설정)로 이동하여 My Tokens(내 토큰) 섹션의 API 토큰을 복사합니다.

3. Connect(연결)를 클릭하고 2단계로 진행합니다.

단계 2

Firewall Management Center Login(Firewall Management Center 로그인) 대화 상자에서 Secure Firewall 마이그레이션 툴 전용 계정의 사용자 이름과 비밀번호를 입력하고 Login(로그인)을 클릭합니다.

단계 3

Proceed(진행)를 클릭합니다.

단계 4

Choose FTD(FTD 선택) 섹션에서 다음 중 하나를 수행합니다.

• Select FTD Device(FTD 디바이스 선택) 드롭다운 목록을 클릭하고 구성을 마이그레이션할 디바이스를 선택합니다.

  선택한 Firewall Management Center 도메인의 디바이스가 IP Address(IP 주소), Name(이름), Device Model(디바이스 모델) 및 Mode(모드)(라우팅 또는 투명)별로 나열됩니다.

  참고	최소한, 선택하는 Firewall Threat Defense 네이티브 디바이스가 마이그레이션하는 컨피그레이션과 동일한 수의 물리적인터페이스 또는 포트 채널 인터페이스를 가져야 합니다. 최소한, Firewall Threat Defense 디바이스의 컨테이너 인스턴스가 동일한 수의 물리적 인터페이스 또는 포트 채널 인터페이스 및 하위 인터페이스를 가져야 합니다. 컨피그레이션과 동일한 방화벽 모드로 디바이스를 구성해야 합니다. 그러나 이러한 인터페이스가 두 디바이스에서 동일한 이름을 가질 필요는 없습니다.

  참고

  지원되는 대상 Threat Defense 플랫폼이 Management Center 버전 6.5 이상을 사용하는 Firewall 1010인 경우에만 FDM 5505 마이그레이션 지원은 공유 정책에 적용되며 디바이스별 정책에는 적용되지 않습니다. Threat Defense 없이 진행하면 Secure Firewall 마이그레이션 툴이 Threat Defense에 구성 또는 정책을 푸시하지 않습니다. 따라서 Threat Defense 디바이스별 구성인 인터페이스 및 경로, 사이트 간 VPN은 마이그레이션되지 않습니다. 그러나 NAT, ACL 및 포트 개체와 같은 지원되는 다른 모든 컨피그레이션(공유 정책 및 개체)은 마이그레이션됩니다. 원격 액세스 VPN은 공유 정책이며 Threat Defense 없이도 마이그레이션할 수 있습니다.

  원격 구축이 활성화된 상태에서 Firewall Management Center 또는 Firewall Threat Defense 6.7 이상으로의 Palo Alto Networks 방화벽 마이그레이션은 Secure Firewall 마이그레이션 툴에서 지원됩니다. 인터페이스 및 경로의 마이그레이션은 수동으로 진행해야 합니다.

• 컨피그레이션을 Firewall Management Center로 마이그레이션하려면 Proceed without FTD(FTD 없이 진행)를 클릭합니다.

  Firewall Threat Defense 없이 진행하면 Secure Firewall 마이그레이션 툴이 Firewall Threat Defense에 구성 또는 정책을 푸시하지 않습니다. 따라서 Firewall Threat Defense 디바이스별 구성인 인터페이스 및 라우트, 사이트 간 VPN은 마이그레이션되지 않으며, Firewall Management Center에서 수동으로 구성해야 합니다. 그러나 NAT, ACL 및 포트 개체와 같은 지원되는 다른 모든 컨피그레이션(공유 정책 및 개체)은 마이그레이션됩니다. 원격 액세스 VPN은 공유 정책이며 Threat Defense 없이도 마이그레이션할 수 있습니다.

단계 5

Proceed(진행)를 클릭합니다.

단계 6

Select Features(기능 선택) 섹션을 클릭하여 대상으로 마이그레이션할 기능을 검토하고 선택합니다.

• 대상 Firewall Threat Defense 디바이스로 마이그레이션하는 경우 Secure Firewall 마이그레이션 툴이 Device Configuration(디바이스 구성) 및 Shared Configuration(공유 구성) 섹션의 구성에서 마이그레이션에 사용할 수 있는 기능을 자동으로 선택합니다. 요구 사항에 따라 기본 선택 항목을 추가로 수정할 수 있습니다.
• Firewall Management Center로 마이그레이션하는 경우 Secure Firewall 마이그레이션 툴이 Device Configuration(디바이스 구성) 및 Shared Configuration(공유 구성) 및 Optimization(최적화) 섹션에서 구성에서 마이그레이션에 사용할 수 있는 기능을 자동으로 선택합니다. 요구 사항에 따라 기본 선택 항목을 추가로 수정할 수 있습니다.
• PAN의 경우 Shared Configuration(공유 컨피그레이션)에서 관련 Access Control(액세스 제어) 옵션을 선택합니다.

  Migrate policies with Application-Default as Enabled(애플리케이션 기본값이 활성화된 정책 마이그레이션) - 이 옵션을 선택하면 PAN 애플리케이션이 마이그레이션됩니다. Migrate policies with Application-Default as Enabled(애플리케이션 기본값이 활성화된 정책 마이그레이션) 옵션은 이 체크 박스를 선택하는 경우에만 볼 수 있습니다.

  참고	Application Mapping(애플리케이션 매핑)은 정책을 마이그레이션하도록 선택한 경우에만 활성화됩니다.

  

  VPN으로 구성된 Palo Alto 네트워크 방화벽에서 구성을 마이그레이션하는 경우, Device Configuration(디바이스 구성) 창 아래의 사이트 간 VPN 터널및 Shared Configuration(공유 구성) 창 아래의 Remote Access VPN(원격 액세스 VPN)을 선택하거나 선택 취소할 수 있습니다. 정책 기반 사이트 간 VPN 구성은 Palo Alto Networks 방화벽에서 지원하지 않으므로 지원되지 않습니다.

  "application-default"(애플리케이션 기본값)로 지정된 서비스를 포함하는 정책

  "application-default"(애플리케이션 기본값)로 구성된 서비스와 참조되는 멤버 또는 그룹이 있는 애플리케이션을 포함하는 정책은 Feature Selection(기능 선택) 페이지에서 선택한 사항에 따라 마이그레이션됩니다. Firewall Management Center에는 application-default(애플리케이션 기본값)에 해당하는 항목이 없으므로 이러한 정책은 "any(모두)" 서비스로 푸시됩니다. application-default(애플리케이션 기본값)와 유사한 기능을 복제하는 경우 Palo Alto Networks 방화벽에서 애플리케이션이 사용하는 포트를 찾아 Firewall Management Center에서 Policy(정책)의 Port(포트) 섹션에서 포트를 구성합니다.

  예를 들어 "web-browsing(웹 브라우징)"과 "application-default(애플리케이션 기본값)"로 구성된 서비스를 갖는 정책은 애플리케이션 HTTP(web-browsing(웹 브라우징)과 동일)로 마이그레이션되고 포트는 "any(모두)"로 마이그레이션됩니다. "application-default(애플리케이션 기본값)"와 동일한 기능을 복제하려면 포트를 TCP/80 및 TCP/8080으로 구성합니다. web-browsing(웹 브라우징)에서는 포트 TCP 80 및 TCP 8080을 사용합니다. 정책에 여러 애플리케이션이 있는 경우 각 애플리케이션에서 사용하는 포트를 구성합니다.

  정책에 여러 애플리케이션이 있는 경우 다른 애플리케이션에 대한 추가 액세스를 허용할 수 있으므로 포트를 구성하기 전에 정책을 분할하는 것이 좋습니다.

  애플리케이션이 "any(모두)"로 구성되고 서비스가 "application-default(애플리케이션 기본값)"로 구성된 정책은 Feature Selection(기능 선택) 페이지에서 사용 가능한 선택 사항("any(모두)"로 구성된 애플리케이션 및 "any(모두)"로 구성된 서비스)에 관계없이 비활성화된 상태로 마이그레이션됩니다. 허용되는 동작인 경우 애플리케이션을 활성화하고 변경 사항을 커밋합니다. 그렇지 않은 경우 필요한 애플리케이션 또는 서비스를 선택하고 정책을 활성화합니다.

  규칙에 따라 애플리케이션을 사용하여 액세스 제어 목록 분할

  구성된 하나의 규칙을 포함하는 액세스 제어 목록을 여러 애플리케이션으로 마이그레이션할 때 ACL을 분할하도록 선택할 수 있습니다. 그러면 ACL이 여러 규칙으로 분할되고 규칙당 하나의 애플리케이션이 사용됩니다. 이렇게 하려면 Split ACLs with Applications per rule(규칙에 따라 애플리케이션으로 ACL 분할) 확인란을 선택합니다. 그러나 마이그레이션하려는 구성에 액세스 규칙당 구성된 여러 애플리케이션이 포함되어 있지 않은 경우, 확인란이 나타나지 않습니다.

  각 규칙은 규칙당 하나의 애플리케이션을 사용하는 여러 규칙으로 변환되며, 이러한 규칙은 Optimize, Review, and Validate Configuration(구성 최적화, 검토 및 검증) 페이지에서 검토할 수 있습니다.

• Secure Firewall 마이그레이션 툴은 대상 Management Center가 7.2 이상인 경우 원격 액세스 VPN의 마이그레이션을 지원합니다. 원격 액세스 VPN은 Threat Defense 없이도 마이그레이션할 수 있는 공유 정책입니다. Threat Defense를 사용하여 마이그레이션을 선택한 경우 Threat Defense 버전은 7.0 이상이어야 합니다.

• (선택 사항) Optimization(최적화) 섹션에서 Migrate only referenced objects(참조된 개체만 마이그레이션)를 선택하여 액세스 제어 정책 및 NAT 정책에서 참조되는 개체만 마이그레이션합니다.

  참고	이 옵션을 선택하면 구성에서 참조되지 않는 개체는 마이그레이션되지 않습니다. 이렇게 하면 마이그레이션 시간이 최적화되고 컨피그레이션에서 사용되지 않는 개체가 제거됩니다.

단계 7

Proceed(진행)를 클릭합니다.

단계 8

Rule Conversion/ Process Config(규칙 변환/프로세스 컨피그레이션) 섹션에서 Start Conversion(변환 시작)을 클릭하여 변환을 시작합니다.

단계 9

Secure Firewall 마이그레이션 툴에서 변환한 요소의 요약을 검토합니다.

단계 10

Download Report(보고서 다운로드)를 클릭하고 Pre-Migration Report(마이그레이션 전 보고서)를 저장합니다.

단계 1

Pre-Migration Report(마이그레이션 전 보고서)를 다운로드한 위치로 이동합니다.

참고	Pre-Migration Report(마이그레이션 전 보고서)의 사본도 Secure Firewall 마이그레이션 툴과 동일한 위치의 Resources(리소스) 폴더에 저장됩니다.

단계 2

Pre-Migration Report(마이그레이션 전 보고서)를 열고 내용을 신중하게 검토하여 마이그레이션의 실패를 일으킬 수 있는 문제를 파악합니다.

단계 3

(선택 사항) Pre-Migration Report(마이그레이션 전 보고서)에서 시정 조치를 권장하는 경우, 계속하기 전에 인터페이스에서 해당 시정 조치를 완료하고 구성 파일을 다시 내보낸 후 업데이트된 구성 파일을 업로드하십시오.

단계 4

구성 파일이 성공적으로 업로드되고 구문 분석된 후 Secure Firewall 마이그레이션 툴로 돌아가 Next(다음)를 클릭하여 마이그레이션을 계속합니다.

단계 1

인터페이스 매핑을 변경하려면 FTD Interface Name(FTD 인터페이스 이름)의 드롭다운 목록을 클릭하고 해당 인터페이스에 매핑할 인터페이스를 선택합니다.

관리 인터페이스의 매핑은 변경할 수 없습니다. Firewall Threat Defense 인터페이스가 인터페이스에 이미 할당된 경우 드롭다운 목록에서 해당 인터페이스를 선택할 수 없습니다. 할당된 모든 인터페이스는 회색으로 표시되며 사용할 수 없습니다.

하위 인터페이스는 매핑할 필요가 없습니다. Secure Firewall 마이그레이션 툴은 구성의 모든 하위 인터페이스에 대해 Firewall Threat Defense 디바이스의 하위 인터페이스를 매핑합니다.

참고	소스 방화벽의 인터페이스 수가 대상 방화벽보다 많은 경우 대상 방화벽에서 하위 인터페이스를 생성하고 마이그레이션을 다시 시도합니다.

단계 2

각 인터페이스를 Firewall Threat Defense 인터페이스에 매핑했으면 Next(다음)를 클릭합니다.

단계 1

Map Security Zones(보안 영역 매핑) 화면에서 사용 가능한 인터페이스, 보안 영역 및 인라인 보안 영역을 검토합니다.

단계 2

Firewall Management Center에 존재하는, 즉 구성 파일에서 보안 영역 유형 개체로 사용 가능하고 드롭다운 목록에서 사용 가능한 보안 영역 및 인터페이스 그룹에 인터페이스를 매핑하려면 다음과 같이 합니다.

1. Security Zones(보안 영역) 열에서 해당 인터페이스의 보안 영역을 선택합니다.

2. Interface Groups(인터페이스 그룹) 열에서 해당 인터페이스의 인터페이스 그룹을 선택합니다.

단계 3

Firewall Management Center에 존재하는 보안 영역에 인터페이스를 매핑하려면 Security Zones(보안 영역) 열에서 해당 인터페이스의 보안 영역을 선택합니다.

단계 4

Firewall Management Center에 존재하는 인라인 보안 영역에 인터페이스를 매핑하려면 Inline Security Zones(인라인 보안 영역) 열에서 해당 인터페이스의 인라인 보안 영역을 선택합니다.

단계 5

보안 영역을 수동으로 매핑하거나 자동으로 생성할 수 있습니다.

1. Add SZ & IG(SZ 및 IG 추가)를 클릭합니다.

2. Add SZ & IG(SZ 및 IG 추가) 대화 상자에서 Add(추가)를 클릭하여 새 보안 영역을 추가합니다.

3. Security Zone(보안 영역) 열에 보안 영역 이름을 입력합니다. 허용되는 최대 문자 수는 48자입니다.

4. Close(닫기)를 클릭합니다.

1. Auto-Create(자동 생성)를 클릭합니다.

2. Auto-Create(자동 생성) 대화 상자에서 Zone Mapping(영역 매핑)을 선택합니다.

3. Auto-Create(자동 생성)를 클릭합니다.

단계 6

모든 인터페이스를 적절한 보안 영역에 매핑했으면 Next(다음)를 클릭합니다.

단계 1

Valid Mappings(유효한 매핑) 탭을 클릭하여 해당 마이그레이션의 유효한 매핑 수를 확인합니다. Valid Source Application(유효한 소스 애플리케이션)을 유효한 Mapping Mode(유효한 매핑 모드) 및 Target Application(대상 애플리케이션)에 매핑합니다.

단계 2

Blank Mappings(빈 매핑)을 클릭하여 해당 마이그레이션에 대한 빈 매핑 목록을 확인합니다. Blank Source Application(빈 소스 애플리케이션)을 유효한 Mapping Mode(매핑 모드) 및 Target Application(대상 애플리케이션)에 매핑합니다.

예를 들어 매핑 모드를 선택하고 대상을 입력하지 않고 저장하면 빈 매핑의 수가 증가합니다. 탭을 검토하고 올바르게 매핑한 다음 마이그레이션을 진행합니다.

참고	빈 매핑이 있더라도 마이그레이션을 계속할 수 있습니다.

단계 3

Invalid Mappings(유효하지 않은 매핑) 탭을 클릭하여 유효하지 않은 매핑 목록을 확인합니다. 다음을 수행하십시오.

1. Invalid Application(유효하지 않은 애플리케이션) - 마이그레이션 중에 잘못된 매핑을 표시합니다.

2. Mapping Mode(매핑 모드) - Application(애플리케이션) 또는 Port(포트) 중에서 매핑 모드를 선택합니다.

3. Target Application(대상 애플리케이션) - 애플리케이션 매핑의 대상 애플리케이션을 선택합니다.

단계 4

각 탭에서 Validate(검증)를 클릭하여 해당 마이그레이션에 대해 유효하지 않거나 비어 있거나 유효한 매핑을 검증합니다.

단계 5

Next(다음)를 클릭하여 계속 진행합니다.

단계 6

Clear Mapped Data(매핑된 데이터 지우기)를 클릭하여 수동으로 수행한 매핑을 검증 전에 지웁니다. 수행 중인 매핑에 대해 완전히 확신할 수 있는 경우에만 Validate(검증)를 클릭하는 것이 좋습니다. 검증을 클릭한 후에는 매핑을 취소할 수 없고 매핑이 유효하게 되기 때문입니다.

단계 1

Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 화면에서 Access Control Rules(액세스 제어 규칙)를 클릭하고 다음과 같이 합니다.

1. 테이블의 각 항목에 대해 매핑을 검토하고 올바른지 확인합니다.

2. 하나 이상의 액세스 제어 목록 정책을 마이그레이션하지 않으려면 해당 행의 확인란을 선택하고 Actions(작업) Do not migrate(마이그레이션 하지 않음)을 선택한 다음 Save(저장)를 클릭합니다.

   마이그레이션하지 않도록 선택하는 모든 규칙은 테이블에서 회색으로 표시됩니다.

3. 액세스 제어 목록 정책을 편집하려면 해당 정책 옆의 체크 박스를 선택하고 Actions(작업) > Edit(편집)를 선택합니다.

4. Edit Rule(규칙 편집) 대화 상자에서 기존 데이터를 업데이트하거나 새 데이터를 추가합니다.

   소스 또는 대상에 개체를 추가하려면:

   1. 왼쪽 창에서 해당 개체 옆에 있는 체크 박스를 선택합니다.

   2. Selected Sources(선택된 소스) 또는 Selected Destination and Applications(선택된 대상 및 애플리케이션) 열 아래에 있는 Add Source(소스 추가) 또는 Add Destination(대상 추가) 버튼을 클릭하여 개체를 해당 위치로 이동합니다.

   또한 삭제 아이콘을 클릭하여 소스 또는 대상에서 기존 개체를 삭제할 수도 있습니다.

   참고	적용되지 않는 규칙은 표에서 회색으로 표시됩니다.

5. 하나 이상의 액세스 제어 정책에 Firewall Management Center 파일 정책을 적용하려면 해당 행의 체크 박스를 선택하고 Actions(작업) > File Policy(파일 정책)를 선택합니다.

   File Policy(파일 정책) 대화 상자에서 적절한 파일 정책을 선택하고 선택한 액세스 제어 정책에 적용한 후 Save(저장)를 클릭합니다.

6. 하나 이상의 액세스 제어 정책에 Firewall Management Center IPS 정책을 적용하려면 해당 행의 체크 박스를 선택하고 Actions(작업) > IPS Policy(IPS 정책)를 선택합니다.

   IPS Policy(IPS 정책) 대화 상자에서 적절한 IPS 정책과 해당 변수 집합을 선택하고 선택한 액세스 제어 정책에 적용한 후 Save(저장)를 클릭합니다.

7. 기록이 활성화된 액세스 제어 규칙의 기록 옵션을 변경하려면 해당 행의 체크 박스를 선택하고 Actions(작업) > Log(로그)를 선택합니다.

   Log(로그) 대화 상자에서 연결 시작 또는 종료 시 또는 두 경우에 모두 이벤트 기록을 활성화할 수 있습니다. 기록을 활성화한 경우 Event Viewer(이벤트 뷰어) 또는 Syslog(시스템 로그) 또는 둘 다에 연결 이벤트를 보내도록 선택해야 합니다. 시스템 로그 서버에 연결 이벤트를 전송하도록 선택하는 경우 Syslog(시스템 로그) 드롭다운 메뉴에서 Firewall Management Center에 이미 구성된 시스템 로그 정책을 선택할 수 있습니다.

8. 액세스 제어 테이블에서 마이그레이션된 액세스 제어 규칙에 대한 작업을 변경하려면 해당 행의 체크 박스를 선택하고 Actions(작업) > Rule Action(규칙 작업)을 선택합니다.

   팁	액세스 제어 규칙에 연결된 IPS 및 파일 정책은 Allow(허용) 옵션을 제외한 모든 규칙 작업 시 자동으로 제거됩니다.

   오름차순, 내림차순, 같음, 보다 큼, 보다 작음 필터링 순서 시퀀스로 ACE 수를 필터링할 수 있습니다.

   기존 필터 기준을 지우고 새 검색을 로드하려면 Clear Filter(필터 지우기)를 클릭합니다.

   참고	ACE를 기준으로 ACL을 정렬하는 순서는 보기 전용입니다. ACL은 발생한 연대순으로 푸시됩니다.

단계 2

다음 탭을 클릭하고 컨피그레이션 항목을 검토합니다.

참고	사이트 간 및 원격 액세스 VPN 구성의 경우 이와 관련된 VPN 필터 구성 및 확장 액세스 목록 개체가 마이그레이션되며 각 탭에서 검토할 수 있습니다.

단계 3

(선택 사항) 구성을 검토하는 동안 Network Objects(네트워크 개체) 또는 Port Objects(포트 개체) 탭에서 Actions(작업) > Rename(이름 변경)을 선택하여 하나 이상의 네트워크 또는 포트 개체의 이름을 변경할 수 있습니다.

단계 4

Routes(경로) 영역에서 경로를 보고 항목을 선택하고 Actions(작업) > Do not Migration(마이그레이션 안 함)을 선택하여 마이그레이션하지 않을 경로를 선택할 수 있습니다.

단계 5

Site-to-Site VPN Tunnels(사이트 간 VPN 터널) 섹션에는 소스 방화벽 구성의 VPN 터널이 나열됩니다. 각 행의 소스 인터페이스, VPN 유형, IKEv1 및 IKEv2 구성과 같은 VPN 터널 데이터를 검토하고 모든 행에 사전 공유 키 값을 제공하는지 확인합니다.

단계 6

여러 사이트 간 VPN 터널 구성이 포함된 구성의 경우 여러 항목에 대한 사전 공유 키를 한 번에 업데이트하려면 아래 단계를 수행합니다.

단계 7

Remote Access VPN(원격 액세스 VPN) 섹션에서는 원격 액세스 VPN에 해당하는 모든 개체가 Palo Alto Networks Firewall에서 Management Center로 마이그레이션되며 다음과 같이 표시됩니다.

단계 8

(선택 사항) 그리드의 각 구성 항목에 대한 세부 정보를 다운로드하려면 Download(다운로드)를 클릭합니다.

단계 9

검토를 완료한 후 Validate(검증)를 클릭합니다. 확인이 필요한 필수 필드는 값을 입력할 때까지 계속 깜박입니다. 모든 필수 필드를 입력한 후에만 유효성 검사 버튼이 활성화됩니다.

단계 10

검증이 완료된 후 Validation Status(검증 상태) 대화 상자에 하나 이상의 개체 충돌이 표시되면 다음과 같이 합니다.

1. Resolve Conflicts(충돌 해결)를 클릭합니다.

   Secure Firewall 마이그레이션 툴은 개체 충돌이 보고된 위치에 따라 Network Objects(네트워크 개체) 또는 Port Objects(포트 개체) 탭 중 하나 또는 둘 다에 경고 아이콘을 표시합니다.

2. 탭을 클릭하고 개체를 검토합니다.

3. 충돌이 있는 각 개체의 항목을 확인하고 Actions(작업) > Resolve Conflicts(충돌 해결)를 선택합니다.

4. Resolve Conflicts(충돌 해결) 창에서 권장 작업을 완료합니다.

   예를 들어, 기존 Firewall Management Center 개체와의 충돌을 방지하기 위해 개체 이름에 접미사를 추가하라는 메시지가 표시될 수 있습니다. 기본 접미사를 수락하거나 자체 접미사로 대체할 수 있습니다.

5. Resolve(해결)를 클릭합니다.

6. 탭에서 모든 개체 충돌을 해결했으면 Save(저장)를 클릭합니다.

7. Validate(검증)를 클릭하여 컨피그레이션을 재검증하고 모든 개체 충돌이 해결되었는지 확인합니다.

단계 11

Optimize Your Configuration(구성 최적화) 대화 상자에는 최적화된 각 속성 옆에 체크 표시가 나타나며, 최적화가 필요한 속성을 표시합니다. Proceed(진행)를 클릭하여 최적화를 시작합니다. 최적화 단계를 건너뛸 수는 있지만, 마이그레이션을 진행하기 전에 속성을 최적화하는 것이 좋습니다.

단계 12

검증이 완료되고 Validation Status(검증 상태) 대화 상자에 Successfully Validated(검증 성공) 메시지가 표시되면 마이그레이션된 컨피그레이션을 Firewall Management Center에 푸시로 진행합니다.

단계 1

Validation Status(검증 상태) 대화 상자에서 검증 요약을 검토합니다.

단계 2

Push Configuration(구성 푸시)을 클릭하여 마이그레이션된 구성을 Firewall Management Center에 보냅니다.

참고	Secure Firewall 마이그레이션 툴이 중복 개체 속성을 감지하면 대화 상자가 나타나 중복된 값을 수정하라는 메시지가 표시됩니다. 중복 속성의 이름을 변경한 후에야 마이그레이션을 진행할 수 있습니다.

참고

대량 구성 푸시가 수행될 때 오류가 있는 구성이 있는 경우, 마이그레이션 툴에서 마이그레이션을 중단하여 오류를 수동으로 수정하거나 잘못된 구성 없이 마이그레이션을 계속하라는 메시지를 표시하는 경고가 표시됩니다. 오류가 있는 구성을 표시하도록 선택한 다음 Continue with migration(마이그레이션 계속 진행) 또는 Abort(중단)를 선택할 수 있습니다. 마이그레이션을 중단하는 경우 문제 해결 번들을 다운로드하고 분석을 위해 Cisco TAC와 공유할 수 있습니다. 마이그레이션을 계속하면 마이그레이션 툴이 마이그레이션을 부분 성공 마이그레이션으로 처리합니다. 마이그레이션 후 보고서를 다운로드하여 푸시 오류로 인해 마이그레이션되지 않은 구성 목록을 볼 수 있습니다.

단계 3

마이그레이션이 완료되면 Download Report(보고서 다운로드)를 클릭하여 마이그레이션 후 보고서를 다운로드하고 저장합니다.

단계 4

마이그레이션이 실패한 경우 마이그레이션 후 보고서, 로그 파일, 구문 분석되지 않은 파일을 신중하게 검토하여 실패의 원인을 파악합니다.

단계 1

Post-Migration Report(마이그레이션 후 보고서)를 다운로드한 위치로 이동합니다.

단계 2

마이그레이션 후 보고서를 열고 내용을 신중하게 검토하여 구성이 어떻게 마이그레이션되었는지 파악합니다.

• Migration Summary(마이그레이션 요약) - 에서 Firewall Threat Defense로 성공적으로 마이그레이션된 구성의 요약으로, 인터페이스, Firewall Management Center 호스트 이름 및 도메인, 대상 Firewall Threat Defense 디바이스 (적용 가능한 경우) 및 성공적으로 마이그레이션된 구성 요소에 대한 정보가 포함됩니다.

  또한 마이그레이션 전과 마이그레이션 후의 상태 수 차이를 보여주는 비교 차트를 확인할 수 있습니다.

• Selective Policy Migration(선택적 정책 마이그레이션) - 마이그레이션하도록 선택한 특정 기능에 대한 세부 정보를 Device Configuration Features(디바이스 구성 기능), Shared Configuration Features(공유 구성 기능), Optimization(최적화)의 세 범주에서 확인할 수 있습니다.

• Interface to Threat Defense Interface Mapping(ASA FPS 포함 ASA FDM 매니지드 디바이스 인터페이스-Threat Defense 인터페이스 매핑) - 성공적으로 마이그레이션된 인터페이스와 구성의 인터페이스를 Firewall Threat Defense 디바이스의 인터페이스에 매핑한 방법에 대한 세부 정보입니다. 이러한 매핑이 예상과 일치하는지 확인합니다.

  참고	이 섹션은 마이그레이션에 대상 Firewall Threat Defense 디바이스가 없는 경우 또는 인터페이스를 마이그레이션하도록 선택하지 않은 경우에는 적용되지 않습니다.

• Source Interface Names to Threat Defense Security Zones(소스 인터페이스 이름 - Threat Defense 보안 영역) - 성공적으로 마이그레이션된 PAN 논리적 인터페이스 및 이름과 Firewall Threat Defense에서 이를 보안 영역에 매핑한 방법에 대한 세부 정보입니다. 이러한 매핑이 예상과 일치하는지 확인합니다.

  참고	Access Control Lists(액세스 제어 목록) 및 NAT가 마이그레이션하도록 선택되지 않은 경우 이 섹션은 적용되지 않습니다.

• Object Conflict Handling(개체 충돌 처리) - Firewall Management Center의 기존 개체와 충돌하는 것으로 확인된 개체에 대한 세부 정보입니다. 개체의 이름과 구성이 동일한 경우 Secure Firewall 마이그레이션 툴에서 Firewall Management Center 개체를 재사용했습니다. 개체의 이름은 같지만 컨피그레이션이 다른 경우 해당 개체의 이름을 변경했습니다. 이러한 개체를 신중하게 검토하고 충돌이 적절하게 해결되었는지 확인합니다.

• Access Control Rules, NAT, and Routes You Chose Not to Migrate(마이그레이션하지 않도록 선택한 액세스 제어 규칙, NAT 및 경로) - Secure Firewall 마이그레이션 툴을 사용하여 마이그레이션하지 않도록 선택한 규칙에 대한 세부 정보입니다. Secure Firewall 마이그레이션 툴에서 비활성화되고 마이그레이션되지 않은 이러한 규칙을 검토합니다. 이러한 라인을 검토하고 선택한 모든 규칙이 이 섹션에 나열되어 있는지 확인합니다. 원하는 경우 이러한 규칙을 수동으로 구성할 수 있습니다.

• Partially Migrated Configuration(부분적으로 마이그레이션된 구성) - 고급 옵션이 포함되어 있지만 고급 옵션 없이 마이그레이션될 수 있는 규칙을 비롯하여 부분적으로만 마이그레이션된 규칙에 대한 세부 정보입니다. 이러한 라인을 검토하고 Firewall Management Center에서 고급 옵션이 지원되는지 확인한 다음 지원되는 경우 해당 옵션을 수동으로 구성합니다.

• Unsupported Configuration(지원되지 않는 구성) - Secure Firewall 마이그레이션 툴이 해당 기능의 마이그레이션을 지원하지 않으므로 마이그레이션할 수 없는 구성 요소에 대한 세부 정보입니다. 이러한 라인을 검토하여 각 기능이 Firewall Threat Defense에서 지원되는지 확인합니다. 지원되는 경우 Firewall Management Center에서 해당 기능을 수동으로 구성합니다.

• Expanded Access Control Policy Rules(확장 액세스 제어 정책 규칙)- 마이그레이션 중에 단일 포인트 규칙에서 여러 Firewall Threat Defense 규칙으로 확장된 액세스 제어 정책 규칙에 대한 세부 정보입니다.

• Actions Taken on Access Control Rules(액세스 제어 규칙에 대해 수행된 작업)

  • Access Rules You Chose Not to Migrate(마이그레이션하지 않도록 선택한 액세스 규칙) - Secure Firewall 마이그레이션 툴을 사용하여 마이그레이션하지 않도록 선택한 액세스 제어 규칙에 대한 세부 정보입니다. 이러한 라인을 검토하고 선택한 모든 규칙이 이 섹션에 나열되어 있는지 확인합니다. 원하는 경우 이러한 규칙을 수동으로 구성할 수 있습니다.

  • Access Rules with Rule Action Change(규칙 작업이 변경된 액세스 규칙) - Secure Firewall 마이그레이션 툴을 사용하여 '규칙 작업'이 변경된 모든 액세스 제어 정책 규칙에 대한 세부 정보입니다. 규칙 작업 값은 Allow(허용), Trust(신뢰), Monitor(모니터링), Block(차단), Block with reset(차단 후 재설정)입니다. 이러한 라인을 검토하고 선택한 모든 규칙이 이 섹션에 나열되어 있는지 확인합니다. 원하는 경우 이러한 규칙을 수동으로 구성할 수 있습니다.

  • Access Control Rules that have IPS Policy and Variable Set Applied(IPS 정책 및 변수 집합이 적용된 액세스 제어 규칙) - IPS 정책이 적용된 모든 액세스 제어 정책 규칙에 대한 세부 정보입니다. 이러한 규칙을 신중하게 검토하고 Firewall Threat Defense에서 해당 기능이 지원되는지 확인합니다.

  • Access Control Rules that have File Policy Applied(파일 정책이 적용된 액세스 제어 규칙) - 파일 정책이 적용된 모든 액세스 제어 정책 규칙에 대한 세부 정보입니다. 이러한 규칙을 신중하게 검토하고 Firewall Threat Defense에서 해당 기능이 지원되는지 확인합니다.

  • Access Control Rules that have Rule ‘Log’ Setting Change(규칙 '로그' 설정이 변경된 액세스 제어 규칙) - Secure Firewall 마이그레이션 툴을 사용하여 '로그 설정'이 변경된 액세스 제어 규칙에 대한 세부 정보입니다. 로그 설정 값은 False(거짓), Event Viewer(이벤트 뷰어), Syslog(시스템 로그)입니다. 이러한 라인을 검토하고 선택한 모든 규칙이 이 섹션에 나열되어 있는지 확인합니다. 원하는 경우 이러한 규칙을 수동으로 구성할 수 있습니다.

  • Errors/Failure on Migrated Configuration(마이그레이션된 구성의 오류/실패) — 마이그레이션된 구성 요소를 적용하는 과정에서 마이그레이션 실패를 유발한 오류에 대한 세부 정보입니다. 아래에 보고된 오류는 잘못 마이그레이션된 구성 때문일 수도 있고, 기존 구성이나 지원되지 않는 기능으로 인해 관리 센터에서 충돌이 발생한 것일 수도 있습니다. 대상 관리 센터로 구성을 전송하거나 재개하기 전에 이러한 오류를 검토하고 확인하십시오.

참고	마이그레이션되지 않은 지원되지 않는 규칙은 원치 않는 트래픽이 방화벽을 통과하는 문제를 일으킵니다. 이 트래픽이 Firewall Threat Defense에서 차단되도록 Firewall Management Center에서 규칙을 구성하는 것이 좋습니다.

참고	Review and Validate(검토 및 검증) 페이지에서 ACL에 IPS 또는 파일 정책을 적용해야 하는 경우 마이그레이션 전에 Management Center에서 정책을 생성하는 것이 좋습니다. Secure Firewall 마이그레이션 툴이 연결된 Management Center에서 정책을 가져오므로 동일한 정책을 사용합니다. 새 정책을 생성하고 여러 정책에 할당하면 성능이 저하될 수 있으며 푸시가 실패할 수도 있습니다.

Firewall Management Center 및 Firewall Threat Defense에서 지원되는 기능에 대한 자세한 내용은 Management Center 컨피그레이션 가이드, 버전 6.2.3을 참고하십시오.

단계 3

Pre-Migration Report(마이그레이션 전 보고서)를 열고 Firewall Threat Defense 디바이스에서 수동으로 마이그레이션해야 하는 구성 항목을 기록해 둡니다.

단계 4

Firewall Management Center에서 다음과 같이 합니다.

1. Firewall Threat Defense 디바이스에 대해 마이그레이션된 컨피그레이션을 검토하여 다음을 비롯한 모든 예상 규칙 및 기타 컨피그레이션 항목이 마이그레이션되었는지 확인합니다.

   • ACL(액세스 제어 목록)

   • NAT(Network Address Translation) 규칙

   • 포트 및 네트워크 개체

   • 경로

   • 인터페이스

   • 유동 경로 개체

2. 마이그레이션되지 않은 부분적으로 지원되는 항목 및 규칙, 지원되지 않는 항목 및 규칙, 무시된 항목 및 규칙, 비활성화된 항목 및 규칙을 모두 구성합니다.

   이러한 항목 및 규칙에 대한 정보는 Management Center 컨피그레이션 가이드를 참고하십시오. 다음은 수동 구성이 필요한 컨피그레이션 항목의 예입니다.

   • Threat Defense의 플랫폼 설정에 설명된 SSH 및 HTTPS 액세스를 포함한 플랫폼 설정

   • 시스템 로그 구성에 설명된 시스템 로그 설정

   • Threat Defense 라우팅 개요에 설명된 동적 라우팅

   • FlexConfig 정책에 설명된 서비스 정책

   • Threat Defense VPN에 설명된 VPN 컨피그레이션

   • 연결 기록에 설명된 연결 로그 설정

단계 5

검토를 완료한 후 마이그레이션된 컨피그레이션을 Firewall Management Center에서 Firewall Threat Defense 디바이스로 구축합니다.

단계 1

네트워크에 Firepower 2100 Series 디바이스를 구축하고 인터페이스를 연결한 다음 어플라이언스의 전원을 켭니다.

단계 2

Firewall Management Center에서 관리할 Firepower 2100 Series 디바이스를 등록합니다.

단계 3

https://software.cisco.com/download/home/286306503/type에서 Secure Firewall 마이그레이션 툴의 최신 버전을 다운로드하여 실행합니다.

단계 4

Secure Firewall 마이그레이션 툴을 실행하고 대상 매개변수를 지정할 때 Firewall Management Center에 등록한 Firepower 2100 Series 디바이스를 선택하십시오.

단계 5

인터페이스와 Firewall Threat Defense 인터페이스를 매핑합니다.

참고	Secure Firewall 마이그레이션 툴을 사용하면 인터페이스 유형을 Firewall Threat Defense 인터페이스 유형에 매핑할 수 있습니다.

단계 6

논리적 인터페이스를 보안 영역에 매핑하는 동안 Auto-Create(자동 생성)를 클릭하여 Secure Firewall 마이그레이션 툴이 새 보안 영역을 생성하도록 허용합니다. 기존 보안 영역을 사용하려면 논리적 인터페이스를 보안 영역에 수동으로 매핑합니다.

단계 7

이 가이드의 지침에 따라 마이그레이션할 컨피그레이션을 순차적으로 검토 및 검증한 다음 컨피그레이션을 Firewall Management Center로 푸시합니다.

단계 8

마이그레이션 후 보고서를 검토하고 Firewall Threat Defense에 다른 컨피그레이션을 수동으로 설정하고 구축한 다음 마이그레이션을 완료합니다.

단계 9

마이그레이션을 계획하는 동안 생성한 테스트 계획을 사용하여 Firepower 2100 Series 디바이스를 테스트합니다.

단계 1

주변 스위칭 인프라에서 ARP(Address Resolution Protocol) 캐시를 지웁니다.

단계 2

주변 스위칭 인프라에서 Firepower 2100 Series 디바이스 인터페이스 IP 주소에 대한 기본 ping 테스트를 수행하여 액세스 가능한지 확인합니다.

단계 3

레이어 3 라우팅이 필요한 디바이스에서 Firepower 2100 Series 디바이스 인터페이스 IP 주소에 대한 기본 ping 테스트를 수행합니다.

단계 4

Firepower 2100 Series 디바이스에 새 IP 주소를 할당하고 에 할당된 IP 주소를 재사용하지 않는 경우 다음 단계를 수행합니다.

단계 5

Firepower 2100 디바이스에 대해 관리 Firewall Management Center 내에서 포괄적인 테스트 계획을 실행하고 로그를 모니터링합니다.