단계 1

컴퓨터에서 Secure Firewall 마이그레이션 툴용 폴더를 생성합니다.

참고	Secure Firewall 마이그레이션 툴의 최신 버전을 다운로드할 때마다 새 폴더를 생성하고 기존 폴더를 사용하지 않아야 합니다.

단계 2

https://software.cisco.com/download/home/286306503/type으로 이동하여 Firewall 마이그레이션 툴을 클릭합니다.

단계 3

생성한 폴더에 최신 버전의 Secure Firewall 마이그레이션 툴을 다운로드합니다.

단계 4

Security Cloud Control 사용자이고 여기에서 호스팅되는 마이그레이션 툴을 사용하려는 경우, Security Cloud Control 테넌트에 로그인한 후 왼쪽 창에서 Administration(관리) > Migration(마이그레이션) > Firewall Migration 툴로 이동하여 마이그레이션 인스턴스를 만듭니다.

단계 1

다음 명령을 사용하여 CLI를 통해 키가 있는 소스 ASA 구성에서 PKCS12 파일로 PKI 인증서를 내보냅니다.

ASA(config)#crypto ca export <trust-point-name> pkcs12 <passphrase>

단계 2

PKI 인증서를 Management Center(Object Management(개체 관리) PKI Objects(PKI 개체))로 가져옵니다

단계 1

다음 명령을 사용하여 소스 ASA에서 필요한 패키지를 FTP 또는 TFTP 서버로 복사합니다.

Copy <source file location:/source file name> <destination> 
ASA# copy disk0:/anyconnect-win-4.10.02086-webdeploy-k9.pkg tftp://1.1.1.1 <----- Example of copying Anyconnect Package. 
ASA# copy disk0:/ external-sso- 4.10.04071-webdeploy-k9.zip tftp://1.1.1.1 <----- Example of copying External Browser Package. 
ASA# copy disk0:/ hostscan_4.10.04071-k9.pkg tftp://1.1.1.1 <----- Example of copying Hostscan Package. 
ASA# copy disk0:/ dap.xml tftp://1.1.1.1. <----- Example of copying Dap.xml 
ASA# copy disk0:/ sdesktop/data.xml tftp://1.1.1.1 <----- Example of copying Data.xml 
ASA# copy disk0:/ VPN_Profile.xml tftp://1.1.1.1 <----- Example of copying Anyconnect Profile.

단계 2

다운로드한 패키지를 Management Center(Object Management(개체 관리) >) > VPN > AnyConnect File(AnyConnect 파일)로 가져옵니다.

단계 1

컴퓨터에서 Secure Firewall 마이그레이션 툴을 다운로드한 폴더로 이동합니다.

단계 2

다음 중 하나를 수행합니다.

• Windows 시스템에서 Secure Firewall 마이그레이션 툴 실행 파일을 더블 클릭하여 Google Chrome 브라우저에서 실행합니다.

  프롬프트가 표시되면 Yes(예)를 클릭하여 Secure Firewall 마이그레이션 툴에서 시스템을 변경할 수 있도록 허용합니다.

  참고	브라우저의 팝업 차단 기능을 반드시 비활성화해 주십시오. 팝업 차단 기능이 활성화되어 있으면 로그인 팝업이 표시되지 않을 수 있습니다.

  Secure Firewall 마이그레이션 툴은 Log(로그) 및 Resources(리소스) 폴더를 포함하여 해당 파일이 있는 폴더에 모든 관련 파일을 생성하고 저장합니다.

• Mac에서 Secure Firewall 마이그레이션 툴*.command 파일을 원하는 폴더로 이동하고, 터미널 애플리케이션을 실행하고, Secure Firewall 마이그레이션 툴이 설치된 폴더로 이동한 후 다음 명령을 실행합니다.

  # chmod 750 Firewall_Migration_Tool-version_number.command

  # ./Firewall_Migration_Tool-version_number.command

  Secure Firewall 마이그레이션 툴은 Log(로그) 및 Resources(리소스) 폴더를 포함하여 해당 파일이 있는 폴더에 모든 관련 파일을 생성하고 저장합니다.

  팁	Secure Firewall 마이그레이션 툴을 열려고 하면 확인된 개발자가 Secure Firewall 마이그레이션 툴을 Apple에 등록하지 않았으므로 경고 대화 상자가 표시됩니다. 확인되지 않은 개발자로부터 애플리케이션을 여는 방법에 대한 자세한 내용은 확인되지 않은 개발자의 앱 열기를 참고하십시오.

  참고	MAC 터미널 압축 방법을 사용합니다.

단계 3

Cisco와 텔레메트리 정보를 공유하려는 경우 End User License Agreement(엔드 유저 라이선스 계약) 페이지에서 I agree to share data with Cisco Success Network(Cisco Success Network와 데이터 공유 동의)를 클릭하고, 그렇지 않은 경우 I'll do later(나중에)를 클릭합니다.

단계 4

Secure Firewall 마이그레이션 툴의 로그인 페이지에서 다음 중 하나를 수행합니다.

• Cisco Success Network와 통계를 공유하려면 Login with CCO(CCO로 로그인) 링크를 클릭하여 SSO(Single Sign-On, 단일 인증) 자격 증명으로 Cisco.com 계정에 로그인합니다. Cisco.com 계정이 없는 경우 Cisco.com 로그인 페이지에서 생성합니다.

  Cisco.com 계정을 사용하여 로그인한 경우 8단계로 진행합니다.

• 인터넷 액세스가 불가능한 에어 갭(air-gapped) 네트워크에 방화벽을 구축한 경우 Cisco TAC에 문의하여 관리자 자격 증명을 사용하는 빌드를 받으십시오. 이 빌드는 시스코에 사용량 통계를 보내지 않으며, TAC가 자격 증명을 제공할 수 있습니다.

단계 5

Reset Password(비밀번호 재설정) 페이지에서 이전 비밀번호와 새 비밀번호를 입력하고 확인을 위해 새 비밀번호를 다시 입력합니다.

단계 6

Reset(재설정)을 클릭합니다.

단계 7

새 비밀번호로 로그인합니다.

참고	비밀번호를 잊어버린 경우 <migration_tool_folder>에서 기존의 모든 데이터를 삭제하고 Secure Firewall 마이그레이션 툴을 다시 설치합니다.

단계 8

마이그레이션 전 체크리스트를 검토하고 나열된 모든 항목을 완료했는지 확인합니다.

단계 9

New Migration(새 마이그레이션)을 클릭합니다.

단계 10

Secure Firewall 마이그레이션 툴의 최신 버전을 실행하고 있는지 확실하지 않은 경우 Software Update Check(소프트웨어 업데이트 확인) 화면에서 Cisco.com을 통해 버전을 확인합니다.

단계 11

Proceed(진행)를 클릭합니다.

단계 1

Extract(추출) ASA Information(정보) 페이지의 Manual Upload(수동 업로드) 섹션에서 Upload(업로드)를 클릭하여 ASA 구성 파일을 업로드합니다.

단계 2

구성 파일이 있는 위치로 이동하여 Open(열기)을 클릭합니다.

단계 3

Context Selection(컨텍스트 선택) 섹션을 검토하고 마이그레이션할 컨텍스트를 선택합니다.

단계 1

Extract ASA Information(ASA 정보 추출) 화면의 Connect to ASA(ASA에 연결) 섹션에서 Connect(연결)를 클릭하여 마이그레이션할 ASA 디바이스에 연결합니다.

단계 2

ASA Login(ASA 로그인) 화면에서 다음 정보를 입력합니다.

단계 3

Context(컨텍스트) 드롭다운 목록에서 마이그레이션할 ASA 컨텍스트를 선택합니다.

단계 4

(선택 사항) Collect Hitcounts(적중 횟수 수집)를 선택합니다.

단계 5

Start Extraction(추출 시작)을 클릭합니다.

단계 1

ASA 구성 파일을 업로드합니다. 구성 파일에 컨텍스트가 포함된 경우 마이그레이션 툴은 모든 보안 컨텍스트의 이름을 표시합니다.

단계 2

(선택 사항) 컨텍스트 중 하나에서 구성을 마이그레이션하려면 Context Migration (One at a time)(컨텍스트 마이그레이션(한 번에 하나씩)) 라디오 버튼을 클릭하고 컨텍스트를 선택하여 마이그레이션을 계속 진행합니다.

단계 3

(선택 사항) 여러 컨텍스트의 설정을 단일 인스턴스로 병합하고 마이그레이션하려면 다음을 수행합니다.

참고

여러 컨텍스트 병합을 시도하기 전에 다음 사전 요건을 읽어보십시오. ASA에 포트 채널이 구성되어 있는 경우 대상 Firewall Threat Defense 디바이스에서도 포트 채널이 구성되어 있는지 확인합니다. 두 인터페이스의 VLAN ID 및 하위 인터페이스 ID가 동일한 경우 마이그레이션 툴은 새 인터페이스에 새 VLAN 및 하위 인터페이스 ID를 자동으로 추가합니다. 이러한 ID에 대한 정보는 마이그레이션 전 보고서의 일부입니다. 마이그레이션 툴로 생성한 새 인터페이스를 해당 디바이스의 트렁크 포트 개체로 구성해야 합니다. 이는 Firewall Threat Defense 디바이스 가 동일한 VLAN 및 하위 인터페이스 ID를 가진 두 개의 인터페이스를 허용하지 않기 때문입니다. AS 경로 개체는 마이그레이션되는 모든 컨텍스트에서 고유해야 합니다. 중복은 마이그레이션되지 않습니다.

1. Merge Multi-Context to Single Instance(멀티 컨텍스트를 단일 인스턴스로 병합) 라디오 버튼을 클릭합니다. 멀티컨텍스트 병합을 선택하는 경우 설정 라인 수, ACL, 개체, 정적 경로를 포함한 경로, PBR 및 ECMP, 인터페이스 등의 컨텍스트 정보를 볼 수 있습니다.

2. 모든 라우팅 모드 방화벽 컨텍스트를 병합하려면 Select All Context - Routed(모든 컨텍스트 선택 - 라우팅) 체크 박스를 선택하고 모든 투명 모드 방화벽 컨텍스트를 병합하려면 Select All Context - Transparent(모든 컨텍스트 선택 - 투명) 체크 박스를 선택합니다.

참고	여러 컨텍스트를 병합할 때 병합하기 위해 선택한 둘 이상의 컨텍스트에 VPN이 구성된 경우 마이그레이션 툴은 VPN 구성을 사용하여 컨텍스트 중 하나를 선택하라는 프롬프트를 표시합니다. 선택한 컨텍스트의 VPN 설정만 마이그레이션되고 다른 컨텍스트의 VPN 설정은 무시됩니다. 그러나 개체, 확장 ACL, NAT 규칙 및 선택되지 않은 컨텍스트에서 참조되지 않은 VPN 개체와 같은 다른 모든 구성은 계속 마이그레이션됩니다.

단계 4

Start Parsing(구문 분석 시작)을 클릭합니다. 컨텍스트를 선택하고 구문 분석을 시작하면 마이그레이션 툴은 모든 컨텍스트의 구성을 병합하고 구문 분석하며 Parsed Summary(구문 분석 요약)를 표시합니다. 병합 컨텍스트 마이그레이션을 수행하는 경우, 마이그레이션하도록 선택한 컨텍스트의 수는 구문 분석된 요약에 있는 VRF의 수와 동일합니다. 그러나 VPN 구성이 있는 컨텍스트가 있는 경우 VPN 구성이 있는 VRF는 글로벌 라우터에 직접 푸시되므로 구문 분석된 요약은 하나의 VRF를 덜 표시합니다.

참고	Start Parsing(구문 분석 시작)을 클릭한 상태에서 다른 컨텍스트를 선택하려는 경우, 이전으로 돌아가 다른 컨텍스트를 선택할 수 없습니다. Back(뒤로)을 클릭하고 구성 파일 업로드부터 시작하여 이번에는 다른 컨텍스트를 선택할 수 있습니다.

단계 5

업로드된 구성 파일에서 Secure Firewall 마이그레이션 툴이 감지하고 구문 분석한 요소에 대한 요약을 검토합니다.

단계 6

Next(다음)를 클릭하여 대상 매개변수를 선택합니다.

단계 1

Select Target(대상 선택) 화면의 Firewall Management(방화벽 관리) 섹션에서 다음을 수행합니다. 온프레미스 Firewall Management Center 또는 클라우드 제공 Firewall Management Center로 마이그레이션하도록 선택할 수 있습니다.

1. On-Prem FMC(온프레미스 FMC) 라디오 버튼을 클릭합니다.

2. Management Center의 IP 주소 또는 FQDN(정규화된 도메인 이름)을 입력합니다.

3. Domain(도메인) 드롭다운 목록에서 마이그레이션할 도메인을 선택합니다.

   Firewall Threat Defense 디바이스로 마이그레이션하려는 경우 선택한 도메인에서 사용 가능한 Firewall Threat Defense 디바이스로만 마이그레이션할 수 있습니다.

4. Connect(연결)를 클릭하고 2단계로 진행합니다.

1. Cloud 사용 FMC 라디오 버튼을 클릭합니다.

2. 지역을 선택하고 Security Cloud Control API 토큰을 붙여넣습니다. API 토큰을 생성합니다. Security Cloud Control에서 다음 단계를 수행합니다.

   1. Security Cloud Control에 로그인합니다.

   2. 오른쪽 상단에서 Preferences(환경 설정) > General Preferences(일반 환경설정)로 이동하여 My Tokens(내 토큰) 섹션의 API 토큰을 복사합니다.

3. Connect(연결)를 클릭하고 2단계로 진행합니다.

단계 2

Firewall Management Center Login(Firewall Management Center 로그인) 대화 상자에서 Secure Firewall 마이그레이션 툴 전용 계정의 사용자 이름과 비밀번호를 입력하고 Login(로그인)을 클릭합니다.

단계 3

Proceed(진행)를 클릭합니다.

단계 4

Choose FTD(FTD 선택) 섹션에서 다음 중 하나를 수행합니다.

• Select FTD Device(FTD 디바이스 선택)Select FTD Device (Includes FTD - Standalone/HA Pair)(FTD 디바이스 선택(FTD - 독립형/HA 쌍 포함)) 드롭다운 목록을 클릭하고 ASA 구성을 마이그레이션할 디바이스를 선택합니다.

  참고	이 목록에는 독립형 위협 방어 디바이스와 대상 Firewall Management Center의 고가용성(HA) 쌍의 일부인 디바이스가 모두 포함됩니다.

  선택한 Firewall Management Center 도메인의 디바이스가 IP Address(IP 주소), Name(이름), Device Model(디바이스 모델) 및 Mode(모드)(라우팅 또는 투명)별로 나열됩니다.

  참고	최소한, 선택하는 Firewall Threat Defense 네이티브 디바이스가 마이그레이션하는 ASA 컨피그레이션과 동일한 수의 물리적인터페이스 또는 포트 채널 인터페이스를 가져야 합니다. 최소한, Firewall Threat Defense 디바이스의 컨테이너 인스턴스가 동일한 수의 물리적 인터페이스 또는 포트 채널 인터페이스 및 하위 인터페이스를 가져야 합니다. ASA 컨피그레이션과 동일한 방화벽 모드로 디바이스를 구성해야 합니다. 그러나 이러한 인터페이스가 두 디바이스에서 동일한 이름을 가질 필요는 없습니다.

  참고

  지원되는 대상 Threat Defense 플랫폼이 Management Center 버전 6.5 이상을 사용하는 Firewall 1010인 경우에만 FDM 5505 마이그레이션 지원은 공유 정책에 적용되며 디바이스별 정책에는 적용되지 않습니다. Threat Defense 없이 진행하면 Secure Firewall 마이그레이션 툴이 Threat Defense에 구성 또는 정책을 푸시하지 않습니다. 따라서 Threat Defense 디바이스별 구성인 인터페이스 및 경로, 사이트 간 VPN은 마이그레이션되지 않습니다. 그러나 NAT, ACL 및 포트 개체와 같은 지원되는 다른 모든 컨피그레이션(공유 정책 및 개체)은 마이그레이션됩니다. 원격 액세스 VPN은 공유 정책이며 Threat Defense 없이도 마이그레이션할 수 있습니다.

  표 1. ASA 방화벽 기능 및 지원되는 Firewall Management Center 또는 Firewall Threat Defense 버전

  방화벽 기능	지원되는 Management Center 또는 Threat Defense 버전
  원격 구축으로	6.7 이상
  암호화 맵 사이트 간 VPN	6.6 이상
  Virtual Tunnel Interface(VTI) 및 경로 기반 (VTI)	6.7 이상
  유동 경로 개체 및 BGP	7.1 이상
  원격 액세스 VPN	Management Center 7.2 이상 Threat Defense 7.0 이상
  EIGRP	Management Center 7.2 이상 Threat Defense 7.0 이상
  PBR	Management Center 7.3 이상 Threat Defense 7.3 이상
  ECMP	Management Center 7.1 이상 Threat Defense 6.5 이상
  WebVPN	Management Center 7.4 이상 Threat Defense 7.4 이상
  SNMP	Management Center 7.4 이상 Threat Defense 7.4 이상
  DHCP 릴레이, 서버 및 DDNS	Management Center 7.4 이상 Threat Defense 7.4 이상

  참고	사이트 간 VPN, VTI 및 경로 기반 (VTI) 인터페이스를 마이그레이션하려면 Firewall Threat Defense를 Firewall Management Center에 구성해야 합니다.

• ASA 5505의 경우, 지원되는 대상 Firewall Threat Defense 플랫폼이 Firewall Management Center 6.5 이상 버전을 실행하는 Firewall 1010인 경우에만 디바이스별 구성(인터페이스 및 경로) 및 공유 정책(NAT, ACL 및 개체)을 마이그레이션할 수 있습니다.

  참고	대상 Firewall Threat Defense가 FPR-1010이 아니거나 대상 Firewall Management Center가 6.5 이전 버전인 경우, ASA 5505 마이그레이션 지원은 공유 정책에만 적용됩니다. 디바이스 관련 정보는 마이그레이션되지 않습니다. 소스 구성이 ASA 5505이므로 Select Device(디바이스 선택) 드롭다운 목록에서 FPR-1010만 선택할 수 있습니다. ASA-SM 마이그레이션 지원은 공유 정책에만 적용됩니다. 디바이스 관련 정보는 마이그레이션되지 않습니다.

• 컨피그레이션을 Firewall Management Center로 마이그레이션하려면 Proceed without FTD(FTD 없이 진행)를 클릭합니다.

  Firewall Threat Defense 없이 진행하면 Secure Firewall 마이그레이션 툴이 Firewall Threat Defense에 구성 또는 정책을 푸시하지 않습니다. 따라서 Firewall Threat Defense 디바이스별 구성인 인터페이스 및 라우트, 사이트 간 VPN은 마이그레이션되지 않으며, Firewall Management Center에서 수동으로 구성해야 합니다. 그러나 NAT, ACL 및 포트 개체와 같은 지원되는 다른 모든 컨피그레이션(공유 정책 및 개체)은 마이그레이션됩니다. 원격 액세스 VPN은 공유 정책이며 Threat Defense 없이도 마이그레이션할 수 있습니다.

• 이 옵션은 소스 ASA 디바이스가 HA 쌍에 있는 경우에만 표시됩니다.

  Proceed with FTD HA Pair Configuration(FTD HA 쌍 구성 진행) 클릭하여 HA 쌍에 대한 액티브 및 스탠바이 위협 방어 디바이스를 선택합니다. 액티브 디바이스를 선택할 때 FMT가 스탠바이 디바이스 옵션으로 동일한 디바이스를 표시하고 HA 쌍 생성이 성공하려면 대상 Firewall Management Center에 동일한 디바이스가 있는지 확인합니다.

  참고	스탠바이 디바이스로 선택할 대상 Firewall Management Center에 동일한 디바이스 가 없거나 대기 위협 방어 디바이스 를 선택하지 않는 경우 마이그레이션의 추가 단계를 진행할 수 없습니다.

  

  Setup FTD HA Pair(FTD HA 쌍 설정)를 클릭하고 Configure Target FTDs in High Availability Pair(고가용성 쌍에서 대상 FTD 구성) 창에서 다음을 구성합니다.

  1. HA Pair Name(HA 쌍 이름) 필드에 HA 쌍의 이름을 지정합니다.

  2. High Availability Link(고가용성 링크)에서 페일오버 통신을 수행해야 하는 경우 대역폭 이 충분한 Interface(인터페이스)를 선택합니다.

     참고	Interface(인터페이스) 드롭다운에는 논리적 이름이 없고 보안 영역의 일부가 아닌 인터페이스만 나열됩니다.

  3. 인터페이스의 Logical Name(논리적 이름)을 지정합니다.

  4. 액티브 디바이스 유닛에서 고가용성 링크에 대한 Primary IP(기본 IP) 주소를 지정합니다. IP 주소가 사용되지 않는 서브넷에 있는지 확인합니다.

  5. 스탠바이 디바이스 유닛에서 고가용성 링크에 대한 Secondary IP(보조 IP) 주소를 지정합니다. 보조 IP 주소가 기본 IP 주소와 동일한 서브넷에 있는지 확인합니다.

  6. 기본 및 보조 IP 주소에 적용되는 Subnet Mask(서브넷 마스크)를 입력합니다.

  7. State Link(상태 링크)에서 Same as LAN Failover Link(LAN 페일오버 링크와 동일) 또는 다른 Interface(인터페이스)를 선택합니다. Same as LAN Failover Link(LAN 페일오버 링크와 동일)를 선택하면 방금 구성한 페일오버 링크의 데이터가 입력됩니다.

  8. IPsec Encryption(IPsec 암호화) 아래의 Enabled(활성화됨) 체크 박스를 선택하여 페일오버 링크 사이에 암호화를 활성화하고 Key Generation(키 생성) 방법을 선택합니다.

  9. Add(추가)를 클릭하여 HA 쌍 설정을 시작합니다.

  HA 쌍 생성이 진행될 때까지 Notifications Center(알림 센터) 아이콘은 계속 깜박입니다. 어떤 이유로든 HA 쌍 생성에 실패하는 경우 FMT는 Blocked(차단됨) 오류 메시지를 표시하여 알림을 전송합니다. 이 경우 마이그레이션 툴이 HA 쌍 생성을 시도했는데 실패했으므로 Firewall Management Center는 HA 쌍을 생성하지만 성공하지 못합니다.

  Firewall Management Center에 로그인하고 수동으로 HA를 중단한 다음 마이그레이션 툴의 오류 메시지에서 Click here(여기를 클릭)를 선택하여 HA 쌍 다시 구성을 시작합니다. HA 쌍을 분리하는 방법에 대한 자세한 내용은 다음을 참조하십시오.

  • 대상 Firewall Management Center가 온프레미스 방화벽 Management Center인 경우 고가용성 쌍 분리

  • 대상 Firewall Management Center가 클라우드 제공 Firewall Management Center인 경우 고가용성 쌍 분리

  참고	다른 마이그레이션 단계의 일부로 입력되거나 채워진 값은 HA 설정이 실패하여 다시 구성되는 경우에도 유지됩니다.

단계 5

Proceed(진행)를 클릭합니다.

단계 6

Select Features(기능 선택) 섹션을 클릭하여 대상으로 마이그레이션할 기능을 검토하고 선택합니다.

• 대상 Firewall Threat Defense 디바이스로 마이그레이션하는 경우 Secure Firewall 마이그레이션 툴이 Device Configuration(디바이스 구성) 및 Shared Configuration(공유 구성) 섹션의 ASA 구성에서 마이그레이션에 사용할 수 있는 기능을 자동으로 선택합니다. 요구 사항에 따라 기본 선택 항목을 추가로 수정할 수 있습니다.
• Firewall Management Center로 마이그레이션하는 경우 Secure Firewall 마이그레이션 툴이 Device Configuration(디바이스 구성) 및 Shared Configuration(공유 구성) 및 Optimization(최적화) 섹션에서 ASA 구성에서 마이그레이션에 사용할 수 있는 기능을 자동으로 선택합니다. 요구 사항에 따라 기본 선택 항목을 추가로 수정할 수 있습니다.

• Secure Firewall 마이그레이션 툴은 마이그레이션 중에 다음과 같은 액세스 제어 기능을 지원합니다.

  • 대상 보안 영역 채우기 - 마이그레이션 중에 ACL에 대한 대상 영역의 매핑을 활성화합니다.

    경로 조회 논리는 정적 경로와 연결된 경로로 제한되며, PBR과 유동 경로, NAT는 고려되지 않습니다. 인터페이스 네트워크 컨피그레이션은 연결된 경로 정보를 도출하는 데 사용됩니다.

    소스 및 대상 네트워크 개체 그룹의 특성에 따라 이 작업으로 인해 규칙이 급증할 수 있습니다.

  • 터널링된 규칙을 사전 필터로 마이그레이션 - ASA 캡슐화된 터널 프로토콜 규칙을 사전 필터 터널 규칙에 매핑하면 다음과 같은 이점이 있습니다.

    • 심층 검사 맞춤화 - 캡슐화된 트래픽에 대해 가능하며 단축경로(Fastpath)를 지정하여 성능을 높일 수 있습니다.

    • 성능 향상 - 조기에 처리하는 것이 유리한 그 밖의 연결도 단축경로를 지정하거나 차단할 수 있습니다.

    Secure Firewall 마이그레이션 툴은 소스 구성에서 캡슐화된 터널 트래픽 규칙을 식별하고 이를 사전 필터 터널 규칙으로 마이그레이션합니다. 사전 필터 정책에서 마이그레이션된 터널 규칙을 확인할 수 있습니다. 사전 필터 정책은 Firewall Management Center에서 마이그레이션된 액세스 제어 정책과 연결됩니다.

    사전 필터 터널 규칙으로 마이그레이션되는 프로토콜은 다음과 같습니다.

    • GRE(47)

    • IPv4 캡슐화(4)

    • IPv6 캡슐화(41)

    • Teredo 터널링(UDP:3544)

    참고	사전 필터 옵션을 선택하지 않으면 모든 터널링된 트래픽 규칙이 지원되지 않는 규칙으로 마이그레이션됩니다.

    ASA 구성의 ACL 터널 규칙(GRE 및 IPnIP)은 현재 기본적으로 양방향으로 마이그레이션됩니다. 이제 액세스 제어 상태 옵션에서 대상의 규칙 방향을 양방향 또는 단방향으로 지정할 수 있습니다.

• Secure Firewall 마이그레이션 툴은 VPN 터널 마이그레이션을 위해 다음 인터페이스 및 개체를 지원합니다.

  • 정책 기반(암호화 맵) - 대상 Firewall Management Center 및 Firewall Threat Defense가 버전 6.6 이상인 경우.

  • 경로 기반(VTI) - 대상 Firewall Management Center 및 Firewall Threat Defense가 버전 6.7 이상인 경우.

• Secure Firewall 마이그레이션 툴은 대상 Management Center가 7.2 이상인 경우 원격 액세스 VPN의 마이그레이션을 지원합니다. 원격 액세스 VPN은 Threat Defense 없이도 마이그레이션할 수 있는 공유 정책입니다. Threat Defense를 사용하여 마이그레이션을 선택한 경우 Threat Defense 버전은 7.0 이상이어야 합니다.

• (선택 사항) Optimization(최적화) 섹션에서 Migrate only referenced objects(참조된 개체만 마이그레이션)를 선택하여 액세스 제어 정책 및 NAT 정책에서 참조되는 개체만 마이그레이션합니다.

  참고	이 옵션을 선택하면 ASA 구성에서 참조되지 않는 개체는 마이그레이션되지 않습니다. 이렇게 하면 마이그레이션 시간이 최적화되고 컨피그레이션에서 사용되지 않는 개체가 제거됩니다.

• (선택 사항) Optimization(최적화) 섹션에서 Firewall Threat Defense의 액세스 정책을 기준으로 최적의 메모리 사용률을 위한 Object group search(개체 그룹 검색)를 선택합니다.
• (선택 사항) Inline Grouping(인라인 그룹화) 섹션에서 Secure Firewall 마이그레이션 툴을 사용하면 CSM 또는 DM으로 시작하는 사전 정의된 네트워크 및 서비스 개체 이름의 액세스 규칙을 지울 수 있습니다. 이 옵션의 선택을 취소하면 마이그레이션 중에 사전 정의된 개체 이름이 유지됩니다. 자세한 내용은 인라인 그룹화를 참고하십시오.

  참고	기본적으로 인라인 그룹화 옵션은 활성화되어 있습니다.

• 소스 ASA 디바이스에서 SNMP 및 DHCP 서버, 릴레이및 DDNS 구성이 있는 경우 해당 확인란이 기본적으로 선택됩니다. 이러한 설정을 마이그레이션하지 않으려면 수동으로 선택을 취소합니다. DHCP를 선택하면 서버 또는 릴레이 및 DDNS를 모두 선택할 수 있습니다.
• SSL 클라이언트리스 VPN 터널 프로토콜 구성이 포함된 그룹 정책과 SAML 인증을 사용하는 그룹 정책이 포함된 터널 그룹이 있는 경우 마이그레이션 툴은 기본적으로 WebVPN 확인란을 선택합니다. 이러한 구성을 마이그레이션하지 않으려는 경우에는 이 확인란을 수동으로 선택 취소해야 합니다.

단계 7

Proceed(진행)를 클릭합니다.

단계 8

Rule Conversion/ Process Config(규칙 변환/프로세스 컨피그레이션) 섹션에서 Start Conversion(변환 시작)을 클릭하여 변환을 시작합니다.

단계 9

Secure Firewall 마이그레이션 툴에서 변환한 요소의 요약을 검토합니다.

단계 10

Download Report(보고서 다운로드)를 클릭하고 Pre-Migration Report(마이그레이션 전 보고서)를 저장합니다.

단계 1

Pre-Migration Report(마이그레이션 전 보고서)를 다운로드한 위치로 이동합니다.

참고	Pre-Migration Report(마이그레이션 전 보고서)의 사본도 Secure Firewall 마이그레이션 툴과 동일한 위치의 Resources(리소스) 폴더에 저장됩니다.

단계 2

Pre-Migration Report(마이그레이션 전 보고서)를 열고 내용을 신중하게 검토하여 마이그레이션의 실패를 일으킬 수 있는 문제를 파악합니다.

단계 3

(선택 사항) Pre-Migration Report(마이그레이션 전 보고서)에서 시정 조치를 권장하는 경우, 계속하기 전에 ASA 인터페이스에서 해당 시정 조치를 완료하고 ASA 구성 파일을 다시 내보낸 후 업데이트된 구성 파일을 업로드하십시오.

단계 4

ASA 구성 파일이 성공적으로 업로드되고 구문 분석된 후 Secure Firewall 마이그레이션 툴로 돌아가 Next(다음)를 클릭하여 마이그레이션을 계속합니다.

단계 1

인터페이스 매핑을 변경하려면 FTD Interface Name(FTD 인터페이스 이름)의 드롭다운 목록을 클릭하고 해당 ASA 인터페이스에 매핑할 인터페이스를 선택합니다.

단계 2

각 ASA 인터페이스를 Firewall Threat Defense 인터페이스에 매핑했으면 Next(다음)를 클릭합니다.

단계 1

Map Security Zones and Interface Groups(보안 영역 및 인터페이스 그룹 매핑) 화면에서 사용 가능한 인터페이스, 보안 영역, 인터페이스 그룹 및 VFR 구성을 검토합니다.

단계 2

Firewall Management Center에 존재하는, 즉 ASA 구성 파일에서 보안 영역 유형 개체로 사용 가능하고 드롭다운 목록에서 사용 가능한 보안 영역 및 인터페이스 그룹에 인터페이스를 매핑하려면 다음과 같이 합니다.

1. Security Zones(보안 영역) 열에서 해당 인터페이스의 보안 영역을 선택합니다.

2. Interface Groups(인터페이스 그룹) 열에서 해당 인터페이스의 인터페이스 그룹을 선택합니다.

3. VRF 열에서 인터페이스의 VRF 구성을 선택합니다.

참고	마이그레이션의 일부로 위협 방어 HA 쌍을 설정하는 경우 기본 및 보조 피어 모두에 대해 보안 영역 및 인터페이스 그룹을 추가하거나 자동으로 생성할 수 있습니다. 보조 피어의 보안 영역 및 인터페이스 그룹은 기본 피어와 동일합니다.

단계 3

보안 영역, 인터페이스 그룹 및 VRF를 수동으로 매핑하거나 자동으로 생성할 수 있습니다.

단계 4

1. Add SZ, IG & VRF(SZ, IG 및 VRF 추가)를 클릭합니다.

2. Add SZ, IG and VRF(SZ, IG 및 VRF 추가) 대화 상자에서 편집 아이콘을 클릭하고 VRF에 지정할 이름을 입력한 다음 녹색 확인 표시를 클릭합니다. 편집 아이콘을 다시 클릭하여 VRF 이름을 수정할 수도 있습니다.

   참고	병합 구성 마이그레이션을 수행 중이고 컨텍스트 중 하나에 VPN 구성이 있는 경우, 전역 라우터로 직접 마이그레이션되므로 여기에 인터페이스에 매핑할 수 있도록 표시되지 않습니다.

3. Security Zone(보안 영역) 열에 보안 영역 이름을 입력합니다. 허용되는 최대 문자 수는 48자입니다. 마찬가지로 인터페이스 그룹을 추가할 수 있습니다.

4. Close(닫기)를 클릭합니다.

1. Auto-Create(자동 생성)를 클릭합니다.

2. Auto-Create(자동 생성) 대화 상자에서 Interface Groups(인터페이스 그룹) 및 Zone Mapping(영역 매핑) 중 하나 또는 둘 다를 선택합니다.

3. Auto-Create(자동 생성)를 클릭합니다.

단계 5

모든 인터페이스를 적절한 보안 영역 , 인터페이스 그룹 및 VRF에 매핑했으면 Next(다음)를 클릭합니다.

단계 1

(선택 사항) Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 화면에서 Access Control(액세스 제어) > ACP의 Optimize ACL(ACL 최적화)을 클릭하여 최적화 코드를 실행하고 다음을 수행합니다.

1. Proceed(진행)를 클릭하여 ACL 최적화를 진행합니다. 마이그레이션을 위해 식별된 중복 ACL, 섀도우 ACL 및 비활성 ACL 규칙이 표시됩니다.

   ACL 최적화를 분석하는 데 걸리는 시간은 소스 구성 파일 크기에 따라 달라집니다. 예상 시간이 표시됩니다.

   최적화를 위해 고려된 총 ACL 규칙의 요약이 포함된 보고서가 표시됩니다. 최적화 보고서 및 해당 구성 요소에 대한 자세한 내용은 ACL 최적화 보고을 참고하십시오.

   Redundant ACL(중복 ACL), Shadow ACLs(섀도우 ACL) 및 Disable ACLs(비활성 ACL) 탭은 ACL 최적화 보고서에 데이터가 있는 경우에만 나타납니다.

   ACL은 서로 다른 기본 규칙의 중복, 섀도우 및 비활성 ACL에 모두 표시됩니다.

   참고	중복, 섀도우 또는 비활성 ACL 아래에 표시되는 ACL 항목은 기본 ACL로 간주되지 않습니다.

2. 식별된 ACL 최적화 규칙을 다운로드하려면 Download Report(보고서 다운로드)를 클릭합니다.

3. 규칙을 선택하고 Actions(작업) > Migrate as disabled(비활성화된 항목으로 마이그레이션) 또는 Do not migration(마이그레이션하지 않음)을 선택하고 작업 중 하나를 적용합니다.

4. Save(저장)를 클릭합니다.

   마이그레이션 작업이 Do not migrate(마이그레이션하지 않음)에서 disabled(비활성화됨)로 또는 그 반대로 변경됩니다.

   다음 옵션을 사용하여 규칙의 대량 선택을 수행할 수 있습니다.

   • Migrate(마이그레이션) - 기본 상태로 마이그레이션합니다.

   • Do not Migrate(마이그레이션 안 함) - ACL 마이그레이션을 무시합니다.

   • Migrate as disabled(비활성화된 상태로 마이그레이션) - State(상태) 필드가 Disable(비활성화)로 설정된 ACL을 마이그레이션합니다.

   • Migrate as enabled(활성화된 상태로 마이그레이션) - State(상태) 필드가 Enable(활성화)로 설정된 ACL을 마이그레이션합니다.

단계 2

Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 화면에서 Access Control Rules(액세스 제어 규칙)를 클릭하고 다음과 같이 합니다.

1. 테이블의 각 항목에 대해 매핑을 검토하고 올바른지 확인합니다.

   마이그레이션된 액세스 정책 규칙은 ACL 이름을 접두사로 사용하고 ACL 규칙 번호를 추가하므로 ASA 구성 파일에 다시 쉽게 매핑할 수 있습니다. 예를 들어 ASA ACL의 이름이 "inside_access"인 경우 ACL의 첫 번째 규칙(또는 ACE) 라인은 "inside_access_# 1"로 지정됩니다. TCP 또는 UDP 조합, 확장된 서비스 개체 또는 기타 사유로 인해 규칙을 확장해야 하는 경우 Secure Firewall 마이그레이션 툴이 이름에 번호가 지정된 접미사를 추가합니다. 예를 들어 허용 규칙이 마이그레이션을 위해 두 개의 규칙으로 확장되는 경우 이름이 "inside_access _#1-1"및 "inside_access_#1-2"로 지정됩니다.

   지원되지 않는 개체를 포함하는 규칙의 경우 Secure Firewall 마이그레이션 툴이 이름에 "_UNSUPPORTED" 접미사를 추가합니다.

2. 하나 이상의 액세스 제어 목록 정책을 마이그레이션하지 않으려면 해당 행의 확인란을 선택하고 Actions(작업) Do not migrate(마이그레이션 하지 않음)을 선택한 다음 Save(저장)를 클릭합니다.

   마이그레이션하지 않도록 선택하는 모든 규칙은 테이블에서 회색으로 표시됩니다.

3. 액세스 제어 목록 정책을 편집하려면 해당 정책 옆의 체크 박스를 선택하고 Actions(작업) > Edit(편집)를 선택합니다.

4. Edit Rule(규칙 편집) 대화 상자에서 기존 데이터를 업데이트하거나 새 데이터를 추가합니다.

   소스 또는 대상에 개체를 추가하려면:

   1. 왼쪽 창에서 해당 개체 옆에 있는 체크 박스를 선택합니다.

   2. Selected Sources(선택된 소스) 또는 Selected Destination and Applications(선택된 대상 및 애플리케이션) 열 아래에 있는 Add Source(소스 추가) 또는 Add Destination(대상 추가) 버튼을 클릭하여 개체를 해당 위치로 이동합니다.

   또한 삭제 아이콘을 클릭하여 소스 또는 대상에서 기존 개체를 삭제할 수도 있습니다.

   참고	적용되지 않는 규칙은 표에서 회색으로 표시됩니다.

5. 하나 이상의 액세스 제어 정책에 Firewall Management Center 파일 정책을 적용하려면 해당 행의 체크 박스를 선택하고 Actions(작업) > File Policy(파일 정책)를 선택합니다.

   File Policy(파일 정책) 대화 상자에서 적절한 파일 정책을 선택하고 선택한 액세스 제어 정책에 적용한 후 Save(저장)를 클릭합니다.

6. 하나 이상의 액세스 제어 정책에 Firewall Management Center IPS 정책을 적용하려면 해당 행의 체크 박스를 선택하고 Actions(작업) > IPS Policy(IPS 정책)를 선택합니다.

   IPS Policy(IPS 정책) 대화 상자에서 적절한 IPS 정책과 해당 변수 집합을 선택하고 선택한 액세스 제어 정책에 적용한 후 Save(저장)를 클릭합니다.

7. 기록이 활성화된 액세스 제어 규칙의 기록 옵션을 변경하려면 해당 행의 체크 박스를 선택하고 Actions(작업) > Log(로그)를 선택합니다.

   Log(로그) 대화 상자에서 연결 시작 또는 종료 시 또는 두 경우에 모두 이벤트 기록을 활성화할 수 있습니다. 기록을 활성화한 경우 Event Viewer(이벤트 뷰어) 또는 Syslog(시스템 로그) 또는 둘 다에 연결 이벤트를 보내도록 선택해야 합니다. 시스템 로그 서버에 연결 이벤트를 전송하도록 선택하는 경우 Syslog(시스템 로그) 드롭다운 메뉴에서 Firewall Management Center에 이미 구성된 시스템 로그 정책을 선택할 수 있습니다.

8. 액세스 제어 테이블에서 마이그레이션된 액세스 제어 규칙에 대한 작업을 변경하려면 해당 행의 체크 박스를 선택하고 Actions(작업) > Rule Action(규칙 작업)을 선택합니다.

   Actions(작업) 드롭다운의 Rule Action(규칙 작업) 대화 상자에서 ACP 또는 Prefilter(사전 필터) 탭을 선택할 수 있습니다.

   • ACP - 모든 액세스 제어 규칙에는 시스템이 일치하는 트래픽을 처리하고 기록하는 방법을 결정하는 작업이 있습니다. 액세스 제어 규칙에 대해 허용, 신뢰, 모니터링, 차단 또는 차단 후 재설정 작업을 수행할 수 있습니다.

   • Prefilter(사전 필터) - 규칙의 작업은 시스템이 일치하는 트래픽을 처리하고 기록하는 방법을 결정합니다. 단축경로(Fastpath) 지정 및 차단을 수행할 수 있습니다.

   팁	액세스 제어 규칙에 연결된 IPS 및 파일 정책은 Allow(허용) 옵션을 제외한 모든 규칙 작업 시 자동으로 제거됩니다.

   ACL 규칙 범주 - Secure Firewall 마이그레이션 툴은 CSM 관리 ASA 구성의 Rule(규칙) 섹션을 유지하고 Firewall Management Center에서 ACL 범주로 마이그레이션합니다.

   정책 용량 및 제한 경고 - Secure Firewall 마이그레이션 툴은 마이그레이션된 규칙의 총 ACE 수를 대상 플랫폼에서 지원되는 ACE 제한과 비교합니다.

   비교 결과를 기반으로 Secure Firewall 마이그레이션 툴은 마이그레이션된 ACE의 총 수가 임계값을 초과하거나 대상 디바이스의 지원되는 제한 임계값에 근접한 경우 가시적인 지표 및 경고 메시지를 표시합니다.

   규칙이 ACE Count(ACE 수) 열을 초과할 경우 마이그레이션을 최적화하거나 마이그레이션하지 않도록 결정할 수 있습니다. 구축 전에 Firewall Management Center에서 푸시한 후 마이그레이션을 완료하고 이 정보를 사용하여 규칙을 최적화할 수도 있습니다.

   참고	Secure Firewall 마이그레이션 툴은 경고에도 불구하고 마이그레이션을 차단하지 않습니다.

   오름차순, 내림차순, 같음, 보다 큼, 보다 작음 필터링 순서 시퀀스로 ACE 수를 필터링할 수 있습니다.

   기존 필터 기준을 지우고 새 검색을 로드하려면 Clear Filter(필터 지우기)를 클릭합니다.

   참고	ACE를 기준으로 ACL을 정렬하는 순서는 보기 전용입니다. ACL은 발생한 연대순으로 푸시됩니다.

단계 3

NAT 규칙의 소스 및 대상 영역을 편집하려면 NAT을 클릭한 후 다음 단계를 수행하십시오.

1. 편집할 NAT 규칙 유형을 선택합니다.

2. Actions(작업) 드롭다운 목록에서 Edit(수정)을 선택합니다.

3. Security Zone Update(보안 영역 업데이트) 대화 상자에서 드롭다운 목록에서 Source Zone(소스 영역) 및 Destination Zone(대상 영역)을 선택하고 Update(업데이트)를 클릭합니다.

단계 4

다음 탭을 클릭하고 컨피그레이션 항목을 검토합니다.

참고	사이트 간 및 원격 액세스 VPN 구성의 경우 이와 관련된 VPN 필터 구성 및 확장 액세스 목록 개체가 마이그레이션되며 각 탭에서 검토할 수 있습니다.

액세스 목록 개체는 BGP, EIGRP, RA VPN에서 사용되는 표준 및 확장 ACL을 표시합니다.

단계 5

(선택 사항) Network Objects(네트워크 개체) 및 Port Objects(포트 개체) 탭에서 모든 네트워크 개체, 네트워크 그룹, 포트 개체, 포트 그룹 및 그 값을 검토합니다. 개체 또는 개체 그룹의 이름을 변경하려면 개체를 선택하고 Actions(작업) > Rename(이름 변경)를 선택합니다.

단계 6

(선택 사항) 구성을 검토하는 동안 Network Objects(네트워크 개체) 탭 또는 Port Objects(포트 개체) 탭 또는 VPN Objects(VPN 개체)에서 Actions(작업) > Rename(이름 바꾸기)을 선택하여 하나 이상의 네트워크, 포트 또는 VPN 개체의 이름을 변경할 수 있습니다.

단계 7

Security Group Tag Objects(보안 그룹 태그 개체) 탭에서 모든 값을 검토합니다. 개체 또는 개체 그룹의 이름을 변경하려면 개체를 선택하고 Actions(작업) > Rename(이름 변경)를 선택합니다.

SGT 개체는 다중 컨텍스트 구성을 지원합니다. 태그 값은 0에서 65535 사이여야 합니다.

참고	SGT 개체 구성을 마이그레이션하려면 관리 센터 및 위협 방어 버전이 7.0 이상인지 확인하십시오.

단계 8

Dynamic-Route Objects(유동 경로 개체) 섹션에 마이그레이션되는 모든 지원 개체가 표시됩니다.

단계 9

Routes(경로) 섹션에 다음 경로가 표시됩니다.

단계 10

DHCP 탭에서 다음 탭을 검토하고 검증할 수 있습니다.

• DHCP Server(DHCP 서버): 모든 IP 주소 풀과 해당 인터페이스를 검토합니다.

• DHCP Relay(DHCP 릴레이): DHCP 릴레이 서버 IP 주소, DHCP 서버가 연결된 인터페이스 및 릴레이가 활성화된 인터페이스를 검토합니다.

• DDNS: DDNS Update Methods(DDNS 업데이트 방법) 탭에서 DDNS 방법 이름, 유형, DDNS 업데이트 간격 및 DHCP 서버에 의해 업데이트되도록 설정된 레코드(A 또는 PTR 레코드)를 검토합니다.

참고	Select Features(기능 선택) 페이지에서 DHCP 서버만 또는 릴레이와 DDNS를 함께 선택할 수 있습니다. 따라서 Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 페이지의 DHCP Server(DHCP 서버) 탭에 구성이 표시되는 경우 DHCP Relay(DHCP 릴레이) 및 DDNS 탭이 비어 있습니다.

단계 11

SNMP 탭에서 다음 탭을 검토, 검증 및 작업할 수 있습니다.

단계 12

Site-to-Site VPN Tunnels(사이트 간 VPN 터널) 섹션에는 다음 목록을 포함하여 ASA에서 Firewall Management Center로 마이그레이션된 모든 지원되는 VPN 터널이 표시됩니다.

참고	ASA에서 Firewall Management Center로의 트러스트 포인트 또는 PKI 개체 마이그레이션은 사전 마이그레이션 활동의 일부이며 인증서 기반 VPN 마이그레이션을 성공적으로 수행하는 데 필요합니다.

단계 13

(선택 사항) 대상 위협 방어를 허브 노드로 사용하고 하나 이상의 ASA 피어 인터페이스를 스포크 노드로 선택하여 허브 앤 스포크 VPN 토폴로지를 구성하려면 Add Hub and Spoke Topology(허브 및 스포크 토폴로지 추가)를 클릭합니다.

참고	IKE 버전이 동일한 스포크 노드만 선택할 수 있습니다. 예를 들어 IKEv1의 스포크 노드 하나를 선택하고 IKEv2 IKE 버전 의 다른 스포크 노드를 선택할 수는 없습니다.

단계 14

여러 사이트 간 VPN 터널 구성이 포함된 구성의 경우 여러 항목에 대한 사전 공유 키를 한 번에 업데이트하려면 아래 단계를 수행합니다.

단계 15

Remote Access VPN(원격 액세스 VPN) 섹션에서는 원격 액세스 VPN에 해당하는 모든 개체가 ASA 에서 Management Center로 마이그레이션되며 다음과 같이 표시됩니다.

단계 16

(선택 사항) 그리드의 각 구성 항목에 대한 세부 정보를 다운로드하려면 Download(다운로드)를 클릭합니다.

단계 17

검토를 완료한 후 Validate(검증)를 클릭합니다. 확인이 필요한 필수 필드는 값을 입력할 때까지 계속 깜박입니다. 모든 필수 필드를 입력한 후에만 유효성 검사 버튼이 활성화됩니다.

단계 18

검증이 완료된 후 Validation Status(검증 상태) 대화 상자에 하나 이상의 개체 충돌이 표시되면 다음과 같이 합니다.

1. Resolve Conflicts(충돌 해결)를 클릭합니다.

   Secure Firewall 마이그레이션 툴은 개체 충돌이 보고된 위치에 따라 Network Objects(네트워크 개체) 또는 Port Objects(포트 개체) 탭 중 하나 또는 둘 다에 경고 아이콘을 표시합니다.

2. 탭을 클릭하고 개체를 검토합니다.

3. 충돌이 있는 각 개체의 항목을 확인하고 Actions(작업) > Resolve Conflicts(충돌 해결)를 선택합니다.

4. Resolve Conflicts(충돌 해결) 창에서 권장 작업을 완료합니다.

   예를 들어, 기존 Firewall Management Center 개체와의 충돌을 방지하기 위해 개체 이름에 접미사를 추가하라는 메시지가 표시될 수 있습니다. 기본 접미사를 수락하거나 자체 접미사로 대체할 수 있습니다.

5. Resolve(해결)를 클릭합니다.

6. 탭에서 모든 개체 충돌을 해결했으면 Save(저장)를 클릭합니다.

7. Validate(검증)를 클릭하여 컨피그레이션을 재검증하고 모든 개체 충돌이 해결되었는지 확인합니다.

단계 19

Optimize Your Configuration(구성 최적화) 대화 상자에는 최적화된 각 속성 옆에 체크 표시가 나타나며, 최적화가 필요한 속성을 표시합니다. Proceed(진행)를 클릭하여 최적화를 시작합니다. 최적화 단계를 건너뛸 수는 있지만, 마이그레이션을 진행하기 전에 속성을 최적화하는 것이 좋습니다.

단계 20

검증이 완료되고 Validation Status(검증 상태) 대화 상자에 Successfully Validated(검증 성공) 메시지가 표시되면 마이그레이션된 컨피그레이션을 Firewall Management Center에 푸시로 진행합니다.

단계 1

Validation Status(검증 상태) 대화 상자에서 검증 요약을 검토합니다.

단계 2

Push Configuration(구성 푸시)을 클릭하여 마이그레이션된 ASA 구성을 Firewall Management Center에 보냅니다.

참고	Secure Firewall 마이그레이션 툴이 중복 개체 속성을 감지하면 대화 상자가 나타나 중복된 값을 수정하라는 메시지가 표시됩니다. 중복 속성의 이름을 변경한 후에야 마이그레이션을 진행할 수 있습니다.

참고

대량 구성 푸시가 수행될 때 오류가 있는 구성이 있는 경우, 마이그레이션 툴에서 마이그레이션을 중단하여 오류를 수동으로 수정하거나 잘못된 구성 없이 마이그레이션을 계속하라는 메시지를 표시하는 경고가 표시됩니다. 오류가 있는 구성을 표시하도록 선택한 다음 Continue with migration(마이그레이션 계속 진행) 또는 Abort(중단)를 선택할 수 있습니다. 마이그레이션을 중단하는 경우 문제 해결 번들을 다운로드하고 분석을 위해 Cisco TAC와 공유할 수 있습니다. 마이그레이션을 계속하면 마이그레이션 툴이 마이그레이션을 부분 성공 마이그레이션으로 처리합니다. 마이그레이션 후 보고서를 다운로드하여 푸시 오류로 인해 마이그레이션되지 않은 구성 목록을 볼 수 있습니다.

단계 3

마이그레이션이 완료되면 Download Report(보고서 다운로드)를 클릭하여 마이그레이션 후 보고서를 다운로드하고 저장합니다.

단계 4

마이그레이션이 실패한 경우 마이그레이션 후 보고서, 로그 파일, 구문 분석되지 않은 파일을 신중하게 검토하여 실패의 원인을 파악합니다.

단계 1

Post-Migration Report(마이그레이션 후 보고서)를 다운로드한 위치로 이동합니다.

단계 2

마이그레이션 후 보고서를 열고 내용을 신중하게 검토하여 ASA 구성이 어떻게 마이그레이션되었는지 파악합니다.

• Migration Summary(마이그레이션 요약) - ASA 에서 Firewall Threat Defense로 성공적으로 마이그레이션된 구성의 요약으로, ASA 인터페이스, Firewall Management Center 호스트 이름 및 도메인, 대상 Firewall Threat Defense 디바이스 (적용 가능한 경우) 및 성공적으로 마이그레이션된 구성 요소에 대한 정보가 포함됩니다.

  또한 마이그레이션 전과 마이그레이션 후의 상태 수 차이를 보여주는 비교 차트를 확인할 수 있습니다.

• Selective Policy Migration(선택적 정책 마이그레이션) - 마이그레이션하도록 선택한 특정 ASA 기능에 대한 세부 정보를 Device Configuration Features(디바이스 구성 기능), Shared Configuration Features(공유 구성 기능), Optimization(최적화)의 세 범주에서 확인할 수 있습니다.

• ASA Interface to Threat Defense Interface Mapping(ASA FPS 포함 ASA FDM 매니지드 디바이스 인터페이스-Threat Defense 인터페이스 매핑) - 성공적으로 마이그레이션된 인터페이스와 ASA 구성의 인터페이스를 Firewall Threat Defense 디바이스의 인터페이스에 매핑한 방법에 대한 세부 정보입니다. 이러한 매핑이 예상과 일치하는지 확인합니다.

  참고	이 섹션은 마이그레이션에 대상 Firewall Threat Defense 디바이스가 없는 경우 또는 인터페이스를 마이그레이션하도록 선택하지 않은 경우에는 적용되지 않습니다.

• Source Interface Names to Threat Defense Security Zones and Interface Groups(소스 인터페이스 이름-Threat Defense 보안 영역 및 인터페이스 그룹) - 성공적으로 마이그레이션된 ASA 논리적 인터페이스 및 이름과 Firewall Threat Defense에서 이를 보안 영역 및 인터페이스 그룹에 매핑한 방법에 대한 세부 정보입니다. 이러한 매핑이 예상과 일치하는지 확인합니다.

  참고	Access Control Lists(액세스 제어 목록) 및 NAT가 마이그레이션하도록 선택되지 않은 경우 이 섹션은 적용되지 않습니다.

• Object Conflict Handling(개체 충돌 처리) - Firewall Management Center의 기존 개체와 충돌하는 것으로 확인된 ASA 개체에 대한 세부 정보입니다. 개체의 이름과 구성이 동일한 경우 Secure Firewall 마이그레이션 툴에서 Firewall Management Center 개체를 재사용했습니다. 개체의 이름은 같지만 컨피그레이션이 다른 경우 해당 개체의 이름을 변경했습니다. 이러한 개체를 신중하게 검토하고 충돌이 적절하게 해결되었는지 확인합니다.

• Access Control Rules, NAT, and Routes You Chose Not to Migrate(마이그레이션하지 않도록 선택한 액세스 제어 규칙, NAT 및 경로) - Secure Firewall 마이그레이션 툴을 사용하여 마이그레이션하지 않도록 선택한 규칙에 대한 세부 정보입니다. Secure Firewall 마이그레이션 툴에서 비활성화되고 마이그레이션되지 않은 이러한 규칙을 검토합니다. 이러한 라인을 검토하고 선택한 모든 규칙이 이 섹션에 나열되어 있는지 확인합니다. 원하는 경우 이러한 규칙을 수동으로 구성할 수 있습니다.

• Partially Migrated Configuration(부분적으로 마이그레이션된 구성) - 고급 옵션이 포함되어 있지만 고급 옵션 없이 마이그레이션될 수 있는 규칙을 비롯하여 부분적으로만 마이그레이션된 ASA 규칙에 대한 세부 정보입니다. 이러한 라인을 검토하고 Firewall Management Center에서 고급 옵션이 지원되는지 확인한 다음 지원되는 경우 해당 옵션을 수동으로 구성합니다.

• Unsupported Configuration(지원되지 않는 구성) - Secure Firewall 마이그레이션 툴이 해당 기능의 마이그레이션을 지원하지 않으므로 마이그레이션할 수 없는 ASA 구성 요소에 대한 세부 정보입니다. 이러한 라인을 검토하여 각 기능이 Firewall Threat Defense에서 지원되는지 확인합니다. 지원되는 경우 Firewall Management Center에서 해당 기능을 수동으로 구성합니다.

• Expanded Access Control Policy Rules(확장 액세스 제어 정책 규칙)- 마이그레이션 중에 단일 ASA 포인트 규칙에서 여러 Firewall Threat Defense 규칙으로 확장된 ASA 액세스 제어 정책 규칙에 대한 세부 정보입니다.

• Actions Taken on Access Control Rules(액세스 제어 규칙에 대해 수행된 작업)

  • Access Rules You Chose Not to Migrate(마이그레이션하지 않도록 선택한 액세스 규칙) - Secure Firewall 마이그레이션 툴을 사용하여 마이그레이션하지 않도록 선택한 ASA 액세스 제어 규칙에 대한 세부 정보입니다. 이러한 라인을 검토하고 선택한 모든 규칙이 이 섹션에 나열되어 있는지 확인합니다. 원하는 경우 이러한 규칙을 수동으로 구성할 수 있습니다.

  • Access Rules with Rule Action Change(규칙 작업이 변경된 액세스 규칙) - Secure Firewall 마이그레이션 툴을 사용하여 '규칙 작업'이 변경된 모든 액세스 제어 정책 규칙에 대한 세부 정보입니다. 규칙 작업 값은 Allow(허용), Trust(신뢰), Monitor(모니터링), Block(차단), Block with reset(차단 후 재설정)입니다. 이러한 라인을 검토하고 선택한 모든 규칙이 이 섹션에 나열되어 있는지 확인합니다. 원하는 경우 이러한 규칙을 수동으로 구성할 수 있습니다.

  • Access Control Rules that have IPS Policy and Variable Set Applied(IPS 정책 및 변수 집합이 적용된 액세스 제어 규칙) - IPS 정책이 적용된 모든 ASA 액세스 제어 정책 규칙에 대한 세부 정보입니다. 이러한 규칙을 신중하게 검토하고 Firewall Threat Defense에서 해당 기능이 지원되는지 확인합니다.

  • Access Control Rules that have File Policy Applied(파일 정책이 적용된 액세스 제어 규칙) - 파일 정책이 적용된 모든 ASA 액세스 제어 정책 규칙에 대한 세부 정보입니다. 이러한 규칙을 신중하게 검토하고 Firewall Threat Defense에서 해당 기능이 지원되는지 확인합니다.

  • Access Control Rules that have Rule ‘Log’ Setting Change(규칙 '로그' 설정이 변경된 액세스 제어 규칙) - Secure Firewall 마이그레이션 툴을 사용하여 '로그 설정'이 변경된 ASA 액세스 제어 규칙에 대한 세부 정보입니다. 로그 설정 값은 False(거짓), Event Viewer(이벤트 뷰어), Syslog(시스템 로그)입니다. 이러한 라인을 검토하고 선택한 모든 규칙이 이 섹션에 나열되어 있는지 확인합니다. 원하는 경우 이러한 규칙을 수동으로 구성할 수 있습니다.

  • Access Control Rules that have failed Zone-lookup(영역 조회가 실패한 액세스 제어 규칙) - 경로 조회 작업이 실패했으며 Post-Migration Report(마이그레이션 후 보고서)에 입력된 ASA 액세스 제어 규칙에 대한 세부 정보입니다. Secure Firewall 마이그레이션 툴은 소스 구성의 경로(정적 및 연결) 정보를 기반으로 경로 조회 작업을 수행하여 액세스 규칙의 대상 보안 영역을 채웁니다.

  • Access Control Rules for Tunneled Protocols(터널링된 프로토콜에 대한 액세스 제어 규칙) - 마이그레이션 중에 사전 필터 터널 규칙으로 마이그레이션되는 터널 규칙에 대한 세부 정보입니다.

  • Errors/Failure on Migrated Configuration(마이그레이션된 구성의 오류/실패) — 마이그레이션된 구성 요소를 적용하는 과정에서 마이그레이션 실패를 유발한 오류에 대한 세부 정보입니다. 아래에 보고된 오류는 잘못 마이그레이션된 구성 때문일 수도 있고, 기존 구성이나 지원되지 않는 기능으로 인해 관리 센터에서 충돌이 발생한 것일 수도 있습니다. 대상 관리 센터로 구성을 전송하거나 재개하기 전에 이러한 오류를 검토하고 확인하십시오.

참고	마이그레이션되지 않은 지원되지 않는 규칙은 원치 않는 트래픽이 방화벽을 통과하는 문제를 일으킵니다. 이 트래픽이 Firewall Threat Defense에서 차단되도록 Firewall Management Center에서 규칙을 구성하는 것이 좋습니다.

참고	Review and Validate(검토 및 검증) 페이지에서 ACL에 IPS 또는 파일 정책을 적용해야 하는 경우 마이그레이션 전에 Management Center에서 정책을 생성하는 것이 좋습니다. Secure Firewall 마이그레이션 툴이 연결된 Management Center에서 정책을 가져오므로 동일한 정책을 사용합니다. 새 정책을 생성하고 여러 정책에 할당하면 성능이 저하될 수 있으며 푸시가 실패할 수도 있습니다.

Firewall Management Center 및 Firewall Threat Defense에서 지원되는 기능에 대한 자세한 내용은 Management Center 컨피그레이션 가이드, 버전 6.2.3을 참고하십시오.

단계 3

Pre-Migration Report(마이그레이션 전 보고서)를 열고 Firewall Threat Defense 디바이스에서 수동으로 마이그레이션해야 하는 ASA 구성 항목을 기록해 둡니다.

단계 4

Firewall Management Center에서 다음과 같이 합니다.

1. Firewall Threat Defense 디바이스에 대해 마이그레이션된 컨피그레이션을 검토하여 다음을 비롯한 모든 예상 규칙 및 기타 컨피그레이션 항목이 마이그레이션되었는지 확인합니다.

   • ACL(액세스 제어 목록)

   • NAT(Network Address Translation) 규칙

   • 포트 및 네트워크 개체

   • 경로

   • 인터페이스

   • IP SLA 개체

   • 개체 그룹 검색

   • 시간 기반 개체

   • VPN 개체

   • 사이트 간 VPN 터널

   • 유동 경로 개체

2. 마이그레이션되지 않은 부분적으로 지원되는 항목 및 규칙, 지원되지 않는 항목 및 규칙, 무시된 항목 및 규칙, 비활성화된 항목 및 규칙을 모두 구성합니다.

   이러한 항목 및 규칙에 대한 정보는 Management Center 컨피그레이션 가이드를 참고하십시오. 다음은 수동 구성이 필요한 컨피그레이션 항목의 예입니다.

   • Threat Defense의 플랫폼 설정에 설명된 SSH 및 HTTPS 액세스를 포함한 플랫폼 설정

   • 시스템 로그 구성에 설명된 시스템 로그 설정

   • Threat Defense 라우팅 개요에 설명된 동적 라우팅

   • FlexConfig 정책에 설명된 서비스 정책

   • Threat Defense VPN에 설명된 VPN 컨피그레이션

   • 연결 기록에 설명된 연결 로그 설정

단계 5

검토를 완료한 후 마이그레이션된 컨피그레이션을 Firewall Management Center에서 Firewall Threat Defense 디바이스로 구축합니다.

단계 1

마이그레이션하는 디바이스 또는 컨텍스트에 대해 show running-config 명령을 사용하고 구성의 사본을 저장합니다. 실행 중인 컨피그레이션 보기를 참고하십시오.

또는 마이그레이션하려는 디바이스 또는 컨텍스트에 대해 ASDM(Adaptive Security Device Manager)을 사용하고 File(파일) > Show Running Configuration in New Windows(실행 중인 컨피그레이션 표시)를 선택하여 컨피그레이션 파일을 가져옵니다.

참고	멀티 컨텍스트 의 경우 show tech-support 명령을 사용하여 단일 파일의 모든 컨텍스트에 대한 컨피그레이션을 가져올 수 있습니다.

단계 2

구성 파일을 검토합니다.

단계 3

네트워크에 Firepower 2100 Series 디바이스를 구축하고 인터페이스를 연결한 다음 어플라이언스의 전원을 켭니다.

단계 4

Firewall Management Center에서 관리할 Firepower 2100 Series 디바이스를 등록합니다.

단계 5

(선택 사항) 소스 구성에 포트 채널이 있는 경우 대상 Firepower 2100 Series 디바이스에서 포트 채널(EtherChannels)을 생성합니다.

단계 6

https://software.cisco.com/download/home/286306503/type에서 Secure Firewall 마이그레이션 툴의 최신 버전을 다운로드하여 실행합니다.

단계 7

Secure Firewall 마이그레이션 툴을 실행하고 대상 매개변수를 지정할 때 Firewall Management Center에 등록한 Firepower 2100 Series 디바이스를 선택하십시오.

단계 8

ASA 인터페이스와 Firewall Threat Defense 인터페이스를 매핑합니다.

참고	Secure Firewall 마이그레이션 툴을 사용하면 ASA 인터페이스 유형을 Firewall Threat Defense 인터페이스 유형에 매핑할 수 있습니다.

예를 들어 의 포트 채널을 Firewall Threat Defense의 물리적 인터페이스에 매핑할 수 있습니다.

단계 9

논리적 인터페이스를 보안 영역에 매핑하는 동안 Auto-Create(자동 생성)를 클릭하여 Secure Firewall 마이그레이션 툴이 새 보안 영역을 생성하도록 허용합니다. 기존 보안 영역을 사용하려면 ASA 논리적 인터페이스를 보안 영역에 수동으로 매핑합니다.

단계 10

이 가이드의 지침에 따라 마이그레이션할 컨피그레이션을 순차적으로 검토 및 검증한 다음 컨피그레이션을 Firewall Management Center로 푸시합니다.

단계 11

마이그레이션 후 보고서를 검토하고 Firewall Threat Defense에 다른 컨피그레이션을 수동으로 설정하고 구축한 다음 마이그레이션을 완료합니다.

단계 12

마이그레이션을 계획하는 동안 생성한 테스트 계획을 사용하여 Firepower 2100 Series 디바이스를 테스트합니다.

단계 1

SSH 콘솔을 통해 에 연결하고 인터페이스 구성 모드로 전환합니다.

단계 2

shutdown 명령을 사용하여 인터페이스를 셧다운합니다.

단계 3

(선택 사항) Firewall Management Center에 액세스하고 Firepower 2100 Series 디바이스의 동적 라우팅을 구성합니다.

단계 4

주변 스위칭 인프라에서 ARP(Address Resolution Protocol) 캐시를 지웁니다.

단계 5

주변 스위칭 인프라에서 Firepower 2100 Series 디바이스 인터페이스 IP 주소에 대한 기본 ping 테스트를 수행하여 액세스 가능한지 확인합니다.

단계 6

레이어 3 라우팅이 필요한 디바이스에서 Firepower 2100 Series 디바이스 인터페이스 IP 주소에 대한 기본 ping 테스트를 수행합니다.

단계 7

Firepower 2100 Series 디바이스에 새 IP 주소를 할당하고 ASA 에 할당된 IP 주소를 재사용하지 않는 경우 다음 단계를 수행합니다.

단계 8

Firepower 2100 디바이스에 대해 관리 Firewall Management Center 내에서 포괄적인 테스트 계획을 실행하고 로그를 모니터링합니다.