Secure Firewall 마이그레이션 툴 시작하기

가이드 정보

이 가이드에는 Secure Firewall 마이그레이션 툴을 다운로드하고 마이그레이션을 완료하는 방법에 대한 정보가 포함되어 있습니다. 또한 발생할 수 있는 마이그레이션 문제를 해결하는 데 도움이 되는 문제 해결 팁도 제공합니다.

Secure Firewall 마이그레이션 툴 정보

이 설명서에 포함된 샘플 마이그레이션 절차(샘플 마이그레이션: ASA-Threat defense 2100)를 참조하면 마이그레이션 프로세스를 쉽게 이해할 수 있습니다.

Secure Firewall 마이그레이션 툴은 지원되는 Cisco Secure Firewall ASA 구성을 지원되는 Secure Firewall Threat Defense 플랫폼으로 전환합니다. Secure Firewall 마이그레이션 툴을 사용하면 지원되는 ASA 기능 및 정책을 Firewall Threat Defense로 자동 마이그레이션할 수 있습니다.


참고

마이그레이션 전 보고서에서 무시된 구성 항목이 있는지 확인하고, 해당 항목이 있는 경우 마이그레이션 후 수동으로 구성해야 합니다.

일반적으로 사용되는 ASA 기능 및 그에 상응하는 Threat Defense 기능에 대한 자세한 내용은 Cisco Secure Firewall ASA-Threat Defense 기능 매핑 가이드를 참고하십시오.

Secure Firewall 마이그레이션 툴은 정보를 수집하고 구문 분석한 다음 Secure Firewall Management Center에 푸시합니다. 구문 분석 단계에서 Secure Firewall 마이그레이션 툴은 다음을 식별하는 마이그레이션 전 보고서를 생성합니다.

  • Cisco ASA(Adaptive Security Appliance) 컨피그레이션 항목 중 완전히 마이그레이션되는 항목, 부분적으로 마이그레이션되는 항목, 마이그레이션이 지원되지 않는 항목, 마이그레이션에서 무시되는 항목

  • Secure Firewall 마이그레이션 툴이 인식할 수 없는 CLI를 나열하는 오류가 있는 구성 라인. 이로 인해 마이그레이션이 차단됩니다.

구문 분석 오류가 있는 경우 문제를 해결하고, 새 구성을 다시 업로드하고, 대상 디바이스에 연결하고, 인터페이스를 Firewall Threat Defense 인터페이스에 매핑하고, 보안 영역 및 인터페이스 그룹을 매핑하고, 구성을 검토하고 검증할 수 있습니다. 그런 다음 컨피그레이션을 대상 디바이스로 마이그레이션할 수 있습니다.

콘솔

Secure Firewall 마이그레이션 툴을 실행하면 콘솔이 열립니다. 이 콘솔에서는 Secure Firewall 마이그레이션 툴의 각 단계 진행 상황에 대한 자세한 정보를 제공합니다. 콘솔의 내용은 Secure Firewall 마이그레이션 툴 로그 파일에도 작성됩니다.

Secure Firewall 마이그레이션 툴이 열려 실행 중인 동안에는 콘솔이 열려 있어야 합니다.


중요사항
웹 인터페이스가 실행 중인 브라우저를 닫아 Secure Firewall 마이그레이션 툴을 종료하면 콘솔은 백그라운드에서 계속 실행됩니다. Secure Firewall 마이그레이션 툴을 완전히 종료하려면 키보드에서 Command 키 + C를 눌러 콘솔을 종료합니다.

로그

Secure Firewall 마이그레이션 툴은 각 마이그레이션의 로그를 생성합니다. 로그에는 마이그레이션의 각 단계에서 어떤 일이 발생하는지에 대한 세부 정보가 포함되며, 마이그레이션이 실패할 경우 원인을 파악하는 데 도움이 될 수 있습니다.

Secure Firewall 마이그레이션 툴의 로그 파일은 다음 위치에서 찾을 수 있습니다. <migration_tool_folder>\logs

리소스

Secure Firewall 마이그레이션 툴은 마이그레이션 전 보고서, 마이그레이션 후 보고서, ASA 구성 및 resources(리소스) 폴더에 있는 로그의 사본을 저장합니다.

Resources 폴더는 다음 위치에서 찾을 수 있습니다. <migration_tool_folder>\resources

구문 분석되지 않은 파일

Secure Firewall 마이그레이션 툴은 구문 분석되지 않은 파일에서 무시한 구성 라인에 대한 정보를 기록합니다. Secure Firewall 마이그레이션 툴은 ASA 구성 파일을 구문 분석할 때 이 파일을 생성합니다.

구문 분석되지 않은 파일은 다음 위치에서 찾을 수 있습니다.

<migration_tool_folder>\resources

Secure Firewall 마이그레이션 툴에서 검색

Optimize, Review and Validate(최적화, 검토 및 검증) 창의 항목과 같이 Secure Firewall 마이그레이션 툴에 표시되는 테이블의 항목을 검색할 수 있습니다.

테이블의 열 또는 행에서 항목을 검색하려면 테이블 위의 검색(검색 아이콘 )를 클릭하고 필드에 검색어를 입력합니다. Secure Firewall 마이그레이션 툴이 테이블 행을 필터링하고 검색어가 포함된 행만 표시합니다.

단일 열에서 항목을 검색하려면 열 제목에 있는 Search(검색) 필드에 검색어를 입력합니다. Secure Firewall 마이그레이션 툴이 테이블 행을 필터링하고 검색어와 일치하는 행만 표시합니다.

포트

Secure Firewall 마이그레이션 툴은 포트 8321-8331 및 포트 8888의 12개 포트 중 하나에서 실행할 때 텔레메트리를 지원합니다. 기본적으로 Secure Firewall 마이그레이션 툴은 포트 8888을 사용합니다. 포트를 변경하려면 app_config 파일에서 포트 정보를 업데이트합니다. 업데이트 후 포트 변경 사항을 적용하려면 Secure Firewall 마이그레이션 툴을 다시 실행해야 합니다. app_config 파일은 다음 위치에서 찾을 수 있습니다. <migration_tool_folder>\app_config.txt.


참고
텔레메트리는 이러한 포트에서만 지원되므로 포트 8321-8331 및 포트 8888을 사용하는 것이 좋습니다. Cisco Success Network를 활성화하는 경우 Secure Firewall 마이그레이션 툴에 다른 포트를 사용할 수 없습니다.

알림 센터

성공 메시지, 오류 메시지 및 마이그레이션 중에 표시되는 경고를 비롯한 모든 알림은 알림 센터에서 캡처되며 Successes(성공), Warnings(경고) 및 Errors(오류)로 분류됩니다. 마이그레이션 중에 언제든지 오른쪽 상단에서 아이콘을 클릭하면 팝업된 다양한 알림과 툴에서 팝업된 시간을 확인할 수 있습니다.

Cisco Success Network

Cisco Success Network는 사용자가 활성화하는 클라우드 서비스입니다. Cisco Success Network를 활성화하는 경우, Secure Firewall 마이그레이션 툴과 Cisco 클라우드 사이에 보안 연결이 설정되어 사용 정보와 통계가 스트리밍됩니다. 스트리밍 텔레메트리는 Secure Firewall 마이그레이션 툴에서 관심 있는 데이터를 선택하고 구조화된 형식으로 원격 관리 스테이션에 전송하여 다음과 같은 이점을 얻을 수 있는 메커니즘을 제공합니다.

  • 네트워크에서 제품의 효율성을 향상시킬 수있는 활용 가능한 미사용 기능을 알려줍니다.

  • 제품에 사용할 수 있는 추가 기술 지원 서비스 및 모니터링에 대해 알려줍니다.

  • Cisco가 제품을 개선할 수 있습니다.

Secure Firewall 마이그레이션 툴은 보안 연결을 설정하고 유지하며 Cisco Success Network에 등록할 수 있도록 지원합니다. Cisco Success Network를 비활성화하여 언제든지 이 연결을 끌 수 있으며, 이 경우 디바이스와 Cisco Success Network 클라우드의 연결이 끊어집니다.

Secure Firewall 마이그레이션 툴 최신 기능

버전

지원 기능

10.0.2

이 패치 릴리스에는 버그 수정이 포함되어 있습니다.

10.0.1

이제 Secure Firewall 마이그레이션 툴을 사용하여 DHCP 및 DNS 구성을 마이그레이션할 수 있습니다.

지원되는 마이그레이션: Check Point 방화벽에서 Firewall Threat Defense(으)로

이 릴리스에서는 Secure Firewall 6100 시리즈 디바이스에 대한 포괄적인 마이그레이션 지원 기능이 도입되었습니다.

마이그레이션 툴은 이제 개선된 애플리케이션 매핑 화면을 제공합니다. 이 개선 사항을 통해 애플리케이션 구성을 Firewall Threat Defense(으)로 마이그레이션하는 과정이 간소화됩니다.

지원되는 마이그레이션: Check Point 방화벽에서 Firewall Threat Defense(으)로

Check Point 중견∙중소 기업(SMB) 디바이스에서 Cisco Secure Firewall Threat Defense(으)로 방화벽 구성을 마이그레이션하는 지원 기능을 추가했습니다.

방화벽 마이그레이션 툴은 사전 구문 분석 단계에서 구문 분석된 요약 페이지에 속성 개수를 표시하지 않습니다. 이번 변경 사항은 내용을 더 명확하게 하고 마이그레이션 절차를 간소화합니다.

지원되는 마이그레이션: 모두

이제 Firewall Threat Defense를 실행 중인 Cisco Adaptive Security Appliance(ASA) 55XX-X 시리즈 디바이스에서 Cisco Firewall 1000, 2000, 3000, 4000, 6000 및 9000 시리즈 디바이스와 같은 Firewall Threat Defense 디바이스로 구성을 마이그레이션할 수 있습니다.

10.0

이 릴리스에서는 CSF200 시리즈 디바이스에 대한 포괄적인 마이그레이션 지원 기능이 도입되었습니다.

지원되는 마이그레이션: 모두

이 릴리스로의 원활한 전환을 돕기 위해 방화벽 관리 센터 및 Firewall Threat Defense 10.0에 대한 마이그레이션 지원이 제공됩니다.

지원되는 마이그레이션: 모두

이번 릴리스에서는 텔레메트리 기능이 대폭 개선되어, 분석 및 문제 해결을 위한 데이터 수집이 향상되었습니다.

지원되는 마이그레이션: 모두

이번 릴리스에서는 구문 분석 성능이 대폭 향상되어 시스템의 응답 속도가 빨라지고 효율성이 높아졌습니다.

지원되는 마이그레이션: Check Point 방화벽에서 Firewall Threat Defense, Palo Alto Networks 방화벽에서 Firewall Threat Defense, ASA 방화벽에서 Firewall Threat Defense.

사용자 경험을 개선하기 위해 이중 네트워크 주소 변환(NAT) 기능이 강화되었습니다.

참조: Check Point 구성 지원

지원되는 마이그레이션: Check Point 방화벽에서 Firewall Threat Defense(으)로

7.7.10.4

이 패치 릴리스에는 버그 수정이 포함되어 있습니다.

7.7.10.3

이제 Secure Firewall 마이그레이션 툴은 구성을 방화벽 관리 센터에 구축할 때 중복된 개체 이름이나 값으로 인해 발생하는 충돌을 식별할 수 있습니다. 그런 다음 툴은 사용자에게 이러한 충돌을 해결하기 위해 적절한 조치를 취하도록 안내합니다.

참조: 마이그레이션된 구성을 Firewall Management Center에 푸시

지원되는 마이그레이션: 모두

성능 향상을 위해 ACL 최적화 분석 시간이 단축되었습니다. ACL 최적화를 클릭한 후 진행을 클릭하면, 구성 최적화, 검토 및 검증 창에 ACL 최적화 분석에 소요되는 예상 시간을 표시하는 배너가 나타납니다.

참조: 구성 최적화, 검토 및 검증

지원되는 마이그레이션: 모두

이제 구성 최적화, 검토 및 검증 > ACL 최적화 창에서 비활성화된 ACL 목록을 확인할 수 있습니다. 이번 개선 사항을 통해 마이그레이션 프로세스의 효율성이 더욱 높아집니다.

참조: 구성 최적화, 검토 및 검증

지원되는 마이그레이션: 모두

마이그레이션 중 최적화 프로세스를 간소화하기 위해, Secure Firewall 마이그레이션 툴은 모든 속성이 최적화되었는지 확인하는 검사를 수행합니다. 구성 최적화, 검토 및 검증 창에서 검증을 클릭하면 누락된 모든 속성이 구성 최적화 대화 상자에 표시됩니다.

참조: 구성 최적화, 검토 및 검증

지원되는 마이그레이션: 모두

7.7.10.2

이 패치 릴리스에는 버그 수정이 포함되어 있습니다.

7.7.10.1

이 릴리스에는 다음과 같은 새로운 기능이 포함되어 있습니다.

  • Secure Firewall 마이그레이션 툴에는 이제 투명 모드와 라우팅 모드 방화벽 컨텍스트를 별도로 선택할 수 있는 옵션이 제공되어, 각 컨텍스트를 독립적으로 관리하고 마이그레이션할 수 있게 되었으며, 이를 통해 마이그레이션 과정에서 더 큰 유연성과 제어력을 확보할 수 있습니다.

    참조: ASA 보안 컨텍스트 선택

    지원되는 마이그레이션: Secure Firewall ASA

  • Secure Firewall 마이그레이션 툴에서는 이제 구성 최적화, 검토 및 검증 창에서 NAT 규칙의 소스 및 대상 영역을 편집할 수 있는 옵션을 제공합니다.

    참조: 구성 최적화, 검토 및 검증

    지원되는 마이그레이션: Secure Firewall ASA

  • Secure Firewall 마이그레이션 툴이 이제 negate 매개변수가 포함된 액세스 제어 항목(ACE)의 마이그레이션을 지원합니다.

    참조: Check Point 구성 지원

    지원되는 마이그레이션: Check Point 방화벽

  • Secure Firewall 마이그레이션 툴이 이제 인라인 보안 영역에 대한 인터페이스 매핑을 지원하여, 세분화된 정책 적용 및 트래픽 제어가 가능해졌습니다.

    참조: 보안 영역 및 인터페이스 그룹에 PAN 인터페이스 매핑

    지원되는 마이그레이션: Palo Alto Networks 방화벽

  • 이제 Secure Firewall 마이그레이션 툴을 사용하여 VLAN 태그 개체 및 기타 지원되는 개체 유형을 위협 방어 디바이스로 마이그레이션할 수 있습니다.

    참조: 구성 최적화, 검토 및 검증

    지원되는 마이그레이션: Palo Alto Networks 방화벽
7.7.10

이 릴리스에는 다음과 같은 새로운 기능이 포함되어 있습니다.

  • 이제 Secure Firewall 마이그레이션 툴을 사용하여 Microsoft Azure 네이티브 방화벽의 구성을 Firewall Threat Defense(으)로 마이그레이션할 수 있습니다. 자세한 내용 및 마이그레이션 단계는 마이그레이션 툴을 사용하여 Microsoft Azure 네이티브 방화벽을 Cisco Secure Firewall Threat Defense로 마이그레이션하기를 참조하십시오.

  • 이제 Secure Firewall 마이그레이션 툴을 사용하여 Check Point 방화벽의 구성을 Multicloud Defense(으)로 마이그레이션할 수 있습니다. 자세한 내용 및 마이그레이션 단계는 마이그레이션 툴을 사용하여 Check Point 방화벽을 Cisco Multicloud Defense로 마이그레이션하기를 참조하십시오.

  • 이제 Secure Firewall 마이그레이션 툴을 사용하여 Fortinet 방화벽의 구성을 Multicloud Defense(으)로 마이그레이션할 수 있습니다. 자세한 내용 및 마이그레이션 단계는 마이그레이션 툴을 사용하여 Fortinet 방화벽을 Cisco Multicloud Defense로 마이그레이션하기를 참조하십시오.

  • Secure Firewall 마이그레이션 툴이 이제 기존 보안 그룹 태그 개체 구성을 감지합니다. 이 감지 기능은 사용자, 디바이스 또는 시스템에 특정 태그를 연결함으로써 보안 정책 관리를 간소화하고, 동적이며 확장 가능한 액세스 제어를 가능하게 합니다.

    참조: 구성 최적화, 검토 및 검증

    지원되는 마이그레이션: Secure Firewall ASA

  • 이제 구성 최적화, 검토 및 검증 페이지에서 개체나 개체 그룹을 추가, 삭제 또는 수정하여 액세스 규칙을 편집할 수 있습니다.

    참조: 구성 최적화, 검토 및 검증

    지원되는 마이그레이션: 모두

  • 사용자 경험을 개선하기 위해 마이그레이션 전/후 보고서가 개선되었습니다.

    이제 각 섹션별로 CSV 파일을 다운로드하여 상세하게 분석할 수 있습니다. 마이그레이션 후 보고서에는 각 범주별로 마이그레이션 전 보고서와 마이그레이션 후 보고서의 구성 항목 수를 비교하는 비교 차트가 도입되었습니다.

    참조: 구성 최적화, 검토 및 검증

    지원되는 마이그레이션: 모두
7.7

이 릴리스에는 다음과 같은 새로운 기능이 포함되어 있습니다.

7.0.1

이 릴리스에는 다음과 같은 새로운 기능과 개선 사항이 포함되어 있습니다.

  • 이제 ASA 및 FDM 매니지드 디바이스 및 서드파티 방화벽과 같은 Cisco 방화벽에서 Cisco Secure Firewall 1200 시리즈 디바이스로 구성을 마이그레이션할 수 있습니다.

    참조: Cisco Secure Firewall 1200 시리즈

  • 이제 둘 이상의 사이트 간 VPN 터널 구성에 대한 사전 공유 키를 한 번에 업데이트할 수 있습니다. 최적화, 검토 및 검증 페이지에 있는 사이트 간 VPN 테이블을 Excel 시트로 내보내고, 각 셀에 사전 공유 키를 지정한 다음 시트를 다시 업로드합니다. 마이그레이션 툴은 Excel에서 사전 공유 키를 읽고 테이블을 업데이트합니다.

    참조: 구성 최적화, 검토 및 검증

    지원되는 마이그레이션: 모두

  • 이제 마이그레이션을 방해하는 잘못된 구성을 무시하면서 마이그레이션의 최종 푸시를 계속할 수 있습니다. 이전에는 오류로 인해 단일 개체의 푸시가 실패한 경우에도 전체 마이그레이션이 실패했습니다. 또한 이제 마이그레이션을 수동으로 중단하여 오류를 수정하고 마이그레이션을 다시 시도할 수도 있습니다.

    참조: 마이그레이션된 컨피그레이션을 Management Center에 푸시

    지원되는 마이그레이션: 모두

  • 이제 Secure Firewall 마이그레이션 툴은 대상 위협 방어 디바이스에서 기존 사이트 간 VPN 구성을 탐지하며, Management Center에 로그인하지 않고도 삭제할지 선택하라는 메시지를 표시합니다. No(아니요)를 선택하고 Management Center에서 수동으로 삭제하면 마이그레이션을 계속 진행할 수 있습니다.

    참조: 구성 최적화, 검토 및 검증

    지원되는 마이그레이션: 모두

  • 대상 관리 센터에서 관리하는 위협 방어 디바이스 중 하나에 기존 허브 및 스포크 토폴로지가 구성된 경우, 관리 센터에서 수동으로 수행할 필요 없이 마이그레이션 툴에서 바로 대상 위협 방어 디바이스를 기존 토폴로지에 스포크 중 하나로 추가하도록 선택할 수 있습니다.

    참조: 구성 최적화, 검토 및 검증

    지원되는 마이그레이션: Secure Firewall ASA

  • 서드파티 방화벽을 마이그레이션할 때 이제 고가용성 쌍의 일부인 위협 방어 디바이스를 대상으로 선택할 수 있습니다. 이전에는 독립형 위협 방어 디바이스만 대상 디바이스로 선택할 수 있었습니다.

    지원되는 마이그레이션: Palo Alto Networks, Check Point, Fortinet 방화벽 마이그레이션

  • 이제 Secure Firewall 마이그레이션 툴은 모든 단계에서 마이그레이션 지침과 함께 더욱 개선된 직관적인 데모 모드를 제공합니다. 또한 요구 사항에 따라 대상 위협 방어 디바이스의 버전을 선택하고 테스트할 수도 있습니다.

    지원되는 마이그레이션: 모두
7.0

이 릴리스에는 다음과 같은 새로운 기능과 개선 사항이 포함되어 있습니다.

Cisco Secure Firewall ASA를 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 대상 관리 센터에서 위협 방어 HA(고가용성) 쌍을 설정하고 Secure Firewall ASA HA 쌍에서 관리 센터로 구성을 마이그레이션할 수 있습니다. Select Target(대상 선택) 페이지에서 Proceed with HA Pair Configuration(HA 쌍 구성 진행)을 선택하고 액티브 디바이스 및 스탠바이 디바이스를 선택합니다. 액티브 위협 방어 디바이스를 선택할 경우, HA 쌍 설정이 성공적으로 수행되려면 동일한 디바이스가 관리 센터에 있어야 합니다. 자세한 내용은 마이그레이션 툴을 사용하여 Cisco Secure Firewall ASA를 Cisco Secure Firewall Threat Defense로 마이그레이션 책에서 Secure Firewall 마이그레이션 툴에 대한 대상 매개변수 지정을 참조하십시오.

  • 이제 Cisco ASA 디바이스에서 사이트 간 VPN 구성을 마이그레이션할 때 위협 방어 디바이스를 사용하여 사이트 간 허브 앤 스포크 VPN 토폴로지를 구성할 수 있습니다. Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 페이지의 Site-to-Site VPN Tunnels(사이트 간 VPN 터널) 아래에서 Add Hub & Spoke Topology(허브 및 스포크 토폴로지 추가)를 클릭합니다. 자세한 내용은 마이그레이션 툴을 사용하여 Cisco Secure Firewall ASA를 Cisco Secure Firewall Threat Defense로 마이그레이션 책에서 구성 최적화, 검토 및 검증을 참조하십시오.

Fortinet 방화벽에서 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 SSL VPN과 Central SNAT 구성의 IPv6, 여러 인터페이스와 인터페이스 영역을 Fortinet 방화벽에서 위협 방어 디바이스로 마이그레이션할 수 있습니다. 자세한 내용은 마이그레이션 툴을 사용하여 Fortinet 방화벽을 Cisco Secure Firewall Threat Defense로 마이그레이션하기 책에서 Fortinet 구성 지원을 참조하십시오.

6.0.1

이 릴리스에는 다음과 같은 새로운 기능과 개선 사항이 포함되어 있습니다.

Cisco Secure Firewall ASA를 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 Secure Firewall ASA에서 Threat Defense로 구성을 마이그레이션할 때 네트워크 및 포트 개체를 최적화할 수 있습니다. Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 페이지의 해당 탭에서 이러한 개체를 검토하고 Optimize Objects and Groups(개체 및 그룹 최적화)를 클릭하여 대상 Management Center로 개체를 마이그레이션하기 전에 개체 목록을 최적화합니다. 마이그레이션 툴은 동일한 값을 가진 개체 및 그룹을 식별하고 어떤 개체 및 그룹을 유지할지 선택하라는 메시지를 표시합니다. 자세한 정보는 구성 최적화, 검토 및 검증을 참조하십시오.

FDM 매니지드 디바이스를 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 DHCP, DDNS 및 SNMPv3 구성을 FDM 매니지드 디바이스에서 Threat Defense 디바이스로 마이그레이션할 수 있습니다. Select Features(기능 선택) 페이지에서 DHCP확인란과 Server(서버), Relay(릴레이) 및 DDNS 확인란을 선택합니다. 자세한 정보는 구성 최적화, 검토 및 검증을 참조하십시오.

Fortinet 방화벽을 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 다른 개체 유형과 함께 URL 개체도 Fortinet 방화벽에서 Threat Defense 디바이스로 마이그레이션할 수 있습니다. 마이그레이션 중에 Objects(개체) 창의 Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 페이지에서 URL Objects(URL 개체) 탭을 검토합니다. 자세한 정보는 구성 최적화, 검토 및 검증을 참조하십시오.

Palo Alto Networks 방화벽을 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 다른 개체 유형과 함께 URL 개체도 Palo Alto Networks 방화벽에서 Threat Defense 디바이스로 마이그레이션할 수 있습니다. 마이그레이션 중에 Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 페이지의 Objects(개체) 창에서 URL Objects(URL 개체) 탭을 검토합니다. 자세한 정보는 구성 최적화, 검토 및 검증을 참조하십시오.

Check Point Firewall에서 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 포트 개체, FQDN 개체 및 개체 그룹을 Check Point 방화벽에서 Threat Defense 디바이스로 마이그레이션할 수 있습니다. 마이그레이션 중에 Objects(개체) 창의 Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 페이지를 검토합니다. 자세한 정보는 구성 최적화, 검토 및 검증을 참조하십시오.

6.0

이 릴리스에는 다음과 같은 새로운 기능과 개선 사항이 포함되어 있습니다.

Cisco Secure Firewall ASA를 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 Secure Firewall ASA의 WebVPN 구성을 Threat Defense 디바이스의 Zero Trust Access Policy 구성으로 마이그레이션할 수 있습니다. Select Features(기능 선택) 페이지에서 WebVPN 확인란을 선택하고 Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 페이지에서 새 WebVPN 탭을 검토합니다. Threat Defense 디바이스 및 대상 Management Center 는 버전 7.4 이상에서 실행 중이어야 하며 Snort3을 탐지 엔진으로 실행해야 합니다.

  • 이제 SNMP(Simple Network Management Protocol) 및 DHCP(Dynamic Host Configuration Protocol) 구성을 Threat Defense 디바이스로 마이그레이션할 수 있습니다. Select Features(기능 선택) 페이지에서 SNMP 및 DHCP 확인란을 선택합니다. Secure Firewall ASA에서 DHCP를 구성한 경우, DHCP 서버 또는 릴레이 에이전트 및 DDNS 구성도 마이그레이션하도록 선택할 수 있습니다.

  • 이제 멀티 컨텍스트 ASA 디바이스를 수행하는 경우 ECMP(Equal-Cost Multipath) 라우팅 구성을 단일 인스턴스 Threat Defense 병합 컨텍스트 마이그레이션으로 마이그레이션할 수 있습니다. 구문 분석된 요약의 Routes(경로) 타일에는 이제 ECMP 영역도 포함되며 , 구성 최적화, 검토 및 검증 페이지의 Routes(경로) 탭에서 동일한 영역을 검증할 수 있습니다.

  • 이제 Secure Firewall ASA의 DVTI(Dynamic Virtual Tunnel Interface) 구성에서 Threat Defense 디바이스로 동적 터널을 마이그레이션할 수 있습니다. 이는 ASA 인터페이스를 보안 영역, 인터페이스 그룹 및 VRF에 매핑 페이지에서 매핑할 수 있습니다. 이 기능을 적용하려면 ASA 버전이 9.19 (x) 이상인지 확인합니다.

FDM 매니지드 디바이스를 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 SNMP 및 HTTP를 비롯한 레이어 7 보안 정책과 악성코드 및 파일 정책 구성을 FDM 매니지드 디바이스에서 Threat Defense 디바이스로 마이그레이션할 수 있습니다. Select Features(기능 선택) 페이지에서 대상 Management Center 버전이 7.4 이상이고 Platform Settings(플랫폼 설정) 및 File and Malware Policy(파일 및 악성코드 정책) 확인란이 선택되어 있는지 확인합니다.

Check Point Firewall에서 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 Check Point 방화벽에서 사이트 간 VPN(정책 기반) 구성을 Threat Defense 디바이스로 마이그레이션할 수 있습니다. 이 기능은 Check Point R80 이상 버전, Management Center 및 Threat Defense 버전 6.7 이상에 적용됩니다. Select Features(기능 선택) 페이지에서 Site-to-Site VPN Tunnel(사이트 간 VPN 터널) 확인란이 선택되어 있는지 확인합니다. 이는 디바이스별 구성이므로 Proceed Without FTD(FTD 없이 진행)를 선택하는 경우 마이그레이션 툴이 이러한 구성을 표시하지 않는다는 점에 유의합니다.

Fortinet 방화벽에서 Cisco Secure Firewall Threat Defense로 마이그레이션

  • 이제 Fortinet 방화벽에서 Threat Defense 디바이스로 구성을 마이그레이션할 때 애플리케이션 ACL(Access Control List)을 최적화할 수 있습니다. Optimize, Review and Validate Configuration(구성 최적화, 검토 및 검증) 페이지의 ACL 최적화 버튼을 사용하여 이중 및 섀도 ACL 목록을 확인하고, 최적화 보고서를 다운로드하여 자세한 ACL 정보를 확인합니다.

5.0.1 이 릴리스에는 다음과 같은 새로운 기능과 개선 사항이 포함되어 있습니다.

  • Secure Firewall 마이그레이션 툴은 이제 Secure Firewall ASA 디바이스에서 Threat Defense 디바이스로의 여러 투명 방화벽 모드 보안 컨텍스트 마이그레이션을 지원합니다. Secure Firewall ASA 디바이스에 있는 둘 이상의 투명 방화벽 모드 컨텍스트를 투명 모드 인스턴스로 병합하고 마이그레이션할 수 있습니다.

    하나 이상의 컨텍스트에 VPN 구성이 있는 VPN 구성 ASA 구축에서는 VPN 구성을 대상 Threat Defense 디바이스로 마이그레이션하려는 컨텍스트를 하나만 선택할 수 있습니다. 선택하지 않은 컨텍스트에서는 VPN 구성만 무시되고 다른 모든 구성이 마이그레이션됩니다.

    자세한 내용은 ASA 보안 컨텍스트 선택을 참조하십시오.

  • 이제 Secure Firewall 마이그레이션 툴을 사용하여 Fortinet 및 Palo Alto Networks Firewall에서 Threat Defense로 사이트 간 및 원격 액세스 VPN 구성을 마이그레이션할 수 있습니다. Select Features(기능 선택) 창에서 마이그레이션할 VPN 기능을 선택합니다. 마이그레이션 툴을 사용하여 Palo Alto Networks Firewall에서 Secure Firewall Threat Defense로 마이그레이션 및 마이그레이션 툴을 사용하여 Fortinet 방화벽을 Secure Firewall Threat Defense로 마이그레이션 가이드의 Secure Firewall 마이그레이션 툴의 대상 매개변수 지정 섹션을 참조하십시오.

  • 이제 Secure Firewall ASA 디바이스에서 하나 이상의 라우팅 또는 투명 방화벽 모드 보안 컨텍스트를 선택하고 Secure Firewall 마이그레이션 툴을 사용하여 단일 컨텍스트 또는 멀티 컨텍스트 마이그레이션을 수행할 수 있습니다.

5.0

  • Secure Firewall 마이그레이션 툴은 이제 Secure Firewall ASA에서 Threat Defense 디바이스로의 여러 보안 컨텍스트 마이그레이션을 지원합니다. 컨텍스트 중 하나에서 구성을 마이그레이션하거나 모든 라우팅 방화벽 모드 컨텍스트의 구성을 병합하여 마이그레이션할 수 있습니다. 여러 투명 방화벽 모드 상황에서 구성을 병합하는 기능도 곧 제공될 예정입니다. 자세한 내용은 ASA 기본 보안 상황 선택을 참고하십시오.

  • 마이그레이션 툴은 이제 VRF(virtual routing and forwarding, 가상 라우팅 및 포워딩) 기능을 활용하여 새로 병합된 구성의 일부가 될 멀티 컨텍스트 ASA 환경에서 관찰된 분리된 트래픽 흐름을 복제합니다. Parsed Summary(구문 분석 요약) 페이지의 새 VRF 타일에서, 마이그레이션 툴이 새 Contexts(컨텍스트) 타일에서 탐지한 컨텍스트 수와 구문 분석 후에 확인할 수 있습니다. 또한 마이그레이션 툴은 보안 영역 및 인터페이스 그룹에 인터페이스 매핑 페이지에서 이러한 VRF가 매핑되는 인터페이스를 표시합니다.

  • 이제 Secure Firewall 마이그레이션 툴에서 새로운 데모 모드를 사용하여 전체 마이그레이션 워크플로우를 시도하고 실제 마이그레이션이 어떻게 이루어지는지 시각화할 수 있습니다. 자세한 내용은 방화벽 마이그레이션 툴의 데모 모드 사용을 참조하십시오.

  • 새로운 개선 사항과 버그 픽스를 통해, Secure Firewall 마이그레이션 툴은 이제 Palo Alto Networks Firewall을 Threat Defense로 마이그레이션할 때 개선되고 더 빠른 마이그레이션 환경을 제공합니다.

4.0.3 Secure Firewall 마이그레이션 툴 4.0.3에는 버그 수정 및 다음과 같은 개선 사항이 포함되어 있습니다.

  • 이제 마이그레이션 툴에서는 PAN 구성을 Threat Defense로 마이그레이션할 수 있는 향상된 Application Mapping(애플리케이션 매핑) 화면을 제공합니다. 자세한 내용 은 마이그레이션 툴을 사용하여 Palo Alto Networks Firewall을 Secure Firewall Threat Defense로 마이그레이션 가이드의 애플리케이션으로 구성 매핑을 참조하십시오.

4.0.2

Secure Firewall 마이그레이션 툴 4.0.2에는 다음과 같은 새로운 기능 및 개선 사항이 포함되어 있습니다.

  • Secure Firewall 마이그레이션 툴에서는 이제 대상 Management Center 및 Threat Defense 버전이 7.1 이상인 경우 사이트 간 VPN 필터 구성 및 이러한 구성과 관련된 확장 액세스 목록 개체의 마이그레이션을 지원합니다. 이전에는 사이트 간 VPN 필터 구성이 마이그레이션되지 않으며, 마이그레이션 후 수동으로 구성해야 했습니다.

  • 이제 마이그레이션 툴에 상시 연결 텔레메트리가 있습니다. 그러나 이제 제한적 또는 광범위한 텔레메트리 데이터를 보내도록 선택할 수 있습니다. 제한된 텔레메트리 데이터에는 데이터 포인트가 거의 포함되지 않지만 광범위한 텔레메트리 데이터에는 더 자세한 텔레메트리 데이터 목록이 포함됩니다. Settings(설정) > Send Telemetry Data to Cisco?(시스코로 텔레메트리 데이터 전송?)에서 이 설정을 변경할 수 있습니다. .

4.0.1

Secure Firewall 마이그레이션 툴 4.0.1에는 다음과 같은 새로운 기능 및 개선 사항이 포함되어 있습니다.

Secure Firewall 마이그레이션 툴은 이제 이름과 구성을 기반으로 모든 개체 및 개체 그룹을 분석하고 동일한 이름 및 구성을 가진 개체를 재사용합니다. 이전에는 이름 및 구성을 기준으로 네트워크 개체 및 네트워크 개체 그룹만 분석되었습니다. 원격 액세스 VPN의 XML 프로파일은 여전히 이름을 사용해서만 검증됩니다.

4.0

Secure Firewall 마이그레이션 툴 4.0은 다음을 지원합니다.

  • 대상 Management Center 및 Threat Defense 버전이 7.3 이상인 경우 ASA에서 PBR(Policy Based Routing) 마이그레이션.

    참고

     

    PBR 마이그레이션의 경우, 마이그레이션을 진행하기 전에 기존 Flex 구성을 Management Center에서 제거해야 합니다.

  • 대상 Management Center가 7.3 이상인 경우 ASA에서 원격 액세스 VPN 사용자 지정 속성 및 VPN 로드 밸런싱 마이그레이션.

    방화벽을 사용하거나 사용하지 않고 원격 액세스 VPN 마이그레이션을 수행할 수 있습니다. 그러나 방화벽을 사용하여 마이그레이션을 수행하도록 선택한 경우 Threat Defense 버전은 7.0 이상이어야 합니다.

    참고

     

    대상 방화벽을 사용하여 원격 액세스 VPN을 마이그레이션하려면 대상 방화벽을 선택하고 대상 방화벽에 다음 라이선스 중 하나를 추가해야 합니다.

    • AnyConnect Plus

    • AnyConnect Apex

    • AnyConnect VPN만

  • 대상 Management Center가 7.1 이상이고 Threat Defense 버전이 6.5 이상인 경우 ASA에서 ECMP(Equal Cost Multi-Path) 경로 마이그레이션.
3.0.2 Secure Firewall 마이그레이션 툴 3.0.2에는 ASA 에서 Firewall Management Center 버전 7.2 이상으로 원격 액세스 VPN 구성을 마이그레이션하기 위한 버그 수정이 포함되어 있습니다.

3.0.1

Secure Firewall 마이그레이션 툴 3.0.1은 다음을 지원합니다.

  • 대상 Management Center가 버전 7.2 이상이고 Threat Defense 버전이 7.0 이상인 경우 ASA에서 EIGRP(Enhanced Interior Gateway Routing Protocol) 마이그레이션.

    참고

     

    Threat Defense 디바이스 없이 FirePOWER Services를 포함한 ASA 및 ASA에서 EIGRP를 마이그레이션할 수 없습니다.

  • Cisco Secure Firewall 3100 Series는 ASA에서의 마이그레이션을 위한 소스 또는 대상 디바이스로 지원됩니다.

3.0

Secure Firewall 마이그레이션 툴 3.0은 다음을 지원합니다.

  • 대상 Management Center가 7.2 이상인 경우 ASA 의 원격 액세스 VPN 마이그레이션. Secure Firewall Threat Defense를 사용하거나 사용하지 않고 RA VPN 마이그레이션을 수행할 수 있습니다. Threat Defense를 사용하여 마이그레이션을 선택한 경우 Threat Defense 버전은 7.0 이상이어야 합니다.

  • ASA에서 사이트 간 VPN 사전 공유 키 자동화.

  • 마이그레이션 전 활동의 일부로 다음을 수행해야 합니다.

    • ASA 트러스트 포인트는 PKI 개체로 Management Center에 수동으로 마이그레이션해야 합니다.

    • AnyConnect 패키지, Hostscan 파일(Dap.xml, Data.xml, Hostscan 패키지), 외부 브라우저 패키지 및 AnyConnect 프로파일을 소스 ASA에서 검색해야 합니다.

    • AnyConnect 패키지를 Management Center에 업로드해야 합니다.

    • AnyConnect 프로파일을 Management Center에 직접 업로드하거나 Secure Firewall 마이그레이션 툴에서 업로드할 수 있습니다.

    • Live Connect ASA에서 프로파일을 검색할 수 있도록 하려면 ASA에서 ssh scopy enable 명령을 활성화해야 합니다.

  • 대상 Management Center가 7.2 이상인 경우 ASA에서 클라우드 제공 Firewall Management Center로 마이그레이션.

2.5.2

Secure Firewall 마이그레이션 툴 2.5.2는 방화벽의 네트워크 기능에 영향을 주지 않고 방화벽 규칙 베이스에서 최적화(비활성화 또는 삭제)할 수 있는 ACL을 식별하고 분리하기 위한 지원을 제공합니다.

ACL 최적화는 다음 ACL 유형을 지원합니다.

  • 중복 ACL - 두 ACL에 동일한 구성 및 규칙 집합이 있는 경우 기본이 아닌 ACL을 제거해도 네트워크에 영향을 주지 않습니다.

  • 섀도우 ACL - 첫 번째 ACL은 두 번째 ACL의 컨피그레이션을 완전히 섀도잉합니다.

참고

 

최적화는 ASA ACP 규칙 작업에만 사용할 수 있습니다.

Secure Firewall 마이그레이션 툴 2.5.2는 대상 Firewall Management Center가 7.1 이상인 경우 BGP(Border Gateway Protocol) 및 유동 경로 개체 마이그레이션을 지원합니다.

2.5.1

Secure Firewall 마이그레이션 툴 2.5.1은 대상 Firewall Management Center가 7.1 이상인 경우 BGP(Border Gateway Protocol) 및 유동 경로 개체 마이그레이션을 지원합니다.

2.5

Secure Firewall 마이그레이션 툴 2.5는 네트워크 기능에 영향을 주지 않고 방화벽 규칙 베이스에서 최적화(비활성화 또는 삭제)할 수 있는 ACL을 식별하고 분리하기 위한 지원을 제공합니다.

ACL 최적화는 다음 ACL 유형을 지원합니다.

  • 중복 ACL - 두 ACL에 동일한 구성 및 규칙 집합이 있는 경우 기본이 아닌 ACL을 제거해도 네트워크에 영향을 주지 않습니다.

  • 섀도우 ACL - 첫 번째 ACL은 두 번째 ACL의 구성을 완전히 섀도잉합니다.

참고

 

최적화는 ACP 규칙 작업에 대해서만 소스 ASA에 사용할 수 있습니다.

대상 Firewall Management Center 버전이 7.1 이상인 경우 불연속 네트워크 마스크(와일드카드 마스크) 개체를 지원합니다.

2.4

다음 ASA VPN 컨피그레이션을 Firewall Threat Defense로 마이그레이션합니다.

  • ASA의 암호화 맵(정적/동적) 기반 VPN

  • 경로 기반(VTI) 기반 ASA VPN

  • ASA의 인증서 기반 VPN 마이그레이션

참고

 

  • ASA 트러스트 포인트 또는 인증서는 수동으로 마이그레이션되며 마이그레이션 전 활동의 일부입니다.

  • ASA 트러스트 포인트는 Firewall Management Center PKI 개체로 마이그레이션해야 합니다. PKI 개체는 인증서 기반 VPN 토폴로지를 생성하는 동안 Secure Firewall 마이그레이션 툴에서 사용됩니다.

2.3.5

Secure Firewall 마이그레이션 툴은 대상 Firewall Management Center 및 Firewall Threat Defense가 6.7 이상인 경우 VTI(Virtual Tunnel Interface) 구성의 Firewall Threat Defense로의 마이그레이션을 지원합니다.

  • VTI 인터페이스 및 관련 정적 경로

  • Firewall Management Center 및 Firewall Threat Defense로의 경로 기반(VTI) 사전 공유 키 인증 유형 VPN 구성.

  • 라우팅된 보안 영역을 생성하고 여기에 VTI 인터페이스를 추가한 다음, VTI 터널을 통해 해독된 트래픽 제어를 위한 액세스 제어 규칙을 정의합니다.

2.3.4

Secure Firewall 마이그레이션 툴을 사용하여 다음과 같은 ASA VPN 구성 요소를 Firewall Threat Defense로 마이그레이션할 수 있습니다.

  • 정책 기반(암호화 맵) 사전 공유 키 인증 유형 VPN 구성의 Firewall Management Center로의 마이그레이션을 지원합니다.

  • VPN 개체 - VPN 개체(IKEv1/IKEv2 정책, IKEv1/IKEv2 IPsec-Proposal)를 생성하고 VPN 개체를 특정 사이트 간 VPN 토폴로지에 매핑하며 개체를 Firewall Management Center로 마이그레이션합니다.

    Review and Validate Configuration(구성 검토 및 검증) 페이지의 규칙에 따라 VPN 개체를 검증합니다.

  • 사이트 간 VPN 토폴로지 - 소스 ASA 구성의 암호화 맵 관련 구성이 각 VPN 개체와 함께 마이그레이션됩니다. 정책 기반(암호화 맵) VPN 토폴로지는 Firewall Management Center 버전 6.6 이상에서 지원됩니다.

    참고

     
    이 릴리스에서 Secure Firewall 마이그레이션 툴은 정적 암호화 맵의 마이그레이션만 지원합니다.

    지원되는 모든 ASA 암호화 맵 VPN은 Firewall Management Center Point-to-Point 토폴로지로 마이그레이션됩니다.

1.3

  • Secure Firewall 마이그레이션 툴을 사용하여 ASA에 구성된 관리자 자격 증명 및 Enable Password(활성화 비밀번호)를 통해 ASA에 연결할 수 있습니다.

    ASA에 Enable Password(활성화 비밀번호)가 구성되지 않은 경우 Secure Firewall 마이그레이션 툴에서 필드를 비워 둘 수 있습니다.

  • app_config 파일에서 Bulk Push(일괄 푸시)에 대한 배치 크기 제한을 다음과 같이 구성할 수 있습니다.

    • 개체의 경우 배치 크기가 500을 초과할 수 없습니다. Secure Firewall 마이그레이션 툴은 값을 50으로 재설정하고 일괄 푸시를 진행합니다.

    • ACL, 경로 및 NAT의 경우 배치 크기가 각각 1000을 초과할 수 없습니다. Secure Firewall 마이그레이션 툴은 값을 1000으로 재설정하고 일괄 푸시를 진행합니다.

  • Secure Firewall 마이그레이션 툴을 사용하여 CSM 또는 ASDM 관리 구성을 구문 분석할 수 있습니다.

    인라인 그룹화 또는 ASDM 관리 컨피그레이션을 지우도록 선택하는 경우 미리 정의된 개체가 실제 개체 또는 멤버 이름으로 대체됩니다.

    CSM 또는 ASDM 관리 컨피그레이션을 지우지 않으면 마이그레이션 시 미리 정의된 개체 이름이 유지됩니다.

  • 마이그레이션 실패 시 고객 지원을 통해 로그 파일, dB 및 컨피그레이션 파일을 다운로드하는 기능을 제공합니다. 이메일을 통해 기술 팀에 지원 케이스를 제출할 수도 있습니다.

  • 개체, 인터페이스, ACL, NAT 및 경로에서 IPv6 컨피그레이션의 마이그레이션을 지원합니다.

  • Secure Firewall 마이그레이션 툴을 사용하여 Firewall Threat Defense 개체 유형(물리적 인터페이스, 포트 채널 및 하위 인터페이스)의 물리적 인터페이스에 ASA 인터페이스 이름을 매핑할 수 있습니다. 예를 들어 ASA의 포트 채널을 Firewall Management Center의 물리적 인터페이스에 매핑할 수 있습니다.

  • Secure Firewall 마이그레이션 툴이 선택한 NAT 규칙 및 경로 인터페이스의 마이그레이션을 건너뛰도록 지원합니다. 이전 버전의 Secure Firewall 마이그레이션 툴에서는 액세스 제어 규칙에 대해서만 이 옵션을 제공했습니다.

  • 구문 분석된 액세스 제어, NAT, 네트워크 개체, 포트 개체, 인터페이스 및 경로 컨피그레이션 항목을 Optimize, Review and Validate Configuration(컨피그레이션 최적화, 검토 및 검증) 화면에서 Excel 또는 CSV 형식으로 다운로드할 수 있습니다.

    참고

     
    CSV 파일은 가져올 수 없습니다.

1.2

  • Firewall Management Center 6.3으로의 마이그레이션 지원

  • IPv4 FQDN 개체 및 그룹의 마이그레이션을 지원합니다.

  • 멀티 컨텍스트 ASA에 대한 수동 업로드 방법에서 show tech-support 명령을 지원합니다.

  • Firewall Management Center에 등록된 컨테이너 유형 Firewall Threat Defense(MI)로의 마이그레이션을 지원합니다.

  • 액세스 제어 테이블의 마이그레이션된 액세스 제어 규칙에 대한 규칙 작업(허용, 신뢰, 모니터링, 차단 또는 차단 후 재설정) 매핑을 지원합니다.

  • Secure Firewall 마이그레이션 툴의 버전 확인을 통해 최신 버전의 Secure Firewall 마이그레이션 툴을 사용하고 있는지 확인합니다.

1.1

  • 개체, NAT, 정적 경로에 대한 일괄 푸시 기능은 구성을 Firewall Management Center에 푸시하는 데 걸리는 시간을 크게 줄입니다.

  • 프로덕션 ASA에서 컨피그레이션 추출

  • 선택적 기능 마이그레이션(공유 정책 및 디바이스별 정책)

  • 규칙 최적화

  • 마이그레이션 중인 ASA 액세스 제어 규칙을 Firewall Management Center에서 구성된 침입 방지 시스템 및 파일 정책 목록에 매핑합니다.

  • 정책에서 참조되는 개체만 마이그레이션합니다. 이렇게 하면 마이그레이션 시간이 최적화되고 컨피그레이션 중에 사용되지 않는 개체가 제거됩니다.

  • 멀티 컨텍스트 모드에서 실행 중인 ASA의 데이터 컨텍스트 중 하나에서 running-config 또는 sh run에 대한 마이그레이션을 지원합니다.

  • macOS 10.13 이상 버전에서 지원

  • 마이그레이션된 액세스 제어 규칙에 대한 기록 작업(활성화 또는 비활성화, 시작 또는 종료 시 기록) 수정을 지원합니다.

  • Firewall Management Center의 도메인 내에 구성된 Firewall Threat Defense 디바이스로 마이그레이션합니다.

  • 개체 이름에 대한 일괄 수정 기능

  • Cisco Success Network를 통한 텔레메트리 지원

1.0

  • 구문 분석 및 푸시 작업을 포함한 마이그레이션 전체에 걸친 검증

  • 개체 재사용 기능

  • 개체 충돌 해결

  • 인터페이스 매핑

  • 인터페이스 개체 자동 생성 또는 재사용(보안 영역 또는 인터페이스 그룹 매핑 시 ASA 이름)

  • ACL의 일괄 마이그레이션 지원

Secure Firewall 마이그레이션 툴 라이선싱

Secure Firewall 마이그레이션 툴 애플리케이션은 무료이며 라이선스가 필요하지 않습니다. 그러나 Firewall Threat Defense 디바이스를 성공적으로 등록하고 정책을 구축하려면 관련 Firewall Threat Defense 기능에 필요한 라이선스가 Firewall Management Center에 있어야 합니다.

Secure Firewall 마이그레이션 툴의 플랫폼 요구 사항

Secure Firewall 마이그레이션 툴에는 다음과 같은 인프라 및 플랫폼 요구 사항이 있습니다.

  • Microsoft Windows 10 64비트 운영체제 또는 macOS 10.13 이상 버전에서 실행

  • Google Chrome을 시스템 기본 브라우저로 사용

  • (Windows) 대규모 마이그레이션 푸시 중에 시스템이 절전 모드로 전환되지 않도록 Power & Sleep(전원 및 절전)에서 Sleep(절전) 설정을 Never put the PC to Sleep(절전 모드로 전환 안 함)으로 구성

  • (macOS) 대규모 마이그레이션 푸시 중에 컴퓨터와 하드 디스크가 절전 모드로 전환되지 않도록 Energy Saver(에너지 절약) 설정 구성

Threat Defense 디바이스의 요구 사항 및 사전 요건

Management Center로 마이그레이션할 때 대상 Threat Defense 디바이스를 추가해야 하는 것은 아닙니다. 나중에 Threat Defense 디바이스에 구축하도록 정책을 Management Center로 마이그레이션할 수 있습니다.

관리 센터에 위협 방어 장치가 추가된 경우 ASA 구성을 Threat Defense로 마이그레이션하려면 다음 요구 사항 및 사전 요건을 고려합니다.

  • 대상 Threat Defense 디바이스를 Management Center에 등록해야 합니다.

  • 대상 위협 방어 디바이스는 고가용성 구성에 있을 수 있습니다.

  • Threat Defense 디바이스는 독립형 디바이스 또는 컨테이너 인스턴스일 수 있습니다. 클러스터에 속해선 안 됩니다.

    • 대상 네이티브 Threat Defense 디바이스에서 최소한 와 같은 수의 물리적 데이터 및 포트 채널 인터페이스('관리 전용' 및 하위 인터페이스 제외)를 사용해야 합니다. 그렇지 않은 경우 대상 Threat Defense 디바이스에 필요한 인터페이스 유형을 추가해야 합니다. 하위 인터페이스는 물리적 또는 포트 채널 매핑을 기반으로 Secure Firewall 마이그레이션 툴에서 생성됩니다.

    • 대상 Threat Defense 디바이스가 컨테이너 인스턴스인 경우 ASA와 같은 수의 물리적 인터페이스, 물리적 하위 인터페이스, 포트 채널 인터페이스 및 포트 채널 하위 인터페이스('관리 전용' 제외)를 사용해야 합니다. 그렇지 않은 경우 대상 Threat Defense 디바이스에 필요한 인터페이스 유형을 추가해야 합니다.


      참고

      • 하위 인터페이스는 Secure Firewall 마이그레이션 툴로 생성되지 않으며 인터페이스 매핑만 허용됩니다.

      • 서로 다른 인터페이스 유형에 대한 매핑이 허용됩니다. 예를 들어, 물리적 인터페이스를 포트 채널 인터페이스에 매핑할 수 있습니다.

구성 지원

지원되는 구성

Secure Firewall 마이그레이션 툴은 다음 구성을 완전히 마이그레이션할 수 있습니다.

  • 네트워크 개체 및 그룹

  • 서비스 개체(소스 및 대상에 대해 구성된 서비스 개체 제외)


    참고
    Secure Firewall 마이그레이션 툴은 소스 및 대상에 대해 구성된 확장 서비스 개체를 마이그레이션하지 않지만, 참조된 ACL 및 NAT 규칙은 전체 기능으로 마이그레이션됩니다.

  • 서비스 개체 그룹(중첩된 서비스 개체 그룹 제외)


    참고
    Firewall Management Center에서 중첩이 지원되지 않으므로 Secure Firewall 마이그레이션 툴은 참조된 규칙의 내용을 확장합니다. 단, 규칙은 전체 기능을 통해 마이그레이션됩니다.

  • IPv4 및 IPv6 FQDN 개체 및 그룹

  • IPv6 변환 지원(인터페이스, 정적 경로, 개체, ACL 및 NAT)

  • 인바운드 방향 및 전역 ACL의 인터페이스에 적용되는 액세스 규칙

  • 자동 NAT, 수동 NAT 및 개체 NAT(조건부)

  • 정적 경로, ECMP 경로 및 PBR

  • 서버, 릴레이 및 DDNS를 포함한 DHCP 구성

  • SNMP

  • 물리적 인터페이스

  • 인터페이스의 보조 VLAN은 Firewall Threat Defense에 마이그레이션되지 않습니다.

  • 하위 인터페이스(하위 인터페이스 ID는 마이그레이션 시 항상 VLAN ID와 동일한 숫자로 설정됨)

  • 포트 채널

  • Virtual tunnel interface(VTI)

  • 동적 VTI 및 IPv6

  • 브리지 그룹(투명 모드만)

  • IP SLA 모니터링

    Secure Firewall 마이그레이션 툴에서 IP SLA 개체를 생성하고, 개체를 특정 정적 경로와 매핑하고, 개체를 Firewall Management Center로 마이그레이션합니다.

    IP SLA 모니터는 모니터링되는 주소에 대한 연결 정책을 정의하며, IP 주소에 대한 경로의 가용성을 추적합니다. 정적 경로는 ICMP 에코 요청을 전송하고 응답을 기다리며 주기적으로 가용성을 확인합니다. 에코 요청이 시간 초과되면 정적 경로는 라우팅 테이블에서 제거되고 백업 경로로 교체됩니다. SLA 모니터링 작업은 구축 후 즉시 시작되고 SLA 모니터를 디바이스 구성에서 제거하지 않는 이상 계속 실행됩니다. 즉, 만료되지 않습니다. IP SLA 모니터 개체는 IPv4 정적 경로 정책의 경로 추적 필드에 사용됩니다. IPv6 경로에는 경로 추적을 통해 SLA 모니터를 사용하기 위한 옵션이 없습니다.


    참고
    IP SLA 모니터는 비 Firewall Threat Defense 플로우에 대해 지원되지 않습니다.

  • 개체 그룹 검색

    개체 그룹 검색을 활성화하면 네트워크 개체를 포함하는 액세스 컨트롤 정책에 대한 메모리 요구 사항이 감소합니다. Firewall Threat Defense의 액세스 정책을 통해 최적의 메모리 사용을 촉진하는 개체 그룹 검색을 활성화하는 것이 좋습니다.


    참고

    • Firewall Management Center 또는 Firewall Threat Defense 6.6 이전 버전에서는 개체 그룹 검색을 사용할 수 없습니다.

    • 개체 그룹 검색은 비 Firewall Threat Defense 플로우에 대해 지원되지 않으므로 비활성화됩니다.

  • 보안 그룹 태그 기반 개체

    SGT(보안 그룹 태그) 개체는 정책 기반 액세스 제어 사용을 통해 확장 가능한 유동 네트워크 보안을 활성화합니다. Secure Firewall 마이그레이션 툴이 SGT 기반 개체를 탐지하면 Review and Validate Configuration(구성 검토 및 검증) 페이지의 규칙에 따라 개체를 확인합니다.

    SGT 개체 구성을 마이그레이션하려면 관리 센터 및 위협 방어 버전이 7.0 이상인지 확인하십시오.

  • 시간 기반 개체

    Secure Firewall 마이그레이션 툴이 액세스 규칙을 참조하는 시간 기반 개체를 탐지하면 Secure Firewall 마이그레이션 툴은 시간 기반 개체를 마이그레이션하고 개별 액세스 규칙과 매핑합니다. Review and Validate Configuration(구성 검토 및 검증) 페이지의 규칙에 따라 개체를 검증합니다.

    시간 기반 개체는 시간 기간을 기준으로 네트워크 액세스를 허용하는 액세스 목록 유형입니다. 특정 시간 또는 요일을 기준으로 아웃바운드 또는 인바운드 트래픽을 제한해야 하는 경우 유용합니다.


    참고

    • 소스 에서 대상 FTD로 표준 시간대 컨피그레이션을 수동으로 마이그레이션해야 합니다.

    • 시간 기반 개체는 비 Firewall Threat Defense 플로우에 대해 지원되지 않으므로 비활성화됩니다.

    • 시간 기반 개체는 Firewall Management Center 6.6 이상 버전에서 지원됩니다.

  • 사이트 간 VPN 터널

    • 사이트 간 VPN - Secure Firewall 마이그레이션 툴이 소스 에서 암호화 맵 구성을 탐지하면 Secure Firewall 마이그레이션 툴은 암호화 맵을 Point-to-Point 토폴로지로 Firewall Management Center VPN에 마이그레이션합니다.

    • ASA의 암호화 맵(정적/동적) 기반 VPN

    • 경로 기반(VTI) 기반 ASA VPN

    • ASA의 인증서 기반 VPN 마이그레이션

    • Firewall Management Center로의 ASA 트러스트 포인트 또는 인증서 마이그레이션은 수동으로 수행해야 하며, 마이그레이션 전 활동의 일부입니다.

  • 유동 경로 개체, BGP 및 EIGRP

    • Policy-List

    • Prefix-List

    • 커뮤니티 목록

    • AS(Autonomous System)-경로

  • 원격 액세스 VPN

    • SSL 및 IKEv2 프로토콜

    • 인증 방법 - AAA 전용, 클라이언트 인증서 전용, SAML, AAA, 클라이언트 인증서

    • AAA - Radius, 로컬, LDAP 및 AD

    • 연결 프로파일, 그룹 정책, Dynamic Access Policy, LDAP 속성 맵, 인증서 맵

    • 표준 및 확장 ACL

    • RA VPN 사용자 지정 속성 및 VPN 로드 밸런싱

    • 마이그레이션 전 활동의 일부로 다음을 수행합니다.

      • ASA 트러스트 포인트를 Firewall Management Center에 PKI 개체로 수동 마이그레이션합니다.

      • 소스 ASA에서 AnyConnect 패키지, Hostscan 파일(Dap.xml, Data.xml, Hostscan 패키지), 외부 브라우저 패키지 및 AnyConnect 프로파일을 검색합니다.

      • 모든 AnyConnect 패키지를 Firewall Management Center에 업로드합니다.

      • AnyConnect 프로파일을 Firewall Management Center에 직접 업로드하거나 Secure Firewall 마이그레이션 툴에서 업로드합니다.

      • Live Connect ASA에서 프로파일을 검색할 수 있도록 하려면 ASA에서 ssh scopy enable 명령을 활성화합니다.

  • WebVPN

    • 그룹 보안 정책 SSL 클라이언트리스 VPN 터널 프로토콜

    • SAML(Security Assertion Markup Language)을 인증 방법으로 사용하는 그룹 정책 관련 터널 그룹

    • SSL(Domain Name System) 기반 애플리케이션 URL이 포함된 터널 그룹


      참고

      앞서 언급한 기준이 충족되면 SAML 설정 및 애플리케이션 URL이 마이그레이션됩니다.

부분적으로 지원되는 구성

Secure Firewall 마이그레이션 툴은 다음 방화벽 구성의 마이그레이션을 부분적으로 지원합니다. 이러한 구성 중 일부에는 고급 옵션을 포함하며 고급 옵션 없이 마이그레이션되는 규칙이 있습니다. Firewall Management Center에서 이러한 고급 옵션을 지원하는 경우 마이그레이션이 완료된 후 수동으로 구성할 수 있습니다.

  • 심각도 및 시간 간격과 같은 고급 기록 설정으로 구성된 액세스 제어 정책 규칙.

  • 추적 옵션으로 구성된 정적 경로.

  • 인증서 기반 VPN 마이그레이션.

  • 유동 경로 개체, EIGRP 및 BGP.

    • Route-Map

지원되지 않는 구성

Secure Firewall 마이그레이션 툴은 다음 방화벽 구성의 마이그레이션을 지원하지 않습니다. Firewall Management Center에서 이러한 구성을 지원하는 경우 마이그레이션이 완료된 후 수동으로 구성을 구성할 수 있습니다.

  • 사용자 기반 액세스 제어 정책 규칙

  • 블록 할당 옵션으로 구성된 NAT 규칙

  • 터널링 프로토콜 기반 액세스 제어 정책 규칙


    참고
    Secure Firewall 마이그레이션 툴 및 Firewall Management Center 6.5에서 사전 필터를 지원합니다.

  • SCTP로 구성된 NAT 규칙

  • 호스트 '0.0.0.0'으로 구성된 NAT 규칙

  • SLA 추적으로 DHCP 또는 PPPoE를 통해 얻은 기본 경로

  • SLA 모니터 스케줄

  • 전송 모드 IPsec transform-set

  • Firewall Management Center로 ASA 트러스트 포인트 마이그레이션

  • BGP용 투명 방화벽 모드

  • ASA WebVPN-ZTA(Zero Trust 애플리케이션) 정책 마이그레이션에서 다음은 지원되지 않습니다.

    • WebVPN 즐겨찾기 가져오기

    • 로컬, RADIUS 및 LDAP 인증 방법

  • 액세스 목록 비고

지침 및 제한 사항

변환 중에 Secure Firewall 마이그레이션 툴은 지원되는 모든 개체 및 규칙에 대해 일대일 매핑을 생성합니다(규칙 또는 정책에 사용되는지 여부). Secure Firewall 마이그레이션 툴은 사용되지 않는 개체(ACL 및 NAT에서 참조되지 않는 개체)의 마이그레이션을 제외할 수 있는 최적화 기능을 제공합니다.

Secure Firewall 마이그레이션 툴은 지원되지 않는 개체 및 규칙을 다음과 같이 처리합니다.

  • 지원되지 않는 개체 및 NAT 규칙은 마이그레이션되지 않습니다.

  • 지원되지 않는 ACL 규칙은 비활성화된 규칙으로 Firewall Management Center에 마이그레이션됩니다.

  • 아웃바운드 ACL은 지원되지 않으며 Firewall Management Center로 마이그레이션되지 않습니다. 소스 방화벽에 아웃바운드 ACL이 있는 경우 Pre-Migration Report(마이그레이션 전 보고서)의 ignored(무시) 섹션에 보고됩니다.

  • 지원되는 모든 암호화 맵 VPN은 Firewall Management Center Point-to-Point 토폴로지로 마이그레이션됩니다.

  • 지원되지 않거나 불완전한 정적 암호화 맵 VPN 토폴로지는 마이그레이션되지 않습니다.

  • ASA 멀티컨텍스트에서 단일 인스턴스 Threat Defense 마이그레이션에서 ECMP(Equal-Cost Multipath) 라우팅 구성은 해당 VRF(가상 라우팅 및 포워딩) 구성으로 마이그레이션됩니다.

    • 동일한 이름을 가진 두 개의 서로 다른 보안 컨텍스트에 있는 인터페이스는 밑줄 표시와 컨텍스트 이름이 추가되어 이름이 변경됩니다.

    • 동일한 이름을 가진 두 개의 서로 다른 보안 컨텍스트에 있는 보안 영역은 밑줄 표시와 컨텍스트 이름이 추가되어 이름이 변경됩니다.

    • ECMP 라우팅 구성이 VPN 구성과 함께 제공되는 경우, 전역 라우터(전역 VRF)로 마이그레이션됩니다.

구성 제한 사항

소스 구성을 마이그레이션하는 경우 다음과 같은 제한 사항이 있습니다.

  • Secure Firewall 마이그레이션 툴은 에서 개별 보안 컨텍스트를 별도 Firewall Threat Defense 디바이스로 마이그레이션할 수 있도록 지원합니다.

  • 시스템 컨피그레이션은 마이그레이션되지 않습니다.

  • Secure Firewall 마이그레이션 툴은 50개가 넘는 인터페이스에 적용되는 단일 ACL 정책의 마이그레이션을 지원하지 않습니다. 50개 이상의 인터페이스에 적용된 ACL 정책은 수동으로 마이그레이션해야 합니다.

  • 일부 구성(예: 유동 라우팅을 Firewall Threat Defense로 마이그레이션)은 마이그레이션할 수 없습니다. 이러한 컨피그레이션은 수동으로 마이그레이션해야 합니다.

  • BVI(Bridge Virtual Interface), 이중화 인터페이스 또는 터널링 인터페이스를 사용하여 라우팅 모드로 디바이스를 마이그레이션할 수 없습니다. 그러나 BVI를 사용하여 투명 모드로 디바이스를 마이그레이션할 수는 있습니다.

  • 중첩된 서비스 개체 그룹 또는 포트 그룹은 Firewall Management Center에서 지원되지 않습니다. 변환 과정에서 Secure Firewall 마이그레이션 툴은 참조된 중첩 개체 그룹 또는 포트 그룹의 콘텐츠를 확장합니다.

  • Secure Firewall 마이그레이션 툴은 한 라인에 있는 소스 및 대상 포트를 포함한 확장 서비스 개체 또는 그룹을 여러 라인에 걸친 서로 다른 개체로 분할합니다. 이러한 액세스 제어 규칙에 대한 참조는 정확히 동일한 의미의 Firewall Management Center 규칙으로 변환됩니다.

  • 소스 구성에 특정 터널링 프로토콜(예: GRE, IP-in-IP 및 IPv6-in-IP)을 참조하지 않는 액세스 제어 규칙이 있지만 이러한 규칙이 의 암호화되지 않은 터널 트래픽과 일치하는 경우 Firewall Threat Defense로 마이그레이션 시 해당 규칙이 에서와 동일한 방식으로 동작하지 않습니다. Firewall Threat Defense에서 사전 필터 정책에 이에 대한 특정 터널 규칙을 생성하는 것이 좋습니다.

  • 지원되는 암호화 맵은 Point-to-Point 토폴로지로 마이그레이션됩니다.

  • Firewall Management Center에 동일한 이름의 AS 경로 개체가 표시되면 다음 오류 메시지와 함께 마이그레이션이 중지됩니다.

    "충돌하는 AS 경로 개체 이름이 Firewall Management Center에서 탐지되었습니다. 계속 진행하려면 Firewall Management Center의 충돌을 해결하십시오."

  • OSPF 및 RIP(Routing Information Protocol)에서 EIGRP로의 재배포는 지원되지 않습니다.

  • PBR의 경우 ASA 구성에는 경로 맵이 있는 반면 Management Center에는 경로 맵을 사용하지 않습니다. Secure Firewall 마이그레이션 툴은 인터페이스에 적용된 경로 맵 내부의 구성을 마이그레이션합니다.

  • 시퀀스 번호가 여러 개인 경로 맵의 경우 첫 번째 시퀀스 번호만 마이그레이션됩니다. 다른 모든 시퀀스 번호는 무시되고 마이그레이션 전 보고서에 표시됩니다.

RA VPN 마이그레이션에 대한 제한 사항

원격 액세스 VPN 마이그레이션은 다음과 같은 제한 사항과 함께 지원됩니다.

  • SSL 설정 마이그레이션은 API 제한으로 인해 지원되지 않습니다.

  • LDAP 서버가 암호화 유형이 "none(없음)"인 상태로 마이그레이션됩니다.

  • 정책이 전체 Firewall Management Center에 적용되므로 DfltGrpPolicy는 마이그레이션되지 않습니다. Firewall Management Center에서 직접 필요한 변경을 수행할 수 있습니다.

  • Radius 서버의 경우 유동 권한 부여가 활성화되면 AAA 서버 연결은 유동 라우팅이 아닌 인터페이스를 통해 이루어져야 합니다. 인터페이스 없이 유동 권한 부여가 활성화된 AAA 서버에서 ASA 구성이 발견되면 Secure Firewall 마이그레이션 툴은 유동 권한 부여를 무시합니다. Management Center에서 인터페이스를 선택한 후 유동 권한 부여를 수동으로 활성화해야 합니다.

  • ASA 구성은 터널 그룹에서 주소 풀을 호출하는 동안 인터페이스를 가질 수 있습니다. 하지만 Management Center에서 동일하게 지원되지는 않습니다. ASA 구성에서 인터페이스가 탐지되면 Secure Secure Firewall 마이그레이션 툴에서 무시되며 주소 풀은 인터페이스 없이 마이그레이션됩니다.

  • ASA 구성에는 터널 그룹 아래에 dhcp-server에 대한 키워드 link-selection/subnet-selection를 가질 수 있습니다. 하지만 Management Center에서 동일하게 지원되지는 않습니다. 이러한 키워드를 사용하여 dhcp 서버가 ASA에서 탐지되면 Secure Firewall 마이그레이션 툴에서 이를 무시하고 dhcp-server가 키워드 없이 푸시됩니다.

  • ASA 구성은 터널 그룹 아래의 인증 서버 그룹, 보조 인증 서버 그룹, 권한 부여 서버 그룹을 호출하는 동안 인터페이스를 가질 수 있습니다. 하지만 Management Center에서 동일하게 지원되지는 않습니다. ASA 구성에서 인터페이스가 탐지되면 Secure Secure Firewall 마이그레이션 툴에서 무시되며 명령은 인터페이스 없이 푸시됩니다.

  • ASA 구성은 리디렉션 ACL을 Radius 서버에 매핑하지 않습니다. 따라서 Secure Firewall 마이그레이션 툴에서 검색할 수 있는 방법이 없습니다. 재전송 ACL이 ASA에서 사용되는 경우, 비워지며 Management Center에서 수동으로 추가하고 매핑해야 합니다.

  • ASA에서는 vpn-addr-assign 로컬 재사용 지연에 대해 0~720 범위의 값을 지원합니다. 그러나 Management Center는 0~480의 값을 지원합니다. ASA 구성에서 480보다 큰 값이 발견되는 경우, Management Center에서 지원되는 최대값인 480으로 설정됩니다.

  • 연결 프로파일에 대한 IPv4 풀 및 DHCP 사용SecondaryUsernameforSession 설정 구성은 API 문제로 인해 지원되지 않습니다.

  • 우회 액세스 제어 sysopt permit-vpn 옵션은 RA VPN 정책에서 활성화되지 않습니다. 그러나 필요한 경우 Management Center에서 활성화할 수 있습니다.

  • 프로파일이 Secure Firewall 마이그레이션 툴에서 Management Center로 업로드된 경우에만 AnyConnect 클라이언트 모듈 및 프로파일 값을 그룹 정책에 따라 업데이트할 수 있습니다.

  • Management Center에서 직접 인증서를 매핑해야 합니다.

  • IKEv2 매개변수는 기본적으로 마이그레이션되지 않습니다. Management Center를 통해 추가해야 합니다.

ASA 마이그레이션 지침

ACL 로그 옵션의 마이그레이션은 Firewall Threat Defense의 모범 사례를 따릅니다. 규칙에 대한 로그 옵션은 소스 ASA 컨피그레이션에 따라 활성화되거나 비활성화됩니다. deny(거부) 작업이 있는 규칙의 경우 Secure Firewall 마이그레이션 툴은 연결 시작 시 기록을 구성합니다. 작업이 permit(허용)인 경우 Secure Firewall 마이그레이션 툴은 연결 종료 시 기록을 구성합니다.

개체 마이그레이션 지침

와 Firewall Threat Defense는 개체에 대한 구성 지침이 서로 다릅니다. 예를 들어 에서는 한 개체의 이름이 소문자, 다른 개체의 이름이 대문자로 되어 있다면 하나 이상의 개체가 동일한 이름을 가질 수 있지만, Firewall Threat Defense에서는 대소문자에 관계없이 각 개체가 고유한 이름을 가져야 합니다. 이러한 차이를 수용하기 위해 Secure Firewall 마이그레이션 툴은 모든 개체를 분석하고 다음 방법 중 하나로 마이그레이션을 처리합니다.

  • 각 개체에 고유한 이름과 구성이 있음 - Secure Firewall 마이그레이션 툴은 변경 없이 개체를 마이그레이션합니다.

  • 개체의 이름에 Firewall Management Center에서 지원하지 않는 특수 문자가 하나 이상 포함되어 있음 - Secure Firewall 마이그레이션 툴은 개체 이름의 특수 문자 이름을 "_" 문자로 변경하여 Management Center 개체 명명 기준을 충족합니다.

  • 개체에 Firewall Management Center의 기존 개체와 동일한 이름과 구성이 있음 - Secure Firewall 마이그레이션 툴은 Secure Firewall Threat Defense 구성에 해당 Secure Firewall Management Center 개체를 재사용하고 개체를 마이그레이션하지 않습니다.

  • 의 기존 개체와 이름이 같지만 구성이 다른 Secure Firewall Management Center 개체가 있음 - Secure Firewall 마이그레이션 툴에서 개체 충돌이 보고되며 마이그레이션을 위해 개체 이름에 고유한 접미사를 추가하여 충돌을 해결할 수 있도록 합니다.

  • 여러 개체가 대소문자가 다르지만 이름이 같음 - Secure Firewall 마이그레이션 툴이 Secure Firewall Threat Defense 개체 명명 기준에 맞게 이름을 바꿉니다.


중요사항

Secure Firewall 마이그레이션 툴은 모든 개체 및 개체 그룹의 이름과 구성을 전부 분석합니다. 그러나 원격 액세스 VPN 구성의 XML 프로파일은 이름만 사용하여 분석됩니다.

참고

Secure Firewall 마이그레이션 툴은 대상 Firewall Management Center가 7.1 이상인 경우 불연속 네트워크 마스크(와일드카드 마스크) 개체 마이그레이션을 지원합니다.

 
ASA example: 
object network wildcard2
subnet 2.0.0.2 255.0.0.255

ASA WebVPN에서 ZTA로의 마이그레이션에 대한 지침 및 제한 사항

ASA WebVPN에서 ZTA로의 마이그레이션을 시도하기 전에 다음 사항을 자세히 읽어보십시오.

  • Management Center 및 Threat Defense 디바이스는 버전 7.4 이상에서 실행 중이어야 합니다.

  • 대상 Threat Defense 디바이스는 Snort3을 탐지 엔진으로 사용 중이어야 합니다.

  • ASA 트러스트 포인트 인증서(IdP 및 사전 인증)는 마이그레이션 전에 대상 Management Center에 수동으로 업로드해야 합니다.

  • 마이그레이션 전에 애플리케이션 SSL 인증서와 개인 키를 대상 Management Center에 업로드해야 합니다.

  • 로컬, RADIUS 및 LDAP 인증 방법은 지원되지 않습니다.

  • Threat Defense 디바이스에는 하나의 ZTA 정책만 할당할 수 있습니다.

Firewall Threat Defense 디바이스 관련 지침 및 제한 사항

ASA 구성을 Firewall Threat Defense로 마이그레이션하려는 경우 다음 지침 및 제한 사항을 고려하십시오.

  • 경로, 인터페이스 등 기존 디바이스별 구성이 Firewall Threat Defense에 있는 경우 푸시 마이그레이션 중에 Secure Firewall 마이그레이션 툴이 디바이스를 자동으로 정리하고 ASA 구성에서 덮어씁니다.


    참고
    디바이스(대상 Firewall Threat Defense) 컨피그레이션 데이터의 원치 않는 손실을 방지하려면 마이그레이션 전에 디바이스를 수동으로 정리하는 것이 좋습니다.

    마이그레이션 중에 Secure Firewall 마이그레이션 툴이 인터페이스 컨피그레이션을 재설정합니다. 정책에서 이러한 인터페이스를 사용하는 경우 Secure Firewall 마이그레이션 툴이 해당 인터페이스를 재설정할 수 없으므로 마이그레이션이 실패합니다.

  • Secure Firewall 마이그레이션 툴은 ASA 구성에 따라 Firewall Threat Defense 디바이스의 네이티브 인스턴스에서 하위 인터페이스를 생성할 수 있습니다. 마이그레이션을 시작하기 전에 대상 Firewall Threat Defense 디바이스에서 인터페이스 및 포트 채널 인터페이스를 수동으로 생성합니다. 예를 들어 ASA 컨피그레이션에 다음 인터페이스 및 포트 채널이 할당된 경우 마이그레이션 전에 대상 Firewall Threat Defense 디바이스에서 해당 인터페이스 및 포트 채널을 생성해야 합니다.

    • 물리적 인터페이스 5개

    • 포트 채널 5개

    • 관리 전용 인터페이스 2개


    참고
    Firewall Threat Defense 디바이스의 컨테이너 인스턴스인 경우 하위 인터페이스는 Secure Firewall 마이그레이션 툴로 생성되지 않으며 인터페이스 매핑만 허용됩니다.

  • Secure Firewall 마이그레이션 툴은 ASA 구성을 기반으로 하는 Firewall Threat Defense 디바이스의 네이티브 인스턴스에서 하위 인터페이스 및 브리지 그룹 가상 인터페이스(투명 모드)를 생성할 수 있습니다. 마이그레이션을 시작하기 전에 대상 Firewall Threat Defense 디바이스에서 인터페이스 및 포트 채널 인터페이스를 수동으로 생성합니다. 예를 들어 ASA 컨피그레이션에 다음 인터페이스 및 포트 채널이 할당된 경우 마이그레이션 전에 대상 Firewall Threat Defense 디바이스에서 해당 인터페이스 및 포트 채널을 생성해야 합니다.

    • 물리적 인터페이스 5개

    • 포트 채널 5개

    • 관리 전용 인터페이스 2개


    참고
    Firewall Threat Defense 디바이스의 컨테이너 인스턴스인 경우 하위 인터페이스는 Secure Firewall 마이그레이션 툴로 생성되지 않으며 인터페이스 매핑만 허용됩니다.

마이그레이션에 지원되는 플랫폼

다음 ASA 및 Firewall Threat Defense 플랫폼은 Secure Firewall 마이그레이션 툴을 사용한 마이그레이션에 지원됩니다. 지원되는 Firewall Threat Defense 플랫폼에 대한 자세한 내용은 Cisco Secure Firewall 호환성 가이드에서 참고하십시오.


참고
Secure Firewall 마이그레이션 툴은 독립형 ASA 디바이스를 독립형 Firewall Threat Defense 디바이스로 마이그레이션하는 것만 지원합니다.

지원되는 소스 ASA 플랫폼

Secure Firewall 마이그레이션 툴을 사용하여 다음과 같은 단일 또는 멀티 컨텍스트 ASA 플랫폼에서 컨피그레이션을 마이그레이션할 수 있습니다.

  • ASA5510

  • ASA 5520

  • ASA 5540

  • ASA 5550

  • ASA 5580

  • ASA 5506

  • ASA 5506W-X

  • ASA 5506H-X

  • ASA 5508-X

  • ASA 5512-X

  • ASA 5515-X

  • ASA 5516-X

  • ASA 5525-X

  • ASA 5545-X

  • ASA 5555-X

  • ASA가 포함된 ASA 5585-X 전용(Secure Firewall 마이그레이션 툴은 ASA FirePOWER 모듈에서 구성을 마이그레이션하지 않음)

  • Firepower 1000 Series

  • Firepower 2100 Series

  • Secure Firewall 3100 Series

  • Firepower 4100 Series

  • Secure Firewall 4200 Series

  • Firepower 9300 Series

    • SM-24

    • SM-36

    • SM-40

    • SM-44

    • SM-48

    • SM-56

  • VMware ESXi, VMware vSphere Web Client 또는 vSphere 독립형 클라이언트를 사용하여 구축된 VMware 기반 ASA 가상

지원되는 대상 Firewall Threat Defense 플랫폼

Secure Firewall 마이그레이션 툴을 사용하여 소스 ASA 구성을 Firewall Threat Defense 플랫폼의 다음과 같은 독립형 또는 컨테이너 인스턴스로 마이그레이션할 수 있습니다.

  • ASA 5506

  • ASA 5506W-X

  • ASA 5506H-X

  • ASA 5508-X

  • ASA 5512-X

  • ASA 5515-X

  • ASA 5516-X

  • ASA 5525-X

  • ASA 5545-X

  • ASA 5555-X

  • Firepower 1000 Series

  • Firepower 2100 Series

  • Secure Firewall 220 Series

  • Secure Firewall 3100 Series

  • Secure Firewall 3200 Series

  • Firepower 4100 Series

  • Secure Firewall 4200 Series

  • Secure Firewall 6100 Series

  • 다음을 포함하는 Firepower 9300 Series:

    • SM-24

    • SM-36

    • SM-40

    • SM-44

    • SM-48

    • SM-56

  • VMware ESXi, VMware vSphere Web Client 또는 vSphere 독립형 클라이언트를 사용하여 구축된 VMware 기반 Threat Defense

  • Microsoft Azure Cloud 또는 AWS 클라우드 기반 Threat Defense Virtual


    참고

    이러한 각 환경에서 요건에 따라 사전 스테이징된 후 Secure Firewall 마이그레이션 툴에는 Microsoft Azure 또는 AWS 클라우드에서 Firewall Management Center에 연결하고 클라우드의 Firewall Management Center로 구성을 마이그레이션하기 위한 네트워크 연결이 필요합니다.


    참고

    Secure Firewall 마이그레이션 툴을 사용하여 마이그레이션을 성공적으로 수행하려면 먼저 Firewall Management Center 또는 Threat Defense Virtual을 사전 스테이징하는 사전 요건을 충족해야 합니다.


    참고

    Secure Firewall 마이그레이션 툴을 사용하려면 소스 구성을 추출하거나(ASA Live Connect) 수동으로 업로드한 구성을 클라우드의 Firewall Management Center에 마이그레이션하기 위해 클라우드에서 호스팅되는 모든 디바이스에 대한 네트워크 연결이 필요합니다. 따라서 Secure Firewall 마이그레이션 툴을 사용하기 전에 사전 요건으로 IP 네트워크 연결을 사전 스테이징해야 합니다.

마이그레이션에 지원되는 대상 Management Center

Secure Firewall 마이그레이션 툴은 Management Center 및 클라우드 제공 Firewall Management Center에서 관리하는 Threat Defense 디바이스로의 마이그레이션을 지원합니다.

Management Center

Management Center는 자체 서버 하드웨어에서 실행되거나 하이퍼바이저에서 가상 디바이스로 실행되는 강력한 웹 기반 다중 디바이스 관리자입니다. 온프레미스 및 가상 Management Center를 모두 마이그레이션을 위한 대상 Management Center로 사용할 수 있습니다.

Management Center는 마이그레이션에 대한 다음 지침을 충족해야 합니다.

  • 마이그레이션에 지원되는 소프트웨어 버전에 설명된 대로 마이그레이션에 지원되는 Management Center 소프트웨어 버전.

  • 다음에 설명된 대로 ASA 인터페이스에서 마이그레이션하려는 모든 기능을 포함하는 Firewall Threat Defense용 스마트 라이선스를 얻고 설치해야 합니다.

클라우드 제공 Firewall Management Center

클라우드 제공 Firewall Management Center는 Threat Defense 디바이스를 위한 관리 플랫폼이며, Security Cloud Control(이전에는 Cisco Defense Orchestrator)를 통해 제공됩니다. 클라우드 제공 Firewall Management Center는 Management Center와 동일한 여러 기능을 제공합니다.

Security Cloud Control에서 클라우드 제공 Firewall Management Center에 액세스할 수 있습니다. Security Cloud Control는 보안 디바이스 커넥터(SDC)를 통해 클라우드 제공 Firewall Management Center에 연결합니다. 클라우드 제공 Firewall Management Center에 대한 자세한 내용은 클라우드 제공 Firewall Management Center를 사용하여 Cisco Secure Firewall Threat Defense 디바이스 관리를 참고하십시오.

Secure Firewall 마이그레이션 툴은 클라우드 제공 Firewall Management Center를 마이그레이션 대상 Management Center로 지원합니다. 마이그레이션 대상 Management Center로 클라우드 제공 Firewall Management Center를 선택하려면 Security Cloud Control 지역을 추가하고 Security Cloud Control 포털에서 API 토큰을 생성해야 합니다.

Security Cloud Control 지역

Security Cloud Control는 3개의 서로 다른 지역에서 사용할 수 있으며, 지역은 URL 확장명으로 식별할 수 있습니다.

표 1. Security Cloud Control 지역 및 URL

지역

Security Cloud Control URL

유럽

https://eu.manage.security.cisco.com/

미국

https://us.manage.security.cisco.com/

APJC

https://apj.manage.security.cisco.com/

호주

https://au.manage.security.cisco.com/

인도

https://in.manage.security.cisco.com/

마이그레이션에 지원되는 소프트웨어 버전

항목은 지원되는 Secure Firewall 마이그레이션 툴, ASA 및 마이그레이션용 Firewall Threat Defense 버전을 나열합니다.

지원되는 Secure Firewall 마이그레이션 툴 버전

software.cisco.com에 게시된 버전은 Cisco 엔지니어링 및 지원 조직에서 공식적으로 지원하는 버전입니다. software.cisco.com에서 최신 버전의 Secure Firewall 마이그레이션 툴을 다운로드하는 것이 좋습니다.

지원되는 ASA 버전

Secure Firewall 마이그레이션 툴은 ASA 소프트웨어 버전 8.4 이상을 실행하는 디바이스에서 마이그레이션을 지원합니다.

소스 ASA 컨피그레이션에 지원되는 Firewall Management Center 버전

ASA의 경우 Secure Firewall 마이그레이션 툴은 6.2.3 또는 6.2.3 이상 버전을 실행하는 Firewall Management Center에서 관리되는 Firewall Threat Defense 디바이스로의 마이그레이션을 지원합니다.


참고
일부 기능은 Firewall Management Center 및 Firewall Threat Defense의 최신 버전에서만 지원됩니다.

참고
마이그레이션 시간을 최적화하기 위해 Firewall Management Center를 software.cisco.com/downloads에서 제공하는 권장 릴리스 버전으로 업그레이드하는 것이 좋습니다.

지원되는 Firewall Threat Defense 버전

Secure Firewall 마이그레이션 툴에서는 Firewall Threat Defense 6.5 이상 버전을 실행하는 디바이스로의 마이그레이션을 권장합니다.

의 운영체제 및 호스팅 환경 요구 사항을 포함한 Cisco Firewall 소프트웨어 및 하드웨어 호환성에 대한 자세한 내용은 Cisco Firewall 호환성 가이드를 참고하십시오.

관련 설명서

이 섹션에는 ASA-Firewall Threat Defense 마이그레이션 관련 문서가 요약되어 있습니다.