Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Configureren

Verifiëren

Bekende bogen gerelateerd aan het FirePOWER-migratietool

Gerelateerde informatie

Inleiding

In dit document wordt een voorbeeld beschreven van adaptieve security applicatie (ASA) naar Firepower Threat Defense (FTD) migratie op FPR4145.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Basiskennis van ASA

- Kennis van FireSIGHT Management Center (FMC) en FTD

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- ASA versie 9.12(2)

- FTD versie 6.7.0

- FMC versie 6.7.0

- Firepower Migration Tool versie 2.5.0

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg er dan voor dat u de mogelijke impact van om het even welke opdracht begrijpt.

Achtergrondinformatie

ASA-configuratiebestand exporteren in .cfg- of .txt-formaat. Het VCC moet worden ingezet met een onder het VCC geregistreerd FTD.

Configureren

1. Download het Firepower Migration Tool van software.cisco.com zoals in de afbeelding.

2. De eisen van de richtsnoeren en beperkingen voor het onderdeel Firepower Migration Tool opnieuw bekijken en controleren.

3. Indien u van plan bent een groot configuratiebestand te migreren, moet u de slaapstand-instellingen configureren zodat het systeem niet in slaap gaat tijdens een migratiestroom.

3.1. Vink voor Windows naar Aan/uit-opties in het bedieningspaneel. Klik op Wijzigen naast uw huidige energieplan. Wijzig de computer in slaap tot nooit. Klik op Wijzigingen opslaan.

3.2. Voor MAC, navigeer naar systeemvoorkeuren > Energiebesparing. Vink het vakje naast elkaar aan om te voorkomen dat de computer automatisch slaapt wanneer het display uit is en sleep het display uit nadat de schuifschakelaar is uitgeschakeld naar Nooit.

Opmerking: Deze waarschuwing verschijnt wanneer MAC-gebruikers proberen het gedownloade bestand te openen. Negeer dit en volg Stap 4 A.

4. A. Voor MAC - gebruik de terminal en voer deze opdrachten uit.

4. B. Voor Windows - dubbelklik op het Firepower Migration Tool om het te starten in een Google Chrome-browser.

5. Neem de licentie aan zoals in de afbeelding.

6. Klik op de inlogpagina van de FirePOWER-migratietool op de inlognaam met de CCO-link om aan uw Cisco.com-account te loggen met uw inloggegevens.

Opmerking: Als u geen Cisco.com-account hebt, kunt u dit maken op de inlogpagina van Cisco.com. Inloggen met de volgende standaardaanmeldingsgegevens:Wachtwoord voor gebruikersnaam en beheerder: Admin123.

7. Selecteer de bronconfiguratie. In dit scenario is het Cisco ASA (8.4+).

8. Selecteer Handmatig uploaden als u geen verbinding met de ASA hebt. Elders, kunt u de actieve configuratie van de ASA herstellen en de beheers-IP en logindetails invoeren. In ons scenario werd een handmatige uploaden uitgevoerd.

Opmerking: Deze fout wordt weergegeven als het bestand niet wordt ondersteund. Zorg ervoor dat u de indeling in onbewerkte tekst wijzigt. (Fout wordt gezien ondanks het hebben van extensie .cfg).

9. Nadat het bestand is geüpload, worden de elementen geparkeerd met een samenvatting zoals in de afbeelding:

10. Voer de FMC IP- en inlogreferenties in waaraan de ASA-configuratie moet worden gemigreerd. Zorg ervoor dat de FMC IP vanaf uw werkstation bereikbaar is.

11. Zodra de FMC is aangesloten, worden de onder deze code beheerde FTD's weergegeven.

12. Kies de FTD waaraan u de migratie van de ASA-configuratie wilt uitvoeren.

Opmerking: Het wordt aanbevolen het FTD-apparaat te selecteren, anders moeten de interfaces, routes en de site-to-site VPN-configuratie handmatig worden uitgevoerd.

13. Selecteer de functies die moeten worden gemigreerd zoals in de afbeelding.

14. Selecteer Start Conversion om de pre-migratie te starten, welke dan de elementen met betrekking tot de FTD configuratie zal bevolken.

15. Klik op Download Report dat eerder is gezien om het Pre-Migration Report te bekijken, zoals in de afbeelding te zien is.

16. Stel ASA interfaces op FTD in zoals vereist in de afbeelding.

17. Toewijzen van beveiligingszones en interfacegroepen aan de FTD-interfaces.

A. Als het FMC al beveiligingszones en interfacegroepen heeft gecreëerd, kunt u deze naar wens selecteren:

B. Als er een noodzaak is om beveiligingsgebieden en een interfacegroep te maken, klikt u op Add SZ & IG zoals in de afbeelding.

C. Else, kunt u voor optie Auto-Maken gaan die veiligheidszones en interfacegroepen met de naam ASA logische interface_sz en ASA logische interface_ig respectievelijk zullen creëren.

18. Evalueer en validering van elk van de nieuwe FTD-elementen. Waarschuwingen worden in rood weergegeven zoals in de afbeelding.

19. De migratieacties kunnen worden geselecteerd zoals in de afbeelding, als u een regel wilt bewerken. FTD-functies van het toevoegen van bestanden en IPS-beleid kunnen in deze stap worden uitgevoerd.

Opmerking: Als het bestandsbeleid al in het FMC bestaat, worden deze ingevuld zoals in de afbeelding. Hetzelfde geldt voor IPS-beleid en het standaardbeleid.

Voor de vereiste regels kan de logboek worden ingesteld. De configuratie van de schrijfserver die op de FMC bestaat, kan in deze fase worden geselecteerd.

De gekozen regelacties zullen voor elke regel dienovereenkomstig worden gemarkeerd.

20. Op dezelfde manier kunnen NAT, Network Object, Port Objects, Interfaces, Routes, VPN-objecten, Site-to-Site VPN-tunnels en andere elementen per configuratie stap voor stap worden bekeken.

Opmerking: Alert zal worden gemeld zoals in het beeld wordt getoond om de vooraf gedeelde sleutel bij te werken aangezien het niet in het ASA configuratiebestand gekopieerd wordt. Selecteer Handelingen > Vooraf gedeelde sleutel bijwerken om de waarde in te voeren.

21. Klik tot slot op het pictogram voor validatie rechtsonder op het scherm zoals in de afbeelding wordt getoond.

2. Zodra de validatie geslaagd is, klikt u op Push Configuration zoals in de afbeelding.

23. Zodra de migratie is voltooid, wordt het bericht dat wordt weergegeven in de afbeelding weergegeven.

Opmerking: Als de migratie niet succesvol is, klik dan op Downloadrapport om het Post-migratierapport te bekijken.

Verifiëren

Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.

Validering op het VCC.

1. Navigeer naar beleid > Toegangsbeheer > Toegangsbeheer > Beleidstoewijzing om te bevestigen dat de geselecteerde FTD ingevuld is.

Opmerking: Het beleid inzake toegangscontrole voor migratie zou een naam hebben met het voorvoegsel FTD-Mig-ACP. Als in stap 2.8 geen FTD is geselecteerd, moet de FTD op het VCC worden geselecteerd.

2. Het beleid op de FTD duwen. Navigeren in om > Plaatsing > Naam FTD > Deploy zoals in het beeld getoond.

Bekende bogen gerelateerd aan het FirePOWER-migratietool

- Cisco bug-ID CSCwa56374 - FMT-gereedschap hangt op pagina met overzicht van zone-mapping met een fout bij gebruik van een hoog geheugen

- Cisco bug-ID CSCvz88730 - interfacestoring voor FTD Port-Channel Management-interfacetype

- Cisco bug-ID CSCvx21986 - poortkanaals migratie naar Target-platform - Virtual FTD wordt niet ondersteund

- Cisco bug ID CSCvy63003 - migratietool moet de interfacemodule uitschakelen als FTD al deel uitmaakt van het cluster

- Cisco bug-ID CSCvx08199 - ACL’s moeten worden gesplitst wanneer de toepassingsreferentie meer dan 50 is

Gerelateerde informatie

- ASA firewall-firewall naar Threat-verdediging verplaatsen met de firewallmigratietool

- Technische ondersteuning en documentatie – Cisco Systems