Migreren van on-prem FMC naar cloud (cdFMC) met Security Cloud Control

• uitgifte
• milieu
• resolutie
• Oorzaak
• Gerelateerde inhoud

---

uitgifte

Een gebruiker heeft hulp nodig bij het migreren van zijn productie Firewall Management Center (FMCv300) virtuele toestel naar cloud-geleverde FMC (cdFMC) in de Security Cloud Control (SCC) tenant. De specifieke punten van zorg zijn onder meer:

• Begrijp welke delen van het migratieproces downtime kunnen veroorzaken en hoe de gevolgen voor de productie tot een minimum kunnen worden beperkt.

• Krijg stapsgewijze begeleiding voor de migratieworkflow.

• Bepaal wat u met de FMCv300 moet doen nadat de migratie is voltooid.

• Een gefaseerde migratieaanpak plannen voor meerdere Firewall Threat Defense (FTD)-apparaten in configuraties met hoge beschikbaarheid (HA).

• Verduidelijk of de configuratie van de lokale FMC handmatig in cdFMC moet worden geïmporteerd voordat de migratiewizard wordt geactiveerd.

milieu

• Bron: FMC: FMCv300 virtueel toestel, versie 7.6.5. Ook andere hardware (HW) en software (SW) platformen kunnen worden ingezet.

• Doel: cdFMC-tenant provisioned.

• Beheerde apparaten zijn FTD's van verschillende HW- en SW-versies, bijvoorbeeld:

  • 2x Secure Firewall 3130, FTD 7.6.4, geconfigureerd in HA-paar.

  • 2x Firepower 2130, FTD 7.4.4, geconfigureerd in HA-paar.

  • 1x FTDv in Azure, 7.6.4, standalone configuratie.

resolutie

Voorwaarden voor migratie en versievalidatie

De omgevingsversies voldoen aan de voorwaarden voor migratie naar cdFMC:

• FMC 7.6.5 voldoet aan de gedocumenteerde minimumeis voor de migratieworkflow.

• FTD-versies 7.6.4 en 7.4.4 voldoen aan het gedocumenteerde minimum voor migratie.

• cdFMC ondersteunt de FTD release treinen in de omgeving.

Validatiestappen vóór migratie

Valideer deze vereisten voordat u de migratie start:

• Geen implementaties in behandeling voor FMCv300.

• Beide HA-paren zijn gezond en gesynchroniseerd.

• Back-up van FMCv300 voltooid.

• Er is voldoende FMC-schijfruimte beschikbaar (ten minste 10 % gratis).

• DNS-resolutie werkt vanuit het FTD-beheerpad.

• Uitgaande connectiviteit toegestaan van FTD-beheerinterfaces naar cdFMC via vereiste poorten voor cloudbeheer (TCP 443 en TCP 8305).

• FMCv300 heeft uitgaande HTTPS-toegang tot SCC.

Configuratie-importproces

De on-premises FMCv300-configuratie hoeft niet handmatig in cdFMC te worden geïmporteerd voordat de migratiewizard wordt uitgevoerd. De werkstroom "FTD migreren naar cdFMC" verwerkt configuratie-import als onderdeel van de migratietaak:

1. SCC maakt verbinding met de on-prem FMCv300.

2. Het exporteert de relevante configuratie vanuit het lokale VCC.

3. Het importeert gedeelde beleidsregels/objecten in cdFMC.

4. Het importeert apparaatspecifieke configuraties, zoals interfaces en routering.

5. Het registreert de geselecteerde FTD-apparaten op cdFMC.

6. De evaluatieperiode van 14 dagen begint nadat de migratie is voltooid.

Als u vóór de migratie handmatig beleid of objecten in cdFMC maakt met dezelfde namen als items op de FMCv300, kan de migratiewerkstroom het bestaande cdFMC-item gebruiken in plaats van de on-prem-versie te importeren, wat onverwachte resultaten kan veroorzaken.

Aanbevolen migratiesequentie

Fase 1: Installatie vóór migratie

1. Implementeer cdFMC in uw SCC-tenant.

2. Aan boord van de huidige FMCv300 naar SCC.

3. Bevestig Smart Licensing voor cdFMC.

4. Start de migratiewerkstroom van Firewall > Beheer > Migraties > FTD migreren naar cdFMC:

5. Gebruik de optie om te pauzeren nadat het gedeelde beleid is geïmporteerd voor controle:

Fase 2: Uitvoering migratie

Tijdens het onderhoudsvenster migreert u apparaten met een gefaseerde aanpak:

1. Begin met de stand-alone FTD (laagste impact).

2. Migreer het eerste HA-paar.

3. De gezondheid en functionaliteit van het apparaat valideren.

4. Migreer het tweede HA-paar.

Fase 3: Validatie na migratie

Na elke migratie van een apparaat of HA-paar:

1. De status van het apparaat in cdFMC bevestigen.

2. Bevestig waar van toepassing de HA-status.

3. Implementatievoorbeeld/waarschuwingen bekijken.

4. Implementeren vanaf cdFMC.

5. Valideren van de zichtbaarheid van verkeer en gebeurtenissen.

Driefasig migratieplan met bevriezing van configuratie

De aanbevolen aanpak omvat het uitvoeren van FTD-migraties in drie fasen, elk op afzonderlijke data, met een minimum van drie dagen post-cutover monitoring per fase. Deze aanpak vermindert het risico en biedt tijd om te valideren:

• Beleidsimplementatie vanaf cdFMC.

• Gezondheidsstatus van medisch hulpmiddel.

• HA status voor beide HA paren.

• Zichtbaarheid van event/analytics in de cloud.

• Eventuele operationele problemen voordat u doorgaat naar de volgende fase.

Implementatie configuratie bevriezen

Implementeer met deze aanpak een bevriezing van de configuratie tijdens de migratie-/evaluatieperiode:

• Beste optie: bevries alle FTD-gerelateerde configuratiewijzigingen in FMCv300 en cdFMC totdat elke fase is gevalideerd en gecommitteerd.

• Minimale optie: Bevries de apparaten die worden gemigreerd plus alle gedeelde beleidsregels/objecten die worden gebruikt door zowel gemigreerde als niet-gemigreerde apparaten.

• Vermijd het bewerken van dezelfde gedeelde beleidsregels/objecten in zowel FMCv300 als cdFMC tijdens de gefaseerde migratie.

• Vermijd grote veranderingen tijdens de evaluatieperiode.

noodveranderingsproces

Voor noodveranderingen tijdens de migratie:

• Pas de wijziging alleen toe op het huidige gezaghebbende beheerprogramma voor dat apparaat:

  • Apparaten nog niet gemigreerd: FMCv300.

  • Apparaten al gemigreerd: cdFMC.

• Documenteer de wijziging, het betrokken beleid/object, de tijdstempel en het bereik van het apparaat.

• Breng de wijziging na afloop van de fase met elkaar in overeenstemming, vooral als deze van invloed is op gedeelde objecten of gedeelde beleidsregels.

Beheer evaluatieperiode

Belangrijke overwegingen voor het evaluatievenster van 14 dagen:

• Volg het evaluatievenster van 14 dagen voor elke migratiefase/taak.

• Laat geen enkele fase onbedoeld automatisch vastleggen.

• Als de driedaagse monitoring succesvol is, moet u die fase handmatig uitvoeren in plaats van te wachten op de volledige 14 dagen.

FMCv300-uitbedrijfnameproces

Schakel FMCv300 niet onmiddellijk uit of verwijder deze niet onmiddellijk na de migratie van het apparaat. Houd FMCv300 beschikbaar tot:

• Alle FTD-apparaten worden met succes gemigreerd.

• cdFMC-implementaties zijn succesvol.

• Cloud analytics/events worden bevestigd.

• De migratie wordt gepleegd.

• Aan alle vereisten voor het bewaren van logbestanden/gebeurtenissen wordt voldaan.

• Een definitieve FMCv300-back-up blijft behouden volgens het organisatiebeleid.

Nadat aan deze voorwaarden is voldaan, kan FMCv300 worden verwijderd uit actief gebruik en buiten bedrijf worden gesteld volgens standaard virtuele machine-uitschakelingsprocessen.

Oorzaak

Dit is een geplande migratie van lokale FMC naar cdFMC. De migratie wordt gedreven door de noodzaak om gebruik te maken van cloudgebaseerde beheermogelijkheden en het bestaande virtuele FMCv300-apparaat uit bedrijf te nemen.

Gerelateerde inhoud

• FTD migreren naar cdFMC - Cisco-documentatie
• Cisco Technical Support en downloads

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
1.0	14-Sep-2026	Eerste vrijgave