Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Configurar

Verificar

Erros conhecidos relacionados à ferramenta de migração Firepower

Informações Relacionadas

Introduction

Este documento descreve um exemplo de migração do Adaptive Security Appliance (ASA) para Firepower Threat Defense (FTD) no FPR4145.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Conhecimento básico do ASA

- Conhecimento do Firepower Management Center (FMC) e do FTD

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- ASA versão 9.12(2)

- FTD versão 6.7.0

- FMC versão 6.7.0

- Firepower Migration Tool versão 2.5.0

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Exporte o arquivo de configuração do ASA no formato .cfg ou .txt. O FMC deve ser implantado com o FTD registrado nele.

Configurar

1. Baixe a Firepower Migration Tool de software.cisco.com, como mostrado na imagem.

2. Revise e verifique os requisitos na seção Diretrizes e Limitações da ferramenta de migração Firepower.

3. Se você estiver planejando migrar um arquivo de configuração grande, configure as configurações de espera para que o sistema não fique em espera durante um envio de migração.

3.1. No Windows, navegue até Opções de energia no Painel de controle. Clique em Alterar configurações do plano próximo ao seu plano de energia atual. Alteração Coloque o computador para dormir para Nunca. Clique em Salvar alterações.

3.2. Para MAC, navegue até System Preferences > Energy Saver. Marque a caixa ao lado para evitar que o computador fique dormindo automaticamente quando a tela estiver desligada e arraste a tecla Turn Off (Desligar exibição) depois do controle deslizante para Nunca.

Note: Esse aviso abre a caixa de diálogo quando os usuários MAC tentam abrir o arquivo baixado. Ignore isso e siga a Etapa 4 A.

4. A. Para MAC - Use o terminal e execute esses comandos.

4. B. No Windows - clique duas vezes na Firepower Migration Tool para iniciá-la em um navegador Google Chrome.

5. Aceite a licença conforme mostrado na imagem.

6. Na página de login da Firepower Migration Tool, clique no link de login com CCO para fazer login em sua conta Cisco.com com suas credenciais de login único.

Note: Se você não tiver uma conta do Cisco.com, crie-a na página de login do Cisco.com. Faça login com as seguintes credenciais padrão:Nome de usuário—senha admin—Admin123.

7. Selecione a configuração de origem. Nesse cenário, é o Cisco ASA (8.4+).

8. Selecione Manual Upload se você não tiver conectividade com o ASA. Caso contrário, você pode recuperar a configuração atual do ASA e inserir o IP de gerenciamento e os detalhes de login. Em nosso cenário, foi feito um upload manual.

Note: Esse erro será exibido se o arquivo não for suportado. Certifique-se de alterar o formato para texto simples. (Erro apesar da extensão .cfg).

9. Após o upload do arquivo, os elementos serão analisados fornecendo um resumo como mostrado na imagem:

10. Insira o IP do FMC e as credenciais de login para as quais a configuração do ASA será migrada. Certifique-se de que o IP do FMC esteja acessível a partir da sua estação de trabalho.

11. Quando o FMC estiver conectado, os FTDs gerenciados abaixo dele serão exibidos.

12. Escolha o FTD para o qual deseja executar a migração da configuração do ASA.

Note: Recomenda-se selecionar o dispositivo FTD, caso contrário, as interfaces, rotas e a configuração de VPN site a site terão que ser feitas manualmente.

13. Selecione os recursos que devem ser migrados conforme mostrado na imagem.

14. Selecione Start Conversion para iniciar a pré-migração que preencherá os elementos referentes à configuração do FTD.

15. Clique em Download Report visto anteriormente para exibir o Pre-Migration Report, como mostrado na imagem.

16. Mapeie as interfaces ASA com as interfaces FTD conforme necessário, conforme mostrado na imagem.

17. Atribua zonas de segurança e grupos de interface às interfaces FTD.

A. Se o FMC tiver zonas de segurança e grupos de interface já criados, você poderá selecioná-los conforme necessário:

B. Se houver necessidade de criar zonas de segurança e um grupo de interface, clique em Adicionar SZ e IG como mostrado na imagem.

C. Caso contrário, você pode optar pela opção Criação automática que criará zonas de segurança e grupos de interface com o nome ASA logical interface_sz e ASA logical interface_ig respectivamente.

18. Revise e valide cada um dos elementos FTD criados. Os alertas são vistos em vermelho como mostrado na imagem.

19. As ações de migração podem ser selecionadas conforme mostrado na imagem se você quiser editar qualquer regra. Os recursos FTD de adição de arquivos e política de IPS podem ser feitos nesta etapa.

Note: Se as Políticas de arquivo já existirem no FMC, elas serão preenchidas como mostrado na imagem. O mesmo se aplica às políticas de IPS junto com as políticas padrão.

A configuração do log pode ser feita para as regras necessárias. A configuração do servidor syslog existente no FMC pode ser selecionada neste estágio.

As ações de regra selecionadas serão destacadas de acordo com cada regra.

20. Da mesma forma, NAT, Objeto de Rede, Objetos de Porta, Interfaces, Rotas, Objetos VPN, Túneis VPN Site a Site e outros elementos de acordo com sua configuração podem ser revisados passo a passo.

Note: O alerta será notificado conforme mostrado na imagem para atualizar a chave pré-compartilhada, pois ela não é copiada no arquivo de configuração do ASA. Selecione Ações > Atualizar chave pré-compartilhada para inserir o valor.

21. Finalmente, clique no ícone Validar na parte inferior direita da tela, como mostrado na imagem.

22. Depois que a validação for bem-sucedida, clique em Push Configuration como mostrado na imagem.

23. Quando a migração for bem-sucedida, a mensagem que será exibida será mostrada na imagem.

Note: Se a migração não for bem-sucedida, clique em Download Report para exibir o relatório pós-migração.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

Validação no CVP.

1. Navegue para Políticas > Controle de Acesso > Política de Controle de Acesso > Atribuição de Política para confirmar se o FTD selecionado está preenchido.

Note: A política de controle de acesso à migração teria um nome com o prefixo FTD-Mig-ACP. Se não tiver sido selecionado um DTF na etapa 2.8, o DTF deve ser selecionado no CVP.

2. Empurre a política para o FTD. Navegue até Implantar > Implantação > Nome do FTD > Implantar como mostrado na imagem.

Erros conhecidos relacionados à ferramenta de migração Firepower

- ID de bug da Cisco CSCwa56374 - ferramenta FMT trava na página de mapeamento de zona com erro com alta utilização de memória

- ID de bug da Cisco CSCvz88730 - Falha de envio de interface para o tipo de interface de gerenciamento de canal de porta FTD

- ID de bug da Cisco CSCvx21986 - Migração do canal de porta para a plataforma de destino - o FTD virtual não é suportado

- ID de bug da Cisco CSCvy63003 - A ferramenta de migração deve desativar o recurso de interface se o FTD já fizer parte do cluster

- ID de bug da Cisco CSCvx08199 - a ACL precisa ser dividida quando a referência do aplicativo for superior a 50

Informações Relacionadas

- Migração do ASA Firewall para a Threat Defense com a ferramenta Firewall Migration

- Suporte Técnico e Documentação - Cisco Systems