Solucionar problemas de erro de falha na implantação do FMC

Problema

Este documento descreve como solucionar problemas de erro de falha de implantação do Secure Firewall Management Center (FMC) "Esta regra requer uma licença de Ameaça, mas pelo menos um dispositivo não tem uma licença de Ameaça".

• O Centro de Gerenciamento de Firewall Seguro (FMC - Secure Firewall Management Center) não consegue implantar alterações de configuração em um firewall de Defesa contra Ameaças de Firewall Seguro (FTD - Secure Firewall Threat Defense).

• Durante as tentativas de implantação, o sistema gera uma mensagem de erro de validação informando: "[Lista Global de Não Bloquear para DNS] Esta regra requer uma licença de Ameaça, mas pelo menos um dispositivo não tem uma licença de Ameaça."

• O problema impede que qualquer alteração de configuração seja implantada no dispositivo de destino.

FMC_Deploy_Error.ping

Ambiente

• Cisco Secure Firewall Management Center (FMC)

• Cisco Secure Firewall Threat Defense (FTD) sem a licença Threat (IPS)

• Políticas de Inteligência de Segurança DNS configuradas globalmente

Resolução

Etapa 1. No FMC, navegue para Objects > Security Intelligence > DNS Lists and Feeds:

FMC_Navigate_DNS_Lists_and_Feeds.png

Etapa 2. Editar o objeto Global-Do-Not-Block-List-for-DNS:

FMC_Edit_DNS_Lists_and_Feeds.png

Etapa 3. Remova o(s) objeto(s) de URL da lista e clique em Salvar:

Remove_URLs_from_List.png

Etapa 4. Implantar a política.

Como alternativa, atribua uma licença de Threat (IPS) ao FTD.

Após essas modificações de configuração, a implantação no firewall FTD foi concluída com êxito sem encontrar o erro de validação de licença anterior.

Causa

A falha de implantação foi causada por uma incompatibilidade entre os requisitos da política de Inteligência de Segurança DNS e o nível de licença disponível no dispositivo de destino. O firewall FTD foi configurado sem a licença Threat, mas a política global de inteligência de segurança DNS continha regras que exigiam especificamente recursos de licença Threat.

O recurso de inteligência de segurança DNS com listas globais de bloqueio/sem bloqueio requer uma licença de ameaça para funcionar corretamente. Quando o FMC tentou implantar alterações de configuração que incluíam essas regras de inteligência de segurança DNS em um dispositivo sem a licença Threat, o sistema impediu a implantação com o erro de validação.

Conteúdo relacionado

• Requisitos e pré-requisitos para inteligência de segurança

• Suporte técnico e downloads da Cisco