通過REST API從ASA遷移到FDM的DAP和HostScan

簡介

本檔案介紹將動態存取原則(DAP)和HostScan組態從思科調適型安全裝置(ASA)遷移到由Firepower裝置管理員(FDM)本地管理的Cisco Firepower威脅防禦(FTD)的過程。  

必要條件

需求

思科建議您瞭解以下主題：

• 有關FDM上的RA VPN配置的基本知識。
• 在ASA上使用DAP和Hostscan。
• REST API和FDM Rest API資源管理器基礎知識。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

• 執行6.7.0版的Cisco FTD
• Cisco AnyConnect安全行動化使用者端版本4.9.00086
• Postman或任何其他API開發工具 

注意：本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何組態變更的潛在影響。

即使FTD具有遠端存取VPN(RAVPN)組態支援，它仍缺乏對DAP的支援。自6.7.0版起，FTD上新增對DAP的API支援。它旨在支援從ASA遷移到FTD的基本使用案例。在ASA上配置了DAP並正在遷移到FTD的使用者現在具有遷移其DAP配置及其RA VPN配置的路徑。

若要成功將DAP配置從ASA遷移到FTD，請確保以下條件：

• 配置了DAP/Hostscan的ASA。
• TFTP/FTP伺服器從ASA訪問，或ASDM訪問ASA。
• 運行版本6.7.0及更高版本的Cisco FTD，由Firepower裝置管理器(FDM)管理。
• 已配置RA VPN並正在處理FTD。

授權 

• FTD已註冊到已啟用匯出控制功能的智慧許可門戶（以便啟用RA VPN配置頁籤）。
• 任何一個AnyConnect許可證已啟用（APEX、Plus或僅VPN）。 

若要檢查授權：導覽至Devices > Smart Licenses

功能限制

• 僅通過FDM/FTD REST API介面支援這些功能。
• DAP名稱不能包含帶有REST API的空格字元。

組態

步驟1.  將dap.xml從ASA複製到本地PC/TFTP伺服器。實現相同目標的方式有兩種：

ASDM:

導覽至Tools > File Management >File Transfer >Between Local PC and Flash。

CLI:

ASA# copy flash: tftp: 
Source filename []? dap.xml

Address or name of remote host []? 10.197.161.160

Destination filename [dap.xml]? 

440 bytes copied in 0.40 secs

步驟2. 將hostscan配置檔案(data.xml)和hostscan映像從ASA複製到本地裝置。 

ASDM:

導航到Tools > File Management >File Transfer >Between Local PC and Flash。

CLI:

ASA# copy flash: tftp: 
Source filename []? data.xml

Address or name of remote host []? 10.197.161.160

Destination filename [data.xml]? 

500 bytes copied in 0.40 secs

ASA# copy flash: tftp: 

Source filename []? hostscan_4.9.03047-k9.pkg

Address or name of remote host []? 10.197.161.160 

Destination filename [hostscan_4.9.03047-k9.pkg]? 
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
56202408 bytes copied in 34.830 secs (1653012 bytes/sec)
ASA#

步驟3. 獲取dap.xml和data.xml的base64編碼值。

在Mac上：base64 -i <file>

在Windows powershell上：certutil -encode dap.xml tmp.b64 ;findstr /v /c:- tmp.b64 > dap.b64

對data.xml執行相同的過程。

步驟4.在瀏覽器視窗中啟動FTD的API瀏覽器。

導覽至https://<FTD Management IP>/api-explorer

此清單包含FTD上可用的全部API清單。它基於FDM支援的多個GET/POST/PUT/DELETE請求的主要功能進行劃分。

使用的是DAPXml和HostScanPackageFile。

步驟5. 為DAP新增Postman集合。

為集合提供名稱。按一下「Create」，如下圖所示。

步驟6. 新增新請求 身份驗證 建立到FTD的登入POST要求，以取得權杖來授權任何POST/GET/PUT要求。按一下Save。

POST請求正文必須包含以下內容：

類型	raw - JSON(application/json)
grant_type	密碼
使用者名稱	用於登入FTD的管理員使用者名稱
密碼	與管理員使用者帳戶關聯的密碼

POST請求：https://<FTD Management IP>/api/fdm/latest/fdm/token

回應正文包含存取權杖，用於向FTD/從FTD傳送任何PUT/GET/POST請求。

步驟7.  建立DAP配置請求以新增DAP配置。按一下「Save to DAP」，如下圖所示。

Authorization頁籤必須包含所有後續POST請求的以下內容：

POST請求:https://<FTD Management IP>/api/fdm/latest/object/dapxml

請求正文必須包含在步驟3中轉換的dap.xml和data.xml的base64編碼值。需要手動新增授權屬性，並應具有DAP記錄名稱、操作、網路ACL和優先順序。

響應正文顯示已準備好推送到裝置的DAP配置。

步驟8.建立請求以上傳hostscan映像。按一下「Save to DAP」，如下圖所示。

在filetoUpload部分上傳hostscan檔案。

POST請求：https://<FTD Management IP>/api/fdm/latest/action/uploaddiskfile

請求正文必須包含以格式資料格式在正文中新增的hostscan檔案。可以從HostScan Download下載HostScan檔案 或者，也可以使用步驟2中從ASA複製的hostscan映像。

金鑰型別應為File for filetoUpload。

響應主體提供用於建立hostscan配置的id/檔名。

步驟9.創建對hostscan程式包配置的請求。按一下Save。

POST請求： https://<FDM IP>/api/fdm/latest/object/hostscanpackagefiles

請求正文包含在上一步中獲取的id/檔名，即diskFileName。  將hostscan程式包名稱新增為Name，如running-config中所示。

響應的正文顯示Hostscan檔案已準備好推送到裝置。

步驟12.  將配置部署到裝置。可以通過FDM部署配置。掛起的更改顯示要推送的DAP和Hostscan授權屬性。

成功部署後配置推送到FTD CLI:

!--- RA VPN Configuration ---!

webvpn
 enable outside
 hostscan image disk0:/hostscan_4.9.03047-k9.pkg
 hostscan enable
 anyconnect image disk0:/anyconnpkgs/anyconnect-win-4.9.00086-webdeploy-k9.pkg 2
 anyconnect profiles defaultClientProfile disk0:/anyconncprofs/defaultClientProfile.xml
 anyconnect enable
 tunnel-group-list enable

!--- DAP Authorization Configuration ---!

dynamic-access-policy-record Test
 user-message "User Selected is Test"
 priority 1
dynamic-access-policy-record DfltAccessPolicy
dynamic-access-policy-record Cisco
 user-message "Welcome locally authenticated User"
 priority 2

驗證

從FTD GUI進行部署驗證

導航到Deployment Tab（在右上角）> Deployment History。

從FTD CLI進行部署驗證

show run webvpn
show run all dynamic-access-policy-record
show flash: | inc dap.xml
show flash: | inc data.xml

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

Dap調試

附註：在FTD上，您可以設定各種偵錯層級；預設情況下，使用級別1。如果更改調試級別，調試的詳細程度可能會增加。請謹慎執行此操作，尤其是在生產環境中。

debug dap trace 127
debug dap errors 127