Einleitung
In diesem Dokument wird das Verfahren zur Migration der Cisco Adaptive Security Appliance (ASA) auf Cisco FirePOWER beschrieben.
Beitrag von Ricardo Vera, Cisco TAC Engineer.
Voraussetzungen
Anforderungen
Cisco empfiehlt, dass Sie über Kenntnisse der Cisco Firewalls Threat Defense (FTD) und Adaptive Security Appliance (ASA) verfügen.
Verwendete Komponenten
Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:
- Windows PC mit FirePOWER Migration Tool (FMT) v3.0.1
- Adaptive Security Appliance (ASA) v9.16.1
- Secure Firewall Management Center (FMCv) v7.0.1
- Secure Firewall Threat Defense Virtual (FTDv) v7.0.1
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle verstehen.
Hintergrundinformationen
Spezifische Anforderungen für dieses Dokument:
- Cisco Adaptive Security Appliance (ASA) Version 8.4 oder höher
- Secure Firewall Management Center (FMCv) Version 6.2.3 oder höher
Das Firewall Migration-Tool unterstützt diese Liste von Geräten:
- Cisco ASA (8,4+)
- Cisco ASA (9.2.2+) mit FPS
- Prüfpunkt (r75-r77)
- Prüfpunkt (r80)
- Fortinet (5,0+)
- Palo Alto Networks (6.1+)
Bevor Sie mit der Migration fortfahren, beachten Sie bitte die Richtlinien und Einschränkungen für das Firewall Migration Tool.
Konfigurieren
Netzwerkdiagramm
![Topology - Migration Tool](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-00.png)
Konfigurationsschritte
- Laden Sie das neueste FirePOWER Migration Tool von Cisco Software Central herunter:
![Firepower Migration Tool software download](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-01.png)
- Klicken Sie auf die Datei, die Sie zuvor auf Ihren Computer heruntergeladen haben.
![Select Firepower application](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-02.png)
Anmerkung: Das Programm wird automatisch geöffnet, und eine Konsole generiert automatisch Inhalte für das Verzeichnis, in dem Sie die Datei ausgeführt haben.
![Console directory](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-03.png)
![End User License Agreement](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-04.png)
- Nachdem Sie das Programm ausgeführt haben, wird ein Webbrowser geöffnet, in dem die Endbenutzer-Lizenzvereinbarung angezeigt wird.
- Aktivieren Sie das Kontrollkästchen, um die Geschäftsbedingungen zu akzeptieren.
- Klicken Sie auf Fortfahren.
![Firepower Migration Tool user log in](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-05.png)
- Melden Sie sich beim Migrations-Tool an.
- Sie können sich entweder mit dem CCO-Konto oder mit dem lokalen Standardkonto anmelden.
- Die lokalen Standardkontoanmeldeinformationen sind:
admin/Admin123
![Secure Firewall Vendor selection](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-06.png)
- Wählen Sie die zu migrierende Quell-Firewall aus.
- In diesem Beispiel wird die Cisco ASA (8.4+) als Quelle verwendet.
![Extract information](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-07.png)
- Wählen Sie die Extraktionsmethode aus, mit der die Konfiguration abgerufen werden soll.
- Beim manuellen Hochladen müssen Sie die
Running Config
Datei der ASA im Format ".cfg" oder ".txt".
- Stellen Sie eine Verbindung zur ASA her, um Konfigurationen direkt aus der Firewall zu extrahieren.
![Configuration summary](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-08.png)
Anmerkung: In diesem Beispiel stellen Sie eine direkte Verbindung zur ASA her.
- Eine Zusammenfassung der auf der Firewall gefundenen Konfiguration wird als Dashboard angezeigt. Klicken Sie auf "Weiter".
![FMCIP Address](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-09.png)
- Wählen Sie das Ziel-FMC aus, das für die Migration verwendet werden soll.
- Geben Sie die IP des FMC an.
- Es öffnet ein Popup-Fenster, in dem Sie zur Eingabe der Anmeldeinformationen des FMC aufgefordert werden.
![Select Target and configuration](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-10.png)
- (Optional) Wählen Sie die FTD-Zielnummer aus, die Sie verwenden möchten.
- Wenn Sie zu einem FTD migrieren möchten, wählen Sie das FTD aus, das Sie verwenden möchten.
- Wenn Sie kein FTD verwenden möchten, können Sie das Kontrollkästchen aktivieren.
Proceed without FTD
![Start Conversation](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-11.png)
- Wählen Sie die Konfigurationen aus, die migriert werden sollen. Die Optionen werden in den Screenshots angezeigt.
![Download Report](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-12.png)
- Starten Sie die Umwandlung der Konfigurationen von ASA in FTD.
![Pre-Migration Report](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-13.png)
- Nach Abschluss der Konvertierung wird ein Dashboard mit der Zusammenfassung der zu migrierenden Objekte angezeigt (auf Kompatibilität beschränkt).
- Optional können Sie auf
Download Report
um eine Zusammenfassung der zu migrierenden Konfigurationen zu erhalten.
![Map ASA Interfaces](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-14.png)
Beispiel für einen Bericht vor der Migration, wie in der Abbildung dargestellt:
![Map Security Zones and Interface Groups](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-15.png)
- Ordnen Sie die ASA-Schnittstellen den FTD-Schnittstellen des Migrations-Tools zu.
![Security Zones and Interface Groups auto-created16](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-16.png)
- Erstellen Sie die Sicherheitszonen und Schnittstellengruppen für die Schnittstellen auf dem FTD.
![Validate configuration](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-17.png)
Sicherheitszonen (SZ) und Schnittstellengruppen (IG) werden automatisch vom Tool erstellt, wie im Bild gezeigt:
![Push Configuration](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-18.png)
- Prüfen und validieren Sie die zu migrierenden Konfigurationen im Migrations-Tool.
- Wenn Sie die Überprüfung und Optimierung der Konfigurationen bereits abgeschlossen haben, klicken Sie auf
Validate
.
![Push in progress](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-19.png)
- Wenn der Validierungsstatus erfolgreich ist, übertragen Sie die Konfigurationen auf die Zielgeräte.
![Validation status](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-20.png)
Beispiel einer Konfiguration, die über das Migrations-Tool durchgeführt wird, wie in der Abbildung dargestellt:
![Deploy](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-21.png)
Beispiel einer erfolgreichen Migration, wie in der Abbildung dargestellt:
![Complete Migration](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-22.png)
- (Optional) Wenn Sie sich für die Migration der Konfiguration zu einem FTD entschieden haben, ist eine Bereitstellung erforderlich, um die verfügbare Konfiguration vom FMC auf die Firewall zu übertragen, damit die Konfiguration bereitgestellt werden kann:
- Melden Sie sich an der FMC-GUI an.
- Navigieren Sie zum
Deploy
aus.
- Wählen Sie die Bereitstellung aus, um die Konfiguration per Push an die Firewall weiterzuleiten.
- Klicken Sie auf
Deploy
.
![Deploy tab selected](/c/dam/en/us/support/docs/security/adaptive-security-appliance-asa-software/218120-configure-the-secure-firewall-migration-23.png)
Fehlerbehebung
In diesem Abschnitt finden Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration.
Überprüfen Sie die Protokolle im Verzeichnis, in dem sich die Firepower Migration Tool-Datei befindet. Beispiel:
Firepower_Migration_Tool_v3.0.1-7373.exe/logs/log_2022-08-18-21-24-46.log