内容

はじめに

前提条件

要件

使用するコンポーネント

タスク 1.条件の確認

タスク 2.FPR9300でのFTD HAの設定

条件

タスク 3.FTD HAとライセンスの確認

タスク 4.フェールオーバーロールの切り替え

タスク 5.HAペアの解除

タスク 6.HAペアの無効化

タスク 7.HAの中断

よく寄せられる質問（FAQ）

関連情報

はじめに

このドキュメントでは、FPR9300 で Firepower Threat Defense（FTD）高アベイラビリティ（HA）（アクティブ/スタンバイフェールオーバー）を設定および検証する方法について説明します。

前提条件

要件

このドキュメントに関する固有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Cisco Firepower 9300 セキュリティアプライアンス X 2：FXOS SW 2.0（1.23）

- FTDバージョン10.10.1.1（ビルド1023）

- Firepower Management Center（FMC）：SW 10.10.1.1（ビルド 1023）

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

注:FTDを使用するFPR9300アプライアンスでは、シャーシ間HAのみを設定できます。HA 構成の 2 つのユニットは、ここに記載されている条件を満たしている必要があります。

タスク 1.条件の確認

タスク要件：

両方のFTDアプライアンスが注意事項の要件を満たし、HAユニットとして設定できることを確認します。

ソリューション：

ステップ 1：FPR9300管理IPに接続し、モジュールハードウェアを確認します。

FPR9300-1 のハードウェアを確認します。

KSEC-FPR9K-1-A# show server inventory

Server Equipped PID Equipped VID Equipped Serial (SN) Slot Status      Ackd Memory (MB) Ackd Cores

------- ------------ ------------ -------------------- ---------------- ---------------- ----------

1/1     FPR9K-SM-36  V01          FLM19216KK6          Equipped                   262144         36

1/2     FPR9K-SM-36  V01          FLM19206H71          Equipped                   262144         36

1/3     FPR9K-SM-36  V01          FLM19206H7T          Equipped                   262144         36

KSEC-FPR9K-1-A#

FPR9300-2 のハードウェアを確認します。

KSEC-FPR9K-2-A# show server inventory

Server  Equipped PID Equipped VID Equipped Serial (SN) Slot Status      Ackd Memory (MB) Ackd Cores

------- ------------ ------------ -------------------- ---------------- ---------------- ----------

1/1     FPR9K-SM-36  V01          FLM19206H9T          Equipped                   262144         36

1/2     FPR9K-SM-36  V01          FLM19216KAX          Equipped                   262144         36

1/3     FPR9K-SM-36  V01          FLM19267A63          Equipped                   262144         36

KSEC-FPR9K-2-A#

ステップ 2：FPR9300-1 Chassis Managerにログインし、Logical Devicesに移動します。

図に示すように、インターフェイスのソフトウェアバージョン、番号、およびタイプを確認します。

FPR9300-1

FPR9300-2

タスク 2.FPR9300でのFTD HAの設定

タスク要件：

次の図に示すように、アクティブ/スタンバイフェールオーバー（HA）を設定します。

ソリューション：

次の図に示すように、両方の FTD デバイスは、すでに FMC に登録されています。

ステップ 1：FTDフェールオーバーを設定するには、図に示すように、Devices > Device Managementに移動し、Add High Availabilityを選択します。

ステップ 2：図に示すように、プライマリピアとセカンダリピアを入力し、Continueを選択します。

警告：正しいユニットをプライマリユニットとして選択してください。選択したプライマリユニットのすべての設定が、選択したセカンダリFTDユニットに複製されます。複製の結果として、セカンダリユニットの現在の設定を置き換えることができます。

条件

2 つの FTD デバイスの間に HA を作成するには、次の条件を満たす必要があります。

- 同じモデルである。

- 同じバージョン：これはFXOSとFTDに適用されます。メジャー（1番目の番号）、マイナー（2番目の番号）、メンテナンス（3番目の番号）は同じでなければなりません。

- インターフェイスの数が同じである。

- インターフェイスのタイプが同じである。

- FMCの同じグループ/ドメインの一部としての両方のデバイス。

- Network Time Protocol（NTP；ネットワークタイムプロトコル）の設定が同一であること。

- 未確定の変更を行わずにFMCに完全に導入されていること。

- 同じファイアウォールモード（ルーテッドまたはトランスペアレント）である。

注:FTDデバイスとFMC GUIの両方で、このチェックボックスをオンにする必要があります。これは、FTDに同じモードがあった場合に、FMCがこれを反映しないためです。

- DHCP/Point-to-Point Protocol over Ethernet(PPPoE)が設定されているインターフェイスはありません。

- 両方のシャーシに異なるホスト名[完全修飾ドメイン名(FQDN)]があります。シャーシのホスト名を確認するには、FTD CLIに移動して次のコマンドを実行します。

firepower# show chassis-management-url

https://KSEC-FPR9K-1.cisco.com:443//

注:6.3以降のFTDでは、コマンドshow chassis detailを使用します。

firepower# show chassis detail

Chassis URL              : https://KSEC-FPR4100-1:443//

Chassis IP               : 192.0.2.1

Chassis Serial Number    : JMX12345678

Security Module          : 1

両方のシャーシの名前が同じである場合は、次のコマンドを使用して、一方のシャーシの名前を変更します。

KSEC-FPR9K-1-A# scope system

KSEC-FPR9K-1-A /system # set name FPR9K-1new

Warning: System name modification changes FC zone name and redeploys them non-disruptively

KSEC-FPR9K-1-A /system* # commit-buffer

FPR9K-1-A /system # exit

FPR9K-1new-A#

シャーシ名を変更したら、FTD を FMC から登録解除し、再度登録します。その後に、HA ペアの作成に進んでください。

ステップ 3：HAを設定し、リンクの設定を行います。

今回は、状態リンクの設定は高可用性リンクと同じです。

Addを選択し、図に示すように、HAペアが展開されるまで数分待ちます。

ステップ 4：データインターフェイス（プライマリおよびスタンバイIPアドレス）の設定

図に示すように、FMCのGUIでHAのEditを選択します。

ステップ 5：図に示すように、インターフェイスを設定します。

Ethernet 1/5 インターフェイス

Ethernet 1/6 インターフェイス

手順 6：High Availabilityに移動し、インターフェイス名Editを選択して、図に示すようにスタンバイIPアドレスを追加します。

手順 7：図に示す内部インターフェイス用。

ステップ 8：Outsideインターフェイスに対しても同じ操作を行います。

ステップ 9：図に示すように、結果を確認します。

ステップ 10：High Availabilityタブから離れずに、図に示すように仮想MACアドレスを設定します。

ステップ 11内部インターフェイスの場合は、図のように表示されます。

ステップ 12Outsideインターフェイスに対しても同じ操作を行います。

ステップ 13図に示すように、結果を確認します。

ステップ 14：変更を設定したら、SaveとDeployを選択します。

タスク 3.FTD HAとライセンスの確認

タスク要件：

FMC GUI と FTD CLI から、FTD HA 設定と有効なライセンスを確認します。

ソリューション：

ステップ 1：Summaryに移動し、図に示すように、HA設定と有効なライセンスを確認します。

ステップ 2：FTDのCLISH CLIから、次のコマンドを実行します。

> show high-availability config

Failover On

Failover unit Primary

Failover LAN Interface: fover_link Ethernet1/4 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 1 of 1041 maximum

MAC Address Move Notification Interval not set

failover replication http

Version: Ours 9.6(1), Mate 9.6(1)

Serial Number: Ours FLM19267A63, Mate FLM19206H7T

Last Failover at: 18:32:38 EEST Jul 21 2016

This host: Primary - Active

Active time: 3505 (sec)

slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(1)) status (Up Sys)

Interface diagnostic (0.0.0.0): Normal (Waiting)

slot 1: snort rev (1.0)  status (up)

slot 2: diskstatus rev (1.0)  status (up)

Other host: Secondary - Standby Ready

Active time: 172 (sec)

slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(1)) status (Up Sys)

Interface diagnostic (0.0.0.0): Normal (Waiting)

slot 1: snort rev (1.0)  status (up)

slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics

Link : fover_link Ethernet1/4 (up)

Stateful Obj  xmit       xerr       rcv        rerr

General 417        0          416        0

sys cmd   416        0          416        0

up time   0          0          0          0

RPC services   0          0          0          0

TCP conn  0          0          0          0

UDP conn  0          0          0          0

ARP tbl   0          0          0          0

Xlate_Timeout   0          0          0          0

IPv6 ND tbl   0          0          0          0

VPN IKEv1 SA  0          0          0          0

VPN IKEv1 P2  0          0          0          0

VPN IKEv2 SA  0          0          0          0

VPN IKEv2 P2  0          0          0          0

VPN CTCP upd  0          0          0          0

VPN SDI upd  0          0          0          0

VPN DHCP upd  0          0          0          0

SIP Session  0          0          0          0

SIP Tx  0          0          0          0

SIP Pinhole  0          0          0          0

Route Session  0          0          0          0

Router ID  0          0          0          0

User-Identity  1          0          0          0

CTS SGTNAME  0          0          0          0

CTS PAC  0          0          0          0

TrustSec-SXP  0          0          0          0

IPv6 Route  0          0          0          0

STS Table  0          0          0          0

Logical Update Queue Information

Cur  Max  Total

Recv Q:  0  10  416

Xmit Q:  0  11  2118

>

ステップ 3：セカンダリデバイスでも同じ操作を行います。

ステップ 4：LINA CLIからshow failover stateコマンドを実行します。

firepower# show failover state

State          Last Failure Reason      Date/Time

This host  -   Primary

Active         None

Other host -   Secondary

Standby Ready  Comm Failure             18:32:56 EEST Jul 21 2016

====Configuration State===

Sync Done

====Communication State===

Mac set

firepower#

ステップ 5：プライマリユニット(LINA CLI)から設定を確認します。

firepower# show running-config failover

failover

failover lan unit primary

failover lan interface fover_link Ethernet1/4

failover replication http

failover mac address Ethernet1/5 aaaa.bbbb.1111 aaaa.bbbb.2222

failover mac address Ethernet1/6 aaaa.bbbb.3333 aaaa.bbbb.4444

failover link fover_link Ethernet1/4

failover interface ip fover_link 10.10.1.1 255.255.255.0 standby 10.10.1.2

firepower#

firepower# show running-config interface

!

interface Ethernet1/2

management-only

nameif diagnostic

security-level 0

no ip address

!

interface Ethernet1/4

description LAN/STATE Failover Interface

!

interface Ethernet1/5

nameif Inside

security-level 0

ip address 192.168.75.10 255.255.255.0 standby 192.168.75.11

!

interface Ethernet1/6

nameif Outside

security-level 0

ip address 192.168.76.10 255.255.255.0 standby 192.168.76.11

firepower#

タスク 4.フェールオーバーロールの切り替え

タスク要件：

FMC から、フェールオーバーの役割をプライマリ/アクティブ、セカンダリ/スタンバイからプライマリ/スタンバイ、セカンダリ/アクティブに切り替えます。

ソリューション：

ステップ 1：図に示すように、アイコンを選択します。

ステップ 2：図に示すように、ポップアップウィンドウでアクションを確認します。

ステップ 3：図に示すように、結果を確認します。

LINA CLI から、プライマリ/アクティブユニットで no failover active コマンドが実行されたことを確認できます。

Jul 22 2016 10:39:26: %ASA-5-111008: User 'enable_15' executed the 'no failover active' command.

Jul 22 2016 10:39:26: %ASA-5-111010: User 'enable_15', running 'N/A' from IP 0.0.0.0, executed 'no failover active'

show failover history コマンドの出力で確認することもできます。

firepower# show failover history

==========================================================================

From State                 To State                   Reason

10:39:26 EEST Jul 22 2016

Active                     Standby Ready              Set by the config command

ステップ 4：確認後、プライマリユニットを再度アクティブにします。

タスク 5.HAペアの解除

タスク要件：

FMC から、フェールオーバーペアを解除します。

ソリューション：

ステップ 1：図に示すように、アイコンを選択します。

ステップ 2：図に示すように、通知を確認します。

ステップ 3：次の図に示すメッセージに注意してください。

ステップ 4：図に示すように、FMC GUIの結果を確認します。

HA 解除の前後にプライマリユニットで show running-config コマンドを実行します。

HA 解除前

HA 解除後

firepower# sh run

：保存済み

:

：シリアル番号：FLM19267A63

：ハードウェア：FPR9K-SM-36、135839 MB RAM、CPU Xeon E5シリーズ2294 MHz、2 CPU（72コア）

:

NGFWバージョン10.10.1.1

!

ホスト名firepower

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Ethernet1/2

管理専用

nameif診断

セキュリティレベル0

IPアドレスがありません

!

interface Ethernet1/4

説明LAN/ステートフェールオーバーインターフェイス

!

interface Ethernet1/5

nameif内部

セキュリティレベル0

ipアドレス192.168.75.10 255.255.255.0スタンバイ192.168.75.11

!

interface Ethernet1/6

nameif外部

セキュリティレベル0

ipアドレス192.168.76.10 255.255.255.0スタンバイ192.168.76.11

!

FTPモードパッシブ

ngips conn-match vlan-id（オプション）

access-list CSM_FW_ACL_ remark rule-id 268447744：アクセスポリシー：FTD9300 – 必須/1

access-list CSM_FW_ACL_ remark rule-id 268447744:L4ルール：Allow_ICMP

access-list CSM_FW_ACL_ advanced permit icmp any rule-id 268447744 event-log both（オプション）

access-list CSM_FW_ACL_ remark rule-id 268441600：アクセスポリシー： FTD9300 – デフォルト/1

access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: DEFAULT ACTION RULE

access-list CSM_FW_ACL_ advanced permit ip any any rule-id268441600

!

tcpマップUM_STATIC_TCP_MAP

tcpオプション範囲6 7許可

tcpオプション範囲9 255（許可）

緊急フラグ許可

!

ポケットベルなし

ロギングの有効化

logging timestamp

ロギングスタンバイ

logging buffer-size100000

logging buffered debugging

logging flash-minimum-free 1024

logging flash-maximum-allocation 3076

MTU診断1500

mtu inside 1500

mtu outside 1500

フェールオーバー

failover lan unit primary

failover lan interface fover_link Ethernet1/4コマンドを発行します。

フェールオーバーレプリケーションHTTP

フェールオーバーmacアドレス：Ethernet1/5 aaaa.bbbb.1111 aaaa.bbbb.2222

フェールオーバーmacアドレス：Ethernet1/6 aaaa.bbbb.3333 aaaa.bbbb.4444

フェールオーバーリンクfover_link Ethernet1/4

フェールオーバーインターフェイスip fover_link 10.10.1.1 255.255.255.0 standby 10.10.1.2

icmp到達不能レート制限1バーストサイズ1

no asdm history enable

arp timeout 14400

no arp permit – 非接続

access-group CSM_FW_ACL_ global

タイムアウトxlate 3:00:00

timeout pat-xlate 0:00:30

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-pro仮メディア0:02:00 uauth 0:05:00 absolute

timeout tcp-proxy-reassembly 0:00:30

timeout floating-conn 0:00:00

aaa proxy-limit無効

no snmp-server location

no snmp-server contact

no snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart

crypto ipsec security-association pmtu-aging infinite

crypto ca trustpoolポリシー

telnet timeout 5

sshのstricthostkeycheck

ssh timeout 5

sshキー交換グループdh-group1-sha1

コンソールタイムアウト0

dynamic-access-policy-record DfltAccessPolicy（ダイナミックアクセスポリシーレコード）

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map（ポリシーマップタイプはinspect dns preset_dns_map）

パラメータ

message-length maximum client auto（オプション）

message-length maximum 512

ポリシーマップタイプinspect ip-options UM_STATIC_IP_OPTIONS_MAP

パラメータ

eoolアクション許可

nopアクション許可

router-alert action allow（ルータアラートアクション許可）

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

インスペクションFTP

h323 h225の検査

inspect h323 ras

inspect rsh

inspect rtsp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

インスペクションICMP

inspect icmpエラー

dcerpcの検査

ip-options UM_STATIC_IP_OPTIONS_MAPの検査

class class-default

接続の詳細設定オプションUM_STATIC_TCP_MAPを設定する

!

service-policy global_policy global

プロンプトhostnameコンテキスト

call-home

プロファイルCiscoTAC-1

アクティブでない

destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService

宛先アドレス電子メール：callhome@cisco.com

宛先トランスポート方式HTTP

subscribe-to-alert-group診断

subscribe-to-alert-group環境

subscribe-to-alert-group inventory periodic monthly（定期的なアラート登録グループのインベントリ）

subscribe-to-alert-group設定を毎月

subscribe-to-alert-groupテレメトリ（毎日）

Cryptochecksum:933c594fc0264082edc0f24bad358031

:最後
firepower#

firepower# sh run

：保存済み

:

：シリアル番号：FLM19267A63

：ハードウェア：FPR9K-SM-36、135839 MB RAM、CPU Xeon E5シリーズ2294 MHz、2 CPU（72コア）

:

NGFWバージョン10.10.1.1

!

ホスト名firepower

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Ethernet1/2

管理専用

nameif診断

セキュリティレベル0

IPアドレスがありません

!

interface Ethernet1/4

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

interface Ethernet1/5

nameif内部

セキュリティレベル0

ipアドレス192.168.75.10 255.255.255.0スタンバイ192.168.75.11

!

interface Ethernet1/6

nameif外部

セキュリティレベル0

ipアドレス192.168.76.10 255.255.255.0スタンバイ192.168.76.11

!

FTPモードパッシブ

ngips conn-match vlan-id（オプション）

access-list CSM_FW_ACL_ remark rule-id 268447744：アクセスポリシー：FTD9300 – 必須/1

access-list CSM_FW_ACL_ remark rule-id 268447744:L4ルール：Allow_ICMP

access-list CSM_FW_ACL_ advanced permit icmp any rule-id 268447744 event-log both（オプション）

access-list CSM_FW_ACL_ remark rule-id 268441600：アクセスポリシー： FTD9300 – デフォルト/1

access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: DEFAULT ACTION RULE

access-list CSM_FW_ACL_ advanced permit ip any any rule-id268441600

!

tcpマップUM_STATIC_TCP_MAP

tcpオプション範囲6 7許可

tcpオプション範囲9 255（許可）

緊急フラグ許可

!

ポケットベルなし

ロギングの有効化

logging timestamp

ロギングスタンバイ

logging buffer-size100000

logging buffered debugging

logging flash-minimum-free 1024

logging flash-maximum-allocation 3076

MTU診断1500

mtu inside 1500

mtu outside 1500

フェールオーバーなし

no monitor-interfaceサービスモジュール

icmp到達不能レート制限1バーストサイズ1

no asdm history enable

arp timeout 14400

no arp permit – 非接続

access-group CSM_FW_ACL_ global

タイムアウトxlate 3:00:00

timeout pat-xlate 0:00:30

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-pro仮メディア0:02:00 uauth 0:05:00 absolute

timeout tcp-proxy-reassembly 0:00:30

timeout floating-conn 0:00:00

aaa proxy-limit無効

no snmp-server location

no snmp-server contact

no snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart

crypto ipsec security-association pmtu-aging infinite

crypto ca trustpoolポリシー

telnet timeout 5

sshのstricthostkeycheck

ssh timeout 5

sshキー交換グループdh-group1-sha1

コンソールタイムアウト0

dynamic-access-policy-record DfltAccessPolicy（ダイナミックアクセスポリシーレコード）

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map（ポリシーマップタイプはinspect dns preset_dns_map）

パラメータ

message-length maximum client auto（オプション）

message-length maximum 512

ポリシーマップタイプinspect ip-options UM_STATIC_IP_OPTIONS_MAP

パラメータ

eoolアクション許可

nopアクション許可

router-alert action allow（ルータアラートアクション許可）

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

インスペクションFTP

h323 h225の検査

inspect h323 ras

inspect rsh

inspect rtsp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

インスペクションICMP

inspect icmpエラー

dcerpcの検査

ip-options UM_STATIC_IP_OPTIONS_MAPの検査

class class-default

接続の詳細設定オプションUM_STATIC_TCP_MAPを設定する

!

service-policy global_policy global

プロンプトhostnameコンテキスト

call-home

プロファイルCiscoTAC-1

アクティブでない

destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService

宛先アドレス電子メール：callhome@cisco.com

宛先トランスポート方式HTTP

subscribe-to-alert-group診断

subscribe-to-alert-group環境

subscribe-to-alert-group inventory periodic monthly（定期的なアラート登録グループのインベントリ）

subscribe-to-alert-group設定を毎月

subscribe-to-alert-groupテレメトリ（毎日）

Cryptochecksum:fb6f5c369dee730b9125650517dbb059

:最後
firepower#

次の表に示すように、HAが中断する前後のセカンダリユニットでshow running-configを実行します。

HA 解除前

HA 解除後

firepower# sh run

：保存済み

:

：シリアル番号：FLM19206H7T

：ハードウェア：FPR9K-SM-36、135841 MB RAM、CPU Xeon E5シリーズ2294 MHz、2 CPU（72コア）

:

NGFWバージョン10.10.1.1

!

ホスト名firepower

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Ethernet1/2

管理専用

nameif診断

セキュリティレベル0

IPアドレスがありません

!

interface Ethernet1/4

説明LAN/ステートフェールオーバーインターフェイス

!

interface Ethernet1/5

nameif内部

セキュリティレベル0

ipアドレス192.168.75.10 255.255.255.0スタンバイ192.168.75.11

!

interface Ethernet1/6

nameif外部

セキュリティレベル0

ipアドレス192.168.76.10 255.255.255.0スタンバイ192.168.76.11

!

FTPモードパッシブ

ngips conn-match vlan-id（オプション）

access-list CSM_FW_ACL_ remark rule-id 268447744：アクセスポリシー：FTD9300 – 必須/1

access-list CSM_FW_ACL_ remark rule-id 268447744:L4ルール：Allow_ICMP

access-list CSM_FW_ACL_ advanced permit icmp any rule-id 268447744 event-log both（オプション）

access-list CSM_FW_ACL_ remark rule-id 268441600：アクセスポリシー： FTD9300 – デフォルト/1

access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: DEFAULT ACTION RULE

access-list CSM_FW_ACL_ advanced permit ip any any rule-id268441600

!

tcpマップUM_STATIC_TCP_MAP

tcpオプション範囲6 7許可

tcpオプション範囲9 255（許可）

緊急フラグ許可

!

ポケットベルなし

ロギングの有効化

logging timestamp

ロギングスタンバイ

logging buffer-size100000

logging buffered debugging

logging flash-minimum-free 1024

logging flash-maximum-allocation 3076

MTU診断1500

mtu inside 1500

mtu outside 1500

フェールオーバー

フェールオーバーLANユニットセカンダリ

failover lan interface fover_link Ethernet1/4コマンドを発行します。

フェールオーバーレプリケーションHTTP

フェールオーバーmacアドレス：Ethernet1/5 aaaa.bbbb.1111 aaaa.bbbb.2222

フェールオーバーmacアドレス：Ethernet1/6 aaaa.bbbb.3333 aaaa.bbbb.4444

フェールオーバーリンクfover_link Ethernet1/4

フェールオーバーインターフェイスip fover_link 10.10.1.1 255.255.255.0 standby 10.10.1.2

icmp到達不能レート制限1バーストサイズ1

no asdm history enable

arp timeout 14400

no arp permit – 非接続

access-group CSM_FW_ACL_ global

タイムアウトxlate 3:00:00

timeout pat-xlate 0:00:30

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-pro仮メディア0:02:00 uauth 0:05:00 absolute

timeout tcp-proxy-reassembly 0:00:30

timeout floating-conn 0:00:00

ユーザIDデフォルトドメインローカル

aaa proxy-limit無効

no snmp-server location

no snmp-server contact

no snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart

crypto ipsec security-association pmtu-aging infinite

crypto ca trustpoolポリシー

telnet timeout 5

sshのstricthostkeycheck

ssh timeout 5

sshキー交換グループdh-group1-sha1

コンソールタイムアウト0

dynamic-access-policy-record DfltAccessPolicy（ダイナミックアクセスポリシーレコード）

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map（ポリシーマップタイプはinspect dns preset_dns_map）

パラメータ

message-length maximum client auto（オプション）

message-length maximum 512

ポリシーマップタイプinspect ip-options UM_STATIC_IP_OPTIONS_MAP

パラメータ

eoolアクション許可

nopアクション許可

router-alert action allow（ルータアラートアクション許可）

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

インスペクションFTP

h323 h225の検査

inspect h323 ras

inspect rsh

inspect rtsp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

インスペクションICMP

inspect icmpエラー

dcerpcの検査

ip-options UM_STATIC_IP_OPTIONS_MAPの検査

class class-default

接続の詳細設定オプションUM_STATIC_TCP_MAPを設定する

!

service-policy global_policy global

プロンプトhostnameコンテキスト

call-home

プロファイルCiscoTAC-1

アクティブでない

destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService

宛先アドレス電子メール：callhome@cisco.com

宛先トランスポート方式HTTP

subscribe-to-alert-group診断

subscribe-to-alert-group環境

subscribe-to-alert-group inventory periodic monthly（定期的なアラート登録グループのインベントリ）

subscribe-to-alert-group設定を毎月

subscribe-to-alert-groupテレメトリ（毎日）

Cryptochecksum:e648f92dd7ef47ee611f2aaa5c6cbd84

:最後

firepower#

firepower# sh run

：保存済み

:

：シリアル番号：FLM19206H7T

：ハードウェア：FPR9K-SM-36、135841 MB RAM、CPU Xeon E5シリーズ2294 MHz、2 CPU（72コア）

:

NGFWバージョン10.10.1.1

!

ホスト名firepower

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Ethernet1/2

管理専用

nameif診断

セキュリティレベル0

IPアドレスがありません

!

interface Ethernet1/4

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

interface Ethernet1/5

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

interface Ethernet1/6

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

FTPモードパッシブ

ngips conn-match vlan-id（オプション）

access-list CSM_FW_ACL_ remark rule-id 268447744：アクセスポリシー：FTD9300 – 必須/1

access-list CSM_FW_ACL_ remark rule-id 268447744:L4ルール：Allow_ICMP

access-list CSM_FW_ACL_ advanced permit icmp any rule-id 268447744 event-log both（オプション）

access-list CSM_FW_ACL_ remark rule-id 268441600：アクセスポリシー： FTD9300 – デフォルト/1

access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: DEFAULT ACTION RULE

access-list CSM_FW_ACL_ advanced permit ip any any rule-id268441600

!

tcpマップUM_STATIC_TCP_MAP

tcpオプション範囲6 7許可

tcpオプション範囲9 255（許可）

緊急フラグ許可

!

ポケットベルなし

no logging message 106015

no logging message 313001

no logging message 313008

no logging message 106023

no logging message 710003

no logging message 106100

no logging message 302015

no logging message 302014

no logging message 302013

no logging message 302018

no logging message 302017

no logging message 302016

no logging message 302021

no logging message 302020

MTU診断1500

フェールオーバーなし

no monitor-interfaceサービスモジュール

icmp到達不能レート制限1バーストサイズ1

no asdm history enable

arp timeout 14400

no arp permit – 非接続

access-group CSM_FW_ACL_ global

タイムアウトxlate 3:00:00

timeout pat-xlate 0:00:30

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-pro仮メディア0:02:00 uauth 0:05:00 absolute

timeout tcp-proxy-reassembly 0:00:30

timeout floating-conn 0:00:00

aaa proxy-limit無効

no snmp-server location

no snmp-server contact

no snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart

crypto ipsec security-association pmtu-aging infinite

crypto ca trustpoolポリシー

telnet timeout 5

sshのstricthostkeycheck

ssh timeout 5

sshキー交換グループdh-group1-sha1

コンソールタイムアウト0

dynamic-access-policy-record DfltAccessPolicy（ダイナミックアクセスポリシーレコード）

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map（ポリシーマップタイプはinspect dns preset_dns_map）

パラメータ

message-length maximum client auto（オプション）

message-length maximum 512

ポリシーマップタイプinspect ip-options UM_STATIC_IP_OPTIONS_MAP

パラメータ

eoolアクション許可

nopアクション許可

router-alert action allow（ルータアラートアクション許可）

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

インスペクションFTP

h323 h225の検査

inspect h323 ras

inspect rsh

inspect rtsp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

インスペクションICMP

inspect icmpエラー

dcerpcの検査

ip-options UM_STATIC_IP_OPTIONS_MAPの検査

class class-default

接続の詳細設定オプションUM_STATIC_TCP_MAPを設定する

!

service-policy global_policy global

プロンプトhostnameコンテキスト

call-home

プロファイルCiscoTAC-1

アクティブでない

destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService

宛先アドレス電子メール：callhome@cisco.com

宛先トランスポート方式HTTP

subscribe-to-alert-group診断

subscribe-to-alert-group環境

subscribe-to-alert-group inventory periodic monthly（定期的なアラート登録グループのインベントリ）

subscribe-to-alert-group設定を毎月

subscribe-to-alert-groupテレメトリ（毎日）

Cryptochecksum:08ed87194e9f5cd9149fab3c0e9cefc3

:最後

firepower#

HA の解除に関する主な注意点：

プライマリ ユニット

セカンダリ ユニット

すべてのフェールオーバー設定が削除されます。

スタンバイIPアドレスは残ります。

すべての設定が削除されます。

ステップ 5：この作業が終了したら、HAペアを再作成します。

タスク 6.HAペアの無効化

タスク要件：

FMC から、フェールオーバーペアを無効にします。

ソリューション：

ステップ 1：図に示すアイコンを選択します。

ステップ 2：図に示すように、通知を確認して確認します。

ステップ 3：HAを削除すると、両方のデバイスがFMCから登録解除（削除）されます。

LINA CLI からの show running-config コマンドの結果は、次の表のようになります。

プライマリ ユニット

セカンダリ ユニット

firepower# sh run

：保存済み

:

：シリアル番号：FLM19267A63

：ハードウェア：FPR9K-SM-36、135839 MB RAM、CPU Xeon E5シリーズ2294 MHz、2 CPU（72コア）

:

NGFWバージョン10.10.1.1

!

ホスト名firepower

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Ethernet1/2

管理専用

nameif診断

セキュリティレベル0

IPアドレスがありません

!

interface Ethernet1/4

説明LAN/ステートフェールオーバーインターフェイス

!

interface Ethernet1/5

nameif内部

セキュリティレベル0

ipアドレス192.168.75.10 255.255.255.0スタンバイ192.168.75.11

!

interface Ethernet1/6

nameif外部

セキュリティレベル0

ipアドレス192.168.76.10 255.255.255.0スタンバイ192.168.76.11

!

FTPモードパッシブ

ngips conn-match vlan-id（オプション）

access-list CSM_FW_ACL_ remark rule-id 268447744：アクセスポリシー：FTD9300 – 必須/1

access-list CSM_FW_ACL_ remark rule-id 268447744:L4ルール：Allow_ICMP

access-list CSM_FW_ACL_ advanced permit icmp any rule-id 268447744 event-log both（オプション）

access-list CSM_FW_ACL_ remark rule-id 268441600：アクセスポリシー： FTD9300 – デフォルト/1

access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: DEFAULT ACTION RULE

access-list CSM_FW_ACL_ advanced permit ip any any rule-id268441600

!

tcpマップUM_STATIC_TCP_MAP

tcpオプション範囲6 7許可

tcpオプション範囲9 255（許可）

緊急フラグ許可

!

ポケットベルなし

ロギングの有効化

logging timestamp

ロギングスタンバイ

logging buffer-size100000

logging buffered debugging

logging flash-minimum-free 1024

logging flash-maximum-allocation 3076

MTU診断1500

mtu inside 1500

mtu outside 1500

フェールオーバー

failover lan unit primary

failover lan interface fover_link Ethernet1/4コマンドを発行します。

フェールオーバーレプリケーションHTTP

フェールオーバーmacアドレス：Ethernet1/5 aaaa.bbbb.1111 aaaa.bbbb.2222

フェールオーバーmacアドレス：Ethernet1/6 aaaa.bbbb.3333 aaaa.bbbb.4444

フェールオーバーリンクfover_link Ethernet1/4

フェールオーバーインターフェイスip fover_link 10.10.1.1 255.255.255.0 standby 10.10.1.2

icmp到達不能レート制限1バーストサイズ1

no asdm history enable

arp timeout 14400

no arp permit – 非接続

access-group CSM_FW_ACL_ global

タイムアウトxlate 3:00:00

timeout pat-xlate 0:00:30

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-pro仮メディア0:02:00 uauth 0:05:00 absolute

timeout tcp-proxy-reassembly 0:00:30

timeout floating-conn 0:00:00

aaa proxy-limit無効

no snmp-server location

no snmp-server contact

no snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart

crypto ipsec security-association pmtu-aging infinite

crypto ca trustpoolポリシー

telnet timeout 5

sshのstricthostkeycheck

ssh timeout 5

sshキー交換グループdh-group1-sha1

コンソールタイムアウト0

dynamic-access-policy-record DfltAccessPolicy（ダイナミックアクセスポリシーレコード）

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map（ポリシーマップタイプはinspect dns preset_dns_map）

パラメータ

message-length maximum client auto（オプション）

message-length maximum 512

ポリシーマップタイプinspect ip-options UM_STATIC_IP_OPTIONS_MAP

パラメータ

eoolアクション許可

nopアクション許可

router-alert action allow（ルータアラートアクション許可）

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

インスペクションFTP

h323 h225の検査

inspect h323 ras

inspect rsh

inspect rtsp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

インスペクションICMP

inspect icmpエラー

dcerpcの検査

ip-options UM_STATIC_IP_OPTIONS_MAPの検査

class class-default

接続の詳細設定オプションUM_STATIC_TCP_MAPを設定する

!

service-policy global_policy global

プロンプトhostnameコンテキスト

call-home

プロファイルCiscoTAC-1

アクティブでない

destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService

宛先アドレス電子メール：callhome@cisco.com

宛先トランスポート方式HTTP

subscribe-to-alert-group診断

subscribe-to-alert-group環境

subscribe-to-alert-group inventory periodic monthly（定期的なアラート登録グループのインベントリ）

subscribe-to-alert-group設定を毎月

subscribe-to-alert-groupテレメトリ（毎日）

Cryptochecksum:933c594fc0264082edc0f24bad358031

:最後

firepower#

firepower# sh run

：保存済み

:

：シリアル番号：FLM19206H7T

：ハードウェア：FPR9K-SM-36、135841 MB RAM、CPU Xeon E5シリーズ2294 MHz、2 CPU（72コア）

:

NGFWバージョン10.10.1.1

!

ホスト名firepower

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Ethernet1/2

管理専用

nameif診断

セキュリティレベル0

IPアドレスがありません

!

interface Ethernet1/4

説明LAN/ステートフェールオーバーインターフェイス

!

interface Ethernet1/5

nameif内部

セキュリティレベル0

ipアドレス192.168.75.10 255.255.255.0スタンバイ192.168.75.11

!

interface Ethernet1/6

nameif外部

セキュリティレベル0

ipアドレス192.168.76.10 255.255.255.0スタンバイ192.168.76.11

!

FTPモードパッシブ

ngips conn-match vlan-id（オプション）

access-list CSM_FW_ACL_ remark rule-id 268447744：アクセスポリシー：FTD9300 – 必須/1

access-list CSM_FW_ACL_ remark rule-id 268447744:L4ルール：Allow_ICMP

access-list CSM_FW_ACL_ advanced permit icmp any rule-id 268447744 event-log both（オプション）

access-list CSM_FW_ACL_ remark rule-id 268441600：アクセスポリシー： FTD9300 – デフォルト/1

access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: DEFAULT ACTION RULE

access-list CSM_FW_ACL_ advanced permit ip any any rule-id268441600

!

tcpマップUM_STATIC_TCP_MAP

tcpオプション範囲6 7許可

tcpオプション範囲9 255（許可）

緊急フラグ許可

!

ポケットベルなし

ロギングの有効化

logging timestamp

ロギングスタンバイ

logging buffer-size100000

logging buffered debugging

logging flash-minimum-free 1024

logging flash-maximum-allocation 3076

MTU診断1500

mtu inside 1500

mtu outside 1500

フェールオーバー

フェールオーバーLANユニットセカンダリ

failover lan interface fover_link Ethernet1/4コマンドを発行します。

フェールオーバーレプリケーションHTTP

フェールオーバーmacアドレス：Ethernet1/5 aaaa.bbbb.1111 aaaa.bbbb.2222

フェールオーバーmacアドレス：Ethernet1/6 aaaa.bbbb.3333 aaaa.bbbb.4444

フェールオーバーリンクfover_link Ethernet1/4

フェールオーバーインターフェイスip fover_link 10.10.1.1 255.255.255.0 standby 10.10.1.2

icmp到達不能レート制限1 – サイズ1

no asdm history enable

arp timeout 14400

no arp permit – 非接続

access-group CSM_FW_ACL_ global

タイムアウトxlate 3:00:00

timeout pat-xlate 0:00:30

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-pro仮メディア0:02:00 uauth 0:05:00 absolute

timeout tcp-proxy-reassembly 0:00:30

timeout floating-conn 0:00:00

ユーザIDデフォルトドメインローカル

aaa proxy-limit無効

no snmp-server location

no snmp-server contact

no snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart

crypto ipsec security-association pmtu-aging infinite

crypto ca trustpoolポリシー

telnet timeout 5

sshのstricthostkeycheck

ssh timeout 5

sshキー交換グループdh-group1-sha1

コンソールタイムアウト0

dynamic-access-policy-record DfltAccessPolicy（ダイナミックアクセスポリシーレコード）

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map（ポリシーマップタイプはinspect dns preset_dns_map）

パラメータ

message-length maximum client auto（オプション）

message-length maximum 512

ポリシーマップタイプinspect ip-options UM_STATIC_IP_OPTIONS_MAP

パラメータ

eoolアクション許可

nopアクション許可

router-alert action allow（ルータアラートアクション許可）

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

インスペクションFTP

h323 h225の検査

inspect h323 ras

inspect rsh

inspect rtsp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

インスペクションICMP

inspect icmpエラー

dcerpcの検査

ip-options UM_STATIC_IP_OPTIONS_MAPの検査

class class-default

接続の詳細設定オプションUM_STATIC_TCP_MAPを設定する

!

service-policy global_policy global

プロンプトhostnameコンテキスト

call-home

プロファイルCiscoTAC-1

アクティブでない

destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService

宛先アドレス電子メール：callhome@cisco.com

宛先トランスポート方式HTTP

subscribe-to-alert-group診断

subscribe-to-alert-group環境

subscribe-to-alert-group inventory periodic monthly（定期的なアラート登録グループのインベントリ）

subscribe-to-alert-group設定を毎月

subscribe-to-alert-groupテレメトリ（毎日）

Cryptochecksum:e648f92dd7ef47ee611f2aaa5c6cbd84

:最後

firepower#

ステップ 4：両方のFTDデバイスがFMCから登録解除されました。

> show managers

No managers configured.

FMC の [HA の無効化（Disable HA）] オプションに関する主な注意点：

プライマリ ユニット

セカンダリ ユニット

デバイスが FMC から削除されます。

FTDデバイスから削除された設定はありません。

デバイスが FMC から削除されます。

FTDデバイスから削除された設定はありません。

ステップ 5：次のコマンドを実行して、FTDデバイスからフェールオーバーコンフィギュレーションを削除します。

> configure high-availability disable

High-availability will be disabled. Do you really want to continue?

Please enter 'YES' or 'NO': yes

Successfully disabled high-availability.

注：コマンドは両方のユニットで実行する必要があります

結果は、次のとおりです。

プライマリ ユニット

セカンダリ ユニット

> show failover

Failover Off

Failover unit Secondary

Failover LAN Interface: not Configured

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 2 of 1041 maximum

MAC Address Move Notification Interval not set

>

> show failover

Failover Off (pseudo-Standby)

Failover unit Secondary

Failover LAN Interface: FOVER Ethernet1/3.205 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 0 of 1041 maximum

MAC Address Move Notification Interval not set

failover replication http

>

プライマリ

セカンダリ

firepower# show run

!

ホスト名firepower

enable password 8Ry2YjIyt7RRXU24 encrypted

names

arp timeout 14400

no arp permit – 非接続

arp rate-limit16384マンド

!

interface GigabitEthernet1/1

nameif外部

ctsマニュアル

propagate sgt preserve-untag（sgtの保存/タグ解除を伝播）

policy static sgt disabled trusted（信頼できるポリシースタティックsgt無効）

セキュリティレベル0

ip address 10.1.1.1 255.255.255.0 < – スタンバイIPが削除されました

!

interface GigabitEthernet1/2

nameif内部

ctsマニュアル

propagate sgt preserve-untag（sgtの保存/タグ解除を伝播）

policy static sgt disabled trusted（信頼できるポリシースタティックsgt無効）

セキュリティレベル0

ip address 192.168.1.1 255.255.255.0 < – スタンバイIPを削除

!

インターフェイスGigabitEthernet1/3

説明LANフェールオーバーインターフェイス

!

インターフェイスGigabitEthernet1/4

description STATEフェールオーバーインターフェイス

!

インターフェイスGigabitEthernet1/5

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

インターフェイスGigabitEthernet1/6

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

インターフェイスGigabitEthernet1/7

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

インターフェイスGigabitEthernet1/8

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

インターフェイス管理1/1

管理専用

nameif診断

ctsマニュアル

propagate sgt preserve-untag（sgtの保存/タグ解除を伝播）

policy static sgt disabled trusted（信頼できるポリシースタティックsgt無効）

セキュリティレベル0

IPアドレスがありません

!

FTPモードパッシブ

ngips conn-match vlan-id（オプション）

access-list CSM_FW_ACL_ remark rule-id 9998: PREFILTER POLICY：デフォルトトンネルとプライオリティポリシー

access-list CSM_FW_ACL_ remark rule-id 9998：ルール：デフォルトトンネルアクションルール

access-list CSM_FW_ACL_ advanced permit ipinip anyルールID 9998

access-list CSM_FW_ACL_ advanced permit 41 anyルールID 9998

access-list CSM_FW_ACL_ advanced permit gre any anyルールID 9998

access-list CSM_FW_ACL_ advanced permit udp any eq 3544ルールID 9998

access-list CSM_FW_ACL_ remark rule-id 268435456：アクセスポリシー： FTD_HA – デフォルト/1

access-list CSM_FW_ACL_ remark rule-id 268435456: L4 RULE: DEFAULT ACTION RULE

access-list CSM_FW_ACL_ advanced permit ip any any rule-id268435456

!

tcpマップUM_STATIC_TCP_MAP

tcpオプション範囲6 7許可

tcpオプション範囲9 18許可

tcpオプション範囲20 255：許可

tcpオプションmd5クリア

緊急フラグ許可

!

ポケットベルなし

ロギングの有効化

logging timestamp

logging buffered debugging

logging flash-minimum-free 1024

logging flash-maximum-allocation 3076

no logging message 106015

no logging message 313001

no logging message 313008

no logging message 106023

no logging message 710005

no logging message 710003

no logging message 106100

no logging message 302015

no logging message 302014

no logging message 302013

no logging message 302018

no logging message 302017

no logging message 302016

no logging message 302021

no logging message 302020

mtu outside 1500

mtu inside 1500

MTU診断1500

フェールオーバーなし

icmp到達不能レート制限1バーストサイズ1

no asdm history enable

access-group CSM_FW_ACL_ global

00 community *****バージョン2c

no snmp-server location

no snmp-server contact

SNMPサーバコミュニティ*****

サービスsw-reset-button

crypto ipsec security-association pmtu-aging infinite

crypto ca trustpoolポリシー

telnet timeout 5

コンソールタイムアウト0

dynamic-access-policy-record DfltAccessPolicy（ダイナミックアクセスポリシーレコード）

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map（ポリシーマップタイプはinspect dns preset_dns_map）

パラメータ

message-length maximum client auto（オプション）

message-length maximum 512

no tcp-inspectionコマンド

ポリシーマップタイプinspect ip-options UM_STATIC_IP_OPTIONS_MAP

パラメータ

eoolアクション許可

nopアクション許可

router-alert action allow（ルータアラートアクション許可）

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

インスペクションFTP

h323 h225の検査

inspect h323 ras

inspect rsh

inspect rtsp

inspect esmtp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

インスペクションICMP

inspect icmpエラー

dcerpcの検査

ip-options UM_STATIC_IP_OPTIONS_MAPの検査

class class-default

接続の詳細設定オプションUM_STATIC_TCP_MAPを設定する

!

service-policy global_policy global

プロンプトhostnameコンテキスト

call-home

プロファイルCiscoTAC-1

アクティブでない

destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService

宛先アドレス電子メール：callhome@cisco.com

宛先トランスポート方式HTTP

subscribe-to-alert-group診断

subscribe-to-alert-group環境

subscribe-to-alert-group inventory periodic monthly（定期的なアラート登録グループのインベントリ）

subscribe-to-alert-group設定を毎月

subscribe-to-alert-groupテレメトリ（毎日）

暗号チェックサム：768a03e90b9d3539773b9d7af66b3452

firepower# show run

!

ホスト名firepower

enable password 8Ry2YjIyt7RRXU24 encrypted

names

arp timeout 14400

no arp permit – 非接続

arp rate-limit16384マンド

!

interface GigabitEthernet1/1

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

interface GigabitEthernet1/2

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

インターフェイスGigabitEthernet1/3

説明LANフェールオーバーインターフェイス

!

インターフェイスGigabitEthernet1/4

description STATEフェールオーバーインターフェイス

!

インターフェイスGigabitEthernet1/5

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

インターフェイスGigabitEthernet1/6

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

インターフェイスGigabitEthernet1/7

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

インターフェイスGigabitEthernet1/8

shutdown

nameifなし

セキュリティレベルなし

IPアドレスがありません

!

インターフェイス管理1/1

管理専用

nameif診断

ctsマニュアル

propagate sgt preserve-untag（sgtの保存/タグ解除を伝播）

policy static sgt disabled trusted（信頼できるポリシースタティックsgt無効）

セキュリティレベル0

IPアドレスがありません

!

FTPモードパッシブ

ngips conn-match vlan-id（オプション）

access-list CSM_FW_ACL_ remark rule-id 9998: PREFILTER POLICY：デフォルトトンネルとプライオリティポリシー

access-list CSM_FW_ACL_ remark rule-id 9998：ルール：デフォルトトンネルアクションルール

access-list CSM_FW_ACL_ advanced permit ipinip anyルールID 9998

access-list CSM_FW_ACL_ advanced permit 41 anyルールID 9998

access-list CSM_FW_ACL_ advanced permit gre any anyルールID 9998

access-list CSM_FW_ACL_ advanced permit udp any eq 3544ルールID 9998

access-list CSM_FW_ACL_ remark rule-id 268435456：アクセスポリシー： FTD_HA – デフォルト/1

access-list CSM_FW_ACL_ remark rule-id 268435456: L4 RULE: DEFAULT ACTION RULE

access-list CSM_FW_ACL_ advanced permit ip any any rule-id268435456

!

tcpマップUM_STATIC_TCP_MAP

tcpオプション範囲6 7許可

tcpオプション範囲9 18許可

tcpオプション範囲20 255：許可

tcpオプションmd5クリア

緊急フラグ許可

!

ポケットベルなし

ロギングの有効化

logging timestamp

logging buffered debugging

logging flash-minimum-free 1024

logging flash-maximum-allocation 3076

no logging message 106015

no logging message 313001

no logging message 313008

no logging message 106023

no logging message 710005

no logging message 710003

no logging message 106100

no logging message 302015

no logging message 302014

no logging message 302013

no logging message 302018

no logging message 302017

no logging message 302016

no logging message 302021

no logging message 302020

mtu outside 1500

mtu inside 1500

MTU診断1500

フェールオーバーなし

フェールオーバーLANユニットセカンダリ

フェールオーバーLANインターフェイスFOVER GigabitEthernet1/3

フェールオーバーレプリケーションHTTP

フェールオーバーリンクステートGigabitEthernet1/4

フェールオーバーインターフェイスIP FOVER 10.10.1.1 255.255.255.0 standby 10.10.1.2

フェールオーバーインターフェイスIP STATE 10.10.2.1 255.255.255.0 standby 10.10.2.2

icmp到達不能レート制限1バーストサイズ1

no asdm history enable

access-group CSM_FW_ACL_ global

タイムアウトxlate 3:00:00

timeout pat-xlate 0:00:30

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-pro仮メディア0:02:00 uauth 0:05:00 absolute

timeout tcp-proxy-reassembly 0:00:30

timeout floating-conn 0:00:00

timeout conn-holddown 0:00:15

ユーザIDデフォルトドメインローカル

aaa proxy-limit無効

snmp-server host outside 192.168.1.100 community ***** version 2c

no snmp-server location

no snmp-server contact

SNMPサーバコミュニティ*****

サービスsw-reset-button

crypto ipsec security-association pmtu-aging infinite

crypto ca trustpoolポリシー

telnet timeout 5

コンソールタイムアウト0

dynamic-access-policy-record DfltAccessPolicy（ダイナミックアクセスポリシーレコード）

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map（ポリシーマップタイプはinspect dns preset_dns_map）

パラメータ

message-length maximum client auto（オプション）

message-length maximum 512

no tcp-inspectionコマンド

ポリシーマップタイプinspect ip-options UM_STATIC_IP_OPTIONS_MAP

パラメータ

eoolアクション許可

nopアクション許可

router-alert action allow（ルータアラートアクション許可）

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

インスペクションFTP

h323 h225の検査

inspect h323 ras

inspect rsh

inspect rtsp

inspect esmtp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

インスペクションICMP

inspect icmpエラー

dcerpcの検査

ip-options UM_STATIC_IP_OPTIONS_MAPの検査

class class-default

接続の詳細設定オプションUM_STATIC_TCP_MAPを設定する

!

service-policy global_policy global

プロンプトhostnameコンテキスト

call-home

プロファイルCiscoTAC-1

アクティブでない

destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService

宛先アドレス電子メール：callhome@cisco.com

宛先トランスポート方式HTTP

subscribe-to-alert-group診断

subscribe-to-alert-group環境

subscribe-to-alert-group inventory periodic monthly（定期的なアラート登録グループのインベントリ）

subscribe-to-alert-group設定を毎月

subscribe-to-alert-groupテレメトリ（毎日）

Cryptochecksum:ac9b8f401e18491fee653f4cfe0ce18f

FTD CLI からの HA の無効化に関する主な注意点：

プライマリ ユニット

セカンダリ ユニット

フェールオーバーの設定とスタンバイIP:aretimeout xlate 3:00:00

timeout pat-xlate 0:00:30

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-pro仮メディア0:02:00 uauth 0:05:00 absolute

timeout tcp-proxy-reassembly 0:00:30

timeout floating-conn 0:00:00

timeout conn-holddown 0:00:15

aaa proxy-limit無効

snmp-server host outside 192.168.1.1を削除。

- インターフェイス設定が削除されます。

- デバイスは擬似スタンバイモードになります。

手順 6：タスクが完了したら、デバイスをFMCに登録し、HAペアを有効にします。

タスク 7.HAの中断

タスク要件：

FTD CLISH CLI から HA を一時停止させます。

ソリューション：

ステップ 1：プライマリFTDでコマンドを実行し、確認します(YESと入力)。

> configure high-availability suspend

Please ensure that no deployment operation is in progress before suspending high-availability.

Please enter 'YES' to continue if there is no deployment operation in progress and 'NO' if you wish to abort: YES

Successfully suspended high-availability.

ステップ 2：プライマリユニットの変更を確認します。

> show high-availability config

Failover Off

Failover unit Primary

Failover LAN Interface: fover_link Ethernet1/4 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 1 of 1041 maximum

MAC Address Move Notification Interval not set

failover replication http

ステップ 3：セカンダリユニットでの結果：

> show high-availability config

Failover Off (pseudo-Standby)

Failover unit Secondary

Failover LAN Interface: fover_link Ethernet1/4 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 1 of 1041 maximum

MAC Address Move Notification Interval not set

failover replication http

ステップ 4：プライマリユニットでのHAの再開：

> configure high-availability resume

Successfully resumed high-availablity.

> .

No Active mate detected

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Beginning configuration replication: Sending to mate.

End Configuration Replication to mate

>

> show high-availability config

Failover On

Failover unit Primary

Failover LAN Interface: fover_link Ethernet1/4 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 1 of 1041 maximum

MAC Address Move Notification Interval not set

failover replication http

ステップ 5：HAを再開した後のセカンダリユニットでの結果：

> ..

Detected an Active mate

Beginning configuration replication from mate.

WARNING: Failover is enabled but standby IP address is not configured for this interface.

WARNING: Failover is enabled but standby IP address is not configured for this interface.

End configuration replication from mate.

>

> show high-availability config

Failover On

Failover unit Secondary

Failover LAN Interface: fover_link Ethernet1/4 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 1 of 1041 maximum

MAC Address Move Notification Interval not set

failover replication http

>

よく寄せられる質問（FAQ）

構成が複製されると、その構成は直ちに（1行ずつ）保存されますか、それとも複製の最後に保存されますか。

複製の完了時です。設定/コマンドの複製を示す debug fover sync コマンドの出力の最後で、それを確認できます。

cli_xml_server: frep_write_cmd: Cmd: access-list CSM_FW_ACL_ line 1506 remark rule-id 268442578: L7 RULE: ACP_Rule_500

cli_xml_server: frep_write_cmd: Cmd: access-list CSM_FW_ACL_ line 1507 advanced permit tcp object-group group_10 eq 48894 object-group group_10 eq 23470 vlan eq 1392 rule-id 268442578

cli_xml_server: frep_write_cmd: Cmd: access-list CSM_FW_ACL_ line 1508 remark rule-id 268442078: ACCESS POLICY: mzafeiro_500 - Default

cli_xml_server: frep_write_cmd: Cmd: access-list CSM_FW_ACL_ line 1509 remark rule-id 268442078: L4 RULE: DEFAULT ACTION RULE

...

cli_xml_server: frep_write_cmd: Cmd: no access-list CSM_FW_ACL_ advanced permit tcp object-group group_2 eq 32881 object-group group_433 eq 39084 vlan eq 1693 rule-id 268442076

cli_xml_server: frep_write_cmd: Cmd: no access-list CSM_FW_ACL_ line 1510 remark rule-id 268442077: ACCESS POLICY: mzafeiro_ACP1500 - Mandatory

cli_xml_server: frep_write_cmd: Cmd: no access-list CSM_FW_ACL_ line 1510 remark rule-id 268442077: L7 RULE: ACP_Rule_1500

cli_xml_server: frep_write_cmd: Cmd: no access-list CSM_FW_ACL_ advanced permit tcp object-group group_6 eq 8988 object-group group_311 eq 32433 vlan eq 619 rule-id 268442077

cli_xml_server: frep_write_cmd: Cmd: no access-list CSM_FW_ACL_ line 1510 remark rule-id 268440577: ACCESS POLICY: mzafeiro_ACP1500 - Default

cli_xml_server: frep_write_cmd: Cmd: no access-list CSM_FW_ACL_ line 1510 remark rule-id 268440577: L4 RULE: DEFAULT ACTION RULE

cli_xml_server: frep_write_cmd: Cmd: access-list CSM_FW_ACL_ advanced deny ip any any rule-id 268442078 event-log flow-start

cli_xml_server: frep_write_cmd: Cmd: crypto isakmp nat-traversal

cli_xml_server: frep_write_cmd: Cmd: no object-group network group_311

cli_xml_server: frep_write_cmd: Cmd: no object-group network group_433

cli_xml_server: frep_write_cmd: Cmd: no object-group network group_6

cli_xml_server: frep_write_cmd: Cmd: no object-group network group_2

cli_xml_server: frep_write_cmd: Cmd: write memory <--

ユニットが擬似スタンバイ状態（フェールオーバーがディセーブル）で、そのユニットをリロードした後、他方のユニットがフェールオーバーをイネーブルにしてアクティブになっている場合はどうなりますか。

最終的にアクティブ/アクティブシナリオになります（技術的にはアクティブ/フェールオーバーオフになります）。具体的には、ユニットが起動するとフェールオーバーは無効になりますが、そのユニットはアクティブユニットと同じ IP を使用します。そのため、事実上、次のようになります。

- ユニット1：アクティブ

- ユニット2：フェールオーバーがオフになっています。ユニットでは、ユニット1と同じデータIPが使用されますが、MACアドレスは異なります。

手動でフェールオーバーを無効にし（ハイアベイラビリティ中断を設定し）、デバイスをリロードすると、フェールオーバー設定はどうなりますか。

フェイルオーバーを無効にした場合、永続的な変更ではありません（明示的に変更しない限り、startup-configには保存されません）。ユニットのリブートとリロードは2通りの方法で実行できます。2つ目の方法では注意が必要です。

Case 1.CLISHからのリブート

CLISH からのリブートでは、確認は求められません。 そのため、設定の変更はスタートアップ設定に保存されません。

> configure high-availability suspend

Please ensure that no deployment operation is in progress before suspending high-availability.

Please enter 'YES' to continue if there is no deployment operation in progress and 'NO' if you wish to abort: YES

Successfully suspended high-availability.

running-configではフェールオーバーが無効になっています。この例では、アクティブ/アクティブシナリオを回避するために、ユニットはスタンバイ状態で、期待どおりに擬似スタンバイ状態になりました。

firepower# show failover | include Failover

Failover Off (pseudo-Standby)

Failover unit Secondary

Failover LAN Interface: FOVER Ethernet1/1 (up)

startup-configでは、フェールオーバーは引き続き有効になっています。

firepower# show startup | include failover

failover

failover lan unit secondary

failover lan interface FOVER Ethernet1/1

failover replication http

failover link FOVER Ethernet1/1

failover interface ip FOVER 192.0.2.1 255.255.255.0 standby 192.0.2.2

failover ipsec pre-shared-key *****

CLISH からデバイスをリブートします（reboot コマンド）。

> reboot

This command will reboot the system.  Continue?

Please enter 'YES' or 'NO': YES

Broadcast message from root@

Threat Defense System: CMD=-stop, CSP-ID=cisco-ftd.6.2.2.81__ftd_001_JMX2119L05CYRIBVX1, FLAG=''

Cisco FTD stopping ...

ユニットが起動すると、フェールオーバーが有効になっているため、デバイスはフェールオーバー ネゴシエーション フェーズに入り、リモートピアの検出を試みます。

User enable_1 logged in to firepower

Logins over the last 1 days: 1.

Failed logins since the last login: 0.

Type help or '?' for a list of available commands.

firepower> .

Detected an Active mate

Case 2.LINA CLIからのリブート

LINA からのリブート（reload コマンド）では、確認が求められます。したがって、Y(Yes)を選択した場合、設定変更はstartup-configに保存されます。

firepower# reload

System config has been modified. Save? [Y]es/[N]o: Y <-- Be careful. This will disable the failover in the startup-config

Cryptochecksum: 31857237 8658f618 3234be7c 854d583a

8781 bytes copied in 0.940 secs

Proceed with reload? [confirm]

firepower# show startup | include failover

no failover

failover lan unit secondary

failover lan interface FOVER Ethernet1/1

failover replication http

failover link FOVER Ethernet1/1

failover interface ip FOVER 192.0.2.1 255.255.255.0 standby 192.0.2.2

failover ipsec pre-shared-key *****

ユニットが起動すると、フェールオーバーは無効になります。

firepower# show failover | include Fail

Failover Off

Failover unit Secondary

Failover LAN Interface: FOVER Ethernet1/1 (up)

注：このシナリオを回避するには、プロンプトが表示されたら、変更をstartup-configに保存しないようにしてください。

関連情報

- Cisco Firepower Management Center のすべてのバージョンの設定ガイドが、ここにあります。

Cisco Secure Firewall Threat Defenseに関するドキュメントの参照

- FXOS Chassis Manager および CLI のすべてのバージョンの設定ガイドが、ここにあります。

Cisco Firepower 4100/9300 FXOSドキュメントの参照

- Cisco Firepower次世代セキュリティテクノロジーに関する詳細な実践知識を得るために、Cisco Global Technical Assistance Center(TAC)は次のビジュアルガイドを強く推奨します。

Cisco Firepower Threat Defense(FTD)：次世代ファイアウォール(NGFW)、次世代侵入防御システム(NGIPS)、および高度なマルウェア防御(AMP)の設定とトラブルシューティングのベストプラクティス

- Firepowerテクノロジーに関連するすべての設定およびトラブルシューティングテクニカルノート

Cisco Secureファイアウォール管理センター

- テクニカル サポートとドキュメント - Cisco Systems