Cisco ASA 5500 から Cisco Adaptive Security Virtual Appliance への移行

1.

ASA 5500 設定をバージョン 9.2(1) にアップグレードするには、組み込みの ASAv の移行ツールを活用できます。スタートアップ コンフィギュレーションが以前の ASA バージョンと一致する場合、再起動時にこのツールがアクティブになります。バージョン 9.2(1) は、スタートアップ コンフィギュレーションに最初に保存されていたバージョンから変更されている機能関連のコマンドを移行します。

設定の移行に関する詳細情報とアップグレードのガイドラインについては、ASA のリリース ノートを参照してください。

2.

ASA 5500 ファイアウォール コンフィギュレーション ファイルをソース デバイスから取得し、ローカル ファイル システムに保存します。

『General Operations CLI Configuration Guide（CLI コンフィギュレーション ガイド（一般的な操作））』の「Managing Software and Configurations（ソフトウェアとコンフィギュレーションの管理）」の章を参照してください。

3.

次の 2 つのオプションのいずれかを選択してください。

CLI の使用

次の VPN コンフィギュレーション ファイルをエクスポートします。

• クライアントレス Secure Socket Layer（SSL）のカスタマイズまたはプラグイン。
• AnyConnect、Cisco Secure Desktop および ASA 5500 からのホスト スキャン イメージ。
• ASA 5500 からのアイデンティティ証明書の PKCS12 ファイル。

（注） コンフィギュレーションで指定されたパスにファイルが配置されていることを確認してください。

『VPN CLI Configuration Guide（VPN CLI コンフィギュレーション ガイド）』の「Clientless SSL VPN Overview（クライアントレス SSL VPN の設定）」の章を参照してください。

『VPN CLI Configuration Guide（VPN CLI コンフィギュレーション ガイド）』の「Configuring AnyConnect VPN Client Connections（AnyConnect VPN Client 接続の設定）」の章を参照してください。

『Cisco Secure Desktop Configuration Guide for Cisco ASA 5500 Series Administrators（Cisco ASA 5500 Series 管理者用 Cisco Secure Desktop コンフィギュレーション ガイド）』の「Installing and Enabling CSD（CSD のインストールおよびイネーブル）」の章を参照してください。

『VPN CLI Configuration Guide（VPN CLI コンフィギュレーション ガイド）』の「Configuring AnyConnect Host Scan（AnyConnect ホスト スキャンの設定）」の章を参照してください。

『General Operations CLI Configuration Guide（CLI コンフィギュレーション ガイド（一般的な操作））』の「Configuring Digital Certificates（デジタル証明書の設定）」の章を参照してください。

『VPN CLI Configuration Guide（VPN CLI コンフィギュレーション ガイド）』の「Configuring Policy Groups（グループ ポリシーの設定）」の章を参照してください。

ASDM の使用

このプロセスを効率化するには、ASDM のバックアップ ユーティリティを使用し、ソース ファイルを保存することを勧めています。これらの VPN 固有ファイルには、すべてのセキュリティ イメージ、アイデンティティ証明書、VPN 事前共有キー、すべての SSL VPN 設定が含まれる場合があります。

（注） バックアップ プロセスから除外する実行コンフィギュレーションとスタートアップ コンフィギュレーションのチェックボックスをオフにしてください。

『General Operations ASDM Configuration Guide（ASDM コンフィギュレーション ガイド（一般的な操作））』の「Managing Software and Configurations（ソフトウェアとコンフィギュレーションの管理）」の章を参照してください。

4.

次に示すように ASA 5500 の設定を ASAv の設定に変更します。

—

a.

インターフェイスの設定を変更して、ASAv の使用可能なインターフェイスに一致させます：Management 0/0 および GigabitEthernet 0/0 - 0/8（10 インターフェイスの展開の場合）。

EtherChannel インターフェイスを削除します。

『General Operations CLI Configuration Guide（CLI コンフィギュレーション ガイド（一般的な操作））』の「Starting Interface Configuration（ASA 5510 and Higher）（インターフェイス コンフィギュレーションの開始（ASA 5510 以降）」を参照してください。

b.

Content Security and Control Security Services Module コンフィギュレーションを削除します（インストールされている場合）。

『Firewall CLI Configuration Guide（ファイアウォール CLI コンフィギュレーション ガイド）』の「Configuring the ASA CSC Module（ASA CSC モジュールの設定）」の章を参照してください。

c.

Advanced Inspection and Prevention Security Services Module コンフィギュレーションを削除します（インストールされている場合）。

『Firewall CLI Configuration Guide（ファイアウォール CLI コンフィギュレーション ガイド）』の「Configuring the ASA IPS Module（ASA IPS モジュールの設定）」の章を参照してください。

d.

CX モジュール コンフィギュレーションを削除します（インストールされている場合）。

『Configuring the ASA IPS Module（ファイアウォール CLI コンフィギュレーション ガイド）』の「Configuring the ASA CX Module（ASA CX モジュールの設定）」の章を参照してください。

e.

次のサポートされていない機能を削除します。

• マルチ コンテキスト モード
• クラスタリング： ip address コマンドから cluster-pool および mgmt-pool キーワードと引数を削除します。
• アクティブ/アクティブ フェールオーバー

『General Operations CLI Configuration Guide（CLI コンフィギュレーション ガイド（一般的な操作））』の「Configuring Multiple Context Mode（マルチ コンテキスト モードの設定）」の章を参照してください。

『General Operations CLI Configuration Guide（CLI コンフィギュレーション ガイド（一般的な操作））』の「Configuring a Cluster of ASAs（ASA のクラスタの設定）」の章を参照してください。

『General Operations CLI Configuration Guide（CLI コンフィギュレーション ガイド（一般的な操作））』の「Configuring Failover（フェールオーバーの設定）」の章を参照してください。

5.

ASAv を配置します。ASDM 接続をイネーブル化するには、OVF テンプレートのインターフェイス マッピングを含む適切なプロパティを設定する必要があります。

VMware vSphere Client を使用して VM に ASAv をインストールします。

『Cisco Adaptive Security Virtual Appliance（ASAv）Quick Start Guide（Cisco Adaptive Security Virtual Appliance（ASAv）クイック スタート ガイド）』の「Deploying the Cisco Adaptive Security Virtual Appliance（Cisco Adaptive Security Virtual Appliance の展開）」の章を参照してください。

6.

ASAv に接続し、SSH または Telnet の基本的な接続を設定します。

CLI から、 telnet 、 ssh 、または http コマンドを使用します。

ASDM で [Configuration] > [Device Management] > [Management Access] > [ASDM/HTTPS/Telnet/SSH] を選択します。

『Cisco Adaptive Security Virtual Appliance（ASAv）Quick Start Guide（Cisco Adaptive Security Virtual Appliance（ASAv）クイック スタート ガイド）』の「Deploying the Cisco Adaptive Security Virtual Appliance（Cisco Adaptive Security Virtual Appliance の展開）」の章を参照してください。

7.

ASAv のシリアル番号を確認して、ASAv を標準モードで実行するために必要な新しいライセンスを取得します。

CLI で、 show version または show inventory コマンドを入力します。

ASDM で、[Help] > [About the Cisco ASA] を選択します。

また、ASA ハードウェアの設定内容に応じて、その他の機能のライセンスも要求する必要があります。

『Cisco Adaptive Security Virtual Appliance（ASAv）Quick Start Guide（Cisco Adaptive Security Virtual Appliance（ASAv）クイック スタート ガイド）』の「Deploying the Cisco Adaptive Security Virtual Appliance（Cisco Adaptive Security Virtual Appliance の展開）」の章を参照してください。

8.

ステップ 3. で取得した VPN 固有ファイルをインポートします。ASDM のバックアップ zip ファイルを取得した場合は、ASAv にそれを復元できます。

ASDM で、[Tools] > [Restore Configurations] を選択します。

（注） anyconnect-essentials コマンドまたは no anyconnect-essentials コマンドを発行した場合は、次のメッセージが表示されます。

「ERROR: Command required AnyConnect Essentials license」

『VPN CLI Configuration Guide（VPN CLI コンフィギュレーション ガイド）』の「Clientless SSL VPN Overview（クライアントレス SSL VPN の設定）」の章を参照してください。

『VPN CLI Configuration Guide（VPN CLI コンフィギュレーション ガイド）』の「Configuring AnyConnect VPN Client Connections（AnyConnect VPN Client 接続の設定）」の章を参照してください。

『Cisco Secure Desktop Configuration Guide for Cisco ASA 5500 Series Administrators（Cisco ASA 5500 Series 管理者用 Cisco Secure Desktop コンフィギュレーション ガイド）』の「Installing and Enabling CSD（CSD のインストールおよびイネーブル）」の章を参照してください。

9.

ASAv のスタートアップ コンフィギュレーションに、変更された ASA 5500 のコンフィギュレーションをコピーします。次に、 reload noconfirm コマンドを入力して ASAv をリロードし、コピーしたスタートアップ コンフィギュレーションを保持します。

コピー アンド ペーストまたはファイルの読み取りのメソッドは、バージョン 9.2(1) で保存され、前の手順で変更されたファイルでのみ使用できます。これらのメソッドは、インターフェイスをシャットダウン状態のままにし、実行コンフィギュレーションと競合する場合があり、ASA 移行ツールをトリガーしません。

VMware vSphere Client コンソール ウィンドウでは、情報をコピー アンド ペーストすることはできません。CLI から configure net または copy running-config のいずれかのコマンドを入力して、TFTP、HTTP、または FTP サーバを使用して変更されたコンフィギュレーション ファイルを転送する必要があります。

『General Operations CLI Configuration Guide（CLI コンフィギュレーション ガイド（一般的な操作））』の「Configuring Management Access（管理アクセスの設定）」の章を参照してください。

コマンドリファレンスの reload noconfirm コマンドを参照してください。

『General Operations CLI Configuration Guide（CLI コンフィギュレーション ガイド（一般的な操作））』の「Configuring Digital Certificates（デジタル証明書の設定）」の章を参照してください。

コマンドリファレンスの configure net または copy running-config コマンドを参照してください。

10.

ASAv の変更された設定を次のようにして確認します。

—

a.

ASAv の起動時に検出されたエラーを表示するには、CLI から、 show startup-config errors コマンドを使用します。

ASDM で、[Tools] > [Command Line Interface] を選択します。

コマンドリファレンスの show startup-config errors コマンドを参照してください。

『General Operations ASDM Configuration Guide（ASDM コンフィギュレーション ガイド（一般的な操作））』の「Managing Software and Configurations（ソフトウェアとコンフィギュレーションの管理）」の章を参照してください。

b.

ディセーブルにすることができないインターフェイスの設定が、ディセーブル化されていないことを確認します。

CLI から、 no shutdown コマンドを入力します。

ASDM で、[Configuration] > [Device Management] > [Interfaces] を選択します。

コマンドリファレンスの no shutdown コマンドを参照してください。

『General Operations ASDM Configuration Guide（ASDM コンフィギュレーション ガイド（一般的な操作））』の「Completing Interface Configuration（Routed Mode）（インターフェイス コンフィギュレーションの実行（ルーテッド モード））」の章を参照してください。

c.

アクセス リスト、インターフェイス、インスペクションが正しいことを確認します。

CLI で、show running-config コマンドを使用して、ASAv の設定が正しいことを確認します。

ASDM で、[Tools] > [Command Line Interface] を選択します。

『General Operations ASDM Configuration Guide（ASDM コンフィギュレーション ガイド（一般的な操作））』の「Using the ACL Manager（ACL マネージャの使用）」の章を参照してください。

『General Operations ASDM Configuration Guide（ASDM コンフィギュレーション ガイド（一般的な操作））』の「Starting Interface Configuration (ASA 5510 and Higher)（インターフェイス コンフィギュレーションの開始（ASA 5510 以降））」の章を参照してください。

『Firewall ASDM Configuration Guide（ファイアウォール ASDM コンフィギュレーション ガイド）』の「Getting Started with Application Layer Protocol Inspection（アプリケーション レイヤ プロトコル インスペクションの準備）」の章を参照してください。

コマンドリファレンスの show running-config コマンドを参照してください。

d.

本番環境に導入する前に、ASAv で変更された設定が目的の動作を行うかどうかをテストします。

CLI から、packet-tracer コマンドを使用します。

ASDM で、[Tools] > [Packet Tracer] を選択します。

コマンドリファレンスの packet tracer コマンドを参照してください。

『General Operations ASDM Configuration Guide（ASDM コンフィギュレーション ガイド（一般的な操作））』の「Troubleshooting（トラブルシューティング）」の章を参照してください。