Cisco Firepower Threat Defense コンフィギュレーションガイド（Firepower Device Manager バージョン 6.5.0 用）

FTD インターフェイスについて

FTD には、データインターフェイスや管理/診断インターフェイスが組み込まれています。

インターフェイス接続（物理的または仮想）のためにケーブルを接続するとき、インターフェイスを設定する必要があります。最小限の作業として、トラフィックを通過させることができるようにインターフェイスを指定して有効化します。インターフェイスがブリッジグループのメンバーである場合、これで十分です。ブリッジグループのメンバーでない場合、インターフェイスに IP アドレスを割り当てる必要があります。単一の物理インターフェイスではなく、VLAN サブインターフェイスを特定のポートで作成する場合、通常、物理インターフェイスではなくサブインターフェイス上で IP アドレスを設定します。VLAN サブインターフェイスを使用すると、物理インターフェイスを異なる VLAN ID でタグ付けされた複数の論理インターフェイスに分割できます。これは、スイッチのトランクポートに接続する場合に役立ちます。パッシブインターフェイスでは IP アドレスを設定しません。

[インターフェイス（Interface）] ページには、インターフェイスタイプに関する次のサブページが含まれています。[インターフェイス（Interfaces）]（物理インターフェイスの場合）、[ブリッジグループ（Bridge Groups）]、[EtherChannel（EtherChannels）]、および [VLAN（VLANs）]（Firepower 1010 の場合）。Firepower 4100/9300 EtherChannel は、[EtherChannel] ページではなく [インターフェイス（Interfaces）] ページに表示されます。これは、EtherChannel パラメータは、FDM ではなく FXOS でのみ変更できるためです。各ページには、利用可能なインターフェイスとそれぞれの名前、アドレス、モード、および状態が表示されます。インターフェイスのステータスは、インターフェイスのリストで直接オン/オフを変更できます。このリストは、設定に基づいたインターフェイス特性を示します。また、ブリッジグループ、EtherChannel、または VLAN インターフェイスの開く/閉じる矢印を使用すると、メンバーインターフェイスが表示されます。これらのインターフェイスは適切なリストにも表示されます。サポートされている親インターフェイスのサブインターフェイスを表示することもできます。これらのインターフェイスが仮想インターフェイスおよびネットワークアダプタにどのようにマッピングされるかについては、Firepower Threat Defense の物理インターフェイスへの VMware ネットワークアダプタとインターフェイスのマッピング方法を参照してください。

次のトピックでは、Firepower Device Manager、および他のインターフェイス管理概念を通じたインターフェイス設定に関する制限事項について説明します。

インターフェイスモード

インターフェイスごとに、次のいずれかのモードを設定できます。

ルーテッド

各レイヤ 3 ルーテッドインターフェイスに、固有のサブネット上の IP アドレスが必要です。通常、これらのインターフェイスをスイッチ、別のルータ上のポート、または ISP/WAN ゲートウェイに接続します。

パッシブ

パッシブインターフェイスは、スイッチ SPAN（スイッチドポートアナライザ）またはミラーポートを使用してネットワーク全体を流れるトラフィックをモニタします。SPAN またはミラーポートでは、スイッチ上の他のポートからトラフィックをコピーできます。この機能により、ネットワークトラフィックのフローに含まれなくても、ネットワークでのシステムの可視性が備わります。パッシブ展開で構成されたシステムでは、特定のアクション（トラフィックのブロッキングやシェーピングなど）を実行することができません。パッシブインターフェイスはすべてのトラフィックを無条件で受信します。このインターフェイスで受信されたトラフィックは再送されません。

スイッチポート（Firepower 1010）

ハードウェアのスイッチ機能を使用するレイヤ 2 のスイッチポート転送トラフィック。同じ VLAN 上のスイッチポートは、ハードウェアスイッチングを使用して相互に通信できます。トラフィックには、FTD セキュリティポリシーは適用されません。アクセスポートはタグなしトラフィックのみを受け入れ、単一の VLAN に割り当てることができます。トランクポートはタグなしおよびタグ付きトラフィックを受け入れ、複数の VLAN に属することができます。管理インターフェイスをスイッチポートとして設定することはできません。

BridgeGroupMember

ブリッジグループは、FTD がルーティングではなくブリッジするインターフェイスのグループです。すべてのインターフェイスが同じネットワーク上にあります。ブリッジグループはブリッジネットワークに IP アドレスを持つブリッジ仮想インターフェイス（BVI）によって表されます。

BVI に名前を付けると、ルーテッドインターフェイスと BVI の間のルーティングを実行できます。この場合、BVI はメンバーインターフェイスとルーテッドインターフェイス間のゲートウェイとして機能します。BVI に名前を指定しない場合、ブリッジグループメンバーのインターフェイス上のトラフィックはブリッジグループを離れることができません。通常、インターネットにメンバーインターフェイスをルーティングするため、インターフェイスに名前を付けます。

ブリッジグループのルーテッドモードでの使い方の 1 つは、外部スイッチの代わりに Firepower Threat Defense デバイスで追加のインターフェイスを使用することです。ブリッジグループのメンバーインターフェイスにエンドポイントを直接接続できます。また、BVI と同じネットワークにより多くのエンドポイントを追加するために、スイッチを接続できます。

管理/診断インターフェイス

管理ラベル付けされた物理ポート（または、Firepower Threat Defense Virtual の場合は Management0/0 仮想インターフェイス）には、2 つの別個のインターフェイスが実際に関連付けられています。

管理仮想インターフェイス：この IP アドレスは、システムの通信に使用されます。これはシステムがスマートライセンスに使用し、データベースの更新情報を取得するためのアドレスです。これに対して管理セッションを開くことができます（Firepower Device Manager および CLI）。[システム設定（System Settings）] > [管理インターフェイス（Management Interface）] で定義されている管理アドレスを設定する必要があります。
診断物理インターフェイス：物理管理ポートは、実際には診断という名前が付けられています。外部 syslog サーバに syslog メッセージを送信するためにこのインターフェイスを使用できます。診断物理インターフェイスの IP アドレスの設定は任意です。syslog で使用する場合にのみ、インターフェイスを設定します。このインターフェイスは、[デバイス（Device）] > [インターフェイス（Interfaces）] ページに表示され、そこで設定できます。診断物理インターフェイスは管理トラフィックのみを許可し、トラフィックのスルーは許可しません。

（ハードウェアデバイス）管理/診断を設定する際、物理ポートをネットワークに接続しないことをお勧めします。代わりに、管理 IP アドレスのみを設定し、インターネットからの更新情報を得るためのゲートウェイとして、データインターフェイスを使用するように設定します。次に、HTTPS/SSH トラフィック（デフォルトで HTTPS は有効）への内部インターフェイスを開き、内部 IP アドレスを使用して Firepower Device Manager を開きます（管理アクセスリストの設定を参照）。

Firepower Threat Defense Virtualの推奨設定は、Management0/0 を内部インターフェイスと同じネットワークに接続し、内部インターフェイスをゲートウェイとして使用することです。診断用に別のアドレスを設定しないでください。

個別の管理ネットワークの設定に関する推奨事項

（ハードウェアデバイス）分離した管理ネットワークを使用する場合は、物理管理/診断インターフェイスをスイッチまたはルータに有線で接続します。

Firepower Threat Defense Virtual では、Management0/0 を任意のデータインターフェイスから個別のネットワークに接続します。デフォルトの IP アドレスを使用している場合、管理 IP アドレスまたは内部インターフェイス IP アドレスは同一サブネット上にあるため、いずれかを変更する必要があります。

その後、次の設定を行います。

[デバイス（Device） > [システム設定（System Settings）] > [管理インターフェイス（Management Interface）] を選択して、接続されたネットワークで IPv4 または IPv6 アドレス（または両方）を設定します。必要に応じて、ネットワーク上の他のエンドポイントに IPv4 アドレスを指定するように DHCP サーバを設定できます。管理ネットワーク上にインターネットへのルートを持つルータがある場合、それをゲートウェイとして使用します。なければ、データインターフェイスをゲートウェイとして使用します。
インターフェイスを介して syslog サーバに syslog メッセージを送信しようとする場合にのみ、診断インターフェイスのアドレスを設定します（[デバイス（Device）] > [インターフェイス（Interface）]）。そうでない場合は、診断用のアドレスは設定しないでください。必要ありません。設定する IP アドレスは、管理 IP アドレスと同じサブネット上に存在する必要があります。DHCP サーバプールに設定することはできません。たとえば、デフォルト設定では 192.168.45.45 を管理アドレスとして使用し、192.168.45.46-192.168.45.254 を DHCP プールとして使用しているため、192.168.45.1 から 192.168.45.44 のアドレスを使用して診断アドレスを設定できます。

別の管理ネットワークのための管理/診断インターフェイス設定に関する制限事項

物理管理インターフェイスを配線する場合、または Firepower Threat Defense Virtual の場合は、Management0/0 を分離したネットワークに接続し、次の制限に従ってください。

管理ネットワークで DHCP サーバを設定する場合、管理インターフェイス（[デバイス（Device）] > [システム設定（System Settings）] > [管理インターフェイス（Management Interface）]）で設定します。診断（物理）インターフェイスで DHCP サーバを設定することはできません。
管理ネットワークに別の DHCP サーバがある場合、それを無効にしないと管理インターフェイス上でその DHCP サーバが実行されます。一般に、特定のサブネットで複数の DHCP サーバを設定することはできません。
管理および診断の両方にアドレスを設定する場合、それらが同じサブネット上にあることを確認します。
（ハードウェアデバイスのみ）診断の IP アドレスを設定する場合であっても、データインターフェイスを管理ゲートウェイとして使用できます。しかし、診断インターフェイスはデータインターフェイスをゲートウェイとして使用することはありません。診断インターフェイスから他のネットワークへのパスが必要な場合、管理ネットワーク上の別のルータが、診断 IP アドレスから送信されるトラフィックをルーティングする必要があります。必要に応じて、診断インターフェイスにスタティックルートを設定します（[デバイス（Device）] > [ルーティング（Routing）] を選択）。

セキュリティゾーン

各インターフェイスは単一のセキュリティゾーンに割り当てることができます。ゾーンに基づいてセキュリティポリシーを適用されます。たとえば、内部インターフェイスを内部ゾーンに割り当て、外部インターフェイスを外部ゾーンに割り当てることができます。また、たとえば、トラフィックが内部から外部に移動できるようにアクセスコントロールポリシーを設定することはできますが、外部から内部に向けては設定できません。

各ゾーンは、ルーテッドまたはパッシブのいずれかのモードになっています。これはインターフェイスのモードに直接関係します。ルーテッドインターフェイスとパッシブインターフェイスは、同じモードのセキュリティゾーンにのみ追加できます。

ブリッジグループでは、メンバーインターフェイスをゾーンに追加できますが、ブリッジ仮想インターフェイス（BVI）を追加することはできません。

ゾーンには診断/管理インターフェイスを含めません。ゾーンは、データインターフェイスにのみ適用されます。

セキュリティゾーンは [オブジェクト（Objects）] ページで作成できます。

IPv6 アドレス指定

次の 2 種類の IPv6 のユニキャストアドレスを設定できます。

グローバル：グローバルアドレスは、パブリックネットワークで使用可能なパブリックアドレスです。ブリッジグループの場合、各メンバーインターフェイスではなくブリッジ仮想インターフェイス（BVI）上でグローバルアドレスを設定します。次のいずれかをグローバルアドレスとして指定することはできません。
- 内部で予約済みの IPv6 アドレス：fd00::/56 (from=fd00:: to= fd00:0000:0000:00ff:ffff:ffff:ffff:ffff)
- 未指定のアドレス（::/128 など）
- ループバックアドレス（::1/128）
- マルチキャストアドレス（ff00::/8）
- リンクローカルアドレス（fe80::/10）
リンクローカル：リンクローカルアドレスは、直接接続されたネットワークだけで使用できるプライベートアドレスです。ルータは、リンクローカルアドレスを使用してパケットを転送するのではなく、特定の物理ネットワークセグメント上で通信だけを行います。ルータは、アドレス設定またはアドレス解決およびネイバー探索などのネットワーク検出機能に使用できます。ブリッジグループでは、BVI で IPv6 を有効にすると、自動的に各ブリッジグループのメンバーインターフェイスのリンクローカルアドレスが設定されます。リンクローカルアドレスがセグメントでのみ使用可能であり、インターフェイス MAC アドレスに接続されているため、各インターフェイスは独自のアドレスを持つ必要があります。

最低限、IPv6 が動作するようにリンクローカルアドレスを設定する必要があります。グローバルアドレスを設定すると、リンクローカルアドレスがインターフェイスに自動的に設定されるため、リンクローカルアドレスを個別に設定する必要はありません。グローバルアドレスを設定しない場合は、リンクローカルアドレスを自動的にするか、手動で設定する必要があります。

Auto-MDI/MDIX 機能

RJ-45 インターフェイスでは、デフォルトの自動ネゴシエーション設定に Auto-MDI/MDIX 機能も含まれています。Auto-MDI/MDIX は、オートネゴシエーションフェーズでストレートケーブルを検出すると、内部クロスオーバーを実行することでクロスケーブルによる接続を不要にします。インターフェイスの Auto-MDI/MDIX を有効にするには、速度とデュプレックスのいずれかをオートネゴシエーションに設定する必要があります。速度とデュプレックスの両方に明示的に固定値を指定すると、両方の設定でオートネゴシエーションが無効にされ、Auto-MDI/MDIX も無効になります。ギガビットイーサネットの速度と二重通信をそれぞれ 1000 と全二重に設定すると、インターフェイスでは常にオートネゴシエーションが実行されるため、Auto-MDI/MDIX は常に有効になり、無効にできません。

インターフェイスに関する注意事項と制限事項

ここでは、インターフェイスに関する制限事項について説明します。

インターフェイス設定の制限事項

Firepower Device Manager を使用してデバイスを設定する場合、インターフェイス設定に関するいくつかの制限があります。次の機能のいずれかが必要である場合、デバイスを設定するためにFirepower Management Centerを使用する必要があります。

ルーテッドファイアウォールモードのみがサポートされます。トランスペアレントファイアウォールモードのインターフェイスは設定できません。
パッシブインターフェイスの設定は可能ですが、ERSPAN インターフェイスを設定することはできません。
インターフェイスをインライン（インラインセット内）またはインラインタップ（IPS オンリー処理用）に設定することはできません。IPS 専用モードのインターフェイスは、多数のファイアウォールのチェックをバイパスし、IPS セキュリティポリシーのみをサポートします。対照的に、ファイアウォールモードのインターフェイスでは、トラフィックが、フローの維持、IP レイヤおよび TCP レイヤの両方でのフロー状態の追跡、TCP の標準化などのファイアウォール機能の対象となります。また、任意で、セキュリティポリシーに従ってファイアウォールモードのトラフィックに IPS 機能を設定することもできます。
冗長インターフェイスは設定できません。
FDM の Etherchannel は、Firepower 1000 および 2100シリーズでのみ追加できます。Firepower 4100/9300 は Etherchannel をサポートしていますが、シャーシ上の FXOS で Etherchannel のすべてのハードウェア設定を実行する必要があります。Firepower 4100/9300 の Etherchannel は、単一の物理インターフェイスとともに FDM の [インターフェイス（Interfaces）] ページに表示されます。
追加できるブリッジグループは 1 つだけです。
IPv4 の PPPoE を設定することはできません。インターネットインターフェイスが DSL、ケーブルモデム、または ISP へのその他の接続に接続されていて、ISP が PPPoE を使用して IP アドレスを提供している場合、これらの構成を設定するには、Firepower Management Centerを使用する必要があります。

デバイスモデルによる VLAN サブインターフェイスの最大数

デバイスモデルにより、設定できる VLAN サブインターフェイスの最大数が制限されます。データインターフェイスでのみサブインターフェイスを設定することができ、管理インターフェイスでは設定できないことに注意してください。

次の表で、各デバイスモデルの制限について説明します。


モデル	VLAN サブインターフェイスの最大数
Firepower 1010	60
Firepower 1120	512
Firepower 1140、1150	1024
Firepower 2100	1024
Firepower 4100	1024
Firepower 9300	1024
Firepower Threat Defense Virtual	50
ASA 5508-X	50
ASA 5516-X	100
ASA 5525-X	200
ASA 5545-X	300
ASA 5555-X	500
ISA 3000	25

物理インターフェイスの設定

少なくとも、使用する物理インターフェイスは有効にする必要があります。通常は名前も付けて、IP アドレッシングを設定します。VLAN サブインターフェイスを設定する予定の場合、パッシブモードインターフェイスを設定している場合、またはインターフェイスをブリッジグループに追加する予定の場合は、IP アドレッシングを設定しません。 Firepower 4100/9300 の Etherchannel は、単一の物理インターフェイスとともに FDM の [インターフェイス（Interfaces）] ページに表示され、この手順はこれらの Etherchannel にも適用されます。シャーシ上の FXOS で、Firepower 4100/9300 Etherchannel のすべてのハードウェア設定を実行する必要があります。

（注）

物理インターフェイスを Firepower 1010 スイッチポートとして設定するには、VLAN インターフェイスおよびスイッチポートの設定（Firepower 1010）を参照してください。

物理インターフェイスをパッシブインターフェイスとして設定するには、パッシブモードでの物理インターフェイスの設定を参照してください。

接続されたネットワークでの送信を一時的に防ぐために、インターフェイスを無効にできます。インターフェイスの設定を削除する必要はありません。

手順

ステップ 1

[デバイス（Device）] をクリックしてから、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックします。

[インターフェイス（Interfaces）] タブがデフォルトで選択されます。インターフェイスリストに、物理インターフェイスとそれぞれの名前、アドレス、状態が示されます。

ステップ 2

編集する物理インターフェイスの [編集（edit）] アイコン（）をクリックします。

高可用性設定でフェールオーバーリンクまたはステートフルフェールオーバーリンクとして使用しているインターフェイスを編集することはできません。

ステップ 3

次の設定を行います。

[インターフェイス名（Interface Name）] を設定します。

インターフェイスの名前（最大 48 文字）を設定します。英字は小文字にする必要があります。例、[inside] または [outside]。名前を設定しないと、インターフェイスの残りの設定は無視されます。サブインターフェイスを設定する場合を除き、インターフェイスには名前が必要です。注：EtherChannel に追加するインターフェイスの名前は設定しないでください。

（注）

名前を変更すると、その変更は古い名前を使用しているすべての場所（セキュリティゾーン、syslog サーバオブジェクト、DHCP サーバの定義を含む）に自動的に反映されます。ただし、通常、ポリシーや設定に名前のないインターフェイスは使用できないため、最初に古い名前を使用しているすべての設定を削除しないと、その名前は削除できません。

[モード（Mode）]を選択します。
- [ルーテッド（Routed）]：ルーテッドモードインターフェイスでは、トラフィックはフローの維持、IP 層と TCP 層の両方でのフロー状態のトラッキング、IP の最適化、TCP の正規化、ファイアウォールポリシーなど、すべてのファイアウォール機能の管理下に置かれます。これが通常のインターフェイスモードです。
- [パッシブ（Passive）]：パッシブインターフェイスは、スイッチ SPAN またはミラーポートを使用してネットワーク中のトラフィックフローをモニタします。SPAN またはミラーポートでは、スイッチ上の他のポートからトラフィックをコピーできます。この機能により、ネットワークトラフィックのフローに含まれなくても、ネットワークでのシステムの可視性が備わります。パッシブ展開で構成されたシステムでは、特定のアクション（トラフィックのブロッキングやシェーピングなど）を実行することができません。パッシブインターフェイスはすべてのトラフィックを無条件で受信します。このインターフェイスで受信されたトラフィックは再送されません。このモードを選択する場合、残りの手順は実行しないでください。代わりに、パッシブモードでの物理インターフェイスの設定を参照してください。パッシブのインターフェイスで IP アドレスを設定することはできません。
- スイッチポート：（Firepower 1010）スイッチポートにより、同じ VLAN 上でのポート間のハードウェアスイッチングが可能になります。スイッチングされたトラフィックはセキュリティポリシーの対象にはなりません。このモードを選択する場合、残りの手順は実行しないでください。代わりに、次を参照してください。 VLAN インターフェイスおよびスイッチポートの設定（Firepower 1010）
後でこのインターフェイスをブリッジグループに追加すると、モードは自動的に「BridgeGroupMember」に変更されます。ブリッジグループのメンバーインターフェイスには IP アドレスを設定できません。

[ステータス（Status）] スライダを [有効（enabled）] 設定（ [有効（Enabled）] スライダ。）に設定します。

Firepower 4100/9300 デバイス上のインターフェイスの場合は、FXOS でもインターフェイスを有効にする必要があります。

この物理インターフェイスのサブインターフェイスを設定する予定の場合、すでに設定している可能性が高いです。[保存（Save）] をクリックして、VLAN サブインターフェイスと 802.1Q トランキングの設定に進みます。保存しない場合は、次に進みます。

（注）

サブインターフェイスを設定している場合でも、インターフェイスに名前を付けて、IP アドレスを指定できます。これは一般的な設定ではありませんが、必要だとわかっている場合は設定できます。

（任意） [説明（Description）] を設定します。

説明は 200 文字以内で、改行を入れずに 1 行で入力します。

ステップ 4

[IPv4アドレス（IPv4 Address）] タブをクリックして、IPv4 アドレスを設定します。

[タイプ（Type）] フィールドから次のいずれかのオプションを選択します。

[ダイナミック（Dynamic）]（DHCP）：ネットワーク上の DHCP サーバからアドレスを取得する必要がある場合は、このオプションを選択します。ハイアベイラビリティを設定する場合、このオプションは使用できません。必要に応じて、次のオプションを変更します。
- [ルートメトリック（Route Metric）]：DHCP サーバからデフォルトルートを取得する場合、学習済みルートまでのアドミニストレーティブディスタンスは 1 ~ 255 の間です。デフォルトは 1 です。
- [デフォルトルートを取得（Obtain Default Route）]：デフォルトルートを DHCP サーバから取得するかどうかを指定します。通常は、デフォルトであるこのオプションを選択します。

[スタティック（Static）]：変更されない必要があるアドレスを割り当てる場合は、このオプションを選択します。インターフェイスに接続されたネットワークに対するインターフェイスの IP アドレスとサブネットマスクを入力します。たとえば、10.100.10.0/24 ネットワークを接続する場合は、「10.100.10.1/24」と入力します。このアドレスがネットワーク上ですでに使用されていないことを確認します。

高可用性を設定し、このインターフェイスの HA をモニタしている場合は、同じサブネット上のスタンバイ IP アドレスも設定します。スタンバイアドレスは、スタンバイデバイスでこのインターフェイスにより使用されます。スタンバイ IP アドレスを設定しない場合、アクティブユニットはネットワークテストを使用してスタンバイインターフェイスをモニタできず、リンクステートをトラックすることしかできません。

（注）

インターフェイスに対して設定されている DHCP サーバがある場合は、その設定が表示されます。DHCP アドレスプールを編集または削除できます。インターフェイスの IP アドレスを別のサブネットに変更する場合は、インターフェイスの変更を保存する前に、DHCP サーバを削除するか、新しいサブネット上にアドレスプールを構成する必要があります。DHCP サーバの設定を参照してください。

ステップ 5

（オプション）[IPv6アドレス（IPv6 Address）] タブをクリックして、IPv6 アドレスを設定します。

[状態（State）]：グローバルアドレスを設定しない場合に IPv6 処理を有効にしてリンクローカルアドレスを自動的に設定するには、[有効（Enabled）] を選択します。リンクローカルアドレスはインターフェイスの MAC アドレス（Modified EUI-64 形式）に基づいて生成されます。

（注）

IPv6 を無効にしても、明示的な IPv6 アドレスを指定して設定されているインターフェイス、または自動設定が有効になっているインターフェイスの IPv6 処理は無効になりません。

[アドレスの自動設定（Address Auto Configuration）]：アドレスを自動的に設定するには、このオプションを選択します。IPv6 ステートレス自動設定では、デバイスが存在するリンクで使用する IPv6 グローバルプレフィックスのアドバタイズメントなどの、IPv6 サービスを提供するようにルータが設定されている場合に限り、グローバルな IPv6 アドレスが生成されます。IPv6 ルーティングサービスがリンクで使用できない場合、リンクローカル IPv6 アドレスのみが取得され、そのデバイスが属するネットワークリンクの外部にはアクセスできません。リンクローカルアドレスは Modified EUI-64 インターフェイス ID に基づいています。

RFC 4862 では、ステートレス自動設定用に設定されたホストはルータアドバタイズメントメッセージを送信しないと規定されていますが、この場合は、FTD デバイスがルータアドバタイズメントメッセージを送信します。メッセージを抑制して、RFC に準拠するためには、[RA を抑制（Suppress RA）] を選択します。

[スタティックアドレスとプレフィックス（Static Address/Prefix）]：ステートレス自動設定を使用しない場合、完全なスタティックグローバル IPv6 アドレスとネットワークプレフィックスを入力します。たとえば、「2001:0DB8::BA98:0:3210/48」のように入力します。IPv6 アドレッシングの詳細については、IPv6 アドレス指定を参照してください。

アドレスをリンクローカル専用として使用する場合は、[リンクローカル（Link - Local）] オプションを選択します。リンクローカルアドレスでは、ローカルネットワークの外部にはアクセスできません。リンクローカルアドレスはブリッジグループインターフェイスには設定できません。

（注）

リンクローカルアドレスは、FE8、FE9、FEA、または FEB で始まっている必要があります。例、fe80::20d:88ff:feee:6a82。Modified EUI-64 形式に基づくリンクローカルアドレスを自動的に割り当てることを推奨します。たとえば、その他のデバイスで Modified EUI-64 形式の使用が強制される場合、手動で割り当てたリンクローカルアドレスによりパケットがドロップされることがあります。

[スタンバイIPアドレス（Standby IP Address）]：高可用性を設定し、このインターフェイスの HA をモニタリングしている場合は、同じサブネット上にスタンバイ IPv6 アドレスも設定します。スタンバイアドレスは、スタンバイデバイスでこのインターフェイスにより使用されます。スタンバイ IP アドレスを設定しない場合、アクティブユニットはネットワークテストを使用してスタンバイインターフェイスをモニタできず、リンクステートをトラックすることしかできません。
[RAを抑制（Suppress RA）]：ルータアドバタイズメントを抑制するかどうかを指定します。ネイバーデバイスがデフォルトのルータアドレスをダイナミックに把握できるように、Firepower Threat Defense デバイスはルータアドバタイズメントに参加できます。デフォルトでは、ルータアドバタイズメントメッセージ（ICMPv6 Type 134）は、設定済みの各 IPv6 インターフェイスに定期的に送信されます。

ルータアドバタイズメントもルータ要請メッセージ（ICMPv6 Type 133）に応答して送信されます。ルータ要請メッセージは、システムの起動時にホストから送信されるため、ホストは、次にスケジュールされているルータアドバタイズメントメッセージを待つことなくただちに自動設定できます。

FTD デバイスで IPv6 プレフィックスを提供する必要がないインターフェイス（外部インターフェイスなど）では、これらのメッセージを抑制できます。

ステップ 6

（任意）詳細オプションの設定。

詳細設定には、ほとんどのネットワークで最適となるデフォルトが用意されています。ネットワーク問題を解決する場合に限り、これらを編集します。

ステップ 7

[OK] をクリックします。

次のタスク

インターフェイスを適切なセキュリティゾーンに追加します。セキュリティゾーンの設定を参照してください。

ブリッジグループの設定

ブリッジグループは 1 つ以上のインターフェイスをグループ化する仮想インターフェイスです。インターフェイスをグループ化する主な理由は、スイッチドインターフェイスのグループを作成することにあります。そのため、ブリッジグループに含まれているインターフェイスにワークステーションやその他のエンドポイントデバイスを直接接続できます。それらは別の物理スイッチを介して接続する必要はありませんが、スイッチをブリッジグループメンバーに接続することもできます。

グループメンバーには IP アドレスはありません。代わりに、すべてのメンバーインターフェイスがブリッジ仮想インターフェイス（BVI）の IP アドレスを共有します。BVI で IPv6 を有効にすると、メンバーインターフェイスには一意のリンクローカルアドレスが自動的に割り当てられます。

メンバーインターフェイスは個別に有効または無効にします。そのため、未使用のインターフェイスはブリッジグループから削除することなく無効化できます。ブリッジグループ自体は常に有効になっています。

通常は、メンバーインターフェイス経由で接続されているエンドポイントの IP アドレスを提供するブリッジグループインターフェイス（BVI）に DHCP サーバを設定します。ただし、必要に応じて、メンバーインターフェイスに接続されているエンドポイントにスタティックアドレスを設定できます。ブリッジグループ内のすべてのエンドポイントには、ブリッジグループの IP アドレスと同じサブネットの IP アドレスが必要です。

注意事項と制約事項

ブリッジグループを 1 つ追加できます。
EtherChannel はブリッジグループメンバーとしてサポートされません。Firepower 4100/9300 上の Etherchannel は、ブリッジグループメンバーにすることができます。
Firepower 2100 シリーズまたは Firepower Threat Defense Virtual デバイスにブリッジグループを設定することはできません。
Firepower 1010 では、同じブリッジグループ内に論理 VLAN インターフェイスと物理ファイアウォールインターフェイスを混在させることはできません。
ISA 3000 は、ブリッジグループ BVI1 を使用して事前に設定されています（名前は付けられていません。これは、ルーティングに参加しないことを意味します）。BVI1 にはすべてのデータインターフェイス（GigabitEthernet1/1（outside1）、GigabitEthernet1/2（inside1）、GigabitEthernet1/3（outside2）、GigabitEthernet1/4（inside2））が含まれています。ネットワークに合わせて BVI1 IP アドレスを設定する必要があります。

始める前に

ブリッジグループのメンバーになるインターフェイスを設定します。具体的には、各メンバーインターフェイスは、次の要件を満たしている必要があります。

インターフェイスには名前が必要です。
静的に、または DHCP を介してインターフェイス用に定義された IPv4 または IPv6 アドレスは設定できません。現在使用しているインターフェイスからアドレスを削除する必要がある場合、そのインターフェイスのその他の設定（アドレスを持つインターフェイスに依存するスタティックルート、DHCP サーバ、NAT ルールなど）も削除する必要がある場合があります。
インターフェイスをブリッジグループに追加する前に、セキュリティゾーン（ゾーン内にある場合）からそのインターフェイスを削除し、そのインターフェイスのすべての NAT ルールを削除する必要があります。

手順

ステップ 1

[デバイス（Device）] をクリックし、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックし、[ブリッジグループ（Bridge Groups）] をクリックします。

ブリッジグループのリストに、既存のブリッジグループが表示されます。各ブリッジグループのメンバーインターフェイスを表示するには、開/閉矢印をクリックします。また、メンバーインターフェイスは [インターフェイス（Interfaces）] または [VLAN（VLANs）] ページでも個別に表示されます。

ステップ 2

次のいずれかを実行します。

BVI1 ブリッジグループの編集アイコン（）をクリックします。

[ブリッジグループの作成（Create Bridge Group）] をクリックするか、プラスアイコン（プラスのアイコン。）をクリックして、新しいグループを作成します。

（注）

ブリッジグループは 1 つ設定できます。ブリッジグループをすでに定義している場合は、新しいグループ作成するのではなく、そのグループを編集する必要があります。新しいブリッジグループを作成する必要がある場合は、まず既存のブリッジグループを削除する必要があります。

不要になったブリッジグループの [削除（delete）] アイコン（）をクリックします。ブリッジグループを削除すると、そのメンバーは標準のルーテッドインターフェイスになり、NAT ルールまたはセキュリティゾーンのメンバーシップはすべて維持されます。インターフェイスを編集して、IP アドレスを付与できます。新しいブリッジグループにそれらのインターフェイスを追加する場合は、まず NAT ルールを削除し、インターフェイスをセキュリティゾーンから削除する必要があります。

ステップ 3

以下を設定します。

（任意） [インターフェイス名（Interface Name）] を設定します。

ブリッジグループの名前（最大 48 文字）を設定します。英字は小文字にする必要があります。例、[inside] または [outside]。この BVI を他の名前付きインターフェイスとの間におけるルーティングに参加させる場合は、名前を設定します。

（注）

名前を変更すると、その変更は古い名前を使用しているすべての場所（セキュリティゾーン、syslog サーバオブジェクト、DHCP サーバの定義を含む）に自動的に反映されます。ただし、通常、ポリシーや設定に名前のないインターフェイスは使用できないため、最初に古い名前を使用しているすべての設定を削除しないと、その名前は削除できません。

（任意） [説明（Description）] を設定します。

説明は 200 文字以内で、改行を入れずに 1 行で入力します。
[ブリッジグループメンバー（Bridge Group Members）] のリストを編集します。
1 つのブリッジグループに最大 64 個のインターフェイスまたはサブインターフェイスを追加できます。
- インターフェイスの追加：プラスアイコン（）をクリックし、1 つまたは複数のインターフェイスをクリックして、[OK] をクリックします。
- インターフェイスの削除：インターフェイスにカーソルを合わせ、右側に表示される [x] をクリックします。

ステップ 4

[IPv4アドレス（IPv4 Address）] タブをクリックして、IPv4 アドレスを設定します。

[タイプ（Type）] フィールドから次のいずれかのオプションを選択します。

[スタティック（Static）]：変更されない必要があるアドレスを割り当てる場合は、このオプションを選択します。ブリッジグループの IP アドレスとサブネットマスクを入力します。接続されているエンドポイントはすべて、このネットワーク上に存在することになります。このアドレスがネットワーク上ですでに使用されていないことを確認します。

高可用性を設定し、このインターフェイスの HA をモニタしている場合は、同じサブネット上のスタンバイ IP アドレスも設定します。スタンバイアドレスは、スタンバイデバイスでこのインターフェイスにより使用されます。スタンバイ IP アドレスを設定しない場合、アクティブユニットはネットワークテストを使用してスタンバイインターフェイスをモニタできず、リンクステートをトラックすることしかできません。

（注）

インターフェイスに対して設定されている DHCP サーバがある場合は、その設定が表示されます。DHCP アドレスプールを編集または削除できます。インターフェイスの IP アドレスを別のサブネットに変更する場合は、インターフェイスの変更を保存する前に、DHCP サーバを削除するか、新しいサブネット上にアドレスプールを構成する必要があります。DHCP サーバの設定を参照してください。

[ダイナミック（Dynamic）]（DHCP）：ネットワーク上の DHCP サーバからアドレスを取得する必要がある場合は、このオプションを選択します。これはブリッジグループの一般的なオプションではありませんが、必要に応じて設定できます。ハイアベイラビリティを設定する場合、このオプションは使用できません。必要に応じて、次のオプションを変更します。
- [ルートメトリック（Route Metric）]：DHCP サーバからデフォルトルートを取得する場合、学習済みルートまでのアドミニストレーティブディスタンスは 1 ~ 255 の間です。デフォルトは 1 です。
- [デフォルトルートを取得（Obtain Default Route）]：デフォルトルートを DHCP サーバから取得するかどうかを指定します。通常は、デフォルトのこのオプションを選択します。

ステップ 5

（オプション）[IPv6アドレス（IPv6 Address）] タブをクリックして、IPv6 アドレスを設定します。

[状態（State）]：グローバルアドレスを設定しない場合に IPv6 処理を有効にしてリンクローカルアドレスを自動的に設定するには、[有効（Enabled）] を選択します。リンクローカルアドレスはインターフェイスの MAC アドレス（Modified EUI-64 形式）に基づいて生成されます。

（注）

IPv6 を無効にしても、明示的な IPv6 アドレスを指定して設定されているインターフェイス、または自動設定が有効になっているインターフェイスの IPv6 処理は無効になりません。

[スタティックアドレスとプレフィックス（Static Address/Prefix）]：ステートレス自動設定を使用しない場合、完全なスタティックグローバル IPv6 アドレスとネットワークプレフィックスを入力します。たとえば、「2001:0DB8::BA98:0:3210/48」のように入力します。IPv6 アドレッシングの詳細については、IPv6 アドレス指定を参照してください。

アドレスをリンクローカル専用として使用する場合は、[リンクローカル（Link - Local）] オプションを選択します。リンクローカルアドレスでは、ローカルネットワークの外部にはアクセスできません。リンクローカルアドレスはブリッジグループインターフェイスには設定できません。

（注）

リンクローカルアドレスは、FE8、FE9、FEA、または FEB で始まっている必要があります。例、fe80::20d:88ff:feee:6a82。Modified EUI-64 形式に基づくリンクローカルアドレスを自動的に割り当てることを推奨します。たとえば、その他のデバイスで Modified EUI-64 形式の使用が強制される場合、手動で割り当てたリンクローカルアドレスによりパケットがドロップされることがあります。

[スタンバイIPアドレス（Standby IP Address）]：高可用性を設定し、このインターフェイスの HA をモニタリングしている場合は、同じサブネット上にスタンバイ IPv6 アドレスも設定します。スタンバイアドレスは、スタンバイデバイスでこのインターフェイスにより使用されます。スタンバイ IP アドレスを設定しない場合、アクティブユニットはネットワークテストを使用してスタンバイインターフェイスをモニタできず、リンクステートをトラックすることしかできません。
[RAを抑制（Suppress RA）]：ルータアドバタイズメントを抑制するかどうかを指定します。ネイバーデバイスがデフォルトのルータアドレスをダイナミックに把握できるように、Firepower Threat Defense デバイスはルータアドバタイズメントに参加できます。デフォルトでは、ルータアドバタイズメントメッセージ（ICMPv6 Type 134）は、設定済みの各 IPv6 インターフェイスに定期的に送信されます。

ルータアドバタイズメントもルータ要請メッセージ（ICMPv6 Type 133）に応答して送信されます。ルータ要請メッセージは、システムの起動時にホストから送信されるため、ホストは、次にスケジュールされているルータアドバタイズメントメッセージを待つことなくただちに自動設定できます。

FTD デバイスで IPv6 プレフィックスを提供する必要がないインターフェイス（外部インターフェイスなど）では、これらのメッセージを抑制できます。

ステップ 6

（オプション）詳細オプションの設定。

ブリッジグループ メンバー インターフェイスに対して最も詳細なオプションを設定しますが、一部はブリッジグループインターフェイスでも使用できます。

詳細設定には、ほとんどのネットワークに適しているデフォルト設定があります。デフォルト設定はネットワークの問題を解決する場合のみ編集します。

ステップ 7

[OK] をクリックします。

次のタスク

使用する予定のすべてのメンバーインターフェイスが有効になっていることを確認します。
ブリッジグループの DHCP サーバを設定します。DHCP サーバの設定を参照してください。
メンバーインターフェイスを適切なセキュリティゾーンに追加します。セキュリティゾーンの設定を参照してください。
アイデンティティ、NAT、アクセスなどのポリシーにより、ブリッジグループとメンバーインターフェイスに必要なサービスが提供されることを確認します。

EtherChannel の設定

ここでは、EtherChannel とそれらの設定方法について説明します。

（注）

FDM の Etherchannel は Firepower 1000 および 2100 シリーズにのみ追加できます。Firepower 4100/9300 は Etherchannel をサポートしていますが、シャーシ上の FXOS で Etherchannel のすべてのハードウェア設定を実行する必要があります。Firepower 4100/9300 の Etherchannel は、単一の物理インターフェイスとともに FDM の [インターフェイス（Interfaces）] ページに表示されます。

EtherChannel について

802.3ad EtherChannel は、単一のネットワークの帯域幅を増やすことができるように、個別のイーサネットリンク（チャネルグループ）のバンドルで構成される論理インターフェイスです（ポートチャネルインターフェイスと呼びます）。ポートチャネルインターフェイスは、インターフェイス関連の機能を設定するときに、物理インターフェイスと同じように使用します。

モデルでサポートされているインターフェイスの数に応じて、最大 48 個の Etherchannel を設定できます。

チャネルグループインターフェイス

各チャネルグループは、最大 8 個のアクティブインターフェイスを設定できます。

チャネルグループのインターフェイスはすべて、同じタイプおよび同じ速度である必要があります。チャネルグループに追加された最初のインターフェイスによって、正しいタイプと速度が決まります。

EtherChannel によって、チャネル内の使用可能なすべてのアクティブインターフェイスのトラフィックが集約されます。インターフェイスは、送信元または宛先 MAC アドレス、IP アドレス、TCP および UDP ポート番号、および VLAN 番号に基づいて、独自のハッシュアルゴリズムを使用して選択されます。

別のデバイスの EtherChannel への接続

FTD EtherChannel の接続先のデバイスも 802.3ad EtherChannel をサポートしている必要があります。たとえば、Catalyst 6500 スイッチまたは Cisco Nexus 7000 に接続できます。

スイッチが仮想スイッチングシステム（VSS）または仮想ポートチャネル（vPC）の一部である場合、同じ EtherChannel 内の FTD インターフェイスを VSS/vPC 内の個別のスイッチに接続できます。スイッチインターフェイスは同じ EtherChannel ポートチャネルインターフェイスのメンバです。複数の個別のスイッチが単一のスイッチのように動作するからです。

FTD をアクティブ/スタンバイフェールオーバー配置で使用する場合、FTD ごとに 1 つ、VSS/vPC 内のスイッチで個別の EtherChannel を作成する必要があります。各 FTD で、1 つの EtherChannel が両方のスイッチに接続します。すべてのスイッチインターフェイスを両方の FTD に接続する単一の EtherChannel にグループ化できる場合でも（この場合、個別の FTD システム ID のため、EtherChannel は確立されません）、単一の EtherChannel は望ましくありません。これは、トラフィックをスタンバイ FTD に送信しないようにするためです。

リンク集約制御プロトコル

リンク集約制御プロトコル（LACP）では、2 つのネットワークデバイス間でリンク集約制御プロトコルデータユニット（LACPDU）を交換することによって、インターフェイスが集約されます。

EtherChannel 内の各物理インターフェイスを次のように設定できます。

アクティブ：LACP アップデートを送信および受信します。アクティブ EtherChannel は、アクティブまたはパッシブ EtherChannel と接続を確立できます。LACP トラフィックを最小にする必要がある場合以外は、アクティブモードを使用する必要があります。
オン：EtherChannel は常にオンであり、LACP は使用されません。「オン」の EtherChannel は、別の「オン」の EtherChannel のみと接続を確立できます。

LACP では、ユーザが介入しなくても、EtherChannel へのリンクの自動追加および削除が調整されます。また、コンフィギュレーションの誤りが処理され、メンバインターフェイスの両端が正しいチャネルグループに接続されていることがチェックされます。「オン」モードではインターフェイスがダウンしたときにチャネルグループ内のスタンバイインターフェイスを使用できず、接続とコンフィギュレーションはチェックされません。

ロードバランシング

FTD は、パケットの送信元および宛先 IP アドレスをハッシュすることによって、パケットを EtherChannel 内のインターフェイスに分散します（この基準は設定可能です）。生成されたハッシュ値をアクティブなリンクの数で割り、そのモジュロ演算で求められた余りの値によってフローの割り当て先のインターフェイスが決まります。hash_value mod active_links の結果が 0 となるすべてのパケットは、EtherChannel 内の最初のインターフェイスへ送信され、以降は結果が 1 となるものは 2 番目のインターフェイスへ、結果が 2 となるものは 3 番目のインターフェイスへ、というように送信されます。たとえば、15 個のアクティブリンクがある場合、モジュロ演算では 0 ～ 14 の値が得られます。6 個のアクティブリンクの場合、値は 0 ～ 5 となり、以降も同様になります。

アクティブインターフェイスがダウンし、スタンバイインターフェイスに置き換えられない場合、トラフィックは残りのリンク間で再バランスされます。失敗はレイヤ 2 のスパニングツリーとレイヤ 3 のルーティングテーブルの両方からマスクされるため、他のネットワークデバイスへのスイッチオーバーはトランスペアレントです。

EtherChannel MAC アドレス

1 つのチャネルグループに含まれるすべてのインターフェイスは、同じ MAC アドレスを共有します。この機能によって、EtherChannel はネットワークアプリケーションとユーザに対してトランスペアレントになります。ネットワークアプリケーションやユーザから見えるのは 1 つの論理接続のみであり、個々のリンクのことは認識しないからです。

ポートチャネルインターフェイスは、最も小さいチャネルグループインターフェイスの MAC アドレスをポートチャネル MAC アドレスとして使用します。または、ポートチャネルインターフェイスの MAC アドレスを手動で設定することもできます。グループチャネルインターフェイスのメンバーシップを変更する場合は、固有の MAC アドレスを設定することを推奨します。ポートチャネル MAC アドレスを提供していたインターフェイスを削除すると、そのポートチャネル MAC アドレスは次に番号が小さいインターフェイスに変わるため、トラフィックが分断されます。

EtherChannel インターフェイスのガイドライン

ブリッジグループ

FDM で定義された EtherChannel はブリッジグループメンバーとしてサポートされません。Firepower 4100/9300 上の Etherchannel は、ブリッジグループメンバーにすることができます。

高可用性

EtherChannel インターフェイスを高可用性リンクとして使用する場合、高可用性ペアの両方のユニットでその事前設定を行う必要があります。プライマリユニットで設定し、セカンダリ装置に複製されることは想定できません。これは、複製には高可用性リンク自体が必要であるためです。
EtherChannel インターフェイスをステートリンクに対して使用する場合、特別なコンフィギュレーションは必要ありません。コンフィギュレーションは通常どおりプライマリ装置から複製されます。Firepower 4100/9300 シャーシでは、Etherchannel を含むすべてのインターフェイスを両方のユニットで事前に設定する必要があります。
monitor-interface コマンドを使用して、高可用性。アクティブなメンバーインターフェイスがスタンバイインターフェイスにフェールオーバーした場合、デバイスレベルの高可用性をモニタしているときには、EtherChannel インターフェイスで障害が発生しているようには見えません。すべての物理インターフェイスで障害が発生した場合にのみ、EtherChannel インターフェイスで障害が発生しているように見えます。
EtherChannel インターフェイスを高可用性またはステートリンクに対して使用する場合、パケットが順不同にならないように、EtherChannel 内の 1 つのインターフェイスのみが使用されます。そのインターフェイスで障害が発生した場合は、EtherChannel 内の次のリンクが使用されます。高可用性リンクとして使用中の EtherChannel の設定は変更できません。設定を変更するには、高可用性を一時的に無効にする必要があります。これにより、高可用性がその期間に発生することはありません。

モデルのサポート

FDM の Etherchannel は Firepower 1000 および 2100 シリーズにのみ追加できます。Firepower 4100/9300 は Etherchannel をサポートしていますが、シャーシ上の FXOS で Etherchannel のすべてのハードウェア設定を実行する必要があります。Firepower 4100/9300 の Etherchannel は、単一の物理インターフェイスとともに FDM の [インターフェイス（Interfaces）] ページに表示されます。
Etherchannel で Firepower 1010 のスイッチポートまたは VLAN インターフェイスを使用することはできません。

EtherChannel の一般的なガイドライン

モデルで使用可能なインターフェイスの数に応じて、最大 48 個の Etherchannel を設定できます。
各チャネルグループは、最大 8 個のアクティブインターフェイスを設定できます。
チャネルグループのインターフェイスはすべて、同じタイプおよび同じ速度である必要があります。チャネルグループに追加された最初のインターフェイスによって、正しいタイプと速度が決まります。
FTD の EtherChannel の接続先デバイスも 802.3ad EtherChannel をサポートしている必要があります。
FTD は、VLAN タグ付きの LACPDU をサポートしていません。Cisco IOS vlan dot1Q tag native コマンドを使用して、隣接スイッチのネイティブ VLAN タギングをイネーブルにすると FTD はタグ付きの LACPDU をドロップします。隣接スイッチのネイティブ VLAN タギングは、必ずディセーブルにしてください。
15.1(1)S2 以前の Cisco IOS ソフトウェアバージョンを実行する FTD では、スイッチスタックへの EtherChannel の接続がサポートされていませんでした。デフォルトのスイッチ設定では、FTD EtherChannel がクロススタックに接続されている場合、マスタースイッチの電源がオフになると、残りのスイッチに接続されている EtherChannel は起動しません。互換性を高めるため、stack-mac persistent timer コマンドを設定して、十分なリロード時間を確保できる大きな値、たとえば 8 分、0 （無制限）などを設定します。または、15.1(1)S2 など、より安定したスイッチソフトウェアバージョンにアップグレードできます。
すべての FTD コンフィギュレーションは、メンバ物理インターフェイスではなく論理 EtherChannel インターフェイスを参照します。

EtherChannel の追加

EtherChannel を追加して、メンバーインターフェイスを割り当てます。

（注）

FDM の Etherchannel は Firepower 1000 および 2100 シリーズにのみ追加できます。Firepower 4100/9300 は Etherchannel をサポートしていますが、シャーシ上の FXOS で Etherchannel のすべてのハードウェア設定を実行する必要があります。Firepower 4100/9300 の Etherchannel は、単一の物理インターフェイスとともに FDM の [インターフェイス（Interfaces）] ページに表示されます。

始める前に

すべてのメンバーインターフェイスが同じタイプ、速度、および二重通信である必要があります。半二重はサポートされません。

メンバーインターフェイスに名前を付けることはできません。

注意	すでにコンフィギュレーション内でインターフェイスを使用している場合、名前を削除すると、このインターフェイスを参照しているすべてのコンフィギュレーションが消去されます。

手順

ステップ 1

[デバイス（Device）] をクリックし、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックし、[EtherChannels] をクリックします。

[EtherChannels] リストに、既存の Etherchannel とそれらの名前、アドレス、状態が表示されます。各 EtherChannel のメンバーインターフェイスを表示するには、開/閉矢印をクリックします。また、メンバーインターフェイスは [インターフェイス（Interfaces）] ページでも個別に表示されます。

ステップ 2

[EtherChannelの作成（Create EtherChannel）] をクリックするか（現在の EtherChannel がない場合）、またはプラスアイコン（ [プラス（Plus）] と下向き矢印アイコン。）をクリックして [EtherChannel] をクリックし、新しい EtherChannel を作成します。

ステップ 3

以下を設定します。

[インターフェイス名（Interface Name）] を設定します。

EtherChannel の名前（最大 48 文字）を設定します。英字は小文字にする必要があります。例、[inside] または [outside]。

（注）

名前を変更すると、その変更は古い名前を使用しているすべての場所（セキュリティゾーン、syslog サーバオブジェクト、DHCP サーバの定義を含む）に自動的に反映されます。ただし、通常、ポリシーや設定に名前のないインターフェイスは使用できないため、最初に古い名前を使用しているすべての設定を削除しないと、その名前は削除できません。

[モード（Mode）] を設定します。
- [ルーテッド（Routed）]：ルーテッドモードインターフェイスでは、トラフィックはフローの維持、IP 層と TCP 層の両方でのフロー状態のトラッキング、IP の最適化、TCP の正規化、ファイアウォールポリシーなど、すべてのファイアウォール機能の管理下に置かれます。トラフィックがインターフェイスを経由するようにする場合は、このモードを使用します。これが通常のインターフェイスモードです。
- [パッシブ（Passive）]：パッシブインターフェイスは、スイッチ SPAN またはミラーポートを使用してネットワーク中のトラフィックフローをモニタします。SPAN またはミラーポートでは、スイッチ上の他のポートからトラフィックをコピーできます。この機能により、ネットワークトラフィックのフローに含まれなくても、ネットワークでのシステムの可視性が備わります。パッシブ展開で構成されたシステムでは、特定のアクション（トラフィックのブロッキングやシェーピングなど）を実行することができません。パッシブインターフェイスはすべてのトラフィックを無条件で受信します。このインターフェイスで受信されたトラフィックは再送されません。このモードを選択する場合、残りの手順は実行しないでください。代わりに、パッシブモードでの物理インターフェイスの設定を参照してください。
[EtherChannel ID] を 1 ～ 48 の範囲で設定します（Firepower 1010 の場合は 1 ～ 8）。
[ステータス（Status）] スライダを [有効（enabled）] 設定（）に設定します。
（任意） [説明（Description）] を設定します。

説明は 200 文字以内で、改行を入れずに 1 行で入力します。
[EtherChannelモード（EtherChannel Mode）] を指定します。
- [アクティブ（Active）]：LACP アップデートを送信および受信します。アクティブ EtherChannel は、アクティブまたはパッシブ EtherChannel と接続を確立できます。LACP トラフィックを最小にする必要がある場合以外は、アクティブモードを使用する必要があります。
- [オン（On）]：EtherChannel は常にオンであり、LACP は使用されません。「オン」の EtherChannel は、別の「オン」の EtherChannel のみと接続を確立できます。
[EtherChannelメンバー（EtherChannel Member）] を追加します。
EtherChannel には最大 8 つの（名前が付いていない）インターフェイスを追加できます。
- インターフェイスの追加：プラスアイコン（）をクリックし、1 つまたは複数のインターフェイスをクリックして、[OK] をクリックします。
- インターフェイスの削除：インターフェイスにカーソルを合わせ、右側に表示される [x] をクリックします。

ステップ 4

[IPv4アドレス（IPv4 Address）] タブをクリックして、IPv4 アドレスを設定します。

[タイプ（Type）] フィールドから次のいずれかのオプションを選択します。

[ダイナミック（Dynamic）]（DHCP）：ネットワーク上の DHCP サーバからアドレスを取得する必要がある場合は、このオプションを選択します。ハイアベイラビリティを設定する場合、このオプションは使用できません。必要に応じて、次のオプションを変更します。
- [ルートメトリック（Route Metric）]：DHCP サーバからデフォルトルートを取得する場合、学習済みルートまでのアドミニストレーティブディスタンスは 1 ~ 255 の間です。デフォルトは 1 です。
- [デフォルトルートを取得（Obtain Default Route）]：デフォルトルートを DHCP サーバから取得するかどうかを指定します。通常は、デフォルトであるこのオプションを選択します。

[スタティック（Static）]：変更されない必要があるアドレスを割り当てる場合は、このオプションを選択します。インターフェイスに接続されたネットワークに対するインターフェイスの IP アドレスとサブネットマスクを入力します。たとえば、10.100.10.0/24 ネットワークを接続する場合は、「10.100.10.1/24」と入力します。このアドレスがネットワーク上ですでに使用されていないことを確認します。

高可用性を設定し、このインターフェイスの HA をモニタしている場合は、同じサブネット上のスタンバイ IP アドレスも設定します。スタンバイアドレスは、スタンバイデバイスでこのインターフェイスにより使用されます。スタンバイ IP アドレスを設定しない場合、アクティブユニットはネットワークテストを使用してスタンバイインターフェイスをモニタできず、リンクステートをトラックすることしかできません。

（注）

インターフェイスに対して設定されている DHCP サーバがある場合は、その設定が表示されます。DHCP アドレスプールを編集または削除できます。インターフェイスの IP アドレスを別のサブネットに変更する場合は、インターフェイスの変更を保存する前に、DHCP サーバを削除するか、新しいサブネット上にアドレスプールを構成する必要があります。DHCP サーバの設定を参照してください。

ステップ 5

（オプション）[IPv6アドレス（IPv6 Address）] タブをクリックして、IPv6 アドレスを設定します。

[状態（State）]：グローバルアドレスを設定しない場合に IPv6 処理を有効にしてリンクローカルアドレスを自動的に設定するには、[有効（Enabled）] を選択します。リンクローカルアドレスはインターフェイスの MAC アドレス（Modified EUI-64 形式）に基づいて生成されます。

（注）

IPv6 を無効にしても、明示的な IPv6 アドレスを指定して設定されているインターフェイス、または自動設定が有効になっているインターフェイスの IPv6 処理は無効になりません。

[アドレスの自動設定（Address Auto Configuration）]：アドレスを自動的に設定するには、このオプションを選択します。IPv6 ステートレス自動設定では、デバイスが存在するリンクで使用する IPv6 グローバルプレフィックスのアドバタイズメントなどの、IPv6 サービスを提供するようにルータが設定されている場合に限り、グローバルな IPv6 アドレスが生成されます。IPv6 ルーティングサービスがリンクで使用できない場合、リンクローカル IPv6 アドレスのみが取得され、そのデバイスが属するネットワークリンクの外部にはアクセスできません。リンクローカルアドレスは Modified EUI-64 インターフェイス ID に基づいています。

RFC 4862 では、ステートレス自動設定用に設定されたホストはルータアドバタイズメントメッセージを送信しないと規定されていますが、この場合は、FTD デバイスがルータアドバタイズメントメッセージを送信します。メッセージを抑制して、RFC に準拠するためには、[RA を抑制（Suppress RA）] を選択します。

[スタティックアドレスとプレフィックス（Static Address/Prefix）]：ステートレス自動設定を使用しない場合、完全なスタティックグローバル IPv6 アドレスとネットワークプレフィックスを入力します。たとえば、「2001:0DB8::BA98:0:3210/48」のように入力します。IPv6 アドレッシングの詳細については、IPv6 アドレス指定を参照してください。

アドレスをリンクローカル専用として使用する場合は、[リンクローカル（Link - Local）] オプションを選択します。リンクローカルアドレスでは、ローカルネットワークの外部にはアクセスできません。リンクローカルアドレスはブリッジグループインターフェイスには設定できません。

（注）

リンクローカルアドレスは、FE8、FE9、FEA、または FEB で始まっている必要があります。例、fe80::20d:88ff:feee:6a82。Modified EUI-64 形式に基づくリンクローカルアドレスを自動的に割り当てることを推奨します。たとえば、その他のデバイスで Modified EUI-64 形式の使用が強制される場合、手動で割り当てたリンクローカルアドレスによりパケットがドロップされることがあります。

[スタンバイIPアドレス（Standby IP Address）]：高可用性を設定し、このインターフェイスの HA をモニタリングしている場合は、同じサブネット上にスタンバイ IPv6 アドレスも設定します。スタンバイアドレスは、スタンバイデバイスでこのインターフェイスにより使用されます。スタンバイ IP アドレスを設定しない場合、アクティブユニットはネットワークテストを使用してスタンバイインターフェイスをモニタできず、リンクステートをトラックすることしかできません。
[RAを抑制（Suppress RA）]：ルータアドバタイズメントを抑制するかどうかを指定します。ネイバーデバイスがデフォルトのルータアドレスをダイナミックに把握できるように、Firepower Threat Defense デバイスはルータアドバタイズメントに参加できます。デフォルトでは、ルータアドバタイズメントメッセージ（ICMPv6 Type 134）は、設定済みの各 IPv6 インターフェイスに定期的に送信されます。

ルータアドバタイズメントもルータ要請メッセージ（ICMPv6 Type 133）に応答して送信されます。ルータ要請メッセージは、システムの起動時にホストから送信されるため、ホストは、次にスケジュールされているルータアドバタイズメントメッセージを待つことなくただちに自動設定できます。

FTD デバイスで IPv6 プレフィックスを提供する必要がないインターフェイス（外部インターフェイスなど）では、これらのメッセージを抑制できます。

ステップ 6

（任意）詳細オプションの設定。

詳細設定には、ほとんどのネットワークで最適となるデフォルトが用意されています。デフォルト設定はネットワークの問題を解決する場合のみ編集します。

ステップ 7

[OK] をクリックします。

次のタスク

EtherChannel を適切なセキュリティゾーンに追加します。セキュリティゾーンの設定を参照してください。

VLAN インターフェイスおよびスイッチポートの設定（Firepower 1010）

各 Firepower 1010 インターフェイスは、通常のファイアウォールインターフェイスとしてまたはレイヤ 2 ハードウェアスイッチポートとして実行するように設定できます。ここでは、スイッチモードの有効化と無効化、VLAN インターフェイスの作成、VLAN へのスイッチポートの割り当てなど、スイッチポート設定を開始するためのタスクについて説明します。また、この項では、サポート対象のインターフェイスで Power on Ethernet（PoE）をカスタマイズする方法についても説明します。

Firepower 1010 ポートおよびインターフェイスについて

ポートとインターフェイス

Firepower 1010 物理インターフェイスごとに、ファイアウォールインターフェイスまたはスイッチポートとしてその動作を設定できます。物理インターフェイスとポートタイプ、およびスイッチポートを割り当てる論理 VLAN インターフェイスについては、次の情報を参照してください。

物理ファイアウォールインターフェイス：ルーテッドモードでは、これらのインターフェイスは、設定済みのセキュリティポリシーを使用してファイアウォールと VPN サービスを適用することによって、レイヤ 3 のネットワーク間でトラフィックを転送します。ルーテッドモードでは、一部のインターフェイスでブリッジグループメンバーとしておよび他のインターフェイスでレイヤ 3 インターフェイスとして統合ルーティングおよびブリッジングを使用することもできます。デフォルトでは、イーサネット 1/1 インターフェイスはファイアウォールインターフェイスとして設定されています。また、これらのインターフェイスを IPS 専用（パッシブインターフェイス）に設定することもできます。
物理スイッチポート：ハードウェアのスイッチ機能を使用するレイヤ 2 のスイッチポート転送トラフィック。同じ VLAN 上のスイッチポートは、ハードウェアスイッチングを使用して相互に通信できます。トラフィックには、FTD セキュリティポリシーは適用されません。アクセスポートはタグなしトラフィックのみを受け入れ、単一の VLAN に割り当てることができます。トランクポートはタグなしおよびタグ付きトラフィックを受け入れ、複数の VLAN に属することができます。デフォルトでは、イーサネット 1/2 ～ 1/8 は VLAN 1 のアクセススイッチポートとして設定されています。診断インターフェイスをスイッチポートとして設定することはできません。
論理 VLAN インターフェイス：これらのインターフェイスは物理ファイアウォールインターフェイスと同じように動作しますが、サブインターフェイス、冗長インターフェイス、IPS 専用インターフェイス（インラインセットおよびパッシブインターフェイス）、または EtherChannel インターフェイスを作成できないという例外があります。スイッチポートが別のネットワークと通信する必要がある場合、FTD は VLAN インターフェイスにセキュリティポリシーを適用し、別の論理 VLAN インターフェイスまたはファイアウォールインターフェイスにルーティングします。ブリッジグループメンバーとして VLAN インターフェイスで統合ルーティングおよびブリッジングを使用することもできます。同じ VLAN 上のスイッチポート間のトラフィックに FTD セキュリティポリシーは適用されませんが、ブリッジグループ内の VLAN 間のトラフィックにはセキュリティポリシーが適用されるため、特定のセグメント間のレイヤブリッジグループとスイッチポートを選択することができます。

Power Over Ethernet

イーサネット 1/7 およびイーサネット 1/8 は Power on Ethernet+（PoE+）をサポートしています。

Firepower 1010 スイッチポートの注意事項と制約事項

高可用性

高可用性を使用する場合は、スイッチポート機能を使用しないでください。スイッチポートはハードウェアで動作するため、アクティブユニットとスタンバイユニットの両方でトラフィックを通過させ続けます。高可用性は、トラフィックがスタンバイユニットを通過するのを防ぐように設計されていますが、この機能はスイッチポートには拡張されていません。通常の高可用性のネットワーク設定では、両方のユニットのアクティブなスイッチポートがネットワークループにつながります。スイッチング機能には外部スイッチを使用することをお勧めします。VLAN インターフェイスはフェールオーバーによってモニタできますが、スイッチポートはモニタできません。理論的には、1 つのスイッチポートを VLAN に配置して、高可用性を正常に使用することができますが、代わりに物理ファイアウォールインターフェイスを使用する設定の方が簡単です。
ファイアウォールインターフェイスはフェールオーバーリンクとしてのみ使用できます。

論理 VLAN インターフェイス

最大 60 の VLAN インターフェイスを作成できます。
また、ファイアウォールインターフェイスで VLAN サブインターフェイスを使用する場合、論理 VLAN インターフェイスと同じ VLAN ID を使用することはできません。
MAC アドレス：
- すべての VLAN インターフェイスが 1 つの MAC アドレスを共有します。接続スイッチがどれもこのシナリオをサポートできるようにします。接続スイッチに固有の MAC アドレスが必要な場合、手動で MAC アドレスを割り当てることができます。詳細オプションの設定を参照してください。

ブリッジグループ

同じブリッジグループ内に論理 VLAN インターフェイスと物理ファイアウォールインターフェイスを混在させることはできません。

VLAN インターフェイスおよびスイッチポートでサポートされていない機能

VLAN インターフェイスおよびスイッチポートは、次の機能をサポートしていません。

ダイナミックルーティング
マルチキャストルーティング
等コストマルチパス（ECMP）ルーティング
パッシブインターフェイス
EtherChannel
フェールオーバーおよびステートリンク

その他の注意事項と制約事項

Firepower 1010 には、最大 60 の名前付きインターフェイスを設定できます。
診断インターフェイスをスイッチポートとして設定することはできません。

デフォルト設定

イーサネット 1/1 はファイアウォールインターフェイスです。
イーサネット 1/2 ～ 1/8 は、VLAN 1 に割り当てられたスイッチポートです。
デフォルトの速度とデュプレックス：デフォルトでは、速度とデュプレックスは自動ネゴシエーションに設定されます。

VLAN インターフェイスの設定

ここでは、関連付けられたスイッチポートで使用するための VLAN インターフェイスの設定方法について説明します。最初に、スイッチポートに割り当てる VLAN ごとに VLAN インターフェイスを設定する必要があります。

（注）

特定の VLAN 上でのスイッチポート間のスイッチングのみを有効にし、VLAN と他の VLAN またはファイアウォールインターフェイス間のルーティングを望まない場合は、VLAN インターフェイス名を空のままにします。この場合は IP アドレスを設定する必要もありません。IP 設定はすべて無視されます。

手順

ステップ 1

[デバイス（Device）] をクリックし、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックし、[VLANs] をクリックします。

[VLANs] リストに、既存の VLAN インターフェイスが表示されます。各 VLAN に関連付けられているスイッチポートを表示するには、開/閉矢印をクリックします。また、スイッチポートは [インターフェイス（Interfaces）] ページでも個別に表示されます。

ステップ 2

[VLANインターフェイスの作成（Create VLAN Interface）]（現在の VLAN がない場合）またはプラスアイコン（プラスのアイコン。）をクリックして、新しい VLAN インターフェイスを作成します。

ステップ 3

以下を設定します。

[インターフェイス名（Interface Name）] を設定します。

VLAN の名前（最大 48 文字）を設定します。英字は小文字にする必要があります。例、[inside] または [outside]。

VLAN と他の VLAN またはファイアウォールインターフェイス間のルーティングを望まない場合は、VLAN インターフェイス名を空のままにします。

（注）

名前を変更すると、その変更は古い名前を使用しているすべての場所（セキュリティゾーン、syslog サーバオブジェクト、DHCP サーバの定義を含む）に自動的に反映されます。ただし、通常、ポリシーや設定に名前のないインターフェイスは使用できないため、最初に古い名前を使用しているすべての設定を削除しないと、その名前は削除できません。

[モード（Mode）] は [ルーテッド（Routed）] のままにします。

後でこの VLAN インターフェイスをブリッジグループに追加すると、モードは自動的に「BridgeGroupMember」に変更されます。ブリッジグループのメンバーインターフェイスには IP アドレスを設定できません。
[ステータス（Status）] スライダを [有効（enabled）] 設定（）に設定します。
[VLAN ID] を 1 ～ 4070 の間で設定します。

インターフェイスを保存した後、VLAN ID を変更することはできません。ここでの VLAN ID は、使用される VLAN タグと設定内のインターフェイス ID の両方です。
（任意） [このVLANに転送しない（Do not forward to this VLAN）] フィールドに、この VLAN インターフェイスがトラフィックを開始できない VLAN ID を入力します。

たとえば、1 つの VLAN をインターネットアクセスの外部に、もう 1 つを内部ビジネスネットワーク内に、そして 3 つ目をホームネットワークにそれぞれ割り当てます。自宅のネットワークはビジネスネットワークにアクセスする必要がないので、自宅の VLAN で [このインターフェイスから次へのトラフィックをブロックする（Block Traffic From this Interface to）] オプションを使用できます。ビジネスネットワークは自宅のネットワークにアクセスできますが、その反対はできません。
（任意） [説明（Description）] を設定します。

説明は 200 文字以内で、改行を入れずに 1 行で入力します。

ステップ 4

[IPv4アドレス（IPv4 Address）] タブをクリックして、IPv4 アドレスを設定します。

[タイプ（Type）] フィールドから次のいずれかのオプションを選択します。

[ダイナミック（Dynamic）]（DHCP）：ネットワーク上の DHCP サーバからアドレスを取得する必要がある場合は、このオプションを選択します。ハイアベイラビリティを設定する場合、このオプションは使用できません。必要に応じて、次のオプションを変更します。
- [ルートメトリック（Route Metric）]：DHCP サーバからデフォルトルートを取得する場合、学習済みルートまでのアドミニストレーティブディスタンスは 1 ~ 255 の間です。デフォルトは 1 です。
- [デフォルトルートを取得（Obtain Default Route）]：デフォルトルートを DHCP サーバから取得するかどうかを指定します。通常は、デフォルトであるこのオプションを選択します。

[スタティック（Static）]：変更されない必要があるアドレスを割り当てる場合は、このオプションを選択します。インターフェイスに接続されたネットワークに対するインターフェイスの IP アドレスとサブネットマスクを入力します。たとえば、10.100.10.0/24 ネットワークを接続する場合は、「10.100.10.1/24」と入力します。このアドレスがネットワーク上ですでに使用されていないことを確認します。

高可用性を設定し、このインターフェイスの HA をモニタしている場合は、同じサブネット上のスタンバイ IP アドレスも設定します。スタンバイアドレスは、スタンバイデバイスでこのインターフェイスにより使用されます。スタンバイ IP アドレスを設定しない場合、アクティブユニットはネットワークテストを使用してスタンバイインターフェイスをモニタできず、リンクステートをトラックすることしかできません。

（注）

インターフェイスに対して設定されている DHCP サーバがある場合は、その設定が表示されます。DHCP アドレスプールを編集または削除できます。インターフェイスの IP アドレスを別のサブネットに変更する場合は、インターフェイスの変更を保存する前に、DHCP サーバを削除するか、新しいサブネット上にアドレスプールを構成する必要があります。DHCP サーバの設定を参照してください。

ステップ 5

（オプション）[IPv6アドレス（IPv6 Address）] タブをクリックして、IPv6 アドレスを設定します。

[状態（State）]：グローバルアドレスを設定しない場合に IPv6 処理を有効にしてリンクローカルアドレスを自動的に設定するには、[有効（Enabled）] を選択します。リンクローカルアドレスはインターフェイスの MAC アドレス（Modified EUI-64 形式）に基づいて生成されます。

（注）

IPv6 を無効にしても、明示的な IPv6 アドレスを指定して設定されているインターフェイス、または自動設定が有効になっているインターフェイスの IPv6 処理は無効になりません。

[アドレスの自動設定（Address Auto Configuration）]：アドレスを自動的に設定するには、このオプションを選択します。IPv6 ステートレス自動設定では、デバイスが存在するリンクで使用する IPv6 グローバルプレフィックスのアドバタイズメントなどの、IPv6 サービスを提供するようにルータが設定されている場合に限り、グローバルな IPv6 アドレスが生成されます。IPv6 ルーティングサービスがリンクで使用できない場合、リンクローカル IPv6 アドレスのみが取得され、そのデバイスが属するネットワークリンクの外部にはアクセスできません。リンクローカルアドレスは Modified EUI-64 インターフェイス ID に基づいています。

RFC 4862 では、ステートレス自動設定用に設定されたホストはルータアドバタイズメントメッセージを送信しないと規定されていますが、この場合は、FTD デバイスがルータアドバタイズメントメッセージを送信します。メッセージを抑制して、RFC に準拠するためには、[RA を抑制（Suppress RA）] を選択します。

[スタティックアドレスとプレフィックス（Static Address/Prefix）]：ステートレス自動設定を使用しない場合、完全なスタティックグローバル IPv6 アドレスとネットワークプレフィックスを入力します。たとえば、「2001:0DB8::BA98:0:3210/48」のように入力します。IPv6 アドレッシングの詳細については、IPv6 アドレス指定を参照してください。

アドレスをリンクローカル専用として使用する場合は、[リンクローカル（Link - Local）] オプションを選択します。リンクローカルアドレスでは、ローカルネットワークの外部にはアクセスできません。リンクローカルアドレスはブリッジグループインターフェイスには設定できません。

（注）

リンクローカルアドレスは、FE8、FE9、FEA、または FEB で始まっている必要があります。例、fe80::20d:88ff:feee:6a82。Modified EUI-64 形式に基づくリンクローカルアドレスを自動的に割り当てることを推奨します。たとえば、その他のデバイスで Modified EUI-64 形式の使用が強制される場合、手動で割り当てたリンクローカルアドレスによりパケットがドロップされることがあります。

[スタンバイIPアドレス（Standby IP Address）]：高可用性を設定し、このインターフェイスの HA をモニタリングしている場合は、同じサブネット上にスタンバイ IPv6 アドレスも設定します。スタンバイアドレスは、スタンバイデバイスでこのインターフェイスにより使用されます。スタンバイ IP アドレスを設定しない場合、アクティブユニットはネットワークテストを使用してスタンバイインターフェイスをモニタできず、リンクステートをトラックすることしかできません。
[RAを抑制（Suppress RA）]：ルータアドバタイズメントを抑制するかどうかを指定します。ネイバーデバイスがデフォルトのルータアドレスをダイナミックに把握できるように、Firepower Threat Defense デバイスはルータアドバタイズメントに参加できます。デフォルトでは、ルータアドバタイズメントメッセージ（ICMPv6 Type 134）は、設定済みの各 IPv6 インターフェイスに定期的に送信されます。

ルータアドバタイズメントもルータ要請メッセージ（ICMPv6 Type 133）に応答して送信されます。ルータ要請メッセージは、システムの起動時にホストから送信されるため、ホストは、次にスケジュールされているルータアドバタイズメントメッセージを待つことなくただちに自動設定できます。

FTD デバイスで IPv6 プレフィックスを提供する必要がないインターフェイス（外部インターフェイスなど）では、これらのメッセージを抑制できます。

ステップ 6

（任意）詳細オプションの設定。

詳細設定には、ほとんどのネットワークで最適となるデフォルトが用意されています。デフォルト設定はネットワークの問題を解決する場合のみ編集します。

ステップ 7

[OK] をクリックします。

次のタスク

VLAN を適切なセキュリティゾーンに追加します。セキュリティゾーンの設定を参照してください。

スイッチポートのアクセスポートとしての設定

1 つの VLAN にスイッチポートを割り当てるには、アクセスポートとして設定します。デフォルトでは、Ethernet1/2 ～ 1/8 のスイッチポートが有効になっていて、VLAN 1 に割り当てられています。

（注）

Firepower 1010 では、ネットワーク内のループ検出のためのスパニングツリープロトコルはサポートされません。したがって、FTD とのすべての接続がネットワークループに陥らないようにする必要があります。

始める前に

アクセスポートを割り当てる VLAN ID の VLAN インターフェイスを追加します。アクセスポートは、タグなしのトラフィックのみを受け入れます。VLAN インターフェイスの設定を参照してください。

手順

ステップ 1	[デバイス（Device）] をクリックしてから、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックします。 [インターフェイス（Interfaces）] タブがデフォルトで選択されます。インターフェイスリストに、物理インターフェイスとそれぞれの名前、アドレス、状態が示されます。
ステップ 2	編集する物理インターフェイスの [編集（edit）] アイコン（）をクリックします。
ステップ 3	次の設定を行います。スイッチポートの [インターフェイス名（Interface Name）] は設定しないでください。関連付けられている VLAN インターフェイスのみが名前付きインターフェイスです。 [モード（Mode）] を [スイッチポート（Switch Port）] に設定します。 [ステータス（Status）] スライダを [有効（enabled）] 設定（）に設定します。（任意） [説明（Description）] を設定します。説明は 200 文字以内で、改行を入れずに 1 行で入力します。
ステップ 4	[VLAN] をクリックし、次のように設定します。（任意）このスイッチポートを保護対象として設定するには、[保護ポート（Protected Port）] チェックボックスをオンにします。これにより、スイッチポートが同じ VLAN 上の他の保護されたスイッチポートと通信するのを防ぐことができます。スイッチポート上のデバイスが主に他の VLAN からアクセスされる場合、VLAN 内アクセスを許可する必要がない場合、および感染やその他のセキュリティ侵害に備えてデバイスを相互に分離する場合に、スイッチポートが相互に通信しないようにします。たとえば、3 つの Web サーバをホストする DMZ がある場合、各スイッチポートにこのオプションを適用すると、Web サーバを相互に分離できます。内部ネットワークと外部ネットワークはいずれも 3 つの Web サーバすべてと通信でき、その逆も可能ですが、Web サーバは相互に通信できません。 [使用法の種類（Usage Type）] で、[アクセス（Access）] をクリックします。 [アクセスVLAN（Access VLAN）] の場合は、下矢印をクリックして既存の VLAN インターフェイスのいずれかを選択します。新しい VLAN インターフェイスを追加するには、[新しいVLANの作成（Create new VLAN）] をクリックします。VLAN インターフェイスの設定を参照してください。
ステップ 5	[OK] をクリックします。

スイッチポートのトランクポートとしての設定

この手順では、802.1Q タグ付けを使用して複数の VLAN を伝送するトランクポートの作成方法について説明します。トランクポートは、タグなしおよびタグ付きのトラフィックを受け入れます。許可された VLAN のトラフィックは、変更されないままトランクポートを通過します。

トランクは、タグなしトラフィックを受信すると、そのトラフィックをネイティブ VLAN ID にタグ付けして、ASA が正しいスイッチポートにトラフィックを転送したり、別のファイアウォールインターフェイスにルーティングしたりできるようにします。ASA は、トランクポートからネイティブの VLAN ID トラフィックを送信するときに、VLAN タグを削除します。タグなしトラフィックが同じ VLAN にタグ付けされるように、他のスイッチのトランクポートに同じネイティブ VLAN を設定してください。

始める前に

トランクポートを割り当てる VLAN ID ごとに VLAN インターフェイスを追加します。VLAN インターフェイスの設定を参照してください。

手順

ステップ 1	[デバイス（Device）] をクリックしてから、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックします。 [インターフェイス（Interfaces）] タブがデフォルトで選択されます。インターフェイスリストに、物理インターフェイスとそれぞれの名前、アドレス、状態が示されます。
ステップ 2	編集する物理インターフェイスの [編集（edit）] アイコン（）をクリックします。
ステップ 3	次の設定を行います。スイッチポートの [インターフェイス名（Interface Name）] は設定しないでください。関連付けられている VLAN インターフェイスのみが名前付きインターフェイスです。 [モード（Mode）] を [スイッチポート（Switch Port）] に設定します。 [ステータス（Status）] スライダを [有効（enabled）] 設定（）に設定します。（任意） [説明（Description）] を設定します。説明は 200 文字以内で、改行を入れずに 1 行で入力します。
ステップ 4	[VLAN] をクリックし、次のように設定します。（任意）このスイッチポートを保護対象として設定するには、[保護ポート（Protected Port）] チェックボックスをオンにします。これにより、スイッチポートが同じ VLAN 上の他の保護されたスイッチポートと通信するのを防ぐことができます。スイッチポート上のデバイスが主に他の VLAN からアクセスされる場合、VLAN 内アクセスを許可する必要がない場合、および感染やその他のセキュリティ侵害に備えてデバイスを相互に分離する場合に、スイッチポートが相互に通信しないようにします。たとえば、3 つの Web サーバをホストする DMZ がある場合、各スイッチポートにこのオプションを適用すると、Web サーバを相互に分離できます。内部ネットワークと外部ネットワークはいずれも 3 つの Web サーバすべてと通信でき、その逆も可能ですが、Web サーバは相互に通信できません。 [使用法の種類（Usage Type）] で、[トランク（Trunk）] をクリックします。（任意） [ネイティブトランクVLAN（Native Trunk VLAN）] の場合は、下矢印をクリックしてネイティブ VLAN の既存の VLAN インターフェイスのいずれかを選択します。デフォルトのネイティブ VLAN ID は 1 です。各ポートのネイティブ VLAN は 1 つのみですが、すべてのポートに同じネイティブ VLAN または異なるネイティブ VLAN を使用できます。新しい VLAN インターフェイスを追加するには、[新しいVLANの作成（Create new VLAN）] をクリックします。VLAN インターフェイスの設定を参照してください。 [関連付けられているVLAN（Associated VLANs）] で、プラスアイコン（）をクリックして、1 つまたは複数の既存の VLAN インターフェイスを選択します。このフィールドにネイティブ VLAN を含めても無視されます。トランクポートは、ネイティブ VLAN トラフィックをポートから送信するときに、常に VLAN タグを削除します。また、まだネイティブ VLAN タグが付いているトラフィックを受信しません。新しい VLAN インターフェイスを追加するには、[新しいVLANの作成（Create new VLAN）] をクリックします。VLAN インターフェイスの設定を参照してください。
ステップ 5	[OK] をクリックします。

Power over Ethernet の設定

Ethernet 1/7 および Ethernet 1/8 は、IP 電話や無線アクセスポイントなどのデバイス用に Power over Ethernet（PoE）をサポートしています。Firepower 1010 は、IEEE 802.3af（PoE）と 802.3at（PoE+）の両方をサポートしています。PoE+ は、Link Layer Discovery Protocol（LLDP）を使用して電力レベルをネゴシエートします。PoE+ は、給電先デバイスに最大 30 ワットを供給できます。電力は必要なときのみ供給されます。

インターフェイスをシャットダウンすると、デバイスへの給電が無効になります。

PoE は、デフォルトで Ethernet 1/7 および Ethernet 1/8 で有効になっています。この手順では、PoE を無効および有効にする方法と、オプションパラメータを設定する方法について説明します。

手順

ステップ 1	[デバイス（Device）] をクリックしてから、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックします。 [インターフェイス（Interfaces）] タブがデフォルトで選択されます。インターフェイスリストに、物理インターフェイスとそれぞれの名前、アドレス、状態が示されます。
ステップ 2	Ethernet 1/7 または 1/8 の編集アイコン（）をクリックします。
ステップ 3	[PoE] をクリックし、次のように設定します。 [POWER OVER ETHERNET] を有効にするには、スライダ（）をクリックして有効にします。 PoE はデフォルトでイネーブルです。（任意）必要なワット数が正確にわかっている場合は、[消費ワット数（Consumption Wattage）] を入力します。デフォルトでは、PoE は給電先デバイスのクラスに適したワット数を使用して、給電先デバイスに自動的に電力を供給します。Firepower 1010 は LLDP を使用して、適切なワット数をさらにネゴシエートします。具体的なワット数がわかっていて、LLDP ネゴシエーションを無効にする場合は、4000 ～ 30000 ミリワットの値を入力します。
ステップ 4	[OK] をクリックします。

VLAN サブインターフェイスと 802.1Q トランキングの設定

VLAN サブインターフェイスを使用すると、物理インターフェイスを異なる VLAN ID がタグ付けされた複数の論理インターフェイスに分割できます。VLAN サブインターフェイスが 1 つ以上あるインターフェイスは、自動的に 802.1Q トランクとして設定されます。VLAN では、所定の物理インターフェイス上でトラフィックを分離しておくことができるため、物理インターフェイスまたはデバイスを追加しなくても、ネットワーク上で使用できるインターフェイスの数を増やすことができます。

物理インターフェイスをスイッチのトランクポートに接続する場合は、サブインターフェイスを作成します。スイッチトランクポートで表示できる各 VLAN のサブインターフェイスを作成します。物理インターフェイスをスイッチのアクセスポートに接続する場合は、サブインターフェイスを作成しても意味がありません。

注意事項と制約事項

物理インターフェイス上のタグなしパケットの禁止：サブインターフェイスを使用する場合、物理インターフェイスでトラフィックを通過させないようにすることもよくあります。物理インターフェイスはタグのないパケットを通過させることができるためです。サブインターフェイスでトラフィックを通過させるには物理的インターフェイスを有効にする必要があるため、インターフェイスに名前を付けないことでトラフィックを通過させないようにします。物理インターフェイスにタグの付いていないパケットを通過させる場合には、通常のようにインターフェイスに名前を付けることができます。
Firepower 1010：サブインターフェイスは、スイッチポートまたは VLAN インターフェイスではサポートされていません。
必要に応じて詳細設定を変更することはできますが、ブリッジグループメンバーインターフェイスの IP アドレスを設定することはできません。
同じ親インターフェイスのすべてのサブインターフェイスは、ブリッジグループメンバーかルーテッドインターフェイスのいずれかである必要があります。混在および一致はできません。
FTD はダイナミックトランキングプロトコル（DTP）をサポートしないため、接続されているスイッチポートを無条件にトランキングするように設定する必要があります。
親インターフェイスと同じ組み込みの MAC アドレスを使用するので、FTD で定義されたサブインターフェイスに一意の MAC アドレスを割り当てることもできます。たとえば、サービスプロバイダーによっては、MAC アドレスに基づいてアクセス制御を行う場合があります。また、IPv6 リンクローカルアドレスは MAC アドレスに基づいて生成されるため、サブインターフェイスに一意の MAC アドレスを割り当てることで、一意の IPv6 リンクローカルアドレスが可能になり、FTD で特定のインスタンスでのトラフィックの中断を避けることができます。

手順

ステップ 1

[デバイス（Device）] をクリックしてから、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックします。

[インターフェイス（Interfaces）] タブがデフォルトで選択されます。EtherChannel にサブインターフェイスを追加するには、[EtherChannel] をクリックします。インターフェイスリストに、物理インターフェイスとそれぞれの名前、アドレス、状態が示されます。

ステップ 2

次のいずれかを実行します。

[インターフェイス（Interfaces）] ページで、プラスアイコン（）をクリックして、新しいサブインターフェイスを作成します。
[EtherChannel] ページで、プラスと下矢印のアイコン（）をクリックし、[サブインターフェイス（Subinterface）] を選択します。
編集するサブインターフェイスの編集アイコン（）をクリックします。

サブインターフェイスが不要になった場合は、このサブインターフェイスの [削除（delete）] アイコン（）をクリックして削除します。

ステップ 3

[ステータス（Status）] スライダを [有効（enabled）] 設定（ [有効（Enabled）] スライダ。）に設定します。

ステップ 4

親インターフェイス、名前、および説明を設定します。

[親インターフェイス（Parent Interface）] を選択します。

親インターフェイスは、サブインターフェイスの追加先となる物理インターフェイスです。いったん作成したサブインターフェイスの親インターフェイスは変更できません。

[サブインターフェイス名（Subinterface Name）]（最大 48 文字）を設定します。

英字は小文字にする必要があります。例、[inside] または [outside]。名前を設定しないと、インターフェイスの残りの設定は無視されます。

（注）

名前を変更すると、その変更は古い名前を使用しているすべての場所（セキュリティゾーン、syslog サーバオブジェクト、DHCP サーバの定義を含む）に自動的に反映されます。ただし、通常、ポリシーや設定に名前のないインターフェイスは使用できないため、最初に古い名前を使用しているすべての設定を削除しないと、その名前は削除できません。

[モード（Mode）] を [ルーテッド（Routed）] に設定します。

後でこのインターフェイスをブリッジグループに追加すると、モードは自動的に「BridgeGroupMember」に変更されます。ブリッジグループのメンバーインターフェイスには IP アドレスを設定できません。
（任意） [説明（Description）] を設定します。

説明は 200 文字以内で、改行を入れずに 1 行で入力します。
[VLAN ID] を設定します。

このサブインターフェイス上のパケットにタグを付けるために使用する VLAN ID を 1 ～ 4094 の範囲で入力します。
[サブインターフェイスID（Subinterface ID）] を設定します。

サブインターフェイス ID を 1 ～ 4294967295 の範囲の整数で入力します。この ID は、インターフェイス ID に追加されます。たとえば、Ethernet1/1.100 のようになります。便宜上 VLAN ID を一致させることもできますが、必須ではありません。いったん作成したサブインターフェイスの ID は変更できません。

ステップ 5

[IPv4アドレス（IPv4 Address）] タブをクリックして、IPv4 アドレスを設定します。

[タイプ（Type）] フィールドから次のいずれかのオプションを選択します。

[ダイナミック（Dynamic）]（DHCP）：ネットワーク上の DHCP サーバからアドレスを取得する必要がある場合は、このオプションを選択します。ハイアベイラビリティを設定する場合、このオプションは使用できません。必要に応じて、次のオプションを変更します。
- [ルートメトリック（Route Metric）]：DHCP サーバからデフォルトルートを取得する場合、学習済みルートまでのアドミニストレーティブディスタンスは 1 ~ 255 の間です。デフォルトは 1 です。
- [デフォルトルートを取得（Obtain Default Route）]：デフォルトルートを DHCP サーバから取得するかどうかを指定します。通常は、デフォルトであるこのオプションを選択します。

[スタティック（Static）]：変更されない必要があるアドレスを割り当てる場合は、このオプションを選択します。インターフェイスに接続されたネットワークに対するインターフェイスの IP アドレスとサブネットマスクを入力します。たとえば、10.100.10.0/24 ネットワークを接続する場合は、「10.100.10.1/24」と入力します。このアドレスがネットワーク上ですでに使用されていないことを確認します。

高可用性を設定し、このインターフェイスの HA をモニタしている場合は、同じサブネット上のスタンバイ IP アドレスも設定します。スタンバイアドレスは、スタンバイデバイスでこのインターフェイスにより使用されます。スタンバイ IP アドレスを設定しない場合、アクティブユニットはネットワークテストを使用してスタンバイインターフェイスをモニタできず、リンクステートをトラックすることしかできません。

（注）

インターフェイスに対して設定されている DHCP サーバがある場合は、その設定が表示されます。DHCP アドレスプールを編集または削除できます。インターフェイスの IP アドレスを別のサブネットに変更する場合は、インターフェイスの変更を保存する前に、DHCP サーバを削除するか、新しいサブネット上にアドレスプールを構成する必要があります。DHCP サーバの設定を参照してください。

ステップ 6

（オプション）[IPv6アドレス（IPv6 Address）] タブをクリックして、IPv6 アドレスを設定します。

[状態（State）]：グローバルアドレスを設定しない場合に IPv6 処理を有効にしてリンクローカルアドレスを自動的に設定するには、[有効（Enabled）] を選択します。リンクローカルアドレスはインターフェイスの MAC アドレス（Modified EUI-64 形式）に基づいて生成されます。

（注）

IPv6 を無効にしても、明示的な IPv6 アドレスを指定して設定されているインターフェイス、または自動設定が有効になっているインターフェイスの IPv6 処理は無効になりません。

[アドレスの自動設定（Address Auto Configuration）]：アドレスを自動的に設定するには、このオプションを選択します。IPv6 ステートレス自動設定では、デバイスが存在するリンクで使用する IPv6 グローバルプレフィックスのアドバタイズメントなどの、IPv6 サービスを提供するようにルータが設定されている場合に限り、グローバルな IPv6 アドレスが生成されます。IPv6 ルーティングサービスがリンクで使用できない場合、リンクローカル IPv6 アドレスのみが取得され、そのデバイスが属するネットワークリンクの外部にはアクセスできません。リンクローカルアドレスは Modified EUI-64 インターフェイス ID に基づいています。

RFC 4862 では、ステートレス自動設定用に設定されたホストはルータアドバタイズメントメッセージを送信しないと規定されていますが、この場合は、FTD デバイスがルータアドバタイズメントメッセージを送信します。メッセージを抑制して、RFC に準拠するためには、[RA を抑制（Suppress RA）] を選択します。

[スタティックアドレスとプレフィックス（Static Address/Prefix）]：ステートレス自動設定を使用しない場合、完全なスタティックグローバル IPv6 アドレスとネットワークプレフィックスを入力します。たとえば、「2001:0DB8::BA98:0:3210/48」のように入力します。IPv6 アドレッシングの詳細については、IPv6 アドレス指定を参照してください。

アドレスをリンクローカル専用として使用する場合は、[リンクローカル（Link - Local）] オプションを選択します。リンクローカルアドレスでは、ローカルネットワークの外部にはアクセスできません。リンクローカルアドレスはブリッジグループインターフェイスには設定できません。

（注）

リンクローカルアドレスは、FE8、FE9、FEA、または FEB で始まっている必要があります。例、fe80::20d:88ff:feee:6a82。Modified EUI-64 形式に基づくリンクローカルアドレスを自動的に割り当てることを推奨します。たとえば、その他のデバイスで Modified EUI-64 形式の使用が強制される場合、手動で割り当てたリンクローカルアドレスによりパケットがドロップされることがあります。

[スタンバイIPアドレス（Standby IP Address）]：高可用性を設定し、このインターフェイスの HA をモニタリングしている場合は、同じサブネット上にスタンバイ IPv6 アドレスも設定します。スタンバイアドレスは、スタンバイデバイスでこのインターフェイスにより使用されます。スタンバイ IP アドレスを設定しない場合、アクティブユニットはネットワークテストを使用してスタンバイインターフェイスをモニタできず、リンクステートをトラックすることしかできません。
[RAを抑制（Suppress RA）]：ルータアドバタイズメントを抑制するかどうかを指定します。ネイバーデバイスがデフォルトのルータアドレスをダイナミックに把握できるように、Firepower Threat Defense デバイスはルータアドバタイズメントに参加できます。デフォルトでは、ルータアドバタイズメントメッセージ（ICMPv6 Type 134）は、設定済みの各 IPv6 インターフェイスに定期的に送信されます。

ルータアドバタイズメントもルータ要請メッセージ（ICMPv6 Type 133）に応答して送信されます。ルータ要請メッセージは、システムの起動時にホストから送信されるため、ホストは、次にスケジュールされているルータアドバタイズメントメッセージを待つことなくただちに自動設定できます。

FTD デバイスで IPv6 プレフィックスを提供する必要がないインターフェイス（外部インターフェイスなど）では、これらのメッセージを抑制できます。

ステップ 7

（オプション）詳細オプションの設定。

詳細設定には、ほとんどのネットワークで最適となるデフォルトが用意されています。ネットワーク問題を解決する場合に限り、これらを編集します。

ステップ 8

[OK] をクリックします。

次のタスク

サブインターフェイスを適切なセキュリティゾーンに追加します。セキュリティゾーンの設定を参照してください。

パッシブインターフェイスの設定

パッシブインターフェイスは、スイッチ SPAN（スイッチドポートアナライザ）またはミラーポートを使用してネットワーク全体を流れるトラフィックをモニタします。SPAN またはミラーポートでは、スイッチ上の他のポートからトラフィックをコピーできます。この機能により、ネットワークトラフィックのフローに含まれなくても、ネットワークでのシステムの可視性が備わります。

パッシブ展開で設定されたシステムでは、特定のアクション（トラフィックのブロッキングなど）を実行できません。パッシブインターフェイスはすべてのトラフィックを無条件で受信します。このインターフェイスで受信されたトラフィックは再送されません。

パッシブインターフェイスを使用して、ネットワーク上のトラフィックをモニタし、トラフィックに関する情報を収集します。たとえば、侵入ポリシーを適用して、ネットワークを攻撃する脅威のタイプを特定したり、ユーザが作成している Web 要求の URL カテゴリを確認できます。さまざまなセキュリティポリシーおよびルールを実装して、アクティブに展開されたシステムの動作を確認し、アクセス制御やその他のルールに基づいてトラフィックをドロップできます。

ただし、パッシブインターフェイスはトラフィックに影響を与えることができないため、多数の設定上の制限が存在します。これらのインターフェイスは、システムがトラフィックをピークすることを可能にするだけです。パッシブインターフェイスに入るパケットがデバイスを出ることはありません。

ここでは、パッシブインターフェイスとそれらの設定方法について説明します。

パッシブインターフェイスを使用する理由

パッシブインターフェイスの主な目的は、単純なデモンストレーションモードを提供することです。単一の送信元ポートをモニタするようにスイッチをセットアップし、ワークステーションを使用して、パッシブインターフェイスでモニタしたテストトラフィックを送信できます。これにより、Firepower Threat Defense システムが接続を評価したり脅威を特定したりする方法を確認できます。システムの実行方法に問題がなければ、その方法をネットワーク内にアクティブに展開して、パッシブインターフェイスの設定を削除できます。

ただし、次のサービスを提供するために実稼働環境でパッシブインターフェイスを使用することもできます。

純粋な IDS 展開：システムをファイアウォールまたは IPS（侵入防御システム）として使用しない場合、IDS（侵入検知システム）としてパッシブに展開できます。この展開方法では、アクセス制御ルールを使用してすべてのトラフィックに侵入ポリシーを適用します。また、システムでスイッチ上の複数の送信元ポートもモニタします。さらに、ダッシュボードを使用してネットワークで見られる脅威をモニタできます。ただし、このモードでは、この脅威を防ぐためにできることはありません。
混合展開：アクティブルーテッドインターフェイスとパッシブインターフェイスを同じシステム上に混在させることができます。これにより、Firepower Threat Defense デバイスをいくつかのネットワークでファイアウォールとして展開すると同時に、複数のパッシブインターフェイスを他のネットワーク内のトラフィックをモニタするように設定することができます。

パッシブインターフェイスの制限

パッシブモードインターフェイスとして定義する物理インターフェイスには次の制限があります。

パッシブインターフェイスのサブインターフェイスは設定できません。
パッシブインターフェイスをブリッジグループに含めることはできません。
パッシブインターフェイスで IPv4 アドレスまたは IPv6 アドレスを設定することはできません。
パッシブインターフェイスに [管理専用（Management Only）] オプションを選択することはできません。
このインターフェイスはパッシブモードセキュリティゾーンにのみ含めることができます。ルーテッドセキュリティゾーンに含めることはできません。
パッシブセキュリティゾーンをアクセス制御またはアイデンティティルールの送信元基準に含めることは可能です。パッシブゾーンを宛先基準で使用することはできません。パッシブゾーンとルーテッドゾーンを同じルールに混在させることもできません。
パッシブインターフェイスの管理アクセスルール（HTTPS または SSH）を設定することはできません。
パッシブインターフェイスを NAT ルールで使用することはできません。
パッシブインターフェイスのスタティックルートを設定することはできません。パッシブインターフェイスをルーティングプロトコルの設定で使用することもできません。
パッシブインターフェイスで DHCP サーバを設定することはできません。パッシブインターフェイスを使用して自動設定で DHCP 設定を取得することもできません。
パッシブインターフェイスを syslog サーバ設定で使用することはできません。
パッシブインターフェイスではどのタイプの VPN も設定することはできません。

ハードウェア Firepower 脅威デバイスパッシブインターフェイスのスイッチの設定

ハードウェア Firepower Threat Defense デバイス上のパッシブインターフェイスは、ネットワークスイッチを正しく設定している場合にのみ機能します。次の手順は、Cisco Nexus 5000 シリーズスイッチに基づいています。別のタイプのスイッチでは、コマンドが異なる可能性があります。

基本的な考え方としては、SPAN（スイッチドポートアナライザ）またはミラーポートを設定し、そのポートにパッシブインターフェイスを接続し、スイッチでモニタリングセッションを設定して、1 つまたは複数の送信元ポートから SPAN またはミラーポートにトラフィックのコピーを送信します。

手順

ステップ 1	スイッチ上のポートをモニタ（SPAN またはミラー）ポートとして設定します。 `switch(config)# interface Ethernet1/48 switch(config-if)# switchport monitor switch(config-if)#`
ステップ 2	モニタへのポートを特定するモニタリングセッションを定義します。 SPAN またはミラーポートを宛先ポートとして定義していることを確認します。次の例では、2 つの送信元ポートがモニタされています。 `switch(config)# monitor session 1 switch(config-monitor)# source interface ethernet 1/7 switch(config-monitor)# source interface ethernet 1/8 switch(config-monitor)# destination interface ethernet 1/48 switch(config-monitor)# no shut`
ステップ 3	（オプション）show monitor session コマンドを使用して、設定を確認します。次の例に、セッション 1 の概要出力を示します。 `switch# show monitor session 1 brief session 1 --------------- type : local state : up source intf : rx : Eth1/7 Eth1/8 tx : Eth1/7 Eth1/8 both : Eth1/7 Eth1/8 source VSANs : destination ports : Eth1/48 Legend: f = forwarding enabled, l = learning enabled`
ステップ 4	Firepower Threat Defense パッシブインターフェイスからスイッチ上の宛先ポートにケーブルを物理的に接続します。物理接続を行う前後に、パッシブモードでインターフェイスを設定できます。パッシブモードでの物理インターフェイスの設定を参照してください。

Firepower Threat Defense Virtual パッシブインターフェイスの VLAN の設定

Firepower Threat Defense Virtual デバイスのパッシブインターフェイスは、仮想ネットワーク上で VLAN を正しく設定した場合にのみ機能します。次の手順を実行してください。

Firepower Threat Defense Virtual インターフェイスを、無差別モードで設定した VLAN に接続します。その後、パッシブモードでの物理インターフェイスの設定での説明に従ってインターフェイスを設定します。パッシブインターフェイスでは、プロミスキャス VLAN 上のすべてのトラフィックのコピーが認識されます。
同じ VLAN に、1 つ以上のエンドポイントデバイス（仮想 Windows システムなど）を接続します。VLAN からインターネットへの接続がある場合は、単一のデバイスを使用できます。それ以外の場合は、トラフィックを通過させるために 2 つ以上のデバイスが必要です。URL カテゴリのデータを取得するには、インターネット接続が必要です。

パッシブモードでの物理インターフェイスの設定

インターフェイスはパッシブモードで設定できます。パッシブに機能する場合、インターフェイスは（ハードウェアデバイスの）スイッチそのものまたは（Firepower Threat Defense Virtual の）プロミスキャス VLAN に設定されたモニタリングセッションで送信元ポートからのトラフィックを単にモニタします。スイッチまたは仮想ネットワークで設定する必要がある内容の詳細については、次のトピックを参照してください。

ハードウェア Firepower 脅威デバイスパッシブインターフェイスのスイッチの設定
Firepower Threat Defense Virtual パッシブインターフェイスの VLAN の設定

トラフィックに影響を及ぼすことなくモニタ対象スイッチポートからのトラフィックを分析するには、パッシブモードを使用します。パッシブモードを使用するエンドツーエンドの例については、ネットワーク上のトラフィックをパッシブにモニタする方法を参照してください。

手順

ステップ 1

[デバイス（Device）] をクリックし、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックし、[インターフェイス（Interfaces）] または [EtherChannel] をクリックします。

ステップ 2

編集する物理インターフェイスまたは EtherChannel の編集アイコン（）をクリックします。

現在使用されていないインターフェイスを選択します。使用中のインターフェイスをパッシブインターフェイスに変換する場合は、最初にセキュリティゾーンからインターフェイスを削除し、そのインターフェイスを使用する他のすべての設定を削除する必要があります。

ステップ 3

[ステータス（Status）] スライダを [有効（enabled）] 設定（ [有効（Enabled）] スライダ。）に設定します。

ステップ 4

以下を設定します。

[インターフェイス名（Interface Name）]：最大 48 文字のインターフェイスの名前。英字は小文字にする必要があります。たとえば、monitor などです。
[モード（Mode）]：[パッシブ（Passive）] を選択します。
（オプション）[説明（Description）]：説明は 200 文字以内で、改行を入れずに 1 行で入力します。

（注）

IPv4 アドレスまたは IPv6 アドレスを設定することはできません。[詳細（Advanced）] タブで変更できるのは、MTU、デュプレックス、速度設定のみです。

ステップ 5

[OK] をクリックします。

次のタスク

パッシブインターフェイスを作成するだけでは、インターフェイスで確認されるトラフィックの情報を十分にダッシュボードに示すことはできません、次の手順も実行する必要があります。使用例で次の手順について説明します。ネットワーク上のトラフィックをパッシブにモニタする方法を参照してください。

パッシブセキュリティゾーンを作成し、それにインターフェイスを追加します。セキュリティゾーンの設定を参照してください。
パッシブセキュリティゾーンを送信元ゾーンとして使用するアクセス制御ルールを作成します。通常は、これらのルールに侵入ポリシーを適用して、IDS（侵入検知システム）モニタリングを実装します。アクセスコントロールポリシーを設定するを参照してください。
必要に応じて、パッシブセキュリティゾーン向けに SSL 復号およびアイデンティティルールを作成し、セキュリティインテリジェンスポリシーを有効にします。

高度なインターフェイスオプションの設定

[詳細（Advanced）] オプションには、MTU、ハードウェア設定、管理専用、MAC アドレス、およびその他の設定が含まれています。

MAC アドレスについて

Media Access Control（MAC）アドレスを手動で設定してデフォルトをオーバーライドできます。

高可用性設定の場合は、インターフェイスのアクティブ MAC アドレスとスタンバイ MAC アドレスの両方を設定できます。アクティブユニットがフェールオーバーしてスタンバイユニットがアクティブになると、その新規アクティブユニットがアクティブな MAC アドレスの使用を開始して、ネットワークの切断を最小限に抑えます。

デフォルトの MAC アドレス

デフォルトの MAC アドレスの割り当ては、インターフェイスのタイプによって異なります。

物理インターフェイス：物理インターフェイスは Burned-In MAC Address を使用します。
VLAN インターフェイス（Firepower 1010）：すべての VLAN インターフェイスが MAC アドレスを共有します。接続スイッチがどれもこのシナリオをサポートできるようにします。接続スイッチに固有の MAC アドレスが必要な場合、手動で MAC アドレスを割り当てることができます。詳細オプションの設定を参照してください。
EtherChannel：EtherChannel の場合は、そのチャネルグループに含まれるすべてのインターフェイスが同じ MAC アドレスを共有します。この機能によって、EtherChannel はネットワークアプリケーションとユーザに対してトランスペアレントになります。ネットワークアプリケーションやユーザから見えるのは 1 つの論理接続のみであり、個々のリンクのことは認識しないためです。ポートチャネルインターフェイスは、プールからの一意の MAC アドレスを使用します。インターフェイスのメンバーシップは、MAC アドレスには影響しません。
サブインターフェイス：物理インターフェイスのすべてのサブインターフェイスは同じ Burned-In MAC Address を使用します。サブインターフェイスに固有の MAC アドレスを割り当てることが必要になる場合があります。たとえば、サービスプロバイダーによっては、MAC アドレスに基づいてアクセスコントロールを実行する場合があります。また、IPv6 リンクローカルアドレスは MAC アドレスに基づいて生成されるため、サブインターフェイスに一意の MAC アドレスを割り当てることで、一意の IPv6 リンクローカルアドレスが可能になり、FTD で特定のインスタンスでのトラフィックの中断を避けることができます。

MTU について

MTU は、Firepower Threat Defense デバイスが特定のイーサネットインターフェイスで送信可能な最大フレームペイロードサイズを指定します。MTU の値は、イーサネットヘッダー、VLAN タギング、またはその他のオーバーヘッドを含まないフレームサイズです。たとえば MTU を 1500 に設定した場合、想定されるフレームサイズはヘッダーを含めて 1518 バイト、VLAN を使用する場合は 1522 バイトです。これらのヘッダーに対応するために MTU 値を高く設定しないでください。

パス MTU ディスカバリ

Firepower Threat Defense デバイスは、Path MTU Discovery（RFC 1191 の定義に従う）をサポートします。つまり、2 台のホスト間のネットワークパス内のすべてのデバイスで MTU を調整できます。したがってパスの最小 MTU の標準化が可能です。

MTU およびフラグメンテーション

IPv4 では、出力 IP パケットが指定された MTU より大きい場合、2 つ以上のフレームにフラグメント化されます。フラグメントは宛先（場合によっては中間ホップ）で組み立て直されますが、フラグメント化はパフォーマンス低下の原因となります。IPv6 では、通常、パケットをフラグメント化することはできません。したがって、フラグメント化を避けるために、IP パケットを MTU サイズ以内に収める必要があります。

UDP または ICMP の場合、アプリケーションではフラグメント化を避けるために MTU を考慮する必要があります。

（注）

Firepower Threat Defense デバイスはメモリに空きがある限り、設定された MTU よりも大きいフレームを受信できます。

MTU とジャンボフレーム

MTU が大きいほど、大きいパケットを送信できます。パケットが大きいほど、ネットワークの効率が良くなる可能性があります。次のガイドラインを参照してください。

トラフィックパスの MTU の一致：すべての FTD インターフェイスとトラフィックパス内のその他のデバイスのインターフェイスでは、MTU が同じになるように設定することを推奨します。MTU の一致により、中間デバイスでのパケットのフラグメント化が回避できます。

ジャンボフレームへの対応：ジャンボフレームとは、標準的な最大値 1522 バイト（レイヤ 2 ヘッダーおよび VLAN ヘッダーを含む）より大きく、9216 バイトまでのイーサネットパケットのことです。ジャンボフレームに対応するために、9198 バイトまでの MTU を設定できます。Firepower Threat Defense Virtual の最大値は 9000 です。Firepower 4100/9300 の最大値は 9184 です。

（注）

MTU を増やすとジャンボフレームに割り当てられるメモリが増加し、他の機能（アクセスルールなど）の最大使用量が制限される場合があります。ASA 5500-X シリーズデバイスまたは Firepower Threat Defense Virtual で、MTU をデフォルトの 1500 以上に増やす場合、システムを再起動する必要があります。高可用性にデバイスが設定されている場合、スタンバイデバイスも再起動する必要があります。ジャンボフレームのサポートが常に有効な場合、Firepower モデルを再起動する必要はありません。

詳細オプションの設定

高度なインターフェイスオプションには、ほとんどのネットワークに適合するデフォルト設定が用意されています。ネットワーキングの問題を解決している場合または高可用性を設定する場合にのみ、これを設定します。

次の手順では、インターフェイスが定義済みであることを前提としています。インターフェイスを最初に編集または作成するときに、これらの設定を編集することもできます。

制限事項

ブリッジグループの場合は、このほとんどのオプションはメンバーインターフェイスに対して設定します。DAD 試行回数と HA モニタリングの有効化を除き、これらのオプションはブリッジ仮想インターフェイス（BVI）では使用できません。
Firepower 1000 または 2100 デバイス上の管理インターフェイスに、MTU、デュプレックス、または速度を設定することはできません。
Firepower 1010 スイッチポートでは [詳細（Advanced）] オプションは使用できません。
Firepower 4100/9300 では、インターフェイスのデュプレックスや速度は設定できません。インターフェイスのこれらの機能を設定するには、FXOS を使用します。
パッシブインターフェイスでは、MTU、デュプレックス、速度のみ設定できます。インターフェイスの管理のみを行うことはできません。

手順

ステップ 1

[デバイス（Device）] をクリックし、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックし、次にインターフェイスタイプをクリックして、インターフェイスのリストを表示します。

ステップ 2

編集するインターフェイスの編集アイコン（）をクリックします。

ステップ 3

[詳細オプション（Advanced Options）] をクリックします。

ステップ 4

インターフェイスの状態を高可用性設定でピア装置にフェールオーバーするかどうか判断する際の要素にする場合は、[HAモニタリングの有効化（Enable for HA Monitoring）] を選択します。

このオプションは、高可用性を設定しない場合は無視されます。インターフェイスの名前を設定しない場合も、無視されます。

ステップ 5

データインターフェイスを管理専用に指定する場合は、[管理専用（Management Only）] を選択します。

管理専用インターフェイスはトラフィックの通過を許可しないため、データインターフェイスを管理専用に設定する意味はあまりありません。管理/診断インターフェイスは、常に管理専用であるため、この設定を変更することはできません。

ステップ 6

[MTU]（最大伝送ユニット）を任意の値に設定します。

デフォルトの MTU は 1500 バイトです。64 ～ 9198（Firepower Threat Defense Virtual の場合は 9000、Firepower 4100/9300 の場合は 9184）の値を指定できます。ジャンボフレームが頻繁にやり取りされるネットワークでは、大きな値に設定します。

（注）

ASA 5500-X シリーズデバイス、ISA 3000 シリーズデバイス、または Firepower Threat Defense Virtualで MTU を 1500 より大きい値に設定する場合は、デバイスを再起動する必要があります。CLI にログインして reboot コマンドを使用します。高可用性にデバイスが設定されている場合、スタンバイデバイスも再起動する必要があります。ジャンボフレームのサポートが常に有効な場合、Firepower モデルを再起動する必要はありません。

ステップ 7

（物理インターフェイスのみ）速度およびデュプレックスの設定を変更します。

デフォルトでは、インターフェイスは接続相手のインターフェイスに対し、互いに最適なデュプレックスおよび速度をネゴシエートしますが、必要に応じて、特定のデュプレックスおよび速度を強制的に適用することもできます。記載されているオプションは、インターフェイスでサポートされているものだけです。ネットワークモジュールのインターフェイスにこれらのオプションを設定する前に、インターフェイス設定の制限事項をお読みください。

[二重（Duplex）]：[自動（Auto）]、[ハーフ（Half）]、[フル（Full）]、または [デフォルト（Default）] を選択します。 [自動（Auto）] は、インターフェイスによってサポートされる場合のみデフォルトとなります。たとえば、Firepower 2100 シリーズデバイスの SFP インターフェイスでは [Auto] を選択できません。

Firepower Device Manager が設定を試行できないことを示すために [Default] を選択します。既存の設定は、すべてそのまま変更されません。
[速度（Speed）]：[自動（Auto）] を選択してインターフェイスに速度をネゴシエートさせるか（これがデフォルトです）、または特定の速度：[10]、[100]、[1000]、[10000] Mbps を選択します。次の特別オプションも選択できます。
- [ネゴシエートなし（No Negotiate）]：ファイバインターフェイスの場合は、速度を 1000 Mbps に設定し、リンクパラメータをネゴシエートしません。これは、これらのインターフェイスのデフォルトの設定です。
- [デフォルト（Default）]：Firepower Device Manager が設定を試行できないことを示します。いずれかが既存の設定のまま変更されていません。
インターフェイスのタイプによって、選択可能なオプションが制限されます。たとえば、Firepower 2100 シリーズデバイスの SFP+ インターフェイスは 1000（1 Gbps）および 10000（10 Gpbs）のみをサポートし、SFP インターフェイスは 1000（1 Gbps）のみをサポートしますが、GigabitEthernet ポートは 10000（10 Gpbs）をサポートしません。その他のデバイス上の SPF インターフェイスでは [ネゴシエートなし（No Negotiate）] が必須の場合があります。インターフェイスのサポート対象については、ハードウェアのマニュアルを参照してください。

ステップ 8

[IPv6設定（IPv6 Configuration）] を変更します。

[IPv6アドレス設定用DHCPの有効化（Enable DHCP for IPv6 address configuration）]：IPv6 ルータのアドバタイズメントパケットに、管理アクセス設定フラグを設定するかどうか。このフラグは、取得されるステートレス自動設定のアドレス以外のアドレスの取得に DHCPv6 を使用する必要があることを IPv6 自動設定クライアントに通知します。
[IPv6非アドレス設定用DHCPの有効化（Enable DHCP for IPv6 non-address configuration）]：IPv6 ルータのアドバタイズメントパケットに、その他のアクセス設定フラグを設定するかどうか。このフラグは、DHCPv6 から DNS サーバアドレスなどの追加情報の取得に DHCPv6 を使用する必要があることを、IPv6 自動設定クライアントに通知します。
[DADの試行（DAD Attempts）]：インターネット上で重複アドレス検出（DAD）を実行する頻度（0 ～ 600）。デフォルトは 1 です。ステートレス自動設定プロセスでは、DAD はアドレスがインターフェイスに割り当てられる前に、新しいユニキャスト IPv6 アドレスの一意性を検証します。重複アドレスがインターフェイスのリンクローカルアドレスであれば、インターフェイス上で IPv6 パケットの処理は無効になります。重複アドレスがグローバルアドレスであれば、そのアドレスは使用されません。インターフェイスは、ネイバー送信要求メッセージを使用して、重複アドレス検出を実行します。重複アドレス検出（DAD）プロセスを無効にするには、この値を 0 に設定します。

ステップ 9

（必要に応じて、サブインターフェイスおよび高可用性装置に推奨されます。）MAC アドレスを設定します。

デフォルトでは、システムはインターフェイスのネットワークインターフェイスカード（NIC）に焼き込まれた MAC アドレスを使用します。したがって、インターフェイスのすべてのサブインターフェイスは同じ MAC アドレスを使用するため、サブインターフェイスごとに一意のアドレスを作成する必要がある場合があります。手動設定されたアクティブ/スタンバイ MAC アドレスも、高可用性を設定する場合に推奨されます。MAC アドレスを定義すると、フェールオーバー時にネットワークの一貫性を維持できます。

[MACアドレス（MAC Address）]：H.H.H 形式の Media Access Control。H は 16 ビットの 16 進数です。たとえば、MAC アドレス 00-0C-F1-42-4C-DE は 000C.F142.4CDE と入力します。MAC アドレスはマルチキャストビットセットを持つことはできません。つまり、左から 2 番目の 16 進数字を奇数にすることはできません。
[スタンバイMACアドレス（Standby MAC Address）]：高可用性で使用します。アクティブ装置がフェールオーバーし、スタンバイ装置がアクティブになると、新しいアクティブ装置はアクティブな MAC アドレスの使用を開始して、ネットワークの切断を最小限に抑えます。一方、古いアクティブ装置はスタンバイアドレスを使用します。

ステップ 10

[OK] をクリックします。

インターフェイスの変更のスキャンとインターフェイスの移行

デバイスのインターフェイスを変更すると、変更が発生したことがデバイスから FDM に通知されます。インターフェイスのスキャンを実行するまで、設定を展開することはできません。FDM では、セキュリティポリシー内のインターフェイスを別のインターフェイスに移行することができるため、インターフェイスの削除はほぼシームレスに実行できます。

インターフェイスのスキャンと移行について

Scanning

デバイスのインターフェイスを変更すると、変更が発生したことがデバイスから FDM に通知されます。インターフェイスのスキャンを実行するまで、設定を展開することはできません。スキャンの後、追加、削除、または復元されたインターフェイスが検出された場合は、設定を展開できます。ただし、設定内で削除されたインターフェイスを参照している部分は展開されません。

スキャンを必要とするインターフェイスの変更には、インターフェイスの追加または削除が含まれます。たとえば、ネットワークモジュールの変更、Firepower 4100/9300 シャーシ上に割り当てられたインターフェイスの変更、FTDv でのインターフェイスの変更があります。

次の変更については、スキャン後も展開がブロックされません。

セキュリティゾーンのメンバーシップ
EtherChannel インターフェイスのメンバーシップ
Firepower 1010 VLAN インターフェイススイッチポートのメンバーシップ
BVI を参照するポリシーの場合におけるブリッジグループインターフェイスのメンバーシップ

（注）

syslog サーバの出力インターフェイスの変更によって展開がブロックされることはありませんが、手動で、またはインターフェイス交換機能を使用して syslog サーバの設定を修正する必要があります。

Migrating

新しいインターフェイスを追加したり、未使用のインターフェイスを削除したりしても、FTD の設定に与える影響は最小限です。ただし、セキュリティポリシーで使用されているインターフェイスを削除すると、設定に影響を与えます。インターフェイスは、セキュリティゾーン、NAT、VPN、ルーティング、DHCP サーバなど、FTD の設定における多くの場所で直接参照されている可能性があります。

FDM では、セキュリティポリシー内のインターフェイスを別のインターフェイスに移行することができるため、インターフェイスの削除はほぼシームレスに実行できます。

（注）

移行機能では、名前、IP アドレス、およびその他の設定は 1 つのインターフェイスから別のインターフェイスにコピーされません。代わりに、古いインターフェイスではなく、新しいインターフェイスを参照するようにセキュリティポリシーが変更されます。移行する前に、新しいインターフェイス設定を手動で設定する必要があります。

インターフェイスを削除する必要がある場合は、古いインターフェイスを削除する「前に」、新しいインターフェイスを追加し、古いインターフェイスを移行することをお勧めします。インターフェイスの追加と削除を同時に行っても移行プロセスは機能します。ただし、削除されたインターフェイスやそれらを参照するポリシーを「手動で」編集することはできません。そのため、移行を段階的に実行する方が簡単になる場合があります。

同じタイプのインターフェイスを交換する場合（たとえば、ネットワークモジュールを RMA する必要がある場合）は、次のことができます。 1. シャーシからモジュールを取り外します。2. スキャンを実行します。3. 削除されたインターフェイスとは関係のない変更を展開します。4. モジュールを交換します。5. 新しいスキャンを実行します。6. インターフェイスに関連する変更を含めて、設定を展開します。新しいインターフェイスのインターフェイス ID と特性が古いインターフェイスと同じである場合は、移行を実行する必要はありません。

インターフェイスのスキャンと移行に関する注意事項と制限事項

サポートされていないインターフェイスの移行

物理インターフェイスから BVI へ
パッシブインターフェイスからファイアウォールインターフェイスへ
ブリッジグループメンバー
EtherChannel インターフェイスのメンバー
ISA 3000 ハードウェアバイパスのメンバー
Firepower 1010 VLAN インターフェイスまたはスイッチポート
診断インターフェイス
HA フェールオーバーおよびステートリンク
異なるタイプどうしのインターフェイスの移行（たとえば、ブリッジグループインターフェイスを、物理インターフェイスを必要とする機能に移行するなど）

その他のガイドライン

インターフェイスを削除する必要がある場合は、古いインターフェイスを削除する「前に」、新しいインターフェイスを追加し、古いインターフェイスを移行することをお勧めします。
FTDv では、インターフェイスリストの末尾でのみ、インターフェイスを追加および削除してください。他の場所でインターフェイスを追加または削除した場合、ハイパーバイザによってインターフェイスの番号が再設定され、その結果、設定内のインターフェイス ID が誤った順番になります。
スキャン/移行が失敗した場合は、シャーシで元のインターフェイスを復元し、再スキャンを実行して元の状態に戻してください。
バックアップの場合は、必ず新しいインターフェイスを使用して新しいバックアップを作成してください。古い設定を使用して復元すると、古いインターフェイス情報が復元されるため、スキャン/置換を再度実行する必要があります。
HA の場合は、アクティブユニットでインターフェイスのスキャンを実行する前に、両方のユニットで同じインターフェイスの変更を行います。アクティブユニットでスキャン/移行を実行するだけで済みます。設定の変更はスタンバイユニットに複製されます。

インターフェイスのスキャンと移行

FDM でインターフェイスの変更をスキャンし、削除されたインターフェイスからインターフェイス設定を移行します。インターフェイス設定の移行のみを必要とする場合は（スキャンは不要）、次の手順のうちスキャンに関連するステップを無視してください。

（注）

移行機能では、名前、IP アドレス、およびその他の設定は 1 つのインターフェイスから別のインターフェイスにコピーされません。代わりに、古いインターフェイスではなく、新しいインターフェイスを参照するようにセキュリティポリシーが変更されます。移行する前に、新しいインターフェイス設定を手動で設定する必要があります。

手順

ステップ 1	シャーシでインターフェイスを追加または削除します。インターフェイスを削除する必要がある場合は、古いインターフェイスを削除する「前に」、新しいインターフェイスを追加し、古いインターフェイスの交換を行うことをお勧めします。
ステップ 2	インターフェイスの変更をスキャンします。インターフェイスのスキャンを実行するまで、設定を展開することはできません。スキャンの前に展開しようとすると、次のエラーが表示されます。 [デバイス（Device）] をクリックしてから、[インターフェイス（Interfaces）] サマリーにある [すべてのインターフェイスを表示（View All Interfaces）] リンクをクリックします。 [インターフェイス（Interfaces）] アイコン（）をクリックします。インターフェイスがスキャンされるのを待ってから、[OK] をクリックします。スキャンの後、削除されたインターフェイスが警告記号とともに [インターフェイス（Interfaces）] ページに表示されます。
ステップ 3	既存のインターフェイスを新しいインターフェイスに移行するには、次のようにします。名前、IP アドレスなどを使用して新しいインターフェイスを設定します。削除するインターフェイスの既存の IP アドレスと名前を使用する場合は、新しいインターフェイスでそれらの設定を使用できるように、最初にダミーの名前と IP アドレスを使用して古いインターフェイスを再設定する必要があります。古いインターフェイスの [移行（Migrate）] アイコンをクリックします。このプロセスによって、インターフェイスを参照しているすべての設定で、古いインターフェイスが新しいインターフェイスに移行されます。 [移行先：（Migrate to:）] ドロップダウンリストから新しいインターフェイスを選択します。 [インターフェイス（Interfaces）] ページにメッセージが表示されます。メッセージ内のリンクをクリックします。 [タスクリスト（Task List）] を調べて、移行が成功したことを確認します。移行が失敗した場合は、API エクスプローラで理由を確認できます。 API エクスプローラを開くには、[詳細オプション（More options）] ボタン（）をクリックし、[APIエクスプローラ（API Explorer）] を選択します。[インターフェイス（Interface）] > [GET/jobs/interfacemigrations] を選択し、[試してみる（Try it Out!）] をクリックします。
ステップ 4	設定を展開します。設定のうち削除されたインターフェイスを参照する部分は展開されません。その場合は次のメッセージが表示されます。
ステップ 5	シャーシで古いインターフェイスを削除し、再度スキャンを実行します。削除されたインターフェイスのうちポリシーで使用されなくなったものは、[インターフェイス（Interfaces）] ページから削除されます。
ステップ 6	設定を再度展開し、使用していないインターフェイスを設定から削除します。

ISA 3000 のハードウェアバイパスの設定

ハードウェアバイパスを有効にして、停電時でもトラフィックがインターフェイスペア間を通過できるようにできます。サポートされているインターフェイスペアは銅線インターフェイスの GigabitEthernet 1/1 と 1/2、および GigabitEthernet 1/3 と 1/4 です。光ファイバイーサネットモデルを保有している場合は、銅線イーサネットペア（GigabitEthernet 1/1 と 1/2）でのみハードウェアバイパスがサポートされます。

デフォルトでは、両方のインターフェイスペアに対してハードウェアバイパスが有効になります（サポートされている場合）。ただし、停電時の自動ハードウェアバイパスの設定（ISA 3000）の説明に従って、TCP シーケンスのランダム化を無効にすることをお勧めします。

ハードウェアバイパスがアクティブの場合、トラフィックはレイヤ 1 でそれらのインターフェイスペア間を通過します。FDM および FTD CLI のどちらも、インターフェイスがダウンしているものとみなします。ファイアウォール機能はないため、トラフィックのデバイス通過を許可することのリスクを理解している必要があります。

ハードウェアバイパスを機能させるための前提条件：

インターフェイスペアは同じブリッジグループに配置する必要があります。
インターフェイスはスイッチのアクセスポートに接続する必要があります。トランクポートには接続しないでください。

次のトピックでは、ISA 3000 のハードウェアバイパスを設定する方法について説明します。

停電時の自動ハードウェアバイパスの設定（ISA 3000）

次の手順では、ISA 3000 デバイスでの電源障害発生時の自動ハードウェアバイパスの設定方法について説明します。

（この手順で説明されている）TCP シーケンス番号のランダム化は無効にすることをお勧めします。デフォルトでは、ISA 3000 を通過する TCP 接続の最初のシーケンス番号（ISN）が乱数に書き換えられます。ハードウェアバイパスがアクティブになると、ISA 3000 はデータパスには入らず、シーケンス番号は変換されません。受信側のクライアントが予期しないシーケンス番号を受信すると接続がドロップされるため、TCP セッションを再確立する必要があります。TCP シーケンス番号のランダム化が無効になっている場合でも、スイッチオーバー中に一時的にダウンするリンクがあるため、一部の TCP 接続は再確立する必要があります。

CLI コンソールまたは SSH セッションで、show hardware-bypass コマンドを使用して動作ステータスをモニタします。

手順

ステップ 1

[デバイス（Device）] をクリックしてから、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックします。

ページの上部にある [ハードウェアバイパス（Hardware Bypass）] セクションは、このデバイスに使用できるインターフェイスペアの現在の設定を示します。

ただし、ハードウェアバイパスを有効にする前に、ペアが同じブリッジグループで設定されていることを確認する必要があります。

ステップ 2

特定のペアの自動ハードウェアバイパスを有効または無効にするには、[電源オフ時にバイパス（Bypass When Power Down）] 列で、ペアのスライダーを移動します。

変更はすぐには適用されません。設定を展開する必要があります。

ステップ 3

（オプション）TCP シーケンス番号ランダム化を無効にするために必要な FlexConfig オブジェクトとポリシーを作成します。

[デバイス（Device）] > [詳細設定（Advanced Configuration）] で [設定の表示（View Configuration）] をクリックします。
詳細設定の目次で [FlexConfig] > [FlexConfigオブジェクト（FlexConfig Objects）] をクリックします。
新しいオブジェクトを作成するには、[+] ボタンをクリックします。
オブジェクトの名前を入力します。たとえば、 Disable_TCP_Randomization と入力します。
[テンプレート（Template）] エディタに、TCP シーケンス番号のランダム化を無効にするコマンドを入力します。
コマンドは set connection random-sequence-number disable ですが、ポリシーマップ内の特定のクラスに対して設定する必要があります。最も簡単なアプローチは、ランダムなシーケンス番号をグローバルに無効にする方法です。この場合、次のコマンドを入力する必要があります。
```
policy-map global_policy
 class default_class
  set connection random-sequence-number disable
```
[ネゲートテンプレート（Negate Template）] エディタで、この設定を元に戻すために必要な行を入力します。
たとえば、TCP シーケンス番号のランダム化をグローバルに無効にしている場合、ネゲートテンプレートは次のようになります。
```
policy-map global_policy
 class default_class
  set connection random-sequence-number enable 
```
[OK] をクリックしてオブジェクトを保存します。

ここで、オブジェクトを FlexConfig ポリシーに追加する必要があります。オブジェクトを作成するだけでは不十分です。
目次で [FlexConfigポリシー（FlexConfig Policy）] をクリックします。
[グループリスト（Group List）] で [+] をクリックします。
Disable_TCP_Randomization オブジェクトを選択し、[OK] をクリックします。

プレビューはテンプレートのコマンドで更新されます。予想されるコマンドが表示されているか確認します。
[保存（Save）] をクリックします。

これでポリシーを展開できます。

ハードウェアバイパス（ISA 3000）を手動で起動

ハードウェアバイパスを手動で起動することができます。たとえば、システムをテストしたり、何らかの理由でデバイスを一時的にバイパスする必要がある場合があります。

次の手順では、ハードウェアバイパスを手動で有効または無効にする方法について説明します。ハードウェアバイパスの状態を変更するには、設定を展開する必要があることに注意してください。設定を変更するだけでは不十分です。

ハードウェアバイパスを手動で有効化または無効化すると、次の Syslog メッセージが表示されます。メッセージ内の pair は 1/1-1/2 または 1/3-1/4 です。

%FTD-6-803002: no protection will be provided by the system for traffic over GigabitEthernet pair
%FTD-6-803003: User disabled bypass manually on GigabitEthernet pair

手順

ステップ 1

[デバイス（Device）] をクリックしてから、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックします。

ページの上部にある [ハードウェアバイパス（Hardware Bypass）] セクションは、このデバイスに使用できるインターフェイスペアの現在の設定を示します。

ただし、ハードウェアバイパスを手動で有効または無効にする前に、ペアが同じブリッジグループで設定されていることを確認する必要があります。

ステップ 2

ペアのハードウェアバイパスを手動で有効にするには：

[直ちにバイパス（Bypass Immediately）] 列で有効状態になるようにペアのスライダを移動します。
Web ページの右上にある [変更の展開（Deploy Changes）] アイコンをクリックし、変更を展開します。

CLI コンソールまたは SSH セッションで、show hardware-bypass コマンドを使用して動作ステータスをモニタします。

ステップ 3

ペアのハードウェアバイパスを手動で無効にするには：

[直ちにバイパス（Bypass Immediately）] 列で無効状態になるようにペアのスライダを移動します。
Web ページの右上にある [変更の展開（Deploy Changes）] アイコンをクリックし、変更を展開します。

モニタリングインターフェイス

次の領域に、インターフェイスに関する一部の基本情報を表示できます。

[デバイス（Device）]。インターフェイスの現在の状態をモニタするには、ポートグラフィックを使用します。ポートにマウスポインタを合わせると、その IP アドレス、EtherChannel のメンバーシップ、有効ステータス、リンクステータスが表示されます。IP アドレスは DHCP を使用して静的に割り当てたり取得したりできます。

インターフェイスポートは、次のカラーコーディングを使用します。
- 緑：インターフェイスは設定され、有効で、リンクは稼働中です。
- グレー：インターフェイスは無効です。
- オレンジ/赤：インターフェイスが設定され、有効ですが、リンクがダウンしています。インターフェイスが有線の場合、これは修正が必要なエラー状態です。インターフェイスが有線でない場合、これは予期されるステータスです。
[モニタリング（Monitoring）] > [システム（System）]。[スループット（Throughput）] ダッシュボードには、システムを介して移動するトラフィックに関する情報が表示されます。すべてのインターフェイスに関する情報を表示できます。または、調査する特定のインターフェイスを選択できます。
[モニタリング（Monitoring）] > [ゾーン（Zones）]。これらのダッシュボードにはインターフェイスを設定するセキュリティゾーンに基づく統計情報が表示されます。詳細について、この情報を掘り下げることができます。

CLI でのインターフェイスのモニタリング

CLI コンソールを開くか、またはデバイスの CLI にログインして、次のコマンドを使用し、インターフェイス関連の動作と統計情報に関する詳細情報を取得することもできます。

show interface はインターフェイスの統計情報と設定情報を表示します。このコマンドには多数のキーワードがあり、必要な情報を取得するために使用できます。使用可能なオプションを表示するには、「?」をキーワードとして使用します。
show ipv6 interface はインターフェイスに関する IPv6 設定情報を表示します。
show bridge-group はブリッジ仮想インターフェイス（BVI）に関する情報を表示し、メンバー情報と IP アドレスが含まれます。
show conn は現在インターフェイスを通じて確立されている接続に関する情報を表示します。
show traffic は各インターフェイスを介したトラフィックフローに関する統計情報を表示します。
show ipv6 traffic はデバイスを介した IPv6 トラフィックフローに関する統計情報を表示します。
show dhcpd はインターフェイスの DHCP 使用状況に関する統計とその他の情報を表示し、特にインターフェイスで設定されている DHCP サーバに関する情報が含まれます。
show switch vlan VLANとスイッチポートの関連付けを表示します。
show switch mac-address-table スタティックおよびダイナミック MAC アドレスエントリを表示します。
show arp ダイナミック、スタティック、およびプロキシ ARP エントリを表示します。
show power inline PoE ステータスを表示します。

インターフェイスの例

使用例の章には、次のインターフェイス関連の例が含まれています。

Cisco Firepower Threat Defense コンフィギュレーション ガイド（Firepower Device Manager バージョン 6.5.0 用）

偏向のない言語

翻訳について

検索結果

章のタイトル： インターフェイス

インターフェイス

FTD インターフェイスについて

インターフェイス モード

管理/診断インターフェイス

個別の管理ネットワークの設定に関する推奨事項

別の管理ネットワークのための管理/診断インターフェイス設定に関する制限事項

セキュリティ ゾーン

IPv6 アドレス指定

Auto-MDI/MDIX 機能

インターフェイスに関する注意事項と制限事項

インターフェイス設定の制限事項

デバイス モデルによる VLAN サブインターフェイスの最大数

物理インターフェイスの設定

手順

次のタスク

ブリッジ グループの設定

始める前に

手順

次のタスク

EtherChannel の設定

EtherChannel について

チャネル グループ インターフェイス

別のデバイスの EtherChannel への接続

リンク集約制御プロトコル

ロード バランシング

EtherChannel MAC アドレス

EtherChannel インターフェイスのガイドライン

ブリッジ グループ

高可用性

モデルのサポート

EtherChannel の一般的なガイドライン

EtherChannel の追加

始める前に

手順

次のタスク

VLAN インターフェイスおよびスイッチポートの設定（Firepower 1010）

Firepower 1010 ポートおよびインターフェイスについて

ポートとインターフェイス

Power Over Ethernet

Firepower 1010 スイッチ ポートの注意事項と制約事項

高可用性

論理 VLAN インターフェイス

ブリッジ グループ

VLAN インターフェイスおよびスイッチ ポートでサポートされていない機能

その他の注意事項と制約事項

デフォルト設定

VLAN インターフェイスの設定

手順

次のタスク

スイッチ ポートのアクセス ポートとしての設定

始める前に

手順

スイッチ ポートのトランク ポートとしての設定

始める前に

手順

Power over Ethernet の設定

手順

VLAN サブインターフェイスと 802.1Q トランキングの設定

手順

次のタスク

パッシブ インターフェイスの設定

パッシブ インターフェイスを使用する理由

パッシブ インターフェイスの制限

ハードウェア Firepower 脅威デバイス パッシブ インターフェイスのスイッチの設定

手順

Firepower Threat Defense Virtual パッシブ インターフェイスの VLAN の設定

パッシブ モードでの物理インターフェイスの設定

手順

次のタスク

高度なインターフェイス オプションの設定

MAC アドレスについて

デフォルトの MAC アドレス

MTU について

パス MTU ディスカバリ

MTU およびフラグメンテーション

章のタイトル：インターフェイス

インターフェイスモード

セキュリティゾーン

デバイスモデルによる VLAN サブインターフェイスの最大数

ブリッジグループの設定

チャネルグループインターフェイス

ロードバランシング

ブリッジグループ

Firepower 1010 スイッチポートの注意事項と制約事項

ブリッジグループ

VLAN インターフェイスおよびスイッチポートでサポートされていない機能

スイッチポートのアクセスポートとしての設定

スイッチポートのトランクポートとしての設定

パッシブインターフェイスの設定

パッシブインターフェイスを使用する理由

パッシブインターフェイスの制限

ハードウェア Firepower 脅威デバイスパッシブインターフェイスのスイッチの設定

Firepower Threat Defense Virtual パッシブインターフェイスの VLAN の設定

パッシブモードでの物理インターフェイスの設定

高度なインターフェイスオプションの設定

MTU とジャンボフレーム

ISA 3000 のハードウェアバイパスの設定

停電時の自動ハードウェアバイパスの設定（ISA 3000）

ハードウェアバイパス（ISA 3000）を手動で起動

モニタリングインターフェイス