この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
Cisco Firepower 1100 シリーズは、Firepower 1120 および Firepower 1140 セキュリティ アプライアンスを含むスタンドアロンのモジュール型セキュリティ サービス プラットフォームです。この章では、Firepower Device Manager（FDM）を使用してネットワークに Firepower 1100 FTD を展開する方法と初期設定の実行方法について説明します。
 重要 |
Firepower 1100 シリーズは、Cisco Firepower ソフトウェア バージョン 6.4 以降をサポートしています。 |
（注） |
プライバシー収集ステートメント：Firepower 1100 シリーズには個人識別情報は不要で、積極的に収集することもありません。ただし、ユーザ名などの設定では、個人識別情報を使用できます。この場合、設定作業時や SNMP の使用時に、管理者が個人識別情報を確認できる場合があります。 |
この章では、Firepower Device Manager（FDM）Web ベースのデバイス セットアップ ウィザードを使用して、Firepower Threat Defense（FTD）デバイスの初期セットアップと設定を完了する方法について説明します。
FDM FDM では、小規模ネットワークで最も一般的に使用されるソフトウェアの基本機能を設定できます。また、これは多くの FDM デバイスを含む大規模なネットワークを制御するために強力な複数デバイスのマネージャを使用することがない、単一のデバイスまたは限られた数のデバイスを含むネットワークのために特に設計されています。
多数のデバイスを管理している場合、または FTD で許可される、より複雑な機能や設定を使用する場合は、代わりに Firepower Management Center （FMC）を使用します。
シャーシで FDM を使用して FTD を展開するには、次のタスクを参照してください。
 |
|
|
|
|
|
|
|
|
 |
 |
|
|
 |
|
 |
 |
（任意）ライセンスの設定：機能ライセンスを取得します。 |
 |
 |
ライセンスの設定：ライセンス トークンを生成します。 |
|
 |
ライセンスの設定：スマート ライセンシング サーバにデバイスを登録します。 |
|
 |
次の図は、Firepower 1100 シリーズ アプライアンスでの Firepower Device Manager を使用した Firepower Threat Defense のデフォルトのネットワークの展開を示しています（デフォルト設定を使用）。
デフォルト設定に関する詳細については、『Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager』を参照してください。FDM を使用した Firepower Threat Defense 搭載の Firepower 1100 シリーズのデフォルト設定では、上記のネットワーク展開により次の動作が可能になります。
内部 --> 外部へのトラフィック フロー
DHCP からの外部 IP アドレス
内部のクライアントに対する DHCP。内部インターフェイス上に DHCP サーバがあります。管理コンピュータを内部インターフェイスに直接接続し、192.168.1.0/24 ネットワーク上のアドレスを取得できます。
HTTPS アクセスは内部インターフェイス上で有効になるため、デフォルト アドレスの 192.168.1.1 で内部インターフェイスを介して FDM を開くことができます。
また、管理 1/1 に接続し、FDM を使用してデバイスのセットアップや管理を行うこともできます。DHCP サーバは管理インターフェイス上にあります。管理コンピュータをこのインターフェイスに直接接続し、192.168.45.46 ～ 192.168.45.254 の範囲のネットワークでアドレスを取得できます。
HTTPS アクセスは管理インターフェイス上で有効になるため、デフォルト アドレスの 192.168.45.45 で管理インターフェイスを介して FDM を開くことができます。
（注） |
物理的な管理インターフェイスは、Management 論理インターフェイスと Diagnostic 論理インターフェイス間で共有されます。Cisco Firepower Threat Defense コンフィギュレーション ガイド（Firepower Device Manager 用） [英語] の「Interfaces」の章を参照してください。 |
Firepower Threat Defense システムには、ライセンスおよびアップデート用のインターネット アクセスが必要です。システムは、外部インターフェイスのゲートウェイ経由でシステム データベースのアップデートを取得できます。管理ポートまたはネットワークからインターネットまでの明示的なルートを用意する必要はありません。デフォルトでは、データ インターフェイスを介して内部ルートが使用されます。
デフォルト設定では、特定のインターフェイスが内部および外部ネットワークに使用されると仮定しています。これらの前提に基づいてネットワーク ケーブルをインターフェイスに接続すると、初期設定の実行が容易になります。
Firepower 1100 シリーズでの上のシナリオでケーブルを配線するには、次の図を参照してください。この図には、内部ネットワークに接続された管理コンピュータを使用する簡単なトポロジが示されています。その他のトポロジも使用可能で、基本的な論理ネットワーク接続、ポート、アドレッシング、構成の要件によって展開方法が異なります。
| ステップ 1 |
Ethernet 1/1（外部）インターフェイスを ISP/WAN モデムまたはその他の外部デバイスに接続します。デフォルトでは、IP アドレスは DHCP を使用して取得しますが、初期設定時にスタティック アドレスを設定することもできます。 |
||
| ステップ 2 |
デバイスを設定するために使用するワークステーションに Ethernet 1/2 を接続します。 |
||
| ステップ 3 |
DHCP を使用して IP アドレスを取得するようにワークステーションを設定します。ワークステーションは 192.168.1.0/24 ネットワーク上でアドレスを取得します。
|
システムの電源は、デバイスの背面にあるロッカー電源スイッチによって制御されます。電源スイッチは、ソフト通知スイッチとして実装されています。これにより、システムのグレースフル シャットダウンがサポートされ、システム ソフトウェアおよびデータの破損のリスクが軽減されます。
| ステップ 1 |
電源コードをデバイスに接続し、電源コンセントに接続します。 |
||
| ステップ 2 |
シャーシの背面で、電源コードに隣接する標準的なロッカータイプの電源オン/オフ スイッチを使用して電源をオンにします。 |
||
| ステップ 3 |
デバイスの背面にある電源 LED を確認します。緑色に点灯している場合は、デバイスの電源が入っています。  |
||
| ステップ 4 |
デバイスの背面にあるステータス LED を確認します。緑色に点灯している場合は、電源投入診断に合格しています。
|
FDM にログインして FTD を設定します。
Firefox、Chrome、Safari、Edge、または Internet Explorer の最新バージョンを使用します。
| ステップ 1 |
ブラウザに次の URL を入力します。
|
| ステップ 2 |
ユーザ名 admin、デフォルト パスワード Admin123 を使用してログインします。 |
FDM の初期設定を実行します。初期設定の完了を参照してください。
初期設定を完了するには、最初に FDM にログインしたときにセットアップ ウィザードを使用します。セットアップ ウィザードの完了後、いくつかの基本ポリシーが適切に設定された機能しているデバイスが必要です。
外部（Ethernet1/1）および内部インターフェイス（Ethernet1/2）。
内部インターフェイスと外部インターフェイスのセキュリティ ゾーン。
内部の外部へのすべてのトラフィックを信頼するアクセス ルール。
内部から外部へのすべてのトラフィックを外部インターフェイスの IP アドレスの固有のポートへ変換するインターフェイス NAT ルール。
内部インターフェイスで実行されている DHCP サーバ。
| ステップ 1 |
エンド ユーザ ライセンス契約書を読んで同意し、管理者パスワードを変更するように求められます。 続行するには、これらの手順を完了する必要があります。 |
||
| ステップ 2 |
外部インターフェイスおよび管理インターフェイスに対して次のオプションを設定し、[次へ（Next）] をクリックします。
|
||
| ステップ 3 |
システム時刻を設定し、[次へ（Next）] をクリックします。
|
||
| ステップ 4 |
システムのスマート ライセンスを設定します。 スマート ライセンスのアカウントを取得し、システムが必要とするライセンスを適用する必要があります。最初は 90 日間の評価ライセンスを使用し、後でスマート ライセンスを設定できます。 今すぐデバイスを登録するには、リンクをクリックして Smart Software Manager アカウントにログインします。ライセンスの設定を参照してください。 評価ライセンスを使用するには、[登録せずに90日間の評価期間を開始する（Start 90 day evaluation period without registration）] を選択します。 |
||
| ステップ 5 |
[終了（Finish）] をクリックします。 |
評価ライセンスを引き続き使用することもできますが、デバイスを登録してライセンスを取得することをお勧めします。ライセンスの設定を参照してください。
また、デバイスの設定を選択することもできます。Firepower Device Manager でのデバイスの設定を参照してください。
FTD は、ライセンスの購入およびライセンス プールの一元管理を可能にするシスコ スマート ソフトウェア ライセンシングを使用します。
シャーシを登録すると、License Authority によって シャーシと License Authority 間の通信に使用される ID 証明書が発行されます。また、適切な仮想アカウントにシャーシが割り当てられます。
基本ライセンスは自動的に含まれます。スマート ライセンシングでは、まだ購入していない製品機能を使用することはできませんが、次のオプション機能ライセンスを購入して準拠する必要があります。
脅威：セキュリティ インテリジェンスと Cisco Firepower の次世代 IPS
マルウェア：強化されたネットワーク向けの高度なマルウェア防御（AMP）
URL：URL フィルタリング
RA VPN：AnyConnect Plus、AnyConnect Apex、または AnyConnect VPN 専用。
上記のライセンスに加えて、1、3、または 5 年のアップデートにアクセスするため、該当するサブスクリプションを購入する必要もあります。
システムのライセンシングの詳細については、『FDM Configuration Guide』を参照してください。
Cisco Smart Software Manager にマスター アカウントを持ちます。
まだアカウントをお持ちでない場合は、リンクをクリックして新しいアカウントを設定してください。Smart Software Manager では、組織のマスター アカウントを作成できます。
（輸出コンプライアンス フラグを使用して有効化される）機能を使用するには、ご使用のシスコ スマート ソフトウェア ライセンシング アカウントで強力な暗号化（3DES/AES）ライセンスを使用できる必要があります。
| ステップ 1 |
お使いのスマート ライセンシング アカウントに、必要なライセンスが含まれていることを確認してください。 ライセンスは、シスコまたは販売代理店からデバイスを購入した際に、スマート ソフトウェア ライセンシング アカウントにリンクされています。ただし、主導でライセンスを追加する必要がある場合は、Cisco Commerce Workspace で [製品とソリューションの検索（Find Products and Solutions）] 検索フィールドを使用します。次のライセンス PID を検索します。 
|
||
| ステップ 2 |
Smart Software Manager で、このデバイスを追加する仮想アカウントの登録トークンを要求してコピーします。
|
||
| ステップ 3 |
FDM で、[デバイス（Device）] をクリックし、[スマート ライセンス概要（Smart License summary）] の [設定の表示（View Configuration）] をクリックします。 [スマート ライセンス（Smart License）] ページが表示されます。 |
||
| ステップ 4 |
[デバイスの登録（Register Device）] をクリックします。  次に、[スマート ライセンス登録（Smart License Registration）] ダイアログボックスの指示に従って、トークンに貼り付けます。  |
||
| ステップ 5 |
[デバイスの登録（Register Device）] をクリックします。 [スマート ライセンス（Smart License）] ページに戻ります。デバイス登録中は次のメッセージが表示されます。  デバイスが正常に登録され、ページが更新されると、次のように表示されます。  |
||
| ステップ 6 |
必要に応じて、それぞれのオプション ライセンスの [有効化/無効化（Enable/Disable）] コントロールをクリックします。 
機能を有効にすると、アカウントにライセンスがない場合はページを更新した後に次の非準拠メッセージが表示されます。  |
||
| ステップ 7 |
歯車ドロップダウン リストから [接続の再同期（Resync Connection）] を選択して、Cisco Smart Software Manager とライセンス情報を同期させます。  |
次の手順では、追加機能の設定の概要を説明します。各手順について詳細な情報を表示するには、ページのヘルプ ボタン（?）をクリックしてください。
| ステップ 1 |
他のインターフェイスに有線接続する場合は、[デバイス（Device）] を選択して [インターフェイス（Interfaces）] の概要のリンクをクリックします。 各インターフェイスの編集アイコン（ 次の例では、Web サーバなどのパブリックアクセス可能な資産を配置する「非武装地帯」（DMZ）として使用するためのインターフェイスを構成します。完了したら [保存（Save）] をクリックします。  |
||
| ステップ 2 |
新しいインターフェイスを構成する場合は、[オブジェクト（Objects）] を選択してから、目次から [セキュリティゾーン（Security Zones）] を選択します。 編集または必要に応じて新しいゾーンを作成します。インターフェイスではなく、セキュリティ ゾーンに基づいてポリシーを構成するため、各インターフェイスはゾーンに属している必要があります。インターフェイスを構成する場合、ゾーンにインターフェイスを置くことはできません。このため、新しいインターフェイスを作成した後、または既存のインターフェイスの目的を変更した後には常にゾーン オブジェクトを編集する必要があります。 次の例では、DMZ インターフェイスのために新しい DMZ ゾーンを作成する方法を示します。  |
||
| ステップ 3 |
内部クライアントで DHCP を使用してデバイスから IP アドレスを取得する場合は、 を選択してから、[DHCPサーバ（DHCP Servers）] タブを選択します。 すでに内部インターフェイス用に構成されている DHCP サーバがありますが、アドレス プールを編集したり、それを削除したりすることができます。他の内部インターフェイスを構成した場合は、それらのインターフェイス上に DHCP サーバをセットアップするのがごく一般的です。[+] をクリックして各内部インターフェイスのサーバとアドレス プールを構成します。 [構成（Configuration）] タブでクライアントに提供される WINS および DNS のリストを微調整することもできます。次の例では、アドレス プールの 192.168.4.50 ～ 192.168.4.240 で inside2 インターフェイス上の DHCP サーバを設定する方法を示しています。  |
||
| ステップ 4 |
[デバイス（Device）] を選択してから、[ルーティング（Routing）] グループで [設定の表示（View Configuration）]（または [最初の静的ルートを作成（Create First Static Route）]）をクリックし、デフォルト ルートを構成します。 デフォルト ルートは通常、外部インターフェイス以外に存在するアップストリームまたは ISP ルータを指しています。デフォルトの IPv4 ルートは任意の ipv4（0.0.0.0/0）、デフォルトの IPv6 ルートは任意の ipv6（::0/0）です。使用する IP バージョンごとにルートを作成します。外部インターフェイスのアドレスの取得に DHCP を使用する場合、必要なデフォルト ルートをすでに持っていることがあります。
次の例に、IPv4 のデフォルト ルートを示します。この例では、isp ゲートウェイは ISP ゲートウェイの IP アドレスを識別するネットワーク オブジェクトです（アドレスは ISP から取得する必要があります）。[ゲートウェイ（Gateway）] の下部の [新しいネットワークを作成する（Create New Network）] ドロップダウン リストをクリックしてこのオブジェクトを作成することができます。  |
||
| ステップ 5 |
[ポリシー（Policies）] を選択してネットワークのセキュリティ ポリシーを構成します。 デバイス セットアップ ウィザードは、内部ゾーンと外部ゾーンの間のトラフィック フローを有効にします。また、外部インターフェイスを使用する場合に、全インターフェイスに対するインターフェイス NAT も有効にします。新しいインターフェイスを構成した場合でも、内部ゾーン オブジェクトに追加する場合はそれらにアクセス制御ルールが自動的に適用されます。 ただし、複数の内部インターフェイスがある場合は、内部ゾーンから内部ゾーンへのトラフィック フローを許可するアクセス制御ルールが必要です。他のセキュリティ ゾーンを追加する場合は、それらのゾーンとのトラフィックを許可するルールが必要です。これらは最低限の変更になります。 さらに、組織が必要とする結果を得るために、その他のポリシーを設定して、追加サービスの提供や、NAT およびアクセス ルールを微調整できます。次のポリシーを設定できます。
次の例では、アクセス制御ポリシーで内部ゾーンと DMZ ゾーンの間のトラフィックを許可する方法を示します。この例では、[接続の最後で（At End of Connection）] が選択されている場合、[ロギング（Logging）] を除いて他のいずれのタブでもオプションは設定されません。  |
||
| ステップ 6 |
[デバイス（Device）] を選択してから、[更新（Updates）] グループで [設定の表示（View Configuration）] をクリックし、システム データベースの更新スケジュールを設定します。 侵入ポリシーを使用している場合は、ルールと VDB のデータベースを定期的な更新を設定します。セキュリティ情報フィードを使用する場合は、それらの更新スケジュールを設定します。一致基準としてセキュリティ ポリシーで地理位置情報を使用する場合は、そのデータベースの更新スケジュールを設定します。 |
||
| ステップ 7 |
メニューの [導入（Deploy）] ボタンをクリックし、[今すぐ導入する（Deploy Now）] ボタン（ 変更は、それらを展開するまでデバイスで有効になりません。 |
コマンドライン インターフェイス（CLI）を使用してシステムのセットアップを行い、基本的なシステムのトラブルシューティングを行います。CLI セッションからポリシーを設定することはできません。CLI には、コンソール ポートに接続してアクセスできます。
FTD デバイスの管理インターフェイスに SSH で接続できます。SSH 接続用のインターフェイスを開いている場合、データ インターフェイス上のアドレスにも接続できます。データ インターフェイスへの SSH アクセスはデフォルトで無効になっています。
また、トラブルシューティングのために、FTD CLI から FXOS CLI にアクセスすることもできます。
| ステップ 1 |
CLI にログインするには、管理コンピュータをコンソール ポートに接続します。コンソール ケーブルの詳細については、デバイスのハードウェア ガイドを参照してください。次のシリアル設定を使用します。
|
||
| ステップ 2 |
プロンプトで、FXOS CLI にログインします。 例: |
||
| ステップ 3 |
FTD CLI にアクセスします。 connect ftd 例:ログイン後に、CLI で使用可能なコマンドの情報を確認するには、help または ? を入力します。使用法の詳細については、Cisco Firepower Threat Defense コマンド リファレンス [英語] を参照してください。 |
||
| ステップ 4 |
FTD CLI を終了するには、exit または logout コマンドを入力します。 例:
|
そのため、FTD CLI を使用してシステムを適切にシャットダウンすることが重要です。単純に電源プラグを抜いたり、電源スイッチを押したりすると、重大なファイル システムの損傷を引き起こすことがあります。バックグラウンドでは常に多数のプロセスが実行されていて、電源プラグを抜いたり、電源を切断したりすると、Firepower システムをグレースフル シャットダウンできないことを覚えておいてください。
Firepower デバイスの電源を切断する必要がある場合は、このトピックの手順に従ってください。
（注） |
この手順では、初回ログイン時にデフォルトの admin ユーザを使用して初期設定プロセスを完了していると仮定しています。 |
Firepower デバイスの電源を切断する前に、次の手順を実行します。
Firepower ネットワーク データ ポートに接続されているデバイスをシャットダウンまたは切断する必要があるか判断します。
管理ポートの位置、コンソール ポート、電源装置、関連する LED の情報など、シャーシ コンポーネントの詳細については、ご使用のデバイスのハードウェア ガイドを参照してください。
| ステップ 1 |
管理コンピュータをシャーシの管理ポートまたはコンソール ポートに接続して、FTD CLI にアクセスします。 |
||
| ステップ 2 |
コンソール ポートから、または SSH を使用して、FTD CLI に接続します。
|
||
| ステップ 3 |
admin のユーザ名とパスワードでログインします。
|
||
| ステップ 4 |
デバイスの電源を切断するには、CLI プロンプト（>）で shutdown コマンドを使用します。 例:このコマンドは、Firepower システムをグレースフル シャットダウンします。 |
||
| ステップ 5 |
電源 LED とステータス LED を観察して、シャーシの電源が切断されていることを確認します（LED が消灯）。 |
||
| ステップ 6 |
シャーシの電源が正常に切断されたら、必要に応じて電源プラグを抜き、シャーシから物理的に電源を取り外すことができます。 |
Firepower Threat Defense デバイスの設定を続行するには、Cisco Firepower ドキュメントのナビゲーション [英語] で、ご使用のソフトウェア バージョンのドキュメントを参照してください。
Firepower Device Manager の使用関連の情報については、Cisco Firepower Threat Defense Configuration Guide for Firepower Device Managerを参照してください。
）をクリックしてモードを設定し、IP アドレスなどの設定を定義します。
）をクリックして、変更内容をデバイスに展開します。
フィードバック