Firepower Management Center を使用した Cisco Firepower Threat Defense（Firepower 2100 シリーズ用）クイック スタート ガイド
Table of Contents
Firepower Management Center を使用した Cisco Firepower Threat Defense（Firepower 2100 シリーズ用）クイック スタート ガイド
ネットワークへの Firepower Threat Defense の導入
Firepower 2100 セキュリティ アプライアンスへの電源の投入
Firepower Management 用セキュリティ アプライアンスの設定
セキュリティ アプライアンスの Firepower Management Center への登録およびスマート ライセンスの割り当て
このガイドの目的
このガイドでは、Firepower Threat Defense セキュリティ アプライアンスの初期設定を実行する方法と、Firepower Management Center にアプライアンスを登録する方法について説明します。大規模ネットワークの一般的な導入では、複数の管理対象アプライアンスがネットワーク セグメントにインストールされ、トラフィックが分析用にモニタされて管理する Firepower Management Center にレポートされます。Firepower Management Center は、管理、分析、レポートのタスクを実行できる Web インターフェイスを備えた集中管理コンソールを提供します。
単一またはごく少数のアプライアンスのみが含まれるネットワークでは、Firepower Management Center のような高性能の多機能デバイス マネージャを使用する必要がなく、一体型の Firepower Device Manager を使用できます。Firepower Device Manager の Web ベースのデバイス セットアップ ウィザードを使用して、小規模ネットワークの導入に最もよく使用されるソフトウェアの基本機能を設定できます（『 Cisco Firepower Threat Defense for the Firepower 2100 Series Using Firepower Device Manager Quick Start Guide 』を参照）。
ライセンス要件
Firepower Threat Defense セキュリティ アプライアンスには、Cisco Smart Licensing が必要です。Smart Licensing により、ライセンスの購入とライセンスのプールの一元管理を行うことができます。製品認証キー（PAK）ライセンスとは異なり、スマート ライセンスは特定のシリアル番号またはライセンス キーに関連付けられません。Smart Licensing を利用すれば、ライセンスの使用状況やニーズをひと目で評価することもできます。
また、Smart Licensing では、まだ購入していない製品の機能を使用できます。Cisco Smart Software Manager に登録すると、すぐにライセンスの使用を開始できます。また、後でライセンスを購入することもできます。これによって、機能の展開および使用が可能になり、発注書の承認による遅延がなくなります。
Firepower 機能のスマート ライセンスを複数購入する場合は、それらのライセンスを Cisco Smart Software Manager（ http://www.cisco.com/web/ordering/smart-software-manager/index.html ）で管理できます。Smart Software Manager では、組織のマスター アカウントを作成できます。Cisco Smart Software Manager の詳細については、『 Cisco Smart Software Manager User Guide 』を参照してください。
Firepower Threat Defense セキュリティ アプライアンスまたは Firepower Threat Defense Virtual を購入すると、自動的に基本ライセンスが含まれます。すべての追加ライセンス（Threat、Malware、URL Filtering）はオプションです。Firepower Threat Defense ライセンスの詳細については、『Firepower Management Center Configuration Guide』の「Licensing the Firepower System」を参照してください。
ネットワークへの Firepower Threat Defense の導入
次の図に、Firepower 2100 シリーズで推奨される Firepower Threat Defense のネットワーク配置を示します。
設定例では、次の動作によって上記のネットワーク導入を有効化します。
- 内部 --> 外部 へのトラフィック フロー
- DHCP からの 外部 IP アドレス
- 内部 上のクライアントに対する DHCP 。
- 管理 1/1 は、Firepower Threat Defense を設定し、Firepower Management Center に登録するために使用されます。
管理インターフェイスは、更新にインターネット アクセスが必要です。内部インターフェイスと同じネットワーク上に管理を配置すると、Firepower Threat Defense セキュリティ アプライアンスを内部のスイッチのみで導入して、内部インターフェイスをゲートウェイとして示すことができます。
物理的な管理インターフェイスは、管理論理インターフェイスと診断論理インターフェイスの間で共有されます。『Firepower Management Center Configuration Guide』の「Firepower Threat Defense」を参照してください。
（注
） 内部ネットワーク上に別のルータを導入すると、管理と内部の間でルーティングできます。別の導入設定例については、『Firepower Management Center Configuration Guide』の「Interfaces for Firepower Threat Defense」を参照してください。
インターフェイスの接続
デフォルト設定では、特定のインターフェイスが内部および外部ネットワークに使用されると仮定しています。これらの想定に基づいてインターフェイスにネットワーク ケーブルを接続していると、初期設定がしやすくなります。Firepower 2100 シリーズで上記のシナリオをケーブル接続するには、次の図を参照してください。
（注） 次の図は、レイヤ 2 スイッチを使用する簡単なトポロジを示しています。他のトポロジも使用でき、基本的な論理ネットワーク接続、ポート、アドレッシング、構成の要件によって導入方法が異なります。
1. 以下の機器のケーブルをレイヤ 2 イーサネット スイッチに接続します。
–Management 1/1 インターフェイス（Firepower Management Center 用）
（注） 管理インターフェイスは Firepower Management のみに属する独立したデバイスとして動作するため、内部インターフェイスと管理インターフェイスを同じネットワーク上で接続できます。
Firepower 2100 セキュリティ アプライアンスへの電源の投入
システムの電源は、シャーシの背面にあるロッカー電源スイッチによって制御されます。電源スイッチは、 ソフト 通知スイッチとして実装されています。これにより、システムのグレースフル シャットダウンがサポートされ、システム ソフトウェアおよびデータの破損のリスクが軽減されます。
1. 電源ケーブルを Firepower 2100 セキュリティ アプライアンスに接続し、電源コンセントに接続します。
2. セキュリティ アプライアンスの背面にある電源スイッチを押します。
3. セキュリティ アプライアンスの前面にある PWR LED を確認します。緑色に点灯している場合は、セキュリティ アプライアンスの電源が入っています。
4. セキュリティ アプライアンスの前面にある SYS LED を確認します。緑色に点灯している場合は、電源投入時診断に合格しています。
（注） スイッチを ON から OFF に切り替えると、システムの電源が最終的に切れるまで数秒かかることがあります。この間は、シャーシの前面パネルの PWR LED が緑に点滅します。PWR LED が完全にオフになるまで電源を抜かないでください。
Firepower Management 用セキュリティ アプライアンスの設定
システムをネットワークで正しく機能させるには、初期設定を完了する必要があります。これには、セキュリティ アプライアンスをネットワークに挿入して、インターネットまたは他の上流に位置するルータに接続するために必要なアドレスの設定が含まれます。
最初の起動時またはシステムの再イメージ化後に、CLI のセットアップ ウィザードによって、Firepower Threat Defense セキュリティ アプライアンスの設定に必要な基本のネットワーク設定パラメータのプロンプトが表示され、Firepower Management Center への登録が要求されます。管理 IP アドレスと関連するゲートウェイ ルートは、インターフェイス リストの Firepower Management Center Web インターフェイスまたはセキュリティ アプライアンスのスタティック ルートに含まれていません。これらは、セットアップ スクリプトおよび CLI によってのみ設定できます。
データ インターフェイスがゲートウェイ デバイス（たとえば、ケーブル モデムやルータなど）に接続されていることを確認します。エッジの導入では、これはインターネット向けのゲートウェイになります。データセンター導入の場合は、これがバックボーン ルータになります。
Management インターフェイスは、インターネットにアクセスできるゲートウェイに接続する必要もあります。システムのライセンスおよびデータベースのアップデートにインターネット アクセスが必要です。
- セキュリティ アプライアンスに付属のコンソール ケーブルを使用し、9600 ボー、8 データ ビット、パリティなし、1 ストップ ビット、フロー制御なしに設定されたターミナル エミュレータを用いて PC をコンソールに接続します。コンソール ケーブルの詳細については、セキュリティ アプライアンスのハードウェア ガイドを参照してください。
（注） コンソール ポートでは、FXOS CLI ログイン プロンプトがデフォルトの CLI になります。Firepower Threat Defense CLI には、connect ftd コマンドを使用してアクセスできます。
- SSH クライアントを使用して、管理 IP アドレス（デフォルトは 192.168.45.45）に接続します。 admin ユーザ名（デフォルトのパスワードは Admin123 です）を使用してログインします。
ログインした後、CLI で使用可能なコマンドを確認するには、 help または ? を入力してください。
1. [firepower ログイン（firepower login）] プロンプトで、ユーザー名 admin とパスワード Admin123 のデフォルトのクレデンシャルでログインします。
2. Firepower Threat Defense アプリケーションに接続します。
3. Firepower Threat Defense システムが起動すると、セットアップ ウィザードでシステムの設定に必要な次の情報の入力が求められます。
–管理ポートの IPv4 アドレスとサブネット マスク、または IPv6 アドレスとプレフィックス
–デフォルト ゲートウェイの IPv4、IPv6、またはデータ インターフェイス設定
4. セットアップ ウィザードの設定を確認します。デフォルト値または以前に入力した値がカッコ内に表示されます。以前に入力した値をそのまま使用する場合は、Enter を押します。
5. 新しいログイン クレデンシャルを使用して、アプライアンスに再接続します。
6. ファイアウォール モードを設定します。次に例を示します。
（注） 初期設定でファイアウォール モードを設定することをお勧めします。デフォルト モードはルーテッドです。初期設定後にファイアウォール モードを変更すると、実行コンフィギュレーションが消去されます。詳細については、『Firepower Management Center Configuration Guide』の「Transparent or Routed Firewall Mode」を参照してください。
7. デフォルトのシステム設定が処理されるのを待ちます。数分かかることがあります。
（注） 登録キーは、ユーザが生成した 1 回限り使用できる一意のキーで、37 文字を超えてはなりません。有効な文字には、英数字（A～Z、a～z、0～9）、およびハイフン（-）などがあります。セキュリティ アプライアンスを Firepower Management Center に追加するときに、この登録キーを思い出す必要があります。
8. configure manager add コマンドを使用して、このセキュリティ アプライアンスを管理する Firepower Management Center アプライアンスを指定します。
登録キーは、ユーザ生成の 1 回しか使用できないキーです。セキュリティ アプライアンス Firepower Management Center のインベントリに追加する必要があります。次に、簡単な例を示します。
セキュリティ アプライアンスと Firepower Management Center が NAT デバイスによって分けられている場合は、登録キーと一緒に一意の NAT ID を入力し、ホスト名の代わりに DONTRESOLVE を指定します。たとえば次のようにします。
Firepower Management Center およびセキュリティ アプライアンスでは、初期登録の認証と承認を行うために、登録キーおよび NAT ID（IP アドレスではなく）を使用します。NAT ID は、最初の通信に対する信頼を確立し、正しい登録キーを検索するために、管理対象アプライアンスの登録に使用するすべての NAT ID の中で一意である 必要があります 。
（注） Firepower Management Center または Firepower Threat Defense のいずれかのセキュリティ アプライアンスのうちの少なくとも 1 つは、2 つのアプライアンス間で双方向の SSL 暗号化通信チャネルを確立するために、パブリック IP アドレスを持つ必要があります。
セキュリティ アプライアンスの Firepower Management Center への登録およびスマート ライセンスの割り当て
- Firepower Management Center でスマート ライセンスを設定します。以下のシスコ スマート アカウントがあることを確認します。Cisco Software Central（ https://software.cisco.com/ [英語]）で作成できます。
- Firepower Threat Defense の基本ライセンスがスマート アカウントに追加されていることを確認します（例：L-FP2100T-BASE=）。
1. ブラウザで HTTPS 接続を使用して、上記で入力したホスト名またはアドレスを使用して Firepower Management Center にログインします。たとえば、https://MC.example.com などです。
2. [デバイス管理（Device Management）] ウィンドウを使用して（[デバイス（Devices）] > [デバイス管理（Device Management）]）、セキュリティ アプライアンスを追加します。詳細については、オンライン ヘルプまたは『Firepower Management Center Configuration Guide』の「Managing Devices」を参照してください。
3. CLI 設定時に、セキュリティ アプライアンスに設定済みの管理 IP アドレスを入力します。
4. CLI 設定時に、セキュリティ アプライアンスで指定されたキーと同じ登録キーを使用します。
5. [Smart Licensing] オプション（[Threat]、[URL]、[Advanced Malware]）を選択します。
これらのライセンスはすでにスマート アカウントにある必要があります。スマート アカウントにアプライアンスの基本ライセンスがあることを確認してください。
次の作業
- Firepower Management Center による Firepower Threat Defense の管理の詳細については、『 Firepower Management Center Configuration Guide 』または Firepower Management Center のオンライン ヘルプを参照してください。
- すべての Firepower System のマニュアルのリンクについては、 Cisco Firepower System マニュアルのナビゲーション を参照してください。
フィードバック