この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
この章の対象読者
この章では、Firepower Device Manager（FDM）を使用して管理されるスタンドアロンの FTD 論理デバイスを展開する方法について説明します。高可用性ペアを展開する場合は、FDM の設定ガイドを参照してください。
FDM FDM では、小規模ネットワークで最も一般的に使用されるソフトウェアの基本機能を設定できます。また、これは多くの FDM デバイスを含む大規模なネットワークを制御するために強力な複数デバイスのマネージャを使用することがない、単一のデバイスまたは限られた数のデバイスを含むネットワークのために特に設計されています。
多数のデバイスを管理している場合、または FTD で許可される、より複雑な機能や設定を使用する場合は、代わりに Firepower Management Center （FMC）を使用します。
 （注） |
プライバシー収集ステートメント：Firepower 4100 には個人識別情報は不要で、積極的に収集することもありません。ただし、ユーザ名などの設定では、個人識別情報を使用できます。この場合、設定作業時や SNMP の使用時に、管理者が個人識別情報を確認できる場合があります。 |
FTD は、ステートフル ファイアウォール、ルーティング、VPN、Next-Generation Intrusion Prevention System（NGIPS）、Application Visibility and Control（AVC）、URL フィルタリング、高度なマルウェア防御（AMP）などの次世代ファイアウォールサービスを提供します。
Firepower Device Manager（FDM）（デバイスに含まれる簡素化された単一のデバイスマネージャ）を使用して FTD を管理できます。FTD の論理デバイスに割り当てた管理インターフェイスに HTTPS を使用します。
トラブルシューティングの目的で、管理インターフェイス上の SSH を使用して FTD CLI にアクセスすることも、FXOS CLI から FTD に接続することもできます。
シャーシで FTD を展開して設定するには、次のタスクを参照してください。
|
ワークスペース |
手順 |
|
|---|---|---|
|
|
Firepower Chassis Manager |
Firepower Chassis Manager：Firepower Threat Defense 論理デバイスを追加します。。 |
|
|
FDM |
|
|
|
Cisco Commerce Workspace |
ライセンスの設定：機能ライセンスを購入します。 |
|
|
Smart Software Manager |
ライセンスの設定：FTD のライセンストークンを生成します。 |
|
|
FDM |
ライセンスの設定：FTD をスマート ライセンシング サーバに登録し、機能ライセンスを有効にします。 |
|
|
FDM |
FTD をネイティブインスタンスとして Firepower 4100 から展開できます。コンテナ インスタンスはサポートされていません。
ハイアベイラビリティペアを追加する場合は、『FDM configuration guide』を参照してください。
FTD と一緒に使用する管理インターフェイスを設定します。インターフェイスの設定 を参照してください。管理インターフェイスが必要です。この管理インターフェイスは、シャーシの管理のみに使用される（[インターフェイス（Interfaces）] タブの上部に [MGMT] として表示される）シャーシ管理ポートと同じではありません。
また、少なくとも 1 つのデータ インターフェイスを設定する必要があります。
次の情報を用意します。
このデバイスのインターフェイス ID
管理インターフェイス IP アドレスとネットワーク マスク
ゲートウェイ IP アドレス
DNS サーバの IP アドレス
FTD ホスト名とドメイン名
| ステップ 1 |
Firepower Chassis Manager で、[論理デバイス（Logical Devices）] を選択します。 |
| ステップ 2 |
をクリックし、次のパラメータを設定します。  |
| ステップ 3 |
[Data Ports] 領域を展開し、デバイスに割り当てるインターフェイスをそれぞれクリックします。  以前に [インターフェイス（Interfaces）] ページで有効にしたデータインターフェイスのみを割り当てることができます。後で、FDM でこれらのインターフェイスを有効にして設定します。これには IP アドレスの設定も含まれます。 |
| ステップ 4 |
画面中央のデバイス アイコンをクリックします。 ダイアログボックスが表示され、初期のブートストラップ設定を行うことができます。これらの設定は、初期導入専用、またはディザスタ リカバリ用です。通常の運用では、後でアプリケーション CCLI 設定のほとんどの値を変更できます。 |
| ステップ 5 |
[General Information] ページで、次の手順を実行します。  |
| ステップ 6 |
[Settings] タブで、次の手順を実行します。  |
| ステップ 7 |
[利用規約（Agreement）] タブで、エンド ユーザ ライセンス（EULA）を読んで、同意します。 |
| ステップ 8 |
[OK] をクリックして、設定ダイアログボックスを閉じます。 |
| ステップ 9 |
[保存（Save）] をクリックします。 シャーシは、指定したソフトウェアバージョンをダウンロードし、アプリケーション インスタンスにブートストラップ設定と管理インターフェイス設定をプッシュすることで、論理デバイスを導入します。[ 論理デバイス（Logical Devices） ] ページで、新しい論理デバイスのステータスを確認します。論理デバイスの [Status] が [online] と表示されたら、アプリケーションでセキュリティ ポリシーの設定を開始できます。  |
FDM にログインして FTD を設定します。
Firefox、Chrome、Safari、Edge、または Internet Explorer の最新バージョンを使用します。
Firepower Chassis Manager の [論理デバイス（Logical Devices）] ページで、ASA 論理デバイスの [ステータス（Status）] が [オンライン（online）] であることを確認します。
| ステップ 1 |
ブラウザに次の URL を入力します。
|
| ステップ 2 |
ユーザ名 admin、FTD の展開時に設定したパスワード、 を使用してログインします。 |
| ステップ 3 |
90 日間の評価ライセンスに同意するように求められます。 |
FTD は、ライセンスの購入およびライセンス プールの一元管理を可能にするシスコ スマート ソフトウェア ライセンシングを使用します。
シャーシを登録すると、License Authority によって シャーシと License Authority 間の通信に使用される ID 証明書が発行されます。また、適切な仮想アカウントにシャーシが割り当てられます。
基本ライセンスは自動的に含まれます。スマート ライセンシングでは、まだ購入していない製品機能を使用することはできませんが、次のオプション機能ライセンスを購入して準拠する必要があります。
脅威：セキュリティ インテリジェンスと Cisco Firepower の次世代 IPS
マルウェア：強化されたネットワーク向けの高度なマルウェア防御（AMP）
URL：URL フィルタリング
RA VPN：AnyConnect Plus、AnyConnect Apex、または AnyConnect VPN 専用。
上記のライセンスに加えて、1、3、または 5 年のアップデートにアクセスするため、該当するサブスクリプションを購入する必要もあります。
システムのライセンシングの詳細については、『FDM Configuration Guide』を参照してください。
Cisco Smart Software Manager にマスター アカウントを持ちます。
まだアカウントをお持ちでない場合は、リンクをクリックして新しいアカウントを設定してください。Smart Software Manager では、組織のマスター アカウントを作成できます。
（輸出コンプライアンス フラグを使用して有効化される）機能を使用するには、ご使用のシスコ スマート ソフトウェア ライセンシング アカウントで強力な暗号化（3DES/AES）ライセンスを使用できる必要があります。
| ステップ 1 |
お使いのスマート ライセンシング アカウントに、必要なライセンスが含まれていることを確認してください。 ライセンスは、シスコまたは販売代理店からデバイスを購入した際に、スマート ソフトウェア ライセンシング アカウントにリンクされています。ただし、主導でライセンスを追加する必要がある場合は、Cisco Commerce Workspace で [製品とソリューションの検索（Find Products and Solutions）] 検索フィールドを使用します。次のライセンス PID を検索します。 
|
||
| ステップ 2 |
Smart Software Manager で、このデバイスを追加する仮想アカウントの登録トークンを要求してコピーします。
|
||
| ステップ 3 |
FDM で、[デバイス（Device）] をクリックし、[スマート ライセンス概要（Smart License summary）] の [設定の表示（View Configuration）] をクリックします。 [スマート ライセンス（Smart License）] ページが表示されます。 |
||
| ステップ 4 |
[デバイスの登録（Register Device）] をクリックします。  次に、[スマート ライセンス登録（Smart License Registration）] ダイアログボックスの指示に従って、トークンに貼り付けます。  |
||
| ステップ 5 |
[デバイスの登録（Register Device）] をクリックします。 [スマート ライセンス（Smart License）] ページに戻ります。デバイス登録中は次のメッセージが表示されます。  デバイスが正常に登録され、ページが更新されると、次のように表示されます。  |
||
| ステップ 6 |
必要に応じて、それぞれのオプション ライセンスの [有効化/無効化（Enable/Disable）] コントロールをクリックします。 
機能を有効にすると、アカウントにライセンスがない場合はページを更新した後に次の非準拠メッセージが表示されます。  |
||
| ステップ 7 |
歯車ドロップダウン リストから [接続の再同期（Resync Connection）] を選択して、Cisco Smart Software Manager とライセンス情報を同期させます。  |
基本的なセキュリティ ポリシーを設定するには、次のタスクを実行します。
 |
内部インターフェイスにスタティック IP アドレスを割り当て、外部インターフェイスに DHCP を使用します。 |
 |
アクセス制御に必要な内部および外部のセキュリティゾーンに、内部インターフェイスと外部インターフェイスを追加します。 |
 |
外部 DHCP サーバからデフォルトルートを受け取らない場合は、手動で追加する必要があります。 |
 |
外部インターフェイスでインターフェイス PAT を使用します。 |
 |
内部から外部へのトラフィックを許可します。 |
 |
クライアントの内部インターフェイスで DHCP サーバを使用します。 |
 |
（任意）管理ゲートウェイの設定とデータインターフェイスの管理の許可。 管理ゲートウェイを変更するか、データインターフェイスからの管理を許可します。 |
 |
FTD インターフェイスを有効にし、IP アドレスを設定します。通常は、システムで意味のあるトラフィックを通過させるように、少なくとも 2 つのインターフェイスを設定する必要があります。通常は、アップストリームルータまたはインターネットに面した外部インターフェイスと、組織のネットワークの 1 つ以上の内部インターフェイスを使用します。これらのインターフェイスの一部は、Web サーバなどのパブリックアクセスが可能なアセットを配置する「緩衝地帯」（DMZ）となる場合があります。
一般的なエッジルーティングの状況は、内部インターフェイスでスタティックアドレスを定義すると同時に、ISP から DHCP を介して外部インターフェイスアドレスを取得することです。
次の例では、DHCP によるスタティックアドレスと外部インターフェイスを使用して、内部インターフェイスを設定します。
| ステップ 1 |
[デバイス（Device）] をクリックしてから、[インターフェイス（Interfaces）] サマリーにあるリンクをクリックします。 [インターフェイス（Interfaces）] タブがデフォルトで選択されます。インターフェイスリストに、物理インターフェイスとそれぞれの名前、アドレス、状態が表示されます。 |
||
| ステップ 2 |
外部用に使用するインターフェイスの編集アイコン（ |
||
| ステップ 3 |
次の設定を行います。 
|
||
| ステップ 4 |
[OK] をクリックします。 |
||
| ステップ 5 |
外部用に使用するインターフェイスの編集アイコン（ 
|
セキュリティ ゾーンとはインターフェイスのグループ分けです。ゾーンは、トラフィックの管理と分類に役立つようにネットワークをセグメントに分割します。複数のゾーンを定義できますが、所与のインターフェイスは単一のゾーンの中にのみ存在できます。
この手順では、次の事前設定ゾーンにインターフェイスを追加する方法について説明します。
[inside_zone]：このゾーンは、内部ネットワークを表します。
[outside_zone]：このゾーンは、インターネットなどの制御不可能な外部ネットワークを表します。
| ステップ 1 |
[オブジェクト（Objects）] を選択し、次に目次から [セキュリティゾーン（Security Zones）] を選択します。 |
| ステップ 2 |
[inside_zone] の [編集（edit）] アイコン（  |
| ステップ 3 |
[インターフェイス（Interfaces）] リストで、 |
| ステップ 4 |
[OK] をクリックして変更を保存します。 |
| ステップ 5 |
外部インターフェイスを [outside_zone] に追加するには、これらの手順を繰り返します。  |
デフォルトルートは通常、外部インターフェイスから到達可能なアップストリームルータを指し示します。外部インターフェイスに DHCP を使用する場合は、デバイスがすでにデフォルトルートを受信している可能性があります。手動でルートを追加する必要がある場合は、次の手順を実行します。DHCP サーバからデフォルトルートを受信した場合は、 ページに表示されます。
| ステップ 1 |
[デバイス（Device）] をクリックしてから、[ルーティング（Routing）] サマリーにあるリンクをクリックします。 [スタティックルーティング（Static Routing）] ページが表示されます。 |
| ステップ 2 |
|
| ステップ 3 |
デフォルトルートのプロパティを設定します。 
|
| ステップ 4 |
[OK] をクリックします。 |
一般的な NAT ルールでは、内部アドレスを外部インターフェイスの IP アドレスのポートに変換します。このタイプの NAT ルールのことをインターフェイス ポート アドレス変換（PAT）と呼びます。IPv6 にインターフェイス PAT は使用できません。
| ステップ 1 |
[ポリシー（Policies）] をクリックしてから [NAT] をクリックします。 |
| ステップ 2 |
|
| ステップ 3 |
基本ルールのオプションを設定します。 
|
| ステップ 4 |
次のパケット変換オプションを設定します。 |
| ステップ 5 |
（任意） [図の表示（Show Diagram）] をクリックして、ルールのビジュアル表現を表示します。 |
| ステップ 6 |
[OK] をクリックします。 |
デフォルトでは、セキュリティゾーン間のトラフィックはブロックされます。この手順では、内部から外部へのトラフィックを許可する方法を示します。
| ステップ 1 |
を選択します。 |
| ステップ 2 |
|
| ステップ 3 |
基本ルールのオプションを設定します。 
|
クライアントで DHCP を使用して FTD から IP アドレスを取得するようにする場合は、DHCP サーバを有効にします。
| ステップ 1 |
[デバイス（Device）] をクリックしてから、 リンクをクリックします。 |
| ステップ 2 |
|
| ステップ 3 |
サーバのプロパティを設定します。 
|
| ステップ 4 |
（任意） [設定（Configuration）] タブをクリックして、自動設定およびグローバル設定を設定します。  DHCP 自動設定では、指定したインターフェイスで動作している DHCP クライアントから取得した DNS サーバ、ドメイン名、および WINS サーバの情報が、DHCP サーバから DHCP クライアントに提供されます。通常、外部インターフェイスで DHCP を使用してアドレスを取得する場合には自動設定を使用しますが、DHCP を介してアドレスを取得するインターフェイスを選択することもできます。自動設定を使用できない場合には、必要なオプションを手動で定義できます。
|
FTD を展開するときに、管理アドレスと外部ゲートウェイを設定しました。次の手順では、管理インターフェイスではなくデータインターフェイスを介してバックプレーン経由で管理トラフィックを送信するように FTD を設定できます。この場合、直接接続された管理ネットワーク上にいる場合は FTD を管理できますが、他のネットワーク宛ての管理トラフィックは、管理ではなくデータインターフェイスにルーティングされます。
また、デフォルトでは、管理インターフェイス（FDM または CLI アクセス）を介してのみ FTD を管理できます。次の手順では、1 つ以上のデータインターフェイスで管理を有効にすることもできます。管理インターフェイス ゲートウェイは、データインターフェイスの FDM 管理トラフィックには影響しないことに注意してください。この場合、FTD は通常のルーティングテーブルを使用します。
インターフェイスの設定に従ってデータインターフェイスを設定します。
| ステップ 1 |
データインターフェイスからの管理を許可します。
|
| ステップ 2 |
データインターフェイスを使用するように管理ゲートウェイを設定します。
|
設定の変更を FTD に展開します。変更を展開するまでは、デバイス上でどの変更もアクティブになりません。
| ステップ 1 |
Web ページの右上にある [変更の展開（Deploy Changes）] アイコンをクリックします。 このアイコンは、展開されていない変更がある場合にドット マークで強調表示されます。
[保留中の変更（Pending Changes）] ウィンドウには、設定の展開バージョンと保留中の変更との比較が表示されます。それらの変更は、削除された要素、追加された要素、または編集された要素を示すために色分けされています。色の説明については、ウィンドウの凡例を参照してください。 |
| ステップ 2 |
変更内容に問題がない場合は、[今すぐ展開（Deploy Now）] をクリックして、ジョブをすぐに開始できます。 ウィンドウに展開が進行中であることが示されます。ウィンドウを閉じるか、または展開が完了するまで待機できます。展開が進行中の間にウィンドウを閉じても、ジョブは停止しません。結果は、タスク リストや監査ログで確認できます。ウィンドウを開いたままにした場合、[展開履歴（Deployment History）] リンクをクリックすると結果が表示されます。 |
FTD CLI を使用して、管理インターフェイスパラメータを変更したり、トラブルシューティングを行ったりできます。CLI にアクセスするには、管理インターフェイスへの SSH を使用するか、FXOS CLI から接続します。
| ステップ 1 |
（オプション 1）FTD 管理インターフェイスの IP アドレスに直接 SSH 接続します。 管理 IP アドレスは、論理デバイスを展開したときに設定したものです。初期展開時に設定した「admin」アカウントとパスワードを使用して FTD にログインします。 パスワードを忘れた場合は、Firepower Chassis Manager で論理デバイスを編集して変更できます。 |
| ステップ 2 |
（オプション 2）コンソール接続または Telnet 接続を使用して、モジュール CLI に接続します。 |
次に、FTD に接続してから、FXOS CLI のスーパバイザ レベルに戻る例を示します。
![[変更の展開（Deploy changes）] ボタン。展開する変更がある場合に強調表示されます。](/c/dam/en/us/td/i/400001-500000/410001-420000/412001-413000/412649.jpg){kind=small}
Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.
CISCO Serial Over LAN:
Close Network Connection to Exit
Firepower-module1>connect ftd FTD_Instance1
============================= ATTENTION ==============================
You are connecting to ftd from a serial console. Please avoid
executing any commands which may produce large amount of output.
Otherwise, data cached along the pipe may take up to 12 minutes to be
drained by a serial console at 9600 baud rate after pressing Ctrl-C.
To avoid the serial console, please login to FXOS with ssh and use
'connect module <slot> telnet' to connect to the security module.
======================================================================
Connecting to container ftd(FTD_Instance1) console... enter "exit" to return to bootCLI
> ~
telnet> quit
Connection closed.
Firepower#
FTD デバイスの設定を続行するには、Cisco Firepower ドキュメント一覧 でお使いのソフトウェアバージョンのマニュアルを参照してください。
FDM の使用に関する詳細については、『Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager』を参照してください。
|
機能名 |
バージョン |
機能情報 |
||
|---|---|---|---|---|
|
ネイティブインスタンスを使用した FDM のサポート |
6.5.0 |
FDM を使用してネイティブインスタンスを展開できるようになりました。 新しい/変更された画面：
|
フィードバック