次の表に、Firepower Threat Defense 仮想 の VMware 機能のサポートを示します。

Firepower Threat Defense デバイスの管理には次の 2 つのオプションを選択できます。

Firepower Threat Defense 仮想 のハイパーバイザのサポートに関する最新情報については、『Cisco Firepower Compatibility Guide』を参照してください。

FTDv の導入に使用される特定のハードウェアは、導入されるインスタンスの数や使用要件によって異なります。FTDv の各インスタンスには、サーバ上での最小リソース割り当て（メモリ容量、CPU 数、およびディスク容量）が必要です。

VMware vCenter Server と ESXi のインスタンスを実行するシステムは、特定のハードウェアおよびオペレーティングシステム要件を満たす必要があります。サポートされるプラットフォームのリストについては、オンラインの『VMware Compatibility Guide』を参照してください。

仮想化テクノロジーのサポート

• 仮想化テクノロジー（VT）は、動作中の仮想マシンのパフォーマンスを向上させる新しいプロセッサの機能拡張セットです。システムには、ハードウェア仮想化用のインテル VT または AMD-V の拡張機能をサポートする CPU が必要です。Intelと AMD はどちらも、CPU を識別して機能を確認するために役立つオンラインプロセッサ識別ユーティリティを提供しています。

• VT をサポートする CPU を搭載する多くのサーバでは、VT がデフォルトで無効になっている可能性があります。その場合は、VT を手動で有効にする必要があります。システムで VT のサポートを有効にする手順については、製造元のマニュアルを参照してください。

  （注）	CPU が VT をサポートしているにもかかわらず BIOS にこのオプションが表示されない場合は、ベンダーに連絡して、VT のサポートを有効にすることができるバージョンの BIOS を要求してください。

ハイパースレッディングの無効化

FTDv を実行するシステムでは、ハイパースレッディングを無効にすることを推奨します。ハイパースレッディングは非推奨を参照してください。次のプロセッサはハイパースレッディングをサポートし、コアごとに 2 つのスレッドがあります。

• Intel Xeon 5500 プロセッサのマイクロアーキテクチャに基づくプロセッサ。

• Intel Pentium 4（HT対応）

• Intel Pentium EE 840（HT対応）

ハイパースレッディングを無効にするには、初めにシステムの BIOS 設定でこれを無効にしてから、vSphere クライアントでオフにします（vSphere ではデフォルトでハイパースレッディングが有効になっています）。CPU がハイパースレッディングをサポートしているかどうかを確認するには、システムのマニュアルを参照してください。

SR-IOV のサポート

SR-IOV 仮想機能には特定のシステムリソースが必要です。SR-IOV 対応 PCIe アダプタに加えて、SR-IOV をサポートするサーバが必要です。以下のハードウェア検討事項に留意する必要があります。

• 使用可能な VF の数を含む SR-IOV NIC の機能は、ベンダーやデバイスによって異なります。次の NIC がサポートされています。

  • Intel Ethernet Server Adapter X520 - DA2

  • Intel Ethernet Server Adapter X540

• すべての PCIe スロットが SR-IOV をサポートしているわけではありません。

• SR-IOV 対応 PCIe スロットは機能が異なる場合があります。

• x86_64 マルチコア CPU：Intel Sandy Bridge 以降（推奨）。

  （注）	シスコでは、FTDv を 2.3GHz の Intel Broadwell CPU（E5-2699-v4）でテストしました。

• コア

  • CPU ソケットあたり 8 個以上の物理コア。

  • 単一のソケット上で 8 コアにする必要があります。

    （注）	CPU ピンニングは、フルスループットを実現するために推奨されています。

メーカーのマニュアルで、お使いのシステムの SR-IOV サポートを確認する必要があります。オンラインの『VMware Compatibility Guide』で、SR-IOV のサポートを含む推奨システムを検索できます。

SSSE3 のサポート

• Firepower Threat Defense Virtual には、Intel によって作成された単一命令複数データ（SIMD）命令セットである Supplemental Streaming SIMD Extensions 3（SSSE3 または SSE3S）のサポートが必要です。

• システムは SSSE3 をサポートする CPU（インテル Core 2 Duo、インテル Core i7/i5/i3、インテル Atom、AMD Bulldozer、AMD Bobcat およびそれ以降のプロセッサなど）を搭載している必要があります。

• SSSE3 命令セットと SSSE3 をサポートする CPU の詳細については、このリファレンスページを参照してください。

CPU のサポートの確認

Linux コマンドラインを使用して、CPU ハードウェアに関する情報を取得できます。たとえば、/proc/cpuinfo ファイルには個々の CPU コアに関する詳細情報が含まれています。less または cat により、その内容を出力できます。

フラグ セクションで次の値を確認できます。

• vmx：インテル VT 拡張機能

• svm：AMD-V拡張機能

• ssse3：SSSE3 拡張機能

grep を使用すると、次のコマンドを実行して、ファイルにこれらの値が存在するかどうかを素早く確認することができます。

egrep “vmx|svm|ssse3” /proc/cpuinfo

システムが VT または SSSE3 をサポートしている場合は、フラグのリストに vmx、svm、または ssse3 が表示されます。次の例は、2 つの CPU を搭載しているシステムからの出力を示しています。

flags    : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat
pse36 clflush dts acpi mmx fxsr sse sse2 ss ht tm syscall nx lm constant_tsc pni monitor
ds_cpl vmx est tm2 ssse3 cx16 xtpr lahf_lm

flags    : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat
pse36 clflush dts acpi mmx fxsr sse sse2 ss ht tm syscall nx lm constant_tsc pni monitor
ds_cpl vmx est tm2 ssse3 cx16 xtpr lahf_lm

管理モード

• Firepower Threat Defense デバイスの管理には次の 2 つのオプションを選択できます。

  • Firepower Device Manager（FDM）オンボード統合マネージャ。

    （注）	Cisco Firepower ソフトウェアバージョン 6.2.2 以降、VMware 上の FTDv は Firepower Device Manager をサポートしています。バージョン 6.2.2 よりも前の Firepower ソフトウェアを実行している VMware 上のFTDvは、Firepower Management Center を使用してのみ管理できます。「Firepower デバイスの管理方法」を参照してください。

  • Firepower Management Center（FMC）

• Firepower Device Manager を使用するには、新しいイメージ（バージョン 6.2.2 以降）をインストールする必要があります。既存の FTDv 仮想マシンを古いバージョン（バージョン 6.2.2 よりも前）からアップグレードして Firepower Device Manager に切り替えることはできません。

• Firepower Device Manager （ローカルマネージャ）はデフォルトで有効になっています。

  （注）	[ローカルマネージャを有効にする（Enable Local Manager）] の [はい（Yes）] を選択すると、ファイアウォールモードが「ルーテッド」に変更されます。Firepower Device Manager を使用する場合は、これが唯一のサポート モードになります。

OVF ファイルのガイドライン

Cisco_Firepower_Threat_Defense_Virtual-VI-X.X.X-xxx.ovf
Cisco_Firepower_Threat_Defense_Virtual-ESXi-X.X.X-xxx.ovf

ここで、X.X.X-xxx は、使用するファイルのバージョンとビルド番号を表します。

• VI OVF テンプレートを使用して展開する場合、インストールプロセスで、FTDv アプライアンスの初期設定全体を実行できます。次を指定することができます。

  • 管理者アカウントの新しいパスワード。

  • アプライアンスが管理ネットワークで通信することを許可するネットワーク設定。

  • Firepower Device Manager を使用するローカル管理（デフォルト）、または Firepower Management Center を使用するリモート管理のいずれかの管理。

  • ファイアウォールモード。[ローカルマネージャを有効にする（Enable Local Manager）] の [はい（Yes）] を選択すると、ファイアウォールモードがルーテッドに変更されます。これは Firepower Device Manager を使用する場合のみサポートされるモードです。

    （注）	VMware vCenter を使用してこの仮想アプライアンスを管理する必要があります。

• ESXi OVF テンプレートを使用して導入する場合、インストール後に Firepower システムの必須設定を構成する必要があります。この FTDv は ESXi でスタンドアロンのアプライアンスとして管理します。詳細については、「vSphere ESXi ホストへの Firepower Threat Defense Virtual の展開」を参照してください。

vMotion のサポート

vMotion を使用する場合、共有ストレージのみを使用することをお勧めします。導入時に、ホストクラスタがある場合は、ストレージをローカルに（特定のホスト上）または共有ホスト上でプロビジョニングできます。ただし、vMotion を使用して Firepower Management Center Virtual を別のホストに移行する場合、ローカルストレージを使用するとエラーが発生します。

ハイパースレッディングは非推奨

ハイパースレッディング テクノロジーにより、単一の物理プロセッサコアを 2 つの論理プロセッサのように動作させることができます。FTDv を実行するシステムでは、ハイパースレッディングを無効にすることを推奨します。Snort プロセスにより、CPU コアの処理リソースがすでに最大化されています。各 CPU に 2 つの CPU 使用スレッドをプッシュしても、パフォーマンスの向上は見込まれません。実際には、ハイパースレッディング プロセスに必要となるオーバーヘッドのためにパフォーマンスが低下することがあります。

INIT Respawning エラーメッセージの症状

ESXi 6 および ESXi 6.5 で実行されている FTDv コンソールに次のエラーメッセージが表示される場合があります。

"INIT: Id "ftdv" respawning too fast: disabled for 5 minutes"

回避策：デバイスの電源がオフになっているときに、vSphere で仮想マシンの設定を編集してシリアルポートを追加します。

1. 仮想マシンを右クリックして、[設定の編集（Edit Settings）] をクリックします。

2. [仮想ハードウェア（Virtual Hardware）] タブで、[新規デバイス（New devide）] ドロップダウンメニューから [シリアルポート（Serial port）] を選択し、[追加（Add）] をクリックします。

   シリアルポートがバーチャルデバイスリストの一番下に表示されます。

3. [仮想ハードウェア（Virtual Hardware）] タブで、[シリアルポート（Serial Port）] を展開し、接続タイプとして [物理シリアルポートを使用（Use physical serial port）] を選択します。

4. [パワーオン時に接続（Connect at power on）] チェックボックスをオフにします。

   [OK] をクリックして設定を保存します。

ファイアウォール保護からの仮想マシンの除外

vCenter Server が VMware NSX Manager と統合されている vSphere 環境では、分散ファイアウォール（DFW）が、NSX 用に準備されたすべての ESXi ホストクラスタで、VIB パッケージとしてカーネルで実行されます。ホストの準備により、ESXi ホストクラスタで DFW が自動的にアクティブ化されます。

FTDv は無差別モードを使用して動作します。無差別モードを必要とする仮想マシンのパフォーマンスは、これらの仮想マシンが分散ファイアウォールで保護されている場合、悪影響を受ける可能性があります。VMware では、無差別モードを必要とする仮想マシンは分散ファイアウォール保護から除外することを推奨しています。

1. [除外リスト（Exclusion List）] の設定に移動します。

   • NSX 6.4.1 以降で、[ネットワークとセキュリティ（Networking & Security）] > [セキュリティ（Security） > [ ファイアウォール（Firewall） > [除外リスト（Exclusion List）]に移動します。

   • NSX 6.4.0 で、[ネットワークとセキュリティ（Networking & Security）] > [セキュリティ（Security） > [ ファイアウォール（Firewall） > [除外リスト（Exclusion List）]に移動します。

2. [追加（Add）] をクリックします。

3. 除外する VM を [選択されたオブジェクト（Selected Objects）] に移動します。

4. [OK] をクリックします。

仮想マシンに複数の vNIC がある場合、それらはすべて保護から除外されます。除外リストに追加されている仮想マシンに vNIC を追加すると、新しく追加された vNIC にファイアウォールが自動的に展開されます。新しい vNIC をファイアウォール保護から除外するには、仮想マシンを除外リストから削除してから、除外リストに再度追加する必要があります。別の回避策として、仮想マシンの電源を再投入（電源をオフにしてからオン）する方法がありますが、最初のオプションの方が中断が少なくて済みます。

vSphere 標準スイッチのセキュリティポリシー設定の変更

vSphere 標準スイッチの場合、レイヤ 2 セキュリティポリシーには、無差別モード、MAC アドレスの変更、不正送信という 3 つの要素があります。Firepower Threat Defense Virtual は無差別モードを使用して稼働します。また、Firepower Threat Defense Virtual の高可用性は、正常に稼働するために MAC アドレスをアクティブとスタンバイの間で切り替えるかどうかに依存します。

デフォルトの設定では、Firepower Threat Defense Virtual の正常な動作が妨げられます。以下の必須の設定を参照してください。