단계 1

컴퓨터에서 Secure Firewall 마이그레이션 툴용 폴더를 생성합니다.

단계 2

https://software.cisco.com/download/home/286306503/type으로 이동하여 Firewall 마이그레이션 툴을 클릭합니다.

단계 3

생성한 폴더에 최신 버전의 Secure Firewall 마이그레이션 툴을 다운로드합니다.

단계 1

구성 번들에서 인증서 페이로드(-----BEGIN CERTIFICATE----- 및 -----END CERTIFICATE----- 사이의 값) 및 키(-----BEGIN RSA PRIVATE KEY----- 및 -----END RSA PRIVATE KEY----- 사이의 값)를 복사합니다.

   "type":"identitywrapper",
   "action":"CREATE",
   "data":{
      "version":"girr7veykdjvx",
      "name":"RA_VPN_Cert",
      "cert":"-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----",
      "privateKey":"-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----",
      "issuerCommonName":"mojave-rsa-root-2048-sha384.cisco.com, CN = mojave-rsa-root-2048-sha384.cisco.com",
      "issuerCountry":"US",
      "issuerOrganization":"Cisco",
      "subjectCommonName":"fdm-ra-vpn-cert.cisco.com, CN = 172.16.10.50",
      "subjectCountry":"US",
      "subjectDistinguishedName":" C = US, O = Cisco, CN = fdm-ra-vpn-cert.cisco.com, CN = 172.16.10.50",
      "subjectOrganization":"Cisco",
      "validityStartDate":"Jan  1 12:00:00 2012 GMT",
      "validityEndDate":"Sep  1 12:00:00 2034 GMT",
      "isSystemDefined":false,
      "keyType":"RSA",
      "keySize":2048,
      "allowWeakCert":false,
      "signatureHashType":"SHA1",
      "weakCertificate":true,
      "id":"9d0a8efb-01fa-11ed-8d7b-1f4809c453ac",
      "type":"internalcertificate"
   }
}

단계 2

PKI 인증서를 Management Center(Object Management(개체 관리) > PKI Objects(PKI 개체))로 가져옵니다

단계 1

다운로드할 Device Manager에서 사용 가능한 패키지를 확인합니다.

curl -X GET --header 'Accept: application/json' '
 https://10.89.5.38/api/fdm/v6/object/anyconnectpackagefiles'

{
  "items": [
    {
      "version": "gx5yk7xkdsosu",
      "name": "anyconnect-win-4.10.02086-webdeploy-k9.pkg",
      "md5Checksum": "63e4a86fc7c68d7769b6a1b2976ffa73",
      "description": null,
      "diskFileName": "12f0988e-01fb-11ed-8d7b-07ecdd54c7bf.pkg",
      "platformType": "WINDOWS",
      "id": "133f2dbf-01fb-11ed-8d7b-89d64ab04e18",
      "type": "anyconnectpackagefile",
      "links": {
        "self": " https://10.89.5.38/api/fdm/v6/object/anyconnectpackagefiles/133f2dbf-01fb-11ed-8d7b-89d64ab04e18"
      }
    }
  ],
}

단계 2

AnyConnect 패키지를 다운로드합니다.

curl -X GET --header 'Accept: application/octet-stream' 
' https://10.89.5.38/api/fdm/v6/action/downloaddiskfile/12f0988e-01fb-11ed-8d7b-07ecdd54c7bf.pkg'

단계 3

Device Manager에서 사용 가능한 AnyConnect 프로파일을 확인합니다.

curl -X GET --header 'Accept: application/json' 
'https://10.196.155.3:12272/api/fdm/v6/object/anyconnectclientprofiles'

  "items": [
    
    {
      "version": "jqtwzirf36qke",
      "name": "AnyConnect_VPN_Profile",
      "md5Checksum": "e4ba581f84daec6f24c209f9f7f9e1fb",
      "description": null,
      "diskFileName": "1629395a-0384-11ed-8d7b-ab1a2a5ad583.xml",
      "anyConnectModuleType": "ANY_CONNECT_CLIENT_PROFILE",
      "id": "1754c10b-0384-11ed-8d7b-6b8e36ae1285",
      "type": "anyconnectclientprofile",
    }
  ]
}

단계 4

AnyConnect 프로파일을 다운로드합니다.

curl -X GET --header 'Accept: application/octet-stream' 
'https://10.196.155.3:12272/api/fdm/v6/action/downloaddiskfile/1629395a-0384-11ed-8d7b-ab1a2a5ad583.xml'

단계 5

다운로드한 패키지를 Management Center(ObjectManagement >) > VPN > AnyConnect File(AnyConnect 파일)로 가져옵니다.

단계 1

컴퓨터에서 Secure Firewall 마이그레이션 툴을 다운로드한 폴더로 이동합니다.

단계 2

다음 중 하나를 수행합니다.

• Windows 시스템에서 Secure Firewall 마이그레이션 툴 실행 파일을 더블 클릭하여 Google Chrome 브라우저에서 실행합니다.

  프롬프트가 표시되면 Yes(예)를 클릭하여 Secure Firewall 마이그레이션 툴에서 시스템을 변경할 수 있도록 허용합니다.

  Secure Firewall 마이그레이션 툴은 Log(로그) 및 Resources(리소스) 폴더를 포함하여 해당 파일이 있는 폴더에 모든 관련 파일을 생성하고 저장합니다.

• Mac에서 Secure Firewall 마이그레이션 툴*.command 파일을 원하는 폴더로 이동하고, 터미널 애플리케이션을 실행하고, Secure Firewall 마이그레이션 툴이 설치된 폴더로 이동한 후 다음 명령을 실행합니다.

  # chmod 750 Firewall_Migration_Tool-version_number.command

  # ./Firewall_Migration_Tool-version_number.command

  Secure Firewall 마이그레이션 툴은 Log(로그) 및 Resources(리소스) 폴더를 포함하여 해당 파일이 있는 폴더에 모든 관련 파일을 생성하고 저장합니다.

  팁	Secure Firewall 마이그레이션 툴을 열려고 하면 확인된 개발자가 Secure Firewall 마이그레이션 툴을 Apple에 등록하지 않았으므로 경고 대화 상자가 표시됩니다. 확인되지 않은 개발자로부터 애플리케이션을 여는 방법에 대한 자세한 내용은 확인되지 않은 개발자의 앱 열기를 참고하십시오.

  참고	MAC 터미널 압축 방법을 사용합니다.

단계 3

Cisco와 텔레메트리 정보를 공유하려는 경우 End User License Agreement(엔드 유저 라이선스 계약) 페이지에서 I agree to share data with Cisco Success Network(Cisco Success Network와 데이터 공유 동의)를 클릭하고, 그렇지 않은 경우 I'll do later(나중에)를 클릭합니다.

단계 4

Secure Firewall 마이그레이션 툴의 로그인 페이지에서 다음 중 하나를 수행합니다.

• Cisco Success Network와 통계를 공유하려면 Login with CCO(CCO로 로그인) 링크를 클릭하여 SSO(Single Sign-On, 단일 인증) 자격 증명으로 Cisco.com 계정에 로그인합니다. Cisco.com 계정이 없는 경우 Cisco.com 로그인 페이지에서 생성합니다.

  Cisco.com 계정을 사용하여 로그인한 경우 8단계로 진행합니다.

• 인터넷 액세스가 불가능한 에어 갭(air-gapped) 네트워크에 방화벽을 구축한 경우 Cisco TAC에 문의하여 관리자 자격 증명을 사용하는 빌드를 받으십시오. 이 빌드는 시스코에 사용량 통계를 보내지 않으며, TAC가 자격 증명을 제공할 수 있습니다.

단계 5

Reset Password(비밀번호 재설정) 페이지에서 이전 비밀번호와 새 비밀번호를 입력하고 확인을 위해 새 비밀번호를 다시 입력합니다.

단계 6

Reset(재설정)을 클릭합니다.

단계 7

새 비밀번호로 로그인합니다.

단계 8

마이그레이션 전 체크리스트를 검토하고 나열된 모든 항목을 완료했는지 확인합니다.

단계 9

New Migration(새 마이그레이션)을 클릭합니다.

단계 10

Secure Firewall 마이그레이션 툴의 최신 버전을 실행하고 있는지 확실하지 않은 경우 Software Update Check(소프트웨어 업데이트 확인) 화면에서 Cisco.com을 통해 버전을 확인하는 링크를 클릭합니다.

단계 11

Proceed(진행)를 클릭합니다.

단계 1

드롭다운 목록에서 Source Firewall Vendor(소스 방화벽 벤더)를 선택하고 Start Migration(마이그레이션 시작)을 클릭합니다.

단계 2

FDM 매니지드 디바이스를 마이그레이션할 마이그레이션 옵션을 선택합니다.

단계 1

Extract FDM Information(FDM 정보 추출) 화면의 Manual Upload(수동 업로드) 섹션에서 Upload(업로드)를 클릭하여 FDM 매니지드 구성 번들을 업로드합니다. 구성 번들이 암호화된 경우 Secure Firewall 마이그레이션 툴의 텍스트 상자에 키를 입력하여 번들을 해독합니다.

단계 2

FDM 매니지드 디바이스 구성 파일이 있는 위치로 이동하여 Open(열기)을 클릭합니다.

단계 3

Start Parsing(구문 분석 시작)을 클릭합니다.

단계 4

업로드된 구성 파일에서 Secure Firewall 마이그레이션 툴이 감지하고 구문 분석한 요소에 대한 요약을 검토합니다.

단계 5

Next(다음)를 클릭하여 대상 매개변수를 선택합니다.

단계 1

Extract FDM Information(FDM 정보 추출) 화면의 Connect to FDM(FDM에 연결) 섹션에서 Connect(연결)를 클릭하여 마이그레이션할 FDM 매니지드 디바이스에 연결합니다.

단계 2

FDM Login(FDM 로그인) 화면에서 다음 정보를 입력합니다.

단계 3

Secure Firewall 마이그레이션 툴이 FDM 매니지드 디바이스에서 검색하여 구문 분석한 요소의 요약을 검토합니다.

단계 4

Next(다음)를 클릭하여 대상 매개변수를 선택합니다.

단계 1

Select Target(대상 선택) 화면의 Firewall Management(방화벽 관리) 섹션에서 다음을 수행합니다.

1. On-Prem FMC(온프레미스 FMC) 라디오 버튼을 클릭합니다.

2. Management Center의 IP 주소 또는 FQDN(정규화된 도메인 이름)을 입력합니다.

3. Domain(도메인) 드롭다운 목록에서 마이그레이션할 도메인을 선택합니다.

   Firepower Device Manager(디바이스 및 공유 구성 포함)를 FTD 디바이스(새 하드웨어)로 마이그레이션을 고른 경우 선택한 도메인에서 사용 가능한 Threat Defense 디바이스로만 마이그레이션할 수 있습니다.

4. Connect(연결)를 클릭하고 2단계로 진행합니다.

1. Cloud 사용 FMC 라디오 버튼을 클릭합니다.

2. 지역을 선택하고 CDO API 토큰을 붙여넣습니다. API 토큰을 생성합니다. CDO에서 다음 단계를 수행합니다.

   1. CDO 포털에 로그인합니다.

   2. Settings(설정) > General Settings(일반 설정)로 이동하여 API 토큰을 복사합니다.

3. Connect(연결)를 클릭하고 2단계로 진행합니다.

단계 2

Firewall Management Center Login(Firewall Management Center 로그인) 대화 상자에서 Secure Firewall 마이그레이션 툴 전용 계정의 사용자 이름과 비밀번호를 입력하고 Login(로그인)을 클릭합니다.

단계 3

Proceed(진행)를 클릭합니다.

단계 4

Choose Threat Defense(위협 방어 선택) 섹션에서 다음 중 하나를 수행합니다.

• Select Firewall Threat Defense Device(Firewall Threat Defense 디바이스 선택) 드롭다운 목록을 클릭하고 FDM 매니지드 디바이스 구성을 마이그레이션할 디바이스를 선택합니다.

  선택한 Management Center 도메인의 디바이스가 IP Address(IP 주소) 및 Name(이름)별로 나열됩니다.

  참고

  지원되는 대상 Threat Defense 플랫폼이 Management Center 버전 6.5 이상을 사용하는 Firewall 1010인 경우에만 FDM 5505 마이그레이션 지원은 공유 정책에 적용되며 디바이스별 정책에는 적용되지 않습니다. Threat Defense 없이 진행하면 Secure Firewall 마이그레이션 툴이 Threat Defense에 구성 또는 정책을 푸시하지 않습니다. 따라서 Threat Defense 디바이스별 구성인 인터페이스 및 경로, 사이트 간 VPN은 마이그레이션되지 않습니다. 그러나 NAT, ACL 및 포트 개체와 같은 지원되는 다른 모든 컨피그레이션(공유 정책 및 개체)은 마이그레이션됩니다. 원격 액세스 VPN은 공유 정책이며 Threat Defense 없이도 마이그레이션할 수 있습니다.

• 컨피그레이션을 Management Center로 마이그레이션하려면 Proceed without FTD(FTD 없이 진행)를 클릭합니다.

  Threat Defense 없이 진행하면 Secure Firewall 마이그레이션 툴이 Threat Defense에 구성 또는 정책을 푸시하지 않습니다. 따라서 Threat Defense 디바이스별 구성인 인터페이스 및 라우트, 사이트 간 VPN은 마이그레이션되지 않으며, Management Center에서 수동으로 구성해야 합니다. 그러나 NAT, ACL 및 포트 개체와 같은 지원되는 다른 모든 컨피그레이션(공유 정책 및 개체)은 마이그레이션됩니다. 원격 액세스 VPN은 공유 정책이며 Threat Defense 없이도 마이그레이션할 수 있습니다.

단계 5

Proceed(진행)를 클릭합니다.

단계 6

Select Features(기능 선택) 섹션을 클릭하여 대상으로 마이그레이션할 기능을 검토하고 선택합니다.

• 대상 Threat Defense 디바이스로 마이그레이션하는 경우 Secure Firewall 마이그레이션 툴이 Device Configuration(디바이스 구성) 및 Shared Configuration(공유 구성) 섹션의 FDM 매니지드 디바이스 구성에서 마이그레이션에 사용할 수 있는 기능을 자동으로 선택합니다. 요구 사항에 따라 기본 선택 항목을 추가로 수정할 수 있습니다.
• Management Center로 마이그레이션하는 경우 Secure Firewall 마이그레이션 툴이 Device Configuration(디바이스 구성) 및 Shared Configuration(공유 구성) 및 Optimization(최적화) 섹션에서 FDM 매니지드 디바이스 구성에서 마이그레이션에 사용할 수 있는 기능을 자동으로 선택합니다. 요구 사항에 따라 기본 선택 항목을 추가로 수정할 수 있습니다.

  참고	Migrate Firepower Device Manager(Shared Configurations Only)(Firepower 디바이스 관리자 마이그레이션(공유 구성만))을 선택한 경우 Device Configuration(디바이스 구성) 섹션을 사용할 수 없습니다.

• Secure Firewall 마이그레이션 툴은 마이그레이션 중에 다음과 같은 액세스 제어 기능을 지원합니다.

  • 대상 보안 영역 채우기 - 마이그레이션 중에 ACL에 대한 대상 영역의 매핑을 활성화합니다.

    경로 조회 논리는 정적 경로와 연결된 경로로 제한되며, PBR과 유동 경로, NAT는 고려되지 않습니다. 인터페이스 네트워크 컨피그레이션은 연결된 경로 정보를 도출하는 데 사용됩니다.

    소스 및 대상 네트워크 개체 그룹의 특성에 따라 이 작업으로 인해 규칙이 급증할 수 있습니다.

  • • 심층 검사 맞춤화 - 캡슐화된 트래픽에 대해 가능하며 단축경로(Fastpath)를 지정하여 성능을 높일 수 있습니다.

    • 성능 향상 - 조기에 처리하는 것이 유리한 그 밖의 연결도 단축경로를 지정하거나 차단할 수 있습니다.

    Secure Firewall 마이그레이션 툴은 소스 구성에서 캡슐화된 터널 트래픽 규칙을 식별하고 이를 사전 필터 터널 규칙으로 마이그레이션합니다. 사전 필터 정책에서 마이그레이션된 터널 규칙을 확인할 수 있습니다. 사전 필터 정책은 Management Center에서 마이그레이션된 액세스 제어 정책과 연결됩니다.

    사전 필터 터널 규칙으로 마이그레이션되는 프로토콜은 다음과 같습니다.

    • GRE(47)

    • IPv4 캡슐화(4)

    • IPv6 캡슐화(41)

    • Teredo 터널링(UDP:3544)

    참고	사전 필터 옵션을 선택하지 않으면 모든 터널링된 트래픽 규칙이 지원되지 않는 규칙으로 마이그레이션됩니다.

    FDM 매니지드 디바이스 구성의 ACL 터널 규칙(GRE 및 IPnIP)은 현재 기본적으로 양방향으로 마이그레이션됩니다. 이제 액세스 제어 상태 옵션에서 대상의 규칙 방향을 양방향 또는 단방향으로 지정할 수 있습니다.

• Secure Firewall 마이그레이션 툴은 VPN 터널 마이그레이션을 위해 다음 인터페이스 및 개체를 지원합니다.

  • 정책 기반(암호화 맵) - 대상 Management Center 및 Threat Defense가 버전 6.6 이상인 경우.

  • 경로 기반(VTI) - 대상 Management Center 및 Threat Defense가 버전 6.7 이상인 경우.

• Secure Firewall 마이그레이션 툴은 대상 Management Center가 7.2 이상인 경우 원격 액세스 VPN의 마이그레이션을 지원합니다. 원격 액세스 VPN은 Threat Defense 없이도 마이그레이션할 수 있는 공유 정책입니다. Threat Defense를 사용하여 마이그레이션을 선택한 경우 Threat Defense 버전은 7.0 이상이어야 합니다.

• (선택 사항) Optimization(최적화) 섹션에서 Migrate only referenced objects(참조된 개체만 마이그레이션)를 선택하여 액세스 제어 정책 및 NAT 정책에서 참조되는 개체만 마이그레이션합니다.

  참고	이 옵션을 선택하면 FDM 매니지드 디바이스 구성에서 참조되지 않는 개체는 마이그레이션되지 않습니다. 이렇게 하면 마이그레이션 시간이 최적화되고 컨피그레이션에서 사용되지 않는 개체가 제거됩니다.

• (선택 사항) Optimization(최적화) 섹션에서 Threat Defense의 액세스 정책을 기준으로 최적의 메모리 사용률을 위한 Object group search(개체 그룹 검색)를 선택합니다.
• 소스 FDM 매니지드 디바이스에 대한 플랫폼 설정, 파일, 악성코드 정책이 있는 경우 마이그레이션 툴은 Select Features(기능 선택) 페이지에서 공유 구성 아래에 플플랫폼 설정 및 디바이스 구성 아래에 파일 및 악성코드 정책을 표시합니다. 이러한 확인란은 기본적으로 선택되어 있습니다.

단계 7

Proceed(진행)를 클릭합니다.

단계 8

Rule Conversion/ Process Config(규칙 변환/프로세스 컨피그레이션) 섹션에서 Start Conversion(변환 시작)을 클릭하여 변환을 시작합니다.

단계 9

Secure Firewall 마이그레이션 툴에서 변환한 요소의 요약을 검토합니다.

단계 10

Download Report(보고서 다운로드)를 클릭하고 Pre-Migration Report(마이그레이션 전 보고서)를 저장합니다.

단계 1

Pre-Migration Report(마이그레이션 전 보고서)를 다운로드한 위치로 이동합니다.

단계 2

Pre-Migration Report(마이그레이션 전 보고서)를 열고 내용을 신중하게 검토하여 마이그레이션의 실패를 일으킬 수 있는 문제를 파악합니다.

단계 3

Pre-Migration Report(마이그레이션 전 보고서)에서 시정 조치를 권장하는 경우, 계속하기 전에 인터페이스에서 해당 시정 조치를 완료하고 FDM 매니지드 디바이스 구성 파일을 다시 내보낸 후 업데이트된 구성 파일을 업로드하십시오.

단계 4

FDM 매니지드 디바이스 구성 파일이 성공적으로 업로드되고 구문 분석된 후 Secure Firewall 마이그레이션 툴로 돌아가 Next(다음)를 클릭하여 마이그레이션을 계속합니다.

단계 1

인터페이스 매핑을 변경하려면 FTD Interface Name(FTD 인터페이스 이름)의 드롭다운 목록을 클릭하고 해당 인터페이스에 매핑할 인터페이스를 선택합니다.

단계 2

각 FDM 매니지드 디바이스 인터페이스를 Threat Defense 인터페이스에 매핑했으면 Next(다음)를 클릭합니다.

단계 1

Map Security Zones and Interface Groups(보안 영역 및 인터페이스 그룹 매핑) 화면에서 사용 가능한 인터페이스, 보안 영역 및 인터페이스 그룹을 검토합니다.

단계 2

Management Center에 존재하는, 즉 FDM 매니지드 디바이스 구성 파일에서 보안 영역 유형 개체로 사용 가능하고 드롭다운 목록에서 사용 가능한 보안 영역 및 인터페이스 그룹에 인터페이스를 매핑하려면 다음과 같이 합니다.

1. Security Zones(보안 영역) 열에서 해당 인터페이스의 보안 영역을 선택합니다.

2. Interface Groups(인터페이스 그룹) 열에서 해당 인터페이스의 인터페이스 그룹을 선택합니다.

단계 3

보안 영역 및 인터페이스 그룹을 수동으로 매핑하거나 자동으로 생성할 수 있습니다.

단계 4

1. Add SZ & IG(SZ 및 IG 추가)를 클릭합니다.

2. Add SZ & IG(SZ 및 IG 추가) 대화 상자에서 Add(추가)를 클릭하여 새 보안 영역 또는 인터페이스 그룹을 추가합니다.

3. Security Zone(보안 영역) 열에 보안 영역 이름을 입력합니다. 허용되는 최대 문자 수는 48자입니다. 마찬가지로 인터페이스 그룹을 추가할 수 있습니다.

4. Close(닫기)를 클릭합니다.

1. Auto-Create(자동 생성)를 클릭합니다.

2. Auto-Create(자동 생성) 대화 상자에서 Interface Groups(인터페이스 그룹) 및 Zone Mapping(영역 매핑) 중 하나 또는 둘 다를 선택합니다.

3. Auto-Create(자동 생성)를 클릭합니다.

단계 5

모든 인터페이스를 적절한 보안 영역 및 인터페이스 그룹에 매핑했으면 Next(다음)를 클릭합니다.

단계 1

Validation Status(검증 상태) 대화 상자에서 검증 요약을 검토합니다.

단계 2

Push Configuration(구성 푸시)을 클릭하여 마이그레이션된 FDM 매니지드 디바이스 구성을 Management Center에 보냅니다.

단계 3

마이그레이션이 완료되면 Download Report(보고서 다운로드)를 클릭하여 마이그레이션 후 보고서를 다운로드하고 저장합니다.

단계 4

마이그레이션이 실패한 경우 마이그레이션 후 보고서, 로그 파일, 구문 분석되지 않은 파일을 신중하게 검토하여 실패의 원인을 파악합니다.

단계 1

Post-Migration Report(마이그레이션 후 보고서)를 다운로드한 위치로 이동합니다.

단계 2

마이그레이션 후 보고서를 열고 내용을 신중하게 검토하여 FDM 매니지드 디바이스 구성이 어떻게 마이그레이션되었는지 파악합니다.

단계 3

Pre-Migration Report(마이그레이션 전 보고서)를 열고 Threat Defense 디바이스에서 수동으로 마이그레이션해야 하는 FDM 매니지드 디바이스 구성 항목을 기록해 둡니다.

단계 4

Management Center에서 다음과 같이 합니다.

1. Threat Defense 디바이스에 대해 마이그레이션된 컨피그레이션을 검토하여 다음을 비롯한 모든 예상 규칙 및 기타 컨피그레이션 항목이 마이그레이션되었는지 확인합니다.

   • ACL(액세스 제어 목록)

   • NAT(Network Address Translation) 규칙

   • 포트 및 네트워크 개체

   • 경로

   • 인터페이스

   • IP SLA 개체

   • 개체 그룹 검색

   • 시간 기반 개체

   • 사이트 간 VPN 터널

   • 유동 경로 개체

2. 마이그레이션되지 않은 부분적으로 지원되는 항목 및 규칙, 지원되지 않는 항목 및 규칙, 무시된 항목 및 규칙, 비활성화된 항목 및 규칙을 모두 구성합니다.

   이러한 항목 및 규칙에 대한 정보는 Management Center 컨피그레이션 가이드를 참고하십시오. 다음은 수동 구성이 필요한 컨피그레이션 항목의 예입니다.

   • Threat Defense의 플랫폼 설정에 설명된 SSH 및 HTTPS 액세스를 포함한 플랫폼 설정

   • 시스템 로그 구성에 설명된 시스템 로그 설정

   • Threat Defense 라우팅 개요에 설명된 동적 라우팅

   • FlexConfig 정책에 설명된 서비스 정책

   • Threat Defense VPN에 설명된 VPN 컨피그레이션

   • 연결 기록에 설명된 연결 로그 설정

   마이그레이션 전에 AD 영역의 암호화를 변경한 경우 아래 단계에 따라 암호화 유형을 LDAPS 또는 STARTTLS로 되돌립니다.

   1. Integration(통합) 섹션으로 이동하여 Other Integrations(기타 통합)를 클릭합니다.

   2. 암호화 유형을 변경하려면 Realms(영역)를 선택하고 특정 영역 옆에 있는 편집 () 아이콘을 클릭합니다.

   3. Directory(디렉터리)를 클릭하고 암호화 유형을 LDAPS 또는 STARTTLS로 변경합니다.

   4. 변경 사항을 저장 및 구축합니다.

단계 5

검토를 완료한 후 마이그레이션된 컨피그레이션을 Management Center에서 Threat Defense 디바이스로 구축합니다.

단계 1

FDM 매니지드 구성을 가져오거나 FDM 매니지드 디바이스에 연결하여 구성을 가져옵니다.

단계 2

FDM 매니지드 디바이스 구성 파일을 검토합니다.

단계 3

네트워크에 Firepower 2100 Series 디바이스를 구축하고 인터페이스를 연결한 다음 어플라이언스의 전원을 켭니다.

단계 4

Management Center에서 관리할 Firepower 2100 Series 디바이스를 등록합니다.

단계 5

(선택 사항) 소스 FDM 매니지드 디바이스 구성에 포트 채널이 있는 경우 대상 Firepower 2100 Series 디바이스에서 포트 채널(EtherChannels)을 생성합니다.

단계 6

https://software.cisco.com/download/home/286306503/type에서 Secure Firewall 마이그레이션 툴의 최신 버전을 다운로드하여 실행합니다.

단계 7

Secure Firewall 마이그레이션 툴을 실행하고 대상 매개변수를 지정할 때 Management Center에 등록한 Firepower 2100 Series 디바이스를 선택하십시오.

단계 8

FDM 매니지드 디바이스 인터페이스와 Threat Defense 인터페이스를 매핑합니다.

단계 9

논리적 인터페이스를 보안 영역에 매핑하는 동안 Auto-Create(자동 생성)를 클릭하여 Secure Firewall 마이그레이션 툴이 새 보안 영역을 생성하도록 허용합니다. 기존 보안 영역을 사용하려면 FDM 매니지드 디바이스 논리적 인터페이스를 보안 영역에 수동으로 매핑합니다.

단계 10

이 가이드의 지침에 따라 마이그레이션할 컨피그레이션을 순차적으로 검토 및 검증한 다음 컨피그레이션을 Management Center로 푸시합니다.

단계 11

마이그레이션 후 보고서를 검토하고 Threat Defense에 다른 컨피그레이션을 수동으로 설정하고 구축한 다음 마이그레이션을 완료합니다.

단계 12

마이그레이션을 계획하는 동안 생성한 테스트 계획을 사용하여 Firepower 2100 Series 디바이스를 테스트합니다.

단계 1

SSH 콘솔을 통해 FDM 매니지드 디바이스에 연결하고 인터페이스 구성 모드로 전환합니다.

단계 2

shutdown 명령을 사용하여 FDM 매니지드 디바이스 인터페이스를 셧다운합니다.

단계 3

(선택 사항) Management Center에 액세스하고 Firepower 2100 Series 디바이스의 동적 라우팅을 구성합니다.

단계 4

주변 스위칭 인프라에서 ARP(Address Resolution Protocol) 캐시를 지웁니다.

단계 5

주변 스위칭 인프라에서 Firepower 2100 Series 디바이스 인터페이스 IP 주소에 대한 기본 ping 테스트를 수행하여 액세스 가능한지 확인합니다.

단계 6

레이어 3 라우팅이 필요한 디바이스에서 Firepower 2100 Series 디바이스 인터페이스 IP 주소에 대한 기본 ping 테스트를 수행합니다.

단계 7

Firepower 2100 Series 디바이스에 새 IP 주소를 할당하고 FDM 매니지드 디바이스에 할당된 IP 주소를 재사용하지 않는 경우 다음 단계를 수행합니다.

단계 8

Firepower 2100 디바이스에 대해 관리 Management Center 내에서 포괄적인 테스트 계획을 실행하고 로그를 모니터링합니다.