ASA デバイスが設定の移行に関する要件を満たしていることを確認します（ASA デバイスの要件 を参照）。

エクスポートするアクセス コントロール リスト（ACL）と NAT ポリシーを確認します。

設定から不必要なルールをできるだけ取り除きます。変換する前に、ASA 設定の複雑さとサイズを可能な限り削減しておくことを推奨します。ACL 内にあるエントリの数を確認する方法：

show access-list acl_name | i elements

サポートから次のいずれかのイメージをダウンロードします。

• Firepower Management Center Virtual for VMware
• Firepower Management Center Virtual for KVM

適切なガイドに説明されているように、イメージ ファイルを使用して専用の Firepower Management Center Virtual をインストールします。

admin ユーザ名を使用して、ssh 経由で Firepower Management Center に接続します。

ルート シェルにログインします。

sudo su -

次のコマンドを実行します。

enableMigrationTool.pl

設定を保存します。

保存した設定ファイルを移行ツールからアクセスできる場所（たとえば、ローカル コンピュータやネットワーク上の共有ドライブ）に移動します。

お使いのブラウザで https://hostname/ に直接移動します。Hostname 要素は、移行ツールをインストールする専用の Firepower Management Center Virtual のホスト名に対応します。

admin ユーザとしてログインします。

[システム（System）] > [ツール（Tools）] > [インポート/エクスポート（Import/Export）] を選択します。

[パッケージのアップロード（Upload Package）] をクリックします。

[参照（Browse）] をクリックし、ASA からエクスポートした設定ファイルを選択します。

[Next] をクリックします。

アクセス ルールを変換するときにシステムに使用させるポリシーを選択します。

• [プレフィルタ ポリシー（Prefilter Policy）]：アクセス ルールをプレフィルタ ルールに変換します。
• [アクセス コントロール ポリシー（Access Control Policy）]：アクセス ルールをアクセス コントロール ルールに変換します。

[プレフィルタ ポリシー（Prefilter Policy）] を選択した場合は、許可アクションを使用してシステムがアクセス ルールに割り当てるアクションを選択します。

• [高速パス（Fastpath）]：アクセス制御、ID 要件、レート制限を含む、すべての詳細な検査および制御から一致するトラフィックを免除します。トンネルを高速パス化すると、すべてのカプセル化された接続が高速パス化されます。
• [分析（Analyze）]：残りのアクセス制御によってトラフィックが引き続き分析されるようにします。 アクセス制御および関連するディープ インスペクションによって渡された場合、このトラフィックはレート制限も行われる場合があります。

[アクセス コントロール ポリシー（Access Control Policy）] を選択した場合は、許可アクションを使用してシステムにルールを割り当てさせるアクションを選択します。

• [信頼する（Trust）]：トラフィックはディープ インスペクションまたはネットワーク検出なしで通過できます。信頼できるトラフィックは、引き続き ID ポリシーによって課される認証要件、およびレート制限の対象となります。
• [許可（Allow）]：一致するトラフィックの通過を許可します。 許可されたトラフィックは、引き続き ID ポリシーによって課される認証要件、レート制限、およびディープ インスペクション（設定されている場合）の対象となります。

[次へ（Next）] を選択します。

[システム ステータス（System Status）] アイコンをクリックして、メッセージ センターを表示します。

[タスク（Tasks）] タブをクリックします。

移行が失敗した場合は、適切なログでエラー メッセージを確認してください。詳細については、変換失敗のトラブルシューティング を参照してください。

移行が成功した場合：

• [.sfo をダウンロード（Download .sfo）] を選択し、変換されたファイルをローカル コンピュータにコピーします。
• [移行レポート（Migration Report）] をクリックして、移行レポートを表示します。

移行レポートを確認します。

実稼働Firepower Management Centerで、[システム（System）] > [ツール（Tools）] > [インポート/エクスポート（Import/Export）]を選択します。

[パッケージのアップロード（Upload Package）] をクリックします。

[ファイルの選択（Choose File）] をクリックし、参照を使用してローカル コンピュータ上の適切な .sfo ファイルを選択します。

[アップロード（Upload）] をクリックします。

インポートするポリシーを選択します。ポリシーには、以前の移行の選択内容に応じて、アクセス コントロール ポリシー、プレフィルタ ポリシー、または NAT ポリシーが含まれている場合があります。

[インポート（Import）] をクリックします。

[インポートの競合（Import Conflict）] ページで：

• 設定の競合を解決します。Firepower Management Center コンフィギュレーション ガイド の「Import Conflict Resolution」を参照してください。
• ルールが元の ASA 設定のインターフェイス別にどのようにグループ化されたかを再現するか、またはそのグループの関連付けを新しいものに置き換えます。これを行うには、次のように、アクセス コントロール ルールをセキュリティ ゾーンに割り当て、プレフィルタ ルールまたは NAT ルールをインターフェイス グループに割り当てる必要があります。

  タイプ（Type）	ソース（Source）	次の場合にこのゾーンまたはグループを選択します
  システムによって生成されたセキュリティ ゾーン/インターフェイス グループ	移行ツールは、変換時に自動的にこのセキュリティ ゾーン/インターフェイス グループを作成します。	ルールが元の ASA 設定のインターフェイス別にどのようにグループ化されたかを再現する場合。
  変換された ASA 設定をインポートする前に作成されたセキュリティ ゾーン/インターフェイス グループ	変換された ASA 設定をインポートする前にこのセキュリティ ゾーン/インターフェイス グループを作成します。	Firepower Management Center にすでに存在するセキュリティ ゾーン/インターフェイス グループにルールを関連付ける場合。
  インポート プロセス中にその場で作成されたセキュリティ ゾーン/インターフェイス グループ	ルール セットの横にあるドロップダウン リストから [新規...（New...）] を選択して、このセキュリティ ゾーン/インターフェイス グループを作成します。	Firepower Management Center の新しいセキュリティ ゾーン/インターフェイス グループにルールを関連付ける場合。

  ヒント	セットに関する詳細を展開するには、ルール セットの横にある矢印を使用します。

  （注）

  移行ツールはインターフェイス設定を変換しません。変換された ASA 設定をインポートした後に、手動でデバイスを追加して、それらのデバイスでインターフェイスを設定する必要があります。ただし、このインポートの手順では、ACL または NAT ポリシーと単一のエンティティ（セキュリティ ゾーンまたはインターフェイス グループ）との間の関連付けを保持できるので、新しい Firepower Threat Defense デバイスのインターフェイスと素早く関連付けることができます。セキュリティ ゾーン/インターフェイス グループをインターフェイスに関連付ける方法の詳細については、移行済みポリシーの設定 を参照してください。

[インポート（Import）] をクリックします。

[システム ステータス（System Status）] アイコンをクリックして、メッセージ センターを表示します。

[タスク（Tasks）] タブをクリックします。

インポート タスクのリンクをクリックして、インポート レポートをダウンロードします。

次の表に示す適切なクイック スタート ガイドを使用して Firepower Threat Defense をインストールします。

Firepower Threat Defense デバイスのインターフェイスを、変換プロセス中に作成されたセキュリティ ゾーンまたはインターフェイス グループに割り当てます。

ASA アクセス ルールをアクセス コントロール ポリシーに移行した場合：

• 必要に応じて、無効になっているルールの有効化または編集、ルールの追加、ルールの削除、およびルールの順序の変更によって、ポリシーのルールを調整します。たとえば、異なる送信元と宛先のプロトコルまたは複数のプロトコルを指定するルールを編集することができます（複数のプロトコルを指定するアクセス ルール を参照）。
• 必要に応じて、ツールが変換しない ASA パラメータの Firepower 同等要素を設定します。

  アクセス ルールのパラメータ	アクセス コントロール ルールのパラメータ
  ユーザ（User）	選択されたユーザの状態
  セキュリティ グループ（送信元）（Security Group (Source)）	カスタム SGT の状態

• アクセス コントロール ポリシーを Firepower Threat Defense デバイスに割り当てます。

ASA アクセス ルールをプレフィルタ ポリシーに移行した場合：

• 必要に応じて、無効になっているルールの有効化または編集、ルールの追加、ルールの削除、およびルールの順序の変更によって、ポリシーのルールを調整します。たとえば、異なる送信元と宛先のプロトコルまたは複数のプロトコルを指定するルールを編集することができます（複数のプロトコルを指定するアクセス ルール を参照）。
• 必要に応じて、ツールが変換しない ASA パラメータの Firepower 同等要素を設定します。

  アクセス ルールのパラメータ	プレフィルタ ルールのパラメータ
  ユーザ（User）	選択されたユーザの状態
  セキュリティ グループ（送信元）（Security Group (Source)）	カスタム SGT の状態

• システムが変換時に作成した新しいアクセス コントロール ポリシーを設定するか、または、プレフィルタ ポリシーを別のアクセス コントロール ポリシーに関連付けます。

  警告	移行ツールにより、移行されたアクセス コントロール ポリシーのデフォルトの動作が [すべてのトラフィックをブロック（Block All Traffic）] に設定されます。これは ACL での暗黙の拒否に相当します。移行プレフィルタ ポリシーと一緒に異なるアクセス コントロール ポリシーを使用する場合は、デフォルトの動作を [すべてのトラフィックをブロック（Block All Traffic）] に設定することを考慮してください。そうしないと、セキュリティ ホールが作成される恐れがあります。

• 関連付けられたアクセス コントロール ポリシーを Firepower Threat Defense デバイスに割り当てます。

NAT ポリシーを移行した場合：

• 必要に応じて、無効になっているルールの有効化または編集、ルールの追加、ルールの削除、およびルールの順序の変更によって、ポリシーのルールを調整します。
• NAT ポリシーを Firepower Threat Defense デバイスに割り当てます。

必要に応じて、Application Visibility and Control、侵入からの保護、URL フィルタリング、および高度なマルウェア防御（AMP）を含む、次世代ファイアウォール機能を設定します。

設定変更を展開します。設定変更の展開を参照してください。