コンピュータで、Firepower 移行ツール用のフォルダを作成します。

https://software.cisco.com/download/home/286306503/type を参照し、[Firepower Migration Tool] をクリックします。

Firepower 移行ツールの最新バージョンを、作成したフォルダにダウンロードします。

コンピュータで、Firepower 移行ツールをダウンロードしたフォルダに移動します。

次のいずれかを実行します。

• Windows マシンで、Firepower 移行ツールの実行可能ファイルをダブルクリックして、Google Chrome ブラウザで起動します。

  プロンプトが表示されたら、[Yes] をクリックして、Firepower 移行ツールがシステムに変更を加えることができるようにします。

  Firepower 移行ツールは、すべての関連ファイルを作成し、Firepower 移行ツールの存在するフォルダに保存します（ログおよびリソースのフォルダを含む）。

• Mac では、Firepower 移行ツールの *.command ファイルを目的のフォルダに移動し、ターミナルアプリケーションを起動して、Firepower 移行ツールがインストールされているフォルダを参照し、次のコマンドを実行します。

  # chmod 750 Firepower_Migration_Tool-version_number.command

  # ./Firepower_Migration_Tool-version_number.command

  Firepower 移行ツールは、すべての関連ファイルを作成し、Firepower 移行ツールの存在するフォルダに保存します（ログおよびリソースのフォルダを含む）。

  ヒント	Firepower 移行ツールを開こうとすると、警告ダイアログが表示されます。これは、身元が明らかな開発者によって Firepower 移行ツールが Apple に登録されていないためです。身元不明の開発者によるアプリケーションを開く方法については、「Open an app from an unidentified developer」を参照してください。

  （注）	MAC のターミナルの zip メソッドを使用します。

[End User License Agreement] ページで、テレメトリ情報をシスコと共有する場合は、[I agree to share data with Cisco Success Network] をクリックし、それ以外の場合は [I'll do later] をクリックします。

Firepower 移行ツールのログインページで、次のいずれかを実行します。

• Cisco Success Network と統計を共有するには、[Login with CCO] リンクをクリックし、シングルサインオンログイン情報を使用して Cisco.com アカウントにログインします。

  （注）	Cisco.com アカウントがない場合は、Cisco.com のログインページで作成します。

• 次のデフォルトログイン情報でログインします。

  • Username：admin

  • Password：Admin123

[Reset Password] ページで、古いパスワードと新しいパスワードを入力し、新しいパスワードを確認します。

[リセット（Reset）] をクリックします。

新しいパスワードでログインします。

移行前チェックリストを確認し、記載されているすべての項目を完了していることを確認します。

[New Migration] をクリックします。

[Software Update Check] 画面で、Firepower 移行ツールの最新バージョンを実行しているかどうかが不明な場合は、リンクをクリックし、Cisco.com でバージョンを確認します。

[Proceed] をクリックします。

[Device] > [Setup] > [Operations] に移動し、[Save Named Configuration <file_name.xml>] を選択します。

[OK] をクリックします。

[Device] > [Setup] > [Operations] に移動し、[Export Named Configuration] をクリックします。

<file_name.xml> ファイルを選択します。

[OK] をクリックします。

実行構成 <file_name.xml> を含む XML ファイルを選択し、[Ok] をクリックして構成ファイルをエクスポートします。

エクスポートしたファイルをファイアウォールの外部の場所に保存します。このバックアップを使用してファイアウォール移行ツールにアップロードし、構成を Firepower Threat Defense に移行できます。

（任意）接続先 NAT に同じ送信元ゾーンと接続先ゾーンがある NAT ポリシーがある場合は、次の手順を実行します。

1. ファイアウォールで CLI から show routing route コマンドを実行します。

2. ルーティングテーブルを .txt ファイルにコピーします。

3. この .txt ファイルをフォルダに追加します。このフォルダで .txt ファイルと .xml ファイル（panconfig.xml を含む）を圧縮します。

[Select Target] 画面の [Connect to Firepower Management Center] セクションで、Firepower Management Center の IP アドレスまたは完全修飾ドメイン名（FQDN）を入力します。

[Domain] ドロップダウンリストで、移行先のドメインを選択します。

[接続（Connect）] をクリックします。

[Firepower Management Center Login] ダイアログボックスで、Firepower 移行ツール専用アカウントのユーザ名とパスワードを入力し、[Login] をクリックします。

[Proceed] をクリックします。

[Choose FTD] セクションで、次のいずれかを実行します。

• [Firepower Threat Defense デバイスの選択（Select Firepower Threat Defense Device）] ドロップダウンリストをクリックし、 構成を移行するデバイスをオンにします。

  選択した Firepower Management Center ドメイン内のデバイスが、IP アドレスと名前でリストされます。

  （注）	少なくとも、選択するネイティブ Firepower Threat Defense デバイスには、移行する 構成と同じ数の物理インターフェイスまたはポート チャネル インターフェイスが必要です。少なくとも、Firepower Threat Defense デバイスのコンテナインスタンスには、同じ数の物理インターフェイスまたはポート チャネル インターフェイスとサブインターフェイスが必要です。 構成と同じファイアウォールモードでデバイスを構成する必要があります。ただし、これらのインターフェイスは、両方のデバイスで同じ名前である必要はありません。

  リモート展開が有効になっている FMC/FTD 6.7 以降への Palo Alto Networks ファイアウォールの移行は、Firepower 移行ツールでサポートされています。インターフェイスとルートの移行は手動で行う必要があります。

• [Proceed without FTD] をクリックして、構成を Firepower Management Center に移行します。

  FTD なしで続行すると、Firepower 移行ツールは FTD に構成またはポリシーをプッシュしません。したがって、Firepower Threat Defense のデバイス固有の構成であるインターフェイスとルートは移行されません。ただし、NAT、ACL、ポートオブジェクトなど、サポートされている他のすべての構成（共有ポリシーとオブジェクト）は移行されます。

[Proceed] をクリックします。

[Select Features] セクションをクリックして、移行先に移行する機能を確認して選択します。

• 接続先 Firepower Threat Defense デバイスに移行する場合、Firepower 移行ツールは、[デバイス設定（Device Configuration）] セクションと [共有設定（Shared Configuration）] セクションで、 構成から移行できる機能を自動的に選択します。要件に応じて、デフォルトの選択をさらに変更できます。
• Firepower Management Center に移行する場合、Firepower 移行ツールは、[共有設定（Shared Configuration）] セクションで、 構成から移行できる機能を自動的に選択します。要件に応じて、デフォルトの選択をさらに変更できます。

  （注）	[Device Configuration] セクションは、移行先 Firepower Threat Defense デバイスを選択していない場合は使用できません。

• PAN の場合は、[Shared Configuration] で、関連する [Access Control] オプションを選択します。

  Migrate policies with Application-Default as Enabled：このオプションを選択すると、PAN アプリケーションが移行されます。

  このチェックボックスをオンにした場合にのみ、[Migrate policies with Application-Default as Enabled] オプションが表示されます。

  （注）	[Application Mapping] は、ポリシーが移行対象として選択されている場合にのみ有効になります。

  

  サービスが "Application-Default" であるポリシー

  サービスが "application-default" であり、アプリケーションが参照されているメンバーまたはグループを持つポリシーは、[Feature Selection] ページでの選択に従って移行されます。FMC には application-default に相当するものがないため、このようなポリシーはサービス "any" でプッシュされます。application-default と同様の機能を複製する場合は、アプリケーションが使用するポートを Palo Alto Networks ファイアウォールから見つけ、FMC の [ポリシー（Policy）] のポートセクションでそのポートを構成します。

  たとえば、"web-browsing" を持ち、サービスが"application-default" であるポリシーは、アプリケーション HTTP（web-browsing と同等）と "any" ポートとして移行されます。"application-default" と同じ機能を複製するには、ポートを TCP/80 および TCP/8080 として構成します。web-browsing は、ポート TCP 80 および TCP 8080 を使用します。ポリシーに複数のアプリケーションがある場合は、各アプリケーションで使用されるポートを構成します。

  ポリシーに複数のアプリケーションがある場合は、ポートを構成する前にポリシーを分割することを推奨します。これにより、他のアプリケーションへの追加アクセスが許可される可能性があるためです。

  "any" として構成されたアプリケーションと "application-default" として構成されたサービスが設定されているポリシーは、[Feature Selection] ページで選択できる項目（アプリケーションは "any"、サービスは "any"）に関係なく、無効として移行されます。これが許容可能な動作である場合は、アプリケーションを有効にして変更をコミットします。それ以外の場合は、必要なアプリケーションまたはサービスを選択し、ポリシーを有効にします。
• （任意）[Optimization] セクションで、[Migrate only referenced objects] を選択して、アクセス コントロール ポリシーと NAT ポリシーで参照されているオブジェクトのみを移行します。

  （注）	このオプションを選択すると、 構成内の参照されていないオブジェクトは移行されません。これにより、移行時間が最適化され、未使用のオブジェクトが構成から消去されます。

[Proceed] をクリックします。

[Rule Conversion/ Process Config] セクションで、[Start Conversion] をクリックして変換を開始します。

Firepower 移行ツールによって変換された要素の概要を確認します。

[Download Report] をクリックし、移行前レポートを保存します。

移行前レポートをダウンロードした場所に移動します。

移行前レポートを開き、その内容を慎重に確認して、移行が失敗する原因となる問題を特定します。

移行前レポートで修正措置が推奨されている場合は、 インターフェイス で修正を完了し、 構成ファイルを再度エクスポートしてから、更新された構成ファイルをアップロードし、続行してください。

構成ファイルが正常にアップロードおよび解析されたら、Firepower 移行ツールに戻り、[次へ（Next）] をクリックして移行を続行します。

インターフェイスマッピングを変更する場合は、[Firepower Threat Defense インターフェイス名（Firepower Threat Defense Interface Name）] のドロップダウンリストをクリックし、その インターフェイスにマッピングするインターフェイスを選択します。

各 インターフェイスを Firepower Threat Defense インターフェイスにマッピングしたら、[次へ（Next）] をクリックします。

[Map Security Zones] 画面で、使用可能なインターフェイスとセキュリティゾーンを確認します。

Firepower Management Center に存在するセキュリティゾーンにインターフェイスをマッピングするには、[Security Zones] 列で、そのインターフェイスのセキュリティゾーンを選択します。

セキュリティゾーンは、手動でマッピングすることも自動で作成することもできます。

1. [Add SZ＆IG] をクリックします。

2. [Add SZ＆IG] ダイアログボックスで、[Add] をクリックして新しいセキュリティゾーンを追加します。

3. [Security Zone] 列にセキュリティゾーン名を入力します。使用できる最大文字数は 48 です。

4. [Close] をクリックします。

1. [Auto-Create] をクリックします。

2. [Auto-Create] ダイアログボックスで、[Zone Mapping] をオンにします。

3. [Auto-Create] をクリックします。

すべてのインターフェイスを適切なセキュリティゾーンにマッピングしたら、[Next] をクリックします。

[Invalid Mappings] タブをクリックして、無効なマッピングのリストを表示します。次の手順を実行します。

1. Invalid Application：移行中に無効なマッピングが表示されます。

2. Mapping Mode：[Application] または [Port] のいずれかのマッピングモードを選択します。

3. Target Application：アプリケーションマッピングのターゲットアプリケーションを選択します。

[Valid Mappings] タブをクリックして、その移行に有効なマッピング数を表示します。有効な送信元アプリケーションと、有効なマッピングモードおよびターゲットアプリケーションをマッピングします。

[Blank Mappings] をクリックして、その移行のブランクマッピングのリストを表示します。ブランク送信元アプリケーションと、有効なマッピングモードおよびターゲットアプリケーションをマッピングします。

各タブで [Validate] をクリックして、その移行の無効なマッピング、ブランクマッピング、または有効なマッピングを検証します。

[Next] をクリックして続行します。

[Clear Mapped Data] をクリックして、アプリケーションマッピングを最後に保存したバージョンにリセットします。

[Review and Validate Configuration] 画面で、[Access Control Rules] をクリックし、次の手順を実行します。

1. 1 つ以上のアクセス制御リストポリシーを移行しない場合は、該当する行のボックスをオンにし、[アクション（Actions）] > [移行しない（Do not migrate）] を選択して、[保存（Save）] をクリックします。

   移行しないことを選択したすべてのルールは、テーブルでグレー表示されます。

2. Firepower Management Center ファイルポリシーを 1 つ以上のアクセス コントロール ポリシーに適用する場合は、該当する行のボックスをオンにし、[アクション（Actions）] > [ファイルポリシー（File Policy）] を選択します。

   [File Policy] ダイアログで、適切なファイルポリシーを選択し、選択したアクセス コントロール ポリシーに適用して、[Save] をクリックします。

3. Firepower Management Center IPS ポリシーを 1 つ以上のアクセス コントロール ポリシーに適用する場合は、該当する行のボックスをオンにし、[アクション（Actions）] > [IPS ポリシー（IPS Policy）] を選択します。

   [IPS Policy] ダイアログで、適切な IPS ポリシーと対応する変数セットを選択し、選択したアクセス コントロール ポリシーに適用して、[Save] をクリックします。

4. ロギングが有効になっているアクセスコントロールルールのロギングオプションを変更する場合は、該当する行のボックスをオンにし、[アクション（Actions）] > [ログ（Log）] を選択します。

   [Log] ダイアログでは、接続の開始時または終了時、またはその両方でイベントのロギングを有効にできます。ロギングを有効にする場合は、接続イベントをイベントビューアまたは Syslog のいずれか、または両方に送信することを選択する必要があります。接続イベントを syslog サーバに送信することを選択した場合、Firepower Management Center ですでに構成されている syslog ポリシーを [Syslog] ドロップダウンメニューから選択できます。

5. アクセスコントロールテーブル内の移行されたアクセスコントロールルールのアクションを変更する場合は、該当する行のボックスをオンにし、[アクション（Actions）] > [ルールアクション（Rule Action）] を選択します。

   ヒント	アクセスコントロールルールにアタッチされている IPS およびファイルのポリシーは、[Allow] オプションを除くすべてのルールアクションに対して自動的に削除されます。

   ACE カウントを、昇順、降順、等しい、大なり、および小なりのフィルタリング順序シーケンスでフィルタリングできるようになりました。

   フィルタリング条件をクリアするには、[フィルタのクリア（Clear Filter）] をクリックします。

   （注）	ACE に基づいた ACL のソート順序は、表示のみを目的としています。ACL は、発生した時間順に基づいてプッシュされます。

次のタブをクリックし、構成項目を確認します。

（任意）構成の確認中に、[Network Objects] タブまたは [Port Objects] タブで [Actions] > [Rename] を選択して、1 つ以上のネットワークオブジェクトまたはポートオブジェクトの名前を変更することができます。

（任意）グリッド内の各構成項目の詳細をダウンロードするには、[Download] をクリックします。

確認が完了したら、[Validate] をクリックします。

検証が完了し、[Validation Status] ダイアログボックスに 1 つ以上のオブジェクトの競合が表示された場合は、次の手順を実行します。

1. [Resolve Conflicts] をクリックします。

   Firepower 移行ツールは、オブジェクトの競合が報告された場所に応じて、[Network Objects] タブまたは [Port Objects] タブのいずれかまたは両方に警告アイコンを表示します。

2. タブをクリックし、オブジェクトを確認します。

3. 競合がある各オブジェクトのエントリを確認し、[Actions] > [Resolve Conflicts] を選択します。

4. [Resolve Conflicts] ウィンドウで、推奨アクションを実行します。

   たとえば、既存の Firepower Management Center オブジェクトとの競合を避けるために、オブジェクト名にサフィックスを追加するように求められる場合があります。デフォルトのサフィックスを受け入れるか、独自のサフィックスに置き換えることができます。

5. [Resolve] をクリックします。

6. タブ上のすべてのオブジェクトの競合を解決したら、[Save] をクリックします。

7. [Validate] をクリックして構成を再検証し、すべてのオブジェクトの競合を解決したことを確認します。

検証が完了し、[Validation Status] ダイアログボックスに「Successfully Validated」というメッセージが表示されたら、移行された構成の以下へのプッシュ： Firepower Management Centerに進みます。

[Validation Status] ダイアログボックスで、検証の概要を確認します。

[構成のプッシュ（Push Configuration）] をクリックして、移行された 構成を Firepower Management Center に送信します。

移行が完了したら、[Download Report] をクリックして、移行後レポートをダウンロードして保存します。

移行が失敗した場合は、移行後レポート、ログファイル、および未解析ファイルを慎重に確認して、失敗の原因を把握します。

移行後レポートをダウンロードした場所に移動します。

移行後レポートを開き、その内容を慎重に確認して、 構成がどのように移行されたかを理解します。

移行前レポートを開き、 デバイスで手動で移行する必要がある Firepower Threat Defense 構成項目をメモします。

Firepower Management Center で、次の手順を実行します。

1. Firepower Threat Defense デバイスの移行された構成を確認し、次を含むすべての期待されるルールおよびその他の構成項目が移行されたことを確認します。

   • アクセス制御リスト（ACL）

   • ネットワークアドレス変換規則

   • ポートおよびネットワークオブジェクト

   • スタティック ルート

   • インターフェイス

   • 時間ベースのオブジェクト

2. 一部がサポートされている、サポートされていない、無視された、無効化された、および移行されなかったすべての構成項目とルールを構成します。

   これらの項目とルールを構成する方法の詳細については、『Firepower Management Center Configuration Guide』を参照してください。手動構成が必要な構成項目の例を次に示します。

   • プラットフォーム設定（SSH および HTTPS アクセスを含む）（「Platform Settings for Firepower Threat Defense」を参照）

   • Syslog 設定（「Configure Syslog」を参照）

   • ダイナミックルーティング（「Routing Overview for Firepower Threat Defense」を参照）

   • サービスポリシー（「FlexConfig Policies」を参照）

   • VPN 構成（「Firepower Threat Defense VPN」を参照）

   • 接続ログ設定（「Connection Logging」を参照）

確認が完了したら、Firepower Management Center から Firepower Threat Defense デバイスに移行された構成を展開します。

Firepower 移行ツールを配置したフォルダに移動します。

ログを保存する場合は、log フォルダを切り取りまたはコピーして別の場所に貼り付けます。

移行前レポートと移行後レポートを保存する場合は、resources フォルダを切り取りまたはコピーして別の場所に貼り付けます。

Firepower 移行ツールを配置したフォルダを削除します。