Cisco ASA 5508-X および 5516-X スタートアップガイド

ASA について

ASA は、1 つのデバイスで高度でステートフルなファイアウォール機能および VPN コンセントレーター機能を提供します。さらに同梱の ASA FirePOWER モジュールは、次世代侵入防御システム（NGIPS）、Application Visibility and Control（AVC）、URL フィルタリング、および高度なマルウェア防御（AMP）などの次世代ファイアウォールサービスを提供します。

次のいずれかのマネージャを使用して ASA を管理できます。

ASDM（このガイドで説明）：デバイスに含まれる単独のデバイスマネージャ。
CLI
Cisco Security Manager：別のサーバ上のマルチデバイスマネージャ。

次のいずれかのマネージャを使用して、ASA FirePOWER モジュールを管理できます。

ASDM（このガイドで説明）：デバイスに含まれる単独のデバイスマネージャ。
Firepower Management Center（FMC）：別のサーバ上で実行されるフル機能のマルチデバイスマネージャ。

トラブルシューティングのために、FirePOWER CLI にアクセスすることもできます。

エンドツーエンドの手順

シャーシで ASA を展開して設定するには、次のタスクを参照してください。


	事前設定	ネットワーク配置とデフォルト設定の確認。
	事前設定	デバイスの配線。
	事前設定	ASA の電源投入。
	ASA CLI	（任意）IP アドレスの変更。
	ASDM	ASDM へのログイン。
	ASDM	（任意）ASA ライセンスの設定：シリアル番号を表示します。
	Cisco Commerce Workspace	（任意）ASA ライセンスの設定：機能ライセンスを取得します。
	Smart Software Manager	（任意）ASA ライセンスの設定：アクティベーションキーを取得します。
	ASDM	（任意）ASA ライセンスの設定：アクティベーションキーをデバイスへ適用します。
	ASDM	ASA の設定。
	ASDM	ASA FirePOWER モジュールの設定。

ネットワーク配置とデフォルト設定の確認

次の図は、デフォルト設定を使用した ASA 5508-X および 5516-X の一般的なエッジ展開を示しています。この導入では、ASA は ASA FirePOWER モジュールのインターネットゲートウェイとして機能し、データベースの更新にインターネットアクセスが必要です。ASA の管理 1/1 IP アドレスを設定していない場合は、管理 1/1 インターフェイスを内部インターフェイスとして（スイッチを介して）同じネットワークに接続できます。（Asa FirePOWER モジュールの管理 1/1 IP アドレスは、ASA とは別のシステムであるため、内部と同じネットワーク上にあるように設定できます。）

（注）

ASDM アクセスにデフォルト IP アドレスを使用できない場合は、ASA CLI で IP アドレスを設定できます。「（任意）IP アドレスの変更」を参照してください。

ASA 5506-X、5508-X、および 5516-X のデフォルト設定

ASA 5506-X シリーズ、5508-X、および 5516-X の工場出荷時のデフォルト設定は、次のとおりです。

内部 --> 外部へのトラフィックフロー：GigabitEthernet 1/1（外部）、GigabitEthernet 1/2（内部）
DHCP からの外部 IP アドレス
内部 IP アドレス：192.168.1.1
（ASA 5506W-X）WiFi<--> 内部のトラフィックフロー、WiFi --> 外部へのトラフィックフロー：GigabitEthernet 1/9（WiFi）
（ASA 5506W-X）WiFi の IP アドレス：192.168.10.1
内部および WiFi 上の DHCP サーバ。アクセスポイント自体とそのすべてのクライアントが ASA を DHCP サーバとして使用します。
外部 DHCP からのデフォルトルート
管理 1/1 インターフェイスが稼働しているが、そうでない場合は未設定。ASA FirePOWER モジュールは、このインターフェイスを使用して ASA 内部ネットワークに接続し、内部インターフェイスをインターネットへのゲートウェイとして使用できます。
ASDM アクセス：内部ホストと Wi-Fi ホストが許可されます。
NAT：内部、WiFi、および管理から外部へのすべてのトラフィックのインターフェイス PAT。

このコンフィギュレーションは次のコマンドで構成されています。


interface Management1/1
  management-only
  no nameif
  no security-level
  no ip address
  no shutdown
interface GigabitEthernet1/1
  nameif outside
  security-level 0
  ip address dhcp setroute
  no shutdown
interface GigabitEthernet1/2
  nameif inside
  security-level 100
  ip address 192.168.1.1 255.255.255.0
  no shutdown
!
object network obj_any
  subnet 0.0.0.0 0.0.0.0
  nat (any,outside) dynamic interface
!
http server enable
http 192.168.1.0 255.255.255.0 inside
!
dhcpd auto_config outside
dhcpd address 192.168.1.5-192.168.1.254 inside
dhcpd enable inside
!
logging asdm informational

ASA 5506W-X の場合は、次のコマンドも含まれます。


same-security-traffic permit inter-interface
!
interface GigabitEthernet 1/9
  security-level 100
  nameif wifi
  ip address 192.168.10.1 255.255.255.0
  no shutdown
!
http 192.168.10.0 255.255.255.0 wifi
!
dhcpd address 192.168.10.2-192.168.10.254 wifi
dhcpd enable wifi

デバイスの配線

GigabitEthernet 1/2 インターフェイスで ASA 5508-X または 5516-X を管理し、管理 1/1 インターフェイスで ASA FirePOWER モジュールを管理します。デフォルト設定でも、GigabitEthernet 1/1 は外部として設定されています。

手順

ステップ 1	以下の機器のケーブルをレイヤ 2 イーサネットスイッチに接続します。 GigabitEthernet 1/2（内部）管理 1/1 管理コンピュータ（任意）Firepower Management Center
ステップ 2	（任意）管理コンピュータをコンソールポートに接続します。内部 IP アドレスをデフォルトから変更する必要がある場合は、管理コンピュータをコンソールポートにケーブル接続する必要もあります。「（任意）IP アドレスの変更」を参照してください。
ステップ 3	GigabitEthernet 1/1 インターフェイス（外部）を外部ルータに接続します。
ステップ 4	残りのインターフェイスに他のネットワークを接続します。

ASA の電源投入

システムの電源は、デバイスの背面にあるロッカー電源スイッチによって制御されます。

手順

ステップ 1	電源コードをデバイスに接続し、電源コンセントに接続します。
ステップ 2	シャーシの背面で、電源コードに隣接する標準的なロッカータイプの電源オン/オフスイッチを使用して電源をオンにします。
ステップ 3	デバイスの前面にある電源 LED を確認します。緑色に点灯している場合は、デバイスの電源が入っています。図 1. 背面パネル図 2. 前面パネル
ステップ 4	デバイスの前面または背面にあるステータス LED を確認します。緑色に点灯している場合は、電源投入診断に合格しています。

（任意）IP アドレスの変更

ASDM アクセスにデフォルト IP アドレスを使用できない場合は、ASA CLI で IP アドレスを設定できます。

（注）

この手順では、デフォルト設定を復元し、選択した IP アドレスも設定します。このため、保持する ASA 設定に変更を加えた場合は、この手順を使用しないでください。

手順

ステップ 1

ASA コンソールポートに接続し、グローバルコンフィギュレーションモードに入ります。詳細については、「ASA CLI へのアクセス」を参照してください。

ステップ 2

選択した IP アドレスを使用してデフォルト設定を復元します。

configure factory-default [ip_address [mask]]

例:


ciscoasa(config)# configure factory-default 10.1.1.151 255.255.255.0
Based on the management IP address and mask, the DHCP address
pool size is reduced to 103 from the platform limit 256

WARNING: The boot system configuration will be cleared.
The first image found in disk0:/ will be used to boot the
system on the next reload.
Verify there is a valid image on disk0:/ or the system will
not boot.

Begin to apply factory-default configuration:
Clear all configuration
Executing command: interface management0/0
Executing command: nameif management
INFO: Security level for "management" set to 0 by default.
Executing command: ip address 10.1.1.151 255.255.255.0
Executing command: security-level 100
Executing command: no shutdown
Executing command: exit
Executing command: http server enable
Executing command: http 10.1.1.0 255.255.255.0 management
Executing command: dhcpd address 10.1.1.152-10.1.1.254 management
Executing command: dhcpd enable management
Executing command: logging asdm informational
Factory-default configuration is completed
ciscoasa(config)#

ステップ 3

デフォルトコンフィギュレーションをフラッシュメモリに保存します。

write memory

ASDM へのログイン

ASDM を起動して、ASA を設定できるようにします。

始める前に

ASDM を実行するための要件については、Cisco.com の『ASDM release notes』を参照してください。

手順

ステップ 1	ブラウザに次の URL を入力します。 https://192.168.1.1 ：内部（GigabitEthernet 1/2）インターフェイスの IP アドレス。 [Cisco ASDM] Web ページが表示されます。ASA に証明書がインストールされていないために、ブラウザのセキュリティ警告が表示されることがありますが、これらの警告は無視して、Web ページにアクセスすることができます。
ステップ 2	使用可能なオプション [Install ASDM Launcher] または [Run ASDM] のいずれかをクリックします。
ステップ 3	画面の指示に従ってオプションを選択し、ASDM を起動します。 [Cisco ASDM-IDMランチャー（Cisco ASDM-IDM Launcher）] が表示されます。
ステップ 4	ユーザ名とパスワードのフィールドを空のままにして、[OK] をクリックします。メイン ASDM ウィンドウが表示されます。

（任意）ASA ライセンスの設定

ASA 5508-X または ASA 5516-X には、デフォルトで基本ライセンスが含まれています。

ライセンスの使用に制限を付ける場合は、Strong Encryption（3DES/AES）ライセンスもプリインストールします。このライセンスは、アメリカ合衆国の輸出管理ポリシーによって、一部の国では使用可能できせん。Strong Encryption ライセンスによって、VPN トラフィックなどの高度に暗号化されたトラフィックが許可されます。

この手順では、追加のライセンスを取得してアクティブ化する方法について説明します。新規ライセンスを取得しない場合は、この手順に従う必要がありません。

無料の Strong Encryption ライセンスを手動でリクエストする必要がある場合は、https://www.cisco.com/go/license を参照してください。

オプションで、次のライセンスを購入できます。

5 セキュリティコンテキスト
AnyConnect Plus または Apex

追加の ASA ライセンスをインストールするには、次の手順を実行します。

手順

ステップ 1

[Configuration] > [Device Management] > [Licensing] > [Activation Key] を選択して、ASDM で ASA のシリアル番号を取得します。

（注）

ライセンスに使用されるシリアル番号は、ハードウェアの外側に印刷されているシャーシのシリアル番号とは異なります。シャーシのシリアル番号は、テクニカルサポートで使用され、ライセンスには使用されません。ライセンスのシリアル番号を表示するには、show version | grep Serial コマンドを入力するか、ASDM の [Configuration] > [Device Management] > [Licensing Activation Key] ページを参照してください。

ステップ 2

PID（L-ASA-SC-5=）を使用して 5 セキュリティコンテキストライセンスを購入するには、http://www.cisco.com/go/ccw を参照してください。ASA は、PID（L-ISA3000SEC+-K9=と Security Plus ライセンスを持った 2 つのコンテキストをサポートしています。

AnyConnect ライセンスの場合、『Cisco AnyConnect 発注ガイド』および『AnyConnect ライセンスによく寄せられる質問（FAQ）』も参照してください。

ライセンスを購入すると、製品認証キー（PAK）が記載された電子メールを受け取り、ライセンスアクティベーションキーを取得できます。AnyConnect ライセンスの場合、ユーザセッションの同じプールを使用する複数の ASA に適用できるマルチユース PAK を受け取ります。場合によっては、PAK が記載された電子メールを受け取るまで数日かかることがあります。

ステップ 3

以下のライセンス Web サイトからアクティベーションキーを取得します。 https://www.cisco.com/go/license

プロンプトが表示されたら、次の情報を入力します。

製品認証キー
ASA のシリアル番号
電子メールアドレス

アクティベーションキーが自動的に生成され、指定した電子メールアドレスに送信されます。このキーには、永続ライセンス用にそれまでに登録した機能がすべて含まれています。

ステップ 4

ASDM の [Configuration] > [Device Management] > [Licensing] > [Activation Key] ペインで、新しいアクティベーションキーを入力します。

キーは、5 つの要素で構成される 16 進ストリングで、各要素は 1 つのスペースで区切られています。先頭の 0x 指定子は任意です。すべての値が 16 進数と見なされます。次に例を示します。


ASA0xd11b3d48 0xa80a4c0a 0x48e0fd1c 0xb0443480 0x843fc490

ステップ 5

[Update Activation Key] をクリックします。

ASA の設定

ASDM を使用する際、基本機能および拡張機能の設定にウィザードを使用できます。ウィザードに含まれていない機能を手動で設定することもできます。

手順

ステップ 1	[Wizards] > [Startup Wizard] の順に選択し、[Modify existing configuration] オプションボタンをクリックします。
ステップ 2	[Startup Wizard] では、手順を追って以下を設定できます。イネーブルパスワードインターフェイス（内部および外部のインターフェイス IP アドレスの設定やインターフェイスの有効化など）スタティックルート DHCP サーバその他...
ステップ 3	ASA FirePOWER モジュール管理 IP アドレスを設定します。必要に応じて追加の ASA 設定を行うか、または、[ASA FirePOWER Basic Configuration] 画面が表示されるまで、画面を進みます。デフォルト設定を使用するには、次の値を設定します。 IP アドレス：192.168.1.2。（任意）IP アドレスの変更に従って ASA のデフォルト IP アドレスを変更した場合は、同じネットワーク上で使用可能な IP アドレスを使用します。DHCP サーバの範囲内の IP アドレスを使用しないようにしてください（configure factory-default コマンドを使用した場合は、指定した ASA アドレスよりも高いアドレスは使用しないでください）。 [Subnet Mask] ：255.255.255.0 ゲートウェイ：192.168.1.1 [I accept the agreement] をクリックして、[Next] または [Finish] をクリックすると、ウィザードが終了します。 ASDM を終了し、再起動します。[Home] ページに [ASA FirePOWER] タブが表示されます。
ステップ 4	（任意） [Wizards] メニューから、その他のウィザードを実行します。
ステップ 5	ASA の設定を続行するには、「Navigating the Cisco ASA Series Documentation」でソフトウェアバージョンに応じたマニュアルを参照してください。

ASA FirePOWER モジュールの設定

ASDM を使用してライセンスをインストールし、モジュールのセキュリティポリシーを設定して、モジュールにトラフィックを送信します。

（注）

または、Firepower Management Center を使用して、ASA FirePOWER モジュールを管理できます。詳細については、『ASA FirePOWER Module Quick Start Guide』を参照してください。


	FirePOWER ライセンスの設定。
	FirePOWER セキュリティポリシーの設定。
	FirePOWER モジュールへの ASA トラフィックの送信。

FirePOWER ライセンスの設定

ASA FirePOWER モジュールは、ASA とは別のライセンスメカニズムを使用します。ライセンスはプリインストールされていませんが、次のライセンスのライセンスアクティベーションキーを取得できる PAK がプリントアウトに含めてボックスに同梱されています。

Control および Protection：Control は「Application Visibility and Control（AVC）」または「Apps」とも呼ばれます。Protection は、「IPS」とも呼ばれます。これらの機能を自動的に更新するには、ライセンス用のアクティベーションキーに加え、「使用権」サブスクリプションも必要になります。

Control（AVC）の更新には、シスコサポート契約が含まれます。

Protection（IPS）の更新には、http://www.cisco.com/go/ccw から IPS サブスクリプションを購入する必要があります。このサブスクリプションには、ルール、エンジン、脆弱性、および位置情報を更新する権利が含まれます。注：この使用権サブスクリプションは、ASA FirePOWER モジュールの PAK/ライセンスアクティベーションキーの生成や要求はしません。これは、更新を使用する権利を提供するだけです。

購入できるその他のライセンスには、次のものがあります。

Advanced Malware Protection（AMP）
URL フィルタリング

これらのライセンスによって、ASA FirePOWER モジュールの PAK/ライセンスアクティベーションキーが生成されます。キーは電子メールで受信します。詳細については『Cisco Firepower System Feature Licenses』を参照してください。

ASA FirePOWE ライセンスをインストールするには、次の手順を実行します。

手順

ステップ 1	[Configuration] > [ASA FirePOWER Configuration] > [Licenses] を選択し、[Add New License] をクリックして、ご使用のシャーシに対応するライセンスキーを取得します。ライセンスキーは上部付近にあり、たとえば 72:78:DA:6E:D9:93:35 です。
ステップ 2	[Get License] をクリックして、ライセンスポータルを起動します。または、ブラウザで https://www.cisco.com/go/license に移動します。
ステップ 3	カンマで区切られた PAK を [Get New Licenses] フィールドに入力し、[Fulfill] をクリックします。
ステップ 4	ライセンスキーや電子メールアドレスなどのフィールドに入力します。
ステップ 5	Web サイトの表示からか、システムが自動的に配信するライセンスの電子メールに添付されている zip ファイルから、結果のライセンスアクティベーションキーをコピーします。
ステップ 6	ASDM の [Configuration] > [ASA FirePOWER Configuration] > [Licenses] > [Add New License] 画面に戻ります。
ステップ 7	[License] ボックスにライセンスアクティベーションキーを貼り付けます。
ステップ 8	[Verify License] をクリックしてテキストを正しくコピーしたことを確認し、確認後に [Submit License] をクリックします。
ステップ 9	[Return to License Page] をクリックします。

FirePOWER セキュリティポリシーの設定

ASA から FirePOWER モジュールに送信するトラフィックのセキュリティポリシーを設定します。

手順

ASA FirePOWER セキュリティポリシーを設定するために [Configuration] > [ASA FirePOWER Configuration] を選択します。

ASA FirePOWER セキュリティポリシーの詳細については、ASDM の [ASA FirePOWER] ページを使用します。ポリシーの設定方法について詳しく知るには、任意のページで [Help] をクリックするか、または [Help] > [ASA FirePOWER Help Topics ] を選択します。

『ASA FirePOWER module configuration guide』も参照してください。

FirePOWER モジュールへの ASA トラフィックの送信

FirePOWER モジュールにトラフィックを送信するように ASA を設定します。デフォルトでは、トラフィックが FirePOWER モジュールに送信されません。すべてのトラフィックまたはトラフィックのサブセットを、次世代ファイアウォールサービス用のモジュールに送信できます。

手順

ステップ 1	[Configuration] > [Firewall] > [Service Policy Rules] の順に選択します。
ステップ 2	[Add] > [Service Policy Rule] を選択します。
ステップ 3	ポリシーを特定のインターフェイスに適用するか、または全体的に適用するかを選択し、[Next] をクリックします。
ステップ 4	トラフィックの一致を設定します。たとえば、インバウンドのアクセスルールを通過したすべてのトラフィックがモジュールへリダイレクトされるように、一致を [Any Traffic] に設定できます。また、ポート、ACL（送信元と宛先の基準）、または既存のトラフィッククラスに基づいて、より厳密な基準を定義することもできます。このポリシーでは、その他のオプションはあまり有用ではありません。トラフィッククラスの定義が完了したら、[次へ（Next）] をクリックします。
ステップ 5	[Rule Actions] ページで [ASA FirePOWER Inspection] タブをクリックします。
ステップ 6	[このフローに ASA FirePOWER を有効にする（Enable ASA FirePOWER for this traffic flow）] チェックボックスをオンにします。
ステップ 7	（任意） [ASA FirePOWER Card Fails] 領域で、次のいずれかをクリックします。 [Permit traffic]：（デフォルト）モジュールが使用できない場合、すべてのトラフィックの通過を検査なしで許可するように ASA を設定します。 [Close traffic] ：モジュールが使用できない場合、すべてのトラフィックをブロックするように ASA を設定します。
ステップ 8	（任意）トラフィックの読み取り専用のコピーをモジュールに送信する（つまりパッシブモードにする）には、[Monitor-only] をオンにします。
ステップ 9	[終了（Finish）]、[適用（Apply）] の順にクリックします。この手順を繰り返して、追加のトラフィックフローを必要に応じて設定します。

ASA CLI へのアクセス

ASA CLI を使用して、ASDM を使用する代わりに ASA のトラブルシューティングや設定を行うことができます。CLI には、コンソールポートに接続してアクセスできます。後で任意のインターフェイスでの ASA への SSH アクセスを設定できます。SSH アクセスはデフォルトで無効になっています。詳細については、『ASA general operations configuration guide』を参照してください。

ASA CLI から ASA FirePOWER モジュールの内部コンソールポートに接続することもできます。FirePOWER CLI の詳細については、『FMC configuration guide』の「Classic Device Command Reference」を参照してください。

手順

ステップ 1	管理コンピュータをコンソールポートに接続します。 ASA 5508-X および 5516-X には、USB A から B へのシリアルケーブルが付属しています。ご使用のオペレーティングシステムに必要な USB シリアルドライバを必ずインストールしてください（ハードウェアガイドを参照）。次のシリアル設定を使用します。 9600 ボー 8 データビットパリティなし 1 ストップビット ASA CLI に接続します。デフォルトでは、コンソールアクセスに必要なユーザクレデンシャルはありません。
ステップ 2	特権 EXEC モードにアクセスします。 enable enable コマンドを最初に入力したときに、パスワードを変更するように求められます。例: `ciscoasa> enable Password: The enable password is not set. Please set it now. Enter Password: **** Repeat Password: **** ciscoasa#` 設定以外のすべてのコマンドは、特権 EXEC モードで使用できます。特権 EXEC モードからコンフィギュレーションモードに入ることもできます。特権 EXEC モードを終了するには、disable 、exit 、または quit コマンドを入力します。
ステップ 3	グローバルコンフィギュレーションモードにアクセスします。 configure terminal 例: `ciscoasa# configure terminal ciscoasa(config)#` グローバルコンフィギュレーションモードから ASA の設定を開始できます。グローバルコンフィギュレーションモードを終了するには、exit 、quit 、または end コマンドを入力します。
ステップ 4	（任意） ASA FirePOWER モジュールのコンソールにアクセスします。 session sfr admin のユーザ名とパスワードでログインします。デフォルトのパスワードは Admin123 です。初めてログインすると、新しいパスワードと、管理インターフェイスのネットワーク設定が求められます。または、ASDM を使用してネットワーク設定を行うこともできます。 Ctrl+Shift+6、X を入力して、FirePOWER CLI を終了します。例: `ciscoasa# session sfr Opening command session with module sfr. Connected to module sfr. Escape character sequence is 'CTRL-^X'. FP3 login: admin Password: ******** Last login: Wed Mar 13 05:16:08 UTC 2019 on ttyS1 Copyright 2004-2017, Cisco and/or its affiliates. All rights reserved. Cisco is a registered trademark of Cisco Systems, Inc. All other trademarks are property of their respective owners. Cisco Fire Linux OS v6.2.0 (build 42) Cisco ASA5555 v6.2.0 (build 362) >`

次のステップ

ASA の設定を続行するには、「Navigating the Cisco ASA Series Documentation」でソフトウェアバージョンに応じたマニュアルを参照してください。
オンラインヘルプ、『ASA FirePOWER module local management configuration guide』、またはご使用のバージョンの『FMC configuration guide』を参照してください。

Bias-Free Language

Book Title

Cisco ASA 5508-X および 5516-X スタートアップガイド

Chapter Title

ASA および ASA FirePOWER モジュールの導入

Results

Chapter: ASA および ASA FirePOWER モジュールの導入

ASA および ASA FirePOWER モジュールの導入

ASA について

エンドツーエンドの手順

ネットワーク配置とデフォルト設定の確認

ASA 5506-X、5508-X、および 5516-X のデフォルト設定

デバイスの配線

手順

ASA の電源投入

手順

（任意）IP アドレスの変更

手順

例:

ASDM へのログイン

始める前に

手順

（任意）ASA ライセンスの設定

手順

ASA の設定

手順

ASA FirePOWER モジュールの設定

FirePOWER ライセンスの設定

手順

FirePOWER セキュリティポリシーの設定

手順

FirePOWER モジュールへの ASA トラフィックの送信

手順

ASA CLI へのアクセス

手順

例:

例:

例:

次のステップ

Was this Document Helpful?

Contact Cisco