Chapter 1. 关于防火墙迁移工具

- 关于防火墙迁移工具

- 防火墙迁移工具的历史

- 防火墙迁移工具的许可

- 思科成功网络

- 免责声明

关于防火墙迁移工具

文档

本书中的所有信息 使用 Cisco Secure Firewall 迁移工具将 Palo Alto Networks (PAN) 防火墙迁移到 Cisco Secure Firewall Threat Defense 均针对的 Cisco Secure Firewall 迁移工具的最新版本。按照从 Cisco.com 下载防火墙迁移工具中的说明下载防火墙迁移工具的最新版本。

从版本 2.1 开始，防火墙迁移工具支持将 Palo Alto Networks (PAN) 防火墙配置迁移到 Cisco Secure Firewall Threat Defense。防火墙迁移工具用于将 PAN 配置迁移到 威胁防御。

这种 防火墙迁移工具

防火墙迁移工具 可将支持的 PAN 配置转换为支持的 威胁防御 平台。借助防火墙迁移工具，您可以自动迁移支持的 PAN 功能和策略。您可能必须手动迁移不受支持的功能。

防火墙迁移工具收集 PAN 信息，解析该信息，最后将其推送到 管理中心。在解析阶段中，防火墙迁移工具会生成迁移前报告，其中会列明以下各项：

- 出错的 PAN 配置 XML 行

- PAN 会列出防火墙迁移工具无法识别的 PAN XML 行。报告迁移前报告和控制台日志中错误部分下的 XML 配置行；这些配置行会阻止迁移

如果存在解析错误，您可以纠正问题，重新上传新配置，连接到目标设备，将接口映射到 威胁防御 接口，映射应用，映射安全区，然后继续检查和验证您的配置。接下来即可将配置迁移到目标设备。

防火墙迁移工具可保存您的进度，并允许您在迁移过程中的两个阶段恢复迁移：

- 成功完成 PAN 配置文件解析之后

注

如果存在解析错误或您在解析之前退出，防火墙迁移工具会要求您从头开始执行该活动。

- 优化、检查和验证页面

注

如果您在此阶段退出防火墙迁移工具并重新启动，它会显示优化、检查和验证页面。

控制台

当您启动防火墙迁移工具时，系统将打开控制台。控制台提供有关防火墙迁移工具中各步骤进度的详细信息。控制台的内容也会写入防火墙迁移工具日志文件。

在打开和运行防火墙迁移工具时，控制台必须保持打开状态。

重要

当您通过关闭运行 Web 界面的浏览器退出防火墙迁移工具时，控制台会继续在后台运行。要完全退出防火墙迁移工具，请按键盘上的 Command 键 + C 退出控制台。

日志

防火墙迁移工具会为每个迁移创建日志。这些日志包含每个迁移步骤中所发生事件的详细信息，如果迁移失败，可以帮助您确定失败的原因。

在以下位置可找到防火墙迁移工具的日志文件：<migration_tool_folder>\logs

资源

防火墙迁移工具会在 resources 文件夹中保存一份迁移前报告、迁移后报告、 PAN PAN 配置和日志。

在以下位置可找到 resources 文件夹：<migration_tool_folder>\resources

未解析文件

在以下位置可找到未解析文件：<migration_tool_folder>\resources

防火墙迁移工具中的搜索

可以搜索防火墙迁移工具中所显示表格中的项目，例如优化、检查和验证页面上的项目。

要搜索表格的任何列或行中的项目，请点击表格上方的搜索（ ），然后在字段中输入搜索词。防火墙迁移工具会筛选表格行，并仅显示包含搜索词的那些项目。

要搜索单列中的项目，请在相应列标题中提供的搜索字段中输入搜索词。防火墙迁移工具会筛选表格行，并仅显示匹配搜索词的那些项目。

端口

在以下 12 个端口之一上运行时，防火墙迁移工具支持遥测：端口 8321-8331 和端口 8888。默认情况下，防火墙迁移工具使用端口 8888。要更改端口，请更新 app_config 文件中的端口信息。更新后，请确保重新启动防火墙迁移工具，以使端口更改生效。在以下位置可找到 app_config 文件：<migration_tool_folder>\app_config.txt。

注

我们建议您使用端口 8321-8331 和端口 8888，因为只有这些端口支持遥测。如果启用思科成功网络，则无法将任何其他端口用于防火墙迁移工具。

防火墙迁移工具的历史

版本

支持的功能

3.0.1

对于 Palo Alto Networks，仅支持将 Cisco Secure Firewall 3100 系列作为目标设备。

3.0

如果目标管理中心是 7.2 或更高版本，防火墙迁移工具 3.0 现已支持从 Palo Alto Networks 迁移到云交付的防火墙管理中心。

2.1

- 支持 PAN 操作系统版本 6.1.x 及更高版本

- 防火墙迁移工具允许将以下 PAN 配置元素迁移到 威胁防御：

- 接口

- 静态路由

- 网络对象和组

- 端口对象和端口组

- 访问控制列表（策略）

- 区域 (Zones)

- 应用

- NAT 规则

- 在检查和验证页面上启用的基于内容的搜索功能

- 为增强 UI 提供了进度条

防火墙迁移工具的许可

防火墙迁移工具应用是免费的，不需要许可证。但是，管理中心 必须具有相关 威胁防御 功能所需的许可证，才能成功注册 威胁防御 并向其部署策略。

思科成功网络

思科成功网络是一项用户启用的云服务。启用思科成功网络时，防火墙迁移工具与思科云之间会建立安全连接以传输使用情况信息和统计信息。数据流遥测提供一种机制，可从防火墙迁移工具选择感兴趣的数据，并以结构化的格式将其传输至远程管理站，从而获得以下优势：

- 通知您在网络中可用来改进产品效果的未使用功能。

- 通知您适用于您产品的更多技术支持服务和监控。

- 帮助思科改善我们的产品。

防火墙迁移工具将建立并始终维护该安全连接，使您能够注册思科成功网络。您可以通过禁用思科成功网络随时关闭此连接，这样会将设备与思科成功网络云断开。

启用和禁用思科成功网络

当您同意在防火墙迁移工具的最终用户许可协议 (End User License Agreement) 页面上与思科成功网络共享信息时，可启用思科成功网络。有关详细信息，请参阅 启动防火墙迁移工具。在每次迁移中，您可以从防火墙迁移工具中的设置 (Settings) 按钮启用或禁用思科成功网络。有关与思科成功网络共享的特定遥测数据的详细信息，请参阅思科成功网络 - 遥测数据。

免责声明

防火墙迁移工具（简称“工具”）旨在帮助您将受支持的第三方产品配置转换为获得有效许可和支持的平台上的 Cisco Secure Firewall Threat Defense（简称“威胁防御”）配置。该工具创建的安全策略和配置在完成转换后可能需要您手动配置。在实施任何配置之前，您应全权负责检查和测试配置，以确保其准确和完整。本工具按“原样”提供，思科不表示或担保该工具将符合您的业务需求或适合您现有的系统。

Chapter 2. 准备迁移

- 适用于防火墙迁移工具的准则和限制

- 适用于 威胁防御设备的准则和限制

- 适用于 PAN 配置的准则和限制

- 支持的迁移平台

- 支持迁移的软件版本

- 防火墙迁移工具的平台要求

适用于防火墙迁移工具的准则和限制

PAN 配置

您的 PAN 配置必须满足以下要求：

- PAN 配置支持迁移，如 支持的迁移平台 中所述。

- PAN 版本支持迁移，如 支持迁移的软件版本 中所述。

（可选）目标 威胁防御 设备

当您迁移到 Cisco Secure Firewall Management Center 时，它可能已添加目标 威胁防御 设备，也可能未添加。

您可以将共享策略迁移到 管理中心，以便将来部署到 威胁防御 设备。要将设备特定的策略迁移到 威胁防御，必须将其添加到 管理中心。

- 您的目标 威胁防御 设备必须满足以下要求：

- 设备满足硬件设备的准则，如此中所述： 适用于 威胁防御设备的准则和限制

- 设备支持作为迁移的目标，如支持的迁移平台中所述。

- 威胁防御 软件版本支持迁移，如支持迁移的软件版本中所述。

- 威胁防御 设备已在 管理中心 上注册。

管理中心

- 管理中心软件版本支持迁移，如支持迁移的软件版本中所述。

- 支持 PAN 迁移的 管理中心 软件版本为 6.1.x 及更高版本。

- 您已获取并安装 威胁防御 的智能许可证，包括您计划从 PAN 接口迁移的所有功能，如下所述：

- Cisco.com 上的思科智能账户“入门指南”部分。

- 在思科智能软件管理器中注册防火墙管理中心。

- 许可防火墙系统

- 防火墙迁移工具 3.0 现在支持迁移到云交付的防火墙管理中心，如云交付的防火墙管理中心迁移中所述。

防火墙迁移工具

- 确保您用来运行防火墙迁移工具的计算机符合相关要求，如防火墙迁移工具的平台要求中所述。

- 防火墙迁移工具允许您在以下限制内配置批量推送的批处理大小：

配置项目

批处理大小限制

默认值

对象

500

50

ACL

1000

1000

NAT

1000

1000

路由

1000

1000

注

对于对象，API 批处理大小不能超过 500。防火墙迁移工具将值重置为 50 并继续批量推送。

对于 ACL、路由和 NAT 规则，每个批处理大小不能超过 1000。防火墙迁移工具将值重置为 1000 并继续批量推送。

您可以在 app_config 文件中配置批处理大小限制，该文件位于：<migration_tool_folder>\app_config.txt.

注

重启应用以使更改生效。

- 开始从防火墙迁移工具推送配置之后，不要在 管理中心 中对配置进行任何更改或更新，直至迁移完成。

适用于 威胁防御设备的准则和限制

当您计划将 配置迁移到 威胁防御 时，请考虑以下准则和限制：

- 如果 威胁防御 上有任何现有的设备特定配置（例如路由、接口等），则在推送迁移期间，防火墙迁移工具会自动清除设备并从 配置执行覆盖。

注

为防止设备（目标 威胁防御）配置数据意外丢失，我们建议您在迁移之前手动清理设备。

在迁移期间，防火墙迁移工具会重置接口配置。如果在策略中使用这些接口，则防火墙迁移工具无法重置它们，因此迁移会失败。

- 威胁防御 设备可以是独立设备或容器实例。它不能是集群或高可用性配置的一部分。

- 如果目标 威胁防御 设备是容器实例，则必须至少具有与 相同数量的已使用物理接口、物理子接口、端口通道接口和端口通道子接口（不包括“管理专用”接口）；否则，必须在目标 威胁防御 设备上添加所需类型的接口。

- 防火墙迁移工具不创建子接口，仅允许接口映射。

- 它允许不同接口类型之间的映射，例如：物理接口可以映射到端口通道接口。

适用于 PAN 配置的准则和限制

防火墙迁移工具会为所有支持的对象和规则创建一对一映射，而不管它们在转换期间是否用于规则或策略。防火墙迁移工具提供优化功能，允许您在迁移中排除未使用的对象（任何 ACL 和 NAT 中未引用的对象）。

防火墙迁移工具不会迁移不支持的对象、NAT 规则和路由。

PAN 配置限制

源 PAN 配置的迁移存在以下限制：

- 防火墙迁移工具支持迁移多 VSYS。

- 系统配置未迁移。

- 防火墙迁移工具不会迁移某些 PAN 配置（例如动态路由和 VPN），必须手动迁移。

- 管理中心 不支持嵌套服务对象组或端口组。在转换过程中，防火墙迁移工具会扩展引用的嵌套对象组或端口组的内容。

- 防火墙迁移工具将一行中有源端口和目标端口的扩展服务对象或组拆分为跨多行的不同对象。对此类访问控制规则的引用将转换为具有相同含义的 管理中心 规则。

PAN 迁移准则

防火墙迁移工具对 威胁防御 配置使用最佳实践，其中包括以下准则：

- ACL 日志迁移选项遵循对应于 威胁防御的最佳实践。根据源 PAN 配置启用或禁用规则的日志选项。对于使用 deny 操作的规则，防火墙迁移工具会在连接开始时配置日志记录。如果操作是 permit，则防火墙迁移工具会在连接结束时配置日志记录。

支持的 PAN 配置

防火墙迁移工具可完整迁移以下 PAN 配置：

- 网络对象和组

- 区域（第 2 层、第 3 层、虚拟线路）

- 服务对象

- 服务对象组，嵌套服务对象组除外

注

由于 管理中心 不支持嵌套，因此防火墙迁移工具会扩展引用规则的内容。但是，系统会迁移规则及完整功能。

- IPv4 和 IPv6 FQDN 对象与组

- IPv6 转换支持（接口、静态路由、对象、ACL）

- 访问规则

- NAT 规则

注

服务为“application-default”的所有策略都将迁移为“any”，因为 威胁防御 没有等效功能。
转换后的源和原始目标在 管理中心 上没有预定义的“any”对象。因此，系统将创建并推送命名为 Obj_0.0.0.0 的 0.0.0.0/0 对象。

- 物理接口

- 子接口（子接口 ID 在迁移时始终设置为与 VLAN ID 相同的编号）

- 汇聚接口（端口通道）

- 静态路由，“下一跳”配置为“下一 VR”的路由和未迁移的 ECMP 路由除外

注

如果源防火墙 (PAN) 有配置为静态路由的连接路由，它会导致推送失败。管理中心 不支持为连接路由创建静态路由。删除任何此类路由并继续迁移。

注

虚拟线路接口不会迁移，而虚拟线路区域将会迁移。迁移后，您必须在 威胁防御 上手动创建 BVI 接口。

部分支持的 PAN 配置

防火墙迁移工具部分支持以下 PAN 配置的迁移。其中一些配置包括含高级选项的规则，这些规则在迁移后失去这些选项。如果 管理中心支持这些高级选项，您可以在迁移完成后手动配置它们。

- 使用配置文件的访问控制策略规则

- 所含服务对象的协议中包含 TCP、UDP 和 SCTP 的服务组。

注

SCTP 类型将被删除，服务组将部分迁移。

- 包含受支持和不受支持的对象的对象组在迁移时，不受支持的对象将被删除。

不受支持的 PAN 配置

防火墙迁移工具不支持对以下 PAN 配置进行迁移。如果这些配置在 管理中心 中受支持，您可以在迁移完成之后手动配置它们。

- 基于时间的访问控制策略规则

- 基于用户的访问控制策略规则

- 使用 SCTP 协议的服务对象

- 以特殊字符开头或包含特殊字符的 FQDN 对象

- 通配符 FQDN

- 配置有 SCTP 的 NAT 规则

- 源或目标中包含 FQDN 对象的 NAT 规则

- IPv6 NAT

- 使用 URL 过滤的策略

- 应用为“any”且服务为“application-default”的策略

要在 威胁防御 上配置不受支持的功能，请参阅威胁防御配置指南。

注

支持或不支持的所有策略都将迁移到 管理中心。不受支持的策略在迁移后被禁用。您可以在解决该问题之后或者根据 管理中心 配置之后启用这些策略。
包含配置文件 URL 过滤、用户 ID、源或目标否定的策略不受支持。

支持的迁移平台

以下 PAN 和 威胁防御 平台支持使用 防火墙迁移工具 进行迁移。有关支持的 威胁防御平台的更多信息，请参阅 Cisco Secure Firewall 兼容性指南 。

支持的目标 威胁防御平台

您可以使用 防火墙迁移工具将源 配置迁移到 威胁防御 平台的以下独立实例或容器实例：

- Firepower 1000 系列

- Firepower 2100 系列

- Secure Firewall 3100 系列

- Firepower 4100 系列

- Firepower 9300 系列包括：

- SM-24

- SM-36

- SM-40

- SM-44

- SM-48

- SM-56

- VMware 上的威胁防御，使用 VMware ESXi、VMware vSphere Web 客户端或 vSphere 独立客户端部署

对于 Microsoft Azure 云，防火墙迁移工具支持迁移到 threat defense virtual。

有关 Azure 中 threat defense virtual 的前提条件和预先配置，请参阅 Cisco Secure Firewall Threat Defense Virtual 和 Azure 入门。

对于 AWS 云，防火墙迁移工具支持迁移到 threat defense virtual。

有关 AWS 云中 threat defense virtual 的必备条件和预先配置，请参阅 Threat Defense Virtual 前提条件。

对于每一个这些环境，防火墙迁移工具在按照要求进行预先配置后，都需要网络连接才能连接到 Microsoft Azure 或 AWS 云中的 管理中心，然后再将配置迁移到云中的 管理中心。

注

要成功迁移，必须在使用 防火墙迁移工具之前完成 管理中心 或威胁防御虚拟的预先配置前提条件。

支持迁移的软件版本

以下是支持迁移的 PAN 和 威胁防御 版本：

支持的 Palo Alto Networks 防火墙版本

防火墙迁移工具支持迁移到运行 PAN 防火墙操作系统版本 6.1.x 及更高版本的 威胁防御。

源 PAN 防火墙配置支持的 管理中心 版本

对于 PAN 防火墙，防火墙迁移工具 支持迁移到运行 6.2.3.3 或更高版本的 管理中心 所管理的 管理中心 设备。

注

当前不支持迁移到 6.7 威胁防御 设备。因此，如果设备配置了用于 管理中心 访问的数据接口，则迁移可能会失败。

支持的 威胁防御版本

防火墙迁移工具迁移工具建议迁移到正在运行 威胁防御 版本 6.5 及更高版本的设备。

有关思科防火墙软件和硬件兼容性的详细信息（包括 威胁防御的操作系统和托管环境要求），请参阅思科防火墙兼容性指南。

防火墙迁移工具的平台要求

防火墙迁移工具对基础设施和平台的要求如下：

- 运行 Windows 10 64 位操作系统或者 macOS 10.13 或更高版本

- 使用 Google Chrome 作为系统默认浏览器

- (Windows)“电源和睡眠”中的“睡眠”设置配置为“从不让 PC 进入睡眠”，以便在大型迁移推送时系统不会进入睡眠状态

- (macOS) 配置了“节能模式”设置，以便在大型迁移推送时计算机和硬盘不会进入睡眠状态

Chapter 3. 运行迁移

- 从 Cisco.com 下载防火墙迁移工具

- 启动防火墙迁移工具

- 从 Palo Alto Networks 防火墙导出配置

- 指定防火墙迁移工具的目标参数

- 查看迁移前报告

- 通过 Secure Firewall 设备管理器 威胁防御 接口映射 PAN 防火墙 配置

- 将 PAN 接口映射到安全区

- 映射配置和应用

- 优化， 检查和验证要迁移的配置

- 将迁移的配置推送到 Cisco Secure Firewall Management Center

- 查看迁移后报告并完成迁移

- 解析摘要

- 卸载防火墙迁移工具

从 Cisco.com 下载防火墙迁移工具

开始之前

您必须拥有 Windows 10 64 位或者 macOS 10.13 或更高版本的计算机，并通过互联网连接至 Cisco.com。

过程

步骤 1

在您的计算机上，为防火墙迁移工具创建一个文件夹。

建议您不要在此文件夹中存储任何其他文件。当防火墙迁移工具启动时，它会将日志、资源和所有其他文件置于此文件夹中。

注

每当您下载最新版本的防火墙迁移工具时，请确保创建新文件夹，而不使用现有文件夹。

步骤 2

浏览到 https://software.cisco.com/download/home/286306503/type，然后点击防火墙迁移工具 (Firewall Migration Tool)。

上面的链接会引导您进入防火墙 NGFW Virtual 下面的防火墙迁移工具。您还可以从 威胁防御 设备下载区域中下载防火墙迁移工具。

步骤 3

将防火墙迁移工具的最新版本下载到您创建的文件夹中。

下载适用于 Windows 或 macOS 计算机的防火墙迁移工具的相应可执行文件。

启动防火墙迁移工具

注

当您启动防火墙迁移工具时，会在单独的窗口中打开控制台。进行迁移时，控制台会显示防火墙迁移工具中的当前步骤的进度。如果控制台未显示在屏幕上，则它最有可能隐藏在防火墙迁移工具后。

开始之前

- 从 Cisco.com 下载防火墙迁移工具

- 查看并验证适用于防火墙迁移工具的准则和限制部分中的要求。

- 确保您的计算机带有最新版本的 Google Chrome 浏览器以运行防火墙迁移工具。有关如何将 Google Chrome 设置为默认浏览器的信息，请参阅将 Chrome 设置为默认 Web 浏览器。

- 如果您计划迁移大型配置文件，请配置睡眠设置，以便在迁移推送时系统不会进入睡眠状态。

过程

步骤 1

在您的计算机上，导航至已在其中下载防火墙迁移工具的文件夹。

步骤 2

执行以下操作之一：

- 在您的 Windows 计算机上，双击防火墙迁移工具可执行文件，在 Google Chrome 浏览器中启动它。
如果出现提示，请点击是 (Yes)，以允许防火墙迁移工具对您的系统作出更改。

防火墙迁移工具会创建所有相关文件并将文件存储在其驻留的文件夹中，包括日志和资源文件夹。

- 在 Mac 上，将防火墙迁移工具 *.command 文件移动到所需文件夹，启动终端应用，浏览到安装防火墙迁移工具的文件夹并运行以下命令：
# chmod 750 Firewall_Migration_Tool-version_number.command

# ./Firewall_Migration_Tool-version_number.command

防火墙迁移工具会创建所有相关文件并将文件存储在其驻留的文件夹中，包括日志和资源文件夹。

提示

当您尝试打开防火墙迁移工具时，因为没有可识别的开发人员在 Apple 中注册防火墙迁移工具，系统会显示警告对话框。有关无法识别的开发人员打开应用的信息，请参阅无法识别的开发人员打开应用。

注

使用 MAC 终端 zip 方法。

步骤 3

在最终用户许可协议 (End User License Agreement) 页面上，如果要与思科共享遥测信息，请点击我同意与思科成功网络共享数据 (I agree to share data with Cisco Success Network)，否则请点击我稍后再执行 (I'll do later)。

当您同意将统计信息发送到思科成功网络时，系统会提示您使用 Cisco.com 帐户登录。如果您选择不向思科成功网络发送统计信息，则使用本地凭证登录防火墙迁移工具。

步骤 4

在防火墙迁移工具的登录页面上，执行以下操作之一：

- 要与思科成功网络共享统计信息，请点击使用 CCO 登录 (Login with CCO) 链接，用您的单点登录凭证登录您的 Cisco.com 帐户。

注

如果您没有 Cisco.com 帐户，请在 Cisco.com 登录页面上创建帐户。

- 使用以下默认凭证登录：

- 用户名 - admin

- 密码 - Admin123

如果您已使用 Cisco.com 帐户登录，请继续执行步骤 8。

步骤 5

在重置密码页面上，输入您的旧密码、新密码，然后确认新密码。

新密码必须包含 8 个或更多字符，并且必须包含大写和小写字母、数字和特殊字符。

步骤 6

点击重置 (Reset)。

步骤 7

使用新密码登录。

注

如果忘记了密码，请从 <migration_tool_folder> 中删除所有现有数据并重新安装防火墙迁移工具。

步骤 8

查看迁移前核对表并确保您已完成所有列出的项目。

如果您未完成该核对表中的一个或多个项目，请完成所有项目，然后再继续。

步骤 9

点击新迁移 (New Migration)。

步骤 10

在软件更新检查 (Software Update Check) 屏幕上，如果您不确定自己是否正在运行防火墙迁移工具的最新版本，请点击 Cisco.com 上的链接以验证版本。

步骤 11

点击继续 (Proceed)。

下一步做什么

您可以继续执行以下步骤：

- 如果必须使用防火墙迁移工具从 PAN 防火墙提取信息，请继续执行从 Palo Alto Networks 防火墙导出配置。

从 Palo Alto Networks 防火墙导出配置

可以通过以下方式导出配置文件：

- Palo Alto 防火墙的配置文件（并非由 Panorama 管理）

- Palo Alto 防火墙的配置文件（由 Panorama 管理）

Palo Alto 防火墙的配置文件（并非由 Panorama 管理）

按照以下步骤从网关提取配置：

过程

步骤 1

导航至设备 > 设置 > 操作，然后选择保存指定配置 <file_name.xml>。

步骤 2

点击确定 (Ok)。

步骤 3

导航至设备 (Device) > 设置 (Setup) > 操作 (Operations)，然后点击导出指定配置 (Export Named Configuration)。

步骤 4

选择 <file_name.xml> 文件。

步骤 5

点击确定 (Ok)。

步骤 6

选择包含您运行的配置 <file_name.xml> 的 XML 文件，然后点击确定 (Ok) 以导出配置文件。

步骤 7

将导出的文件保存到防火墙外部的一个位置。您可以使用此备份上传到 Firepower 迁移工具，将配置迁移到 威胁防御。

步骤 8

（可选）如果在您的 NAT 策略中，目标 NAT 具有相同的源和目标区域，请执行以下步骤：

1. 从防火墙上的 CLI 运行 show routing route 命令。

2. 将路由表复制到 .txt 文件。

3. 将 .txt 文件添加到您将从中压缩 .txt 和 .xml 文件以及 panconfig.xml 的文件夹中。

这些步骤对于迁移并非强制性的。如果不执行这些步骤，目标区域将不会在防火墙迁移工具迁移期间映射，并将包括在迁移报告中。

注

使用 show routing route 命令提取路由表详细信息。将提取的输出粘贴到记事本中。

Palo Alto 防火墙的配置文件（由 Panorama 管理）

如果您的设备是由 Panorama 管理的，则必须从网关提取配置。合并 Panorama 配置和网关并提取配置。

在防火墙迁移工具用户界面中，执行以下操作：

开始之前

使用超级用户帐户来登录 Palo Alto 防火墙 Web UI。

过程

步骤 1

导航到设备 (Device) > 支持 (Support) > 技术支持文件 (Tech Support File)。

步骤 2

点击生成技术支持文件 (Generate Tech Support File)。

步骤 3

生成的文件可用后，点击下载技术支持文件 (Download Tech Support File)。

步骤 4

解压缩并解压缩文件，然后导航到路径 \opt\pancfg\mgmt\saved-configs\ 以检索 mapped-running-config.xml 文件。

下一步做什么

压缩导出的文件

压缩导出的文件

导出 Palo Alto 网关防火墙的 panconfig.xml 以及 route.txt （如果您的 NAT 规则具有相同的源区域和目标区域）。

指定防火墙迁移工具的目标参数

开始之前

- 获得现场防火墙管理中心的 管理中心 的 IP 地址。

- 从防火墙迁移工具 3.0 开始，您可以在本地防火墙管理中心或云交付的防火墙管理中心之间选择。

- 对于云交付的防火墙管理中心，必须如云交付的防火墙管理中心迁移中所述提供区域和 API 令牌。

- （可选）如果要迁移设备特定的配置（例如接口和路由），请将目标 威胁防御 设备添加到 管理中心。请参阅将设备添加到防火墙管理中心

- 如果它要求您在检查和验证页面中将 IPS 或文件策略应用于 ACL，我们强烈建议您在迁移之前在 管理中心 上创建策略。使用相同的策略，因为防火墙迁移工具从连接的 管理中心 获取策略。创建新策略并将其分配给多个访问控制列表可能会降低性能，也可能导致推送失败。

过程

步骤 1

在选择目标 (Select Target) 屏幕的防火墙管理 (Firewall Management) 部分中，执行以下操作：您可以选择迁移到本地防火墙管理中心或云交付的防火墙管理中心：

- 要迁移到本地防火墙管理中心，请执行以下操作：

1. 点击本地 FMC (On-Prem FMC) 单选按钮。

2. 输入管理中心的 IP 地址或完全限定域名 (FQDN)。

3. 在域下拉列表中，选择要迁移到的域。

如果要迁移到 威胁防御 设备，只能迁移到所选域中可用的 威胁防御 设备。

4. 点击连接 (Connect) 并继续步骤 2。

- 要迁移到云交付的防火墙管理中心，请执行以下操作：

1. 点击云交付的 FMC (Cloud-delivered FMC) 单选按钮。

2. 选择区域并粘贴 CDO API 令牌。有关生成 CDO API 令牌的信息，请参阅云交付的防火墙管理中心迁移。

3. 点击连接 (Connect) 并继续步骤 2。

步骤 2

在防火墙管理中心登录 (Firewall Management Center Login) 对话框中，输入防火墙迁移工具专用帐户的用户名和密码，然后点击登录 (Login)。

防火墙迁移工具将登录到 管理中心，并检索由该 管理中心管理的一系列 威胁防御设备。您可以在控制台中查看此步骤的进度。

步骤 3

点击继续 (Proceed)。

步骤 4

在选择威胁防御 (Choose Threat Defense) 部分中，执行以下操作之一：

- 点击选择防火墙威胁防御设备 (Select Firewall Threat Defense Device)下拉列表，然后选中您要迁移 配置的设备。
选择的 管理中心 域中的设备将按 IP 地址和名称列出。

注

您选择的本地 威胁防御 设备必须至少拥有与您要迁移的 配置相同数目的物理或端口通道接口。威胁防御 设备的容器实例必须至少具有相同数量的物理或端口通道接口和子接口。您必须为设备配置与 配置相同的防火墙模式。但是，两个设备上的这些接口不需要具有相同的名称。

防火墙迁移工具支持在启用远程部署的情况下将 Palo Alto Networks 防火墙迁移到 管理中心 或 威胁防御 6.7 或更高版本。接口和路由的迁移必须手动完成。

- 点击忽略威胁防御并继续 (Proceed without Threat Defense)，将配置迁移到 管理中心。
当您忽略 威胁防御 并继续时，防火墙迁移工具不会将任何配置或策略推送到 威胁防御。因此，作为 威胁防御 设备特定配置的接口和路由以及站点间 VPN 不会迁移。但是，所有其他受支持的配置（共享策略和对象）将迁移，例如 NAT、ACL 和端口对象。远程访问 VPN 是一种共享策略，即使没有威胁防御也可以迁移。

步骤 5

单击继续 (Proceed)。

根据迁移的目标，防火墙迁移工具允许您选择要迁移的功能。

步骤 6

点击选择功能 (Select Features) 部分以查看并选择要迁移到目标的功能。

- 如果要迁移到目标 威胁防御 设备，防火墙迁移工具会自动从设备配置 (Device Configuration) 和共享配置 (Shared Configuration) 部分的 配置中选择可用于迁移的功能。您可以根据需要进一步修改默认选择。

- 如果要迁移到 管理中心，防火墙迁移工具会自动从共享配置 (Shared Configuration) 部分的 配置中选择可用于迁移的功能。您可以根据需要进一步修改默认选择。

注

当您未选择要迁移到的目标 威胁防御 设备时，设备配置部分不可用。

- 对于 PAN，在共享配置下选择相关的访问控制选项：
迁移已启用 Application-Default 的策略 - 选择此选项时，PAN 应用将迁移。

仅当选中此复选框时，才能看到迁移已启用 Application-Default 的策略选项。

注

仅当选择迁移的策略时，才会启用应用映射。

服务为“Application-Default”的策略

服务为“application-default”的策略以及成员或组被引用的应用将根据您在功能选择 (Feature Selection) 页面上所做的选择而迁移。管理中心 没有与 application-default 等效的功能，所以推送此类策略时服务为“any”。如果复制与 application-default 类似的功能，则从 Palo Alto 网络防火墙找出应用所使用的端口，并在 管理中心 中策略的端口部分下配置这些端口。

例如，将包含“web-browsing”且服务为“application-default”的策略迁移为应用 HTTP（相当于 web-browsing），端口为“any”。要复制与“application-default”相同的功能，请将端口配置为 TCP/80 和 TCP/8080。Web-browsing 使用端口 TCP 80 和 TCP 8080。如果策略有多个应用，请配置每个应用使用的端口。

如果策略中有多个应用，我们建议您在配置端口之前拆分策略，因为它可能允许对其他应用的额外访问。

应用配置为“any”且服务配置为“application-default”的策略会以禁用状态迁移，而与功能选择页面上的可用选项无关（应用为“any”，服务为“any”）。如果可接受此行为，请启用应用并执行更改。否则，请选择所需的应用或服务，并启用策略。

- 如果目标管理中心是 7.2 或更高版本，防火墙迁移工具支持迁移远程访问 VPN。远程访问 VPN 是一种无需威胁防御即可迁移的共享策略。如果选择使用威胁防御进行迁移，则威胁防御版本应为 7.0 或更高版本。

- （可选）在优化部分中，选择仅迁移引用的对象，以仅迁移访问控制策略和 NAT 策略中引用的对象。

注

当您选择此选项时，不会迁移 配置中未引用的对象。这可以优化迁移时间并从配置中清除未使用的对象。

步骤 7

点击继续 (Proceed)。

步骤 8

在规则转换/流程配置 (Rule Conversion/ Process Config)部分中，点击开始转换 (Start Conversion) 以启动转换。

步骤 9

查看防火墙迁移工具转换的元素的摘要。

要检查配置文件是否已成功上传和解析，请在继续迁移之前下载并验证迁移前报告。

步骤 10

点击下载报告 (Download Report)，并保存迁移前报告 (Pre-Migration Report)。

系统也会在 Resources 文件夹中保存迁移前报告的一个副本（与防火墙迁移工具处于相同的位置）。

下一步做什么

查看迁移前报告

查看迁移前报告

如果您在迁移期间错过下载迁移前报告，请使用以下链接进行下载：

迁移前报告下载终端 — http://localhost:8888/api/downloads/pre_migration_summary_html_format

注

您只能在 防火墙迁移工具 正在运行时下载报告。

过程

步骤 1

导航到下载迁移前报告的位置。

系统也会在 Resources 文件夹中保存迁移前报告的一个副本（与防火墙迁移工具处于相同的位置）。

步骤 2

打开迁移前报告并仔细检查其内容，以确定可能会导致迁移失败的任何问题。

迁移前报告包括以下信息：

- 可成功迁移到 威胁防御 的受支持 配置元素以及为迁移选择的特定 功能的摘要。

- 出错的配置行 - 因为防火墙迁移工具无法解析而不能成功迁移的 配置元素的详细信息。在 配置上更正这些错误，导出新配置文件，将新配置文件上传到 防火墙迁移工具，然后再继续。

- 部分支持的配置 - 仅可部分迁移的 配置元素的详细信息。这些配置元素包括含高级选项的规则和对象，其中的规则或对象可在无高级选项的情况下迁移。查看这些行，验证 管理中心中是否支持高级选项。如果支持，则计划在使用 防火墙迁移工具 完成迁移后手动配置这些选项。

- 不支持的配置 - 因防火墙迁移工具不支持迁移这些功能而无法迁移的 配置元素的详细信息。查看这些行，验证 管理中心 中是否支持每项功能。如果支持，则计划在使用防火墙迁移工具完成迁移后手动配置这些功能。

- 忽略的配置 - 因为不受 管理中心 或防火墙迁移工具支持而被忽略的 配置的详细信息。防火墙迁移工具不会解析这些行。查看这些行，验证 管理中心中是否支持每项功能。如果支持，则计划手动配置这些功能。

有关 管理中心 和 威胁防御 中受支持功能的更多信息，请参阅管理中心配置指南。

步骤 3

如果迁移前报告建议执行纠正操作，请在 接口上完成这些纠正操作，重新导出 配置文件，将更新的配置文件上传，然后再继续。

步骤 4

在您的 配置文件成功上传和解析之后，返回到防火墙迁移工具，然后点击下一步 (Next) 以继续迁移。

下一步做什么

映射 PAN 接口与 Firepower Threat Defense 接口

通过 Secure Firewall 设备管理器 威胁防御 接口映射 PAN 防火墙 配置

威胁防御 设备必须具有与 配置相同或更多的物理接口和端口通道接口。两个设备上的这些接口不需要具有相同的名称。您可以选择所需的接口映射方式。

接口到 威胁防御 接口的映射因 威胁防御 设备类型而异：

- 如果目标 威胁防御 为本地类型：

- 威胁防御 必须具有相同或更多数量的已使用 PAN 接口或端口通道 (PC) 数据接口或子接口（PAN 配置中不包括管理专用接口）。如果其接口数量较少，请在目标 威胁防御 上添加所需类型的接口。

- 子接口由防火墙迁移工具根据物理接口或端口通道映射创建。

- 如果目标 威胁防御 为容器类型：

- 威胁防御 必须具有相同或更多数量的已使用 PAN 接口、物理子接口、端口通道或端口通道子接口（ 配置中不包括管理专用接口）。如果其接口数量较少，请在目标 威胁防御 上添加所需类型的接口。例如，如果目标 威胁防御 上的物理接口和物理子接口的数量比 PAN 的接口数量少 100 个，则可以在目标 威胁防御 上创建更多物理接口或物理子接口。

开始之前

确保您已连接到 管理中心 并将目标选择为 威胁防御。有关详细信息，请参阅指定防火墙迁移工具的目标参数。

注

如果要迁移到无 威胁防御 设备的 管理中心，则此步骤不适用。

过程

步骤 1

如果您想要更改接口映射，请点击威胁防御接口名称 (Threat Defense Interface Name) 下拉列表，并选择您想要映射到该 接口的接口。

不能更改管理接口的映射。如果 威胁防御 接口已分配到 接口，则您不能从下拉列表中选择该接口。所有已分配的接口将变为灰色且不可用。

您不需要映射子接口。防火墙迁移工具会在 威胁防御 设备上为 配置中的所有子接口映射子接口。

注

如果源防火墙上的接口数量大于目标防火墙的接口数量，则在目标防火墙上创建子接口并重试迁移。

步骤 2

当您将每个 接口映射到 威胁防御 接口时，请点击下一步 (Next)。

下一步做什么

将 PAN 接口映射到相应的 威胁防御 接口对象和安全区。有关详细信息，请参阅将 PAN 接口映射到安全区。

将 PAN 接口映射到安全区

为确保正确地迁移 配置，您需要将 接口映射到相应的 威胁防御 接口对象、安全区。在 配置中，访问控制策略和 NAT 策略使用接口名称 (nameif)。在 管理中心中，这些策略使用接口对象。此外，管理中心策略将按以下项分组接口对象：

- 安全区 - 接口只能属于一个安全区。

防火墙迁移工具支持接口与安全区的一对一映射；当安全区映射到某个接口时，尽管 管理中心 允许，也不可映射到其他接口。有关 管理中心 中的安全区的详细信息，请参阅安全区。

过程

步骤 1

在映射安全区屏幕上，查看可用接口和安全区。

步骤 2

要将接口映射到 管理中心 中的安全区和接口组，或映射到在 配置文件中作为安全区类型对象并出现在下拉列表中的安全区和接口组，请执行以下操作：

1. 在安全区栏中，选择该接口的安全区。

2. 在接口组栏中，选择该接口的接口组。

步骤 3

要将接口映射到 管理中心 中的安全区，请在安全区栏中，选择该接口的安全区。

步骤 4

您可以手动映射或自动创建安全区。

要手动映射安全区，请执行以下操作：

1. 点击添加 SZ 和 IG (Add SZ & IG)。

2. 在添加 SZ 和 IG (Add SZ & IG) 对话框中，点击添加 (Add) 以添加新的安全区。

3. 在安全区栏中输入安全区名称。允许的最大字符数为 48。

4. 点击关闭 (Close)。

要通过自动创建映射安全区，请执行以下操作：

1. 点击自动创建 (Auto-Create)。

2. 在自动创建对话框中，选中区域映射。

3. 点击自动创建 (Auto-Create)。

点击自动创建 (Auto-Create)后，系统会自动映射源防火墙区域。如果 管理中心 上已存在相同的名称区域，则该区域将重新使用。映射页面将对重新使用的区域显示“(A)”。例如，inside "(A)"。

步骤 5

在已将所有接口映射到相应的安全区后，点击下一步 (Next)。

映射配置和应用

您可以将应用映射到相应的目标应用。您可以迁移基于应用的规则。
此选项卡中列出了 管理中心 的预定义应用列表和配置文件中的一些应用。管理中心 中存在的一些预定义映射已经映射。

注

您将无法编辑预定义映射。

应用映射页面显示以下选项卡：

- 无效映射 - 查看该迁移的无效映射列表。

在以下情况下，映射叫做无效映射：

- 当映射模式选择为应用或端口，但目标为空时。

- 当映射模式为端口且端口语法不正确时。要继续迁移，无效映射必须为零。

注

在正确验证之前，下一步按钮将被禁用。

当您从源获取预定义的映射列表时，系统会自动映射预定义的应用。如果存在未映射的应用，则必须将它们手动映射到端口或应用。

- 空白映射 - 显示未映射的应用，需要用户操作。应用必须映射到应用或端口。

注

建议映射所有应用，但不强制要求。

如果已选择映射模式，并且目标应用具备有效数据，则属于有效映射。

注

默认情况下，有效映射选项卡中提供所有预定义映射。

- 有效映射 - 显示正确的映射。对于常用应用，防火墙迁移工具拥有自己的 PAN 和 威胁防御 应用预定义映射数据库。如果 PAN 应用与预定义映射数据库匹配，这些应用将自动映射，并显示在有效映射下。

应用映射到空白映射中的应用或端口后，它会在验证后移至有效映射。

注

预定义映射不可编辑。

无效、有效和空白映射的计数基于迁移而不断变化。

下表显示应用映射属性。

应用映射表属性

字段

说明 (Description)

源应用

显示 PAN 上使用的应用列表。

映射模式

选择“应用”或“端口”作为映射模式。

- 应用 - 从可用目标应用列表中选择要映射的应用。您只能映射一个应用。

- 端口 - 从可用端口列表中选择要映射的端口。当您选择端口时，以指定的格式输入相关端口信息。例如，tcp/80 和 udp/80。

注

字符之间不能有空格。

目标应用

显示基于映射模式的目标应用或端口的列表。

ICMP 和 Ping 应用将迁移为 ICMP 和 ping 服务。此操作由防火墙迁移工具自动完成，因此不会显示在应用映射页面中。

过程

步骤 1

点击无效映射 (Invalid Mappings) 选项卡，查看无效映射列表。请执行以下操作：

1. 无效映射 - 显示迁移期间的无效映射。

2. 映射模式 - 选择“应用”或“端口”作为映射模式。

3. 目标应用 - 选择应用映射的目标应用。

例如，如果您已选择映射模式，但将应用映射到其他目标，则无法继续使用其他选项卡。查看无效映射选项卡，输入正确的目标应用，然后执行应用映射。

步骤 2

点击有效映射 (Valid Mappings) 选项卡，查看该迁移的有效映射数量。在有效的映射模式下映射有效的源应用和目标应用。

当映射变为有效映射时，可以看到有效映射的数量增加。

步骤 3

点击空白映射 (Blank Mappings) 以查看该迁移的空白映射列表。在有效的映射模式下映射空白源应用和目标应用。

例如，如果选择映射模式并保存它而不输入目标，则空白映射的数量会增加。查看选项卡，正确映射后继续进行迁移。

注

即使存在空白映射，也仍可继续进行迁移。

步骤 4

在每个选项卡中点击验证 (Validate)，以验证该迁移的无效、空白或有效映射。

步骤 5

点击下一步 (Next) 继续操作。

步骤 6

点击清除映射数据 (Clear Mapped Data)，将应用映射重置为上次保存的版本。

下一步做什么

检查和验证要迁移的配置

优化， 检查和验证要迁移的配置

在将迁移的 配置推送到 管理中心 之前，优化并仔细检查配置并验证它是否正确且与您需要的 威胁防御 设备配置方式匹配。闪烁的选项卡表示您必须执行下一步操作。

此处，防火墙迁移工具会获取 管理中心 上已存在的入侵防御系统 (IPS) 策略和文件策略，并允许您将这些策略与要迁移的访问控制规则相关联。

文件策略是作为整体访问控制配置的一部分供系统用于执行网络高级恶意软件防护和文件控制的一组配置。这种关联保证系统在传递流量中与访问控制规则的条件匹配的文件之前，首先检查该文件。

同样，在允许流量继续到达其目标之前，可以使用 IPS 策略作为系统的最后一道防线。入侵策略监管系统如何检测流量是否存在安全违规，并且在内联部署中可以阻止或修改恶意流量。只要系统使用入侵策略来评估流量，它便会使用关联的变量集。变量集中的大多数变量表示入侵规则中常用于识别源和目标 IP 地址及端口的值。您还可以在入侵策略中使用变量表示规则禁止和动态规则状态中的 IP 地址。

要搜索选项卡中的特定配置项，请在列顶部的字段中输入项目名称。表中的行将筛选，仅显示与搜索术语匹配的项目。

注

默认情况下，内联分组选项处于启用状态。

如果您在优化、检查和验证配置屏幕上关闭了 防火墙迁移工具 防火墙迁移工具，它会保存进度并允许您在以后恢复迁移。如果在进入此屏幕之前关闭，则不会保存您的进度。如果解析后出现故障，防火墙迁移工具会继续从接口映射屏幕重新启动。

对象优化

在迁移过程中会考虑以下对象以进行对象优化：

- 未引用的对象 - 可以选择在迁移开始时不迁移未被引用的对象。

- 重复对象 - 如果对象已存在于 管理中心 上，则不会创建重复对象，而是重复使用策略。

将迁移的配置推送到 Cisco Secure Firewall Management Center

如果您还未成功验证配置和解决所有对象冲突，则不能将迁移的 ASA 配置推送到 Cisco Secure Firewall Management Center。

迁移过程中的此步骤会将迁移的配置发送至 Cisco Secure Firewall Management Center。此步骤不会将配置部署到 Cisco Secure Firewall Threat Defense设备。但在此步骤中会擦除 Cisco Secure Firewall Threat Defense上的任何现有配置。

注

当防火墙迁移工具将迁移的配置发送到 Cisco Secure Firewall Management Center时，不要更改任何配置或部署到任何设备。

过程

步骤 1

在验证状态对话框中，查看验证摘要。

步骤 2

点击推送配置 (Push Configuration)，将迁移的 ASA 配置发送至 Cisco Secure Firewall Management Center。

防火墙迁移工具会显示迁移进度的摘要信息。您可以在控制台中查看详细的逐行进度信息，了解正在将哪些组件推送至 Cisco Secure Firewall Management Center。

步骤 3

在迁移完成后，点击下载报告 (Download Report)，下载并保存迁移后报告。

系统也会在 Resources 文件夹中保存迁移前报告的一个副本（与防火墙迁移工具处于相同的位置）。

步骤 4

如果迁移失败，请仔细查看迁移后报告、日志文件和未解析文件，了解是什么原因导致失败。

您也可以联系支持团队进行故障排除。

迁移失败支持

如果迁移不成功，请联系支持部门。

1. 在完成迁移 (Complete Migration) 屏幕上，点击支持 (Support) 按钮。

系统将显示“帮助”支持页面。

2. 选中支持捆绑包复选框，然后选择要下载的配置文件。

注

默认情况下，系统已选择要下载的日志和 dB 文件。

3. 点击下载 (Download)。

支持捆绑包文件以 .zip 格式下载到您的本地路径。解压缩 Zip 文件夹以查看日志文件、DB 和配置文件。

4. 点击给我们发送邮件 (Email us)，通过电子邮件将故障详细信息发送给技术团队。

您还可以将下载的支持文件附加到电子邮件中。

5. 点击访问 TAC 页面 (Visit TAC page)，在思科支持页面上创建 TAC 支持请求。

注

您可以在迁移过程中随时从支持页面提交 TAC 支持请求。

查看迁移后报告并完成迁移

迁移后报告提供了不同类别下的 ACL 计数、ACL 优化以及对配置文件进行优化的整体视图等详细信息。有关详细信息，请参阅优化， 检查和验证要迁移的配置

查看并验证对象：

- 类别

- ACL 规则总数（源配置）

- 考虑优化的 ACL 规则总数。例如，冗余、阴影等。

- 优化的 ACL 计数给出了优化前后计算得出的 ACL 规则总数。

如果您在迁移期间错过下载迁移后报告，请使用以下链接进行下载：

迁移后报告下载终端 — http://localhost:8888/api/downloads/post_migration_summary_html_format

注

您只能在 防火墙迁移工具 正在运行时下载报告。

过程

步骤 1

导航至下载了迁移后报告的位置。

步骤 2

打开迁移后报告并仔细检查其内容，了解您的 配置是如何迁移的：

- 迁移摘要 - 已成功从 迁移到 威胁防御 的配置的摘要信息，其中包括有关 接口、管理中心 主机名和域、目标 威胁防御 设备（如果适用）和已成功迁移的配置元素的信息。

- 选择性策略迁移 - 设备配置功能、共享配置功能和优化三个类别中可选择迁移的特定 功能的详细信息。

- 接口至 FTD 接口映射 - 已成功迁移的接口的详细信息，以及如何将 配置上的接口映射到 威胁防御 设备上的接口。确认这些映射符合您的预期。

注

本部分不适用于没有目标 威胁防御 设备或者未选择迁移接口的迁移。

- 源接口名称至威胁防御安全区 - 已成功迁移的 PAN 逻辑接口和名称的详细信息，以及如何将它们映射到 威胁防御 中的安全区。确认这些映射符合您的预期。

注

如果未选择迁移访问控制列表和 NAT，则此部分不适用。

- 对象冲突处理 - 已被确定为与 管理中心 中现有对象冲突的 对象的详细信息。如果对象具有相同的名称和配置，防火墙迁移工具重新使用 管理中心对象。如果对象具有相同名称但具有不同的配置，则重命名这些对象。仔细检查这些对象，并确认已正确解决冲突。

- 您选择不迁移的访问控制规则、NAT 和路由 - 您选择不让 防火墙迁移工具迁移的规则的详细信息。查看由 防火墙迁移工具禁用且未迁移的这些规则。查看这些行，并验证您选择的所有规则均列在此部分中。如果需要，可以手动配置这些规则。

- 部分迁移的配置 - 仅部分迁移的 规则的详细信息，包括带有高级选项的规则，其中，在没有高级选项的情况下也可以迁移规则。查看这些行，验证在 管理中心中是否支持高级选项。如果支持，手动配置这些选项。

- 不支持的配置 - 因防火墙迁移工具不支持迁移这些功能而未被迁移的 配置元素的详细信息。查看这些行，验证 威胁防御中是否支持每项功能。如果支持，请在 管理中心中手动配置这些功能。

- 展开访问控制策略规则 - 在迁移期间已从一个 Point 规则扩展到多个 威胁防御 规则的 访问控制策略规则的详细信息。

- 对访问控制规则采取的操作

- 您选择不迁移的访问规则 - 您选择不让 防火墙迁移工具迁移的 访问控制规则的详细信息。查看这些行，并验证您选择的所有规则均列在此部分中。如果需要，可以手动配置这些规则。

- 规则操作有更改的访问规则 - 使用 防火墙迁移工具更改了“规则操作”的所有访问控制策略规则的详细信息。规则操作值包括允许、信任、监控、阻止、阻止并重置。查看这些行，并验证您选择的所有规则均列在此部分中。如果需要，可以手动配置这些规则。

- 应用了 IPS 策略和变量集的访问控制规则 - 应用了 IPS 策略的所有 访问控制策略规则的详细信息。仔细查看这些规则并确定 威胁防御 是否支持此功能。

- 应用了文件策略的访问控制规则 - 应用了文件策略的所有 访问控制策略规则的详细信息。仔细查看这些规则并确定 威胁防御 是否支持此功能。

- 规则“日志”设置有更改的访问控制规则 - 使用 防火墙迁移工具更改了“日志设置”的 访问控制规则的详细信息。日志设置值包括 False、事件查看器、系统日志。查看这些行，并验证您选择的所有规则均列在此部分中。如果需要，可以手动配置这些规则。

注

未迁移的不受支持的规则可能导致出现问题，使得不必要的流量通过您的防火墙。建议您在 管理中心中配置一个规则来确保 威胁防御阻止此类流量。

注

如果它要求您在检查和验证页面中将 IPS 或文件策略应用于 ACL，则强烈建议您在迁移之前在管理中心上创建策略。使用相同的策略，因为 防火墙迁移工具 从连接的管理中心获取策略。创建新策略并将其分配给多个策略可能会降低性能，也可能导致推送失败。

有关 管理中心和 威胁防御中的受支持功能的更多信息，请参阅管理中心配置指南，版本 6.2.3。

步骤 3

打开迁移前报告，并记下您必须在 威胁防御 设备上手动迁移的任何 配置项目。

步骤 4

在 管理中心中，执行以下操作：

1. 查看 威胁防御设备的迁移配置，确认所有预期规则和其他配置项目（包括以下内容）均已迁移：

- 访问控制列表 (ACL)

- 网络地址转换规则

- 端口和网络对象

- 路由

- 接口

- 动态路由对象

2. 配置所有未迁移的部分受支持、不受支持、已忽略和已禁用的配置项目和规则。

有关如何配置这些项目和规则的信息，请参阅管理中心配置指南 。以下是需要手动配置的配置项目的示例：

- 平台设置，包括 SSH 和 HTTPS 访问，如威胁防御的平台设置中所述。

- 系统日志设置，如配置系统日志中所述

- 动态路由，如威胁防御路由概述中所述

- 服务策略，如 FlexConfig 策略中所述

- VPN 配置，如威胁防御 VPN 中所述

- 连接日志设置，如连接日志记录中所述

步骤 5

完成检查之后，将已迁移的配置从 管理中心 部署到 威胁防御 设备。

验证迁移后报告中是否正确反映了不支持和部分支持的规则的数据。

防火墙迁移工具将策略分配到 威胁防御设备。验证运行配置中是否反映了更改。为帮助您识别已迁移的策略，这些策略的描述信息中包括 配置的主机名。

解析摘要

解析摘要显示对象、接口、NAT、策略和应用的数量。摘要有三个组成部分：解析前摘要、解析摘要和推送前摘要。

- 解析前摘要 - 上传配置后显示解析前摘要。在此阶段，防火墙迁移工具显示各种组成部分的计数。仅显示自定义应用或组中使用的应用。如果配置为多 VSYS，则显示完整 VSYS 的接口计数。解析前摘要不会显示所有应用，因为策略中直接调用的应用不计算在内。因此，应用计数不同于解析摘要。NAT 上也有类似的情况。解析前摘要的几个组成部分可能显示零计数，但这并不意味着这些配置有零个配置元素。

- 解析摘要 - 点击“开始转换”后显示解析摘要。在此阶段，防火墙迁移工具已对配置执行操作，并从摘要计数中删除了所有不受支持的配置。不受支持的策略包含在计数中，因为不受支持的策略在迁移到 管理中心 后处于禁用状态。配置的每个组成部分都会被解析。解析摘要中显示的计数是将要迁移的确切配置计数。

- 推送前摘要 - 在系统提示您将配置推送到 管理中心 之前，显示推送前摘要。根据防火墙迁移工具采取的操作，解析前摘要计数可能不同于解析摘要。NAT 中直接引用的 IP 将作为对象推送。如果将应用映射到端口，服务计数会增加，应用计数会下降。如果应用映射留空，应用计数会减少。如果静态路由有重复条目，该条目将被删除且计数将减少。

迁移失败

迁移期间的解析失败如下：

- 解析失败 - 将配置上传到防火墙迁移工具后发生解析失败。原因是接口配置错误。如果配置了多个 IP 或将 /32 或 /128 IP 分配给了接口，则会导致解析失败。

如果为接口分配了多个 IP 或者隧道、环回或 VLAN 接口包含在路由中，则会导致推送失败。

解决方法 - 下载迁移前报告，并参阅迁移报告中出错的配置行部分。此部分显示导致该问题的配置的详细信息。您必须纠正该问题并将配置重新上传到防火墙迁移工具。

如果推送失败是由路由中的隧道、环回或 VLAN 接口导致的，则必须删除此类路由并重试迁移，因为 管理中心 不支持此类接口。

- 推送失败 - 当防火墙迁移工具已迁移配置并且正在推送到 管理中心 时，发生推送失败。迁移后报告中会记录推送失败。

解决方法 - 下载迁移后报告，并参阅迁移报告中的错误报告部分。此部分显示导致该问题的配置的详细信息。您必须在检查和验证页面上纠正该问题，方法是对于显示失败的部分选择不迁移选项，也可以在源配置中修复该问题并将配置重新上传到防火墙迁移工具。

卸载防火墙迁移工具

所有组件均存储在与防火墙迁移工具相同的文件夹中。

过程

步骤 1

导航至在其中放置防火墙迁移工具的文件夹。

步骤 2

如果要保存日志，请剪切或复制 log 文件夹并粘贴到另一个位置。

步骤 3

如果要保存迁移前报告和迁移后报告，请剪切或复制 resources 文件夹并粘贴到另一个位置。

步骤 4

删除在其中放置防火墙迁移工具的文件夹。

提示

日志文件与控制台窗口相关联。只要防火墙迁移工具的控制台窗口处于打开状态，就无法删除日志文件和文件夹。

Chapter 4. 排除迁移问题

- 关于防火墙迁移工具的故障排除

- 用于排除故障的日志和其他文件

关于防火墙迁移工具的故障排除

在 PAN 配置文件上传或将已迁移的配置推送到 管理中心 时，迁移通常会失败。

意外文件 - 检测到无效的 PAN 文件。例如，使用 Mac 操作系统压缩时会创建 Mac 系统文件。删除 Mac 文件。

防火墙迁移工具支持捆绑包

防火墙迁移工具提供下载支持捆绑包的选项，以提取重要的故障排除信息，例如日志文件、数据库和配置文件。请执行以下操作：

1. 在完成迁移 (Complete Migration) 屏幕上，点击支持 (Support) 按钮。

系统将显示“帮助”支持页面。

2. 选中支持捆绑包复选框，然后选择要下载的配置文件。

注

默认情况下，系统已选择要下载的日志和 dB 文件。

3. 点击下载 (Download)。

支持捆绑包文件以 .zip 格式下载到您的本地路径。解压缩 Zip 文件夹以查看日志文件、DB 和配置文件。

4. 点击给我们发送邮件 (Email us)，通过电子邮件将故障详细信息发送给技术团队。

您还可以将下载的支持文件附加到电子邮件中。

5. 点击访问 TAC 页面 (Visit TAC page)，在思科支持页面上创建 TAC 支持请求。

注

您可以在迁移过程中随时从支持页面提交 TAC 支持请求。

用于排除故障的日志和其他文件

可在以下文件中找到有助于识别和排除问题的信息。

文件

位置

日志文件

<migration_tool_folder>\logs

迁移前报告

<migration_tool_folder>\resources

迁移后报告

<migration_tool_folder>\resources

未解析文件

<migration_tool_folder>\resources

telemetry_sessionid_timestamp.json

<migration_tool_folder>\resources\telemetry_data

Chapter 5. 防火墙迁移工具常见问题

- 防火墙迁移工具常见问题解答

防火墙迁移工具常见问题解答

Q.

版本 3.0.1 的 Cisco Secure Firewall 迁移工具支持哪些新功能？

A.

Cisco Secure Firewall 迁移工具 3.0.1 现在仅支持将 Cisco Secure Firewall 3100 系列作为从 Palo Alto Networks 迁移的目标设备。

Q.

版本 3.0 的 Cisco Secure Firewall 迁移工具支持哪些新功能？

A.

版本 3.0 支持的功能包括：

- 迁移到云交付的防火墙管理中心

Q.

防火墙迁移工具可以迁移策略的源平台和目标平台是什么？

A.

防火墙迁移工具可以将策略从支持的 PAN 防火墙平台迁移到 threat defense virtual 平台。有关详细信息，请参阅支持的源 PAN 平台。

Q.

从 PAN 转换到威胁防御虚拟有哪些硬件限制？

A.

如果 PAN 操作系统版本为 6.1.x 及更高版本，则防火墙迁移工具将迁移配置。

Q.

PAN 防火墙是否支持接口组？

A.

否。PAN 防火墙向 threat defense virtual 转换时，不支持接口组。

Q.

NAT 使用 FQDN，而后者不受 管理中心 的支持。应该怎么办？

A.

如您所知，管理中心 不支持 NAT 中的 FQDN，同样防火墙迁移工具也不支持 FQDN。要复制与源相同的配置，必须在迁移后配置手动映射到 FQDN 的整个 IP 地址集。

Q.

当源防火墙的接口比目标防火墙更多时，该怎么办？

A.

如果源防火墙的接口比目标防火墙更多，则在启动迁移之前在 threat defense virtual 上创建子接口。

Q.

防火墙迁移工具是否会迁移汇聚接口（端口通道）？

A.

防火墙迁移工具不会迁移汇聚接口（端口通道）。在启动迁移之前，必须在 管理中心 上配置端口通道接口。

Q.

管理中心 是否支持 VR 间路由？

A.

不支持以“下一 VR”为“下一跳”的任何路由。

Q.

从 PAN 提取路由表的命令是什么？

A.

使用 Show routing route 命令。将路由粘贴到 txt 文件后，请确保格式正确。如果有多个 VSYS，请仅粘贴相关 VSYS 的路由。我们建议您从路由表中删除隧道、环回和 VLAN 路由，因为 管理中心 不支持这些接口。

Q.

我应该如何处理被忽略的配置文件？

A.

被忽略的配置包含 PAN 独有的 XML 标签，与 管理中心 不相关。因此，它们会被忽略。您必须仔细查看忽略的配置。忽略部分中反映的任何意外情况都应在 管理中心 上手动配置。

Q.

我的迁移前报告中有一个错误。是否可以忽略接口并继续？

A.

如果您选择在没有接口的情况下继续，则路由也不会迁移。

Q.

解析失败的常见原因是什么？

A.

如果接口有多个 IP 地址或为其分配了子网中的 IP 地址（例如 /32 或 /128），则发生解析失败。要继续操作，您必须更正 IP 地址并重试迁移。

Q.

为什么解析前摘要中的 NAT 显示为零？

A.

有关详细信息，请参阅解析摘要。

Q.

如何导出 PAN 配置？

A.

如果您的设备是由 Panorama 管理的，则必须从网关提取配置。合并 Panorama 配置和网关并提取配置。

有关详细信息，请参阅从 Palo Alto Networks 防火墙导出配置。

Q.

应用映射有什么作用？

A.

通过应用映射，您可以将应用映射到相应的目标应用，例如 HTTP、SSH。您还可以迁移基于应用的规则。

有关详细信息，请参阅映射配置和应用。

Q.

包含“application-default”的策略会怎么样？

A.

请执行以下操作：

- 如果应用选择为“any”且端口设置为“application-default”，则策略不受支持并以禁用状态迁移。

- 如果应用选择为“xyz”且端口设置为“application-default”，则策略迁移后，应用为“xyz”，服务为“any”。

思科成功网络 - 遥测数据

- 思科成功网络 - 遥测数据

思科成功网络 - 遥测数据

每当您在 防火墙迁移工具中启动迁移过程时，相应的遥测数据文件都存储在固定位置。在启用思科成功网络的情况下，当您将迁移的 配置推送到 管理中心时，推送服务会从该位置读取遥测数据文件，并在数据成功上传到云后将其删除。如果您使用本地凭证而不是 Cisco.com 帐户凭证登录 防火墙迁移工具，遥测数据不会推送到云，并且数据文件位于以下位置：

<migration_tool_folder>\resources \ telemetry_data

下表提供有关遥测数据点、其说明和样本值的信息。

系统信息

数据点

描述

示例值

操作系统

运行 防火墙迁移工具 的操作系统。它可以是 Windows7/Windows10 64 位/macOS High Sierra

Windows 7

浏览器

用于启动 防火墙迁移工具 的浏览器。它可以是 Mozilla/5.0 或 Chrome/68.0.3440.106 或 Safari/537.36

Mozilla/5.0

目标管理设备 (管理中心) 信息

数据点

描述

示例值

目标管理版本

管理中心 的目标版本

6.2.3.3（内部版本 76）

目标管理类型

目标管理设备的类型，即 管理中心

管理中心

目标设备版本

目标设备的版本

75

目标设备型号

目标设备的型号

Cisco Secure Firewall Threat Defense for VMware

迁移工具版本

迁移工具的版本

1.1.0.1912

迁移摘要

数据点

描述

示例值

访问控制策略

名称

访问控制策略的名称

不存在

访问规则计数

迁移的 ACL 规则总数

0

部分迁移的 ACL 规则计数

部分迁移的 ACL 规则总数

3

扩展的 ACP 规则计数

扩展的 ACP 规则的数量

0

NAT 策略

名称

NAT 策略的名称

不存在

NAT 规则计数

迁移的 NAT 规则总数

0

部分迁移的 NAT 规则计数

部分迁移的 NAT 规则总数

0

更多迁移详细信息...

接口计数

已更新接口的数量

0

子接口计数

已更新子接口的数量

0

静态路由计数

静态路由的数量

0

对象计数

创建的对象数

34

对象组计数

创建的对象组数

6

安全区域计数

创建的安全区域的数量

3

网络对象重用计数

重新使用的对象数

21

网络对象重命名计数

重命名的对象数

1

端口对象重用计数

重新使用的端口对象数

0

端口对象重命名计数

重命名的端口对象数

0

防火墙迁移工具 性能数据

数据点

描述

示例值

转换时间

解析 配置行所需的时间（以分钟为单位）

14

迁移时间

端到端迁移所需的总时间（以分钟为单位）

592

配置推送时间

推送最终配置所需的时间（以分钟为单位）

7

迁移状态

将 配置迁移到 管理中心 的状态

SUCCESS

错误消息

防火墙迁移工具 显示的错误消息

null

错误说明

有关发生错误的阶段和可能的根本原因的说明

null

将 PAN 迁移到 Cisco Secure Firewall Threat Defense 2100 - 示例

- 在维护窗口之前执行以下任务

- 在维护窗口期间执行以下任务

在维护窗口之前执行以下任务

开始之前

确保已安装并部署了 管理中心。有关详细信息，请参阅相应的管理中心硬件安装指南和相应的管理中心入门指南。

过程

步骤 1

在网络中部署 Firepower 2100 系列 设备，连接接口并打开设备电源。

有关详细信息，请参阅《适用于使用管理中心的 2100 系列的思科威胁防御快速入门指南》。

步骤 2

注册 Firepower 2100 系列 设备以接受 管理中心 的管理。

有关详细信息，请参阅将设备添加到管理中心。

步骤 3

从 https://software.cisco.com/download/home/286306503/type 下载并运行最新版本的 防火墙迁移工具。

有关详细信息，请参阅 从 Cisco.com 下载防火墙迁移工具。

步骤 4

启动 防火墙迁移工具 并指定目标参数时，请确保选择注册到 管理中心 的 Firepower 2100 系列 设备。

有关详细信息，请参阅 指定防火墙迁移工具的目标参数。

步骤 5

将 接口与 威胁防御 接口映射。

注

防火墙迁移工具 允许您将 接口类型映射到 威胁防御 接口类型。

有关详细信息，请参阅映射 接口与威胁防御接口。

步骤 6

将逻辑接口映射到安全区时，点击自动创建 (Auto-Create) 以允许 防火墙迁移工具 创建新的安全区。要使用现有安全区，请手动将 逻辑接口映射到安全区。

有关详细信息，请参阅将 ASA 逻辑接口映射到安全区和接口组。

步骤 7

按照本指南的说明依次检查和验证要迁移的配置，然后将配置推送到 管理中心。

步骤 8

查看迁移后报告，手动设置其他配置并部署到 威胁防御，完成迁移。

有关详细信息，请参阅查看迁移后报告并完成迁移。

步骤 9

使用您在计划迁移时创建的测试计划测试 Firepower 2100 系列 设备。

在维护窗口期间执行以下任务

开始之前

确保您已完成所有必须在维护窗口之前执行的任务。请参阅在维护窗口之前执行以下任务。

过程

步骤 1

清除周围交换基础设施上的地址解析协议 (ARP) 缓存。

步骤 2

执行从周围交换基础设施到 Firepower 2100 系列 设备接口 IP 地址的基本 ping 测试，确保它们可访问。

步骤 3

执行从需要第 3 层路由的设备到 Firepower 2100 系列 设备接口 IP 地址的基本 ping 测试。

步骤 4

如果要为 Firepower 2100 系列 设备分配新的 IP 地址，而不是重新使用分配给 设备的 IP 地址，请执行以下步骤：

1. 更新指向该 IP 地址的任何静态路由，以使其现在指向 Firepower 2100 系列 设备 IP 地址。

2. 如果使用路由协议，请确保邻居将 Firepower 2100 系列 设备 IP 地址视为预期的下一跳目标。

步骤 5

运行全面的测试计划并监控管理 Firepower 2100 设备的 管理中心。

云交付的防火墙管理中心迁移

- 云交付的防火墙管理中心迁移

云交付的防火墙管理中心迁移

云交付的防火墙管理中心是一个用于威胁防御设备的管理平台，它通过思科防御协调器 (CDO) 交付。云交付的防火墙管理中心提供了许多与管理中心相同的功能。

您可以从 CDO 访问云交付的防火墙管理中心。CDO 通过安全设备连接器 (SDC) 连接到云交付的防火墙管理中心。有关云交付的防火墙管理中心的更多信息，请参阅使用云交付的防火墙管理中心来管理 Cisco Secure Firewall Threat Defense 设备。

Cisco Secure Firewall 迁移工具 3.0 现在支持将云交付的防火墙管理中心作为迁移的目标管理中心。

CDO 区域

CDO 可用于三个不同的区域中，并且可以使用 URL 扩展名来标识这些区域。

CDO 区域和 URL

地区

CDO URL

欧洲地区

https://defenseorchestrator.eu/

美国地区

https://defenseorchestrator.com/

总裁

https://www.apj.cdo.cisco.com/

从 CDO 门户生成 API 令牌

要从 CDO 门户生成 API 令牌，请执行以下步骤：

1. 登录到 CDO 门户。

2. 导航至设置 (Settings) > 常规设置 (General Settings) 以生成并复制 API 令牌。

Full Cisco Trademarks with Software License

THE SPECIFICATIONS AND INFORMATION REGARDING THE PRODUCTS IN THIS MANUAL ARE SUBJECT TO CHANGE WITHOUT NOTICE. ALL STATEMENTS, INFORMATION, AND RECOMMENDATIONS IN THIS MANUAL ARE BELIEVED TO BE ACCURATE BUT ARE PRESENTED WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED. USERS MUST TAKE FULL RESPONSIBILITY FOR THEIR APPLICATION OF ANY PRODUCTS.

THE SOFTWARE LICENSE AND LIMITED WARRANTY FOR THE ACCOMPANYING PRODUCT ARE SET FORTH IN THE INFORMATION PACKET THAT SHIPPED WITH THE PRODUCT AND ARE INCORPORATED HEREIN BY THIS REFERENCE. IF YOU ARE UNABLE TO LOCATE THE SOFTWARE LICENSE OR LIMITED WARRANTY, CONTACT YOUR CISCO REPRESENTATIVE FOR A COPY.

The Cisco implementation of TCP header compression is an adaptation of a program developed by the University of California, Berkeley (UCB) as part of UCB's public domain version of the UNIX operating system. All rights reserved. Copyright © 1981, Regents of the University of California.

NOTWITHSTANDING ANY OTHER WARRANTY HEREIN, ALL DOCUMENT FILES AND SOFTWARE OF THESE SUPPLIERS ARE PROVIDED “AS IS" WITH ALL FAULTS. CISCO AND THE ABOVE-NAMED SUPPLIERS DISCLAIM ALL WARRANTIES, EXPRESSED OR IMPLIED, INCLUDING, WITHOUT LIMITATION, THOSE OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT OR ARISING FROM A COURSE OF DEALING, USAGE, OR TRADE PRACTICE.

IN NO EVENT SHALL CISCO OR ITS SUPPLIERS BE LIABLE FOR ANY INDIRECT, SPECIAL, CONSEQUENTIAL, OR INCIDENTAL DAMAGES, INCLUDING, WITHOUT LIMITATION, LOST PROFITS OR LOSS OR DAMAGE TO DATA ARISING OUT OF THE USE OR INABILITY TO USE THIS MANUAL, EVEN IF CISCO OR ITS SUPPLIERS HAVE BEEN ADVISED OF THE POSSIBILITY OF SUCH DAMAGES.

Any Internet Protocol (IP) addresses and phone numbers used in this document are not intended to be actual addresses and phone numbers. Any examples, command display output, network topology diagrams, and other figures included in the document are shown for illustrative purposes only. Any use of actual IP addresses or phone numbers in illustrative content is unintentional and coincidental.

All printed copies and duplicate soft copies of this document are considered uncontrolled. See the current online version for the latest version.

Cisco has more than 200 offices worldwide. Addresses and phone numbers are listed on the Cisco website at www.cisco.com/go/offices.

The documentation set for this product strives to use bias-free language. For purposes of this documentation set, bias-free is defined as language that does not imply discrimination based on age, disability, gender, racial identity, ethnic identity, sexual orientation, socioeconomic status, and intersectionality. Exceptions may be present in the documentation due to language that is hardcoded in the user interfaces of the product software, language used based on standards documentation, or language that is used by a referenced third-party product.

Cisco and the Cisco logo are trademarks or registered trademarks of Cisco and/or its affiliates in the U.S. and other countries. To view a list of Cisco trademarks, go to this URL: https://www.cisco.com/c/en/us/about/legal/trademarks.html. Third-party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1721R)

插入概念主题参考

插入任务话题参考

插入引用话题参考