CLI ブック 1：Cisco ASA シリーズ 9.6 CLI コンフィギュレーション ガイド（一般的な操作）

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

CLI ブック 1：Cisco ASA シリーズ 9.6 CLI コンフィギュレーション ガイド（一般的な操作）

Chapter Title

論理デバイス Firepower 4100/9300

検索結果

Updated:
2020年1月15日

章のタイトル： 論理デバイス Firepower 4100/9300

論理デバイス Firepower 4100/9300

Firepower 4100/9300は柔軟なセキュリティ プラットフォームが 1 つまたは複数の論理デバイスをインストールすることができます。この章では、基本的なインターフェイスの設定、および Firepower Chassis Manager を使用したスタンドアロンまたはハイ アベイラビリティ論理デバイスの追加方法について説明します。クラスタ化された論理デバイスを追加する場合は、Firepower 4100/9300 シャーシ の ASA クラスタを参照してください。FXOS CLI を使用する場合は、FXOS CLI コンフィギュレーション ガイドを参照してください。高度な FXOS の手順とトラブルシューティングについては、FXOS コンフィギュレーション ガイドを参照してください。

Firepower インターフェイスについて

Firepower 4100/9300 シャーシは、物理インターフェイスおよび EtherChannel（ポートチャネル）インターフェイスをサポートします。EtherChannel のインターフェイスには、同じタイプのメンバ インターフェイスを最大で 16 個含めることができます。

シャーシ管理インターフェイス

シャーシ管理インターフェイスは、SSH または Firepower Chassis Manager で、FXOS シャーシの管理に使用されます。このインターフェイスは、アプリケーション管理の論理デバイスに割り当てる管理タイプのインターフェイスから分離されています。

このインターフェイスのパラメータを設定するには、CLI から設定にする必要があります。このインターフェイスについての情報を FXOS CLI で表示するには、ローカル管理に接続し、管理ポートを表示します。

FirePOWER connect local-mgmt

firepower(local-mgmt) # show mgmt-port

物理ケーブルまたは SFP モジュールが取り外されている場合や mgmt-port shut コマンドが実行されている場合でも、シャーシ管理インターフェイスは稼働状態のままである点に注意してください。

インターフェイス タイプ

各インターフェイスは、次のいずれかのタイプになります。

  • Data：通常のデータに使用します。データ インターフェイスは論理デバイス間で共有できません。データ インターフェイスを論理デバイス間で共有することはできません。また、論理デバイスからバックプレーンを介して他の論理デバイスに通信することはできません。データ インターフェイスのトラフィックの場合、すべてのトラフィックは別の論理デバイスに到達するために、あるインターフェイスでシャーシを抜け出し、別のインターフェイスで戻る必要があります。

  • Mgmt：アプリケーション インスタンスの管理に使用します。これらのインターフェイスは、外部ホストにアクセスするために 1 つまたは複数の論理デバイスで共有できます。論理デバイスが、このインターフェイスを介して、インターフェイスを共有する他の論理デバイスと通信することはできません。各論理デバイスには、管理インターフェイスを 1 つだけ割り当てることができます。

  • Firepower-eventing：FTD デバイスのセカンダリ管理インターフェイスとして使用します。このインターフェイスを使用するには、FTD CLI で IP アドレスなどのパラメータを設定する必要があります。たとえば、イベント（Web イベントなど）から管理トラフィックを分類できます。Firepower Management Center 構成ガイドのシステム設定の章にある「管理インターフェイス」のセクションを参照してください。Firepower-eventing インターフェイスは、外部ホストにアクセスするために 1 つまたは複数の論理デバイスで共有できます。論理デバイスはこのインターフェイスを介してインターフェイスを共有する他の倫理デバイスと通信することはできません。

  • Cluster：クラスタ化された論理デバイスのクラスタ制御リンクとして使用します。デフォルトでは、クラスタ制御リンクは 48 番のポートチャネル上に自動的に作成されます。このタイプは、EtherChannel インターフェイスのみでサポートされます。

シャーシとアプリケーションの独立したインターフェイスの状態

管理上、シャーシとアプリケーションの両方で、インターフェイスを有効および無効にできます。インターフェイスを動作させるには、両方のオペレーティング システムで、インターフェイスを有効にする必要があります。インターフェイスの状態は個別に制御されるので、シャーシとアプリケーションの間に不一致が生じることがあります。

論理デバイスについて

論理デバイスでは、1 つのアプリケーション インスタンス（ASA または Firepower Threat Defense のいずれか）および 1 つのオプション デコレータ アプリケーション（Radware DefensePro）を実行し、サービス チェーンを形成できます。

論理デバイスを追加するときに、アプリケーション インスタンスのタイプおよびバージョンの定義、インターフェイスの割り当て、アプリケーション構成にプッシュされるブートス トラップ設定の構成も行います。


（注）  

Firepower 9300 の場合、シャーシ内のすべてのモジュールに同じアプリケーション インスタンス タイプ（ASA または FTD）をインストールする必要があります。現時点では、異なるタイプはサポートされていません。モジュールは異なるバージョンのアプリケーション インスタンス タイプを実行できることに注意してください。

Firepower 9300 の場合、シャーシ内のすべてのモジュールに同じアプリケーション インスタンス タイプ（ASA または FTD）をインストールする必要があります。現時点では、異なるタイプはサポートされていません。モジュールは異なるバージョンのアプリケーション インスタンス タイプを実行できることに注意してください。

スタンドアロン論理デバイスとクラスタ化論理デバイス

次の論理デバイス タイプを追加できます。

  • スタンドアロン：スタンドアロン論理デバイスは、スタンドアロン ユニットまたはハイ アベイラビリティ ペアのユニットとして動作します。

  • クラスタ：クラスタ化論理デバイスを使用すると複数の装置をグループ化することで、単一デバイスのすべての利便性（管理、ネットワークへの統合）を提供し、同時に複数デバイスによる高いスループットと冗長性を実現できます。Firepower 9300 などの複数のモジュール デバイスが、シャーシ内クラスタリングをサポートします。Firepower 9300 の場合、3 つすべてのモジュールが。

ハードウェアとソフトウェアの組み合わせの要件と前提条件

Firepower 4100/9300では、複数のモデル、セキュリティモジュール、アプリケーションタイプ、および高可用性と拡張性の機能がサポートされています。許可された組み合わせについては、次の要件を参照してください。

Firepower 9300 の要件

Firepower 9300 には、3 つのセキュリティモジュール スロットと複数タイプのセキュリティモジュールが実装されています。次の要件を参照してください。

  • セキュリティモジュール タイプ：Firepower 9300 のすべてのモジュールは同じタイプである必要があります。

  • クラスタリング：クラスタ内またはシャーシ間であるかどうかにかかわらず、クラスタ内のすべてのセキュリティモジュールは同じタイプである必要があります。各シャーシに異なる数のセキュリティ モジュールをインストールできますが、すべての空のスロットを含め、シャーシのすべてのモジュールをクラスタに含める必要があります。たとえば、シャーシ 1 に 2 つの SM-36 を、シャーシ 2 に 3 つの SM-36 をインストールできます。

  • 高可用性：高可用性は Firepower 9300 の同じタイプのモジュール間でのみサポートされています。

  • ASA および FTD のアプリケーションタイプ：シャーシ、ASA、または FTD には、1 つのアプリケーションタイプのみインストールできます。

  • ASA または FTD のバージョン：個別のモジュールで異なるバージョンのアプリケーション インスタンス タイプを実行することもたとえば、モジュール 1 に FTD 6.3 を、モジュール 2 に FTD 6.4 を、モジュール 3 に FTD 6.5 をインストールできます。

Firepower 4100 の要件

Firepower 4100 は複数のモデルに搭載されています。次の要件を参照してください。

  • クラスタリング：クラスタ内のすべてのシャーシが同じモデルである必要があります。

  • 高可用性：高可用性は同じタイプのモデル間でのみサポートされています。

  • ASA および FTD のアプリケーションタイプ：Firepower 4100 は、1 つのアプリケーションタイプのみを実行できます。

論理デバイスに関する注意事項と制約事項

ガイドラインと制限事項については、以下のセクションを参照してください。

Firepower インターフェイスに関する注意事項と制約事項

次のインライン セット FTD

  • リンク ステートの伝達はサポートされます。

ハードウェア バイパス

  • FTD をサポート。ASA の通常のインターフェイスとして使用できます。

  • FTD はインライン セットでのみ ハードウェアバイパス をサポートします。

  • ハードウェアバイパス 対応のインターフェイスをブレークアウト ポート用に設定することはできません。

  • ハードウェアバイパス インターフェイスを EtherChannel に含めたり、ハードウェアバイパス 用に使用することはできません。EtherChannel で通常のインターフェイスとして使用できます。

  • ハードウェアバイパス ハイ アベイラビリティではサポートされていません。

デフォルトの MAC アドレス

デフォルトの MAC アドレスの割り当ては、インターフェイスのタイプによって異なります。

  • 物理インターフェイス：物理インターフェイスは、Burned-in MAC Address を使用します。

  • EtherChannel：EtherChannel の場合は、そのチャネル グループに含まれるすべてのインターフェイスが同じ MAC アドレスを共有します。この機能によって、EtherChannel はネットワーク アプリケーションとユーザに対してトランスペアレントになります。ネットワーク アプリケーションやユーザから見えるのは 1 つの論理接続のみであり、個々のリンクのことは認識しないためです。ポート チャネル インターフェイスは、プールからの一意の MAC アドレスを使用します。インターフェイスのメンバーシップは、MAC アドレスには影響しません。

一般的なガイドラインと制限事項

ファイアウォール モード

FTD のブートストラップ設定でファイアウォール モードをルーテッドまたはトランスペアレントに設定できます。 ASA の場合、展開後に、ファイアウォール モードをトランスペアレントに変更することができます。 ASA のトランスペアレント ファイアウォール モードへの変更を参照してください。

ハイ アベイラビリティ

  • アプリケーション設定内でハイアベイラビリティを設定します。

  • 任意のデータ インターフェイスをフェールオーバー リンクおよびステート リンクとして使用できます。

  • ハイ アベイラビリティ フェールオーバーを設定される 2 つのユニットは、次の条件を満たしている必要があります。

    • 同じモデルであること。

    • ハイ アベイラビリティ論理デバイスに同じインターフェイスが割り当てられていること。

    • インターフェイスの数とタイプが同じであること。ハイ アベイラビリティを有効にする前に、すべてのインターフェイスを FXOS で事前に同じ設定にすること。

  • 詳細については、 フェールオーバー のシステム要件を参照してください。

コンテキスト モード

  • ASA ではマルチ コンテキスト モードはサポートされていません。

  • 展開後に、ASA のマルチ コンテキスト モードを有効にします。

  • の で TLS 暗号化アクセラレーション を有効にできます。

インターフェイスの設定

デフォルトでは、物理インターフェイスはディセーブルになっています。インターフェイスを有効にし、EtherChannels、、インターフェイス プロパティを編集して。


（注）  

FXOS でインターフェイスを削除した場合（たとえば、ネットワーク モジュールの削除、EtherChannel の削除、または EtherChannel へのインターフェイスの再割り当てなど）、必要な調整を行うことができるように、ASA 設定では元のコマンドが保持されます。設定からインターフェイスを削除すると、幅広い影響が出る可能性があります。ASA OS の古いインターフェイス設定は手動で削除できます。

物理インターフェイスの設定

インターフェイスを物理的に有効および無効にすること、およびインターフェイスの速度とデュプレックスを設定することができます。インターフェイスを使用するには、インターフェイスを FXOS で物理的に有効にし、アプリケーションで論理的に有効にする必要があります。

始める前に

  • すでに EtherChannel のメンバーであるインターフェイスは個別に変更できません。EtherChannel に追加する前に、設定を行ってください。

手順

ステップ 1

インターフェイス モードに入ります。

scope eth-uplink

scope fabric a

ステップ 2

インターフェイスをイネーブルにします。

enter interface interface_id

enable

例:


Firepower /eth-uplink/fabric # enter interface Ethernet1/8
Firepower /eth-uplink/fabric/interface # enable
（注）   

すでにポートチャネルのメンバであるインターフェイスは個別に変更できません。ポート チャネルのメンバーであるインターフェイスで enter interface コマンドまたは scope interface コマンドを使用すると、オブジェクトが存在しないことを示すエラーを受け取ります。ポートチャネルに追加する前に、enter interface コマンドを使用してインターフェイスを編集する必要があります。

ステップ 3

（オプション）インターフェイス タイプを設定します。

set port-type {data | mgmt | firepower-eventing | cluster}

例:


Firepower /eth-uplink/fabric/interface # set port-type mgmt

data キーワードがデフォルトのタイプです。cluster キーワードは選択しないでください。デフォルトでは、クラスタ制御リンクはポートチャネル 48 に自動的に作成されます。

ステップ 4

インターフェイスでサポートされている場合、自動ネゴシエーションを有効化または無効化します。

set auto-negotiation {on | off}

例:


Firepower /eth-uplink/fabric/interface* # set auto-negotiation off
ステップ 5

インターフェイスの速度を設定します。

set admin-speed {10mbps | 100mbps | 1gbps | 10gbps | 40gbps | 100gbps}

例:


Firepower /eth-uplink/fabric/interface* # set admin-speed 1gbps
ステップ 6

インターフェイスのデュプレックス モードを設定します。

set admin-duplex {fullduplex | halfduplex}

例:


Firepower /eth-uplink/fabric/interface* # set admin-duplex halfduplex
ステップ 7

デフォルトのフロー制御ポリシーを編集した場合は、インターフェイスにすでに適用されています。新しいポリシーを作成した場合は、そのポリシーをインターフェイスに適用します。

set flow-control-policy name

例:


Firepower /eth-uplink/fabric/interface* # set flow-control-policy flow1
ステップ 8

設定を保存します。

commit-buffer

例:


Firepower /eth-uplink/fabric/interface* # commit-buffer
Firepower /eth-uplink/fabric/interface #

EtherChannel（ポート チャネル）の追加

EtherChannel（別名ポート チャネル）には、同じタイプのメンバー インターフェイスを最大 16 個含めることができます。リンク集約制御プロトコル（LACP）では、2 つのネットワーク デバイス間でリンク集約制御プロトコル データ ユニット（LACPDU）を交換することによって、インターフェイスが集約されます。

各メンバー インターフェイスが LACP 更新を送受信するように、Firepower 4100/9300 シャーシは Etherchannel をアクティブ LACP モードでしかサポートしません。アクティブ EtherChannel は、アクティブまたはパッシブ EtherChannel と接続を確立できます。LACP トラフィックを最小にする必要がある場合以外は、アクティブ モードを使用する必要があります。

LACP では、ユーザが介入しなくても、EtherChannel へのリンクの自動追加および削除が調整されます。また、コンフィギュレーションの誤りが処理され、メンバ インターフェイスの両端が正しいチャネル グループに接続されていることがチェックされます。

Firepower 4100/9300 シャーシが EtherChannel を作成すると、EtherChannel は [一時停止（Suspended）] 状態になり、物理リンクがアップしても論理デバイスに割り当てるまでそのままになります。EtherChannel は次のような状況でこの [Suspended] 状態になります。

  • EtherChannel がスタンドアロン論理デバイスのデータまたは管理インターフェイスとして追加された

  • EtherChannel がクラスタの一部である論理デバイスの管理インターフェイスまたは Cluster Control Link として追加された

  • EtherChannel がクラスタの一部である論理デバイスのデータ インターフェイスとして追加され、少なくとも 1 つのユニットがクラスタに参加している

EtherChannel は論理デバイスに割り当てるまで動作しないことに注意してください。EtherChannel が論理デバイスから削除された場合や論理デバイスが削除された場合は、EtherChannel が [一時停止（Suspended）] 状態に戻ります。

手順

ステップ 1

インターフェイス モードを開始します。

scope eth-uplink

scope fabric a

ステップ 2

ポートチャネルを作成します。

create port-channel ID

enable

ステップ 3

メンバ インターフェイスを割り当てます。

create member-port interface_id

例:


Firepower /eth-uplink/fabric/port-channel* # create member-port Ethernet1/1
Firepower /eth-uplink/fabric/port-channel/member-port* # exit
Firepower /eth-uplink/fabric/port-channel* # create member-port Ethernet1/2 
Firepower /eth-uplink/fabric/port-channel/member-port* # exit
Firepower /eth-uplink/fabric/port-channel* # create member-port Ethernet1/3 
Firepower /eth-uplink/fabric/port-channel/member-port* # exit
Firepower /eth-uplink/fabric/port-channel* # create member-port Ethernet1/4
Firepower /eth-uplink/fabric/port-channel/member-port* # exit
ステップ 4

（任意） インターフェイス タイプを設定します。

set port-type {data | mgmt | firepower-eventing | cluster}

例:


Firepower /eth-uplink/fabric/port-channel # set port-type data

data キーワードがデフォルトのタイプです。デフォルトの代わりにこのポートチャネルをクラスタ制御リンクとして使用する場合以外は、cluster キーワードを選択しないでください。

ステップ 5

（任意） ポートチャネルのすべてのメンバーのインターフェイス速度を設定します。

set speed {10mbps | 100mbps | 1gbps | 10gbps | 40gbps | 100gbps}

例:


Firepower /eth-uplink/fabric/port-channel* # set speed 1gbps
ステップ 6

（任意） ポートチャネルのすべてのメンバーのデュプレックスを設定します。

set duplex {fullduplex | halfduplex}

例:


Firepower /eth-uplink/fabric/port-channel* # set duplex fullduplex
ステップ 7

インターフェイスでサポートされている場合、自動ネゴシエーションを有効化または無効化します。

set auto-negotiation {on | off}

例:


Firepower /eth-uplink/fabric/interface* # set auto-negotiation off
ステップ 8

デフォルトのフロー制御ポリシーを編集した場合は、インターフェイスにすでに適用されています。新しいポリシーを作成した場合は、そのポリシーをインターフェイスに適用します。

set flow-control-policy name

例:


Firepower /eth-uplink/fabric/interface* # set flow-control-policy flow1
ステップ 9

設定をコミットします。

commit-buffer

論理デバイスの設定

Firepower 4100/9300 シャーシに、スタンドアロン論理デバイスまたはハイ アベイラビリティ ペアを追加します 。

クラスタ リングについては、を参照してください。

スタンドアロン ASA の追加

スタンドアロンの論理デバイスは、単独またはハイ アベイラビリティ ペアで動作します。複数のセキュリティモジュールを搭載する Firepower 9300 では、クラスタまたはスタンドアロンデバイスのいずれかを展開できます。クラスタはすべてのモジュールを使用する必要があるため、たとえば、2 モジュール クラスタと単一のスタンドアロン デバイスをうまく組み合わせることはできません。

Firepower 4100/9300 シャーシからルーテッド ファイアウォール モード ASA を展開できます。ASA をトランスペアレント ファイアウォール モードに変更するには、この手順を完了し、ASA のトランスペアレント ファイアウォール モードへの変更を参照してください。

マルチ コンテキスト モードの場合、最初に論理デバイスを展開してから、ASA アプリケーションでマルチ コンテキスト モードを有効にする必要があります。

始める前に

  • 論理デバイスに使用するアプリケーション イメージを Cisco.com からダウンロードして、そのイメージを Firepower 4100/9300 シャーシ にダウンロードします。


    （注）  

    Firepower 9300 の場合、シャーシ内のすべてのモジュールに同じアプリケーション インスタンス タイプ（ASA または FTD）をインストールする必要があります。現時点では、異なるタイプはサポートされていません。モジュールは異なるバージョンのアプリケーション インスタンス タイプを実行できることに注意してください。

    Firepower 9300 の場合、シャーシ内のすべてのモジュールに同じアプリケーション インスタンス タイプ（ASA または FTD）をインストールする必要があります。現時点では、異なるタイプはサポートされていません。モジュールは異なるバージョンのアプリケーション インスタンス タイプを実行できることに注意してください。

  • 論理デバイスで使用する管理インターフェイスを設定します。管理インターフェイスが必要です。この管理インターフェイスは、シャーシの管理のみに使用されるシャーシ管理ポートと同じではありません（FXOS では、MGMT、management0 のような名前で表示されます）。

  • 次の情報を用意します。

    • このデバイスのインターフェイス ID

    • 管理インターフェイス IP アドレスとネットワーク マスク

    • ゲートウェイ IP アドレス

手順

ステップ 1

セキュリティ サービス モードを開始します。

scope ssa

例:


Firepower# scope ssa
Firepower /ssa #
ステップ 2

アプリケーション インスタンスのイメージ バージョンを設定します。

  1. 使用可能なイメージを表示します。使用するバージョン番号をメモします。

    show app

    例:

    
Firepower /ssa # show app
    Name       Version         Author     Supported Deploy Types CSP Type    Is Default App
    ---------- --------------- ---------- ---------------------- ----------- --------------
    asa        9.9.1           cisco      Native                 Application No
    asa        9.10.1          cisco      Native                 Application Yes
    ftd        6.2.3           cisco      Native                 Application Yes

  2. セキュリティ モジュール/エンジン スロットに範囲を設定します。

    scope slot slot_id

    slot_id は、Firepower 4100 の場合は常に 1、Firepower 9300 の場合は 1、2、または 3 です。

    例:

    
Firepower /ssa # scope slot 1
Firepower /ssa/slot #

  3. アプリケーション インスタンスを作成します。

    enter app-instance asa

    例:

    
Firepower /ssa/slot # enter app-instance asa
Firepower /ssa/slot/app-instance* #

  4. ASA イメージバージョンを設定します。

    set startup-version version

    例:

    
Firepower /ssa/slot/app-instance* # set startup-version 9.10.1

  5. スロット モードを終了します。

    exit

    例:

    
Firepower /ssa/slot/app-instance* # exit
Firepower /ssa/slot* #

  6. 終了して ssa モードを開始します。

    exit

    例:

    
Firepower /ssa/slot* # exit
Firepower /ssa* #

例:


Firepower /ssa # scope slot 1
Firepower /ssa/slot # enter app-instance asa
Firepower /ssa/slot/app-instance* # set startup-version 9.10.1
Firepower /ssa/slot/app-instance* # exit
Firepower /ssa/slot* # exit
Firepower /ssa* #
ステップ 3

論理デバイスを作成します。

enter logical-device device_name asa slot_id standalone

例:


Firepower /ssa # enter logical-device ASA1 asa 1 standalone
Firepower /ssa/logical-device* #
ステップ 4

管理インターフェイスとデータインターフェイスを論理デバイスに割り当てます。各インターフェイスに対して、手順を繰り返します。

create external-port-link name interface_id asa

set description description

exit

  • name ：この名前は Firepower 4100/9300 シャーシ スーパバイザによって使用されます。これは ASA の設定で使用するインターフェイス名ではありません。

  • description ：フレーズを引用符（"）で囲み、スペースを追加します。

管理インターフェイスは、シャーシ管理ポートとは異なります。ASA のデータ インターフェイスを後で有効にして設定します。これには、IP アドレスの設定も含まれます。

例:



Firepower /ssa/logical-device* # create external-port-link inside Ethernet1/1 asa
Firepower /ssa/logical-device/external-port-link* # set description "inside link"
Firepower /ssa/logical-device/external-port-link* # exit
Firepower /ssa/logical-device* # create external-port-link management Ethernet1/7 asa
Firepower /ssa/logical-device/external-port-link* # set description "management link"
Firepower /ssa/logical-device/external-port-link* # exit
Firepower /ssa/logical-device* # create external-port-link outside Ethernet1/2 asa
Firepower /ssa/logical-device/external-port-link* # set description "external link"
Firepower /ssa/logical-device/external-port-link* # exit
ステップ 5

管理ブートストラップ情報を設定します。

  1. ブートストラップ オブジェクトを作成します。

    create mgmt-bootstrap asa

    例:

    
Firepower /ssa/logical-device* # create mgmt-bootstrap asa
Firepower /ssa/logical-device/mgmt-bootstrap* #

  2. admin とを指定します。

    create bootstrap-key-secret PASSWORD

    set value

    値の入力：password

    値の確認：password

    exit

    例:

    事前設定されている ASA 管理者ユーザはパスワードの回復時に役立ちます。FXOS アクセスができる場合、管理者ユーザ パスワードを忘れたときにリセットできます。

    例:

    
Firepower /ssa/logical-device/mgmt-bootstrap* # create bootstrap-key-secret PASSWORD
Firepower /ssa/logical-device/mgmt-bootstrap/bootstrap-key-secret* # set value
Enter a value: floppylampshade
Confirm the value: floppylampshade
Firepower /ssa/logical-device/mgmt-bootstrap/bootstrap-key-secret* # exit
Firepower /ssa/logical-device/mgmt-bootstrap* #

  3. IPv4 管理インターフェイスの設定を行います。

    create ipv4 slot_id default

    set ip ip_address mask network_mask

    set gateway gateway_address

    exit

    例:

    
Firepower /ssa/logical-device/mgmt-bootstrap* # create ipv4 1 default
Firepower /ssa/logical-device/mgmt-bootstrap/ipv4* # set ip 10.10.10.34 mask 255.255.255.0
Firepower /ssa/logical-device/mgmt-bootstrap/ipv4* # set gateway 10.10.10.1
Firepower /ssa/logical-device/mgmt-bootstrap/ipv4* # exit
Firepower /ssa/logical-device/mgmt-bootstrap* #

  4. IPv6 管理インターフェイスの設定を行います。

    create ipv6 slot_id default

    set ip ip_address prefix-length prefix

    set gateway gateway_address

    exit

    例:

    
Firepower /ssa/logical-device/mgmt-bootstrap* # create ipv6 1 default
Firepower /ssa/logical-device/mgmt-bootstrap/ipv6* # set ip 2001:0DB8:BA98::3210 prefix-length 64
Firepower /ssa/logical-device/mgmt-bootstrap/ipv6* # set gateway 2001:0DB8:BA98::3211
Firepower /ssa/logical-device/mgmt-bootstrap/ipv6* # exit
Firepower /ssa/logical-device/mgmt-bootstrap* #

  5. 管理ブートストラップ モードを終了します。

    exit

    例:

    
Firepower /ssa/logical-device/mgmt-bootstrap* # exit
Firepower /ssa/logical-device* #
ステップ 6

設定を保存します。

commit-buffer

シャーシは、指定したソフトウェアバージョンをダウンロードし、アプリケーション インスタンスにブートストラップ設定と管理インターフェイス設定をプッシュすることで、論理デバイスを導入します。show app-instance コマンドを使用して、導入のステータスを確認します。[Admin State] が [Enabled] で、[Oper State] が [Online] の場合、アプリケーション インスタンスは実行中であり、使用できる状態になっています。

例:


Firepower /ssa/logical-device* # commit-buffer
Firepower /ssa/logical-device # exit
Firepower /ssa # show app-instance
App Name   Identifier Slot ID    Admin State Oper State       Running Version Startup Version Deploy Type Profile Name Cluster State   Cluster Role
---------- ---------- ---------- ----------- ---------------- --------------- --------------- ----------- ------------ --------------- ------------
asa        asa1       2          Disabled    Not Installed                    9.12.1          Native                   Not Applicable  None
ftd        ftd1       1          Enabled     Online           6.4.0.49        6.4.0.49        Container   Default-Small Not Applicable  None
ステップ 7

セキュリティ ポリシーの設定を開始するには、ASA コンフィギュレーション ガイドを参照してください。

例


Firepower# scope ssa
Firepower /ssa # scope slot 1
Firepower /ssa/slot # enter app-instance asa
Firepower /ssa/slot/app-instance* # set startup-version 9.10.1
Firepower /ssa/slot/app-instance* # exit
Firepower /ssa/slot* # exit
Firepower /ssa* # create logical-device MyDevice1 asa 1 standalone
Firepower /ssa/logical-device* # create external-port-link inside Ethernet1/1 asa
Firepower /ssa/logical-device/external-port-link* # set description "inside link"
Firepower /ssa/logical-device/external-port-link* # exit
Firepower /ssa/logical-device* # create external-port-link management Ethernet1/7 asa
Firepower /ssa/logical-device/external-port-link* # set description "management link"
Firepower /ssa/logical-device/external-port-link* # exit
Firepower /ssa/logical-device* # create external-port-link outside Ethernet1/2 asa
Firepower /ssa/logical-device/external-port-link* # set description "external link"
Firepower /ssa/logical-device/external-port-link* # exit
Firepower /ssa/logical-device* # create mgmt-bootstrap asa
Firepower /ssa/logical-device/mgmt-bootstrap* # create bootstrap-key-secret PASSWORD
Firepower /ssa/logical-device/mgmt-bootstrap/bootstrap-key-secret* # set value
Enter a value: secretglassine
Confirm the value: secretglassine
Firepower /ssa/logical-device/mgmt-bootstrap/bootstrap-key-secret* # exit
Firepower /ssa/logical-device/mgmt-bootstrap* # create ipv4 1 default
Firepower /ssa/logical-device/mgmt-bootstrap/ipv4* # set gateway 10.0.0.1
Firepower /ssa/logical-device/mgmt-bootstrap/ipv4* # set ip 10.0.0.31 mask 255.255.255.0
Firepower /ssa/logical-device/mgmt-bootstrap/ipv4* # exit
Firepower /ssa/logical-device/mgmt-bootstrap/bootstrap-key* # commit-buffer
Firepower /ssa/logical-device/mgmt-bootstrap/bootstrap-key #

ハイ アベイラビリティ ペアの追加

または ASA ハイ アベイラビリティ（フェールオーバーとも呼ばれます）は、FXOS ではなくアプリケーション内で設定されます。ただし、ハイ アベイラビリティのシャーシを準備するには、次の手順を参照してください。

始める前に

  • ハイ アベイラビリティ フェールオーバーを設定される 2 つのユニットは、次の条件を満たしている必要があります。

    • 同じモデルであること。

    • ハイ アベイラビリティ論理デバイスに同じインターフェイスが割り当てられていること。

    • インターフェイスの数とタイプが同じであること。ハイ アベイラビリティを有効にする前に、すべてのインターフェイスを FXOS で事前に同じ設定にすること。

  • 高可用性システム要件については、 フェールオーバー のシステム要件を参照してください。

手順

ステップ 1

各論理デバイスは個別のシャーシ上にある必要があります。Firepower 9300 のシャーシ内のハイ アベイラビリティは推奨されず、サポートされない可能性があります。
ステップ 2

各論理デバイスに同一のインターフェイスを割り当てます。
ステップ 3

フェールオーバー リンクとステート リンクに 1 つまたは 2 つのデータ インターフェイスを割り当てます。

これらのインターフェイスは、2 つのシャーシ間でハイ アベイラビリティ トラフィックを交換します。統合されたフェールオーバー リンクとステート リンクには、10 GB のデータ インターフェイスを使用することを推奨します。別のフェールオーバーおよび状態のリンクを使用できます使用可能なインターフェイスがあれば、状態のリンクには、ほとんどの帯域幅が必要です。フェールオーバー リンクまたはステート リンクに管理タイプのインターフェイスを使用することはできません。同じネットワーク セグメント上で他のデバイスをフェールオーバー インターフェイスとして使用せずに、シャーシ間でスイッチを使用することをお勧めします。

ステップ 4

論理デバイスでハイ アベイラビリテを有効にします。 ハイ アベイラビリティのためのフェールオーバーを参照してください。
ステップ 5

ハイ アベイラビリティを有効にした後でインターフェイスを変更する必要がある場合は、最初にスタンバイ装置で変更を実行してから、アクティブ装置で変更を実行します。

（注）   

ASA の場合、FXOS でインターフェイスを削除すると（たとえば、ネットワーク モジュールの削除、EtherChannel の削除、または EtherChannel へのインターフェイスの再割り当てなど）、必要な調整を行うことができるように、ASA 設定では元のコマンドが保持されます。設定からインターフェイスを削除すると、幅広い影響が出る可能性があります。ASA OS の古いインターフェイス設定は手動で削除できます。

ASA のトランスペアレント ファイアウォール モードへの変更

Firepower 4100/9300 シャーシのルーテッド ファイアウォール モード ASA のみを導入できます。ASA をトランスペアレント ファイアウォール モードに変更するには、初期導入を完了し、ASA CLI 内でファイアウォール モードを変更します。スタンドアロン ASA の場合、ファイアウォールモードを変更すると設定が消去されるため、Firepower 4100/9300 シャーシ から設定を再展開して、ブートストラップ設定を回復する必要があります。ASA はトランスペアレント モードのままで、ブートストラップ設定が機能した状態になっています。クラスタ化 ASA の場合、設定は消去されないため、FXOS からブートストラップ設定を再導入する必要はありません。

手順

ステップ 1

アプリケーションのコンソールへの接続に従って、ASA コンソールに接続します。クラスタの場合、プライマリ ユニットに接続します。フェールオーバー ペアの場合、アクティブ ユニットに接続します。

ステップ 2

コンフィギュレーション モードに入ります。

enable

configure terminal

デフォルトでは、イネーブル パスワードは空白です。
ステップ 3

ファイアウォール モードをトランスペアレントに設定します。

firewall transparent

ステップ 4

設定を保存します。

write memory

クラスタまたはフェールオーバー ペアの場合、この設定はセカンダリ ユニットに複製されます。


asa(config)# firewall transparent
asa(config)# write memory
Building configuration...
Cryptochecksum: 9f831dfb 60dffa8c 1d939884 74735b69

3791 bytes copied in 0.160 secs
[OK]
asa(config)#
Beginning configuration replication to Slave unit-1-2
 End Configuration Replication to slave.

asa(config)#
ステップ 5

Firepower Chassis Manager の [Logical Devices] ページで、[Edit] アイコンをクリックして ASA を編集します。

[Provisioning] ページが表示されます。

ステップ 6

デバイスのアイコンをクリックして、ブートストラップ設定を編集します。設定の値を変更し、[OK] をクリックします。

少なくとも 1 つのフィールド（[Password] フィールドなど）の値を変更する必要があります。

ブートストラップ設定の変更に関する警告が表示されます。[Yes] をクリックします。

ステップ 7

ASA に設定を再配置する保存をクリックします。シャーシ間クラスタまたはフェールオーバー ペアの場合、各シャーシでステップ 5 ～ 7 を繰り返してブートストラップ設定を再導入します。

シャーシ/セキュリティ モジュールがリロードし、ASA が再度稼働するまで数分待ちます。ASA は、これでブートストラップ設定が機能するようになりますが、トランスペアレント モードのままです。

ASA 論理デバイスのインターフェイスの変更

ASA 論理デバイスでは、管理インターフェイスの割り当て、割り当て解除、または置き換えを行うことができます。ASDM は、新しいインターフェイスを自動的に検出します。

新しいインターフェイスを追加したり、未使用のインターフェイスを削除したりしても、ASA の設定に与える影響は最小限です。ただし、FXOS で割り当てられたインターフェイスを削除する場合（ネットワーク モジュールの削除、EtherChannel の削除、割り当てられたインターフェイスの EtherChannel への再割り当てなど）、そのインターフェイスがセキュリティポリシーで使用されると、削除は ASA の設定に影響を与えます。この場合、ASA 設定では元のコマンドが保持されるため、必要な調整を行うことができます。ASA OS の古いインターフェイス設定は手動で削除できます。


（注）  

論理デバイスに影響を与えずに、割り当てられた EtherChannel のメンバーシップを編集できます。

始める前に

  • 物理インターフェイスの設定およびEtherChannel（ポート チャネル）の追加に従って、インターフェイスを設定し、EtherChannel を追加します。

  • すでに割り当てられているインターフェイスを EtherChannel に追加するには（たとえば、デフォルトではすべてのインターフェイスがクラスタに割り当てられます）、まず論理デバイスからインターフェイスの割り当てを解除し、次に EtherChannel にインターフェイスを追加する必要があります。新しい EtherChannel の場合、デバイスに EtherChannel を割り当てることができます。

  • クラスタ リングまたはフェールオーバーを追加するか、すべてのユニット上のインターフェイスの削除を確認します。最初にスレーブ/スタンバイ ユニットでインターフェイスを変更してから、マスター/アクティブ ユニットで変更することをお勧めします。新しいインターフェイスは管理上ダウンした状態で追加されるため、インターフェイス モニタリングに影響を及ぼしません。

手順

ステップ 1

セキュリティ サービス モードを開始します。

Firepower# scope ssa

ステップ 2

論理デバイスを編集します。

Firepower /ssa # scope logical-device device_name

ステップ 3

論理デバイスからインターフェイスの割り当てを解除します。

Firepower /ssa/logical-device # delete external-port-link name

show external-port-link コマンドを入力して、インターフェイス名を表示します。

管理インターフェイスの場合、新しい管理インターフェイスを追加する前に、現在のインターフェイスを削除し、commit-buffer コマンドを使用して変更をコミットします。

ステップ 4

論理デバイスに新しいインターフェイスを割り当てます。

Firepower /ssa/logical-device* # create external-port-link name interface_id asa

ステップ 5

設定をコミットします。

commit-buffer

トランザクションをシステムの設定にコミットします。

アプリケーションのコンソールへの接続

次の手順に従ってアプリケーションのコンソールに接続します。

手順

ステップ 1

、モジュール CLI に接続します。

connect module slot_number console

複数のセキュリティ モジュールをサポートしないデバイスのセキュリティ エンジンに接続するには、slot_number として 1 を使用します。

例:


Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>
ステップ 2

アプリケーションのコンソールに接続します。 デバイスの適切なコマンドを入力します。

connect asa

connect ftd

connect vdp

例:


Firepower-module1> connect asa 
Connecting to asa(asa1) console... hit Ctrl + A + D  to return to bootCLI
[...]
asa>
ステップ 3

アプリケーション コンソールを終了して FXOS モジュール CLI に移動します。

  • ASA：Ctrl-a, d と入力

  • FTD： と入力

  • vDP：Ctrl-], . と入力

ステップ 4

FXOS CLI のスーパバイザ レベルに戻ります。

  1. ~ と入力

    Telnet アプリケーションに切り替わります。

  2. Telnet アプリケーションを終了するには、次を入力します。

    telnet>quit

論理デバイスの履歴

機能

バージョン

詳細

Firepower 4100 シリーズ のサポート

9.6(1)

FXOS 1.1.4 では、ASA クラスタリングは、Firepower 4100 シリーズ のシャーシ間クラスタリングをサポートします。

変更されたコマンドはありません。

6 つのモジュールのシャーシ間クラスタリング、および FirePOWER 9300 ASA アプリケーションのサイト間クラスタリング

9.5(2.1)

FXOS 1.1.3 では、シャーシ間、さらにサイト間クラスタリングを有効にできます。最大 6 つのシャーシに最大 6 つのモジュールを含めることができます。

変更されたコマンドはありません。

Firepower 9300 用シャーシ内 ASA クラスタリング

9.4（1.150）

FirePOWER 9300 シャーシ内では、最大 3 つセキュリティ モジュールをクラスタ化できます。シャーシ内のすべてのモジュールは、クラスタに属している必要があります。

次のコマンドを導入しました。cluster replication delay、debug service-module、management-only individual、show cluster chassis

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ