2024年8月29日 (木) 09:04時点における版

Cisco の Adaptive Secure Appliance (ASA) の後継として、Firepower がリリースされています。

このページでは Firepower の動作についてまとめています。

Cisco コミュニティのまとめページ

Firepower のアーキテクチャ

FPR2100 以外の製品でソフトウェア転送となっており、基本的に ASIC を使用しません。

2100シリーズのデバイスは他のデバイスと大きく異なり、特定用途向け集積回路(ASIC)が存在します。 
従来のASA機能(Lina)はすべてASIC上で実行され、次世代ファイアウォール(NGFW)機能（Snort、
URLフィルタリングなど）はすべて従来のx86アーキテクチャ上で実行されます。

ASA と Firepower の違い

ASA

以前販売されていたアプライアンス製品で、レイヤ 4 までのフィルタリング、VPN などが動作する。

Firepower 上でも ASA OS として動作させることが可能な製品が存在する。

Firepower

仮想基盤を元にした、プラットフォーム (サーバ) 製品となった。

Firepower eXtensible Operating System (FXOS) を仮想基盤として、2 つの動作モードが存在する。

ASA アプライアンスモード
- レイヤ 4 までのフィルタリング、VPN 機能などを備える
- ASA 導入済みで NGFW 機能が必要のない、DMZ 用クラシック FW に向いている
- ASA のコンフィグや運用は、ほぼそのまま踏襲可能
FTD プラットフォームモード
- レイヤ 7 までを含み、脅威の監査などを行う
- IPS / NGFW / FTD

FXOS は上記 ASA / FTD を、qemu / libvirt により VM もしくはコンテナとして動作させている。

動作モード

機種によっても動作可能なモードが異なり、両対応の場合はモード変更を行うことが可能。

また、ASA OS から FXOS , FXOS から ASA OS にログインすることもできる。

Firepower 1000 シリーズ : ASA アプライアンスモード
Firepower 2100 シリーズ : ASA アプライアンスモード、FTD プラットフォームモード
Firepower 3100 シリーズ : ASA アプライアンスモード、FTD プラットフォームモード
Firepower 4100 シリーズ : FTD プラットフォームモード
Firepower 9300 シリーズ : FTD プラットフォームモード

機能によってはどちらかの OS でのみ対応する場合があるため、切り替えて確認が必要な状況がある。

Firepower Management Center (FMC)

Cisco Defense Orchestrator (CDO)

詳細は以下のドキュメントが詳しい。

Firepower1000/2100/3100シリーズ: ASA アプライアンスモードの概要紹介

冗長化

Firepower System: FTD HA: FTD冗長構成の組み方とトラブルシューティング (FMC利用時)

バックアップ・リストア

FMC で複数の FTD 統合管理している場合、コンフィグのバックアップを FMC に保存するか、FTD に保存するか検討する必要があります。

また、機能によってはリストアに対応しない機能もあります。

Firepower System 6.3以降: FTDのバックアップとリストア方法 (FMC管理時)

・FPR4100/9300利用時は、シャーシ管理用のOSであるFXOSの、バックアップとリストアが別途必要です。
・Flexconfigや、VPN、Certificate設定はリストアに対応しておらず、FTDリストア後の再設定が必要です

注意するべき内容

Portchannel のステータスが ASA OS から確認できない

ASA では Portchannel を管理せず、仮想基盤である FXOS で管理するようになったため。

Firepower2100-ASA: EtherChannelの設定確認方法

ASA for Firepower2100 シリーズでは、主にFXOSのCLIからEtherchannelの設定確認コマンドを実施します。

ASA から FXOS にコンソールを切り替えて、コマンドを実施します。

show portchannel summary (上記 URL から引用)

firepower-2110# connect local-mgmt
firepower-2110(local-mgmt)#
firepower-2110(local-mgmt)# show portchannel summary
Flags:  D - Down        P - Up in port-channel (members)
I - Individual  H - Hot-standby (LACP only)
s - Suspended   r - Module-removed
S - Switched    R - Routed
U - Up (port-channel)
M - Not in use. Min-links not met
--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports
      Channel
--------------------------------------------------------------------------------

1     Po1(U)      Eth      LACP      Eth1/3(P)    Eth1/4(P)

その他のコマンドは上述の外部リンクの内容を参照してください。

電源 off / 再起動は明示的に実施する

Firepower は仮想基盤上で FTD or ASA が動作するようになったため、電源 off , 再起動はコマンドや GUI から明示的に実施する必要があります。

Firepower System: FMCと FTDと FirePOWER Moduleの再起動手順

Caution:

電源ケーブルの抜き差しや、電源ボタンのOFF/ONでの 再起動や システム停止は避けてください。 設定やデータベース情報などの破損やロストの原因に繋がる恐れがあります。

ちなみに ASA アプライアンスモード中に電源スイッチで off にした場合、シャットダウンスクリプトが動作する Graceful Shutdown である ^[1] ため、安全に切れるようになっています。

データベース破損による再インストールが発生しかねない危険な作業は、電源ケーブルの直接抜去です。

FXOS: シャーシ再起動と停止方法 (FPR1000/FPR2100/FPR3100/FPR4100/FPR9300)

FPR1000/2100/3100シリーズでFTDを利用時の再起動や停止方法を教えてください
再起動や停止をCLIから実施する場合は、再起動はFTDのCLIプロンプトから reboot コマンドで可能です。FXOSも自動で再起動が行われます。

firepower# connect ftd
>
>
> reboot

シャットダウンは、FTDのCLIプロンプトから shutdownコマンドで可能です。

> shutdown
This command will shutdown the system. Continue?
Please enter 'YES' or 'NO': YES

インターフェースモードのパッシブコマンドは LACP の passive と異なり、キャプチャ (SPAN) によるモニターモードを意味する

Cisco Firepower Threat Defense コンフィギュレーションガイド（Firepower Device Manager バージョン 6.4.0 用）

インターフェイス モード

インターフェイスごとに、次のいずれかのモードを設定できます。

ルーテッド

各レイヤ 3 ルーテッド インターフェイスに、固有のサブネット上の IP アドレスが必要です。通常、これらのインターフェイスをスイッチ、別のルータ上のポート、または ISP/WAN ゲートウェイに接続します。

パッシブ

パッシブ インターフェイスは、スイッチ SPAN（スイッチド ポート アナライザ）またはミラー ポートを使用してネットワーク全体を流れるトラフィックをモニタします。

FMC から FTD が削除できない

FTD がオフラインの場合、FMC で当該ホストの削除はやめておいたほうが良いらしいです。

Firepower System: FMCからのデバイス登録の強制削除方法

CLI

FTD / ASA を移動する

FXOS: FTD: OSの構造とコマンドプロンプトの移動方法

FTD から ASA に CLI を変更し、ping 試験を行う

FTD: CLIからのPING試験について

system support diagnostic-cli

推奨バージョン

Cisco Secure Firewall ASA Compatibility

Verup

FirepowerアプライアンスでのASA HAペアのアップグレード

Cisco Secure Firewall ASA アップグレードガイド

アクティブ/スタンバイフェールオーバーペアのアップグレード

リファレンス

TECSEC-3004 - Troubleshooting Firepower Threat Defense like a TAC Engineer

脆弱性・不具合情報

【注意喚起】ASA 9.16/FTD 7.0系の FPR2100 シリーズが起動後 125日前後で再起動する問題について

Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software ICMPv6 Message Processing Denial of Service Vulnerability

CVE-2023-20086
CSCwd77581

コマンドリスト

作業日、全作業の事前・事後ログに取りたいコマンドのリスト。

作業中はコンフィグを変更する機能に絞って、変更前と変更後に取得して、Winmerge で比較し差分が妥当であるか確認します。

Catalyst 9000 シリーズ事前・事後ログリスト
大区分	小区分	コマンド	備考
ターミナル設定		terminal pager 0 terminal monitor
サポート		show tech-support
Common	System Management	show version show running-config more system:running-config ^[2] show logging show ntp associations	IOS-XE Version , ライセンス動作中のコンフィグメモリに保存された log NTP 同期
Layer1	Hardware	show facility-alarm status
Layer1	Interface	show interface	インターフェース状態カウンタエラーカウンタ
Layer2	Common	show vlan show mac address-table	Vlan MAC アドレステーブル
Layer2	Redundancy Protocol	show port-channel summary (FX-OS) show port-channel load-balance	ポートチャネル負荷分散メソッド
Layer3	Common	show arp show interface ip brief show ipv6 neighbors	ARP エントリ IP インターフェース一覧 IPv6 ネイバー
	Security	show ip access-lists show ipv6 access-list	IPv4 アクセスリスト IPv6 アクセスリスト
	Routing	show route show ospf neighbor show bgp summary show bgp neighbor x.x.x.x advertised-routes show ip bgp neighbor x.x.x.x received-routes show ipv6 route show ipv6 ospf neighbor show ipv6 interface brief show bgp ipv6 summary	IPv4 ルート OSPF ネイバー BGP IPv4 ピア一覧特定ピアの BGP 広報ルート特定ピアの BGP 受信ルート IPv4 ルート IPv6 OSPF ネイバー IPv6 インターフェース一覧 BGP IPv6 ピア一覧
High Availability		show failover state	フェイルオーバー
ASA VPN	Site-to-Site VPN	show crypto ikev1 sa show crypto ikev2 sa show crypto ipsec sa show crypto isakmp sa	セキュリティアソシエーション

引用

↑ FPR1100/2100/3100シリーズ (※) でASA利用時は、電源スイッチのON→OFFで Graceful Shutdown に対応しています。
↑ 実行コンフィギュレーションの確認 （注） 多くのパスワードは ***** として表示されます。パスワードをプレーンテキストまたは暗号化された形式（マスターパスフレーズを有効にしている場合）で表示するには、more コマンドを使用します。

[1] FPR1100/2100/3100シリーズ (※) でASA利用時は、電源スイッチのON→OFFで Graceful Shutdown に対応しています。

[2] 実行コンフィギュレーションの確認 （注） 多くのパスワードは ***** として表示されます。パスワードをプレーンテキストまたは暗号化された形式（マスターパスフレーズを有効にしている場合）で表示するには、more コマンドを使用します。

[1]

[2]

@@ 185行目: / 185行目: @@
 * CVE-2023-20086
 * CSCwd77581
+== コマンドリスト ==
+作業日、全作業の事前・事後ログに取りたいコマンドのリスト。
+作業中はコンフィグを変更する機能に絞って、変更前と変更後に取得して、Winmerge で比較し差分が妥当であるか確認します。
+{| class="wikitable"
+|+Catalyst 9000 シリーズ 事前・事後ログリスト
+!大区分
+!小区分
+!コマンド
+!備考
+|-
+|ターミナル設定
+|
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/T-Z/cmdref4/t1.html#pgfId-1640149 terminal pager 0]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/T-Z/cmdref4/t1.html#pgfId-1701280 terminal monitor]
+|
+|-
+|サポート
+|
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s13.html#pgfId-1329992 show tech-support]
+|
+|-
+|Common
+|System Management
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s14.html#pgfId-1333320 show version]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s12.html#pgfId-1490934 show running-config]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-cli-reference/I-R/asa-command-ref-I-R/m_mf-mz.html#wp9874469650 more] system:running-config <ref>[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa914/configuration/general/asa-914-general-config/ref-cli.html#ID-2118-000000c8 実行コンフィギュレーションの確認]
+'''（注）  '''多くのパスワードは ***** として表示されます。パスワードをプレーン テキストまたは暗号化された形式（マスター パスフレーズを有効にしている場合）で表示するには、'''more''' コマンドを使用します。</ref>
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s9.html#pgfId-1519478 show logging]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s10.html#pgfId-1471958 show ntp associations]
+|IOS-XE Version , ライセンス
+動作中のコンフィグ
+メモリに保存された log
+NTP 同期
+|-
+| rowspan="2" |Layer1
+|Hardware
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s7.html?bookSearch=true#pgfId-1648516 show facility-alarm status]
+|
+|-
+|Interface
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s7.html#pgfId-1497263 show interface]
+|インターフェース
+状態 カウンタ
+エラーカウンタ
+|-
+| rowspan="2" |Layer2
+|Common
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s14.html#pgfId-1390991 show vlan]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s9.html#pgfId-1519796 show mac address-table]
+|Vlan
+MAC アドレステーブル
+|-
+|Redundancy Protocol
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s11.html#pgfId-1541047 show port-channel summary] (FX-OS)
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s11.html#pgfId-1541660 show port-channel load-balance]
+|ポートチャネル
+負荷分散メソッド
+|-
+| rowspan="3" |Layer3
+|Common
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s2.html#pgfId-1449611 show arp]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s7.html#pgfId-1498091 show interface ip brief]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s8.html#pgfId-1458997 show ipv6 neighbors]
+|ARP エントリ
+IP インターフェース一覧
+IPv6 ネイバー
+|-
+|Security
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s2.html#pgfId-1448836 show ip access-lists]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s8.html#pgfId-1505394 show ipv6 access-list]
+|IPv4 アクセスリスト
+IPv6 アクセスリスト
+|-
+|Routing
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s11.html#pgfId-1534280 show route]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s10.html#pgfId-1524577 show ospf neighbor]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s4.html#pgfId-1817627 show bgp summary]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s4.html#pgfId-1890703 show bgp neighbor] x.x.x.x advertised-routes
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s4.html#pgfId-1890703 show ip bgp neighbor] x.x.x.x received-routes
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s8.html#pgfId-1500797 show ipv6 route]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s8.html#pgfId-1569189 show ipv6 ospf neighbor]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s8.html#pgfId-1500528 show ipv6 interface brief]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s4.html#pgfId-1922478 show bgp ipv6 summary]
+|IPv4 ルート
+OSPF ネイバー
+BGP IPv4 ピア一覧
+特定ピアの BGP 広報ルート
+特定ピアの BGP 受信ルート
+IPv4 ルート
+IPv6 OSPF ネイバー
+IPv6 インターフェース一覧
+BGP IPv6 ピア一覧
+|-
+|High Availability
+|
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s7.html#pgfId-1722599 show failover state]
+|フェイルオーバー
+|-
+| rowspan="3" |ASA VPN
+|Site-to-Site VPN
+|[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s5.html#pgfId-1487282 show crypto ikev1 sa]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s5.html#pgfId-1487767 show crypto ikev2 sa]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s5.html#pgfId-1578311 show crypto ipsec sa]
+[https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa-command-reference/S/cmdref3/s5.html#pgfId-1585923 show crypto isakmp sa]
+|セキュリティ アソシエーション
+|-
+|
+|
+|
+|-
+|
+|
+|
+|}
 = 引用 =
 [[カテゴリ:Firepower]]

「2024-11-12 Firepower まとめ」の版間の差分

2024年8月29日 (木) 09:04時点における版

目次

Cisco コミュニティのまとめページ

Firepower のアーキテクチャ

ASA と Firepower の違い

ASA

Firepower

動作モード

Firepower Management Center (FMC)

Cisco Defense Orchestrator (CDO)

冗長化

バックアップ・リストア

注意するべき内容

Portchannel のステータスが ASA OS から確認できない

show portchannel summary (上記 URL から引用)

電源 off / 再起動は明示的に実施する

インターフェースモードのパッシブコマンドは LACP の passive と異なり、キャプチャ (SPAN) によるモニターモードを意味する

FMC から FTD が削除できない

CLI

FTD / ASA を移動する

FTD から ASA に CLI を変更し、ping 試験を行う

推奨バージョン

Verup

リファレンス

脆弱性・不具合情報

コマンドリスト

引用

案内メニュー

「2024-11-12 Firepower まとめ」の版間の差分

2024年8月29日 (木) 09:04時点における版

Cisco コミュニティのまとめページ

Firepower のアーキテクチャ

ASA と Firepower の違い

ASA

Firepower

動作モード

Firepower Management Center (FMC)

Cisco Defense Orchestrator (CDO)

冗長化

バックアップ・リストア

注意するべき内容

Portchannel のステータスが ASA OS から確認できない

show portchannel summary (上記 URL から引用)

電源 off / 再起動は明示的に実施する

インターフェース モードのパッシブ コマンドは LACP の passive と異なり、キャプチャ (SPAN) によるモニター モードを意味する

FMC から FTD が削除できない

CLI

FTD / ASA を移動する

FTD から ASA に CLI を変更し、ping 試験を行う

推奨バージョン

Verup

リファレンス

脆弱性・不具合情報

コマンドリスト

引用

案内メニュー

検索

インターフェースモードのパッシブコマンドは LACP の passive と異なり、キャプチャ (SPAN) によるモニターモードを意味する