「2024-11-12 Firepower まとめ」の版間の差分
編集の要約なし |
編集の要約なし |
||
| 176行目: | 176行目: | ||
[https://community.cisco.com/t5/tkb-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-%E3%82%B9%E3%83%9E%E3%83%BC%E3%83%88%E3%83%A9%E3%82%A4%E3%82%BB%E3%83%B3%E3%82%B9%E8%AA%8D%E8%A8%BC%E3%81%A8%E3%83%88%E3%83%A9%E3%83%96%E3%83%AB%E3%82%B7%E3%83%A5%E3%83%BC%E3%83%86%E3%82%A3%E3%83%B3%E3%82%B0/ta-p/3163034 ASA: スマートライセンス認証とトラブルシューティング] | [https://community.cisco.com/t5/tkb-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-%E3%82%B9%E3%83%9E%E3%83%BC%E3%83%88%E3%83%A9%E3%82%A4%E3%82%BB%E3%83%B3%E3%82%B9%E8%AA%8D%E8%A8%BC%E3%81%A8%E3%83%88%E3%83%A9%E3%83%96%E3%83%AB%E3%82%B7%E3%83%A5%E3%83%BC%E3%83%86%E3%82%A3%E3%83%B3%E3%82%B0/ta-p/3163034 ASA: スマートライセンス認証とトラブルシューティング] | ||
[https://community.cisco.com/t5/tkb-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-%E3%83%AA%E3%83%A2%E3%83%BC%E3%83%88%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9vpn-%E3%83%91%E3%83%95%E3%82%A9%E3%83%BC%E3%83%9E%E3%83%B3%E3%82%B9%E6%9C%80%E9%81%A9%E5%8C%96%E3%81%AE%E3%81%9F%E3%82%81%E3%81%AE%E3%83%99%E3%82%B9%E3%83%88%E3%83%97%E3%83%A9%E3%82%AF%E3%83%86%E3%82%A3%E3%82%B9-anyconnect/ta-p/4061565 ASA: リモートアクセスVPN パフォーマンス最適化のためのベストプラクティス (AnyConnect)] | |||
== 脆弱性・不具合情報 == | == 脆弱性・不具合情報 == | ||
2024年9月24日 (火) 20:21時点における版
Cisco の Adaptive Secure Appliance (ASA) の後継として、Firepower がリリースされています。
このページでは Firepower の動作についてまとめています。
Cisco コミュニティのまとめページ
Firepower System and FTDトラブルシューティング
Firepower のアーキテクチャ
FPR2100 以外の製品でソフトウェア転送となっており、基本的に ASIC を使用しません。
2100シリーズのデバイスは他のデバイスと大きく異なり、特定用途向け集積回路(ASIC)が存在します。
従来のASA機能(Lina)はすべてASIC上で実行され、次世代ファイアウォール(NGFW)機能（Snort、
URLフィルタリングなど）はすべて従来のx86アーキテクチャ上で実行されます。
ASA と Firepower の違い
ASA
以前販売されていたアプライアンス製品で、レイヤ 4 までのフィルタリング、VPN などが動作する。
Firepower 上でも ASA OS として動作させることが可能な製品が存在する。
Firepower
仮想基盤を元にした、プラットフォーム (サーバ) 製品となった。
Firepower eXtensible Operating System (FXOS) を仮想基盤として、2 つの動作モードが存在する。
- ASA アプライアンス モード
- レイヤ 4 までのフィルタリング、VPN 機能などを備える
- ASA 導入済みで NGFW 機能が必要のない、DMZ 用クラシック FW に向いている
- ASA のコンフィグや運用は、ほぼそのまま踏襲可能
- FTD プラットフォーム モード
- レイヤ 7 までを含み、脅威の監査などを行う
- IPS / NGFW / FTD
FXOS は上記 ASA / FTD を、qemu / libvirt により VM もしくはコンテナとして動作させている。
動作モード
機種によっても動作可能なモードが異なり、両対応の場合はモード変更を行うことが可能。
また、ASA OS から FXOS , FXOS から ASA OS にログインすることもできる。
- Firepower 1000 シリーズ : ASA アプライアンスモード
- Firepower 2100 シリーズ : ASA アプライアンスモード、FTD プラットフォーム モード
- Firepower 3100 シリーズ : ASA アプライアンスモード、FTD プラットフォーム モード
- Firepower 4100 シリーズ : FTD プラットフォーム モード
- Firepower 9300 シリーズ : FTD プラットフォーム モード
機能によってはどちらかの OS でのみ対応する場合があるため、切り替えて確認が必要な状況がある。
Firepower Management Center (FMC)
Cisco Defense Orchestrator (CDO)
詳細は以下のドキュメントが詳しい。
Firepower1000/2100/3100シリーズ: ASA アプライアンスモードの概要紹介
冗長化
Firepower System: FTD HA: FTD冗長構成の組み方とトラブルシューティング (FMC利用時)
バックアップ・リストア
FMC で複数の FTD 統合管理している場合、コンフィグのバックアップを FMC に保存するか、FTD に保存するか検討する必要があります。
また、機能によってはリストアに対応しない機能もあります。
Firepower System 6.3以降: FTDのバックアップとリストア方法 (FMC管理時)
・FPR4100/9300利用時は、シャーシ管理用のOSであるFXOSの、バックアップとリストアが別途必要です。
・Flexconfigや、VPN、Certificate設定はリストアに対応しておらず、FTDリストア後の再設定が必要です
注意するべき内容
Portchannel のステータスが ASA OS から確認できない
ASA では Portchannel を管理せず、仮想基盤である FXOS で管理するようになったため。
Firepower2100-ASA: EtherChannelの設定確認方法
ASA for Firepower2100 シリーズでは、主にFXOSのCLIからEtherchannelの設定確認コマンドを実施します。
ASA から FXOS にコンソールを切り替えて、コマンドを実施します。
show portchannel summary (上記 URL から引用)
firepower-2110# connect local-mgmt
firepower-2110(local-mgmt)#
firepower-2110(local-mgmt)# show portchannel summary
Flags: D - Down P - Up in port-channel (members)
I - Individual H - Hot-standby (LACP only)
s - Suspended r - Module-removed
S - Switched R - Routed
U - Up (port-channel)
M - Not in use. Min-links not met
--------------------------------------------------------------------------------
Group Port- Type Protocol Member Ports
Channel
--------------------------------------------------------------------------------
1 Po1(U) Eth LACP Eth1/3(P) Eth1/4(P)
その他のコマンドは上述の外部リンクの内容を参照してください。
電源 off / 再起動は明示的に実施する
Firepower は仮想基盤上で FTD or ASA が動作するようになったため、電源 off , 再起動はコマンドや GUI から明示的に実施する必要があります。
Firepower System: FMCと FTDと FirePOWER Moduleの 再起動手順
Caution:
電源ケーブルの抜き差しや、電源ボタンのOFF/ONでの 再起動や システム停止は避けてください。 設定やデータベース情報などの破損やロストの原因に繋がる恐れがあります。
ちなみに ASA アプライアンス モード中に電源スイッチで off にした場合、シャットダウン スクリプトが動作する Graceful Shutdown である [1] ため、安全に切れるようになっています。
データベース破損による再インストールが発生しかねない危険な作業は、電源ケーブルの直接抜去です。
FXOS: シャーシ再起動と停止方法 (FPR1000/FPR2100/FPR3100/FPR4100/FPR9300)
FPR1000/2100/3100シリーズでFTDを利用時の再起動や停止方法を教えてください
再起動や停止をCLIから実施する場合は、再起動はFTDのCLIプロンプトから reboot コマンドで可能です。FXOSも自動で再起動が行われます。
firepower# connect ftd
>
>
> reboot
シャットダウンは、FTDのCLIプロンプトから shutdownコマンドで可能です。
> shutdown
This command will shutdown the system. Continue?
Please enter 'YES' or 'NO': YES
インターフェース モードのパッシブ コマンドは LACP の passive と異なり、キャプチャ (SPAN) によるモニター モードを意味する
Cisco Firepower Threat Defense コンフィギュレーション ガイド（Firepower Device Manager バージョン 6.4.0 用）
インターフェイス モード
インターフェイスごとに、次のいずれかのモードを設定できます。
ルーテッド
各レイヤ 3 ルーテッド インターフェイスに、固有のサブネット上の IP アドレスが必要です。通常、これらのインターフェイスをスイッチ、別のルータ上のポート、または ISP/WAN ゲートウェイに接続します。
パッシブ
パッシブ インターフェイスは、スイッチ SPAN（スイッチド ポート アナライザ）またはミラー ポートを使用してネットワーク全体を流れるトラフィックをモニタします。
FMC から FTD が削除できない
FTD がオフラインの場合、FMC で当該ホストの削除はやめておいたほうが良いらしいです。
Firepower System: FMCからのデバイス登録の強制削除方法
CLI
FTD / ASA を移動する
FXOS: FTD: OSの構造とコマンドプロンプトの移動方法
FTD から ASA に CLI を変更し、ping 試験を行う
system support diagnostic-cli
推奨バージョン
Cisco Secure Firewall ASA Compatibility
Verup
FirepowerアプライアンスでのASA HAペアのアップグレード
Cisco Secure Firewall ASA アップグレードガイド
アクティブ/スタンバイ フェールオーバー ペアのアップグレード
リファレンス
TECSEC-3004 - Troubleshooting Firepower Threat Defense like a TAC Engineer
ASA: リモートアクセスVPN パフォーマンス最適化のためのベストプラクティス (AnyConnect)
脆弱性・不具合情報
【注意喚起】ASA 9.16/FTD 7.0系の FPR2100 シリーズが起動後 125日前後で再起動する問題について
- CSCwh04730 ASA/FTD HA checkheaps crash where memory buffers are corrupted
- CSCvy81493 traceback and reload with 'CHECKHEAPS HAS DETECTED A MEMORY CORRUPTION'
- CVE-2023-20086
- CSCwd77581
コマンドリスト
作業日、全作業の事前・事後ログに取りたいコマンドのリスト。
作業中はコンフィグを変更する機能に絞って、変更前と変更後に取得して、Winmerge で比較し差分が妥当であるか確認します。
| 大区分 | 小区分 | コマンド | 備考 |
|---|---|---|---|
| ターミナル設定 | terminal pager 0 | ||
| サポート | show tech-support | ||
| Common | System Management | show version | IOS-XE Version , ライセンス
動作中のコンフィグ メモリに保存された log NTP 同期 |
| Layer1 | Hardware | show facility-alarm status | |
| Interface | show interface | インターフェース
状態 カウンタ エラーカウンタ | |
| Layer2 | Common | show vlan | Vlan
MAC アドレステーブル |
| Redundancy Protocol | show port-channel summary (FX-OS) | ポートチャネル
負荷分散メソッド | |
| Layer3 | Common | show arp | ARP エントリ
IP インターフェース一覧 IPv6 ネイバー |
| Security | show ip access-lists | IPv4 アクセスリスト
IPv6 アクセスリスト | |
| Routing | show route
show bgp neighbor x.x.x.x advertised-routes show ip bgp neighbor x.x.x.x received-routes |
IPv4 ルート
OSPF ネイバー BGP IPv4 ピア一覧 特定ピアの BGP 広報ルート 特定ピアの BGP 受信ルート IPv4 ルート IPv6 OSPF ネイバー IPv6 インターフェース一覧 BGP IPv6 ピア一覧 | |
| High Availability | show failover state | フェイルオーバー | |
| ASA VPN | Site-to-Site VPN | show crypto ikev1 sa | セキュリティ アソシエーション |
引用
- ↑ FPR1100/2100/3100シリーズ (※) でASA利用時は、電源スイッチのON→OFFで Graceful Shutdown に対応しています。
- ↑ 実行コンフィギュレーションの確認 （注） 多くのパスワードは ***** として表示されます。パスワードをプレーン テキストまたは暗号化された形式（マスター パスフレーズを有効にしている場合）で表示するには、more コマンドを使用します。