「2024-11-12 Firepower まとめ」の版間の差分
編集の要約なし |
編集の要約なし |
||
| 68行目: | 68行目: | ||
[https://community.cisco.com/t5/tkb-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-%E5%86%97%E9%95%B7%E6%A9%9F%E8%83%BD%E3%81%A8-failover%E3%81%AE%E3%83%88%E3%83%AA%E3%82%AC%E3%83%BC-health-monitoring%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6/ta-p/3157060 ASA: 冗長機能と、Failoverのトリガー、Health Monitoringについて] | [https://community.cisco.com/t5/tkb-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-%E5%86%97%E9%95%B7%E6%A9%9F%E8%83%BD%E3%81%A8-failover%E3%81%AE%E3%83%88%E3%83%AA%E3%82%AC%E3%83%BC-health-monitoring%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6/ta-p/3157060 ASA: 冗長機能と、Failoverのトリガー、Health Monitoringについて] | ||
[https://community.cisco.com/t5/tkb-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-%E5%86%97%E9%95%B7%E6%A7%8B%E6%88%90-act-stby-%E3%81%A7-active%E6%A9%9F%E3%81%A8standby%E6%A9%9F%E3%81%AE%E5%86%8D%E8%B5%B7%E5%8B%95%E6%96%B9%E6%B3%95-cli/ta-p/3166724 ASA: 冗長構成(Act/Stby)で Active機とStandby機の再起動方法 (CLI)] | |||
[https://community.cisco.com/t5/tkb-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-failover-%E3%82%B1%E3%83%BC%E3%82%B9%E5%88%A5%E3%81%AEgarp%E9%80%81%E4%BB%98%E6%9C%89%E7%84%A1%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6/ta-p/3224179 ASA Failover: ケース別のGARP送付有無について] | |||
== バックアップ・リストア == | == バックアップ・リストア == | ||
2024年11月7日 (木) 13:17時点における版
Cisco の Adaptive Secure Appliance (ASA) の後継として、Firepower がリリースされています。
このページでは Firepower の動作についてまとめています。
Cisco コミュニティのまとめページ
Firepower System and FTDトラブルシューティング
Firepower のアーキテクチャ
FPR2100 以外の製品でソフトウェア転送となっており、基本的に ASIC を使用しません。
2100シリーズのデバイスは他のデバイスと大きく異なり、特定用途向け集積回路(ASIC)が存在します。
従来のASA機能(Lina)はすべてASIC上で実行され、次世代ファイアウォール(NGFW)機能（Snort、
URLフィルタリングなど）はすべて従来のx86アーキテクチャ上で実行されます。
ASA と Firepower の違い
ASA
以前販売されていたアプライアンス製品で、レイヤ 4 までのフィルタリング、VPN などが動作する。
Firepower 上でも ASA OS として動作させることが可能な製品が存在する。
Firepower
仮想基盤を元にした、プラットフォーム (サーバ) 製品となった。
Firepower eXtensible Operating System (FXOS) を仮想基盤として、2 つの動作モードが存在する。
- ASA アプライアンス モード
- レイヤ 4 までのフィルタリング、VPN 機能などを備える
- ASA 導入済みで NGFW 機能が必要のない、DMZ 用クラシック FW に向いている
- ASA のコンフィグや運用は、ほぼそのまま踏襲可能
- FTD プラットフォーム モード
- レイヤ 7 までを含み、脅威の監査などを行う
- IPS / NGFW / FTD
FXOS は上記 ASA / FTD を、qemu / libvirt により VM もしくはコンテナとして動作させている。
動作モード
機種によっても動作可能なモードが異なり、両対応の場合はモード変更を行うことが可能。
また、ASA OS から FXOS , FXOS から ASA OS にログインすることもできる。
- Firepower 1000 シリーズ : ASA アプライアンスモード
- Firepower 2100 シリーズ : ASA アプライアンスモード、FTD プラットフォーム モード
- Firepower 3100 シリーズ : ASA アプライアンスモード、FTD プラットフォーム モード
- Firepower 4100 シリーズ : FTD プラットフォーム モード
- Firepower 9300 シリーズ : FTD プラットフォーム モード
機能によってはどちらかの OS でのみ対応する場合があるため、切り替えて確認が必要な状況がある。
Firepower Management Center (FMC)
Cisco Defense Orchestrator (CDO)
詳細は以下のドキュメントが詳しい。
Firepower1000/2100/3100シリーズ: ASA アプライアンスモードの概要紹介
Firepower1000/2100/3100シリーズ: ASA（Appliance Mode）と FTD間のリイメージ手順について
Firepower Threat Defense（FTD）管理インターフェイスの設定
冗長化
Firepower System: FTD HA: FTD冗長構成の組み方とトラブルシューティング (FMC利用時)
ASA: 冗長機能と、Failoverのトリガー、Health Monitoringについて
ASA: 冗長構成(Act/Stby)で Active機とStandby機の再起動方法 (CLI)
ASA Failover: ケース別のGARP送付有無について
バックアップ・リストア
FMC で複数の FTD 統合管理している場合、コンフィグのバックアップを FMC に保存するか、FTD に保存するか検討する必要があります。
また、機能によってはリストアに対応しない機能もあります。
Firepower System 6.3以降: FTDのバックアップとリストア方法 (FMC管理時)
・FPR4100/9300利用時は、シャーシ管理用のOSであるFXOSの、バックアップとリストアが別途必要です。
・Flexconfigや、VPN、Certificate設定はリストアに対応しておらず、FTDリストア後の再設定が必要です
注意するべき内容
Portchannel のステータスが ASA OS から確認できない
ASA では Portchannel を管理せず、仮想基盤である FXOS で管理するようになったため。
Firepower2100-ASA: EtherChannelの設定確認方法
ASA for Firepower2100 シリーズでは、主にFXOSのCLIからEtherchannelの設定確認コマンドを実施します。
ASA から FXOS にコンソールを切り替えて、コマンドを実施します。
show portchannel summary (上記 URL から引用)
firepower-2110# connect local-mgmt
firepower-2110(local-mgmt)#
firepower-2110(local-mgmt)# show portchannel summary
Flags: D - Down P - Up in port-channel (members)
I - Individual H - Hot-standby (LACP only)
s - Suspended r - Module-removed
S - Switched R - Routed
U - Up (port-channel)
M - Not in use. Min-links not met
--------------------------------------------------------------------------------
Group Port- Type Protocol Member Ports
Channel
--------------------------------------------------------------------------------
1 Po1(U) Eth LACP Eth1/3(P) Eth1/4(P)
その他のコマンドは上述の外部リンクの内容を参照してください。
電源 off / 再起動は明示的に実施する
Firepower は仮想基盤上で FTD or ASA が動作するようになったため、電源 off , 再起動はコマンドや GUI から明示的に実施する必要があります。
Firepower System: FMCと FTDと FirePOWER Moduleの 再起動手順
Caution:
電源ケーブルの抜き差しや、電源ボタンのOFF/ONでの 再起動や システム停止は避けてください。 設定やデータベース情報などの破損やロストの原因に繋がる恐れがあります。
ちなみに ASA アプライアンス モード中に電源スイッチで off にした場合、シャットダウン スクリプトが動作する Graceful Shutdown である [1] ため、安全に切れるようになっています。
データベース破損による再インストールが発生しかねない危険な作業は、電源ケーブルの直接抜去です。
FXOS: シャーシ再起動と停止方法 (FPR1000/FPR2100/FPR3100/FPR4100/FPR9300)
FPR1000/2100/3100シリーズでFTDを利用時の再起動や停止方法を教えてください
再起動や停止をCLIから実施する場合は、再起動はFTDのCLIプロンプトから reboot コマンドで可能です。FXOSも自動で再起動が行われます。
firepower# connect ftd
>
>
> reboot
シャットダウンは、FTDのCLIプロンプトから shutdownコマンドで可能です。
> shutdown
This command will shutdown the system. Continue?
Please enter 'YES' or 'NO': YES
インターフェース モードのパッシブ コマンドは LACP の passive と異なり、キャプチャ (SPAN) によるモニター モードを意味する
Cisco Firepower Threat Defense コンフィギュレーション ガイド（Firepower Device Manager バージョン 6.4.0 用）
インターフェイス モード
インターフェイスごとに、次のいずれかのモードを設定できます。
ルーテッド
各レイヤ 3 ルーテッド インターフェイスに、固有のサブネット上の IP アドレスが必要です。通常、これらのインターフェイスをスイッチ、別のルータ上のポート、または ISP/WAN ゲートウェイに接続します。
パッシブ
パッシブ インターフェイスは、スイッチ SPAN（スイッチド ポート アナライザ）またはミラー ポートを使用してネットワーク全体を流れるトラフィックをモニタします。
FMC から FTD が削除できない
FTD がオフラインの場合、FMC で当該ホストの削除はやめておいたほうが良いらしいです。
Firepower System: FMCからのデバイス登録の強制削除方法
CLI
FTD / ASA を移動する
FXOS: FTD: OSの構造とコマンドプロンプトの移動方法
FTD から ASA に CLI を変更し、ping 試験を行う
system support diagnostic-cli
推奨バージョン
Cisco Secure Firewall ASA Compatibility
Verup
FirepowerアプライアンスでのASA HAペアのアップグレード
Cisco Secure Firewall ASA アップグレードガイド
- 日本語版は情報が古いため、英語版の Cisco Secure Firewall ASA Upgrade Guide を参照したほうが良い
アクティブ/スタンバイ フェールオーバー ペアのアップグレード
Firepower1000/2100: ASAのアップグレードについて
threat-detection
ASA OS の threat-detection でパケットが遮断される場合の対処法
ASA OS は threat-detection で パケットを遮断する場合がある。
運用時は問題ないが、試験環境では大量のパケットを投げる場合もあり、遮断されるのが好ましくないケースがある。
試験環境の場合、以下で回避可能。
- show shun でエントリがあるか確認する
- 以下で shun の範囲から除外する
threat-detection scanning-threat shun except ip-address <IP> <mask>
- clear shun で遮断のエントリを削除する
リファレンス
TECSEC-3004 - Troubleshooting Firepower Threat Defense like a TAC Engineer
ASA: リモートアクセスVPN パフォーマンス最適化のためのベストプラクティス (AnyConnect)
脆弱性・不具合情報
【注意喚起】ASA 9.16/FTD 7.0系の FPR2100 シリーズが起動後 125日前後で再起動する問題について
- CSCwh04730 ASA/FTD HA checkheaps crash where memory buffers are corrupted
- CSCvy81493 traceback and reload with 'CHECKHEAPS HAS DETECTED A MEMORY CORRUPTION'
- CVE-2023-20086
- CSCwd77581
コマンドリスト
作業日、全作業の事前・事後ログに取りたいコマンドのリスト。
作業中はコンフィグを変更する機能に絞って、変更前と変更後に取得して、Winmerge で比較し差分が妥当であるか確認します。
| 大区分 | 小区分 | コマンド | 備考 |
|---|---|---|---|
| ターミナル設定 | terminal pager 0 | ||
| サポート | show tech-support | ||
| Common | System Management | show version | IOS-XE Version , ライセンス
動作中のコンフィグ メモリに保存された log NTP 同期 |
| Layer1 | Hardware | show facility-alarm status | |
| Interface | show interface | インターフェース
状態 カウンタ エラーカウンタ | |
| Layer2 | Common | show vlan | Vlan
MAC アドレステーブル |
| Redundancy Protocol | show port-channel summary (FX-OS) | ポートチャネル
負荷分散メソッド | |
| Layer3 | Common | show arp | ARP エントリ
IP インターフェース一覧 IPv6 ネイバー |
| Security | show ip access-lists | IPv4 アクセスリスト
IPv6 アクセスリスト | |
| Routing | show route
show bgp neighbor x.x.x.x advertised-routes show ip bgp neighbor x.x.x.x received-routes |
IPv4 ルート
OSPF ネイバー BGP IPv4 ピア一覧 特定ピアの BGP 広報ルート 特定ピアの BGP 受信ルート IPv4 ルート IPv6 OSPF ネイバー IPv6 インターフェース一覧 BGP IPv6 ピア一覧 | |
| High Availability | show failover state | フェイルオーバー | |
| ASA VPN | Site-to-Site VPN | show crypto ikev1 sa | セキュリティ アソシエーション |
引用
- ↑ FPR1100/2100/3100シリーズ (※) でASA利用時は、電源スイッチのON→OFFで Graceful Shutdown に対応しています。
- ↑ 実行コンフィギュレーションの確認 （注） 多くのパスワードは ***** として表示されます。パスワードをプレーン テキストまたは暗号化された形式（マスター パスフレーズを有効にしている場合）で表示するには、more コマンドを使用します。