Pregunte al Experto- ¿Cómo migrar Cisco ASA a FTD?

[Cisco Moderador]

Aclare todas sus dudas de las mejores prácticas y de los elementos necesarios para migrar su Cisco Adaptive Security Appliance (ASA) a Cisco Firepower Threat Defense (FTD). Con la evolución de las amenazas en Internet es importante mantenerse actualizado y protegido en todo momento. Firepower Threat Defense (FTD) es un firewall de siguiente generación capaz de responder ante amenazas existentes o desconocidas, así como brindar características de Firewall como lo es control de acceso por medio de condiciones de red, nombres de usuarios, puertos, protocolos o inclusive aplicaciones, puede establecer VPNs de acceso remoto o comunicación entre sitios, etc.

Haga sus preguntas del 15 de Julio al 2 de Agosto del 2019.

Detalles del especialista

Osvaldo Garcia es un ingeniero de preventa con atención a clientes globales, pertenece al grupo de GVE de Cisco desde el 2019. Trabaja todo el portafolio de seguridad de Cisco, desde FTD, AMP, Cloudlock, Cisco Umbrella, ESA, WSA, ISE, hasta Meraki entre otros. Osvaldo es egresado de la carrera de Ingeniera en Tecnologías Computacionales del Instituto Tecnológico y de Estudios Superiores de Monterrey Campus Santa Fe. Cuenta en las certificaciones de CCNP en Seguridad y en Routing & Switching. Actualmente se prepara el CCIE de Seguridad.

Osvaldo puede no poder responder a todas las preguntas, debido al volumen esperado durante este evento. Recuerde que también puede hacer sus preguntas en nuestra categoría de Seguridad

https://community.cisco.com/t5/seguridad/ct-p/5626-seguridad 

** ¡Los puntos de utilidad fomentan la participación! **
Por favor asegúrese de dar uno a las respuestas a sus preguntas.

[Jorge Garcia]

Hola Boris,

Espero que todo vaya excelente. La migración de ASA a FTD puedes realizarla con la herramienta de "Firewall migration tool". Te comparto algunas guías que pueden ser de gran ayuda en esta migración:

Cisco Firepower Migration Tool

https://www.cisco.com/c/en/us/products/security/firewalls/firepower-migration-tool.html

Migrating ASA to Firepower Threat Defense with the Firepower Migration Tool

https://www.cisco.com/c/en/us/td/docs/security/firepower/migration-tool/migration-guide/ASA2FTD-with-FP-Migration-Tool.html

Que tengas un excelente día,

Saludos cordiales,

Osvaldo G.

[carlos.perez1]

Buenas tardes,

Espero me puedan ayudar bajo la siguientes consulta,

Nuestro cliente actualmente cuenta con un ASA 5525x en HA (Activo - Standby) con servicios de Fire Power y la renovacion esta proxima a acercarse en 4 meses y estamos proponiendo FTD. Pero tengo varias consultas, antes de proponer migrar a FTD.

- FTD soporta HA (Activo - Standby)

- Respecto al esquema de cliente VPN, soporta la integracion con Active Directory,

- Para el cliente VPN se mantiene el Annyconnect en FTD ?

- Respecto a la configuraciones, en FTD soporta lineas de comando (CLI) como el ASA, es el mismo esquema?

- El licenciamiento , AMP URL e IPS es el mismo que en un ASA,

- Hay alguna fecha definitiva de AEOS donde salga fuera de venta para los ASA 5525x?

Muchas gracias.

[Jorge Garcia]

Hola, Carlos:

Espero que todo vaya excelente. Aquí encontrarás mis comentarios:

- FTD soporta HA (Activo - Standby).

R= Sí lo soporta. 

https://www.cisco.com/c/en/us/td/docs/security/firepower/640/configuration/guide/fpmc-config-guide-v64/high_availability_for_firepower_threat_defense.html

https://www.cisco.com/c/en/us/support/docs/security/firepower-management-center/212699-configure-ftd-high-availability-on-firep.html#anc4

- Respecto al esquema de cliente VPN, soporta la integracion con Active Directory,

R= Sí lo soporta.

https://www.cisco.com/c/en/us/td/docs/security/firepower/640/configuration/guide/fpmc-config-guide-v64/firepower_threat_defense_remote_access_vpns.html?bookSearch=true

https://www.cisco.com/c/en/us/support/docs/network-management/remote-access/212424-anyconnect-remote-access-vpn-configurati.html

- Para el cliente VPN se mantiene el Annyconnect en FTD ?

R= Sí, de hecho el AnyConnect es el único cliente de VPN soportado.

https://www.cisco.com/c/en/us/td/docs/security/firepower/640/configuration/guide/fpmc-config-guide-v64/firepower_threat_defense_remote_access_vpns.html?bookSearch=true#concept_zlg_yfb_vy

- Respecto a la configuraciones, en FTD soporta lineas de comando (CLI) como el ASA, es el mismo esquema?

R= Sí soporta líneas de comando, sin embargo, solo soporta "show commands" y además los niveles son diferentes. Te comparto la siguiente guía como referencia: https://www.cisco.com/c/en/us/td/docs/security/firepower/command_ref/b_Command_Reference_for_Firepower_Threat_Defense/using_the_FTD_CLI.html

- El licenciamiento , AMP URL e IPS es el mismo que en un ASA,

R= El licenciamiento para los servicios de Firepower en un ASA son los mismos que para FTD. Aquí podrás encontrar todos los detalles de las licencias: https://www.cisco.com/c/en/us/td/docs/security/firepower/601/configuration/guide/fpmc-config-guide-v601/Licensing_the_Firepower_System.pdf

- Hay alguna fecha definitiva de AEOS donde salga fuera de venta para los ASA 5525x?

Por el momento, los únicos ASA-x anunciados como EoL son los ASA5512 y ASA5515:

https://www.cisco.com/c/en/us/products/collateral/security/asa-5500-series-next-generation-firewalls/eos-eol-notice-c51-738644.html

Espero que esta información sea de tu ayuda,

Saludos cordiales,

Osvaldo G.

[dulfranc1]

Hola @Jorge Garcia 

Una duda más ¿es importante contar con alguna versión específica de ASA para poder migrar correctamente a FTD o se puede hacer desde cualquier versión?

[Jorge Garcia]

Hola,

Espero que todo vaya excelente. Te comparto las recomendaciones con respecto a software para migrar de ASA a FTD:

https://www.cisco.com/c/en/us/td/docs/security/firepower/migration-tool/migration-guide/ASA2FTD-with-FP-Migration-Tool/b_Migration_Guide_ASA2FTD_chapter_0111.html#id_70648

Espero que esta información sea de tu ayuda,

Saludos cordiales,

Osvaldo G.

[Hilda Arteaga]

Hola @Jorge Garcia 

Muchas gracias por compartir tu conocimiento y tan excelente guía.

Aprovechamos esta oportunidad para colocar 2 preguntas comunes relacionadas al tema:

• ¿Es posible migrar mi ASA en multiple context a FTD?
• ¿Existe alguna limitación en la migración de ASA a FTD?

[Jorge Garcia]

Hola Hilda,

Muchas gracias por la oportunidad. Te comparto información al respecto:

ASA multi-context to FTD multi-instance:

https://community.cisco.com/t5/security-blogs/migrating-asa-multi-context-to-ftd-multi-instance/ba-p/3893465

Limitantes en la migración:

https://www.cisco.com/c/en/us/td/docs/security/firepower/migration-tool/migration-guide/ASA2FTD-with-FP-Migration-Tool/b_Migration_Guide_ASA2FTD_chapter_0111.html

Espero que esta información sea de gran ayuda,

Saludos cordiales,

Osvaldo G.