サービス指定のStatic NATは、その宛先IPアドレスに紐づいたポート番号のみの通過を許可し、その宛先IPアドレス宛のそれ以外のポート利用時はnat-no-xlate-to-pat-poolの理由でドロップされます。 これはASAバージョン 9.0(1)からの実装です。   例えば以下の、サービス指定を含むStatic NATを設定した場合・・ [NAT設定] nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 [show nat detailの出力] ASA5555# show nat detail --- snip --- 3 (inside) to (outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 translate_hits = 0, untranslate_hits = 0 Source - Origin: 0.0.0.0/0, Translated: 0.0.0.0/0 Destination - Origin: 10.1.1.100/32, Translated: 10.1.1.100/32 Service - Origin: tcp destination eq www , Translated: tcp destination eq 8080   IPアドレス 10.1.1.100宛の、TCP 80通信は変換され、通過が許可されることを、パケットトレーサーから確認できます。 ASA5555(config)# packet-tracer in inside tcp 192.168.0.1 1024 10.1.1.100 80 Phase: 1 Type: UN-NAT Subtype: static Result: ALLOW Config: nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 Additional Information: NAT divert to egress interface outside Untranslate 10.1.1.100/80 to 10.1.1.100/8080 --- snip --- Result: input-interface: inside input-status: up input-line-status: up output-interface: outside output-status: up output-line-status: up Action: allow    しかし、IPアドレス 10.1.1.100宛の、TCP 80以外のポート宛の通信・・・例えばTCP21(FTP)やTCP25(SMTP)などは、nat-no-xlate-to-pat-poolでドロップされます。 以下は、TCP21での通信試験例です。 ASA5555(config)# packet-tracer in inside tcp 192.168.0.1 1024 10.1.1.100 21 Phase: 1 Type: ROUTE-LOOKUP Subtype: Resolve Egress Interface Result: ALLOW Config: Additional Information: found next-hop 10.71.228.254 using egress ifc outside Result: input-interface: inside input-status: up input-line-status: up output-interface: outside output-status: up output-line-status: up Action: drop Drop-reason: (nat-no-xlate-to-pat-pool) Connection to PAT address without pre-existing xlate     IPアドレス 10.1.1.100宛の、TCP 80以外のポート利用通信の通過を許可したい場合は、サービス指定のない同じIPアドレス変換が可能なNATルールを追加してください。 特にTwice NATの場合、上から順にNATルールは評価されるため、サービス指定のNATルールの下に IP指定のみのNATルールを追加します。 [NAT設定] nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 <--- 追加 [show nat detailの抜粋] ASA5555(config)# show nat detail Manual NAT Policies (Section 1) --- snip --- 3 (inside) to (outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 service http-80 http-8080 translate_hits = 0, untranslate_hits = 0 Source - Origin: 0.0.0.0/0, Translated: 0.0.0.0/0 Destination - Origin: 10.1.1.100/32, Translated: 10.1.1.100/32 Service - Origin: tcp destination eq www , Translated: tcp destination eq 8080 4 (inside) to (outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 translate_hits = 0, untranslate_hits = 0 Source - Origin: 0.0.0.0/0, Translated: 0.0.0.0/0 Destination - Origin: 10.1.1.100/32, Translated: 10.1.1.100/32   指定ポートにマッチしない通信は、サービス指定のないルールにマッチし通過可能になります。 ASA5555(config)# packet-tracer in inside tcp 192.168.0.1 1024 10.1.1.100 21 Phase: 1 Type: UN-NAT Subtype: static Result: ALLOW Config: nat (inside,outside) source static any any destination static obj-10.1.1.100 obj-10.1.1.100 Additional Information: NAT divert to egress interface outside Untranslate 10.1.1.100/21 to 10.1.1.100/21 --- snip --- Result: input-interface: inside input-status: up input-line-status: up output-interface: outside output-status: up output-line-status: up Action: allow       Static NATでサービス利用時の、未指定ポートの通信制限については、以下のConfiguration Guideより確認可能です。 https://www.cisco.com/c/en/us/td/docs/security/asa/asa99/configuration/firewall/asa-99-firewall-config/nat-basics.html#ID-2090-0000083f 抜粋： Static NAT with Port Translation --- snip --- Static NAT-with-port-translation rules limit access to the destination IP address for the specified port only. If you try to access the destination IP address on a different port not covered by a NAT rule, then the connection is blocked. In addition, for twice NAT, traffic that does not match the source IP address of the NAT rule will be dropped if it matches the destination IP address, regardless of the destination port. Therefore, you must add additional rules for all other traffic allowed to the destination IP address. For example, you can configure a static NAT rule for the IP address, without port specification, and place it after the port translation rule.   当実装について詳しくは、以下不具合管理IDからも確認可能です。 なお、当制限はASAバージョン 9.0(1)からの実装のため、CSCuc28796は問題の明示用の不具合管理IDであり、 CSCuc28796の 修正予定はありません。 CSCuc28796 Traffic to static identity host with service object trans is not working https://bst.cloudapps.cisco.com/bugsearch/bug/CSCuc28796/?rfs=iqvred          参考情報 ASA: NATルールタイプ別の処理の違いと 設定例 https://supportforums.cisco.com/ja/document/12482501 ASA 8.3+ パケット処理順序と 処理負荷概要と、パケットトレーサ https://community.cisco.com/t5/-/-/ta-p/3155834 ファイアウォール トラブルシューティング https://supportforums.cisco.com/ja/document/12725841#hdr-1 ... View more

   はじめに 以下は、ASA5500-XシリーズでASAソフトウェア利用時の保守交換作業時に シスコTACが利用している情報とドキュメントです。 保守交換時に参考情報として利用できます。 なお、ご利用の構成や設定によっては、別途追加の保守対応手順の実施などが必要となることがあります。以下情報は、予告なしに変更されることがあります。        ASA5500-X 本体交換 (バックアップファイル利用時) 復元可能 ASAソフトウェアとASDMソフトウェア ASAの殆どの設定 AnyConnectパッケージと設定 Clientless VPN用設定 Identity Certificateと 紐付いたRSAキー CSD (Cisco Secure Desktop)のイメージと HostScan設定 PreShared Keyや SNMP Community名 など   復元不可 Multiple Context Mode    ※CLIからの復元が必要 Local CA Server設定   ※コチラ参照し別途復旧が必要 FirePOWER Module ソフトウェアと設定   ※利用時はコチラを参照し別途復旧が必要   作業必要情報 指定のASAソフトウェアバージョンのイメージ 指定のASDMソフトウェアバージョンのイメージ Activation-key    ※ハードウェア交換で、保守部材(ライセンス未有効化機器)を利用時のみ バックアップファイル    ※ASDM用はzip形式、CLI用は tar.gz形式 コンソール、もしくは SSH/ASDMログイン用のパスワード、もしくは ユーザ名/パスワード (証明書利用時のみ) 証明書復元用のパスフレーズ     事前 取得 情報 保守対象機から、以下URLを参考にASDM(もしくはCLI)からのバックアップファイル取得と、show inventoryや show tech (もしくは show version) コマンド出力の取得をしておくこと https://supportforums.cisco.com/t5/-/-/ta-p/3155941   交換 作業 手順   1. 良品のハードウェア構成を、交換対象機(=障害機)と同じ状態にする   2. 以下を上から順に実施し、良品のセットアップ ASA/ASDMバージョン合わせ https://supportforums.cisco.com/t5/-/-/ta-p/3133580 Activation Key (ライセンス) 有効化 https://supportforums.cisco.com/t5/-/-/ta-p/3162811#toc-hId--83188317 ASDMによる管理アクセス https://supportforums.cisco.com/t5/-/-/ta-p/3138282 バックアップファイルによるリストア実施 https://supportforums.cisco.com/t5/-/-/ta-p/3155941#toc-hId--764079781    3. セットアップ後の良品の再起動   4. 交換前後の設定( more system:running-config)や show version、show inventory、show moduleなどの出力を比較し、良品の事前セットアップが問題ないこと、及び、show logやshow log asdmコマンドでハードウェアエラーログの出力が無いことを確認   5. 交換   作業 時間 目安 ２～３時間 作業注意 事項 利用ASDMのバージョンが古い場合は、利用PCのJavaが旧ASDMバージョンに対応していない恐れがある。利用ASDMバージョンが古く 利用PCでASDM起動ができない場合は、まずは最新ASDMバージョンを利用しセットアップ/復元してから、後からASDMバージョンをダウングレードするとよい。ASDMバージョンの変更は、再起動無しに即座に簡単に実施可能。ASDMのJava互換性情報は、ASDMリリースノートを参照。ASDMバージョンのみ変更手順はコチラを参照 証明書利用時は、その復元に、バックアップ時のパスフレーズ入力が必要。デフォルト cisco。 入力しないと、正しく証明書は復元されない NAT利用時 かつ 論理MACアドレスを明示的に設定してない場合は、交換前後でインターフェイスのMACアドレスが変わる事により、交換後に通信影響が発生する可能性がある。該当設定を利用時は、必要に応じて、ASA交換後に周囲機器のARPテーブルの手動クリア、もしくは周囲機器再起動によるARPテーブル初期化を行うこと   冗長構成の機器交換を行う場合は、交換対象機の電源を落とし交換し、ケーブルを全て結束してから新機器を起動すること。 冗長構成での交換手順について詳しくは、コチラを参照 証明書未使用時かつSSH利用時は、crypto key generate rsa general-keys modulus 1024 noconfirm コマンドを入力し RSAキーの生成を合わせ行うこと。詳しくは、コチラを参照    備考 障害機のASAバージョンとASDMバージョンは、show version もしくは show techから確認可能。障害機の保守交換用のシリアル番号は show inventoryから確認可能 交換前後でWinMergeなどで設定を比較したい場合は、バックアップファイルを解凍し 中の設定ファイルを差分比較に利用可能 モジュールの装着や稼働状況は、show inventoryと show moduleから確認可能。 show moduleの出力は、show tech内に含まれる CLIのバックアップ/リストア機能は、バージョン 9.3(2)からのサポートのため、古いASAバージョンや機種の場合は、CLIのバックアップ/リストア機能は利用できない  ASAの復旧対応は基本、当手順記載のバックアップファイルを利用した復元が推奨。特にVPN関連の設定利用時は、当手順でないと復元できない設定やファイルが多いため          よくある質問 当手順はFirepower2100/4100シリーズのASAソフトウェア利用時の保守対応に利用できますか Firepower2100/4100シリーズの場合、事前にスーパーバイザーのFXOSの復旧作業が別途必要となります。詳しくは以下ドキュメントを参照してください。 Firepower2100-ASA: FXOS設定のバックアップと復元方法 Firepower4100-ASA: FXOSとASA設定のバックアップと復元方法 また、Firepower2100/4100シリーズのライセンスはスマートライセンス方式のため、交換後の新機器のスマートライセンス登録と、旧機器に割り当てていたライセンスを新機器に割り当てしなおしが必要となります。         参考情報 ファイアウォール トラブルシューティング https://supportforums.cisco.com/ja/document/12725841#ASA_Firewall-2 ... View more

    1. FN-70318の影響範囲 証明書の問題により、2018年8月から、ローカルマルウェア分析やサンドボックス分析判断に用いるシグネチャのダウンロードに失敗するようになります。 ローカルマルウェア分析とサンドボックス分析は、Firepower Systemでマルウェア検知を利用時に使う機能の1つです。そのため、Malwareライセンスを購入し ローカルマルウェア分析やダイナミック分析を利用しているシステムの場合、2018年12月現在、Firepower System 6.0以降の殆どのバージョンが本不具合の影響を受けます。逆に、Malwareライセンスを購入/利用しておらず、これら分析機能を利用していない場合は、影響を受けません。 Firepower Systemで マルウェア検知機能を利用時の処理フローについて詳しくは以下画像を参照してください。今回影響をうけるシグネチャファイルは、以下画像の[ローカルマルウェア分析]と[ダイナミック分析]のフェーズで利用されます。   問題が発生しているシステムの場合、System > Integration > Cisco CSIの Last Local Malware Detection Updateが 2018年8月のままの状態となります。    より詳しい症状と条件については、FN-70318と CSCvm81052 を参照してください。       2. FN-70318の対応方法 影響バージョンでMalwareライセンスを利用、かつローカルマルウェア分析を利用時の場合、以下の何れかの方法で問題の対応が可能です。   2.1. 修正バージョンにアップグレード   2.2. ホットフィックスの適用   2.3. 手動でのCAcertの更新 2.1. 修正バージョンにアップグレード 2018年12月現在、バージョン 6.3に修正が含まれており、バージョン 6.2.3.8で修正予定です。 6.2.3.8は2019年1月初めにリリース予定です。   2.2. ホットフィックスの適用 ご利用のリリースの Hotfix_Local_Malware_Cert-6.x.x.x.999-x.tar ファイルが利用できます。例えば以下は6.2.3.x用のHotfixになります。 バージョン6.0用、6.1用、6.2.2用、6.2.3用の各Hotfixを利用可能です。    Hotfixのリリースのないバージョン(例えば6.2.0.x)の場合は、2.3の手動でのCAcertの追加、もしくは、Hotfix適用可能バージョン、もしくは 修正バージョンへのアップグレードを検討してください。 2018年12月現在、全てのFirepower Systemは、バージョン 6.2.3以降の最新パッチバージョンの利用が推奨です。   2.3.手動でのCAcertの更新 CSCvm81052記載の Workaroundの適用を実施します。以下は実際の機器への適用と動作確認例です。作業時間の目安は5分程度です。 まず、FMCにSSHなどでアクセスし、既存のCAcert.pemのバックアップを取ったのち、新規でCAcert.pemの作成を行います。 admin@FMC:~$ sudo su - Password: root@FMC:~# root@FMC:~# mv /etc/sf/keys/sandbox/cacert.pem /etc/sf/keys/sandbox/cacert.pem.bak root@FMC:~# root@FMC:~# vim /etc/sf/keys/sandbox/cacert.pem   VIMコマンド実行後、iを入力し編集モードに移行した後、CSCvm81052の Workaround記載の、--- BEGIN CERTIFICATE --- から --- END CERTIFICATE --- までをペーストします。 ペースト完了後、ESCキーと :wq を入力し 編集モード終了と保存を行います。 -----BEGIN CERTIFICATE----- MIIF1DCCA7ygAwIBAgIQNz8Ipy2X8LBL1d0P+acMfzANBgkqhkiG9w0BAQsFADBq MRMwEQYKCZImiZPyLGQBGRYDY29tMRowGAYKCZImiZPyLGQBGRYKc291cmNlZmly ZTETMBEGCgmSJomT8ixkARkWA3ZydDEiMCAGA1UEAxMZVlJUIENlcnRpZmljYXRl IEF1dGhvcml0eTAeFw0xMjA4MjkxODU3MDBaFw0yMjA2MDIxNTM0MjFaMGoxEzAR BgoJkiaJk/IsZAEZFgNjb20xGjAYBgoJkiaJk/IsZAEZFgpzb3VyY2VmaXJlMRMw EQYKCZImiZPyLGQBGRYDdnJ0MSIwIAYDVQQDExlWUlQgQ2VydGlmaWNhdGUgQXV0 aG9yaXR5MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEAtYbRWazawM1b nWFG/lqu5dtTLqa2aPKp8spOjwbfEAW6iqdSijUZb9+DhNEZkmDrHHP8l/QaU57v O30plDaoVTDk/v6Gu7h1yluvnLMBPzIu9OQKkRIHQI3EoZDXIY6wS0CJvUk5Xb+D lF8FQjqWc9p16YrUre14gikVAjrkB0ZmODX+SdUYfzfTmCWCrz42DIw02El+saiG 4BEll1lKhGEPhFX/eUmWiZ9DzOUhg0hipKP5BqFHC4rg+OOKlTWe6J4kAdk809mv lK0Dktxm90jYwB8oYYOnMO97Hul65HtlI23J3yasOI1ejUH+6yJdfMkMIQpiH7l6 ltzS5tLyoAe0uZ+hHDbH4YkcIA/X9Yh0GFGfQuLT6ZK3Awp/qTGBCT6ZYYJilUAM 3vL+MtpGNh6juSatrkSAmiJzoMGxp5TM6W5bMNI+QYFRU43o4QFziTPiFkgKwuDI 2gjhQV6oBJPrjcavb9enrSy6ZfqSMXkyJLlNRwf1hsaZNtCure3UDRxu1c0QR6eE myfkJ/TiP/5hzz4qe4LjKMLzVxrCRghddsCVWx/PCWPQ9APeqeJpDzUwIvs1N2/c Cbd9sbNevVaeCVlFbpt0QWU71upR0QKLZ2axqnC/1aPgO6oQ7WF4J5mBqKrx/VPr zfrpu6AKj99UgHpsM7g3UafRjYEBHBECAwEAAaN2MHQwCwYDVR0PBAQDAgGGMA8G A1UdEwEB/wQFMAMBAf8wHQYDVR0OBBYEFCzb5T33BDtz/9mIAc/QXuQlJDmYMBAG CSsGAQQBgjcVAQQDAgECMCMGCSsGAQQBgjcVAgQWBBSbuBN5wvG3LX3mc2ofysni jpxnAjANBgkqhkiG9w0BAQsFAAOCAgEAGmQ9nC1V5qY/Xu8RnITtsgyiJFQnz1k6 VPFdlLzfsuN1mX4eUgseBQj8yN5YmhuE2t8CE2xk7RWC+rYZZBsGhAx7q0ttP8Ja MRXhQCCL89fnlYDIuopzdtJkoSqEk5IF4277Cba7NGxeytsdUG+KglAslDmVjHIk dIRAlVC/E0WRaYVl0Y2qVISBsEA5DIiiuGqbNMUYQAY1oK3+FKH6tyTyXAQ22HQ/ Yr0iXnG9GiPLPfVjJfGwrgYpDfoL4mc328riiCLLvLHoS8gP0SBdWLezMAS6tXXm HYwpTkk1wKrFm4Xfp05Lggy87o9TllO9IelMZD39mhm/45lRMwV1iOuoZnvVD3+V 5DEbvMTFUueFOAsdi7A/RvGUWxWqIuxn1XXgJd3pXhKt8JfE5ebPqloAalnuyslS DSjRGCD28+pBhjPx7vuCaKI3OknNp+7XcYSWFcbY7q7rt1eO7EZlenNMxNzWqvLF fpWQNA6f5fk/c8XCNqMLKhAB1QH9mQ3DN8FL910Z6cCiXYtcdY4GSfoqvni+PuhD KhcX8T+/A73PjuMmdqmvwuq2xFkv8xmbx3gKHfWBi1NoThZViv5PCZtXVAvP09oq hUL94KF32lg3kDzXWLYSTYH5+NW8LmEgjPVUsqEzaTAvnyzZaAjDoNrkC1WZ68XZ rX5zPl5t6sc= -----END CERTIFICATE-----     新しいCAcert.pemを利用するため、pmtool restartbyid CloudAgentコマンドを実行しサービスの再起動を行います。その後、pmtool statusコマンドで、CloudAgentが Runningであることを確認します。 root@FMC:~# pmtool restartbyid CloudAgent root@FMC:~# root@FMC:~# pmtool status | grep Cloud CloudAgent (system) - Running 28593 Command: /usr/local/sf/bin/CloudAgent --config /etc/sf/cloudagent.conf --peers-config /etc/sf/device_cap.conf --ccfg /etc/sf/bca.cfg PID File: /var/sf/run/CloudAgent.pid    対処実行後、/var/log/messagesから シグネチャファイル(preclass.cvd と hifistatic.cvd )のダウンロード成功を確認できます。なお、当アップデートの確認と実行は30分に1回行われます。 preclassがダイナミック分析用、hifistaticがローカルマルウェア分析用のシグネチャファイルです。 root@FMC:~# tail -n 1000 /var/log/messages | grep .cvd Nov 3 15:21:13 firesight SF-IMS[6000]: [6004] CloudAgent:ClamUpdater [INFO] size of downloaded file /var/sf/clamupd_download/preclass.cvd is 44998 Nov 3 15:21:13 firesight SF-IMS[6000]: [6004] CloudAgent:ClamUpdater [INFO] Successfully downloaded preclass.cvd Nov 3 15:21:13 firesight SF-IMS[6000]: [6004] CloudAgent:ClamUpdater [INFO] size of downloaded file /var/sf/clamupd_download/hifistatic.cvd is 3955109 Nov 3 15:21:13 firesight SF-IMS[6000]: [6004] CloudAgent:ClamUpdater [INFO] Successfully downloaded hifistatic.cvd     3. FN-70318の対応後の正常性確認方法 System > Integration > Cisco CSIの Last Local Malware Detection Updateが 最新の日付に更新されていることを確認してください。なお、当アップデートは30分毎に自動で行われます。    ... View more

  はじめに 本ドキュメントでは、Firepower4100や Firepower9300のシャーシ管理用のスーパーバイザーであるFXOSの、ディスク使用状況の、showコマンドとSNMPポーリングを用いた確認方法を紹介します。 本ドキュメントは、Firepower 4120の バージョン 2.3(1.111)を元に確認、作成しております。   なお、ディスク使用率が80%を超過時は show faultコマンドで Disk Usageのアラートを確認できます。 また、FaultイベントはSNMPトラップ通知が可能です。 FaultイベントのSNMPトラップ通知について詳しくは、コチラを確認してください。       ディスク使用状況の確認方法 CLIからの確認 connect local-mgmtから show tech-support module 1 | be DiskFilesystem  コマンドで確認できます。 FP4K-A# connect local-mgmt FP4K-A(local-mgmt)# show tech-support module 1 | be DiskFilesystem <DiskFilesystem> <CurrentSnapshot> <Disk> <DiskName>/dev/sda1</DiskName> <--- THIS <DiskTotalKB>7796848</DiskTotalKB> <--- Total Size (KB) <DiskFreeKB>7699512</DiskFreeKB> <--- Free Size (KB) <DiskUsedKB>97336</DiskUsedKB> <--- Used Size (KB) <DiskMountPoint>/mnt/boot</DiskMountPoint> </Disk> <Disk> <DiskName>/dev/sda2</DiskName> <--- THIS <DiskTotalKB>1923084</DiskTotalKB> <DiskFreeKB>1787072</DiskFreeKB> <DiskUsedKB>38324</DiskUsedKB> <DiskMountPoint>/opt/cisco/config</DiskMountPoint> </Disk> <Disk> <DiskName>/dev/sda3</DiskName> <--- THIS <DiskTotalKB>4805760</DiskTotalKB> <DiskFreeKB>4382260</DiskFreeKB> <DiskUsedKB>179380</DiskUsedKB> <DiskMountPoint>/opt/cisco/platform/logs</DiskMountPoint> </Disk> <Disk> <DiskName>/dev/sda5</DiskName> <--- THIS <DiskTotalKB>48061320</DiskTotalKB> <DiskFreeKB>45435580</DiskFreeKB> <DiskUsedKB>184320</DiskUsedKB> <DiskMountPoint>/var/data/cores</DiskMountPoint> </Disk> <Disk> <DiskName>/dev/sda6</DiskName> <--- THIS <DiskTotalKB>131773580</DiskTotalKB> <DiskFreeKB>131528596</DiskFreeKB> <DiskUsedKB>244984</DiskUsedKB> <DiskMountPoint>/opt/cisco/csp</DiskMountPoint> </Disk> </CurrentSnapshot>    SNMPポーリングによる確認 以下のObject名とOIDを利用できます。 MIBファイルは CISCO-FIREPOWER-SM-MIB です。なお、以下OIDを利用するには、CSCvj06276の修正バージョンである、2.3(1.100)もしくは2.4(1.208)以降のFXOSバージョンを利用してください。 cfprSmDiskFileSystemFileSystem .1.3.6.1.4.1.9.9.826.1.71.9.1.5 cfprSmDiskFileSystemMountPoint .1.3.6.1.4.1.9.9.826.1.71.9.1.7 cfprSmDiskFileSystemFreeKb .1.3.6.1.4.1.9.9.826.1.71.9.1.6 cfprSmDiskFileSystemTotalKb .1.3.6.1.4.1.9.9.826.1.71.9.1.8 cfprSmDiskFileSystemUsedKb .1.3.6.1.4.1.9.9.826.1.71.9.1.9    以下は実際のSNMPポーリング実施例とその結果です。 cisco@ubuntu:~$ snmpwalk -On -v 2c 1.150.xx.xx -c cisco .1.3.6.1.4.1.9.9.826.1.71.9.1 --- snip --- .1.3.6.1.4.1.9.9.826.1.71.9.1.5.83016 = STRING: "/dev/sda1" .1.3.6.1.4.1.9.9.826.1.71.9.1.5.83017 = STRING: "/dev/sda2" .1.3.6.1.4.1.9.9.826.1.71.9.1.5.83018 = STRING: "/dev/sda3" .1.3.6.1.4.1.9.9.826.1.71.9.1.5.83019 = STRING: "/dev/sda5" .1.3.6.1.4.1.9.9.826.1.71.9.1.5.83020 = STRING: "/dev/sda6" .1.3.6.1.4.1.9.9.826.1.71.9.1.6.83016 = Gauge32: 7699512 .1.3.6.1.4.1.9.9.826.1.71.9.1.6.83017 = Gauge32: 1787068 .1.3.6.1.4.1.9.9.826.1.71.9.1.6.83018 = Gauge32: 4381880 .1.3.6.1.4.1.9.9.826.1.71.9.1.6.83019 = Gauge32: 45435580 .1.3.6.1.4.1.9.9.826.1.71.9.1.6.83020 = Gauge32: 131525560 .1.3.6.1.4.1.9.9.826.1.71.9.1.7.83016 = STRING: "/mnt/boot" .1.3.6.1.4.1.9.9.826.1.71.9.1.7.83017 = STRING: "/opt/cisco/config" .1.3.6.1.4.1.9.9.826.1.71.9.1.7.83018 = STRING: "/opt/cisco/platform/logs" .1.3.6.1.4.1.9.9.826.1.71.9.1.7.83019 = STRING: "/var/data/cores" .1.3.6.1.4.1.9.9.826.1.71.9.1.7.83020 = STRING: "/opt/cisco/csp" .1.3.6.1.4.1.9.9.826.1.71.9.1.8.83016 = Gauge32: 7796848 .1.3.6.1.4.1.9.9.826.1.71.9.1.8.83017 = Gauge32: 1923084 .1.3.6.1.4.1.9.9.826.1.71.9.1.8.83018 = Gauge32: 4805760 .1.3.6.1.4.1.9.9.826.1.71.9.1.8.83019 = Gauge32: 48061320 .1.3.6.1.4.1.9.9.826.1.71.9.1.8.83020 = Gauge32: 131773580 .1.3.6.1.4.1.9.9.826.1.71.9.1.9.83016 = Gauge32: 97336 .1.3.6.1.4.1.9.9.826.1.71.9.1.9.83017 = Gauge32: 38328 .1.3.6.1.4.1.9.9.826.1.71.9.1.9.83018 = Gauge32: 179760 .1.3.6.1.4.1.9.9.826.1.71.9.1.9.83019 = Gauge32: 184320 .1.3.6.1.4.1.9.9.826.1.71.9.1.9.83020 = Gauge32: 248020          参考情報 FXOS: FPR2100/4100/9300シリーズ FXOS用のMIBファイルと、SNMP監視・トラップ https://supportforums.cisco.com/t5/-/-/ta-p/3389878   ファイアウォール トラブルシューティング https://supportforums.cisco.com/t5/-/-/ta-p/3161736 ... View more

  FN - 70319の ASA/FXOSソフトウェアへの影響について セキュリティ上の問題による tools.cisco.comの証明書のRootCAの変更の影響により、2018年10月5日より ASAソフトウェアのスマートライセンス認証が失敗する恐れがあります。当問題について詳しくは、FN - 70319 を参照してください。   当問題の対応には、基本、CSCvm80874  もしくは CSCvm81014の Workaround適用、もしくは 修正バージョンへのアップグレードが必要となります。なお、一部プラットフォームでシングルモード利用時は、Trustpoolの証明書の自動更新に対応するため、CSCvm80874 の対応は必須ではなくなります。   以下はプラットフォームとモード別の、対応分けとなります。 プラットフォーム スマートライセンス 認証元ソフトウェア Single Mode 利用時 Multiple Context Mode 利用時 ASAv ASA 自動更新 対応 (*1) - (未サポート) ASA on  Firepower2100 ASA 自動更新 対応 (*1) 自動更新 非対応 (*2) ASA on  Firepower4100 FXOS 自動更新 非対応 (*3) 自動更新 非対応 (*3) ASA on  Firepower9300 FXOS 自動更新 非対応 (*3) 自動更新 非対応 (*3) ASA on ASA5500-X - (未サポート) - -   *1 ASAバージョン 9.5(2)以降のみ自動更新対応。9.5(1)以下の場合は手動更新、もしくは CSCvm80874のWorkaround適用、もしくは ASAソフトウェアアップグレード必要 *2 対応にはCSCvm80874のWorkaround適用、もしくは ASAソフトウェアアップグレード必要 *3 対応にはCSCvm81014のWorkaround適用、もしくは FXOSソフトウェアアップグレード必要      ASAv/Firepower2100シリーズでASA利用時の対応について ASAv/Firepower 2100シリーズでASAソフトウェアをシングルモードで利用時、かつ ASAバージョン 9.5(2)以降の場合、Trustpoolの証明書の自動更新機能が有効です。当更新は毎日22:00にwww.cisco.com宛に行われます。そのため、www.cisco.com宛にアクセス可能なASAの場合、証明書の更新は自動で行われ、FN - 70319の問題は自動で修正されます。   ASAv/Firepower 2100シリーズでASAソフトウェアをシングルモードで利用時、かつ ASAバージョン 9.5(1)以下の場合は以下CLIで、Trustpoolの証明書の手動更新が可能です。なお、以下コマンドは、ASAバージョン 9.5(2)以降で 即座にTrustpoolの証明書を更新したい場合にも有効です。 crypto ca trustpool import url http://www.cisco.com/security/pki/trs/ios_core.p7b   Firepower 2100シリーズでASAソフトウェアをマルチプル コンテキスト モードで利用時は、Trustpoolの証明書の自動更新に対応していないため、対応にはCSCvm80874のWorkaround適用、もしくは ASAソフトウェアアップグレードが必要となります。 ASAv/Firepower2100シリーズ利用時の 証明書問題の対応や 動作確認例について、より詳しくは以下ドキュメントを参照してください。 ASA: ASA-3-717009: Certificate validation failedで、スマートライセンス認証が失敗する場合 https://supportforums.cisco.com/ja/document/13182316        Firepower4100/9300シリーズでASA利用時の対応について Firepower4100/9300シリーズでASAソフトウェアを利用時は、スマートライセンス認証はFXOSソフトウェアが行います。FXOSソフトウェアは、Trustpoolの証明書の自動更新に対応していないため、対応にはCSCvm81014のWorkaround適用、もしくは FXOSソフトウェアアップグレードが必要となります。   FXOSソフトウェアのスマートライセンス認証の仕組みについて詳しくは、以下ドキュメントを参照してください。 FPR4100/9300-ASA: Smart License 有効化方法とトラブルシューティング https://community.cisco.com/t5/-/-/ta-p/3328615      参考情報 Field Notice: FN - 70319 - ASA and FXOS Software - Change in Root Certificate Might Affect Smart Licensing and Smart Call Home Functionality - Software Upgrade Recommended https://www.cisco.com/c/en/us/support/docs/field-notices/703/fn70319.html   ASAv: スマートライセンス認証とトラブルシューティング https://community.cisco.com/t5/-/-/ta-p/3163034   FPR4100/9300-ASA: Smart License 有効化方法とトラブルシューティング https://community.cisco.com/t5/-/-/ta-p/3328615   ファイアウォール トラブルシューティング https://supportforums.cisco.com/ja/document/12725841   ... View more

ASA on Firepower 4100/2100 初期セットアップガイド ASAを Firepower 4100/2100 シリーズで利用する際の、初期セットアップの ステップ バイ ステップのガイドです。 ASAが Firepower 4100/2100シリーズ上で動作し、ASAとして利用可能 (ASA自身の設定が可能) となることをゴールとしております。 FXOSバージョンは 2.3.1.99、ASAバージョンは 9.8.3.8をベースに利用し、本ガイドを作成しております。 PDFプレビューは 画像をクリック。 2018年10月更新 - バージョン 1.0     本ガイドの目次は 以下となります。 FP4100/2100 のアーキテクチャ ASA on FP4100 の初期設定 ASA on FP2100 の初期設定     本ガイドは シスコシステムズの以下エンジニアが作成しました。 小林 達哉 (Tatsuya Kobayashi)     添付ファイル 201810-asaonfp4k2k-initial-setup-guide-partner-rev1-0.pdf をダウンロードし、是非ご活用ください。 なお、本ガイドは参考情報としての利用にとどめ、最新情報や正確な情報は CCOのコンフィギュレーションガイド等を参照するようにしてください。       参考情報 製品 & サービス / セキュリティ https://www.cisco.com/c/ja_jp/products/security/index.html 製品 & サービス / セキュリティ / 次世代ファイアウォール https://www.cisco.com/c/ja_jp/products/security/firewalls/index.html Cisco Support Community - セキュリティ ドキュメント https://supportforums.cisco.com/t5/-/tkb-p/5041-docs-security ... View more

    はじめに 本ドキュメントでは、ASAのActive/Standby冗長構成の、CLIを用いた ASAとASDMソフトウェアのアップグレード方法を紹介します。 本ドキュメント手順は、ASA5500-Xシリーズ、ASA5585-Xシリーズ、ASAv、ASASMで利用が可能です。 本ドキュメント内容は、ASA5515を利用し、ASAソフトウェアバージョンを9.6(3)3から9.6(4)14、ASDMソフトウェアバージョン 7.6(2)150から7.9(2)152へのアップグレードによる確認を行っております。       事前確認と準備事項 ・以下ドキュメントを参照し、ASA/ASDMバージョン選定や、アップグレード前の注意事項、互換性情報などを確認してください ASA: ASDMを用いた、同じトレイン内の 最新バージョンへのアップグレード方法 https://community.cisco.com/t5/-/-/ta-p/3151046 ・以下リリースノートを参照し、利用予定バージョンのアップグレードパスや 注意事項などを確認してください。 なお、原則 ASAバージョン 9.1(2)以降からのアップグレード時は 中継バージョン利用は不要です Release Notes https://www.cisco.com/c/en/us/support/security/asa-5500-series-next-generation-firewalls/products-release-notes-list.html ・以下ドキュメントの「5.2. Download Softwareからソフトウェアイメージのダウンロード」を参照し、利用予定のASA/ASDMソフトウェアイメージの事前ダウンロードを実施してください ASA5500-X: 初期セットアップ手順: 初期設定、S/Wアップグレード、ライセンス有効化方法 https://community.cisco.com/t5/-/-/ta-p/3162692#toc-hId-1287429854 ・Active/Standbyの切り替え(Failover)時に通信影響が発生するリスクがあります。 以下ドキュメントの「Failover時の注意事項」を参照の上、十分なメンテナンス時間を確保してからの アップグレード作業実施をお勧めします ASA: 冗長構成(Act/Stby)で Active機とStandby機の再起動方法 (CLI) https://community.cisco.com/t5/-/-/ta-p/3166724#toc-hId--1443186820 ・以下ドキュメントを参照し、ASDM もしくは CLIからの、両機器(Primary機とSecondary機)の設定の事前バックアップを 強くお勧めします ASDM: ASA設定のバックアップ・リストア機能について https://community.cisco.com/t5/-/-/ta-p/3155941 ・(未設定時は) 以下ドキュメントなどを参考に、prompt hostname priority state コマンドを有効化し、プロンプトから 機器状態などが確認できる状態にしてください ASA 冗長構成で、コマンドラインのプロンプトで Active機 Standby機状態を確認する https://community.cisco.com/t5/-/-/ta-p/3150135   ・(はじめてのアップグレード作業の場合) Active/Standby冗長構成の場合、各機器は固定の優先度(Primary機もしくはSecondary機)を持ち、また、どちらか片方がActive機となり通信処理を行います。 この優先度と状態について理解することでアップグレード作業をより円滑に進めることができます。詳しくは、以下ドキュメントの「ASA 冗長機能の仕組み」を一読いただく事をお勧めいたします ASA: 冗長機能と、Failoverのトリガー、Health Monitoringについて https://community.cisco.com/t5/-/-/ta-p/3157060         Active/Standby冗長構成 ASA/ASDMバージョンアップグレード 簡易フロー 以下のフローでアップグレードを行います。 Active/Standbyの切り替え(Failover)時に通信影響が発生する可能性があります。 1. Active機とStandby機の両方に ソフトウェアイメージファイルを アップロードします 2. Active機で ソフトウェアイメ ージの起動指定を行ったのち 設 定保存します。これら設定操作 は自動で、Standby機に同期さ れます 3. Standby機のアップグレード のため、Standby機の再起動を 行います Standby機は業務通信が通過しな いため通信影響なしにアップグレ ードが可能です 4. もう片側機のアップグレード のためActive機とStandby機の 切り替え(Failover)を実行します この操作で数秒程度の通信影響 (主にパケットドロップ)が発生 する可能性があります 5. 新Standby機(旧Active機)の アップグレードのため、 新Standby機の再起動を行いま す         Active/Standby冗長構成 ASA/ASDMバージョンアップグレード 手順 1. Active機で以下コマンドを実行し、現在のソフトウェアバージョンなどを確認します 【ASAソフトウェアバージョンや IP情報などの確認】 ASA/pri/act# show failover Failover On Failover unit Primary Failover LAN Interface: fover GigabitEthernet0/5 (up) Reconnect timeout 0:00:00 Unit Poll frequency 1 seconds, holdtime 15 seconds Interface Poll frequency 5 seconds, holdtime 25 seconds Interface Policy 1 Monitored Interfaces 2 of 114 maximum MAC Address Move Notification Interval not set Version: Ours 9.6(3)3, Mate 9.6(3)3 <--- THIS Serial Number: Ours FCH1746JR8X, Mate FCH16157DJW Last Failover at: 05:40:41 UTC Sep 25 2018 This host: Primary - Active Active time: 178914 (sec) slot 0: ASA5515 hw/sw rev (1.0/9.6(3)3) status (Up Sys) admin Interface inside (172.20.0.254): Normal (Monitored) admin Interface outside (0.0.0.0): Normal (Not-Monitored) admin Interface manage (1.170.0.62): Normal (Monitored) Other host: Secondary - Standby Ready Active time: 0 (sec) slot 0: ASA5515 hw/sw rev (1.0/9.6(3)3) status (Up Sys) admin Interface inside (172.20.0.253): Normal (Monitored) admin Interface outside (0.0.0.0): Normal (Not-Monitored) admin Interface manage (1.170.0.63): Normal (Monitored)    【ASA/ASDMソフトウェアバージョンの確認】 ASA/pri/act# show version Cisco Adaptive Security Appliance Software Version 9.6(3)3 <system> Device Manager Version 7.6(2)150 <--- Active ASDM version --- snip --- ASA/pri/act# failover exec standby show version Cisco Adaptive Security Appliance Software Version 9.6(3)3 <system> Device Manager Version 7.6(2)150 <--- Standby ASDM version     2. 事前に準備したASAと ASDMソフトウェアイメージを、Active機とStandby機にて各ダウンロードします。 以下は、TFTPサーバーからのファイルダウンロード例を示します。他に FTPやHTTPサーバーからのファイルダウンロードも可能です 【Active側】 ASA/pri/act# copy tftp flash Address or name of remote host [1.0.0.1]? Source filename [asa964-14-smp-k8.bin]? Destination filename [asa964-14-smp-k8.bin]? Accessing tftp://1.0.0.1/asa964-14-smp-k8.bin...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Writing file disk0:/asa964-14-smp-k8.bin... !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! 82980864 bytes copied in 70.450 secs (1185440 bytes/sec) ASA/pri/act# ASA/pri/act# copy tftp flash Address or name of remote host []? 1.0.0.1 Source filename []? asdm-792-152.bin Destination filename [asdm-792-152.bin]? Accessing tftp://1.0.0.1/asdm-792-152.bin...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Writing file disk0:/asdm-792-152.bin... !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! 32738244 bytes copied in 28.80 secs (1169223 bytes/sec)   【Standby側】 ASA/sec/stby# copy tftp flash Address or name of remote host [1.0.0.1]? Source filename [asdm-792-152.bin]? asa964-14-smp-k8.bin Destination filename [asa964-14-smp-k8.bin]? Accessing tftp://1.0.0.1/asa964-14-smp-k8.bin...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Writing file disk0:/asa964-14-smp-k8.bin... !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! 82980864 bytes copied in 70.500 secs (1185440 bytes/sec) ASA/sec/stby# ASA/sec/stby# copy tftp flash Address or name of remote host []? 1.0.0.1 Source filename []? asdm-792-152.bin Destination filename [asdm-792-152.bin]? Accessing tftp://1.0.0.1/asdm-792-152.bin...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Writing file disk0:/asdm-792-152.bin... !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! 32738244 bytes copied in 27.570 secs (1212527 bytes/sec)     3. 現在の起動時に選択されるASAソフトウェアイメージの確認と、既存設定がある場合は 削除します。Active機の設定変更は自動でStandby機に同期されます ASA/pri/act# show running-config boot boot system disk0:/asa963-3-smp-k8.bin <--- 既存設定を確認 ASA/pri/act# ASA/pri/act# ASA/pri/act# conf t ASA/pri/act(config)# no boot system disk0:/asa963-3-smp-k8.bin <--- 既存設定の削除 ASA/pri/act(config)# ASA/pri/act(config)# show running-config boot <--- 何も表示されないことを確認 ASA/pri/act(config)#    4. アップグレード先ASAバージョンの ASAソフトウェアイメージを指定し設定の保存を行います。Active機の設定変更や保存操作は自動でStandby機に同期されます ASA/pri/act(config)# boot system disk0:/asa964-14-smp-k8.bin ASA/pri/act(config)# ASA/pri/act(config)# write memory Building configuration... Cryptochecksum: a8b35af3 b94b2de6 96e78669 800a9ee7 1755 bytes copied in 0.790 secs [OK] ASA/pri/act(config)#     5. 環境変数にASAソフトウェアイメージが指定されていることを確認します。当ASAソフトウェアイメージが次回ASA起動時に利用されます ASA/pri/act(config)# show bootvar <--- Active機の環境変数の確認 BOOT variable = disk0:/asa964-14-smp-k8.bin Current BOOT variable = disk0:/asa964-14-smp-k8.bin CONFIG_FILE variable = Current CONFIG_FILE variable = ASA/pri/act(config)# failover exec standby show bootvar <--- Standby機の環境変数の確認 BOOT variable = disk0:/asa964-14-smp-k8.bin Current BOOT variable = disk0:/asa964-14-smp-k8.bin CONFIG_FILE variable = Current CONFIG_FILE variable =   6. アップグレード先ASDMバージョンの ASDMソフトウェアイメージを指定し設定の保存を行います。Active機の設定変更や保存操作は自動でStandby機に同期されます ASA/pri/act(config)# asdm image disk0:/asdm-792-152.bin ASA/pri/act(config)# ASA/pri/act(config)# write memory Building configuration... Cryptochecksum: e985df14 bcd1ccd4 6150742c 022d0ce1 1755 bytes copied in 0.780 secs [OK] ASA/pri/act(config)#    7. ASDMソフトウェアイメージは即座に反映されるため、Active機とStandby機でASDMバージョンが更新されたことを確認します ASA/pri/act# show version Cisco Adaptive Security Appliance Software Version 9.6(3)3 <system> Device Manager Version 7.9(2)152 <--- Active ASDM version --- snip --- ASA/pri/act# failover exec standby show version Cisco Adaptive Security Appliance Software Version 9.6(3)3 <system> Device Manager Version 7.9(2)152 <--- Standby ASDM version    8. ASAソフトウェアをアップグレードするため、Active機から Standby機の再起動を行います。この際、通信影響はありません ASA/pri/act(config)# failover reload-standby ASA/pri/act(config)# なお、上記コマンドをActive機で実施した後、Standby機は自動で再起動します ASA/sec/stby# *** *** --- SHUTDOWN NOW --- *** *** Message to all terminals: *** *** requested by active unit Process shutdown finished   9. 通常 5分～10分ほど待ち、Standby機が起動し Standby Readyとして稼働していること、及び ASAソフトウェアバージョンが上がっていることを確認します ASA/pri/act(config)# show failover Failover On Failover unit Primary Failover LAN Interface: fover GigabitEthernet0/5 (up) Reconnect timeout 0:00:00 Unit Poll frequency 1 seconds, holdtime 15 seconds Interface Poll frequency 5 seconds, holdtime 25 seconds Interface Policy 1 Monitored Interfaces 2 of 114 maximum MAC Address Move Notification Interval not set Version: Ours 9.6(3)3, Mate 9.6(4)14 <--- THIS Serial Number: Ours FCH1746JR8X, Mate FCH16157DJW Last Failover at: 05:40:41 UTC Sep 25 2018 This host: Primary - Active Active time: 180946 (sec) slot 0: ASA5515 hw/sw rev (1.0/9.6(3)3) status (Up Sys) admin Interface inside (172.20.0.254): Normal (Monitored) admin Interface outside (0.0.0.0): Normal (Not-Monitored) admin Interface manage (1.170.0.62): Normal (Monitored) Other host: Secondary - Standby Ready <--- THIS Active time: 0 (sec) slot 0: ASA5515 hw/sw rev (1.0/9.6(4)14) status (Up Sys) admin Interface inside (172.20.0.253): Normal (Monitored) admin Interface outside (0.0.0.0): Normal (Not-Monitored) admin Interface manage (1.170.0.63): Normal (Monitored)    10. Active機のアップグレードを行うため、手動Failover(ステート切り替え)を実施し、Active機をStandby機に変更します。この際、ASA 及び 周囲機器の切り替え動作により、数秒程度のパケットロスが発生することがあります。 切り替え後、Active機が Standby機に変わったことを確認してください [注意] TelnetやSSHを利用し管理アクセス時は、手動Failoverにより Primary機とSecondary機のIP/MACアドレスが入れ替わるため、Failover後に各機器の管理IPアドレスに再接続が必要です ASA/pri/act(config)# no failover active ASA/pri/act(config)# Switching to Standby ASA/pri/stby(config)# <--- stby(Standby)に変わったことを確認 ASA/pri/stby(config)# ASA/pri/stby(config)# show failover Failover On Failover unit Primary Failover LAN Interface: fover GigabitEthernet0/5 (up) Reconnect timeout 0:00:00 Unit Poll frequency 1 seconds, holdtime 15 seconds Interface Poll frequency 5 seconds, holdtime 25 seconds Interface Policy 1 Monitored Interfaces 2 of 114 maximum MAC Address Move Notification Interval not set Version: Ours 9.6(3)3, Mate 9.6(4)14 Serial Number: Ours FCH1746JR8X, Mate FCH16157DJW Last Failover at: 07:58:27 UTC Sep 27 2018 This host: Primary - Standby Ready <--- THIS 11. 旧Active機(現Standby機)のアップグレードのため 再起動を行います ASA/pri/stby(config)# reload Proceed with reload? [confirm] ASA/pri/stby(config)# *** *** --- START GRACEFUL SHUTDOWN --- Shutting down isakmp Shutting down webvpn Shutting down sw-module Shutting down License Controller Shutting down File system     12. 通常 5分～10分ほど待ち、正常起動し Standby Readyとして稼働していること、及び 両機器のASAソフトウェアバージョンが上がっていることを確認します ASA/pri/stby> enable Password: ASA/pri/stby# ASA/pri/stby# show failover Failover On Failover unit Primary Failover LAN Interface: fover GigabitEthernet0/5 (up) Reconnect timeout 0:00:00 Unit Poll frequency 1 seconds, holdtime 15 seconds Interface Poll frequency 5 seconds, holdtime 25 seconds Interface Policy 1 Monitored Interfaces 2 of 114 maximum MAC Address Move Notification Interval not set Version: Ours 9.6(4)14, Mate 9.6(4)14 <--- THIS Serial Number: Ours FCH1746JR8X, Mate FCH16157DJW Last Failover at: 08:04:58 UTC Sep 27 2018 This host: Primary - Standby Ready Active time: 0 (sec) slot 0: ASA5515 hw/sw rev (1.0/9.6(4)14) status (Up Sys) admin Interface inside (172.20.0.253): Normal (Monitored) admin Interface outside (0.0.0.0): Normal (Not-Monitored) admin Interface manage (1.170.0.63): Normal (Monitored) Other host: Secondary - Active Active time: 496 (sec) slot 0: ASA5515 hw/sw rev (1.0/9.6(4)14) status (Up Sys) admin Interface inside (172.20.0.254): Normal (Monitored) admin Interface outside (0.0.0.0): Normal (Not-Monitored) admin Interface manage (1.170.0.62): Normal (Monitored)    13. (option) 何等か理由で 旧Active機(現Standby機)を Activeに戻したい場合は、以下コマンドを実行します。この際、ASA 及び 周囲機器の切り替え動作により、数秒程度のパケットロスが発生することがあります。 なお、ASA冗長構成では Primary機と Secondary機の通信処理は同等に動作するため、不要なFailoverは少ないほうがよく、通常 この作業は不要です ASA/pri/stby(config)# failover active Switching to Active ASA/pri/act(config)#         よくある質問 ASDMを利用した 冗長構成のアップグレード手順はありますか はい、以下ドキュメントの手順を利用いただけます。 Cisco ASA Upgrade Guide https://www.cisco.com/c/en/us/td/docs/security/asa/upgrade/asa-upgrade/asa-appliance-asav.html#task_E9EE51964590499999B1D976F66E2771   切り戻しのためのダウングレード時も当手順を利用できますか はい、利用可能ですが、設定の自動変換はダウングレード時はサポートされません。例えば、大きくASAソフトウェアバージョンを下げる場合などは 設定差分が発生する可能性があります。 ASAソフトウェアバージョンダウングレード後に 設定差分が発生時は、アップグレード前に取得した事前設定バックアップファイルを、ダウングレード後の各ASA(Primary機とSecondary機)にリストアするようにしてください。   Active機とStandby機のバージョンが異なる構成はサポートされますか サポート対象となりますが、アップグレード時などの一時的なバージョン差分の発生の場合を除き、Primary機とSecondary機は原則同じバージョンで稼働/運用するようにしてください。冗長構成でのバージョンが違う事で、正常な新規セッションの同期や引継ぎなどがうまくいかないケースがあるためです。     参考情報 ASA: 冗長機能と、Failoverのトリガー、Health Monitoringについて https://community.cisco.com/t5/-/-/ta-p/3157060 ASA Failover: ケース別のGARP送付有無について https://community.cisco.com/t5/-/-/ta-p/3224179 ファイアウォール トラブルシューティング https://supportforums.cisco.com/t5/-/-/ta-p/3161736 ... View more

Firepower Systemのバージョンアップのため FMCをアップグレード時、以下エラーでアップグレードが失敗する場合がございます。 Update Installation Failed : xxxxxx: Error running script 000_start/108_check_sensors_ver.pl    当エラーは、バージョンアップにより FMCと 管理デバイスの互換性が崩れる場合に出力されます。   以下ドキュメントなどを参照し、現在管理しているFirepowerデバイスのバージョンが、アップグレード先のFMCのバージョンと互換性があるかの再確認をしてください。 必要に応じて、事前にFirepowerデバイスを FMCアップグレード先バージョンと互換性のあるバージョンにあげるようにしてください。  Firepower System 互換性情報と アップグレードパス https://community.cisco.com/t5/-/-/ta-p/3157416 ... View more

Firepower 2100/4100/9300シリーズ(FPR2100/4100/9300シリーズ)でASA利用時、ライセンスクラウド(=SSM)、もしくは ローカルのライセンス認証サーバ(=SSMサテライト)とのライセンス認証が必要となります。 利用モデルにより、認証元のOSが異なります。 FPR4100/9300シリーズでは スーパーバイザーであるFXOSにてスマートライセンス認証を行い、その上で稼働するASAアプリケーションにライセンスを割り当てる FPR2100シリーズでは、ASAがスマートライセンス認証を行う   FPR2100シリーズでASAを利用時は、上述のとおり ASAソフトウェアがスマートライセンス認証を行うため、ASAの利用モードとライセンス認証先の組み合わせによっては以下の制限が発生します。なお、シングルモード利用時や、ライセンスクラウド利用時は、制限は発生しません。   FPR2100-ASA Single Mode利用時 FPR2100-ASA Multiple Context Mode利用時 ライセンス認証に ライセンスクラウド (SSM)利用時 認証可能 認証可能 ライセンス認証に SSMサテライト 利用時 認証可能 HTTPのみ認証可能 (HTTPSは利用不可)      Multiple Contextモード利用時、かつ SSMサテライト利用時にHTTPS接続が利用不可なのは、Multiple Contextモードではライセンス認証用の証明書の利用可能範囲に制限があり、その範囲にSSMサテライトが対応してないためです。 以下は、SSMサテライトとのHTTPS認証失敗時の Failedログ出力例です。 %ASA-3-717009: Certificate validation failed. No suitable trustpoints found to validate certificate serial number: 01, subject name: cn=Cisco Licensing Root CA,o=Cisco, issuer name: cn=Cisco Licensing Root CA,o=Cisco . --- snip --- %ASA-3-717027: Certificate chain failed validation. No suitable trustpoint was found to validate chain. %ASA-4-120006: Call-Home license message to https://xx.xx.xx.xx:443/Transportgateway/services/DeviceRequestHandler failed. Reason: CONNECT_FAILED   SSMサテライトとのライセンス認証で HTTPを利用する場合は、call-homeの接続先設定は以下を参考にしてください。 [Smart licensing by https] call-home profile License destination address http https://[SSM satellite IP]:443/Transportgateway/services/DeviceRequestHandler [Smart licensing by http] call-home profile License destination address http http://[SSM satellite IP]/Transportgateway/services/DeviceRequestHandler      ASAの Multiple Contextモードを利用時の、SSMサテライトとのHTTPS接続を可能にするための機能追加要求は、以下不具合管理IDで定義させて頂いてます。2018年7月現在、開発検討中となり、実装予定は未定です。 CSCvi64995  ASA: SSM satellite: smart license registration fail when using multiple context mode FPR2100シリーズと、FPR4100/9300シリーズのライセンス認証方法の違いについて詳しくは、オンラインセミナー「Firepower 2100/4100 の ASA/FTD 利用時の比較と保守方法」も参照してください。 https://supportforums.cisco.com/t5/-/-/ta-p/3215381#toc-hId-1332629891   ASA/FXOSファイアウォールのトラブルシューティング情報全般は、以下ドキュメントを参照してください。 https://supportforums.cisco.com/t5/-/-/ta-p/3161736 ... View more

    はじめに FXOSのWebやSSHなどの管理アクセスのタイムアウト値の変更を、CLIから可能です。本ドキュメントでは、管理アクセスのセッションタイムアウト値の変更と確認方法を紹介します。 本ドキュメントは、FXOSバージョン 2.3(2)の情報を元に確認、作成しております。       アイドル セッションタイムアウト値の変更 FXOSは管理アクセスのアイドル セッションタイムアウト値を任意設定に変更可能です。最大は3600秒(1時間)です。デフォルトは600秒(10分)です。 HTTPS、SSHとTelnetのアイドル セッションタイムアウト値の変更は以下CLIで実施します。以下例では 3600秒(1時間)に変更しています。 FP4K# scope security FP4K /security # scope default-auth FP4K /security/default-auth* # set session-timeout 3600 FP4K /security/default-auth* # commit-buffer    Consoleアクセスのアイドル セッションタイムアウト値の変更は以下CLIで実施します。以下例では 3600秒(1時間)に変更しています。 FP4K# scope security FP4K /security # scope default-auth FP4K /security/default-auth # set con-session-timeout 3600 FP4K /security/default-auth* # commit-buffer          絶対セッションタイムアウト値の変更 FXOSは アイドル セッションタイムアウトとは別に、最大管理アクセス可能な 絶対(Absolute)セッションタイムアウトをもちます。この時間を超過時は、管理アクセスは強制的に閉じられます。最大時間は3600秒(1時間)です。デフォルトは 3600秒(1時間)です。例えば、CLIでの トラブルシューティング用のデバッグや定期ログ取得などで、長時間 FXOSに管理アクセスを行いたい場合は、このタイムアウト値を最大限長く、もしくは 一時的にタイムアウト無効 (=0) にすることを検討してください。 HTTPS、SSHとTelnetの絶対セッションタイムアウト値の変更は以下CLIで実施します。以下例では 3600秒(1時間)に変更しています。 FP4K# scope security FP4K /security # scope default-auth FP4K /security/default-auth # set absolute-session-timeout 3600 FP4K /security/default-auth* # commit-buffer    Consoleアクセスの絶対セッションタイムアウト値の変更は以下CLIで実施します。以下例では 絶対セッションタイムアウトを無効(=0秒を指定)に変更しています。 FP4K# scope security FP4K /security # scope default-auth FP4K /security/default-auth # set con-absolute-session-timeout 0 FP4K /security/default-auth* # commit-buffer       設定状況の確認 各セッションタイムアウト値は show detailコマンドで確認できます。   FP4K# scope security FP4K /security # scope default-auth FP4K /security/default-auth # show detail Default authentication: Admin Realm: None Operational Realm: None Web session refresh period(in secs): 100 Idle Session timeout(in secs) for web, ssh, telnet sessions: 3600 Absolute Session timeout(in secs) for web, ssh, telnet sessions: 3600 Serial Console Idle Session timeout(in secs): 3600 Serial Console Absolute Session timeout(in secs): 0 Admin Authentication server group: Operational Authentication server group: Use of 2nd factor: No 設定は show configurationコマンドで確認できます。 FP4K# scope security FP4K /security # show configuration --- 略 --- scope default-auth set absolute-session-timeout 3600 set auth-server-group "" set con-absolute-session-timeout 0 set con-session-timeout 3600 set realm none set refresh-period 100 set session-timeout 3600 set use-2-factor no exit       参考情報 Cisco FXOS Firepower Chassis Manager Configuration Guide, 2.3(1) https://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/fxos231/web-guide/b_GUI_FXOS_ConfigGuide_231/user_management.html#task_zhm_v55_gbb   FXOS: Telnetアクセスの有効化方法 (FP4100/FP9300) https://supportforums.cisco.com/t5/-/-/ta-p/3198112 ... View more

  はじめに Firepower 2100シリーズ(FPR2100)と、Firepower 4100シリーズ(FPR4100)/Firepower 9300シリーズ(FPR9300)は、スーパーバイザーやシャーシ管理用の専用OSであるFXOSが動作しています。 FPR2100でASA利用時、もしくは FPR4100/9300でASA/FTD利用時は、FXOSのCLIでの設定変更ができます。FPR2100と、FPR4100/9300はFXOSのSNMP機能は ほぼ同じですが、OIDに若干違いがあり、そのためMIBファイルも異なります。Firepower2100シリーズの場合、区別用にOIDに.2が追加されます。   FPR2100 series FPR4100/9300 series MIBファイル例 CISCO-FIREPOWER-AP-MIB.my CISCO-FIREPOWER-MIB.my オブジェクト例 CfprAaaApSession CfprAaaSession OID例 (Notify Trap) 1.3.6.1.4.1.9.9.826.2.x.x 1.3.6.1.4.1.9.9.826.0.x.x     FXOSは ハードウェアの管理をしており、ハードウェアの情報の監視を行いたい場合にFXOSの監視を検討します。 なお、FRP2100シリーズでは、FXOSと その上のASAもしくはFTDの統合が進んでおり、FXOSのログは ASAもしくはFTD側に出力されます。そのため、FPR2100シリーズ利用時は FXOSの監視は必須ではありません。 逆にFPR4100/9300シリーズでは、FXOSがハードウェア部分を、その上のASAもしくはFTDがソフトウェア部分を、それぞれ分けて管理しています。そのため、FPR4100/9300シリーズ利用時はハードウェア監視には、FXOSの監視が必要です。   FPR2100とFPR4100/9300のアーキテクチャと FXOSとASA/FTDの役割の違いについて詳しくは、以下ドキュメントを参照してください。 Firepower 2100/4100 の ASA/FTD 利用時の比較と保守方法  https://supportforums.cisco.com/t5/-/-/ta-p/3215381#toc-hId-1332629891      FXOS用のMIBファイル ダウンロード方法 CCOに公開されています。 例えば FPR2100用のMIBファイルは、以下リンクからダウンロード可能です。 https://software.cisco.com/download/release.html?mdfid=286312107&reltype=all&relind=AVAILABLE&dwnld=true&softwareid=286306337    例えば FPR4100/9300用のMIBファイルは、以下リンクからダウンロード可能です。 https://software.cisco.com/download/home/286305187/type/286287263/release/2.2.2.60         FXOSのSNMP Polling 多数のMIBファイルがあります。 各MIBファイルの説明や、運用で利用可能な標準的なOIDについては、以下ドキュメントを参照できます。なお、公開ドキュメントに記載以上の細かなOID一覧などは、TACからは公開しておりません。 https://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/mib/b_FXOS_MIBRef/purpose_of_the_cisco_fxos_mibs.html https://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/mib/b_FXOS_MIBRef/about_cisco_fxos_mib_files.html   FXOSのCPUやメモリなどの監視や、SNMP監視有効化方法については、以下ドキュメントを参照できます。 FXOS: CPUとメモリ使用状況の確認方法 (showコマンドとSNMPポーリング) https://supportforums.cisco.com/t5/-/-/ta-p/3226001 FXOS: ディスク使用状況の確認方法 (showコマンドとSNMPポーリング) https://community.cisco.com/t5/-/-/ta-p/3765009       FXOSのSNMP Trap FXOSの障害管理は show faultコマンドで行います。 インターフェイスDown/Up時や、電源モジュールやファン、ディスクのハードウェア障害時、ディスクの空き容量不足時、温度異常時など、様々な問題の検知と出力に対応します。 FXOSのフォルトメッセージ一覧と その対応策の確認は、以下ドキュメントを参照できます。利用のFXOSバージョンに応じたドキュメントを参照してください。 https://www.cisco.com/c/en/us/support/security/firepower-9000-series/products-system-message-guides-list.html 例えば以下は、FXOSバージョン 2.4(1)の フォルトメッセージ 一覧となります。 https://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/fxos241/faults/FXOSFaultsErrorsRef/FXOS_SEMs.html    FXOSでSNMP Trapを有効化した場合、show faultコマンドで確認できるフォルトメッセージの、発生時や解消時の通知を受けることができます。 例えば以下は FPR2100シリーズでリンクダウン時の、show faultの確認例と、FXOSからのSNMPトラップ出力例です。 firepower-2120# show fault Severity Code Last Transition Time ID Description --------- -------- ------------------------ -------- ----------- Cleared F1150 2018-03-08T15:54:59.087 100273 ether port 1/2 on fabric interconnect A oper state: link-down, reason: Down Minor F1150 2018-03-08T15:54:35.769 100262 ether port 1/1 on fabric interconnect A oper state: link-down, reason: Down [SNMPトラップ情報] Simple Network Management Protocol version: v2c (1) community: cisco data: snmpV2-trap (7) snmpV2-trap request-id: 1418148383 error-status: noError (0) error-index: 0 variable-bindings: 14 items 1.3.6.1.2.1.1.3.0: 127966750 Object Name: 1.3.6.1.2.1.1.3.0 (iso.3.6.1.2.1.1.3.0) Value (Timeticks): 127966750 1.3.6.1.6.3.1.1.4.1.0: 1.3.6.1.4.1.9.9.826.2.0.1 (iso.3.6.1.4.1.9.9.826.2.0.1) Object Name: 1.3.6.1.6.3.1.1.4.1.0 (iso.3.6.1.6.3.1.1.4.1.0) Value (OID): 1.3.6.1.4.1.9.9.826.2.0.1 (iso.3.6.1.4.1.9.9.826.2.0.1) 1.3.6.1.4.1.9.9.826.2.1.1.1.1.1.100263: 100263 Object Name: 1.3.6.1.4.1.9.9.826.2.1.1.1.1.1.100263 (iso.3.6.1.4.1.9.9.826.2.1.1.1.1.1.100263) Value (Gauge32): 100263 <--- Fault ID 1.3.6.1.4.1.9.9.826.2.1.1.1.1.11.100263: 657468657220...(ether port 1/1 on fabric interconnect A oper state: link-down, reason: Down) Object Name: 1.3.6.1.4.1.9.9.826.2.1.1.1.1.11.100263 (iso.3.6.1.4.1.9.9.826.2.1.1.1.1.11.100263) Value (OctetString):657468657220...(ether port 1/1 on fabric interconnect A oper state: link-down, reason: Down) <--- Description --- 略 --- 1.3.6.1.4.1.9.9.826.2.1.1.1.1.9.100263: Object Name: 1.3.6.1.4.1.9.9.826.2.1.1.1.1.9.100263 (iso.3.6.1.4.1.9.9.826.2.1.1.1.1.9.100263) Value (Integer32): 1150 <--- Fault Code --- 略 --- 1.3.6.1.4.1.9.9.826.2.1.1.1.1.20.100263: Object Name: 1.3.6.1.4.1.9.9.826.2.1.1.1.1.20.100263 (iso.3.6.1.4.1.9.9.826.2.1.1.1.1.20.100263) Value (Integer32): 4 <--- Fault Severity      モデル毎の出力されるSNMPトラップと そのOIDは以下です。   FPR2100 series FPR4100/9300 series Faultイベント 発生時 cfprApFaultActiveNotif 1.3.6.1.4.1.9.9.826.2.0.1 cfprFaultActiveNotif 1.3.6.1.4.1.9.9.826.0.1 Faultイベント クリア時 (解消時) cfprApFaultClearNotif 1.3.6.1.4.1.9.9.826.2.0.2 cfprFaultClearNotif 1.3.6.1.4.1.9.9.826.0.2 MIBファイル CISCO-FIREPOWER-AP-NOTIFS-MIB CISCO-FIREPOWER-NOTIFS-MIB    Fault severityは Codeで通知されます。以下はCodeとSeverityの対応付けです。例えば、SNMP Trapで通知されたFault SeverityのCodeが 4の場合は、Minorであることを示します。  Fault Severity Code Cleared  0 Info  1 Warning  3 Minor  4 Major  5 Critical  6     以下は、FXOSのSNMPトラップ有効化設定のCLIでの実行例となります。 FP4K-A# scope monitoring FP4K-A /monitoring # enable snmp FP4K-A /monitoring # set snmp community Enter a snmp community: <--- 任意コミュニティ名の設定 FP4K-A /monitoring # FP4K-A /monitoring # enter snmp-trap 64.104.xx.xx FP4K-A /monitoring/snmp-trap* # set community Community: <--- 任意コミュニティ名の設定 FP4K-A /monitoring/snmp-trap* # set notificationtype traps FP4K-A /monitoring/snmp-trap* # set port 162 FP4K-A /monitoring/snmp-trap* # set version v2c FP4K-A /monitoring/snmp-trap* # FP4K-A /monitoring/snmp-trap* # commit-buffer FP4K-A /monitoring/snmp-trap #    以下はSNMPトラップ設定の確認例です。 FP4K-A /monitoring # show snmp-trap detail SNMP Trap: SNMP Trap: 64.104.xx.xx Port: 162 Community: **** Version: V2c V3 Privilege: Noauth Notification Type: Traps        参考情報 ファイアウォール トラブルシューティング https://community.cisco.com/t5/-/-/ta-p/3161736 ... View more