步骤 1

在您的计算机上，为 Cisco Secure Firewall 迁移工具创建一个文件夹。

步骤 2

浏览到 https://software.cisco.com/download/home/286306503/type，然后点击防火墙迁移工具 (Firewall Migration Tool)。

步骤 3

将 Cisco Secure Firewall 迁移工具的最新版本下载到您创建的文件夹中。

步骤 1

从配置捆绑包中，复制证书负载（值介于 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 之间）和密钥（值介于 -----BEGIN RSA PRIVATE KEY----- 和 -----END RSA PRIVATE KEY----- 之间）。

   "type":"identitywrapper",
   "action":"CREATE",
   "data":{
      "version":"girr7veykdjvx",
      "name":"RA_VPN_Cert",
      "cert":"-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----",
      "privateKey":"-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----",
      "issuerCommonName":"mojave-rsa-root-2048-sha384.cisco.com, CN = mojave-rsa-root-2048-sha384.cisco.com",
      "issuerCountry":"US",
      "issuerOrganization":"Cisco",
      "subjectCommonName":"fdm-ra-vpn-cert.cisco.com, CN = 172.16.10.50",
      "subjectCountry":"US",
      "subjectDistinguishedName":" C = US, O = Cisco, CN = fdm-ra-vpn-cert.cisco.com, CN = 172.16.10.50",
      "subjectOrganization":"Cisco",
      "validityStartDate":"Jan  1 12:00:00 2012 GMT",
      "validityEndDate":"Sep  1 12:00:00 2034 GMT",
      "isSystemDefined":false,
      "keyType":"RSA",
      "keySize":2048,
      "allowWeakCert":false,
      "signatureHashType":"SHA1",
      "weakCertificate":true,
      "id":"9d0a8efb-01fa-11ed-8d7b-1f4809c453ac",
      "type":"internalcertificate"
   }
}

步骤 2

将 PKI 证书导入管理中心 (ObjectManagement > PKIObjects)。

步骤 1

检查设备管理器上可用的软件包以进行下载。

curl -X GET --header 'Accept: application/json' '
 https://10.89.5.38/api/fdm/v6/object/anyconnectpackagefiles'

{
  "items": [
    {
      "version": "gx5yk7xkdsosu",
      "name": "anyconnect-win-4.10.02086-webdeploy-k9.pkg",
      "md5Checksum": "63e4a86fc7c68d7769b6a1b2976ffa73",
      "description": null,
      "diskFileName": "12f0988e-01fb-11ed-8d7b-07ecdd54c7bf.pkg",
      "platformType": "WINDOWS",
      "id": "133f2dbf-01fb-11ed-8d7b-89d64ab04e18",
      "type": "anyconnectpackagefile",
      "links": {
        "self": " https://10.89.5.38/api/fdm/v6/object/anyconnectpackagefiles/133f2dbf-01fb-11ed-8d7b-89d64ab04e18"
      }
    }
  ],
}

步骤 2

下载 AnyConnect 软件包。

curl -X GET --header 'Accept: application/octet-stream' 
' https://10.89.5.38/api/fdm/v6/action/downloaddiskfile/12f0988e-01fb-11ed-8d7b-07ecdd54c7bf.pkg'

步骤 3

检查设备管理器上的可用 AnyConnect 配置文件。

curl -X GET --header 'Accept: application/json' 
'https://10.196.155.3:12272/api/fdm/v6/object/anyconnectclientprofiles'

  "items": [
    
    {
      "version": "jqtwzirf36qke",
      "name": "AnyConnect_VPN_Profile",
      "md5Checksum": "e4ba581f84daec6f24c209f9f7f9e1fb",
      "description": null,
      "diskFileName": "1629395a-0384-11ed-8d7b-ab1a2a5ad583.xml",
      "anyConnectModuleType": "ANY_CONNECT_CLIENT_PROFILE",
      "id": "1754c10b-0384-11ed-8d7b-6b8e36ae1285",
      "type": "anyconnectclientprofile",
    }
  ]
}

步骤 4

下载 AnyConnect 配置文件。

curl -X GET --header 'Accept: application/octet-stream' 
'https://10.196.155.3:12272/api/fdm/v6/action/downloaddiskfile/1629395a-0384-11ed-8d7b-ab1a2a5ad583.xml'

步骤 5

将下载的软件包导入管理中心 (ObjectManagement >) > VPN > AnyConnect 文件 (AnyConnect File)。

步骤 1

在您的计算机上，导航至已在其中下载 Cisco Secure Firewall 迁移工具的文件夹。

步骤 2

执行以下操作之一：

• 在您的 Windows 计算机上，双击 Cisco Secure Firewall 迁移工具可执行文件，在 Google Chrome 浏览器中启动它。

  如果出现提示，请点击是 (Yes)，以允许 Cisco Secure Firewall 迁移工具对您的系统作出更改。

  Cisco Secure Firewall 迁移工具会创建所有相关文件并将文件存储在其驻留的文件夹中，包括日志和资源文件夹。

• 在 Mac 上，将 Cisco Secure Firewall 迁移工具 *.command 文件移动到所需文件夹，启动终端应用，浏览到安装防火墙迁移工具的文件夹并运行以下命令：

  # chmod 750 Firewall_Migration_Tool-version_number.command

  # ./Firewall_Migration_Tool-version_number.command

  Cisco Secure Firewall 迁移工具会创建所有相关文件并将文件存储在其驻留的文件夹中，包括日志和资源文件夹。

  提示	当您尝试打开 Cisco Secure Firewall 迁移工具时，因为没有可识别的开发人员在 Apple 中注册 Cisco Secure Firewall 迁移工具，系统会显示警告对话框。有关无法识别的开发人员打开应用的信息，请参阅无法识别的开发人员打开应用。

  注	使用 MAC 终端 zip 方法。

步骤 3

在最终用户许可协议 (End User License Agreement) 页面上，如果要与思科共享遥测信息，请点击我同意与思科成功网络共享数据 (I agree to share data with Cisco Success Network)，否则请点击我稍后再执行 (I'll do later)。

步骤 4

在重置密码页面上，输入您的旧密码、新密码，然后确认新密码。

步骤 5

点击重置 (Reset)。

步骤 6

使用新密码登录。

步骤 7

查看迁移前核对表并确保您已完成所有列出的项目。

步骤 8

点击新迁移 (New Migration)。

步骤 9

在软件更新检查 (Software Update Check) 屏幕上，如果您不确定自己是否正在运行 Cisco Secure Firewall 迁移工具的最新版本，请点击 Cisco.com 上的链接以验证版本。

步骤 10

点击继续 (Proceed)。

步骤 1

从下拉列表中选择源防火墙供应商 (Source Firewall Vendor)，然后点击开始迁移 (Start Migration)。

步骤 2

选择要用于迁移 FDM 托管设备的迁移选项。

步骤 1

在提取 FDM 信息 (Extract FDM Information) 屏幕的手动上传 (Manual Upload) 部分中，点击上传 (Upload) 以上传 FDM 托管配置捆绑包。如果配置捆绑包已加密，请在文本框中输入密钥，以便 Cisco Secure Firewall 迁移工具解密捆绑包。

步骤 2

浏览到 FDM 托管设备配置文件所在的位置，然后点击打开 (Open)。

步骤 3

点击开始解析 (Start Parsing)。

步骤 4

查看 Cisco Secure Firewall 迁移工具在上传的配置文件中检测和解析的元素的摘要信息。

步骤 5

点击下一步 (Next)，选择目标参数。

步骤 1

在提取 FDM 信息 (ExtractFDM Information) 屏幕上的连接 FDM (Connect to FDM) 部分中，点击连接 (Connect) 以连接到要迁移的 FDM 托管设备。

步骤 2

在 FDM 登录 (FDM Login) 屏幕中，输入以下信息：

步骤 3

查看 Cisco Secure Firewall 迁移工具从 FDM 托管设备检测和解析的元素的摘要信息。

步骤 4

点击下一步 (Next)，选择目标参数。

步骤 1

在选择目标 (Select Target) 屏幕的防火墙管理 (Firewall Management) 部分中，执行以下操作：

1. 点击本地 FMC (On-Prem FMC) 单选按钮。

2. 输入管理中心的 IP 地址或完全限定域名 (FQDN)。

3. 在域下拉列表中，选择要迁移到的域。

   如果您已选择将 Firepower 设备管理器（包括设备和共享配置）迁移到 FTD 设备（新硬件），则只能迁移到所选域中可用的威胁防御设备。

4. 点击连接 (Connect) 并继续步骤 2。

1. 点击云交付的 FMC (Cloud-delivered FMC) 单选按钮。

2. 选择区域并粘贴 CDO API 令牌。要从 CDO 生成 API 令牌，请执行以下步骤：

   1. 登录到 CDO 门户。

   2. 导航至设置 (Settings) > 常规设置 (General Settings) 并复制 API 令牌。

3. 点击连接 (Connect) 并继续步骤 2。

步骤 2

在防火墙管理中心登录 (Firewall Management Center Login) 对话框中，输入 Cisco Secure Firewall 迁移工具专用帐户的用户名和密码，然后点击登录 (Login)。

步骤 3

点击继续 (Proceed)。

步骤 4

在选择威胁防御 (Choose Threat Defense) 部分中，执行以下操作之一：

• 点击选择防火墙威胁防御设备 (Select Firewall Threat Defense Device)下拉列表，然后选中您要迁移 FDM 托管设备配置的设备。

  选择的 管理中心 域中的设备将按 IP 地址和名称列出。

  注	仅当支持的目标威胁防御平台是具有管理中心版本 6.5 或更高版本的 Firewall 1010 时，FDM 5505 迁移支持才适用于共享策略，而不适用于设备特定策略。当您忽略威胁防御并继续时，Cisco Secure Firewall 迁移工具不会将任何配置或策略推送到威胁防御。因此，作为威胁防御设备特定配置的接口和路由以及站点间 VPN 不会迁移。但是，所有其他受支持的配置（共享策略和对象）将迁移，例如 NAT、ACL 和端口对象。远程访问 VPN 是一种共享策略，即使没有威胁防御也可以迁移。

• 点击忽略威胁防御并继续 (Proceed without Threat Defense)，将配置迁移到 管理中心。

  当您忽略 威胁防御 并继续时，Cisco Secure Firewall 迁移工具不会将任何配置或策略推送到 威胁防御。因此，作为 威胁防御 设备特定配置的接口和路由以及站点间 VPN 不会迁移。但是，所有其他受支持的配置（共享策略和对象）将迁移，例如 NAT、ACL 和端口对象。远程访问 VPN 是一种共享策略，即使没有威胁防御也可以迁移。

步骤 5

点击继续 (Proceed)。

步骤 6

点击选择功能 (Select Features) 部分以查看并选择要迁移到目标的功能。

• 如果要迁移到目标 威胁防御 设备，Cisco Secure Firewall 迁移工具会自动从设备配置 (Device Configuration) 和共享配置 (Shared Configuration) 部分的 FDM 托管设备配置中选择可用于迁移的功能。您可以根据需要进一步修改默认选择。
• 如果要迁移到 管理中心，Cisco Secure Firewall 迁移工具会自动从共享配置 (Shared Configuration) 部分的 FDM 托管设备配置中选择可用于迁移的功能。您可以根据需要进一步修改默认选择。

  注	如果您已选择迁移 Firepower 设备管理器（仅限共享配置），则设备配置 (Device Configuration) 部分不可用。

• Cisco Secure Firewall 迁移工具在迁移过程中支持以下访问控制功能：

  • 填充目标安全区域 - 在迁移期间启用 ACL 的目标区域映射。

    路由查找逻辑仅限于静态路由和连接路由，而不考虑 PBR、动态路由和 NAT。接口网络配置用于导出连接路由信息。

    根据源和目标网络对象组的性质，此操作可能会导致规则爆炸。

  • • 自定义深度检查 - 检查封装的流量并通过快速路径提高性能

    • 提高性能 - 可对从早期处理中受益的其他任何连接使用快速路径或加以阻止。

    Cisco Secure Firewall 迁移工具可识别源配置中的封装隧道流量规则，并将其迁移为预过滤器隧道规则。您可以验证预过滤器策略下迁移的隧道规则。预过滤器策略与 管理中心 上的已迁移访问控制策略相关联。

    迁移为预过滤器隧道规则的协议如下：

    • GRE (47)

    • IPv4 封装 (4)

    • IPv6 封装 (41)

    • Teredo 隧道 (UDP:3544)

    注	如果不选择预过滤器选项，所有隧道流量规则都将迁移为不受支持的规则。

    FDM 托管设备配置中的 ACL 隧道规则（GRE 和 IPnIP）当前已默认进行双向迁移。您现在可以在访问控制状态选项中将目标的规则方向指定为双向或单向。

• Cisco Secure Firewall 迁移工具支持以下用于 VPN 隧道迁移的接口和对象：

  • 基于策略（加密映射）- 如果目标 管理中心 和 威胁防御 为 6.6 或更高版本。

  • 基于路由 (VTI) - 如果目标 管理中心 和 威胁防御 为 6.7 或更高版本。

• 如果目标管理中心是 7.2 或更高版本，Cisco Secure Firewall 迁移工具支持迁移远程访问 VPN。远程访问 VPN 是一种无需威胁防御即可迁移的共享策略。如果选择使用威胁防御进行迁移，则威胁防御版本应为 7.0 或更高版本。

• （可选）在优化部分中，选择仅迁移引用的对象，以仅迁移访问控制策略和 NAT 策略中引用的对象。

  注	当您选择此选项时，不会迁移 FDM 托管设备配置中未引用的对象。这可以优化迁移时间并从配置中清除未使用的对象。

• （可选）在优化部分中，选择对象组搜索以优化 威胁防御 上访问策略的内存利用率。

步骤 7

点击继续 (Proceed)。

步骤 8

在规则转换/流程配置 (Rule Conversion/ Process Config)部分中，点击开始转换 (Start Conversion) 以启动转换。

步骤 9

查看 Cisco Secure Firewall 迁移工具转换的元素的摘要。

步骤 10

点击下载报告 (Download Report)，并保存迁移前报告 (Pre-Migration Report)。

步骤 1

导航到下载迁移前报告的位置。

步骤 2

打开迁移前报告并仔细检查其内容，以确定可能会导致迁移失败的任何问题。

步骤 3

如果迁移前报告建议执行纠正操作，请在 接口上完成这些纠正操作，重新导出 FDM 托管设备配置文件，将更新的配置文件上传，然后再继续。

步骤 4

在您的 FDM 托管设备配置文件成功上传和解析之后，返回到 Cisco Secure Firewall 迁移工具，然后点击下一步 (Next) 以继续迁移。

步骤 1

如果您想要更改接口映射，请点击威胁防御接口名称 (Threat Defense Interface Name) 下拉列表，并选择您想要映射到该 接口的接口。

步骤 2

当您将每个 FDM 托管设备接口映射到 威胁防御 接口时，请点击下一步 (Next)。

步骤 1

在映射安全区和接口组屏幕上，查看可用接口、安全区和接口组。

步骤 2

要将接口映射到 管理中心 中的安全区和接口组，或映射到在 FDM 托管设备配置文件中作为安全区类型对象并出现在下拉列表中的安全区和接口组，请执行以下操作：

1. 在安全区栏中，选择该接口的安全区。

2. 在接口组栏中，选择该接口的接口组。

步骤 3

您可以手动映射或自动创建安全区和接口组。

步骤 4

1. 点击添加 SZ 和 IG (Add SZ & IG)。

2. 在添加 SZ 和 IG (Add SZ & IG) 对话框中，点击添加 (Add) 以添加新的安全区或接口组。

3. 在安全区栏中输入安全区名称。允许的最大字符数为 48。同样，您可以添加接口组。

4. 点击关闭 (Close)。

1. 点击自动创建 (Auto-Create)。

2. 在自动创建对话框中，选中接口组和区域映射中的一个或两个。

3. 点击自动创建 (Auto-Create)。

步骤 5

在已将所有接口映射到相应的安全区和接口组后，点击下一步 (Next)。

步骤 1

在验证状态对话框中，查看验证摘要。

步骤 2

点击推送配置 (Push Configuration)，将迁移的 FDM 托管设备配置发送至 管理中心。

步骤 3

在迁移完成后，点击下载报告 (Download Report)，下载并保存迁移后报告。

步骤 4

如果迁移失败，请仔细查看迁移后报告、日志文件和未解析文件，了解是什么原因导致失败。

步骤 1

导航至下载了迁移后报告的位置。

步骤 2

打开迁移后报告并仔细检查其内容，了解您的 FDM 托管设备配置是如何迁移的：

步骤 3

打开迁移前报告，并记下您必须在 威胁防御 设备上手动迁移的任何 FDM 托管设备配置项目。

步骤 4

在 管理中心中，执行以下操作：

1. 查看 威胁防御设备的迁移配置，确认所有预期规则和其他配置项目（包括以下内容）均已迁移：

   • 访问控制列表 (ACL)

   • 网络地址转换规则

   • 端口和网络对象

   • 路由

   • 接口

   • IP SLA 对象

   • 对象组搜索

   • 基于时间的对象

   • 站点间 VPN 隧道

   • 动态路由对象

2. 配置所有未迁移的部分受支持、不受支持、已忽略和已禁用的配置项目和规则。

   有关如何配置这些项目和规则的信息，请参阅管理中心配置指南 。以下是需要手动配置的配置项目的示例：

   • 平台设置，包括 SSH 和 HTTPS 访问，如威胁防御的平台设置中所述。

   • 系统日志设置，如配置系统日志中所述

   • 动态路由，如威胁防御路由概述中所述

   • 服务策略，如 FlexConfig 策略中所述

   • VPN 配置，如威胁防御 VPN 中所述

   • 连接日志设置，如连接日志记录中所述

   如果您在迁移前更改了 AD 领域的加密，请按照以下步骤将加密类型恢复为 LDAPS 或 STARTTLS：

   1. 导航到集成 (Integration) 部分，然后点击其他集成 (Other Integrations)。

   2. 选择领域 (Realms)，然后点击特定领域旁边的 编辑（） 以更改加密类型。

   3. 点击目录 (Directory) 并将加密类型更改为 LDAPS 或 STARTTLS。

   4. 保存并部署更改。

步骤 5

完成检查之后，将已迁移的配置从 管理中心 部署到 威胁防御 设备。

步骤 1

获取 FDM 托管的配置或连接到 FDM 托管设备以获取配置。

步骤 2

查看 FDM 托管设备配置文件。

步骤 3

在网络中部署 Firepower 2100 系列 设备，连接接口并打开设备电源。

步骤 4

注册 Firepower 2100 系列 设备以接受 管理中心 的管理。

步骤 5

（可选）如果源 FDM 托管设备配置具有端口通道，请在目标 Firepower 2100 系列 设备上创建端口通道 (EtherChannel)。

步骤 6

从 https://software.cisco.com/download/home/286306503/type 下载并运行最新版本的 Cisco Secure Firewall 迁移工具。

步骤 7

启动 Cisco Secure Firewall 迁移工具并指定目标参数时，请确保选择注册到 管理中心 的 Firepower 2100 系列 设备。

步骤 8

将 FDM 托管设备接口与 威胁防御 接口映射。

步骤 9

将逻辑接口映射到安全区时，点击自动创建 (Auto-Create) 以允许 Cisco Secure Firewall 迁移工具创建新的安全区。要使用现有安全区，请手动将 FDM 托管设备逻辑接口映射到安全区。

步骤 10

按照本指南的说明依次检查和验证要迁移的配置，然后将配置推送到 管理中心。

步骤 11

查看迁移后报告，手动设置其他配置并部署到 威胁防御，完成迁移。

步骤 12

使用您在计划迁移时创建的测试计划测试 Firepower 2100 系列 设备。

步骤 1

通过 SSH 控制台连接到 FDM 托管设备并切换到接口配置模式。

步骤 2

使用 shutdown 命令关闭 FDM 托管设备接口。

步骤 3

（可选）访问 管理中心 并配置 Firepower 2100 系列 设备的动态路由。

步骤 4

清除周围交换基础设施上的地址解析协议 (ARP) 缓存。

步骤 5

执行从周围交换基础设施到 Firepower 2100 系列 设备接口 IP 地址的基本 ping 测试，确保它们可访问。

步骤 6

执行从需要第 3 层路由的设备到 Firepower 2100 系列 设备接口 IP 地址的基本 ping 测试。

步骤 7

如果要为 Firepower 2100 系列 设备分配新的 IP 地址，而不是重新使用分配给 FDM 托管设备的 IP 地址，请执行以下步骤：

步骤 8

运行全面的测试计划并监控管理 Firepower 2100 设备的 管理中心。