Cisco ASA / FTD パラメータシート

FortiGate・Palo Alto シートと同じ位置づけ（本社境界をどれで作るかの選択）ですが、この機種は既存環境で残存していることが多く、更改案件では「現行がどう通しているか」を読む文書としても使います。現行環境調査報告書と対で読んでください。★核は3枚です。（1）インターフェースと security-level 設計 … インターフェースごとに 0〜100 の数値を持ち、★その大小だけで既定の通り方が決まります。高いところから低いところへは何も書かなくても通り、低いところから高いところへは通らず、同じ数値同士も通りません。ゾーン間が既定で拒否になる機種とは考え方が逆になる場面があり、他機種の感覚をそのまま持ち込むと「書いていない通信が通っている」状態になります。（2）ACL と NAT 設計 … ★ACL を1本付けた時点で、そのインターフェースの入力は全部 ACL で決まり、security-level による既定の許可は消えます。「1つ足すだけ」のつもりが全断になります。★ACL に書くのは変換後（実際の）アドレスで、古い世代の設定をそのまま持ち込むと合いません。NAT は書いた場所ではなく区分で評価順が決まります。（3）反映と ASA / FTD の違い … 同じ筐体でも中身が違い、★ASA は入力した時点で有効、FTD は配備しないと反映されません。どちらも★設定を変えても既に張られている接続は残ります。

★ACLを付ける前に、そのインターフェースで既定で通っている通信を洗い出して全部ACLに書いてください。付けた時点で既定の許可は消えます。★ACLに書くのは変換後（実際の）アドレスです。古い世代の設定は変換前で書いてあるので、そのまま持ち込むと合いません。★security-level は「何を既定で通したいか」で決めてください。数値を後から変えると、そのインターフェースに関わる全部の通り方が変わります。★ゲストは inside より低くしてください。逆にすると社内へ素通りします。★本社から拠点へ既定で通っていることを見落とさないでください。既定で通る向きを一覧にして、通ってよいかを1本ずつ判断してください。★暗黙の拒否は記録が残りません。ログを出す行を最後に置いてください。★NATは書いた場所ではなく区分で評価順が決まります。一覧で並びを確認してください。★packet-tracer で代表的な通信を1本ずつ確認してください。「ACLに書いていない通信」も必ず試してください。試さない限り「通ってしまっている」ことに気づけません。★ASAは設定の保存が別の操作です。忘れると次の再起動で消えます。★FTDはCLIで直しても次の配備で上書きされます。最初にASAかFTDかを実機で確認してください。★設定を変えても既存の接続は残ります。「直したのに変わらない」ときは接続が残っていないか見てください。パスワード・接続情報は書かず「別紙参照」としてください。