【Cisco Systems】ASA/FTD これからの長期サポートバージョン

はじめに

以前（2024年6月28日）の記事を掲載させて頂いた時点では、ASA 9.20、FTD 7.4は次期XLTRと位置付けられるも推奨とされていない状況であり、現在までは各トレインから以下のようなバージョンが多く採用されていたかと思います。

• ・LTRでSuggested ReleaseなASA 9.18、FTD 7.2
• ・XLTRなASA 9.16、FTD 7.0

【Cisco Systems】OSバージョンについて

🕒️2024年6月28日

はじめにこの度、当社のホームページをリニューアルいたしました。皆様にお役立て頂ける情報や、よくあるお問い合わせへの標準的な回答などをご提供していきたいと思いますので、宜しくお願いいたします。初回となる本記事では、Cisco Systems社が展開するネットワーク製品の、主にエンタープライズネットワーク向けシリーズを題材として、必ず検討の議題となるネットワーク機器のOSバージョンについてお送りさせて頂きます。選定についてOSやVersionの選定はエンドユーザー様ごとに契約やポリシーは異なるもので、一律に正解と断言で...

電新ネットワーク技術株式会社

この後、2024年7月31日の初期リリースから複数の中間アップデートを経て、ASA 9.20.3 Interim、FTD 7.4.2が正式にSuggestedとしてマークされ、これからの長期サポートリリース（XLTR）として採用バージョンの有力な候補となりました。

今回の記事では、Cisco Secure Firewall（ASA、Firepower）のOSについて、これまでの採用バージョンと比較した新機能や特筆すべき点から、特に通信動作の根幹となるルーティングに関連するものをご紹介させて頂きます。

【ASA】新たに追加された機能

ASA 9.18(2)から、以下を対象としてLoopback Interfaceが使用できるようになりました。

• ・BGP
• ・AAA
• ・SNMP
• ・Syslog
• ・SSH
• ・Telnet

Release Notes for the Cisco Secure Firewall ASA Series, 9.18(x)

https://www.cisco.com/c/en/us/td/docs/security/asa/asa918/release/notes/asarn918.html#reference_bfh_fmb_rtb

Release Notes: Release Notes for the Cisco Secure Firewall ASA Series, 9.18(x)

Cisco

さらに、9.19(1)からはVTIのSource InterfaceへLoopbackの指定、そしてDynamic VTIとVTIでのEIFRP及びOSPFが新たにサポートされています。

Release Notes for the Cisco Secure Firewall ASA Series, 9.19(x)

https://www.cisco.com/c/en/us/td/docs/security/asa/asa919/release/notes/asarn919.html#reference_pxb_qmb_rtb

Release Notes for the Cisco Secure Firewall ASA Series, 9.19(x) -Release Notes: Release Notes for the Cisco Secure Firewall ASA Series, 9.19(x)

Cisco

また、9.20(1)からはLoopbackの適用範囲が更に拡充され、DNS、HTTP、ICMP、そしてIPsec Flow Offloadingなども適用可能となりました。

Release Notes for the Cisco Secure Firewall ASA, 9.20(x)

https://www.cisco.com/c/en/us/td/docs/security/asa/asa920/release/notes/asarn920.html#reference_nlw_cd3_hwb

Release Notes: Release Notes for the Cisco Secure Firewall ASA, 9.20(x)

Cisco

【FTD】新たに追加された機能

FTD 7.3.0から、ASAと同様にLoopback InterfaceがVTIで使用可能となり、Dynamic VTIとVTIでのEIGRP及びOSPFが追加されています。

Cisco Secure Firewall Threat Defense Release Notes, Version 7.3.x

https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/release-notes/threat-defense/730/threat-defense-release-notes-73.html#Cisco_Concept.dita_99a036dd-7071-4aa7-8bb6-e3e3567dd8c7

Release Notes: Cisco Secure Firewall Threat Defense Release Notes, Version 7.3.x

Cisco

また、以下のような機構については、7.4.0よりLoopback Interfaceが使用可能となりました。

• ・AAA
• ・BGP
• ・DNS
• ・HTTP
• ・ICMP
• ・IPsec Flow Offload
• ・NetFlow
• ・SNMP
• ・SSH
• ・Syslog

Cisco Secure Firewall Threat Defense Release Notes, Version 7.4.x

https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/release-notes/threat-defense/740/threat-defense-release-notes-74.html#Cisco_Concept.dita_f1d9dce2-d61d-4aaa-ba45-c419ab2d3d39

Release Notes: Cisco Secure Firewall Threat Defense Release Notes, Version 7.4.x

Cisco

※この記事はFTDをFMC（Firewall Management Center）の管理で運用と仮定し記載しています。On-BoxなFDM（Firewall Device Manager）の場合はこの限りでは御座いませんので、Release Noteをご確認下さい。

【新機能での構成例1】他の要素と平仄を合わせたルーティング

これまでの、「Loopback InteraceをサポートしないOS」でRouting Protocolを使用する場合、「安定的なインタフェース（とアドレス）」をSourceやrouter-idに採番できないなどの制約から、他の要素と平仄が合わないルーティングテーブルとなるなど、「Firewallは例外」として取り扱わざるを得ない状況が往々にして発生していました。

※筆者が携わった事案で感じた個人的な印象ですが、これを嫌ってJuniper SRXやPaloalto PAなどが採用されたように見受けられるケースもありました。

しかし、これまでのアップデートにより、現在のXLTRなASA 9.20とFTD 7.4ではルーターやL3スイッチと平仄を合わせたルーティングを構成出来るため、より制約を受けず柔軟にCisco Secure Firewallが導入可能となりました。

【新機能での構成例2】LoopbackでTunnelを終端

例えば、障害体制や負荷分散を鑑みた、ISP1とISP2など2つ以上のASとPeeringして広域網に接続している構成で、従来までの機能では保有するアドレス空間に数的な制約がある場合、グローバルなアドレスを保有するそれぞれのInterfaceでTunnelを終端せざるをえないケースがありました。

当然ながら、アドレスやサブネットの割り当てがそれぞれに必要となり、BGPなどでRoutingを構成する場合はそれぞれの経路でNeighborを確立し、Attributeもこの数だけ記述する必要があるなど、Configurationが複雑化する要素ともなります。

しかし、VTIでLoopback Interfaceが使用可能となったことから、「ISP1とISP2の両方から到達可能な、自組織が保有するGlobal AddressをもつLoopback InterfaceでTunnelを終端」とした構成とすることで、よりシンプルかつ少ないアドレス空間で安定的にTunnel Interfaceが構成可能となりました。

アドレス空間における使用数の削減は当然ながら、広域網でサイト間をIPsecで終端する環境や、Amazon AWS、Microsoft Azure、Google GCPなどを筆頭としたクラウドプラットフォームとの接続など、あらゆるケースでお役立て頂けるアップデートではないでしょうか。

【新機能での構成例3】Dynamic VTIとIKEv2でのRoute Learning

従来、Cisco Secure Firwallで構成するVPNでは、各VTI毎に/30などのアドレス空間とInterface addressを採番する必要があったり、IKEv2での「ikev2 route set interface」コマンドが使用できないためにStatic Routeに依存するなど、IOS/IOS-XEのルーター製品と比較して、どうしても劣ってしまう部分がありました。

このため、アドレスやサブネット、ルーティングプロトコルなどの制約から、「Routingな部分はルーター製品で構成し、FWは境界に別途設置する」などの構成が多く採用されていたかと思いますが、今回までのアップデートによって、「サイト間接続のHub側でTunnelをVirtual-TemplateかつunnumberedにしてLoopback Interfaceの/32アドレスを使用、さらにIKEv2でこのアドレスを通知してBGP Neighborを確立」といった、構成をFWで実現可能となりました。

現在の推奨リリースでも、従来のDMVPNやFlexVPNで実現される、Spoke間で最短経路を自動確立する処理などについてはIOS/IOS-XEのみで実現可能なため、このような機能が採用される構成では、もちろんルーター製品に優位性があります。

しかし、Hub and Spokeなトポロジー（Spoke間は全てHubを経由する）で要件を満たす構成においては、ASAやFTDのみで構成してルーター製品を除外することも技術的に可能となったため、デバイスの集約で調達や運用管理を含め、総コストへ寄与するメリットも得られるアップデートとなっています。

非対応モデルと、旧モデルのEoS/EoL

旧ASAシリーズとFirepowerとして初期にリリースされEoLを直近で控えた製品については、今回のASA 9.20、FTD 7.4へ対応しないモデルとなっています。

ご利用の皆様におかれましては、EoS/EoLによる更改へ限らず、構造変更を見据えた有意義な機会と考えて頂ければ幸いです。

ASA 5506-X

販売終了日：2021年8月2日
サポート終了日: 2026年8月31日

End-of-Sale and End-of-Life Announcement for the Cisco ASA5506 Series Securit...

https://www.cisco.com/c/en/us/products/collateral/security/asa-5500-series-next-generation-firewalls/eos-eol-notice-c51-744797.html

Cisco announces the end-of-sale and end-of-life dates for the Cisco ASA5506 Series Security Appliance with ASA software. The last day to order the affected product(s) is August 2, 2021. Customers with active service contracts will continue to receive support from the Cisco Technical Assistance Center (TAC) as shown in Table 1 of the EoL bulletin. Table 1 describes the end-of-life milestones, definitions, and dates for the affected product(s). Table 2 lists the product part numbers affected by...

Cisco

ASA 5508-X/5516-X

販売終了日：2021年8月2日
サポート終了日: 2026年8月31日

https://www.cisco.com/site/us/en/products/collateral/firewalls/asa-5500-serie...

https://www.cisco.com/site/us/en/products/collateral/firewalls/asa-5500-series-next-generation-firewalls/eos-eol-notice-c51-744798.html

www.cisco.com

ASA 5525-X/5545-X/5555-X

販売終了日：2020年9月4日
サポート終了日: 2025年9月30日

End-of-Sale and End-of-Life Announcement for the Cisco ASA5525, ASA5545 & ASA...

https://www.cisco.com/c/en/us/products/collateral/security/asa-firepower-services/eos-eol-notice-c51-743545.html

Cisco announces the end-of-sale and end-of-life dates for the Cisco ASA5525, ASA5545 & ASA5555 Series Security Appliance & 5 YR Subscriptions. The last day to order the affected product(s) is September 4, 2020. Customers with active service contracts will continue to receive support from the Cisco Technical Assistance Center (TAC) as shown in Table 1 of the EoL bulletin. Table 1 describes the end-of-life milestones, definitions, and dates for the affected product(s). Table 2 lists the product...

Cisco

Firepower 2100

販売終了日：2025年5月27日
サポート終了日: 2030年5月31日

End-of-Sale and End-of-Life Announcement for the Cisco Firepower 2100 Series ...

https://www.cisco.com/c/en/us/products/collateral/security/firepower-ngfw/firepower-2100-series-sec-app-5-yr-sub-eol.html

Cisco announces the end-of-sale and end-of life dates for the Cisco Firepower 2100 Series Security Appliances & 5 YR Subscriptions. The last day to order the affected product(s) is May 27, 2025 . Customers with active service contracts will continue to receive support from the Cisco Technical Assistance Center (TAC) as shown in Table 1 of the EoL bulletin. Table 1 describes the end-of-life milestones, definitions, and dates for the affected product(s). Table 2 lists the product part numbers a...

Cisco

Firepower 4110

販売終了日：2022年1月31日
サポート終了日: 2027年1月31日

End-of-Sale and End-of-Life Announcement for the Cisco Firepower 4110 Series ...

https://www.cisco.com/c/en/us/products/collateral/security/firepower-ngfw/firepower-4110-series-security-appliances-eol.html

Cisco announces the end-of-sale and end-of-life dates for the Cisco Firepower 4110 Series Security Appliances & 5 YR Subscriptions. The last day to order the affected product(s) is January 31, 2022. Customers with active service contracts will continue to receive support from the Cisco Technical Assistance Center (TAC) as shown in Table 1 of the EoL bulletin. Table 1 describes the end-of-life milestones, definitions, and dates for the affected product(s). Table 2 lists the product part number...

Cisco

Firepower 4120/4140/4150
Firepower 9300 SM24/SM36/SM44

販売終了日：2020年8月31日
サポート終了日: 2025年8月31日

End-of-Sale and End-of-Life Announcement for the Cisco Firepower 4120/40/50 a...

https://www.cisco.com/c/en/us/products/collateral/security/firepower-ngfw/eos-eol-notice-c51-743522.html

Cisco announces the end-of-sale and end-of-life dates for the Cisco Firepower 4120/40/50 and FPR 9300 SM24/36/44 Series Security Appliances/Modules & 5 YR Subscriptions. The last day to order the affected product(s) is August 31, 2020. Customers with active service contracts will continue to receive support from the Cisco Technical Assistance Center (TAC) as shown in Table 1 of the EoL bulletin. Table 1 describes the end-of-life milestones, definitions, and dates for the affected product(s). ...

Cisco

まとめ

いかがだったでしょうか。

Cisco Secure Firewallについては、旧称のFirepoerでリリースされたモデルから、3100 Seriesや4200 Seriesの追加によって、さらなる高スループットや低遅延、そしてIPsecやDTLSなど暗号化をアクセラレーションするオフロードエンジンを搭載したFPGAが実装されるなど、より充実したスペックからモデルを選択可能となっています。

新たにXLTRとなったASA 9.20.3 Interim、FTD 7.4.2と併せて導入することで、様々なケースで採用できるFWとしてご活用頂けるものではないでしょうか。

この記事が、ご覧いただいた皆様へ少しでもお役に立てば幸いです。

• ※この記事は筆者個人の見解によるものであり、各メーカー様や当社としての意見や見解を示すものではありません。
• ※この記事に含まれる情報については、その内容について当社として何らの保証をするものではありません。
• ※この記事に含まれる情報を利用したことに起因する、利用者又は第三者が被る直接的及び間接的損害に関して、当社はその責任を一切負いません。

独り言

※以下は筆者の個人的な独り言です。

今回の記事でご紹介したCisco Systems様の製品に限らず、従来から「FW機器などではRouting Protocolを使用しない（Static Routeのみで構成する）」とした考え方を、リセラー様やディストリビューター様でも未だにあらゆるケースで短絡的に適用してしまっているのが、現在の日本国内における状態ではないでしょうか。

※FW製品に限らずADC製品などについても、同様のご経験をお持ちの方が多いのではないでしょうか。

筆者の個人的な印象ですが、これはそもそも適切なリソース管理や製品の構造が理解できていない、更にはルーティングなど基幹の技術を適切にリセラー様からエンドユーザー様へまで提供できる体制が整っていないことなど、悪く言えば「各社様の製品を提供する側の見識や能力が不足しているのに、このような名目にかこつけて向上を放棄している」ことのようにも感じてしまっています。

今回ご紹介させて頂いたCisco Systems様のASA 9.20、FTD 7.4のように、製造元の各社様は「機能の進化やグローバルの利用環境で求められる仕様への適合、そして更なる可用性の向上」に向けてOSのリリースを重ねています。この進化や新機能を常に検証して、設備投資に対して最大限の成果が得られる役務を提供し続けるすることが、私たち技術者のあるべき姿であると筆者は考えます。

「短絡的に従前の設定値をただ踏襲して現状のみを維持すること」や、「誰かが作ってくれた設定例にわかりやすいマニュアル、そして親切に教えてくれる問い合わせ窓口が存在する範囲だけで役務を提供する」などのような実態は、製品の開発と向上を続ける各社様が私たちに期待するものとは、決して相容れないのではないでしょうか。

このような現状が少しでも多く認知され、作り手である各社様が理念をもって供給するものが、より多く使い手へ寄与する最大限の形で提供されることを、一介の技術者として願ってやみません。

• ← 前の記事に戻る
• 一覧に戻る
• 次の記事に進む →