Firepower 机箱管理器设置

Firepower 2100 运行 FXOS 来控制设备的基本操作。您可以使用 GUI Firepower 机箱管理器或 FXOS CLI 来配置这些功能；本文档涵盖了 Firepower 机箱管理器的内容。请注意，所有安全策略和其他操作都是在 ASA OS 中配置的（使用 CLI 或 ASDM）。

概述

在概述 (Overview) 选项卡上，您可以轻松监控 Firepower 2100 的状态。概述 (Overview) 选项卡提供下列元素：

设备信息 (Device Information) - 概述 (Overview) 选项卡顶部包含下列有关 Firepower 2100 的信息：
- 机箱名称 (Chassis name) - 显示分配给机箱的名称。默认情况下，该名称为 firepower-型号，例如 firepower-2140。此名称显示在 CLI 提示符中。要更改机箱名称，请使用 FXOS CLI scope system / set name 命令。
- IP 地址 (IP address) - 显示分配给机箱的管理 IP 地址。
- 型号 (Model) - 显示 Firepower 2100 的型号。
- 版本 (Version) - 显示在机箱上运行的 ASA 的版本号。
- 运行状态 (Operational State) - 显示机箱的运行状态。
- 机箱正常运行时间 (Chassis uptime) - 显示自从系统上次重新启动后经过的时间。
- 正常运行时间信息 (Uptime Information) 图标 - 将光标悬停在该图标上可以查看机箱和 ASA 安全引擎的正常运行时间。
直观状态显示 (Visual Status Display) -“设备信息 (Device Information)”部分下面是机箱的直观展示图，显示机箱中安装的组件，并提供这些组件的常规状态。您可以将光标悬停在“直观状态显示 (Visual Status Display)”中显示的端口上，以获取更多信息，例如接口名称、速度、类型、管理状态和运行状态。

详细状态信息 (Detailed Status Information) -“直观状态显示 (Visual Status Display)”下面有一个表，其中包含机箱的详细状态信息。状态信息分为以下部分：“故障 (Faults)”、“接口 (Interfaces)”、“设备 (Devices)”和“资产 (Inventory)”。您可以看到表上面各个部分的摘要，单击您想要查看信息的摘要区域，可以看到每个部分的更多详细信息。

系统为机箱提供以下详细状态信息：

故障 (Faults) - 列出系统中发生的故障。故障按严重性排序：“严重 (Critical)”、“主要 (Major)”、“次要 (Minor)”、“警告 (Warning)”和“信息 (Info)”。对于所列的每个故障，可以查看严重性、故障说明、原因、出现次数以及最新出现时间。您还可以查看是否已确认故障。

单击任何故障，可查看故障的更多详细信息或确认故障。

注	在消除了故障根源后，系统会在下个轮询间隔内自动将故障从列表中清除。如果用户正在想办法解决特定故障，他们可以确认故障，以便让其他用户了解当前正在处理故障。

接口 (Interfaces) - 列出系统中安装的接口，并显示接口名称、运行状态、管理状态、收到的字节数和传输的字节数。

您可以点击任何接口，查看以图形显示的最近 15 分钟内该接口的输入和输出字节数。
设备 (Devices) - 显示 ASA，并提供以下详细信息：设备名称、设备状态、应用、运行状态、管理状态、映像版本和管理 IP 地址。
资产 (Inventory) - 列出机箱中安装的组件，并提供这些组件的相关详细信息，如：组件名称、核心数量、安装位置、运行状态、可操作性、容量、功率、温度、序列号、型号、部件号和供应商。

接口

您可以在 FXOS 中管理物理接口。要使用某一接口，必须在 FXOS 中以物理方式启用它，并在 ASA 中以逻辑方式启用它。

Firepower 2100 默认启用巨帧支持。最大 MTU 为 9184。

注	如果在启用故障转移（通过增加或删除网络模块，或通过更改 EtherChannel 配置）后更改接口，请在备用设备上的 FXOS 中更改接口，然后在主用设备上进行相同更改。如果在 FXOS 中删除一个接口（例如，如果您移除网络模块，移除 EtherChannel，或将某个接口重新分配到 EtherChannel），则 ASA 配置会保留原始命令，以便您可以进行任何必要的调整；从配置中删除接口会产生广泛的影响。您可以在 ASA OS 中手动移除旧的接口配置。

配置接口

您可以通过物理方式启用和禁用接口，并设置接口速度和双工。要使用某一接口，必须在 FXOS 中以物理方式启用它，并在 ASA 中以逻辑方式启用它。

过程

步骤 1

点击接口 (Interface) 选项卡。

步骤 2

要启用或禁用接口，请点击管理状态 (Admin State) 滑块。复选标记表示已启用，而 X 则表示已禁用。

注	管理 1/1 接口在该表中显示为 MGMT。

步骤 3

点击要编辑其速度或双工的接口对应的编辑 (Edit) 铅笔图标。

注	您只能启用或禁用管理 1/1 接口；但不能编辑其属性。

步骤 4

选中启用 (Enable) 复选框以启用该接口。

步骤 5

从管理速度 (Admin Speed) 下拉列表中，选择接口的速度。

步骤 6

点击自动协商 (Auto Negotiation) 是 (Yes) 或否 (No) 单选按钮。

步骤 7

从管理双工 (Admin Duplex) 下拉列表中，选择该接口的双工。

步骤 8

点击确定。

添加 EtherChannel

EtherChannel（也称为端口通道）最多可以包含 16 个同一类型和速度的成员接口。

注	EtherChannel 成员端口在 ASA 上可见，但您只能在 FXOS 中配置 EtherChannels 和端口成员身份。如果在启用故障转移后更改 EtherChannel 配置，请在备用设备上的 FXOS 中更改接口，然后在主用设备上进行相同更改。

开始之前

Firepower 2100 在链路汇聚控制协议 (LACP) 活动或开启模式下支持 EtherChannel。默认情况下，LACP 模式设置为“活动 (Active)”；您可以在 CLI 中将该模式更改为“开启 (On)”。我们建议将连接交换机端口设置为“活动 (Active)”模式，以实现最佳兼容性。

过程

步骤 1

点击接口 (Interface) 选项卡。

步骤 2

点击接口表上方的添加端口通道 (Add Port Channel)。

步骤 3

在端口通道 ID (Port Channel ID) 字段中，输入端口通道的 ID。有效值介于 1 与 47 之间。

步骤 4

选中启用 (Enable) 复选框以启用端口通道。

忽略类型 (Type) 下拉列表；唯一可用的类型是数据 (Data)。

步骤 5

从管理速度 (Admin Speed) 下拉列表中，选择所有成员接口的速度。

如果您选择的接口无法达到所选速度（以及您选择的其他设置），则会自动应用尽可能最快的速度。

步骤 6

为所有成员接口点击自动协商 (Auto Negotiation) 是 (Yes) 或否 (No) 单选按钮。

步骤 7

在管理双工 (Admin Duplex) 下拉列表中，为所有成员接口选择双工。

步骤 8

在可用接口 (Available Interface) 列表中，选择您要添加的接口，然后点击添加接口 (Add Interface)。

您最多可以添加 16 个同一类型和速度的接口。添加到通道组的第一个接口确定正确的类型和速度。

提示	一次可添加多个接口。要选择多个独立接口，请点击所需的接口，同时按住 Ctrl 键。要选择一个接口范围，请选择范围中的第一个接口，然后，在按住 Shift 键的同时，点击选择范围中的最后一个接口。

注	您要删除 EtherChannel 中的接口时，ASA 配置将保留相关命令，以便您可以进行任何必要的调整；从配置中删除接口可能具有广泛影响。您可以在 ASA OS 中手动移除旧的接口配置。例如，将 Ethernet1/4 分配给 FXOS 中的 Port-channel7 后，Ethernet1/4 仍显示为 ASA OS 中的可用接口，并且 Ethernet1/4 的任何配置都将保留。如果您输入show interface ethernet1/4 ，ASA 会显示接口 "未与管理引擎关联"。使用 no interface ethernet1/4 命令可删除无关配置。

步骤 9

点击确定。

监控接口

在接口 (Interfaces) 选项卡上，可以查看机箱上已安装的接口的状态。下半部分包含安装在 Firepower 机箱中的接口的表。上面部分显示 Firepower 机箱中安装的接口的直观表示。您可以将鼠标悬停在上半部分中任何接口上方，以获取有关该接口的其他信息。

接口带有色标，表示其当前状态：

绿色 - 运行状态为“开启 (Up)”。
暗灰色 - 管理状态为“已禁用 (Disabled)”。
红色 - 运行状态为“关闭 (Down)”。
浅灰色 - 未安装 SFP。

逻辑设备

逻辑设备 (Logical Devices) 页显示有关 ASA 的信息和状态。您还可以使用滑块禁用或重新启用 ASA 以进行故障排除（选中标记表示它已被启用，而 X 则表示它已被禁用）。

ASA 的标题提供了状态 (Status)：

正常 (ok) - 逻辑设备配置已完成。
未完成配置 (incomplete-configuration) - 逻辑设备配置未完成。

逻辑设备区域还为 ASA 提供了更详细的状态 (Status)：

在线 (Online) - ASA 正在运行和操作。
离线 (Offline) - ASA 已停止且无法操作。
正在安装 (Installing) - 正在进行 ASA 安装。
未安装 (Not Installed) - 未安装 ASA。
安装失败 (Install Failed) - ASA 安装失败。
正在启动 (Starting) - ASA 正在启动。
启动失败 (Start Failed) - ASA 未能启动。
已启动 (Started) - ASA 已成功启动，并且正在等待应用代理心跳。
正在停止 (Stopping) - ASA 正在停止。
停止失败 (Stop Failed) - ASA 无法进入离线状态。
没有响应 (Not Responding) - ASA 没有响应。
正在更新 (Updating) - 正在进行 ASA 软件升级。
更新失败 (Update Failed) - ASA 软件升级失败。
更新成功 (Update Succeeded) - ASA 软件升级成功。

平台设置

平台设置 (Platform Settings) 选项卡允许您为 FXOS 设置基本操作，包括时间和管理访问。

NTP：设置时间

您可以手动设置时钟，或使用 NTP 服务器（推荐）。您最多可以配置 4 个 NTP 服务器。

开始之前

默认情况下，NTP 配置为以下思科 NTP 服务器：0.sourcefire.pool.ntp.org、1.sourcefire.pool.ntp.org、2.sourcefire.pool.ntp.org。
如果您要将主机名用于 NTP 服务器，则必须配置 DNS 服务器。请参阅 DNS：配置 DNS 服务器。

过程

步骤 1

点击平台设置 (Platform Settings) 选项卡，然后点击左侧导航窗格中的 NTP。

默认情况下，将选择时间同步 (Time Synchronization) 选项卡。

步骤 2

要使用 NTP 服务器：

点击使用 NTP 服务器 (Use NTP Server) 单选按钮。
(可选) （ASA 9.10(1) 及更高版本）如果您需要使用 NTP 服务器进行身份验证，选中 NTP 服务器身份验证: 启用复选框。

单击是以要求身份验证密钥 ID 和值。

仅支持使用 SHA1 进行 NTP 服务器身份验证。
单击添加以通过 IP 地址或主机名标识最多 4 个 NTP 服务器。

如果您要将主机名用于 NTP 服务器，请在完成此程序后配置 DNS 服务器。
（ASA 9.10(1) 及更高版本）输入 NTP 服务器的身份验证密钥 ID 和身份验证值。

从 NTP 服务器获取密钥 ID 和值。例如，要在安装了 OpenSSL 的 NTP 服务器 4.2.8p8 版或更高版本上生成 SHA1 密钥，请输入 ntp-keygen -M 命令，然后在 ntp.keys 文件中查看密钥 ID 和值。密钥用于告知客户端和服务器在计算消息摘要时要使用哪个值。
单击保存以保存服务器。

步骤 3

要手动设置时间：

点击手动设置时间 (Set Time Manually) 单选按钮。
点击日期 (Date) 下拉列表，以显示日历，然后使用日历中的可用控件设置日期。
使用对应的下拉列表将时间指定为小时、分钟和 AM/PM。

步骤 4

点击当前时间 (Current Time) 选项卡，然后从时区 (Time Zone) 下拉列表中，为机箱选择适当的时区。

步骤 5

单击保存 (Save)。

注	如果系统时间修改超过 10 分钟，系统会将您注销，稍后，您需要再次登录 Firepower 机箱管理器。

SSH：配置 SSH

以下程序说明如何启用或禁用对 Firepower 机箱的 SSH 访问，以及如何将机箱作为 SSH 客户端启用。默认情况下，SSH 服务器和客户端处于启用状态。

过程

步骤 1	依次选择平台设置 (Platform Settings) > SSH > SSH 服务器 (SSH Server)。
步骤 2	要启用 SSH 服务器，以提供对 Firepower 机箱的 SSH 访问，请勾选启用 SSH (Enable SSH) 复选框。
步骤 3	对于服务器加密算法 (Encryption Algorithm)，请选中每种允许的加密算法对应的复选框。
步骤 4	对于服务器密钥交换算法，请勾选每个允许的 Diffie-Hellman (DH) 密钥交换的复选框。 DH 密钥交换提供无法由任何一方单独确定的共享密钥。密钥交换与签名和主机密钥配合使用，以提供主机身份验证。此密钥交换方法提供显式服务器身份验证。有关使用 DH 密钥交换方法的详细信息，请参阅 RFC 4253。
步骤 5	对于服务器 Mac 算法 (Mac Algorithm)，请勾选允许的每种完整性算法所对应的复选框。
步骤 6	对于服务器主机密钥，请输入 RSA 密钥对的模块大小。模数值（以位为单位）应为 8 的倍数，且介于 1024 到 2048 之间。指定的密钥模块大小越大，生成 RSA 密钥对所需的时间就越长。建议值为 2048。
步骤 7	对于服务器密钥更新数量限制 (Volume Rekey Limit)，请设置在 FXOS 断开会话连接之前允许通过该连接的流量（以 KB 为单位）。
步骤 8	对于服务器密钥更新时间限制，请设置 FXOS 断开会话连接之前允许的 SSH 会话空闲时间（以分钟为单位）。
步骤 9	单击保存 (Save)。
步骤 10	单击 SSH 客户端 (SSH Client) 选项卡，以自定义 FXOS 机箱 SSH 客户端。
步骤 11	对于严格主机密钥检查，可选择启用、禁用或提示来控制 SSH 主机密钥检查。启用 (enable) - 如果 FXOS 已知的主机文件中不包括主机密钥，连接将被拒绝。您必须在 FXOS CLI 中使用系统/服务范围的 enter ssh-host 命令手动添加主机。提示 (prompt) - 对于机箱中未存储的主机密钥，系统会提示您接受或拒绝该主机密钥。禁用 (disable) - （默认）机箱将自动接受以前未存储的主机密钥。
步骤 12	对于客户端加密算法 (Encryption Algorithm)，请选中每种允许的加密算法对应的复选框。
步骤 13	对于客户端密钥交换算法，请勾选每个允许的 Diffie-Hellman (DH) 密钥交换的复选框。 DH 密钥交换提供无法由任何一方单独确定的共享密钥。密钥交换与签名和主机密钥配合使用，以提供主机身份验证。此密钥交换方法提供显式服务器身份验证。有关使用 DH 密钥交换方法的详细信息，请参阅 RFC 4253。
步骤 14	对于客户端 Mac 算法，请勾选每个允许的完整性算法的复选框。
步骤 15	对于客户端密钥更新数量限制 (Volume Rekey Limit)，请设置在 FXOS 断开会话连接之前允许通过该连接的流量（以 KB 为单位）。
步骤 16	对于客户端密钥更新时间限制，请设置 FXOS 断开会话连接之前允许的 SSH 会话空闲时间（以分钟为单位）。
步骤 17	点击保存。

SNMP：配置 SNMP

使用 SNMP 页面，在 Firepower 机箱上配置简单网络管理协议 (SNMP)。

关于 SNMP

SNMP 是一种应用层协议，提供 SNMP 管理器和代理之间的通信消息格式。SNMP 提供用于监控和管理网络中的设备的标准化框架和通用语言。

SNMP 框架由三个部分组成：

SNMP 管理器 - 用于通过 SNMP 来控制和监控网络设备的活动的系统。
SNMP 代理 - Firepower 机箱内的软件组件，用于维护 Firepower 机箱的数据并根据需要向 SNMP 管理器报告数据。Firepower 机箱包含代理和 MIB 集合。
管理信息库 (MIB) - SNMP 代理上的受管对象集合。

Firepower 机箱支持 SNMPv1、SNMPv2c 和 SNMPv3。SNMPv1 和 SNMPv2c 都使用基于社区形式的安全性。

SNMP 通知

SNMP 的一个关键功能是能够生成来自 SNMP 代理的通知。这些通知不要求从 SNMP 管理器发送请求。通知可以指示不恰当的用户验证、重新启动、连接断开、到相邻路由器的连接丢失或其他重要事件。

Firepower 机箱将 SNMP 通知生成为陷阱或通知。陷阱不如通知可靠，因为 SNMP 管理器在收到陷阱时不发送任何确认，并且 Firepower 机箱无法确定是否已收到陷阱。收到通告请求的 SNMP 管理器使用一个 SNMP 响应协议数据单元 (PDU) 来确认消息。如果 Firepower 机箱不接收 PDU，则其可以再次发送通知请求。

SNMP 安全级别和权限

SNMPv1、SNMPv2c 和 SNMPv3 分别表示不同的安全模型。安全模型与所选安全级别结合来确定处理 SNMP 消息时应用的安全机制。

安全级别确定查看与 SNMP 陷阱关联的消息时所需的权限。权限级别确定是否需要防范消息泄露或免受身份验证。受支持的安全级别取决于实施的安全模式。SNMP 安全级别支持以下一个或多个权限：

noAuthNoPriv - 无身份验证或加密
authNoPriv - 身份验证，但无加密
authPriv - 身份验证和加密

SNMPv3 同时提供了安全模型和安全级别。安全模型是为用户和用户所处的角色设置的身份验证策略。安全级别是安全模型中允许的安全级别。安全模型和安全级别相结合来确定在处理 SNMP 数据包时采用的安全机制。

支持的 SNMP 安全模型和级别组合

下表确定安全模型和级别的组合含义。

表 1. SNMP 安全模型和级别
型号	级别	身份验证	加密	状况
v1	noAuthNoPriv	社区字符串	否	使用社区字符串匹配进行身份验证。
v2c	noAuthNoPriv	社区字符串	否	使用社区字符串匹配进行身份验证。
V3	noAuthNoPriv	用户名	否	使用用户名匹配进行身份验证。
V3	authNoPriv	HMAC-SHA	否	提供基于 HMAC 安全散列算法 (SHA) 的身份验证。
V3	authPriv	HMAC-SHA	DES	提供基于 HMAC-SHA 算法的身份验证。除基于密码块链 (CBC) DES (DES-56) 标准的身份验证外，还提供数据加密标准 (DES) 56 位加密。

SNMPv3 安全功能

SNMPv3 通过将在网络上对帧进行身份验证和加密相结合来提供对设备的安全接入。SNMPv3 仅按已配置的用户来授权管理操作，并会加密 SNMP 消息。SNMPv3 基于用户的安全模型 (USM) 是指 SNMP 消息级别安全，并提供以下服务：

消息完整性 - 确保消息未在未经授权的情况下进行修改或销毁，并且数据序列未修改至超出可以非恶意形式出现的程度。
消息来源身份验证 - 确保对用户（系统代表该用户发出此已接收数据）的声明身份进行确认。
消息机密性和加密 - 确保不向未经授权的个人、实体或流程提供或披露信息。

SNMP 支持

Firepower 机箱为 SNMP 提供下列支持：

针对 MIB 的支持

Firepower 机箱支持对 MIB 的只读访问。

适用于 SNMPv3 用户的身份验证协议

Firepower 机箱针对 SNMPv3 用户支持 HMAC-SHA-96 (SHA) 身份验证协议。

适用于 SNMPv3 用户的 AES 隐私协议

除了基于 SHA 的身份验证，Firepower 机箱还提供了使用 AES-128 位高级加密标准的隐私。Firepower 机箱使用隐私密码生成 128 位 AES 密钥。AES 隐私密码至少可具有八个字符。如果口令用明文指定，您可以指定最多 80 个字符。

配置 SNMP

启用 SNMP，添加陷阱和 SNMPv3 用户。

过程

步骤 1

选择平台设置 (Platform Settings) > SNMP。

步骤 2

在 SNMP 区域中，填写以下字段：


名称	说明
管理状态 (Admin State) 复选框	SNMP 已启用还是已禁用。仅当系统包含与 SNMP 服务器的集成时才启用此服务。
端口字段	Firepower 机箱与 SNMP 主机通信时使用的端口。无法更改默认端口。
社区/用户名 (Community/Username) 字段	Firepower 机箱在它发送给 SNMP 主机的任何陷阱消息中包含的默认 SNMP v1 或 v2 社区名或 SNMP v3 用户名。输入介于 1 和 32 个字符之间的字母数字字符串。请勿使用 @（at 号）、\（反斜线）、"（双引号）、? （问号）或空格。默认值为 `public`。请注意，如果社区/用户名 (Community/Username) 字段已设置，空字段右侧会显示文本已设置：是 (Set: Yes)。如果社区/用户名 (Community/Username) 字段尚未填充值，空字段右侧会显示文本已设置：否 (Set: No)。
系统管理员名称 (System Administrator Name) 字段	负责 SNMP 实施的联系人。输入一个字符串，最多 255 个字符，例如邮件地址或姓名和电话号码。
位置字段	SNMP 代理（服务器）运行所在的主机的位置。输入一个字母数字字符串，最多 510 个字符。

步骤 3

在 SNMP 陷阱 (SNMP Traps) 区域中，单击添加 (Add)。

步骤 4

在添加 SNMP 陷阱 (Add SNMP Trap) 对话框中，填写以下字段：


名称	说明
主机名 (Host Name) 字段	Firepower 机箱应向其发送陷阱的 SNMP 主机的主机名或 IP 地址。
社区/用户名 (Community/Username) 字段	向 SNMP 主机发送陷阱时，Firepower 机箱包含的 SNMP v1 或 v2 社区名或 SNMP v3 用户名。这必须与为 SNMP 服务配置的社区或用户名相同。输入介于 1 和 32 个字符之间的字母数字字符串。请勿使用 @（at 号）、\（反斜线）、"（双引号）、? （问号）或空格。
端口字段	Firepower 机箱与 SNMP 主机通信以布设陷阱时使用的端口。输入一个介于 1 和 65535 之间的整数。
版本字段	用于陷阱的 SNMP 版本和型号。这可以是以下其中一项： V1 V2 V3
类型字段	如果为版本选择 V2 或 V3，则是要发送的陷阱类型。这可以是以下其中一项：陷阱 (Traps) 告知 (Informs)
v3 权限 (v3 Privilege) 字段	如果为版本选择 V3，与陷阱相关联的权限。这可以是以下其中一项：身份验证 (Auth) - 有身份验证，但没有加密无身份验证 (Noauth) - 没有身份验证和加密权限 (Priv) - 有身份验证和加密

步骤 5

单击确定 (OK)，可关闭添加 SNMP 陷阱 (Add SNMP Trap) 对话框。

步骤 6

在 SNMP 用户 (SNMP Users) 区域中，单击添加 (Add)。

步骤 7

在添加 SNMP 用户 (Add SNMP User) 对话框中，填写以下字段：


名称	说明
名称 (Name) 字段	分配给 SNMP 用户的用户名。最多输入 32 个字母或数字。名称必须以字母开始，也可以指定 _（下划线）、. （句点）、@（邮箱符号）和 -（连字符）。
授权类型 (Auth Type) 字段	授权类型：SHA。
使用 AES-128 (Use AES-128) 复选框	如果选中此复选框，则此用户使用 AES-128 加密。
密码 (Password) 字段	此用户的密码。
确认密码 (Confirm Password) 字段	用于再次确认的密码。
隐私密码 (Privacy Password) 字段	此用户的隐私密码。
确认隐私密码 (Confirm Privacy Password) 字段	用于再次确认的隐私密码。

步骤 8

单击确定 (OK)，可关闭添加 SNMP 用户 (Add SNMP User) 对话框。

步骤 9

点击保存 (Save)。

HTTPS：更改端口

默认情况下，在端口 443 上启用 HTTPS 服务。您无法禁用 HTTPS，但可以更改端口，将其用于 HTTPS 连接。

开始之前

如果在 ASA 数据接口上启用 HTTPS 访问，则不要从 443 更改 HTTPS 端口；仅支持默认端口。

过程

步骤 1

选择平台设置 (Platform Settings) > HTTPS。

步骤 2

在端口 (Port) 字段中输入要用于 HTTPS 连接的端口。指定一个介于 1 和 65535 之间的整数。默认情况下，在端口 443 上启用此服务。

步骤 3

单击保存 (Save)。

使用指定的 HTTPS 端口配置 Firepower 机箱。

更改 HTTPS 端口后，所有当前 HTTPS 会话都将关闭。用户需要使用新端口重新登录 Firepower 机箱管理器，如下所示：

https://<chassis_mgmt_ip_address>:<chassis_mgmt_port>

其中 <chassis_mgmt_ip_address> 是您在初始配置期间输入的 Firepower 机箱的 IP 地址或主机名，<chassis_mgmt_port> 是您刚刚配置的 HTTPS 端口。

DHCP：为管理客户端配置 DHCP 服务器

您可以为连接到管理 1/1 接口的客户端启用 DHCP 服务器。默认情况下，使用以下地址范围启用服务器：192.168.45.10-192.168.45.12。如果要更改管理 IP 地址，则必须禁用 DHCP 。然后，您可以为新网络重新启用 DHCP。

过程

步骤 1	依次选择平台设置 (Platform Settings) > DHCP。
步骤 2	选中启用 DNS 服务 (Enable DHCP service) 复选框。
步骤 3	输入起始 IP (Start IP) 和结束 IP (End IP) 地址。
步骤 4	点击保存。

系统日志：配置系统日志消息传送

日志对常规故障排除及事件处理均有帮助。您可以将系统日志消息发送到 Firepower 2100 控制台、SSH 会话或本地文件。

这些系统日志消息仅适用于 FXOS 机箱。对于 ASA 系统日志消息，必须在 ASA 配置中配置日志记录。

注

不支持远程目标。

过程

步骤 1

选择平台设置 (Platform Settings) > 系统日志 (Syslog)。

步骤 2

配置本地目的：

单击本地目的 (Local Destinations) 选项卡。

填写以下字段：


名称	说明
控制台 (Console)
管理状态 (Admin State)	勾选启用 (Enable) 复选框可在控制台上显示系统日志消息。
级别 (Level)	点击要在控制台上显示的最低消息级别。Firepower 机箱将显示该级别及以上级别的消息。紧急提醒严重
平台
管理状态 (Admin State)	平台系统日志始终处于启用状态。
级别 (Level)	选择要显示的最低消息级别。Firepower 机箱将显示该级别及以上级别的消息。默认值为信息 (Informational)。紧急提醒严重错误警告通知信息调试
文件
管理状态 (Admin State)	勾选启用 (Enable) 复选框可将系统日志消息保存到文件中。
级别 (Level)	选择要保存的最低消息级别。系统将保存该级别及以上级别的消息。紧急提醒严重错误警告通知信息调试
名称 (Name)	设置文件的名称，最多 16 个字符。
大小 (Size)	在系统开始用最新消息覆写最旧消息之前，请指定最大文件大小（以字节为单位）。范围为 4096 到 4194304 字节。

单击保存 (Save)。

步骤 3

配置本地来源：

单击本地来源 (Local Sources) 选项卡。

填写以下字段：


名称	说明
故障管理状态 (Faults Admin State)	是否启用系统故障日志记录。如果选中启用 (Enable) 复选框，Firepower 机箱将记录所有系统故障。
审核管理状态 (Audits Admin State)	是否启用审核日志记录。如果选中启用 (Enable) 复选框，Firepower 机箱将记录所有审核日志事件。
事件管理状态 (Events Admin State)	是否启用系统事件日志记录。如果选中启用 (Enable) 复选框，Firepower 机箱将记录所有系统事件。

点击保存。

DNS：配置 DNS 服务器

如果系统要求将主机名解析为 IP 地址，则您需要指定 DNS 服务器。您最多可以配置 4 个 DNS 服务器。配置多个 DNS 服务器时，系统仅以任意随机顺序搜索服务器。

开始之前

默认情况下，DNS 配置为以下 OpenDNS 服务器：208.67.222.222、208.67.220.220。

过程

步骤 1	选择平台设置 (Platform Settings) > DNS。
步骤 2	选中启用 DNS 服务器 (Enable DNS Server) 复选框。
步骤 3	对于您要添加的每个 DNS 服务器（最多 4 个），请在 DNS 服务器 (DNS Server) 字段中输入 DNS 服务器的 IP 地址，单击添加 (Add)。
步骤 4	单击保存 (Save)。
步骤 5	点击域名配置 (Domain Name Configuration) 选项卡，输入要将 Firepower 机箱作为后缀附加到非限定名称的域名 (Domain name)，然后点击添加 (Add)。例如，如果您将域名设置为“example.com”并通过不受限定的名称“jupiter”来指定系统日志服务器，则 Firepower 机箱会将名称限定为“jupiter.example.com”。

FIPS 和通用标准：启用 FIPS 和通用标准模式

执行以下步骤可在 Firepower 2100 上启用 FIPS 或“通用标准 (CC) ”模式。

您还必须使用 fips enable 命令在 ASA 上单独启用 FIPS 模式。在 ASA 上没有用于通用标准模式的单独设置；对 CC 或 UCAPL 法规合规性的任何其他限制都必须按照思科安全策略文档进行配置。

我们建议您首先在 ASA 上设置 FIPS 模式，等待设备重新加载，然后在 FXOS 中设置 FIPS 模式。

过程

步骤 1	依次选择平台设置 (Platform Settings) > FIPS 和通用标准 (FIPS and Common Criteria)。
步骤 2	通过选中启用 (Enable) 复选框启用 FIPS。
步骤 3	通过选中启用 (Enable) 复选框启用通用标准 (Common Criteria)。在启用“通用标准 (Common Criteria)”后，默认情况下将启用 FIPS 启用 (FIPS Enable) 复选框。
步骤 4	点击保存 (Save)。
步骤 5	按照提示重新启动系统。

访问列表：配置管理访问

默认情况下，Firepower 2100 允许对 Firepower 机箱管理器进行 HTTPS 访问，和在管理 1/1 192.168.45.0/24 网络上进行 SSH 访问。如果您要允许从其他网络进行访问，或者允许 SNMP，则必须添加或更改访问列表。

对于每个 IP 地址块（v4 或 v6），最多可为每项服务配置 25 个不同子网。

过程

步骤 1	依次选择平台设置 (Platform Settings) > 访问列表 (Access List)。
步骤 2	在 IPv4 访问列表 (IPv4 Access List) 区域中：点击添加 (Add)。输入以下字段的值： IP 地址 (IP Address) - 设置 IP 地址。输入 0.0.0.0 以允许所有网络。前缀长度 (Prefix Length) - 设置子网掩码。输入 0 以允许所有网络。协议 (Protocol) - 选择 HTTPS、SNMP 或 SSH。点击确定 (OK)。重复这些步骤为每项服务添加其他网络。
步骤 3	在 IPv6 访问列表 (IPv6 Access List) 区域中：点击添加 (Add)。输入以下字段的值： IP 地址 (IP Address) - 设置 IP 地址。输入 :: 以允许所有网络。前缀长度 (Prefix Length) - 设置前缀长度。输入 0 以允许所有网络。协议 (Protocol) - 选择 HTTPS、SNMP 或 SSH。点击确定 (OK)。重复这些步骤为每项服务添加其他网络。
步骤 4	点击保存。

系统更新

此任务适用于独立 ASA。如果要升级故障切换对，请参阅思科 ASA 升级指南。升级过程通常需要 20 到 30 分钟。

ASA、ASDM 和 FXOS 映像被捆绑成一个单一的包。包更新由 FXOS 管理；不能在 ASA 操作系统中升级 ASA。不能单独升级 ASA 和 FXOS；它们始终捆绑在一起。

不过 ASDM 是个例外，此时您可以从 ASA 操作系统中升级，因此无需只使用捆绑的 ASDM 映像。手动上传的 ASDM 映像不会出现在 FXOS 映像列表中；您必须从 ASA 管理 ASDM 映像。

注	在升级捆绑包时，捆绑包中的 ASDM 映像将替换以前的 ASDM 捆绑包映像，因为它们具有相同的名称 (asdm.bin)。但是，如果您手动选择了您上传的其他 ASDM 映像（例如，asdm-782.bin），那么即使捆绑包升级之后，您仍可继续使用该映像。为了确保您运行的是兼容版本的 ASDM，您应该在升级捆绑包之前先升级 ASDM，或者应该在升级 ASA 捆绑包之前，或将 ASA 重新配置为使用捆绑的 ASDM 映像 (asdm.bin)。

开始之前

确保您要上传的映像在本地计算机上可用。

过程

步骤 1	依次选择系统 (System) > 更新 (Updates)。可用更新 (Available Updates) 页面将显示机箱上可用的包的列表。
步骤 2	点击上传映像 (Upload Image)。
步骤 3	单击浏览 (Browse)，可导航到并选择想要上传的映像。
步骤 4	单击上传 (Upload)。所选映像将上传到机箱。新映像添加至机箱后，系统将自动验证映像的完整性。如果要手动验证其完整性，请点击验证 (Verify)（勾选标记图标）。
步骤 5	选择要升级到的 ASA 包，然后点击升级 (Upgrade)。
步骤 6	点击是 (Yes)，确认您想要继续安装，或者点击否 (No) 取消安装。升级过程中，系统会将您从 Firepower 机箱管理器注销。

用户管理

用户帐户用于访问 Firepower 2100 机箱。这些帐户用于 Firepower 机箱管理器和 SSH 访问。ASA 拥有单独的用户帐户和身份验证。

关于用户帐户

管理员帐户

管理员帐户是默认用户帐户，并且无法修改或删除。此帐户是系统管理员或超级用户帐户并具有完整权限。默认密码为 Admin123。

管理员帐户始终处于活动状态，并且不会到期。无法将管理员帐户配置为非活动状态。

本地身份验证的用户帐户

您最多可配置 48 个本地用户帐户。每个用户帐户必须具有唯一的用户名和密码。

本地身份验证用户帐户可以由具有管理员权限的任何用户来启用或禁用。

用户帐户的准则

用户名

用户名用作 Firepower 机箱管理器和 FXOS CLI 的登录 ID。分配登录 ID 时，请考虑以下指导原则和限制：

登录 ID 可以包含 1 到 32 个字符，包括以下字符：
- 任何字母字符
- 任何数字
- _（下划线）
- -（连字符）
- . （圆点）
登录 ID 必须唯一。
登录 ID 必须以字母字符开头，而不能以数字或特殊字符开头，例如下划线。
登录 ID 区分大小写。
无法创建全数字登录 ID。
创建用户帐户后，无法更改登录 ID。必须删除该用户帐户，创建新的用户帐户。

密码

密码对于每个本地认证的用户帐户都是必需的。具有管理员权限的用户可以配置系统，以对用户密码执行密码强度检查。如果密码强度检查已启用，则每个用户必须使用强密码。

建议每个用户都使用强密码。如果对本地身份验证的用户启用密码强度检查，则 FXOS 将拒绝不符合以下要求的任何密码：

必须包含最少 8 个字符，最多 127 个字符。

注	您可以选择在系统上配置 15 个字符（最小密码长度）的密码，以符合通用标准需求。

必须包含至少一个大写字母字符。
必须包含至少一个小写字母字符。
必须包含至少一个非字母数字（特殊）字符。
不能包含连续重复 3 次的字符，例如 aaabbb。
不得包含三个以任何顺序排列的连续数字或字母，例如 passwordABC 或 password321。
不能与用户名相同，或与用户名正好相反。
必须通过密码字典检查。例如，密码不可以是标准的词典单词。
不得包含以下符号：$（美元符号）、? （问号）和 =（等号）。
不得为空。

添加用户

为 Firepower 机箱管理器和 FXOS CLI 访问添加本地用户。

过程

步骤 1	依次选择系统 (System) > 用户管理 (User Management)。
步骤 2	单击本地用户 (Local Users) 选项卡。
步骤 3	单击添加用户 (Add User)，可打开添加用户 (Add User) 对话框。
步骤 4	使用关于用户的必填信息，填写下列字段：用户名 - 设置用户名。此名称必须唯一，并满足用户帐户名称的准则和限制（请参阅用户帐户的准则）。保存用户后，不能更改登录 ID。必须删除该用户帐户，创建新的用户帐户。名字 - 设置用户的名字。该字段最多包含 32 个字符。姓氏 - 用户的姓氏该字段最多包含 32 个字符。电子邮箱 - 设置用户的电子邮件地址。电话号码 - 设置用户的电话号码。密码和确认密码 - 设置与此帐户关联的密码。如果启用了密码强度检查，则密码必须为强密码，FXOS 会拒绝任何不满足强度检查要求的密码（请参阅配置用户设置和用户帐户的准则）。帐户状态 - 将状态设置为活动或非活动。用户角色 - 设置表示要分配给用户帐户的权限的角色。系统会默认为所有用户分配只读角色，并且此角色无法取消选择。要分配管理员角色，请在窗口中单击管理以使其突出显示。管理员角色允许对配置进行读写访问。用户角色和权限的更改在用户下一次登录之后才会生效。如果在向用户帐户分配新角色或从中删除现有角色时用户已登录，则活动会话将继续使用上一个角色和权限。帐户到期 - 设置帐户到期。在到期日期字段中指定的日期过后，无法使用帐户。在为用户帐户配置过期日期后，无法将帐户重新配置为不过期。然而，您可以为帐户配置可用的最新过期日期。默认情况下，用户帐户不会到期。到期日期 - 帐户到期的日期。日期格式应为 yyyy-mm-dd。单击此字段末尾的日历图标，查看您可以用来选择到期日期的日历。
步骤 5	单击添加 (Add)。
步骤 6	要停用某一用户，请执行以下操作：对于要禁用的用户，请点击编辑图标（）。管理员用户帐户始终设置为活动，且不能停用。在帐户状态 (Account Status) 字段中，单击非活动状态 (Inactive) 单选按钮。点击保存。

配置用户设置

您可以为所有用户配置全局设置。

过程

步骤 1	选择系统 (System) > 用户管理 (User Management)。
步骤 2	单击设置 (Settings) 选项卡。
步骤 3	填写以下字段。默认身份验证 — 在远程登录期间，对用户进行身份验证的默认方式。这可以是以下其中一项：本地 (Local) - 必须在 Firepower 机箱本地定义用户帐户。无 (None) - 如果用户帐户是 Firepower 机箱的本地帐户，当用户在远程登录时，不需要密码。密码强度检验 — 如果选中，所有本地用户密码都必须符合强密码准则（请参阅用户帐户的准则）。默认情况下，系统会启用强密码。历史记录计数 — 用户在重新使用先前使用的密码之前必须创建的唯一密码的数量。历史记录计数的顺序与时间顺序正好相反，最近的密码在前，这样可确保当达到历史记录计数阈值后仅重复使用最旧的密码。该值可以是介于 0 和 15 之间的任意值。您可以将历史记录计数字段设置为 0，这表示禁用历史记录计数，使用户能够重复使用之前已使用的密码。更改间隔 — 在其期间执行在更改计数字段中指定的密码更改次数的小时数。该值可以是 1 至 745（小时）的任意值。例如，如果该字段设置为 48，更改计数 (Change Count) 字段设置为 2，那么本地身份验证用户在 48 小时内执行的密码更改不能超过 2 次。选中此复选框以启用此功能。更改计数 — 本地身份验证用户能够在“更改间隔”内更改其密码的最大次数。该值可以是介于 0 和 10 之间的任意值。不更改间隔 — 指定经过本地身份验证的用户在更改新建密码之前必须等待的最少小时数。该值可以是 1 至 745（小时）的任意值。选中此复选框以启用此功能。口令到期天数 — 将到期时间设置为 1 到 9999 天。默认情况下，禁用过期。口令到期警告期限 — 设置到期前的天数，以警告用户每次登录时的密码到期，范围介于 0 到 9999 之间。默认时间为 14 天。到期宽限期 — 设置用户在到期后必须更改其密码的天数，范围介于 0 到 9999 之间。默认值为 3 天。密码重复使用间隔 — 设置可重复使用密码的天数，范围介于 1 到365 之间。默认值为 15 天。如果同时启用历史记录计数和密码重复使用间隔，则必须满足两个要求。例如，如果您将历史计数设置为 3，并将重复使用间隔设置为 10 天，则您只能在更改 3 次密码的 10 天后更改密码。
步骤 4	点击保存。