配置管理访问列表
默认情况下,您可以从任何 IP 地址的管理地址访问设备的 Firepower 设备管理器 Web 或 CLI 界面。系统访问仅受用户名/密码的保护。但是,您可以配置访问列表以仅允许来自特定 IP 地址或子网的连接,以进一步加强保护。
您还可以开放数据接口,允许建立 Firepower 设备管理器连接或与 CLI 建立 SSH 连接。然后,无需使用管理地址即可管理设备。例如,您可以允许对外部接口进行管理访问,这样就能远程配置设备。用户名/密码可防止不希望看到的连接。默认情况下,对数据接口的 HTTPS 管理访问会在内部接口上启用而在外部接口上禁用。对于具有默认“内部”桥接组的设备型号,这意味着可以通过桥接组中的任意数据接口,与桥接组 IP 地址(默认值为 192.168.1.1)建立 Firepower 设备管理器连接。您可以只在进入设备所通过的接口上开放管理连接。
![]() 小心 |
如果只允许访问特定地址,那么您可能很容易将自己锁定在系统之外。如果删除对当前所用 IP 地址的访问,并且没有“任意”地址条目,则在部署策略时将丢失对系统的访问。如果决定配置访问列表,必须非常小心。 |
开始之前
不可在同一个 TCP 端口的同一个接口上配置 Firepower 设备管理器访问(HTTPS 访问)和 AnyConnect 远程访问 SSL VPN。例如,如果在外部接口上配置远程访问 SSL VPN,则也无法在端口 443 上打开 HTTPS 连接的外部接口。因为无法在 Firepower 设备管理器中配置这些功能所使用的端口,所以无法在同一接口上配置这两项功能。
过程
步骤 1 |
点击 设备,然后点击 链接。 如果您已位于“系统设置”页面,只需依次点击目录中的管理访问。 您还可以在此页面上配置 AAA,允许外部 AAA 服务器中定义的用户进行管理访问。有关详细信息,请参阅管理 FDM 和 FTD 用户访问权限。 |
步骤 2 |
要为管理地址创建规则,请执行以下操作: |
步骤 3 |
要为数据接口创建规则,请执行以下操作: |