硬件和虚拟硬件

Firepower 1150 上的 FTD

我们推出了 Firepower 1150。

Azure 上的更大 FTDv 实例

Microsoft Azure 上的 Firepower 威胁防御虚拟现在支持更大的实例： D4_v2 和 D5_v2。

VMware 上的 FMCv 300

我们推出了 FMCv 300，一个更大的 适用于 VMware 的 Firepower Management Center Virtual。与其他 FMCv 实例的 25 台设备相比，它最多可以管理 300 台设备。

您可以使用 FMC 模型迁移功能从功能较低的平台切换到 FMCv 300。

VMware vSphere/VMware ESXi 6.7 支持

现在，您可以在 VMware vSphere/VMware ESXi 6.7 上部署 FMCv、FTDv 和 NGIPSv 虚拟设备。

Firepower 威胁防御

Firepower 1010 硬件交换机支持

现在，Firepower 1010 支持将各以太网接口设置为交换机端口或防火墙接口。

新增/修改的屏幕：

• 设备 > 设备管理 > 接口

• 设备 > 设备管理 > 接口 > 编辑物理接口

• 设备 > 设备管理 > 接口 > 添加 VLAN 接口

支持的平台：Firepower 1010

Firepower 1010 PoE + 支持以太网 1/7 和以太网 1/8

现在，Firepower 1010 支持以太网接口 1/7 和 1/8 上的增强型以太网供电+ (PoE+)。

新增/修改的屏幕：设备 > 设备管理 > 接口 > 编辑物理接口 > PoE

支持的平台：Firepower 1010

对运营商级 NAT 的改进。

对于运营商级或大规模 PAT，您可以为每台主机分配端口块，而无需通过 NAT 一次分配一个端口转换（请参阅 RFC 6888）。

新增/修改的屏幕： 设备 > NAT >添加/编辑 FTD NAT 策略>添加/编辑 NAT 规则> PAT 池选项卡> 块分配选项

支持的平台：任何FTD设备

Firepower 4100/9300 上的多个容器实例的 TLS 加密加速

现在，在 Firepower 4100/9300 机箱上的多个容器实例（最多16个）上支持 TLS 加密加速。以前，每个模块/安全引擎只能为一个容器实例启用 TLS 加密加速。

新实例默认启用此功能。但是，升级不会在现有实例上启用加速。相反，使用 create hw-crypto 和 scope hw-crypto CLI 命令。有关详细信息，请参阅思科 Firepower 4100/9300 FXOS 命令参考。

新的 FXOS CLI 命令：

• create hw-crypto

• delete hw-crypto

• scope hw-crypto

• show hw-crypto

删除的 FXOS CLI 命令：

• show hwCrypto （已替换为 show hw-crypto ）

• config hwCrypto

删除的 FTD CLI 命令：

• show crypto accelerator status

支持的平台：Firepower 4100/9300

访问控制和事件分析

访问控制规则筛选

现在，您可以根据搜索条件过滤访问控制规则。

新增/修改的屏幕：策略 > 访问控制 > 访问控制 >添加/编辑策略>过滤器按钮（' 仅显示符合过滤器条件的规则 '）

支持的平台： FMC

争议 URL 类别或信誉

您现在可以对 URL 的类别或信誉进行争议。

新增/修改的屏幕：

• 分析 > 连接事件 >右键点击类别或信誉> 争议。

• 分析 > 高级 > URL > 搜索 URL > 争议按钮

• 系统 > 集成 > 云服务 > 争议链接

支持的平台： FMC

使用基于目标的安全组标记（SGT）进行用户控制

现在，您可以在访问控制规则中将 ISE SGT 标记用于源匹配条件和目标匹配条件。SGT 标记是 ISE 获取的标签到主机/网络映射。

新建连接事件字段：

• 目标 SGT（系统日志：DestinationSecurityGroupTag）：用于连接响应方的 SGT 属性。

重命名连接事件字段：

• 目标 SGT（系统日志：SourceSecurityGroupTag）：用于连接发起方的 SGT 属性。替换安全组标记（系统日志：SecurityGroup）。

新增/修改的屏幕：系统 > 集成 > 身份源 > 身份服务引擎 >订阅会话目录主题和SXP 主题选项

支持的平台：任意

Cisco Firepower 用户代理版本 2.5 的集成

我们已发布 Cisco Firepower 用户代理版本 2.5，您可以将其与 Firepower 版本 6.4.0 和 6.5.0 集成。

新增/修改的 FMC CLI 命令： configure user-agent

支持的平台： FMC

“数据包配置文件”CLI 命令

现在，您可以使用 FTD CLI 获取有关设备如何处理网络流量的统计信息。也就是说，预过滤器策略快速路径的数据包数量、作为大型流进行了卸载、完全通过访问控制（Snort）进行评估等。

新增的 FTD CLI 命令：

• asp packet-profile

• no asp packet-profile

• show asp packet-profile

• clear asp packet-profile

支持的平台： FTD

思科威胁响应的其他事件类型 (CTR)

Firepower 现在可以将文件和恶意软件事件以及高优先级连接事件（即：与入侵、文件、恶意软件和安全情报事件相关的事件）发送到 CTR。

新增/经修改的屏幕：系统 > 集成 > 云服务。

支持的平台： FTD （通过系统日志或直接集成）和经典（通过系统日志）设备

管理

适用于 ISA 3000 设备的精确时间协议 (PTP) 配置。

可以使用 FlexConfig 在 ISA 3000 设备上配置精确时间协议 (PTP)。PTP 是一种时间同步协议，用于在基于数据包的网络中同步各种设备的时钟。该协议专为工业、网络测量和控制系统而设计。

现在，我们允许在 FlexConfig 对象中包含 ptp （接口模式）命令和全局命令 ptp mode e2etransparent 和 ptp domain

新增/经修改的命令： show ptp

支持的平台：ISA 3000 和 FTD

配置更多域（多租户）

在实施多租户（对托管设备、配置和事件进行分段用户访问权限）时，最多可以在一个顶级全局域下以两个或三个级别创建 100 个子域。以前的最大值为 50 个域。

支持的平台： FMC

ISE 连接状态监视器增强功能

ISE 连接状态监控运行状况模块现在会提醒您 TrustSec SXP （SGT 交换协议）订用状态的问题。

支持的平台： FMC

区域云

如果您使用 Cisco 威胁响应集成、Cisco 支持诊断或 Cisco 成功网络功能，您现在可以选择区域云。默认情况下，升级会将您分配给美国（北美）区域。

新增/经修改的屏幕：系统 > 集成 > 云服务。

支持的平台：FMC、FTD

思科支持诊断结果

思科支持诊断 （有时称为思科主动支持）将配置和运行状况数据发送到思科，并通过我们的自动化问题检测系统处理该数据，使我们能够主动通知您的问题。在 TAC 情况下，此功能还允许思科 TAC 从您的设备收集基本信息。

在升级和重映像期间，系统可能会要求您接受或拒绝参与。您还可以随时选择加入或退出。

目前，Cisco 支持诊断支持仅限于选择平台。

新增/修改的屏幕：

• 系统 > 智能许可证

• 系统 > 智能许可证 > 注册

支持的平台：FMC 和托管的 Firepower 4100/9300

FMC 模型迁移

现在，您可以使用“备份和恢复”功能在 FMC 之间（即使是不同的型号）迁移配置和事件。这使得更换 FMC（由于不断增长的组织、从物理实施迁移到虚拟实施、硬件更新等技术或业务等方面的原因）变得更容易。

一般情况下，可以从低端迁移到更高端的 FMC，但不能反向。不支持从 KVM 和 Microsoft Azure 迁移。您还必须在 Cisco Smart Software Manager (CSSM) 中取消注册并重新注册。

有关详细信息（包括支持的目标和目标型号），请参阅《Firepower 管理中心型号迁移指南》。

支持的平台： FMC

增强安全性

在基于 FXOS 的 FTD 设备上安全清除设备组件

现在，您可以使用 FXOS CLI 安全地擦除指定的设备组件。

新的 FXOS CLI 命令： erase secure

支持的平台：Firepower 1000/2000 和 Firepower 4100/9300 FTD 系列

在初始设置期间FMC ，管理员帐户的密码要求更严格

FMC初始设置现在要求您为管理员帐户选择 "强" 密码。设置过程会将此强密码应用于 FMC Web 界面和 CLI 管理员帐户。

支持的平台： FMC

并发用户会话限制

现在，您可以将可以登录的用户数量限制FMC在同一时间。您可以为具有只读角色、读/写角色或两者的用户限制并发会话。请注意，CLI 用户受读/写设置的限制。

新增/修改的屏幕：系统 > 配置 > 用户配置 > 最大并发会话数允许的选项

支持的平台： FMC

已通过身份验证的 NTP 服务器

现在，您可以使用 SHA1 或 MD5 对称密钥身份验证配置 FMC 与 NTP 服务器之间的安全通信。对于系统安全，我们建议使用此功能。

新增/经修改的屏幕：系统 > 配置 > 时间同步

支持的平台： FMC

可用性

改进了初始配置体验

在新的和FMC重新映像上，向导会替换之前的初始设置过程。如果使用 GUI 向导，则在初始设置完成时，FMC 将显示 "设备管理" 页面，以便您可以立即开始许可 并设置部署。

设置过程还会自动安排以下各项：

• 软件下载。系统会创建每周计划任务，以下载（但不安装）软件补丁和适用于您的部署的公开可用的修复程序。

• FMC 仅配置备份。系统会创建每周计划的任务，以备份 FMC 配置并将其存储在本地。

• GeoDB 更新系统启用每周地理位置数据库更新。

这些任务计划为 UTC，这意味着在本地发生时，取决于日期和您的特定位置。此外，由于任务是以 UTC 为单位进行计划的，因此它们不会针对夏令时、夏令时或您在地点可能观察到的任何季节性调整进行调整。如果受影响，则根据当地时间，计划任务会在夏天比冬季中的一个小时开始。

升级FMC的不受影响。有关初始配置向导的详细信息，请参阅 FMC 型号的《入门指南》；有关计划任务的详细信息，请参阅《Firepower 管理中心配置指南》。

支持的平台： FMC

FMC Web 界面 Light 主题（体验）

系统默认为经典主题，但您也可以选择实验性的 "浅色" 主题。

新增/修改的屏幕：用户首选项, 从您用户名下的下拉列表中

支持的平台： FMC

查看对象的可用性增强

我们已增强了网络、端口、VLAN 和 URL 对象的 "查看对象" 功能，如下所示：

• 在访问控制策略中，在配置 FTD 路由时，您可以右键点击对象，然后选择 "查看对象" 以显示有关该对象的详细信息。

• 查看有关对象的详细信息时，或者当您在对象管理器中浏览对象时，点击查找使用情况（）现在允许您深入了解对象组和嵌套对象。

新增/修改的屏幕：

• 对象 > 对象管理 >选择支持的对象类型 >查找使用情况（）

• 策略 > 访问控制 > 访问控制 >创建或编辑策略>创建或编辑规则>选择支持的条件类型>右键点击对象> 查看对象

• 设备 > 设备管理 > 编辑 FTD 设备 > 路由器 > 右键点击受支持的对象 > 查看对象

支持的平台： FMC

部署配置更改的可用性增强功能

我们简化了与部署配置更改相关的错误和警告的显示。现在，您可以点击查看所有详细信息，而不是立即详细视图，查看有关特定错误或警告的详细信息。

新增/修改的屏幕： "请求的部署的错误和警告" 对话框

支持的平台： FMC

FTD NAT 策略管理的可用性增强功能

在配置 FTD NAT 时，您现在可以执行以下操作：

• 按设备查看 NAT 策略中的警告和错误。警告和错误标记出会对流量产生不利影响或阻碍策略部署的配置。

• 每页显示最多 1000 个 NAT 规则。默认值为 100。

新增/修改的屏幕：设备 > NAT >创建或编辑 FTD NAT 策略> 显示每个页面的警告和规则选项

支持的平台： FTD

FMC REST API

新的 REST API 功能

添加了以下 REST API 对象以支持版本 6.5.0 的功能：

• cloudregions：区域云

添加了以下 REST API 对象以支持较旧的功能：

• 类别：访问控制规则的类别

• 域、inheritancesettings：域和策略继承

• prefilterpolicies，prefilterrules，tunneltags：预过滤器策略

• Vlan界面： VLAN 接口

支持的平台： FMC

Firepower 4100/9300 的 FDM 支持。

现在，您可以使用 FDM 在 Firepower 4100/9300 上配置 Firepower 威胁防御。仅支持本地实例；不支持容器实例。

适用于 Microsoft Azure 云的 Firepower Threat Defense Virtual FDM 支持。

可以使用 Firepower 设备管理器在适用于 Microsoft Azure 云的 Firepower Threat Defense Virtual 上配置 Firepower 威胁防御。

支持 Firepower 1150。

我们推出了用于 Firepower 1150 的 FTD。

Firepower 1010 硬件交换机支持，PoE+ 支持。

Firepower 1010 支持将各以太网接口设置为交换机端口或常规防火墙接口。将各交换机端口分配给 VLAN 接口。Firepower 1010 还支持以太网接口 1/7 和 1/8 上的增强型以太网供电+ (PoE+)。

现在，默认配置将 Ethernet1/1 设置为外部，将 Ethernet1/2 到 1/8 设置为内部 VLAN1 接口上的交换机端口。升级至版本 6.5 将保留现有的接口配置。

接口扫描和替换。

接口扫描会检测机箱上的任何已添加、已删除或已恢复接口。还可以将旧接口替换为配置中的新接口，使接口无缝更改。

系统将显示经过改进的界面。

设备 > 接口页面已重新组织。物理接口、桥接组、EtherChannel 和 VLAN 现有单独的选项卡。对于任何给定的设备型号，仅显示与该型号相关的那些选项卡。例如，VLAN 选项卡仅适用于 Firepower 1010 型号。此外，列表提供有关各接口配置和使用的更多详细信息。

ISA 3000 新的默认配置。

ISA 3000 默认配置已更改如下：

• 所有接口均是 BVI1 中的桥接组成员，未命名，因此不参与路由

• GigabitEthernet1/1 和 1/3 是外部接口，GigabitEthernet1/2 和 1/4 是内部接口

• 如果可用，则启用各内部/外部对的硬件旁路

• 允许从内部到外部以及从外部到内部的的所有流量

升级至版本 6.5 将保留现有的接口配置。

对 ASA 5515-X 的支持终止。最新支持版本为 FTD 6.4。

无法在 ASA 5515-X 上安装 FTD 6.5。ASA 5515-X 的最新支持版本为 FTD 6.4。

支持思科 ISA 3000 设备上访问控制规则中的通用工业协议 (CIP) 和 Modbus 应用过滤。

可以在思科 ISA 3000 设备上启用通用工业协议 (CIP) 和 Modbus 预处理器，并在访问控制规则中过滤 CIP 和 Modbus 应用。所有 CIP 应用名称均以“CIP”开头，例如 CIP Write。仅有一个应用适用于 Modbus。

要启用预处理器，必须在 CLI 会话（SSH 或控制台）进入专家模式，然后发出 sudo /usr/local/sf/bin/enable_scada.sh {cip | modbus | both} 命令。必须在每次部署后发出此命令，因为部署会关闭预处理器。

适用于 ISA 3000 设备的精确时间协议 (PTP) 配置。

可以使用 FlexConfig 在 ISA 3000 设备上配置精确时间协议 (PTP)。PTP 是一种时间同步协议，用于在基于数据包的网络中同步各种设备的时钟。该协议专为工业、网络测量和控制系统而设计。

现在，我们允许在 FlexConfig 对象中包含 ptp 和 igmp （接口模式）命令和全局命令 ptp mode e2etransparent 与 ptp domain 。我们还向 FTD CLI 添加了 show ptp 命令。

EtherChannel（端口通道）接口。

可以配置 EtherChannel 接口，也称为端口通道。

我们已更新设备 > 接口页面以允许创建 EtherChannel。

能够从 FDM 重新启动和关闭系统。

现在，可以从新的重新启动/关闭系统设置页面中重新启动或关闭系统。以前，需要通过 CLI 控制台在 FDM 中或从 SSH 或控制台会话发出 reboot 和 shutdown 命令。要使用这些命令，必须具有管理员权限。

在 FDM CLI 控制台中支持 failover 命令。

现在，可以通过 FDM CLI 控制台发出 failover 命令。

用于静态路由的服务级别协议 (SLA) 监控器。

配置服务级别协议 (SLA) 监控对象，以与静态路由配合使用。通过使用 SLA 监控，您可以跟踪静态路由的运行状况，并自动使用新路由替换故障路由。我们已将 SLA 监控器添加至对象页面，并更新静态路由，以便您可以选择 SLA 监控器对象。

智能 CLI 和 FTD API 中的路由更改。

此版本包括对智能 CLI 和 FTD API 中的路由配置进行的一些更改。在先前版本中，存在用于 BGP 的单个智能 CLI 模板。现在，BGP（路由进程配置）和 BGP 常规设置（全局设置）有单独的模板。

在 FTD API 中，所有方法的路径均已更改，在路径中插入了“/virtualrouters”，但新的 BGP 常规设置方法除外。

• 静态路由方法路径为 /devices/default/routing/{parentId}/staticrouteentries，现在为 devices/default/routing/virtualrouters/default/staticrouteentries。

• BGP 方法分为两个新路径：/devices/default/routing/bgpgeneralsettings 和 /devices/default/routing/virtualrouters/default/bgp。

• OSPF 路径现在为 /devices/default/routing/virtualrouters/default/ospf and /devices/default/routing/virtualrouters/default/ospfinterfacesettings。

如果正在使用 FTD API 配置任何路由进程，请检查调用并在需要时更正。

新的 URL 类别和信誉数据库。

系统使用思科 Talos 团队提供的不同的 URL 数据库。新数据库的 URL 类别较老数据库有所不同。升级后，如有任何访问控制或 SSL 解密规则使用的类别不再存在，系统将使用相应的新类别作为替代。要使更改生效，请在升级后部署配置。待处理更改对话框将显示有关类别更改的详细信息。您可能想要检查 URL 过滤策略，以确认它们可继续提供所需的结果。

此外，在访问控制和 SSL 解密策略中以及设备 > 系统设置 > URL 过滤首选项页面上的 URL 选项卡中添加了 URL 查找功能。此功能可用于检查分配给特定 URL 的类别。如果您对此类别持有异议，还可通过一个链接提交类别争议。使用这两项功能时您会转到一个外部网站，其中提供了有关此 URL 的详细信息。

安全情报对使用 IP 地址而不是主机名的 URL 请求使用 IP 地址信誉。

如果 HTTP/HTTPS 请求针对使用 IP 地址而不是主机名的 URL，则系统会在网络地址列表中查找 IP 地址信誉。无需在网络和 URL 列表中复制 IP 地址。这使得最终用户难以使用代理来避免安全情报信誉阻止。

支持向思科云发送连接和高优先级入侵、文件和恶意软件事件。

可以将事件发送至思科云服务器。各种思科云服务均可从这里访问事件。然后，可以使用这些云应用（例如思科威胁响应）来分析事件并评估设备可能遇到的威胁。启用该服务后，设备将向思科云发送连接和高优先级入侵、文件和恶意软件事件。

我们已将设备 > 系统设置 > 云服务上的思科威胁响应项目重命名为“将事件发送至思科云”。

思科云服务区域支持。

系统现在要求在注册智能许可时选择思科云区域。此区域用于思科防御协调器、思科威胁响应、思科成功网络和任何通过思科云的云功能。如果从先前的版本升级已注册设备，则会自动分配至 US 区域；如果需要更改区域，则必须注销智能许可，然后重新注册并选择新区域。

我们已在“智能许可证”页面和“初始设备设置向导”中的许可证注册流程中添加一步。您还可以在设备 > 系统设置 > 云服务页面上查看该区域。

FTD REST API 版本 4 (v4)。

适用于软件版本 6.5 的 FTD REST API 已升级到第 4 版。必须将 API URL 中的第 1 版/第 2 版/第 3 版替换为第 4 版。第 4 版 API 包括许多涵盖软件版本 6.5 中添加的所有功能的新资源。请重新评估所有现有的调用，因为正在使用的资源型号可能已发生更改。要打开 API Explorer，以便在其中查看这些资源，请登录 FDM，然后点击更多选项按钮 () 并选择 API Explorer。

FTD API 支持 TrustSec 安全组作为访问控制规则中的源和目的地匹配条件。

可以使用 FTD API 配置访问控制策略规则，将 TrustSec 安全组用于源或目的地流量匹配条件。系统从 ISE 下载安全组标记 (Sgt) 的列表。可以将系统配置为侦听 SXP 更新，以获取静态 SGT 到 IP 地址映射。

可以使用 GET/object/securitygrouptag 方法查看已下载标记列表，并使用 SGTDynamicObject 资源为一个或多个标记创建动态对象。这是动态对象，可在访问控制规则中用于定义基于源或目的安全组的流量匹配条件。

请注意，如果在 FDM 中编辑这些对象，则会保留对 ISE 对象或与安全组相关的访问控制规则所做的任何更改。但是，如果在 FDM 中编辑规则，则无法在该访问规则中看到安全组条件。如果使用 API 配置基于安全组的访问规则，随后使用 FDM 编辑访问控制策略中的规则时，请小心。

我们添加或修改了以下 FTD API 资源：AccessRule（SourceDynamicObjects 和 destinationDynamicObjects 属性）、IdentityServicesEngine（SubscribeToSessionDirectoryTopic 和 subscribeToSxpTopic 属性）、SecurityGroupTag 和 SGTDynamicObject。

我们在事件查看器中添加源和目的安全组标记，并将其命名为列。

使用 FTD API 导入/导出配置。

可以使用 FTD API 导出设备配置和导入配置文件。可以编辑配置文件以更改值，例如分配给接口的 IP 地址。因此，可以使用导入/导出创建用于新设备的模板，以便快速应用基线配置并更快地在线获取新设备。还可以使用导入/导出在重新映像设备后恢复配置。或者，还可以用它将一组网络对象或其他项目分发至一组设备。

我们添加了 ConfigurationImportExport 资源和方法（/action/configexport、/jobs/configexportstatus、/action/downloadconfigfile、/action/uploadconfigfile、/action/configfiles、/action/configimport 和 /jobs/configimportstatus）。

创建和选择自定义文件策略。

可以使用 FTD API 创建自定义文件策略，然后使用 FDM 选择访问控制规则的这些策略。

我们添加了以下 FTD API FileAndMalwarePolicies 资源：filepolicies、filetypes、filetypecategories、ampcloudconfig、ampservers 和 ampcloudconnections。

还删除了两个预定义策略，“阻止 Office 文档和 PDF 上传，阻止其他恶意软件”和“阻止 Office 文档上传，阻止其他恶意软件”。如果使用这些策略，则会在升级期间转换为用户定义策略，以便可以对其进行编辑。

采用 FTD API 的安全情报 DNS 策略配置。

可以使用 FTD API 配置安全情报 DNS 策略。此策略不会显示在 FDM 中。

我们添加了以下 SecurityIntelligence 资源：domainnamefeeds、domainnamegroups、domainnamefeedcategories 和 securityintelligencednspolicies。

使用 Duo LDAP 进行远程接入 VPN 双因素身份验证。

可以将 Duo LDAP 配置为远程接入 VPN 连接配置文件的第二个身份验证源，以使用 Duo 密码、推送通知或电话呼叫提供双因素身份验证。虽然必须使用 FTD API 创建 Duo LDAP 身份源对象，但可以使用 FDM 选择该对象作为 RA VPN 连接配置文件的身份验证源。

我们向 FTD API 添加了 duoldapidentitysources 资源和方法。

FTD API 支持用于授权远程接入 VPN 连接的 LDAP 属性映射。

可以使用自定义 LDAP 属性映射增加远程接入 VPN 的 LDAP 授权。LDAP 属性映射会将客户特定的 LDAP 属性名称和值等同于思科属性名称和值。可以使用这些映射根据 LDAP 属性值将组策略分配给用户。仅可使用 FTD API 配置这些映射；无法使用 FDM 对其进行配置。但是，如果使用 API 设置这些选项，则随后可在 FDM 中编辑 Active Directory 身份源，并保留您的设置。

我们添加或修改了以下 FTD API 对象模型：LdapAttributeMap、LdapAttributeMapping、LdapAttributeToGroupPolicyMapping、LDAPRealm、LdapToCiscoValueMapping、LdapToGroupPolicyValueMapping 和 RadiusIdentitySource。

FTD API 支持站点间 VPN 连接反向路由注入和安全关联 (SA) 生存期。

可以使用 FTD API 启用站点间 VPN 连接反向路由注入。通过反向路由注入 (RRI)，静态路由能够自动插入到受远程隧道终端保护的网络和主机的路由进程中。默认情况下，启用配置连接时添加路由的静态 RRI。动态 RRI（仅在建立安全关联 [SA] 时才会插入路由，且在 SA 断开时予以删除）会被禁用。请注意，动态 RRI 仅支持 IKEv2 连接。

还可以设置连接的安全关联 (SA) 生存期（传输的秒数或千字节数）。还可以设置无限生存期。默认生命周期是 28800 秒（八小时）和 4608000 千字节（传输一小时，每秒钟 10 兆字节）。达到生存期后，终端会协商新的安全关联和密钥。

无法使用 FDM 配置这些功能。但是，如果使用 API 设置这些选项，则随后可在 FDM 中编辑连接配置文件，并保留您的设置。

我们已将以下属性添加至 SToSConnectionProfile 资源：dynamicRRIEnabled、ipsecLifetimeInSeconds、ipsecLifetimeInKiloBytes、ipsecLifetimeUnlimited 和 rriEnabled。

在 IKE 策略中支持 Diffie-hellman 组 14、15 和 16。

现在，可以将 IKEv1 策略配置为使用 DH 组 14，将 IKEv2 策略配置为使用 DH 组 14、15 和 16。如果使用 IKEv1，请将所有策略升级到 DH 组 14，因为未来版本中将删除组 2 和组 5。此外，应该避免在 IKEv2 策略中使用 DH 组 24，避免在任何 IKE 版本中使用 MD5，因为未来版本中也会删除这些组。

部署更改时的性能改进。

如果添加、编辑或删除访问控制规则，则系统已得到增强，部署更改的速度比先前版本更快。

对于在用于故障切换的高可用性组中配置的系统，将已部署更改同步至备用设备的过程已得到改进，从而加快同步速度。

改进了系统控制面板上 CPU 和内存使用情况的计算方法。

计算 CPU 和内存使用情况的方法已得到改进，使得系统控制面板上显示的信息能够更准确地反映设备的实际状态。

升级至 FTD 6.5 后，系统不再提供历史报告数据。

将现有系统升级至 FTD 6.5 时，由于数据库架构发生变化，历史报告数据将不可用。因此，升级前，在控制面板中将不会看到使用情况数据。