• 以太网 1/2 - 将您的管理计算机直接连接至以太网 1/2 以进行初始配置，或将以太网 1/2 连接至内部网络。以太网 1/2 具有默认 IP 地址 (192.168.95.1)，并运行 DHCP 服务器以向客户端（包括管理计算机）提供 IP 地址，因此请确保这些设置不会与任何现有内部网络设置冲突（请参阅默认配置）。

• 管理 1/1（标记为 MGMT）- 将管理 1/1 接口连接到管理网络，并确保管理计算机位于管理网络上，或者可以访问管理网络。管理 1/1 接口从管理网络上的 DHCP 服务器获取 IP 地址；如果使用此接口，则必须确定分配给 威胁防御 的 IP 地址，以便可以从管理计算机连接到 IP 地址。

  如果需要将管理 1/1 IP 地址从默认值更改为配置静态 IP 地址，还必须将管理计算机连接到控制台端口。请参阅 （可选）在 CLI 中更改管理网络设置。

可以稍后从其他接口配置 设备管理器 管理访问；请参阅 FDM 配置指南。

默认情况下，使用 IPv4 DHCP 和 IPv6 自动配置获取 IP 地址，但可以在初始配置期间设置静态地址。

使用用户名 admin 和默认密码 Admin123 登录。

您连接到 FXOS CLI。第一次输入登录时，系统会提示您更改密码。此密码也用于 SSH 的 威胁防御 登录。

scope ssa

show app-instance

使用用户名 admin 和默认密码 Admin123 登录。

您将连接到 FXOS CLI。第一次输入登录时，系统会提示您更改密码。此密码也用于 SSH 的 威胁防御 登录。

connect ftd

默认值或以前输入的值会显示在括号中。要接受之前输入的值，请按 Enter 键。

请参阅以下准则：

• 输入管理接口的 IPv4 默认网关 - 如果您设置手动 IP 地址，则可以输入网关路由器的数据接口或 IP 地址。data-interfaces 设置将通过背板发送出站管理流量，以退出数据接口。如果您没有可以访问互联网的单独管理网络，则此设置非常有用。源自管理接口的流量包括需要访问互联网的许可证注册和数据库更新。如果您使用 data-interfaces，在直接连接到管理网络的情况下，您仍可以在管理接口上使用 设备管理器 （或 SSH）但是，要对特定网络或主机进行远程管理，则应该使用 configure network static-routes 命令添加静态路由。请注意，数据接口上的 设备管理器 管理不受此设置的影响。如果使用 DHCP，则系统使用 DHCP 提供的网关，如果 DHCP 不提供网关，则使用数据接口作为回退方法。

• 如果网络信息已更改则需要重新连接 - 如果您已通过 SSH 连接到默认 IP 地址，但在初始设置时更改了 IP 地址，则会断开连接。使用新 IP 地址和密码重新进行连接。控制台连接不会受影响。

• 在本地管理设备？ - 输入是 (yes) 以使用 设备管理器。回答否 (no) 表示您打算使用本地部署或云端交付管理中心来管理设备。

• （7.0 和更高版本）内部（以太网 1/2）—https://192.168.95.1 。

• （6.7 和更高版本）内部（以太网 1/2）—https://192.168.1.1 。

• （6.6 和更高版本）管理 - https://management_ip 。管理接口是 DHCP 客户端，因此 IP 地址取决于您的 DHCP 服务器。如果在 CLI 设置中更改了管理 IP 地址，则输入该地址。

• （6.5 和更低版本）管理 - https://192.168.45.45 。如果在 CLI 设置中更改了管理 IP 地址，则输入该地址。

只有完成这些步骤，才能继续。

购买 威胁防御 设备会自动附带基本许可证。其他所有许可证均是可选的。

只有具有智能许可证账户，才能获取和应用系统需要的许可证。最初，可以使用为期 90 天的评估许可证，以后再设置智能许可。

要立即注册设备，请点击链接登录智能软件管理器帐户，并参阅配置许可。

要使用评估许可证，请选择 Start 90 day evaluation period without registration。

当您从思科或经销商那里购买设备时，您的许可证应该已链接到您的智能软件许可证帐户。但是，如果您需要自己添加许可证，则请使用思科商务工作空间上的 Find Products and Solutions 搜索字段。搜索以下许可证 PID：

• IPS、恶意软件 防御和 URL 许可证组合：

  • L-FPR2110T-TMC=

  • L-FPR2120T-TMC=

  • L-FPR2130T-TMC=

  • L-FPR2140T-TMC=

  当您将上述 PID 之一添加到您的订单时，可以选择与以下 PID 之一对应的定期订用：

  • L-FPR2110T-TMC-1Y

  • L-FPR2110T-TMC-3Y

  • L-FPR2110T-TMC-5Y

  • L-FPR2120T-TMC-1Y

  • L-FPR2120T-TMC-3Y

  • L-FPR2120T-TMC-5Y

  • L-FPR2130T-TMC-1Y

  • L-FPR2130T-TMC-3Y

  • L-FPR2130T-TMC-5Y

  • L-FPR2140T-TMC-1Y

  • L-FPR2140T-TMC-3Y

  • L-FPR2140T-TMC-5Y

• Cisco Secure 客户端-请参阅 思科安全客户端订购指南。

您会看到智能许可证页面。

然后，按照智能许可证注册对话框中的说明粘贴令牌：

您会返回到智能许可证页面。在设备注册时，您会看到以下消息：

在设备成功注册并刷新页面后，您会看到以下内容：

• 启用 - 将许可证注册到您的思科智能软件管理器账户，并启用控制的功能。现在，您可以配置和部署该许可证控制的策略了。

• 禁用 - 取消许可证向思科智能软件管理器账户的注册，并禁用控制的功能。新策略中无法配置这些功能，也不能再部署使用该功能的策略。

• 如果启用了 Cisco Secure 客户端 许可证，请选择要使用的许可证类型： Advantage、 Premier、 VPN Only或 Premier 和Advantage。

  

启用功能后，如果帐户中没有许可证，则在刷新页面后，您会看到以下不合规消息：

点击每个接口的编辑图标 ()，以设置模式并定义 IP 地址和其他设置。

以下示例将一个接口配置为用作“隔离区”(DMZ)，可以将可公开访问的资产（例如 Web 服务器）放在该区域中。完成后点击保存 (Save)。

根据需要编辑或创建新区域。每个接口都必须属于一个区域，因为需要根据安全区域而不是接口来配置策略。配置接口时不能将其放在区域中，因此每当创建新接口或更改现有接口的用途之后，都必须编辑区域对象。

以下示例显示如何为 DMZ 接口创建一个新的 DMZ 区域。

内部接口已配置了 DHCP 服务器，但可以编辑地址池或甚至将其删除。如果配置了其他内部接口，则在这些接口上设置 DHCP 服务器是非常典型的做法。点击 +，为每个内部接口配置服务器和地址池。

此外，您也可以在配置 (Configuration) 选项卡中对为客户端提供的 WINS 和 DNS 列表进行精细调整。以下示例显示如何在 inside2 接口（地址池为 192.168.4.50-192.168.4.240）上设置 DHCP 服务器。

默认路由通常指向位于外部接口之外的上游或 ISP 路由器。默认的 IPv4 路由适用于 any-ipv4 (0.0.0.0/0)，而默认的 IPv6 路由适用于 any-ipv6 (::0/0)。为所使用的每个 IP 版本创建路由。如果使用 DHCP 获取外部接口的地址，则可能已经拥有所需的默认路由。

以下示例显示 IPv4 的默认路由。在此示例中，isp-gateway 是用于标识 ISP 网关 IP 地址的网络对象（必须从 ISP 中获取地址）。可以通过点击网关 (Gateway) 下拉菜单底部的创建新网络 (Create New Network)，来创建该对象。

设备安装向导设置允许内部区域与外部区域之间存在流量流动，并对所有接口上流向外部接口的流量启用网络地址转换 (NAT)。即使配置了新接口，如果将其添加到内部区域对象中，访问控制规则也将自动应用于这些接口。

但是，如果有多个内部接口，则需要一条访问控制规则来允许内部区域之间的流量。如要添加其他安全区域，则需要规则来允许这些区域之间的流量。这是您需要进行的最低限度的更改。

此外，您还可配置其他策略以提供附加服务，并对 NAT 和访问规则进行精细调整，以实现组织需要的结果。您可以配置以下策略：

• SSL 解密 (SSL Decryption) - 如果要检查加密连接（例如 HTTPS）是否存在入侵、恶意软件等，则必须解密连接。使用 SSL 解密策略确定需要解密的连接。系统检查连接后，会将其重新加密。

• 身份 (Identity) - 如果要将网络活动与各个用户相关联，或根据用户或用户组成员身份控制网络访问，请使用身份策略确定与给定源 IP 地址关联的用户。

• 安全情报 (Security Intelligence) - 使用安全情报策略快速丢弃进出列入黑名单的 IP 地址或 URL 的连接。将已知恶意站点列入黑名单后，在访问控制策略中即可无需考虑这些站点。思科提供定期更新的已知恶意地址和 URL 源，可使安全情报黑名单实现动态更新。使用情报源，无需通过编辑策略来添加或删除黑名单中的项目。

• NAT (Network Address Translation) - 使用 NAT 策略将内部 IP 地址转换为外部可路由地址。

• 访问控制 (Access Control) - 使用访问控制策略确定网络上允许的连接。您可以按安全区域、IP 地址、协议、端口、应用、URL、用户或用户组进行过滤。您还可以使用访问控制规则来应用入侵策略和文件（恶意软件）策略。使用此策略实施 URL 过滤。

• 入侵 (Intrusion) - 使用入侵策略检测已知威胁。即使使用访问控制规则应用入侵策略，也仍可以编辑入侵策略，以选择性地启用或禁用特定的入侵规则。

以下示例显示如何在访问控制策略中允许内部区域与 DMZ 区域之间的流量。在此示例中，任何其他选项卡上均未设置任何选项，日志记录 (Logging) 除外，其中在连接结束时 (At End of Connection) 选项已被选中。

如果使用入侵策略，请为“规则”和“VDB”数据库设置定期更新。如果使用安全情报源，请为“规则”和“VDB”数据库设置更新计划。如果在任何安全策略中使用地理位置作为匹配条件，请为“规则”和“VDB”数据库设置更新计划。

只有将更改部署至设备，更改才会生效。

• 9600 波特率

• 8 个数据位

• 无奇偶校验

• 1 个停止位

您连接到 FXOS CLI。使用 admin 用户名和初始设置时设置的密码（默认值为 Admin123）登录 CLI。

connect ftd

登录后，如需了解 CLI 中可用命令的相关信息，请输入 help 或 ? 。有关使用信息，请参阅Cisco Secure Firewall Threat Defense 命令参考。

此命令会将您重新导向至 FXOS CLI 提示。有关 FXOS CLI 中可用命令的相关信息，请输入 ? 。

System is stopped.
It is safe to power off now.

Do you want to reboot instead? [y/N]

如果没有控制台连接，请等待大约 3 分钟以确保系统已关闭。