Cisco Firepower 4100 入门指南

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

当地语言翻译版本说明

思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。

Book Contents
Find Matches in This Book
语言选择
Download Options

Book Title

Cisco Firepower 4100 入门指南

Chapter Title

ASA 部署

Results

已更新:
2020年6月17日

Chapter: ASA 部署

ASA 部署

本章对您适用吗？

本章介绍如何部署独立式 ASA 逻辑设备，包括如何配置智能许可。本章不涉及以下部署，请参考《ASA 配置指南》了解相关内容：

  • 群集

  • 故障切换

  • CLI 配置

本章还演示如何配置基本安全策略；如果您有更高级的要求，请参阅配置指南。


注

隐私收集声明 - Firepower 4100 不要求或主动收集个人身份信息。不过，您可以在配置中使用个人身份信息，例如用于用户名。在这种情况下，管理员在执行配置或使用 SNMP 时可能会看到此信息。

关于 ASA

ASA 在一台设备中提供高级状态防火墙和 VPN 集中器功能。您可以使用以下任一管理器管理 ASA：

  • ASDM - 设备上的单设备管理器。本指南介绍使用 ASDM 管理 ASA 的方法。

  • CLI

  • 思科安全管理器 - 位于单独的服务器上的多设备管理器。

端到端程序

请参阅以下任务以在机箱上部署和配置 ASA。

思科商务工作空间

Firepower 机箱管理器：向许可证服务器注册机箱：获取功能许可证。

智能软件管理器

Firepower 机箱管理器：向许可证服务器注册机箱：为机箱生成许可证令牌。

Firepower 机箱管理器

Firepower 机箱管理器：向许可证服务器注册机箱：向智能许可服务器注册机箱。

Firepower 机箱管理器

Firepower 机箱管理器：添加 ASA 逻辑设备。

ASDM

登录 ASDM。

ASDM

在 ASA 上配置许可证授权。

ASDM

配置 ASA。

Firepower 机箱管理器：向许可证服务器注册机箱

ASA 使用思科智能软件许可。您可以使用常规智能软件许可，这需要互联网接入；或者对于离线管理，您可以配置永久许可证保留或卫星服务器。有关这些离线许可方法的更多信息，请参阅思科 ASA 系列功能许可证；本指南适用于常规智能软件许可。

对于 Firepower 4100 上的 ASA，智能软件许可配置分为两部分，分别在机箱上的 FXOS 和 ASA 中进行。

  • Firepower 4100- 所有智能软件许可基础设施均在 FXOS 中配置，包括用于与许可证颁发机构进行通信的参数。Firepower 4100本身无需任何许可证即可运行。

  • ASA - 在 ASA 中配置所有许可证授权。

当您注册机箱时，许可证颁发机构会颁发一张 ID 证书，用于机箱与许可证颁发机构之间的通信。它还会将机箱分配到相应的虚拟帐户。在向许可证颁发机构注册之前，您将无法对需要特殊许可证的功能进行配置更改，但操作则不受影响。许可的功能包括：

  • 标准

  • 安全情景

  • 运营商 - Diameter、GTP/GPRS、SCTP

  • 强加密 (3DES/AES)

  • AnyConnect-AnyConnect Plus、AnyConnect Apex 或仅 AnyConnect VPN。

当您向智能软件许可帐户请求 ASA 的注册令牌时，请选中 Allow export-controlled functionaility on the products registered with this token 复选框，以便应用完整的 Strong Encryption 许可证（您的帐户必须符合其使用条件）。当您在机箱上应用注册令牌时，对于符合条件的用户，系统会自动启用强加密许可证，因此您无需进行其他操作。

进行 ASDM 访问需要强加密。

开始之前

  • 拥有思科智能软件管理器主帐户。

    如果您还没有账户，请单击此链接以设置新账户。通过智能软件管理器，您可以为组织创建一个主账户。

  • 您的思科智能软件许可帐户必须符合强加密 (3DES/AES) 许可证的要求，才能使用某些功能（已使用导出合规性标志启用）。

  • 如果尚未执行此操作，请配置 NTP。

  • 如果在初始设置期间没有配置 DNS，请在平台设置 > DNS页面添加 DNS 服务器。

过程

步骤 1

请确保您的智能许可帐户包含您所需的可用许可证，包括最低限度的标准许可证。

当您从思科或经销商那里购买设备时，您的许可证应该已链接到您的智能软件许可证帐户。但是，如果您需要自己添加许可证，则请使用思科商务工作空间上的 Find Products and Solutions 搜索字段。搜索以下许可证 PID：

图 1. 许可证搜索

  • 标准许可证 - L-FPR4100-ASA =。标准许可证是免费的，但您仍然需要将其添加到您的智能软件许可帐户中。

  • 10 情景许可证 - L-FPR4K-ASASC-10=。情景许可证是附加的；请购买多份许可证以满足您的需要。

  • 230 情景许可证 - L-FPR4K-ASASC-230=。情景许可证是附加的；请购买多份许可证以满足您的需要。

  • 250 情景许可证 - L-FPR4K-ASASC-250=。情景许可证是附加的；请购买多份许可证以满足您的需要。

  • 运营商（Diameter、GTP/GPRS、SCTP）- L-FPR4K-ASA-CAR=

  • 强加密 (3DES/AES) 许可证 - FPR4K-ENC-K9 =。此许可证是免费的。虽然通常不需要此许可证（例如，使用 2.3.0 以前版本的较旧卫星服务器的 ASA 需要此许可证），但您仍应将其添加到您的帐户中以进行跟踪。
步骤 2

在 Cisco Smart Software Manager 中，为要将此设备添加到的虚拟帐户请求并复制注册令牌。

  1. 单击 Inventory。

  2. 在 General 选项卡上，单击 New Token。

  3. 在 Create Registration Token 对话框中，输入以下设置，然后单击 Create Token：

    • Description

    • Expire After - 思科建议该时间为 30 天。

    • Allow export-controlled functionaility on the products registered with this token - 启用导出合规性标志。

    系统将令牌添加到您的资产中。

  4. 单击令牌右侧的箭头图标可以打开 Token 对话框，可以从中将令牌 ID 复制到剪贴板。当需要注册 ASA 时，请准备好此令牌，以在该程序后面的部分使用。

    图 2. 查看令牌
    图 3. 复制令牌
步骤 3

在 Firepower 机箱管理器 中，选择系统 > 许可 > 智能许可证。

步骤 4

在输入产品实例注册令牌 (Enter Product Instance Registration Token) 字段中输入注册令牌。

步骤 5

单击 Register。

Firepower 4100 向许可证颁发机构注册。成功注册可能需要几分钟时间。刷新此页面可查看状态。

图 4. 正在注册
图 5. 注册成功

Firepower 机箱管理器：添加 ASA 逻辑设备

您可以从 Firepower 4100 将 ASA 部署为本地实例。

要添加故障转移对或群集，请参阅 ASA 通用操作配置指南。

您可以通过此程序配置逻辑设备特性，包括应用程序使用的引导程序配置。

开始之前

  • 配置与 ASA 一起使用的管理接口；请参阅配置接口。管理接口是必需的。请注意，此管理接口与仅用于机箱管理的机箱管理端口（并且该端口在接口选项卡的顶部显示为 MGMT）不同。

  • 收集以下信息：

    • 此设备的接口 ID

    • 管理接口 IP 地址和网络掩码

    • 网关 IP 地址

    • 新管理员密码/启用密码

过程

步骤 1

在 Firepower 机箱管理器中，选择逻辑设备。

步骤 2

点击添加 > 独立设备，并设置以下参数：

  1. 提供设备名称。

    此名称由机箱管理引擎用于配置管理设置和分配接口；它不是在应用配置中使用的设备名称。

  2. 对于模板，请选择思科：自适应安全设备。

  3. 选择映像版本。

  4. 点击确定。

    屏幕会显示调配 - 设备名称 (Provisioning - device name) 窗口。

步骤 3

展开数据端口区域，然后单击要分配给设备的每个接口。

仅可分配先前在接口页面上启用的数据接口。稍后需要在 ASDM 中启用和配置这些接口，包括设置 IP 地址。

步骤 4

点击屏幕中心的设备图标。

系统将显示对话框，可以在该对话框中配置初始引导程序设置。这些设置仅用于仅初始部署或灾难恢复。为了实现正常运行，稍后可以更改应用 CLI 配置中的大多数值。
步骤 5

在一般信息页面上，完成下列操作：

  1. 选择管理接口。

    此接口用于管理逻辑设备。此接口独立于机箱管理端口。

  2. 选择管理接口地址类型：仅 IPv4、仅 IPv6 或 IPv4 和 IPv6。

  3. 配置管理 IP 地址。

    设置用于此接口的唯一 IP 地址。

  4. 输入网络掩码 (Network Mask) 或前缀长度 (Prefix Length)。

  5. 输入网络网关 (Network Gateway) 地址。

步骤 6

单击设置。

  1. 选择防火墙模式：路由式或透明。

    在路由模式下，ASA 被视为网络中的一个路由器跃点。要在其间路由的每个接口都位于不同的子网上。另一方面，透明防火墙是一个第 2 层防火墙，充当“线缆中的块”或“隐蔽的防火墙”，不被视为是到所连接设备的路由器跃点。

    系统仅在初始部署时设置防火墙模式。如果您重新应用引导程序设置，则不会使用此设置。

  2. 输入并确认管理员用户和启用密码的密码。

    预配置的 ASA 管理员用户/密码和启用密码在进行密码恢复时非常有用；如果有 FXOS 访问权限，在忘记管理员用户密码/启用密码时，可以将其重置。
步骤 7

点击确定 (确定) 关闭配置对话框。

步骤 8

点击保存。

机箱通过下载指定软件版本，并将引导程序配置和管理接口设置推送至应用实例来部署逻辑设备。在逻辑设备页面中，查看新逻辑设备的状态。当逻辑设备将其状态显示为在线时，可以开始在应用中配置安全策略。

登录 ASDM

启动 ASDM 以便配置 ASA。

开始之前

  • 请参阅 Cisco.com 上的 ASDM 发行说明了解运行 ASDM 的要求。

  • 确保 Firepower 机箱管理器逻辑设备页面上 ASA 逻辑设备状态为在线。

过程

步骤 1

在浏览器中输入以下 URL。

  • https://management_ip - 在引导程序配置中输入的管理接口 IP 地址。

此时将显示 Cisco ASDM 网页。您可能会看到浏览器安全警告，因为 ASA 没有安装证书；您可以安全地忽略这些警告并访问网页。

步骤 2

单击以下可用选项之一：Install ASDM Launcher 或 Run ASDM。

步骤 3

根据您选择的选项，按照屏幕上的说明启动 ASDM。

系统将显示 Cisco ASDM-IDM Launcher。

步骤 4

将用户名留空，输入在部署 ASA 时设置的启用密码，然后单击确定。

系统将显示 ASDM 主窗口。

在 ASA 上配置许可证授权

向 ASA 分配许可证。必须至少分配标准许可证。

开始之前

过程

步骤 1

在 ASDM 中，依次选择 Configuration > Device Management > Licensing > Smart Licensing。

步骤 2

设置以下参数：

  1. 选中 Enable Smart license configuration。

  2. 从 Feature Tier 下拉列表中，选择 Standard。

    仅标准层可用。

  3. (可选) 对于情景 (Context) 许可证，输入情景的数目。

    您可以在没有许可证的情况下使用 10 种情景。最大情景数为 250。例如，要使用最大值，请为情景数输入 240；此值将与默认值 10 相加。

  4. (可选) 检查运营商。

步骤 3

(可选) 启用强加密协议通常不是必需的；例如，使用 2.3.0 以前版本的较旧卫星服务器的 ASA 需要此许可证，但如果您知道自己需要，或者想要在帐户中跟踪此许可证的使用情况，可以选中此框。

步骤 4

单击 Apply。

如果您的帐户中没有相应的许可证，则无法应用许可证更改。
步骤 5

单击工具栏中的 Save 图标。

步骤 6

退出并重新启动 ASDM。

当您更改许可证时，您需要重新启动 ASDM 才能显示更新屏幕。

配置 ASA

利用 ASDM，您可以使用向导来配置基本功能和高级功能。您还可以手动配置向导中未包括的功能。

过程

步骤 1

依次选择 Wizards > Startup Wizard，然后单击 Modify existing configuration 单选按钮。

步骤 2

Startup Wizard 将引导您完成配置：

  • 启用密码

  • 接口，包括更改内部和外部接口 IP 地址以及启用接口。

  • 静态路由

  • DHCP 服务器

  • 其他...
步骤 3

(可选) 在 Wizards 菜单中，运行其他向导。

步骤 4

要继续配置 ASA，请参阅浏览思科 ASA 系列文档中适合您的软件版本的文档。

访问 ASA CLI

您可以使用 ASA CLI（而非 ASDM）对 ASA 进行故障排除或配置。您可以通过 FXOS CLI 连接以访问 CLI。之后，您就可以在任何接口上配置对 ASA 的 SSH 访问。有关更多信息，请参阅 ASA 一般操作配置指南。

过程

步骤 1

从 FXOS CLI，使用控制台连接或 Telnet 连接以连接到模块 CLI。

connect module 1 { console | telnet}

使用 Telnet 连接的优点在于，您可以同时对模块开展多个会话，并且连接速度更快。

示例:


Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>
步骤 2

连接到 ASA 控制台。

connect asa

示例:


Firepower-module1> connect asa
Connecting to asa(asa1) console... hit Ctrl + A + D  to return to bootCLI
[...]
asa>
步骤 3

输入 Ctrl-a, d 使应用程序控制台返回到 FXOS 模块 CLI。

步骤 4

返回 FXOS CLI的管理引擎层。

退出控制台：

  1. 输入 ~

    您将退出至 Telnet 应用。

  2. 要退出 Telnet 应用，请输入：

    telnet>quit

退出 Telnet 会话：

  1. 输入 Ctrl-], .

示例

以下示例说明了如何连接至 上的 ASA，然后退回到 FXOS CLI 的管理引擎层。 


Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>connect asa
asa> ~
telnet> quit
Connection closed.
Firepower#

ASA 的历史记录

特性

版本

详细信息

支持在同一个 Firepower 9300 上使用独立的 ASA 和 FTD 模块

9.12(1)

您现在可以在同一个 Firepower 9300 上同时部署 ASA 和 FTD 逻辑设备。

注 

需要 FXOS 2.6.1。

支持 ASA 逻辑设备的透明模式部署

9.10(1)

您现在可以在部署 ASA 时指定透明模式或路由模式。

注 

需要 FXOS 2.4.1。

新增/修改的 Firepower 机箱管理器菜单项：

逻辑设备 > 添加设备 > 设置 > 防火墙模式下拉列表

智能代理升级至 v1.6

9.6(2)

智能代理从 1.1 版本升级到 1.6 版本。此升级支持永久许可证保留，同时也支持依据许可证账号中的权限集设置强加密 (3DES/AES) 许可证授权。

新运营商许可证

9.5(2)

用于替换现有的 GTP/GPRS 许可证的新运营商许可证提供的支持包括 SCTP 和 Diameter 检测。对于 Firepower 9300 上的 ASA，feature mobile-sp 命令将自动迁移到 feature carrier 命令。

修改了以下菜单项：配置 > 设备管理 > 许可 > 智能许可

此文档是否有帮助?

Feedback反馈

联系我们