开始之前
部署并执行管理中心的初始配置。请参阅《思科 Firepower 管理中心 1600、2600 和 4600 硬件安装指南》或Cisco Secure Firewall Management Center Virtual 快速入门指南。
Cisco Secure Firewall 3100 入门指南
非歧视性语言
此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。
当地语言翻译版本说明
思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。
- 已更新:
- 2023年7月27日
Chapter: 使用远程管理中心部署威胁防御
使用远程管理中心部署威胁防御
本章对您适用吗？
要查看所有可用的操作系统和管理器，请参阅哪种操作系统和管理器适合您？。本章适用于在中央总部使用管理中心的远程分支机构的威胁防御。
每个 威胁防御 会控制、检查、监控和分析流量，然后向管理 管理中心 报告。管理中心 通过一个 Web 界面提供集中管理控制台，可在运行中用来执行管理、分析和报告任务，以保护您的本地网络。
-
中央总部的管理员在 CLI 上或使用 设备管理器 预配置 威胁防御，然后将 威胁防御 发送到远程分支机构。
-
分支机构管理员连接并打开 威胁防御 电源。
-
中央管理员使用 管理中心 完成 威胁防御 的配置。
 注 |
远程分支机构部署要求使用 6.7 或更高版本。 |
关于防火墙
硬件可以运行威胁防御软件或 ASA 软件。在威胁防御和 ASA 之间切换需要您对设备进行重新映像。如果您需要不同于当前安装的软件版本，则还应重新映像。请参阅重新映像思科 ASA 或 Firepower 威胁防御设备。
防火墙会运行被称为 Secure Firewall eXtensible 操作系统 (FXOS) 的底层操作系统。防火墙不支持 FXOS Cisco Secure Firewall 机箱管理器；出于故障排除目的，仅支持受限的 CLI。有关详细信息，请参阅适用于具备 Firepower 威胁防御 的 Firepower 1000/2100 和 Cisco Secure Firewall 3100 的思科 FXOS 故障排除指南。
隐私收集声明 - 防火墙不要求或主动收集个人身份信息。但是，您可以在配置中使用个人身份信息，例如用户名。在这种情况下，管理员在执行配置或使用 SNMP 时可能会看到此信息。
端到端程序
请参阅以下任务以在机箱上部署 威胁防御 和 管理中心。
|
|
CLI 或 设备管理器 （中央管理员） |
|
|
|
物理设置 （分支机构管理员） |
安装防火墙。请参阅硬件安装指南。 |
|
|
物理设置 （分支机构管理员） |
|
|
|
物理设置 （分支机构管理员） |
|
|
|
管理中心 （中央管理员） |
|
|
|
Cisco Commerce Workspace （中央管理员） |
购买基本许可证和可选功能许可证 (获取管理中心的许可证)。 |
|
|
智能软件管理器 （中央管理员） |
为 管理中心 (获取管理中心的许可证) 生成许可证令牌。 |
|
|
管理中心 （中央管理员） |
向智能许可证服务器 (获取管理中心的许可证) 注册管理中心。 |
|
|
管理中心 （中央管理员） |
|
|
|
管理中心 （中央管理员） |
远程管理的工作原理
要允许 管理中心 通过互联网管理 威胁防御，请使用外部接口而不是管理接口进行 管理中心 管理。由于大多数远程分支机构都只有一个互联网连接，因此外部 管理中心 访问让集中管理成为了可能。
注 |
管理连接是信道自身与设备之间的 SSL 加密的安全通信信道。出于安全考虑，您无需通过额外的加密隧道（例如站点到站点 VPN）来运行此流量。例如，如果 VPN 发生故障，您将失去管理连接，因此建议使用简单的管理路径。 |
注 |
您可以将任何数据接口用于管理器访问，例如，如果您有内部 管理中心，则使用内部接口。但是，本指南主要介绍外部接口访问，因为它是远程分支机构最可能遇到的场景。 |
管理接口是一个与 威胁防御 数据接口分开配置的特殊接口，它有自己的网络设置。即使您在数据接口上启用了管理器访问，也仍会使用管理接口网络设置。所有管理流量会继续源自或发往管理接口。如果在数据接口上启用了管理器访问，威胁防御 会将传入管理流量通过背板转发到管理接口。对于传出管理流量，管理接口会通过背板将流量转发到数据接口。
从数据接口进行管理器访问具有以下限制：
-
只能在 物理数据接口上启用管理器访问。不能使用子接口或 EtherChannel。 您还可以使用 管理中心 在单个辅助接口上启用管理器访问，以实现冗余。
-
此接口不能是仅管理接口。
-
仅路由防火墙模式，使用路由接口。
-
不支持 PPPoE。如果您的 ISP 需要 PPPoE，则必须在 威胁防御 与 WAN 调制解调器之间放入支持 PPPoE 的路由器。
-
接口只能位于全局 VRF 中。
-
默认不对数据接口启用 SSH，因此必须稍后使用 管理中心 来启用 SSH。由于管理接口网关将更改为数据接口，因此您也无法启动从远程网络到管理接口的 SSH 会话，除非您使用 configure network static-routes 命令为管理接口添加静态路由。
-
您不能使用单独的管理接口和仅事件接口。
-
不支持集群技术。在这种情况下，必须使用管理接口。
-
不支持高可用性。在这种情况下，必须使用管理接口。
下图显示了位于中央总部的 管理中心 和在外部接口上具有管理器访问权限的 威胁防御。
威胁防御或管理中心需要公共 IP 地址或主机名以允许入站管理连接；您需要知道该 IP 地址以进行初始设置。您还可以选择为外部接口配置动态 DNS (DDNS)，以适应不断变化的 DHCP IP 分配。
中央管理员预配置
您需要先手动预配置 威胁防御，然后再将其发送到分支机构。
（可选）检查软件并安装新版本
要检查软件版本并在必要时安装不同的版本，请执行以下步骤。我们建议您在配置防火墙之前安装目标版本。或者，您也可以在启动并运行后执行升级，但升级（保留配置）可能需要比按照此程序花费更长的时间。
我应该运行什么版本？
思科建议运行软件下载页面上的版本号旁边标有金色星号的 Gold Star 版本。您还可以参考 https://www.cisco.com/c/en/us/products/collateral/security/firewalls/bulletin-c25-743178.html 中所述的发布策略；例如，此公告描述短期版本编号（包含最新功能）、长期版本编号（较长时间的维护版本和补丁）或额外长期版本编号（最长期限的维护版本和补丁，用于政府认证）。
过程
|
步骤 1 |
连接到控制台端口。有关详细信息，请参阅访问威胁防御和FXOS CLI。 使用用户名 admin 和默认密码 Admin123 登录。 您连接到 FXOS CLI。第一次输入登录时，系统会提示您更改密码。此密码也用于 SSH 的威胁防御登录。
示例: |
||
|
步骤 2 |
在 FXOS CLI 中，显示正在运行的版本。 scope ssa show app-instance 示例: |
||
|
步骤 3 |
如果要安装新版本，请执行这些步骤。 |
使用设备管理器进行预配置
连接到 设备管理器 以执行 威胁防御 的初始设置。当您使用 设备管理器 执行初始设置时，如果您切换到 管理中心 进行管理，除管理接口和管理器访问设置外，在 设备管理器 中完成的所有接口配置都将保留。请注意，不会保留其他默认配置设置，例如访问控制策略或安全区。使用 CLI 时，只有管理接口和管理器访问设置会被保留（例如，不保留默认的内部接口配置）。
开始之前
-
部署并执行管理中心的初始配置。请参阅《思科 Firepower 管理中心 1600、2600 和 4600 硬件安装指南》。在设置 威胁防御 之前，您需要知道 管理中心 IP 地址或主机名。
-
使用 Firefox、Chrome、Safari、Edge 或 Internet Explorer 的当前版本。
过程
|
步骤 1 |
将管理计算机连接到内部（以太网 1/2）接口。 |
||
|
步骤 2 |
打开防火墙电源。
|
||
|
步骤 3 |
登录设备管理器。
|
||
|
步骤 4 |
首次登录设备管理器以完成初始配置时，请使用设置向导。您可以选择通过点击页面底部的跳过设备设置 (Skip device setup) 来跳过安装向导。 完成安装向导后，除了内部接口 (Ethernet1/2)的默认配置外，您还将拥有外部（以太网 1/1）接口的配置，该接口会在您切换到管理中心管理接口时进行维护。 |
||
|
步骤 5 |
（可能需要）配置管理接口。请参阅上的管理接口。 管理接口必须将网关设置为数据接口。默认情况下，管理接口从 DHCP 接收 IP 地址和网关。如果您没有从 DHCP 接收到网关（例如，您没有将此接口连接到网络），则网关将默认为数据接口，并且您无需进行任何配置。如果您从 DHCP 接收到了网关，则需要使用静态 IP 地址配置此接口，并将该网关设置为数据接口。 |
||
|
步骤 6 |
如果要配置其他接口，包括要用于管理器访问的外部或内部接口，请选择设备 (Device)，然后点击接口 (Interfaces) 摘要中的链接。 有关在 设备管理器 中配置接口的更多信息，请参阅在 设备管理器中配置防火墙。在向管理中心注册设备时，不会保留其他设备管理器配置。 |
||
|
步骤 7 |
选择 ，然后点击 继续 设置 管理中心 管理。 |
||
|
步骤 8 |
配置 管理中心/CDO 详细信息。 
|
||
|
步骤 9 |
配置连接配置。 |
||
|
步骤 10 |
如果您选择了外部之外的其他数据接口，那么请添加默认路由。 您将看到一条消息，要求您检查是否有通过接口的默认路由。如果您选择了外部接口，那么您已经在安装向导中配置了此路由。如果您选择了其他接口，那么需要在连接到 管理中心 之前手动配置默认路由。有关在 设备管理器 中配置静态路由的更多信息，请参阅在 设备管理器中配置防火墙。 |
||
|
步骤 11 |
点击添加动态 DNS (DDNS) 方法 (Add a Dynamic DNS [DDNS] method)。 如果 威胁防御 的 IP 地址发生变化，DDNS 可确保 管理中心 接通完全限定域名 (FQDN) 内的 威胁防御。参阅配置动态 DNS。 如果您在将 威胁防御 添加到 管理中心 之前配置 DDNS，则 威胁防御 会自动为思科受信任根 CA 捆绑包中的所有主要 CA 添加证书，以便 威胁防御 可以验证用于 HTTPS 连接的 DDNS 服务器证书。威胁防御 支持使用 DynDNS 远程 API 规范 (https://help.dyn.com/remote-access-api/) 的任何 DDNS 服务器。 |
||
|
步骤 12 |
点击连接 (Connect)。注册状态 对话框显示切换到 管理中心的当前状态。在 保存管理中心/CDO 注册设置 步骤后，转到管理中心，并添加防火墙。 如果要取消切换到 管理中心，请点击 取消注册。否则，请在 保存管理中心/CDO 注册设置 步骤之后关闭 设备管理器 浏览器窗口。如果这样做，该过程将暂停，并且只有在您重新连接到 设备管理器时才会恢复。 如果您在 保存管理中心/CDO 注册设置 步骤后保持连接到 设备管理器 ，您最终将看到 与管理中心的成功连接或 CDO 对话框。您将断开与 设备管理器的连接。 
|
使用 CLI 进行预配置
连接到 威胁防御 CLI 以执行初始设置。使用 CLI 进行初始配置时，只有管理接口和管理器访问接口设置会被保留。当您使用设备管理器执行初始设置时，如果您切换到管理中心进行管理，除管理接口和管理器访问接口设置外，在设备管理器中完成的所有接口配置都将保留。请注意，不会保留其他默认配置设置，例如访问控制策略。
Before you begin
部署并执行管理中心的初始配置。请参阅《思科 Firepower 管理中心 1600、2600 和 4600 硬件安装指南》。在设置 威胁防御 之前，您需要知道 管理中心 IP 地址或主机名。
Procedure
|
Step 1 |
打开防火墙电源。
|
||
|
Step 2 |
连接到控制台端口上的 威胁防御 CLI。 控制台端口连接到 FXOS CLI。 |
||
|
Step 3 |
使用用户名 admin 和密码 Admin123 登录。 第一次登录 FXOS 时，系统会提示您更改密码。此密码也用于 SSH 的威胁防御登录。
Example: |
||
|
Step 4 |
连接到 威胁防御 CLI。 connect ftd Example: |
||
|
Step 5 |
第一次登录 威胁防御 时，系统会提示您接受《最终用户许可协议》(EULA)和，如果使用 SSH 连接，则会提示您更改 admin 密码。然后，您将看到管理接口设置的 CLI 设置脚本。 即使您在数据接口上启用了管理器访问，也仍会使用管理接口设置。
默认值或以前输入的值会显示在括号中。要接受之前输入的值，请按 Enter 键。 请参阅以下准则：
Example: |
||
|
Step 6 |
配置用于管理器访问的外部接口。 configure network management-data-interface 然后，系统会提示您为外部接口配置基本网络设置。请参阅以下有关使用此命令的详细信息：
Example:Example: |
||
|
Step 7 |
(Optional) 限制在特定网络上通过数据接口访问 管理中心。 configure network management-data-interface client ip_address netmask 默认情况下，允许所有网络。 |
||
|
Step 8 |
确定将管理此威胁防御的管理中心。 configure manager add {hostname | IPv4_address | IPv6_address | DONTRESOLVE} regkey [nat_id]
Example: |
||
|
Step 9 |
关闭 威胁防御，以便将设备发送到远程分支机构。 正确关闭系统非常重要。仅拔掉电源或按下电源开关可能会导致文件系统严重损坏。请记住，有许多进程一直在后台运行，拔掉或关闭电源不能正常关闭系统。
|
分支机构安装
收到来自中央总部的 威胁防御 后，您只用连接并打开防火墙电源，即可从外部接口访问互联网。然后，中央管理员即可完成配置。
连接防火墙的电缆
管理中心 和您的管理计算机位于远程总部，可以通过互联网接通 威胁防御。要在 Secure Firewall 3100 上进行布线，请参阅以下步骤。
过程
|
步骤 1 |
安装机箱。请参阅硬件安装指南。 |
|
步骤 2 |
将外部接口（以太网 1/1）连接到外部路由器。 您可以将任何数据接口用于管理器访问，例如，如果您有内部 管理中心，则使用内部接口。但是，本指南主要介绍外部接口访问，因为它是远程分支机构最可能遇到的场景。 |
|
步骤 3 |
将内部接口（例如，以太网 1/2）连接到内部交换机或路由器。 您可以为内部选择任何接口。 |
|
步骤 4 |
将其他网络连接到其余接口。 |
|
步骤 5 |
(可选) 将管理计算机连接到控制台端口。 在分支机构的日常工作中不需要使用控制台连接；但出于故障排除目的，可能需要此连接。 |
打开防火墙电源
系统电源由位于防火墙后部的摇杆电源开关控制。电源开关以软通知开关形式实施，支持平稳地关闭系统以降低系统软件及数据损坏的风险。
注 |
首次启动 威胁防御时，初始化大约需要 15 到 30 分钟。 |
开始之前
为防火墙提供可靠的电源（例如，使用不间断电源 (UPS)）非常重要。未事先关闭就断电可能会导致严重的文件系统损坏。后台始终有许多进程在运行，因此断电会使得系统无法正常关闭。
过程
|
步骤 1 |
将电源线一端连接到防火墙，另一端连接到电源插座。 |
||
|
步骤 2 |
使用位于机箱背面电源线旁边的标准摇杆型电源开关打开电源。 |
||
|
步骤 3 |
检查防火墙背面的电源 LED；如果该 LED 呈绿色稳定亮起，表示防火墙已接通电源。 
|
||
|
步骤 4 |
检查防火墙背面的系统 LED；其呈绿色稳定亮起之后，系统已通过通电诊断。
|
中央管理员后配置
在远程分支机构管理员通过电缆连接威胁防御以便从外部接口访问互联网之后，您可以将威胁防御注册到管理中心并完成设备的配置。
登录管理中心
使用管理中心配置并监控威胁防御。
开始之前
有关受支持浏览器的信息，请参阅您所用版本的发行说明（参阅https://www.cisco.com/go/firepower-notes）。
过程
|
步骤 1 |
使用支持的浏览器输入以下 URL。 https://fmc_ip_address |
|
步骤 2 |
输入您的用户名和密码。 |
|
步骤 3 |
点击登录。 |
获取管理中心的许可证
所有许可证都由管理中心提供给威胁防御。您可以选择购买以下功能许可证：
-
基础版-（必需） 基础版 许可证。
-
IPS - 安全情报和下一代 IPS
-
恶意软件 防御-恶意软件 防御
-
URL - URL 过滤
-
Cisco Secure 客户端-Secure Client Advantage、Secure Client Premier 或 Secure Client VPN Only
-
运营商 - Diameter、GTP/GPRS、M3UA、SCTP
有关思科许可的更详细概述，请访问 cisco.com/go/licensingguide
开始之前
过程
|
步骤 1 |
请确保智能许可帐户包含所需的可用许可证。 当您从思科或经销商那里购买设备时，您的许可证应该已链接到您的智能软件许可证帐户。但是，如果您需要自己添加许可证，则请使用Cisco Commerce Workspace上的 Find Products and Solutions 搜索字段。搜索以下许可证 PID： 
|
||
|
步骤 2 |
如果尚未注册，请向智能软件管理器注册管理中心。 注册需要您在智能软件管理器中生成注册令牌。有关详细指示，请参阅 管理中心配置指南。对低接触调配，您必须在向智能软件管理器注册时或在注册后启用低接触调配的云协助 (Cloud Assistance for Low-Touch Provisioning)。请参阅 页面。 |
向管理中心注册威胁防御
使用设备 IP 地址或主机名将威胁防御手动注册到管理中心。
开始之前
-
收集您在威胁防御初始配置中设置的以下信息：
-
威胁防御管理 IP 地址或主机名，以及 NAT ID
-
管理中心注册密钥
-
过程
|
步骤 1 |
在 管理中心 上，选择。 |
||
|
步骤 2 |
从添加下拉列表中，选择添加设备。  设置以下参数：
|
||
|
步骤 3 |
点击注册 (Register)，，并确认注册成功。 如果注册成功，设备将添加到列表中。如果注册失败，您会看到一则错误消息。如果 威胁防御注册失败，请检查以下项：
有关更多故障排除信息，请参阅 https://cisco.com/go/fmc-reg-error。 |
配置基本安全策略
本部分介绍如何使用以下设置配置基本安全策略：
-
内部和外部接口 - 为内部接口分配静态 IP 地址。您在管理器访问设置中配置了外部接口的基本设置，但仍需要将其分配给安全区域。
-
DHCP 服务器 - 在内部接口上为客户端使用 DHCP 服务器。
-
NAT - 在外部接口上使用接口 PAT。
-
访问控制 - 允许流量从内部传到外部。
-
SSH - 在管理器访问接口上启用 SSH。
配置接口
启用 威胁防御接口，为其分配安全区域并设置 IP 地址。通常，您必须至少配置两个接口才能让系统传递有意义的流量。通常，您将拥有面向上游路由器或互联网的外部接口，以及组织网络的一个或多个内部接口。其中一些接口可能是“隔离区”(DMZ)，您可以在其中放置可公开访问的资产，例如 Web 服务器。
典型的边缘路由情况是通过 DHCP 从 ISP 获取外部接口地址，同时在内部接口上定义静态地址。
以下示例使用 DHCP 在接口内部配置了一个路由模式（含静态地址），并在接口外部配置了一个路由模式。
过程
|
步骤 1 |
选择，然后点击防火墙的编辑（ |
|
步骤 2 |
点击接口 (Interfaces)。  |
|
步骤 3 |
要从 40-Gb 接口（部分型号上可用）创建 4 x 10-Gb 分支接口，请点击接口的分支图标。 如果您已经在配置中使用了 40-Gb 接口，则必须在继续创建分支之前删除该配置。 |
|
步骤 4 |
点击要用于内部的接口的编辑（ 此时将显示一般 (General) 选项卡。 
|
|
步骤 5 |
点击要用于外部的接口的 编辑（ 此时将显示一般 (General) 选项卡。  您已经为该接口预配置了管理器访问，因此该接口就已经命名、启用和寻址。您不应更改任何这些基本设置，因为这样做会中断 管理中心 管理连接。您仍然必须在此屏幕上为直通流量策略配置安全区域。 |
|
步骤 6 |
点击保存 (Save)。 |
）
配置 DHCP 服务器
如果希望客户端使用 DHCP 从 威胁防御处获取 IP 地址，请启用 DHCP 服务器。
过程
|
步骤 1 |
选择，然后点击设备的编辑（ |
|
步骤 2 |
选择 。 |
|
步骤 3 |
在服务器 (Server） 页面上点击添加 (Add)，然后配置以下选项： 
|
|
步骤 4 |
点击确定 (OK)。 |
|
步骤 5 |
点击保存 (Save)。 |
配置 NAT
配置 NAT
典型的 NAT 规则会将内部地址转换为外部接口 IP 地址上的端口。这类 NAT 规则称为接口端口地址转换 (PAT)。
过程
|
步骤 1 |
选择，然后点击。 |
||
|
步骤 2 |
为策略命名，选择要使用策略的设备，然后点击Save。  策略即已添加 管理中心。您仍然需要为策略添加规则。 |
||
|
步骤 3 |
点击添加规则 (Add Rule)。 Add NAT Rule 对话框将显示。 |
||
|
步骤 4 |
配置基本规则选项： 
|
||
|
步骤 5 |
在 Interface Objects 页面，将 Available Interface Objects 区域中的外部区域添加到 Destination Interface Objects 区域。  |
||
|
步骤 6 |
在转换 (Translation) 页面上配置以下选项： 
|
||
|
步骤 7 |
点击保存 (Save) 以添加规则。 规则即已保存至 Rules 表。  |
||
|
步骤 8 |
点击 NAT 页面上的保存 (Save) 以保存更改。 |
）
允许流量从内部传到外部
如果您在注册 威胁防御 时创建了基本的封锁所有流量访问控制策略，则需要向策略添加规则以允许流量通过设备。以下程序可添加规则以允许从内部区域到外部区域的流量。如有其他区域，请务必添加允许流量到适当网络的规则。
过程
|
步骤 1 |
选择，然后点击分配给 威胁防御 的访问控制策略的 编辑（ |
|
步骤 2 |
点击添加规则 (Add Rule) 并设置以下参数： 
其他设置保留原样。 |
|
步骤 3 |
点击添加 (Add)。 规则即已添加至 Rules 表。  |
|
步骤 4 |
点击保存 (Save)。 |
在管理器访问数据接口上配置 SSH
如果在数据接口（例如外部）上启用了 管理中心 访问，则应使用此程序在该接口上启用 SSH。本节介绍如何启用 威胁防御上一个或多个 数据 接口的 SSH 连接。 诊断逻辑接口上不支持 SSH。
注 |
管理接口上默认已启用 SSH，但此屏幕不会影响管理 SSH 访问。 |
管理接口与设备上的其他接口分离。它用于设置设备并将其注册到管理中心。数据接口的 SSH 与管理接口的 SSH 共用内部和外部用户列表。其他设置单独进行配置：对于数据接口，使用此屏幕启用 SSH 和访问列表；数据接口的 SSH 流量使用常规路由配置，并不是所有静态路由均在设置时或 CLI 中配置。
对于管理接口，要配置 SSH 访问列表，请参阅 Cisco Secure Firewall Threat Defense 命令参考中的 configure ssh-access-list 命令。要配置静态路由，请参阅 configure network static-routes 命令。默认情况下，在初始设置时通过管理接口配置默认路由。
要使用 SSH，您也不需要允许主机 IP 地址的访问规则。您只需按照本部分配置 SSH。
您只能 SSH 到可访问接口；如果 SSH 主机位于外部接口上，则只能直接向外部接口发起管理连接。
注 |
在您连续三次尝试使用 SSH 登录 CLI 失败后，设备会终止 SSH 连接。 |
开始之前
-
可以使用 configure user add 命令。默认情况下，有一个您在初始设置期间为其配置密码的 admin 用户。还可以通过在平台设置中配置外部身份验证，在 LDAP 或 RADIUS 上配置外部用户。
-
您需要定义允许与设备建立 SSH 连接的主机或网络网络对象。您可以在此过程中添加对象，但如果要使用对象组标识一组 IP 地址，请确保规则中所需的组已经存在。选择以配置对象。
注
不能使用系统提供的 any 网络对象。而是使用 any-ipv4 或 any-ipv6。
过程
|
步骤 1 |
选择 ，并创建或编辑 威胁防御 策略。 |
|
步骤 2 |
选择安全外壳 (Secure Shell)。 |
|
步骤 3 |
标识允许 SSH 连接的接口和 IP 地址。 使用此表可以限制哪些接口将接受 SSH 连接，以及允许建立这些连接的客户端的 IP 地址。您可以使用网络地址而不是单个 IP 地址。 |
|
步骤 4 |
点击保存 (Save)。 此时，您可以转至并将策略部署到所分配的设备。在部署更改之后，更改才生效。 |
部署配置
将配置更改部署到 威胁防御；在部署之前，您的所有更改都不会在设备上生效。
过程
|
步骤 1 |
点击右上方的部署 (Deploy)。 
|
|
步骤 2 |
点击全部部署 (Deploy All) 以部署到所有设备，或点击高级部署 (Advanced Deploy) 以部署到选择的设备。 
|
|
步骤 3 |
确保部署成功。点击菜单栏中部署 (Deploy) 按钮右侧的图标可以查看部署状态。 
|
访问威胁防御和FXOS CLI
使用命令行界面 (CLI) 可设置系统以及对系统进行基本的故障排除。无法通过 CLI 会话配置策略。可以连接到控制台端口以访问 CLI。
也可以访问FXOS CLI以进行故障排除。
注 |
您也可以通过 SSH 连接到 威胁防御 设备的管理接口。与控制台会话不同，SSH 会话默认使用 威胁防御 CLI，由此可使用 connect fxos 命令连接到 FXOS CLI。如果您为 SSH 连接打开某个数据接口，稍后可以连接到该接口上的地址。默认情况下，禁用 SSH 数据接口访问。此程序介绍控制台端口的访问（默认使用 FXOS CLI）。 |
过程
|
步骤 1 |
要登录 CLI，请将管理计算机连接到控制台端口。Secure Firewall 3100 配有一条 DB-9 转 RJ-45 串行电缆，所以您需要第三方串行转 USB 电缆进行连接。确保为您的操作系统安装必要的 USB 串行驱动程序（请参阅 Secure Firewall 3100 硬件指南)。控制台端口默认为 FXOS CLI。使用以下串行设置：
您连接到 FXOS CLI。使用 admin 用户名和初始设置时设置的密码（默认值为 Admin123）登录 CLI。 示例: |
|
步骤 2 |
访问威胁防御 CLI。 connect ftd 示例:登录后，如需了解 CLI 中可用命令的相关信息，请输入 help 或 ? 。有关使用信息，请参阅Cisco Secure Firewall Threat Defense 命令参考。 |
|
步骤 3 |
要退出 威胁防御FTD CLI，请输入 exit 或 logout 命令。 此命令会将您重新导向至 FXOS CLI 提示。有关 FXOS CLI 中可用命令的相关信息，请输入 ? 。 示例: |
排除数据接口上的管理连接故障
当使用数据接口进行管理器访问而不是使用专用管理接口时，必须注意在 管理中心 中更改 威胁防御 的接口和网络设置，以免中断连接。如果在将 威胁防御 添加到 管理中心 后更改管理接口类型（从数据到管理，或从管理到数据），如果接口和网络设置未正确配置，则可能会丢失管理连接。
本主题可帮助您排除管理连接丢失的问题。
- 查看管理连接状态
-
在 管理中心 中，在 页面上检查管理连接状态。
在 威胁防御 CLI，输入 sftunnel-status-brief 命令以查看管理连接状态。您还可以使用 sftunnel-status 查看更完整的信息。
请参阅以下有关关闭连接的输出示例；没有显示“连接至“信息，也没有显示心跳信息：
> sftunnel-status-brief PEER:10.10.17.202 Registration: Completed. Connection to peer '10.10.17.202' Attempted at Mon Jun 15 09:21:57 2020 UTC Last disconnect time : Mon Jun 15 09:19:09 2020 UTC Last disconnect reason : Both control and event channel connections with peer went down请参阅以下关于已建立连接的输出示例，其中显示了对等信道和心跳信息：
> sftunnel-status-brief PEER:10.10.17.202 Peer channel Channel-A is valid type (CONTROL), using 'eth0', connected to '10.10.17.202' via '10.10.17.222' Peer channel Channel-B is valid type (EVENT), using 'eth0', connected to '10.10.17.202' via '10.10.17.222' Registration: Completed. IPv4 Connection to peer '10.10.17.202' Start Time: Wed Jun 10 14:27:12 2020 UTC Heartbeat Send Time: Mon Jun 15 09:02:08 2020 UTC Heartbeat Received Time: Mon Jun 15 09:02:16 2020 UTC - 查看 威胁防御 网络信息
-
在 威胁防御 CLI 上，查看管理和管理器访问数据接口网络设置：
show network
> show network ===============[ System Information ]=============== Hostname : 5516X-4 DNS Servers : 208.67.220.220,208.67.222.222 Management port : 8305 IPv4 Default route Gateway : data-interfaces IPv6 Default route Gateway : data-interfaces ======================[ br1 ]======================= State : Enabled Link : Up Channels : Management & Events Mode : Non-Autonegotiation MDI/MDIX : Auto/MDIX MTU : 1500 MAC Address : 28:6F:7F:D3:CB:8D ----------------------[ IPv4 ]---------------------- Configuration : Manual Address : 10.99.10.4 Netmask : 255.255.255.0 Gateway : 10.99.10.1 ----------------------[ IPv6 ]---------------------- Configuration : Disabled ===============[ Proxy Information ]================ State : Disabled Authentication : Disabled ======[ System Information - Data Interfaces ]====== DNS Servers : Interfaces : GigabitEthernet1/1 ===============[ GigabitEthernet1/1 ]=============== State : Enabled Link : Up Name : outside MTU : 1500 MAC Address : 28:6F:7F:D3:CB:8F ----------------------[ IPv4 ]---------------------- Configuration : Manual Address : 10.89.5.29 Netmask : 255.255.255.192 Gateway : 10.89.5.1 ----------------------[ IPv6 ]---------------------- Configuration : Disabled - 检查向 管理中心注册 威胁防御
-
在 威胁防御 CLI 中，检查 管理中心 注册是否已完成。请注意，此命令不会显示管理连接的 当前 状态。
show managers
> show managers Type : Manager Host : 10.10.1.4 Display name : 10.10.1.4 Identifier : f7ffad78-bf16-11ec-a737-baa2f76ef602 Registration : Completed Management type : Configuration - Ping 管理中心
-
在 威胁防御 CLI 上，使用以下命令从数据接口对 管理中心 执行 ping 操作：
ping fmc_ip
在 威胁防御 CLI 上，使用以下命令从管理接口对 管理中心 执行 ping 操作，该接口应通过背板路由到数据接口：
ping system fmc_ip
- 捕获 威胁防御 内部接口上的数据包
-
在 威胁防御 CLI 上，捕获内部背板接口 (nlp_int_tap) 上的数据包，以查看是否发送了管理数据包：
capture 名称 interface nlp_int_tap trace detail match ip any any
show capturename trace detail
- 检查内部接口状态，统计信息和数据包计数
-
在 威胁防御 CLI 上，查看有关内部背板接口 nlp_int_tap 的信息：
show interace detail
> show interface detail [...] Interface Internal-Data0/1 "nlp_int_tap", is up, line protocol is up Hardware is en_vtun rev00, BW Unknown Speed-Capability, DLY 1000 usec (Full-duplex), (1000 Mbps) Input flow control is unsupported, output flow control is unsupported MAC address 0000.0100.0001, MTU 1500 IP address 169.254.1.1, subnet mask 255.255.255.248 37 packets input, 2822 bytes, 0 no buffer Received 0 broadcasts, 0 runts, 0 giants 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort 0 pause input, 0 resume input 0 L2 decode drops 5 packets output, 370 bytes, 0 underruns 0 pause output, 0 resume output 0 output errors, 0 collisions, 0 interface resets 0 late collisions, 0 deferred 0 input reset drops, 0 output reset drops input queue (blocks free curr/low): hardware (0/0) output queue (blocks free curr/low): hardware (0/0) Traffic Statistics for "nlp_int_tap": 37 packets input, 2304 bytes 5 packets output, 300 bytes 37 packets dropped 1 minute input rate 0 pkts/sec, 0 bytes/sec 1 minute output rate 0 pkts/sec, 0 bytes/sec 1 minute drop rate, 0 pkts/sec 5 minute input rate 0 pkts/sec, 0 bytes/sec 5 minute output rate 0 pkts/sec, 0 bytes/sec 5 minute drop rate, 0 pkts/sec Control Point Interface States: Interface number is 14 Interface config status is active Interface state is active - 检查路由和 NAT
-
在 威胁防御 CLI 中，检查是否已添加默认路由 (S *)，以及管理接口 (nlp_int_tap) 是否存在内部 NAT 规则。
show route
> show route Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route, + - replicated route SI - Static InterVRF Gateway of last resort is 10.89.5.1 to network 0.0.0.0 S* 0.0.0.0 0.0.0.0 [1/0] via 10.89.5.1, outside C 10.89.5.0 255.255.255.192 is directly connected, outside L 10.89.5.29 255.255.255.255 is directly connected, outside >show nat
> show nat Auto NAT Policies (Section 2) 1 (nlp_int_tap) to (outside) source static nlp_server_0_sftunnel_intf3 interface service tcp 8305 8305 translate_hits = 0, untranslate_hits = 6 2 (nlp_int_tap) to (outside) source static nlp_server_0_ssh_intf3 interface service tcp ssh ssh translate_hits = 0, untranslate_hits = 73 3 (nlp_int_tap) to (outside) source static nlp_server_0_sftunnel_ipv6_intf3 interface ipv6 service tcp 8305 8305 translate_hits = 0, untranslate_hits = 0 4 (nlp_int_tap) to (outside) source dynamic nlp_client_0_intf3 interface translate_hits = 174, untranslate_hits = 0 5 (nlp_int_tap) to (outside) source dynamic nlp_client_0_ipv6_intf3 interface ipv6 translate_hits = 0, untranslate_hits = 0 > - 检查其他设置
-
请参阅以下命令以检查是否存在所有其他设置。您还可以在 管理中心的 页面上看到许多这些命令。
show running-config sftunnel
> show running-config sftunnel sftunnel interface outside sftunnel port 8305show running-config ip-client
> show running-config ip-client ip-client outsideshow conn address fmc_ip
> show conn address 10.89.5.35 5 in use, 16 most used Inspect Snort: preserve-connection: 0 enabled, 0 in effect, 0 most enabled, 0 most in effect TCP nlp_int_tap 10.89.5.29(169.254.1.2):51231 outside 10.89.5.35:8305, idle 0:00:04, bytes 86684, flags UxIO TCP nlp_int_tap 10.89.5.29(169.254.1.2):8305 outside 10.89.5.35:52019, idle 0:00:02, bytes 1630834, flags UIO > - 检查 DDNS 更新是否成功
-
在 威胁防御 CLI 中，检查 DDNS 更新是否成功：
debug ddns
> debug ddns DDNS update request = /v3/update?hostname=domain.example.org&myip=209.165.200.225 Successfuly updated the DDNS sever with current IP addresses DDNS: Another update completed, outstanding = 0 DDNS: IDB SB total = 0如果更新失败，请使用 debug http 和 debug ssl 命令。对于证书验证失败，请检查是否已在设备上安装根证书：
show crypto ca certificates trustpoint_name
要检查 DDNS 操作，请执行以下操作：
show ddns update interface fmc_访问_ifc_name
> show ddns update interface outside Dynamic DNS Update on outside: Update Method Name Update Destination RBD_DDNS not available Last Update attempted on 04:11:58.083 UTC Thu Jun 11 2020 Status : Success FQDN : domain.example.org IP addresses : 209.165.200.225 - 检查 管理中心 日志文件
如果管理中心断开连接，则回滚配置
如果将威胁防御上的数据接口用于管理器访问，并从管理中心部署影响网络连接的配置更改，则可以将威胁防御上的配置回滚到上次部署的配置，以便恢复管理连接。然后，您可以调整 管理中心 中的配置设置，以便保持网络连接并重新部署。即使没有丢失连接，也可以使用回滚功能；它不仅限于此故障排除情况。
请参阅以下准则：
-
只有以前的部署可以在 威胁防御 上本地提供；您无法回滚到任何较早的部署。
-
支持回滚以实现高可用性，但不支持集群部署。
-
回滚只会影响您可以在 管理中心 中设置的配置。例如，回滚不会影响与专用管理接口相关的任何本地配置，您只能在 威胁防御 CLI 中进行配置。请注意，如果您在上次 管理中心 部署后使用 configure network management-data-interface 命令更改了数据接口设置，然后使用了回滚命令，则这些设置将不会保留；它们将回滚到上次部署的 管理中心 设置。
-
UCAPL/CC 模式无法回滚。
-
无法回滚上一次部署期间更新的带外 SCEP 证书数据。
-
在回滚期间，连接将被丢弃，因为当前配置将被清除。
过程
|
步骤 1 |
在 威胁防御 CLI 中，回滚到之前的配置。 configure policy rollback 回滚后，威胁防御 会通知 管理中心 已成功完成回滚。在 管理中心 中，部署屏幕将显示一条横幅，说明配置已回滚。
示例: |
||
|
步骤 2 |
检查管理连接是否已重新建立。 在 管理中心中，在 页面上检查管理连接状态。 在 威胁防御 CLI，输入 sftunnel-status-brief 命令以查看管理连接状态。 如果重新建立连接需要 10 分钟以上，则应排除连接故障。请参阅排除数据接口上的管理连接故障。 |
使用管理中心关闭防火墙电源
正确关闭系统非常重要。仅拔掉电源或按下电源开关可能会导致文件系统严重损坏。请记住，有许多进程一直在后台运行，拔掉或关闭电源不能正常关闭防火墙。
您可以使用 管理中心 正确关闭系统。
过程
|
步骤 1 |
选择。 |
|
步骤 2 |
在要重新启动的设备旁边，点击编辑图标 ( |
|
步骤 3 |
点击设备 (Device) 选项卡。 |
|
步骤 4 |
点击系统 (System) 部分中的关闭设备图标 ( |
|
步骤 5 |
出现提示时，确认是否要关闭设备。 |
|
步骤 6 |
如果您与防火墙建立了控制台连接，请在防火墙关闭时留意系统提示。您将看到以下提示： 如果没有控制台连接，请等待大约 3 分钟以确保系统已关闭。 |
|
步骤 7 |
您现在可以关闭电源开关并在必要时拔下电源插头以物理方式断开机箱的电源。 |
)。
)。
后续步骤
要继续配置 威胁防御，请参阅适用于您的软件版本的文档：导航思科 Firepower 文档。
有关使用 管理中心的信息，请参阅《Firepower 管理中心配置指南》。
反馈