步骤 1

选择系统（） > 配置。

步骤 2

（可选）如果要将 SNMP 规则添加到访问列表，请点击 SNMP 以配置 SNMP。默认情况下，SNMP 处于禁用状态；请参阅 配置 SNMP 轮询。

步骤 3

点击访问列表 (Access List)。

步骤 4

要添加对一个或多个 IP 地址的访问权限，请点击添加规则 (Add Rules)。

步骤 5

在 IP 地址 (IP Address) 字段中，输入 IP 地址或地址范围或 any。

步骤 6

选择 SSH、HTTPS、SNMP 或其组合，以指定要为这些 IP 地址启用哪些端口。

步骤 7

点击添加 (Add)。

步骤 8

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击审核日志 (Audit Log)。

步骤 3

从将审核日志发送到系统日志 (Send Audit Log to Syslog) 下拉菜单中选择已启用 (Enabled)。

步骤 4

以下字段仅适用于发送到系统日志的审核日志：

步骤 5

（可选）要测试系统日志服务器的IP地址是否有效，请点击 测试系统日志服务器。

步骤 6

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击审核日志 (Audit Log)。

步骤 3

或者，在标记 (Tag) 字段中，输入要与消息一起显示的标记名称。例如，如果要在所有审核日志记录之前添加 FROMMC，请在字段中输入 FROMMC。

步骤 4

从将审核日志发送到 HTTP 服务器 (Send Audit Log to HTTP Server) 下拉列表中选择启用 (Enabled)。

步骤 5

在发送审核的 URL (URL to Post Audit) 字段中，指定要用于发送审核信息的 URL。输入与将会监听下列 HTTP POST 变量的监听程序相对应的 URL：

步骤 6

单击保存。

步骤 1

在 管理中心上获取并安装签名的客户端证书：

1. 获取管理中心的已签署的审核日志客户端证书：

   根据系统信息和您提供的标识信息从 管理中心 生成证书签名请求 (CSR)。

   将 CSR 提交至认可的可信证书颁发机构 (CA) 以请求签名的客户端证书。

   如果 管理中心 和审核日志服务器之间需要相互身份验证，则签名客户端证书的 CA 必须与用于连接的服务器证书的签名 CA 相同。

2. 收到证书颁发机构签名的证书后，将其导入到 管理中心中。请参阅将审核日志客户端证书导入管理中心。

步骤 2

配置与服务器之间的通信通道，以使用传输层安全 (TLS) 协议并启用相互身份验证。

步骤 3

配置审核日志流，如果尚未执行此操作。

步骤 1

选择系统（） > 配置。

步骤 2

点击审核日志证书 (Audit Log Certificate)。

步骤 3

点击 Generate New CSR。

步骤 4

在国家/地区名称（两字母代码）(Country Name [two-letter code]) 字段中输入国家/地区代码。

步骤 5

在省/自治区/直辖市 (State or Province) 字段中输入省/自治区/直辖市的邮编缩写。

步骤 6

输入地区或城市 (Locality or City)。

步骤 7

在组织 (Organization) 中输入组织名称。

步骤 8

输入组织单位 (部门) 名称。

步骤 9

在公用名 (Common Name) 字段中输入要为其请求证书的服务器的完全限定域名。

步骤 10

点击生成 (Generate)。

步骤 11

使用文本编辑器打开新的空白文件。

步骤 12

复制证书请求中的整个文本块（包括 BEGIN CERTIFICATE REQUEST 和 END CERTIFICATE REQUEST 行），然后将其粘贴到一个空白文本文件中。

步骤 13

将该文件另存为 clientname.csr，其中，clientname 是计划使用证书的设备的名称。

步骤 14

点击 Close。

步骤 1

在管理中心上，选择系统（） > 配置。

步骤 2

点击审核日志证书 (Audit Log Certificate)。

步骤 3

点击导入审核客户端证书 (Import Audit Client Certificate)。

步骤 4

在文本编辑器中打开客户端证书，复制整个文本块，包括 BEGIN CERTIFICATE 和 END CERTIFICATE 行。将此文本粘贴到客户端证书 (Client Certificate) 字段。

步骤 5

要上传私钥，请打开私钥文件并复制整个文本块，包括 BEGIN RSA PRIVATE KEY 和 END RSA PRIVATE KEY 行。将此文本粘贴到私钥 (Private Key) 字段。

步骤 6

打开任何所需的中间证书，复制整个文本块，然后将其复制到证书链 (Certificate Chain) 字段中。

步骤 7

单击保存。

步骤 1

在管理中心上，选择系统（） > 配置。

步骤 2

点击审核日志证书 (Audit Log Certificate)。

步骤 3

要使用传输层安全将审核日志安全地流式传输到外部服务器，请选择 启用 TLS。

步骤 4

如果您不希望客户端根据服务器对自身进行身份验证，但在证书由同一 CA 颁发时接受服务器证书（不推荐）：

1. 取消选择启用相互身份验证。

   重要	确保服务器配置为信任客户端，而不验证任何客户端证书。

2. 点击保存并跳过此过程的其余部分。

步骤 5

（可选）要通过审核日志服务器启用客户端证书验证，请选择 启用相互身份验证。

openssl pkcs8 -topk8 -inform PEM -outform PEM 
-nocrypt -in PKCS1 key file name -out PKCS8 key filename

步骤 6

（可选）要自动识别不再是有效的服务器证书，请执行以下步骤：

1. 选择启用 CRL 提取。

   重要	仅当您选中 启用相互身份验证 复选框时，才会显示此选项。但是，仅当启用 TLS 选项时， 启用 CRL 获取 选项才适用。CRL 用于服务器证书验证，不依赖于用于启用客户端证书验证的相互身份验证。

   启用获取 CRL 会为客户端创建一个计划任务，以便定期更新（下载）CRL 或 CRL。CRL 用于服务器证书验证，其中，如果来自 CA 的 CRL 指定要验证的服务器证书已被 CA 吊销，则验证会失败。

2. 输入现有 CRL 文件的有效 URL 并点击添加 CRL (Add CRL)。

   重复以上步骤以添加 25 个 CRL。

3. 点击刷新 CRL (Refresh CRL) 以从指定的 URL 加载当前 CRL。

步骤 7

验证您是否拥有由创建客户端证书的同一证书颁发机构生成的有效服务器证书。

步骤 8

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击审核日志证书 (Audit Log Certificate)。

步骤 1

选择系统（） > 配置。

步骤 2

点击更改调节。

步骤 3

选中启用复选框。

步骤 4

从运行时间 (Time to Run) 下拉列表中选择您希望系统每天发出更改调节报告的具体时间。

步骤 5

在邮件收件人 (Email to) 字段中输入邮箱地址。

步骤 6

如果要包含策略更改，请选中包含策略配置 (Include Policy Configuration) 复选框。

步骤 7

如果要包含过去 24 小时进行的所有更改，请选中显示完整更改历史记录 (Show Full Change History) 复选框。

步骤 8

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 DNS 缓存 (DNS Cache)。

步骤 3

从 DNS 解析缓存 (DNS Resolution Caching) 下拉列表中，选择以下选项之一：

• 已启用 (Enabled) - 启用缓存。
• 已禁用 (Disabled) - 禁用缓存。

步骤 4

在 DNS 缓存超时（以分钟为单位）(DNS Cache Timeout [in minutes]) 字段中，输入 DNS 条目在因无活动而被删除前在内存中缓存的分钟数。

步骤 5

点击保存 (Save)。

步骤 1

选择系统（） > 配置。

步骤 2

点击控制面板 (Dashboard)。

步骤 3

选中启用自定义分析构件 (Enable Custom Analysis Widgets) 复选框以允许用户将“自定义分析”(Custom Analysis) 构件添加到控制面板。

步骤 4

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

选择数据库 (Database)。

步骤 3

对于每个数据库，请输入要存储的记录的数量。

步骤 4

或者，在数据修剪通知地址 (Data Pruning Notification Address) 字段中，输入要接收修剪通知的邮箱地址。

步骤 5

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 Email Notification。

步骤 3

在邮件中继主机 (Mail Relay Host) 字段中，输入要使用的邮件服务器的主机名或 IP 地址。输入的邮件主机必须允许从设备进行访问。

步骤 4

在端口号 (Port Number) 字段，请输入邮件服务器上使用的端口号。

步骤 5

在加密方法 (Encryption Method) 中选择一种加密方法。

• TLS - 使用传输层安全加密通信。
• SSLv3 - 使用安全套接字层加密通信。
• 无 (None) - 允许未加密的通信。

步骤 6

在源地址 (From Address) 字段，输入要将其用作设备发送消息的源邮箱地址的有效邮箱地址。

步骤 7

或者，要在连接到邮件服务器时提供用户名和密码，请选择使用身份验证 (Use Authentication)。在用户名 (Username) 字段中输入用户名。在密码 (Password) 字段中输入密码。

步骤 8

要使用已配置的邮件服务器发送测试邮件，请点击测试邮件服务器设置 (Test Mail Server Settings)。

步骤 9

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击外部数据库访问 (External Database Access)。

步骤 3

选中允许外部数据库访问 (Allow External Database Access) 复选框。

步骤 4

在服务器主机名 (Server Hostname) 字段中输入相应的值。根据第三方应用要求，此值可以是 管理中心的完全限定域名 (FQDN)、IPv4 地址或 IPv6 地址。

步骤 5

点击 Client JDBC Driver 旁边的 Download 并按照浏览器提示下载 client.zip 软件包。

步骤 6

要为一个或多个 IP 地址添加数据库访问权限，请点击添加主机。此时，访问列表字段中将会显示 IP 地址字段。

步骤 7

在 IP 地址 (IP Address) 字段中，输入 IP 地址或地址范围或 any。

步骤 8

点击添加 (Add)。

步骤 9

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 HTTPS Certificate。

步骤 1

选择系统（） > 配置。

步骤 2

点击 HTTPS Certificate。

步骤 3

点击 Generate New CSR。

步骤 4

在国家/地区名称（两字母代码）(Country Name [two-letter code]) 字段中输入国家/地区代码。

步骤 5

在省/自治区/直辖市 (State or Province) 字段中输入省/自治区/直辖市的邮编缩写。

步骤 6

输入地区或城市 (Locality or City)。

步骤 7

在组织 (Organization) 中输入组织名称。

步骤 8

输入组织单位 (部门) 名称。

步骤 9

在公用名 (Common Name) 字段中输入要为其请求证书的服务器的完全限定域名。

步骤 10

要请求用于保护多个域名或 IP 地址的证书，请在“使用者可选名称”部分中输入以下信息：

1. 域名：输入由使用者可选名称保护的完全限定域和子域（如果有）。

2. IP 地址：输入由使用者可选名称保护的 IP 地址。

步骤 11

点击生成 (Generate)。

步骤 12

打开一个文本编辑器。

步骤 13

复制证书请求中的整个文本块（包括 BEGIN CERTIFICATE REQUEST 和 END CERTIFICATE REQUEST 行），然后将其粘贴到一个空白文本文件中。

步骤 14

将该文件另存为 servername.csr，其中，servername 是计划使用证书的服务器的名称。

步骤 15

点击 Close。

步骤 1

选择系统（） > 配置。

步骤 2

点击 HTTPS Certificate。

步骤 3

点击导入 HTTPS 证书。

步骤 4

在文本编辑器中打开服务器证书，复制整个文本块（包括 BEGIN CERTIFICATE 和 END CERTIFICATE 行）。将此文本粘贴到服务器证书 (Server Certificate) 字段中。

步骤 5

是否需要提供私钥取决于您生成证书签名请求的方式：

• 如果使用 Cisco Secure Firewall Management Center Web 界面生成证书签名请求（如生成 HTTPS 服务器证书签名请求中所述），则系统已有私有密钥，您无需在此输入。
• 如果通过其他方式生成证书签名请求，则必须在此提供私有密钥。打开私有密钥文件并复制整个文本块，包括 BEGIN RSA PRIVATE KEY 和 END RSA PRIVATE KEY 行。将此文本粘贴到私钥 (Private Key) 字段。

步骤 6

打开任何所需的中间证书，复制整个文本块，然后将其复制到证书链 (Certificate Chain) 字段中。如果收到根证书，请将其粘贴到此处。如果收到中间证书，请将其粘贴到根证书下方。在两种案例下，复制整个文本块，包括 BEGIN CERTIFICATE 和 END CERTIFICATE 行。

步骤 7

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 HTTPS Certificate。

步骤 3

选择启用客户端证书 (Enable Client Certificates)。如有提示，请从下拉列表中选择相应的证书。

步骤 4

您会看到三个选项：

• 要用一个或多个 CRL 验证客户端证书，请选择启用 CRL 获取 (Enable Fetching of CRL) 并继续执行步骤 5。
• 要使用 OCSP 验证客户端证书，请选择启用 OCSP 并跳转至步骤 7。
• 要在不检查撤销的情况下接受客户端证书，请跳转至步骤 8。

步骤 5

输入现有 CRL 文件的有效 URL 并点击添加 CRL (Add CRL)。重复以上步骤以添加 25 个 CRL。

步骤 6

点击刷新 CRL (Refresh CRL) 以从指定的 URL 加载当前 CRL。

步骤 7

验证客户端证书是否由加载到设备上的证书颁发机构签署，以及服务器证书是否由加载到浏览器证书存储区中的证书颁发机构签署。（这些证书的证书颁发机构相同。）

步骤 8

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 HTTPS Certificate。

步骤 3

点击 续约 HTTPS 证书。（仅当系统配置为使用默认 HTTPS 服务器证书时，此选项才会显示在证书信息下方的显示屏上。）

步骤 4

（可选）在续订 HTTPS 证书对话框中，选择生成新密钥以生成证书的新密钥。

步骤 5

在续订 HTTPS 证书对话框中，点击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 Language。

步骤 3

选择要使用的语言。

步骤 4

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

选择登录横幅 (Login Banner)。

步骤 3

在自定义登录横幅 (Custom Login Banner) 字段中，输入要使用的登录横幅。

步骤 4

单击保存。

步骤 1

选择 系统（） > 配置，然后选择管理接口。

步骤 2

在接口区域中，点击要配置的接口旁边的编辑。

步骤 3

在 路由 区域中，通过点击 编辑（）编辑静态路由，或通过点击 添加（）添加路由。

步骤 4

在共享设置区域中，设置所有接口共享的网络参数。

步骤 5

在 ICMPv6 区域中，配置 ICMPv6 设置。

步骤 6

在代理区域中，配置 HTTP 代理设置。

1. 选中已启用 (Enabled) 复选框。

2. 在 HTTP 代理字段中，输入代理服务器的 IP 地址或完全限定域名。

   请参阅本主题必备条件中的要求。

3. 在端口 (Port) 字段中，输入端口号。

4. 通过选择使用代理身份验证来提供身份验证凭证，然后提供用户名和密码。

步骤 7

单击保存。

步骤 8

如果更改 管理中心 IP 地址，请参阅。如果更改 管理中心 IP 地址，请参阅 《Cisco Secure Firewall Management Center 设备配置指南》中的 编辑设备上的 管理中心 IP 地址或主机名 。

步骤 1

选择系统（） > 配置。

步骤 2

选择进程 (Process)。

步骤 3

执行以下操作之一：

步骤 1

选择右上角的齿轮（）以打开系统菜单。

步骤 2

点击 REST API 首选项 (REST API Preferences)。

步骤 3

要启用或禁用对 管理中心 的 REST API 访问，请选中或取消选中启用 REST API 复选框。

步骤 4

点击保存 (Save)。

步骤 5

访问 REST API Explorer，网址为：https://<management_center_IP_or_name>:<https_port>/api/api-explorer

步骤 1

选择系统（） > 配置。

步骤 2

点击控制台配置 (Console Configuration)。

步骤 3

选择远程控制台访问选项：

步骤 4

要通过 SOL 配置 LOM，请执行以下操作：

步骤 5

点击保存 (Save)。

步骤 6

系统显示以下警告：“您必须重新启动系统才能使这些更改生效。” 点击 确认 立即重新启动或点击 取消 稍后重新启动。

步骤 1

选择系统（） > 配置。

步骤 2

选择远程存储设备 (Remote Storage Device)。

步骤 3

从存储类型 (Storage Type) 下拉列表中选择本地（无远程存储）(Local [No Remote Storage])。

步骤 4

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 Remote Storage Device。

步骤 3

从存储类型 (Storage Type) 下拉列表中选择 NFS。

步骤 4

添加连接信息：

步骤 5

或者，选中使用高级选项 (Use Advanced Options) 复选框并输入任何所需命令行选项；请参阅远程存储管理高级选项。

步骤 6

在系统使用 (System Usage) 下：

步骤 7

要测试设置，请点击测试 (Test)。

步骤 8

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 Remote Storage Device。

步骤 3

从存储类型 (Storage Type) 下拉列表中选择 SMB。

步骤 4

添加连接信息：

步骤 5

或者，选中使用高级选项 (Use Advanced Options) 复选框并输入任何所需命令行选项；请参阅远程存储管理高级选项。

步骤 6

在系统使用 (System Usage) 下：

• 选择用于备份 (Use for Backups) 以将备份存储在指定主机上。
• 选择用于报告 (Use for Reports) 以将报告存储在指定主机上。

步骤 7

要测试设置，请点击测试 (Test)。

步骤 8

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 Remote Storage Device。

步骤 3

从存储类型 (Storage Type) 下拉列表中选择 SSH。

步骤 4

添加连接信息：

步骤 5

或者，选中使用高级选项 (Use Advanced Options) 复选框并输入任何所需命令行选项；请参阅远程存储管理高级选项。

步骤 6

在“系统使用”(System Usage) 下：

• 选择用于备份 (Use for Backups) 以将备份存储在指定主机上。
• 选择用于报告 (Use for Reports) 以将报告存储在指定主机上。

步骤 7

如果要测试设置，必须点击测试 (Test)。

步骤 8

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 SNMP。

步骤 3

从 SNMP 版本 下拉列表中，选择要使用的 SNMP 版本：

• 版本 1 或 版本 2：在 社区字符串 字段中输入只读 SNMP 社区名称，然后跳至程序末尾。

  注	不包含特殊字符 (< > / % # & ? ' 等）在 SNMP 社区字符串名称中。

• 版本 3：请点击 添加用户 显示用户定义页面。SNMPv3 仅支持只读用户和使用 AES128 加密。

步骤 4

输入用户名 (Username)。

步骤 5

从身份验证协议 (Authentication Protocol) 下拉列表中选择要用于身份验证的协议。

步骤 6

在身份验证密码 (Authentication Password) 字段中输入使用 SNMP 服务器进行身份验证时所需的密码。

步骤 7

在验证密码 (Verify Password) 字段中重新输入身份验证密码。

步骤 8

从隐私协议 (Privacy Protocol) 列表中选择要使用的隐私协议，或者选择无 (None) 以不使用隐私协议。

步骤 9

在隐私密码 (Privacy Password) 字段中输入 SNMP 服务器需要的 SNMP 隐私密钥。

步骤 10

在验证密码 (Verify Password) 字段中重新输入隐私密码。

步骤 11

点击添加 (Add)。

步骤 12

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 CLI 超时。

步骤 3

配置会话超时：

步骤 4

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 Time Synchronization。

步骤 3

如果通过 NTP 提供时间 (Serve Time via NTP) 处于已启用 (Enabled) 状态，请选择已禁用 (Disabled) 以禁用管理中心作为 NTP 服务器。

步骤 4

对于“设置我的时钟”选项，选择“通过 NTP”。

步骤 5

点击“添加”。

步骤 6

在“添加 NTP 服务器”对话框中，输入 NTP 服务器的主机名或 IPv4 或 IPv6 地址。

步骤 7

（可选）要保护您的 管理中心 与 NTP 服务器之间的通信，请执行以下操作：

1. 从“密钥类型”下拉列表中选择 MD5、SHA-1 或 AES-128 CMAC。

2. 输入指定的 NTP 服务器对应的 MD5、SHA-1 或 AES-128 CMAC 密钥号和密钥值。

步骤 8

点击“添加”。

步骤 9

要添加更多 NTP 服务器，请重复步骤 5 至 8。

步骤 10

（可选）要强制 管理中心 仅使用成功进行身份验证的NTP服务器，请选中“仅使用经过身份验证的 NTP 服务器”复选框。

步骤 11

单击保存。

步骤 1

在 管理中心上手动设置系统时间：

1. 选择系统（） > 配置。

2. 点击 Time Synchronization。

3. 如果通过 NTP 提供时间 (Serve Time via NTP) 处于已启用 (Enabled) 状态，请选择已禁用 (Disabled)。

4. 单击保存。

5. 对于设置我的时钟，选择在本地配置中手动设置。

6. 单击保存。

7. 在屏幕左侧的导航窗格中，点击时间。

8. 使用设置时间 (Set Time) 下拉列表设置时间。

9. 如果显示的时区不是 UTC，请点击该时区，并将时区设置为 UTC。

10. 单击保存。

11. 点击 Done。

12. 点击 Apply。

步骤 2

设置 管理中心作为 NTP 服务器：

1. 在屏幕左侧的导航窗格中，点击时间同步。

2. 对于通过 NTP 提供时间，选择已启用。

3. 单击保存。

步骤 3

设置受管设备，以便与 管理中心 NTP 服务器同步：

1. 在分配给托管设备的平台设置策略的“时间同步”设置中，将时钟设置为通过管理中心的 NTP 同步。

2. 将更改部署到托管设备。

步骤 1

选择系统（） > 配置。

步骤 2

点击用户配置。

步骤 3

将密码重用限制设置为您希望在历史记录中保留的密码数量（最大值为 256）。

步骤 4

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击用户配置。

步骤 3

将跟踪成功登录天数设置为跟踪成功登录的天数（最大值为 365）。

步骤 4

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击用户配置。

步骤 3

将最大登录失败次数设置为临时锁定用户之前最大连续失败登录尝试次数。

步骤 4

将临时锁定用户的时间（分钟）设置为锁定已触发临时锁定的用户的分钟数。

步骤 5

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击用户配置。

步骤 3

对于每种类型的会话（只读 和 读/写），将 允许的最大并发会话数 设置为可同时打开的该类型会话的最大数量。

步骤 4

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

点击 VMware 工具 (VMware Tools).

步骤 3

点击启用 VMware 工具 (Enable VMware Tools)。

步骤 4

单击保存。

步骤 1

选择系统（） > 配置。

步骤 2

选择漏洞映射 (Vulnerability Mapping)。

步骤 3

有以下选项可供选择：

• 要阻止服务器的漏洞被映射到接收不含供应商或版本信息的应用协议流量的主机上，请为相应服务器清除此复选框。
• 要使服务器的漏洞映射到接收不含供应商或版本信息的应用协议流量的主机上，请选中该服务器对应的复选框。

步骤 4

单击保存。