适用于 Firepower 设备管理器的思科 Firepower 威胁防御配置指南，版本 6.3.0

关于 FTD 接口

FTD 包括数据接口和管理/诊断接口。

将电缆（以物理方式或虚拟方式）连接到接口接头时，您需要配置该接口。至少需要命名并启用该接口，该接口才会传输流量。如果该接口是桥接组的成员，此配置就已足够。对于非桥接组成员，您还需要为该接口指定一个 IP 地址。如果要在特定端口上创建 VLAN 子接口（而非单一物理接口），通常要在该子接口（而不是物理接口）上配置 IP 地址。通过 VLAN 子接口，可以将一个物理接口拆分为多个标记有不同 VLAN ID 的逻辑接口，这一点在您连接到交换机的中继端口时非常有用。请勿在被动接口上配置 IP 地址。

接口列表列出了可用的接口、接口名称、地址、模式以及状态。您可以直接在接口列表中更改接口的状态，打开接口或将其关闭。列表将基于您的配置显示接口特征。使用桥接组接口上的开/关箭头可查看成员接口，这些成员接口也会显示于列表中。有关如何将这些接口映射到虚拟接口和网络适配器的信息，请参阅 VMware 网络适配器和接口如何映射到 Firepower 威胁防御物理接口。

以下主题介绍了通过 Firepower 设备管理器配置接口的局限性及其他接口管理概念。

接口模式

可以为每个接口配置下列其中一种模式：

路由

每个第 3 层路由接口都需要唯一子网上的一个 IP 地址。通常会将这些接口与交换机、另一个路由器上的端口或 ISP/WAN 网关连接。

被动

被动接口使用交换机 SPAN（交换端口分析器）或镜像端口监控在网络中传输的流量。SPAN 或镜像端口允许从交换机的其他端口复制流量。此功能可以提供网络内的系统可视性，而不会影响网络流量。如果在被动部署中配置系统，系统将不能执行某些操作，例如，阻止流量或流量整形。被动接口无条件接收所有流量，这些接口不会重传接收到的流量。

BridgeGroupMember

桥接组是指 FTD 网桥（而非路由）的接口组。所有接口位于同一网络上。桥接组由在网桥网络上有 IP 地址的桥接虚拟接口 (BVI) 表示。

如果指定 BVI，您可以在路由接口和 BVI 之间路由。在这种情况下，BVI 充当成员接口和路由接口之间的网关。如果不指定 BVI，桥接组成员接口上的流量不能离开桥接组。通常，可以指定该接口，以便将成员接口路由到互联网。

在路由模式下，桥接组的一个用途是在 Firepower 威胁防御设备上使用额外接口，而不使用外部交换机。您可以将终端直接连接到桥接组成员接口。您还可以连接交换机，以将更多终端添加到与 BVI 相同的网络。

管理/诊断接口

标记为“管理”的物理端口（对于 Firepower 威胁防御虚拟，则为 Management0/0 虚拟接口）实际上有两个与其关联的单独接口。

管理虚拟接口 - 此 IP 地址用于系统通信。这是系统用于进行智能许可和检索数据库更新的地址。您可以打开它的管理会话（Firepower 设备管理器和 CLI）。您必须配置一个管理地址，该地址在系统设置 > 管理界面上定义。
诊断物理接口 - 此物理管理端口的实际名称为“诊断”。您可以使用此接口将系统日志消息发送到外部系统日志服务器。为诊断物理接口配置 IP 地址是可选项。配置该接口的唯一原因是您需要将它用于系统日志。此接口显示在设备 > 接口页面上，并可在此页面上进行配置。诊断物理接口只允许管理流量，而不允许穿越流量。

（硬件设备。）建议配置管理/诊断接口时，不要将物理端口连接到网络。而是仅配置管理 IP 地址，并把它配置为将数据接口用作从互联网获取更新的网关。然后，打开 HTTPS/SSH 流量（默认情况下启用 HTTPS）的内部接口，并使用内部 IP 地址打开 Firepower 设备管理器（请参阅配置管理访问列表）。

对于 Firepower 威胁防御虚拟，建议的配置是将 Management0/0 连接到与内部接口相同的网络，并将内部接口用作网关。不要为诊断接口配置单独的地址。

配置单独管理网络的建议

（硬件设备。）如果要使用单独管理网络，请将物理管理/诊断接口连接到交换机或路由器。

对于 Firepower 威胁防御虚拟，请将 Management0/0 连接到不同于任何数据接口的独立网络。如果仍然使用默认 IP 地址，则需要更改管理 IP 地址或内部接口 IP 地址（因为它们在同一子网上），

然后，进行以下配置：

依次选择设备 > 系统设置 > 管理接口，并配置所连接网络上的 IPv4 或 IPv6 地址（或两者）。如果需要，可以配置 DHCP 服务器以便能向网络上的其他终端提供 IPv4 地址。如果路由器在管理网络上有到互联网的路由，则可将其作为网关来使用。如果没有，请使用数据接口作为网关。
仅当您打算通过该接口向系统日志服务器发送系统日志消息时，才需要为诊断接口配置地址（在设备 > 接口上）。否则，不要为诊断接口配置地址，因为不需要。您配置的任何 IP 地址必须与管理 IP 地址在同一子网上，并且不能在 DHCP 服务器池中。例如，默认配置使用 192.168.45.45 作为管理地址，192.168.45.46 至 192.168.45.254 作为 DHCP 池，因此您可以使用从 192.168.45.1 到 192.168.45.44 的任何地址配置诊断接口。

单独的管理网络的管理/诊断接口配置的局限性

如果连接物理管理接口，或对于 Firepower 威胁防御虚拟，将 Management0/0 连接到单独的网络，请确保遵循以下限制：

如果需要一台位于管理网络中的 DHCP 服务器，请在管理接口上配置该服务器（设备 > 系统设置 > 管理接口）。不能在诊断（物理）接口上配置 DHCP 服务器。
如果管理网络中存在另一台 DHCP 服务器，请禁用该服务器或管理接口上运行的 DHCP 服务器。通常而言，一个给定子网中的 DHCP 服务器不应超过一台。
如果同时为管理接口和诊断接口配置地址，请确保其位于同一子网中。
（仅硬件设备。）您可以使用数据接口作为管理网关，即便为诊断接口配置了 IP 地址。但是，诊断接口不会使用该数据接口作为网关。如果需要从诊断接口通往其他网络的路径，则需要由位于管理网络中的另一台路由器来路由源于诊断 IP 地址的流量。如有必要，请为诊断接口配置静态路由（依次选择设备 > 路由）。

安全区域

可为每个接口分配一个安全区域。然后根据区域应用您的安全策略。例如，您可以将内部接口分配到内部区域，而将外部接口分配到外部区域。例如，可以配置访问控制策略，允许流量从内部传到外部，但不允许从外部传入内部。

每个区域都有一个模式，路由或被动模式。该模式与接口模式直接关联。您可以仅向同一模式安全区添加路由和被动接口。

对于桥接组，可将成员接口添加到区域，但不能添加桥接虚拟接口 (BVI)。

不能将诊断/管理接口包括在区域中。区域只适用于数据接口。

可在对象页面创建安全区域。

IPv6 编址

您可以为 IPv6 配置两种类型的单播地址：

全局 - 全局地址是可在公用网络上使用的公用地址。对于桥接组，需要在桥接虚拟接口 (BVI) 上而非每个成员接口上配置全局地址。不能将以下任何地址指定为全局地址。
- 内部保留的 IPv6 地址：fd00::/56（fd00:: 至 fd00:0000:0000:00ff:ffff:ffff:ffff:ffff）
- 未指定的地址，例如 ::/128
- 环回地址 ::1/128
- 组播地址 ff00::/8
- 链路本地地址 fe80::/10
链路本地 - 链路本地地址是只能在直连网络上使用的专用地址。路由器不使用链路本地地址转发数据包；它们仅用于在特定物理网段上通信。链路本地地址可用于地址配置或网络发现功能，例如地址解析和邻居发现。在桥接组中，对 BVI 启用 IPv6 将为每个桥接组成员接口自动配置链路本地地址。每个接口必须有自己的地址，因为链路本地地址仅在网段中可用，并且会与接口 MAC 地址绑定。

至少需要配置链路本地地址，IPv6 才会起作用。如果配置全局地址，则接口上会自动配置链路本地地址，因此无需另外专门配置链路本地地址。如果不配置全局地址，则需要自动或手动配置链路本地地址。

Auto-MDI/MDIX 功能

对于 RJ-45 接口，默认的自动协商设置还包括 Auto-MDI/MDIX 功能。Auto-MDI/MDIX 在自动协商阶段检测直通电缆时执行内部交叉，从而消除交叉布线的需要。如要启用接口的 Auto-MDI/MDIX，必须将速度或双工设置为自动协商。如果将速度和双工明确设置为固定值，从而禁用了两种设置的自动协商，则 Auto-MDI/MDIX 也将被禁用。对于千兆以太网，当速度和双工被设置为 1000 和全值时，接口始终会自动协商；因此，Auto-MDI/MDIX 始终会启用，且您无法禁用它。

接口的准则与限制

以下主题介绍接口的局限性。

接口配置的局限性

使用 Firepower 设备管理器配置设备时，接口配置存在许多局限性。如果您需要以下任意功能，则必须使用 Firepower 管理中心来配置设备。

仅支持路由防火墙模式。无法配置透明防火墙模式的接口。
可以配置被动接口，但不能配置 ERSPAN 接口。
不能将接口配置为内联（在内联集内）或内联分路，用于仅 IPS 的处理。仅 IPS 模式的接口将绕过许多防火墙检查，仅支持 IPS 安全策略。相比之下，防火墙模式接口需要对流量执行防火墙功能，例如维持流量、跟踪 IP 和 TCP 层的流量状态、IP 分片重组和 TCP 规范化。另外，您还可以根据安全策略，选择配置该防火墙模式接口的 IPS 功能。
无法配置 EtherChannel 或冗余接口。
仅可添加一个桥接组。
无法为 IPv4 配置 PPPoE。如果将互联网接口连接到 DSL、电缆调制解调器或 ISP 的其他连接，且 ISP 使用 PPPoE 为您提供 IP 地址，则您必须使用 Firepower 管理中心来配置这些设置。

对于 ASA 5515-X、5525-X、5545-X 和 5555-X 以及 Firepower 2100 系列，可安装可选网络接口模块。仅在引导程序期间（即初始安装或重新映像，或在本地/远程管理之间切换时），才会发现网络接口模块。Firepower 设备管理器为这些接口设置正确的速度和双工默认值。如果将可选网络接口模块替换为更改接口速度/双工选项的模块，而不更改可用接口的总数，则重新启动设备，以便系统识别替换接口的正确速度/双工值。在与设备的 SSH 或控制台会话中，输入 reboot 命令。然后，在 Firepower 设备管理器中，编辑能够更改的各物理接口，并选择有效的速度和双工选项，因为系统不会自动更正您的原始设置。立即部署更改，确保系统行为正确无误。

注	将模块更换为更改接口总数的模块，或移除其他对象引用的接口，均可能导致意外问题。如果需要进行此类更改，请先删除待移除接口的所有引用，如安全区成员资格、VPN 连接等。此外，建议您在更改前进行备份。

对于 Firepower 威胁防御虚拟设备，仅在重新初始化设备（如添加接口到虚拟 Firepower 威胁防御所述）后才可添加或删除接口。但是，如果仅将接口替换为速度/双工能力不同的接口，请重启设备，以便系统识别新的速度/双工值。在 CLI 控制台中，输入 reboot 命令。然后，在 Firepower 设备管理器中，编辑能够更改的各接口，并选择有效的速度和双工选项，因为系统不会自动更正您的原始设置。立即部署更改，确保系统行为正确无误。

各设备型号的最大 VLAN 子接口数量

设备型号限制可配置的最大 VLAN 子接口数量。请注意，仅可在数据接口上而不可在管理接口上配置子接口。

下表介绍各设备型号的限制。


型号	最大 VLAN 子接口数量
Firepower 2100	1024
Firepower 威胁防御虚拟	50
ASA 5508-X	50
ASA 5515-X	100
ASA 5516-X	100
ASA 5525-X	200
ASA 5545-X	300
ASA 5555-X	500
ISA 3000	25

配置物理接口

要使用启用物理接口，至少必须启用它。。通常，您还需要为它命名并配置 IP 寻址。如果要创建 VLAN 子接口，或者配置被动模式接口，或者要将接口添加到桥接组，无需配置 IP 寻址。

注	要将物理接口配置为被动接口，请参阅将物理接口配置为被动模式。

您可以禁用接口，以临时阻止在相连网络中的传输。无需删除该接口的配置。

过程

步骤 1

点击设备，然后点击接口摘要中的链接。

接口列表将显示可用的接口及其名称、地址和状态。

步骤 2

点击要编辑的物理接口的编辑图标 ()。

不能编辑在高可用性配置中用作故障切换或状态故障切换链路的接口。

步骤 3

进行以下设置：

设置接口名称。

设置接口名称，最多 48 个字符。字母字符必须为小写。例如 inside 或 outside。如果没有名称，将忽略其余的接口配置。除非配置子接口，否则接口应有名称。

注	如果更改名称，更改将自动反映到使用旧名称的所有位置，包括安全区、系统日志服务器对象和 DHCP 服务器定义。但无法删除名称，除非首先删除使用该名称的所有配置，这是因为对于任何策略或设置通常无法使用未命名的接口。

选择模式。
- 路由 - 路由模式接口需要对流量执行所有防火墙功能，例如维持流量、跟踪 IP 和 TCP 层的流量状态、IP 分片重组、TCP 规范化以及防火墙策略。这是正常接口模式。
- 被动 - 被动接口使用交换机 SPAN 或镜像端口监控网络中流经的流量。SPAN 或镜像端口允许从交换机的其他端口复制流量。此功能可以提供网络内的系统可视性，而不会影响网络流量。如果在被动部署中配置系统，系统将不能执行某些操作，例如，阻止流量或流量整形。被动接口无条件接收所有流量，这些接口不会重传接收到的流量。如果您选择此模式，无需执行此过程的其余部分。参阅将物理接口配置为被动模式。请注意，无法在被动接口上配置 IP 地址。
如果稍后将此接口添加至桥接组，则模式将自动更改为 BridgeGroupMember。请注意，无法在桥接组成员接口上配置 IP 地址。

将状态滑块设置为已启用设置 ( 已启用滑块。 )。

如果要为此物理接口配置子接口，则可能已完成。点击保存并继续配置 VLAN 子接口和 802.1Q 中继。否则，请继续。

注	即使在配置子接口时，为接口命名和提供 IP 地址也有效。这不是常规设置，但如果确定符合您的需求，则可以进行配置。

(可选) 设置说明。

一行说明最多可包含 200 个字符（不包括回车符）。

步骤 4

点击 IPv4 地址选项卡，并配置 IPv4 地址。

从类型字段中选择以下任一选项：

动态 (DHCP) - 如果应从网络中的 DHCP 服务器获取地址，请选择此选项。如果您配置高可用性，将不能使用此选项。如有需要，更改以下选项：
- 路由指标 - 如果从 DHCP 服务器获取默认路由，则此选项是指与获知路由的管理距离，其值介于 1 到 255 之间。默认值为 1。
- 获取默认路由 - 是否从 DHCP 服务器获取默认路由。您通常会选择此选项，该选项是默认值。

静态 - 如果希望分配固定的地址，请选择此选项。对于连接到接口的网络，键入接口的 IP 地址和子网掩码。例如，如果您连接的是 10.100.10.0/24 网络，则可以输入 10.100.10.1/24。确保该地址尚未在网络中使用。

如果您配置了高可用性，并要监控此接口的高可用性，则还要在同一子网上配置一个备用 IP 地址。此接口在备用设备上使用备用地址。如果未设置备用 IP 地址，则主用设备无法使用网络测试监控备用接口，只能跟踪链路状态。

注	如果为接口配置了 DHCP 服务器，您会看到该配置。您可以编辑或删除 DHCP 地址池。如果将接口 IP 地址更改为不同的子网，必须先删除 DHCP 服务器或在新子网上配置地址池，才能保存接口更改。请参阅配置 DHCP 服务器。

步骤 5

（可选。）点击 IPv6 地址选项卡，并配置 IPv6 地址。

状态 - 在不想配置全局地址时，要启用 IPv6 处理并自动配置本地链路地址，请选择已启用。本地链路地址基于接口的 MAC 地址（修改的 EUI-64 格式）生成。

注	禁用 IPv6 不会禁用接口上使用明示 IPv6 地址配置或启用自动配置的 IPv6 处理。

地址自动配置 - 选择此选项可自动配置地址。只有设备所在链路中的路由器配置为提供 IPv6 服务（包括通告 IPv6 全局前缀以用于该链路），IPv6 无状态自动配置才会生成全局 IPv6 地址。如果该链路中的 IPv6 路由服务不可用，则只能获得本地链路 IPv6 地址，无法访问设备直接的网络链路之外的服务。本地链路地址以修改的 EUI-64 接口 ID 为基础。

虽然 RFC 4862 规定为无状态自动配置所配置的主机不发送路由器通告消息，但 FTD 设备在这种情况下确实会发送路由器通告消息。选择抑制 RA 可抑制消息，遵从 RFC 要求。

静态地址/前缀 - 如果不使用无状态自动配置，请输入完整的静态全局 IPv6 地址和网络前缀。例如，2001:0DB8::BA98:0:3210/48。有关 IPv6 寻址的详细信息，请参阅 IPv6 编址。

如果仅使用本地链路地址，请选择本地链路选项。本地链路地址在本地网络之外无法访问。在桥接组接口上无法配置本地链路地址。

注	链路本地地址应以 FE8、FE9、FEA 或 FEB 开头，例如 fe80::20d:88ff:feee:6a82。请注意，我们建议根据修改的 EUI-64 格式自动分配链路本地地址。例如，如果其他设备强制使用修改的 EUI-64 格式，则手动分配的链路本地地址可能导致丢弃数据包。

备用 IP 地址 - 如果您配置了高可用性，并为高可用性监控此接口，请在同一子网上配置备用 IPv6 地址。此接口在备用设备上使用备用地址。如果未设置备用 IP 地址，则主用设备无法使用网络测试监控备用接口，只能跟踪链路状态。
抑制 RA - 是否抑制路由器通告。Firepower 威胁防御设备可以参与路由器通告，以便邻居设备可以动态获悉默认路由器地址。默认情况下，每个配置 IPv6 的接口定期发送路由器通告消息（ICMPv6 类型 134）

也会发送路由器通告，以响应路由器请求消息（ICMPv6 类型 133）。路由器请求消息由主机在系统启动时发送，以便主机可以立即自动配置，而无需等待下一条预定路由器通告消息。

对于不希望 FTD 设备提供 IPv6 前缀的任何接口（例如外部接口），您可能希望抑制接口上的这些消息。

步骤 6

（可选。）配置高级选项。

高级设置的默认值适用于大多数网络。只有在需要解决网络问题时，再进行编辑。

步骤 7

点击确定。

下一步做什么

将接口添加至相应的安全区域。请参阅配置安全区。

配置桥接组

桥接组是将一个或多个接口分组的虚拟接口。对接口分组的主要原因是创建一组交换接口。如此，就可以将工作站或其他终端设备直接连接到桥接组中所包含的接口。您不需要通过单独的物理交换机来连接这些设备，尽管您也可以将一台交换机连接到某个桥接组成员。

组成员没有 IP 地址。相反，所有成员接口共用桥接虚拟接口 (BVI) 的 IP 地址。如果在 BVI 上启用 IPv6，系统会自动为成员接口分配唯一的链路本地地址。

单独启用和禁用成员接口。这样就可以禁用任何未使用的接口，而无需将其从桥接组删除。桥接组本身始终处于启用状态。

通常会在桥接组接口 (BVI) 上配置 DHCP 服务器，为通过成员接口连接的任何终端提供 IP 地址。不过，如果愿意的话，您也可以在连接到成员接口的终端上配置静态地址。桥接组中的所有终端都必须具有与桥接组 IP 地址位于同一子网的 IP 地址。

规定和限制

可以添加一个桥接组。
在 Firepower 2100 系列或 Firepower 威胁防御虚拟设备上不能配置桥接组。
对于 ISA 3000，设备预配置名 inside 的桥接组 BVI1，其中包括除 outside 接口以外的所有数据接口。因此，设备已经预配置了一个端口用于连接到互联网或其他上游网络，而所有其他端口已启用并可用于直接连接终端。如果要将某个内部接口用于新的子网，必须先从 BVI1 删除所需接口。

开始之前

指定将成为桥接组成员的接口。具体而言，每个成员接口都必须满足以下要求：

该接口必须具有名称。
该接口不能有任何已定义的 IPv4 或 IPv6 地址，无论是静态分配的还是通过 DHCP 获得的。如果需要从当前正在使用的某个接口删除地址，则可能还需要删除该接口的其他配置，例如静态路由、DHCP 服务器或 NAT 规则，具体视具有地址的接口而定。
必须将该接口从所属安全区域中删除（如果它在某个区域中），并删除该接口的所有 NAT 规则，然后才能将其添加到桥接组。

过程

步骤 1

点击设备，然后点击接口摘要中的链接。

接口列表将显示可用的接口及其名称、地址和状态。如果已有桥接组，此处将显示文件夹。点击开/关箭头可查看成员接口。成员接口也单独显示于列表中。

步骤 2

执行以下操作之一：

点击 BVI1 桥接组的编辑图标 ()。

从齿轮下拉列表中选择添加桥接组接口创建新组。

注	桥接组只能有一个。如果已经定义了一个桥接组，则应编辑该组而非尝试创建新组。如果需要创建新的桥接组，则必须先删除现有桥接组。

如果不再需要某个桥接组，点击该桥接组的删除图标 ()。删除桥接组时，其成员将变成标准路由接口，并且所有 NAT 规则或安全区域成员身份保持不变。可以编辑这些接口为其提供 IP 地址。如果要将其添加到新的桥接组，需要先删除 NAT 规则并将接口从所属安全区域中删除。

步骤 3

进行以下配置：

(可选) 设置接口名称。

设置桥接组的名称，最多 48 个字符。字母字符必须为小写。例如 inside 或 outside。如果希望此 BVI 参与其与其他命名接口之间的路由，请设置名称。

注	如果更改名称，更改将自动反映到使用旧名称的所有位置，包括安全区、系统日志服务器对象和 DHCP 服务器定义。但无法删除名称，除非首先删除使用该名称的所有配置，这是因为对于任何策略或设置通常无法使用未命名的接口。

(可选) 设置说明。

一行说明最多可包含 200 个字符（不包括回车符）。
编辑桥接组成员列表。
最多可向一个桥接组添加 64 个接口或子接口。
- 添加接口 - 点击加号图标 ()，点击一个或多个接口，然后点击确定。
- 移除接口 - 将鼠标悬停于接口上方，然后点击右侧的 x。

步骤 4

点击 IPv4 地址选项卡，并配置 IPv4 地址。

从类型字段中选择以下任一选项：

静态 - 如果希望分配固定的地址，请选择此选项。键入桥接组的 IP 地址和子网掩码。所有连接的终端都将位于此网络中。对于预配置了桥接组的型号而言，BVI1 “inside” 网络的默认值为 192.168.1.1/24（如 255.255.255.0）。确保该地址尚未在网络中使用。

如果您配置了高可用性，并要监控此接口的高可用性，则还要在同一子网上配置一个备用 IP 地址。此接口在备用设备上使用备用地址。如果未设置备用 IP 地址，则主用设备无法使用网络测试监控备用接口，只能跟踪链路状态。

注	如果为接口配置了 DHCP 服务器，您会看到该配置。您可以编辑或删除 DHCP 地址池。如果将接口 IP 地址更改为不同的子网，必须先删除 DHCP 服务器或在新子网上配置地址池，才能保存接口更改。请参阅配置 DHCP 服务器。

动态 (DHCP) - 如果应从网络中的 DHCP 服务器获取地址，请选择此选项。桥接组通常不会使用此选项，但是您可以根据需要如此配置。如果您配置高可用性，将不能使用此选项。如有需要，更改以下选项：
- 路由指标 - 如果从 DHCP 服务器获取默认路由，则此选项是指与获知路由的管理距离，其值介于 1 到 255 之间。默认值为 1。
- 获取默认路由 - 是否从 DHCP 服务器获取默认路由。您通常会选择此选项，该选项是默认值。

步骤 5

（可选。）点击 IPv6 地址选项卡，并配置 IPv6 地址。

状态 - 在不想配置全局地址时，要启用 IPv6 处理并自动配置本地链路地址，请选择已启用。本地链路地址基于接口的 MAC 地址（修改的 EUI-64 格式）生成。

注	禁用 IPv6 不会禁用接口上使用明示 IPv6 地址配置或启用自动配置的 IPv6 处理。

静态地址/前缀 - 如果不使用无状态自动配置，请输入完整的静态全局 IPv6 地址和网络前缀。例如，2001:0DB8::BA98:0:3210/48。有关 IPv6 寻址的详细信息，请参阅 IPv6 编址。

如果仅使用本地链路地址，请选择本地链路选项。本地链路地址在本地网络之外无法访问。在桥接组接口上无法配置本地链路地址。

注	链路本地地址应以 FE8、FE9、FEA 或 FEB 开头，例如 fe80::20d:88ff:feee:6a82。请注意，我们建议根据修改的 EUI-64 格式自动分配链路本地地址。例如，如果其他设备强制使用修改的 EUI-64 格式，则手动分配的链路本地地址可能导致丢弃数据包。

备用 IP 地址 - 如果您配置了高可用性，并为高可用性监控此接口，请在同一子网上配置备用 IPv6 地址。此接口在备用设备上使用备用地址。如果未设置备用 IP 地址，则主用设备无法使用网络测试监控备用接口，只能跟踪链路状态。
抑制 RA - 是否抑制路由器通告。Firepower 威胁防御设备可以参与路由器通告，以便邻居设备可以动态获悉默认路由器地址。默认情况下，每个配置 IPv6 的接口定期发送路由器通告消息（ICMPv6 类型 134）

也会发送路由器通告，以响应路由器请求消息（ICMPv6 类型 133）。路由器请求消息由主机在系统启动时发送，以便主机可以立即自动配置，而无需等待下一条预定路由器通告消息。

对于不希望 FTD 设备提供 IPv6 前缀的任何接口（例如外部接口），您可能希望抑制接口上的这些消息。

步骤 6

（可选。）配置高级选项。

请对桥接组成员接口配置大多数高级选项，不过其中一些选项可用于桥接组接口。

高级设置的默认值适用于大多数网络。只有在需要解决网络问题时，再进行编辑。

步骤 7

点击确定。

下一步做什么

确保已启用您打算使用的所有成员接口。
为桥接组配置 DHCP 服务器。请参阅配置 DHCP 服务器。
将成员接口添加到相应的安全区域。请参阅配置安全区。
确保各项策略（例如身份、NAT 和访问策略）可为桥接组和成员接口提供所需的服务。

配置 VLAN 子接口和 802.1Q 中继

通过 VLAN 子接口，可将一个物理接口划分成多个标记有不同 VLAN ID 的逻辑接口。带有一个或多个 VLAN 子接口的接口将自动配置为 802.1Q 中继。由于 VLAN 允许您在特定物理接口上将流量分开，所以您可以增加网络中可用的接口数量，而无需增加物理接口或设备。

如果您将物理接口连接到交换机的中继端口，请创建子接口。为交换机中继端口上显示的每个 VLAN 创建子接口。如果您将物理接口连接到交换机的接入端口，创建子接口将没有意义。

规定和限制

防止物理接口上的未标记数据包 - 如果使用子接口，则通常表明也不希望物理接口传递流量，因为物理接口会传递未标记的数据包。由于必须启用物理接口，才能允许子接口传递流量，所以请确保物理接口不会通过未命名接口传递流量。如果要允许物理接口传递未标记数据包，可以照常命名接口。
您不能在桥接组成员接口上配置 IP 地址，但是可以根据需要修改高级设置。
同一父接口上的所有子接口必须为桥接组成员或路由接口；您无法混合搭配。
FTD 不支持动态中继协议 (DTP)，因此您必须无条件地将连接的交换机端口配置到中继上。
您可能想要为 FTD上定义的子接口分配唯一 MAC 地址，因为它们使用父接口上相同的固化 MAC 地址。例如，您的运营商可能根据 MAC 地址执行访问控制。此外，由于 IPv6 链路本地地址是基于 MAC 地址生成的，因此将唯一 MAC 地址分配给子接口会允许使用唯一 IPv6 链路本地地址，这能够避免 FTD 上特定实例内发生流量中断。

过程

步骤 1

点击设备，然后点击接口摘要中的链接。

接口列表将显示可用的接口及其名称、地址和状态。

步骤 2

执行以下操作之一：

从齿轮下拉列表中选择添加子接口，以创建新的子接口。
点击要编辑的子接口的编辑图标 ()。

如果不再需要某个子接口，请点击该子接口对应的删除图标 () 将其删除。

步骤 3

将状态滑块设置为已启用设置 ( 已启用滑块。 )。

步骤 4

配置父接口、名称和描述：

选择父接口。

父接口是将子接口添加至其中的物理接口。创建子接口后，父接口则无法更改。

设置子接口名称，最多 48 个字符。

字母字符必须为小写。例如 inside 或 outside。如果没有名称，将忽略其余的接口配置。

注	如果更改名称，更改将自动反映到使用旧名称的所有位置，包括安全区、系统日志服务器对象和 DHCP 服务器定义。但无法删除名称，除非首先删除使用该名称的所有配置，这是因为对于任何策略或设置通常无法使用未命名的接口。

将模式设置为路由。

如果稍后将此接口添加到桥接组，则该模式将自动更改为BridgeGroupMember。请注意，无法在桥接组成员接口上配置 IP 地址。
(可选) 设置说明。

一行说明最多可包含 200 个字符（不包括回车符）。
设置 VLAN ID。

输入 VLAN ID，介于 1 和 4094 之间，用于标记该子接口上的数据包。
设置子接口 ID。

以整数形式输入介于 1 和 4294967295 之间的子接口 ID。此 ID 附加至接口 ID；例如 Ethernet1/1.100。方便起见，您可以匹配 VLAN ID，但这不是必需的。创建子接口后，则无法更改该 ID。

步骤 5

点击 IPv4 地址选项卡，并配置 IPv4 地址。

从类型字段中选择以下任一选项：

动态 (DHCP) - 如果应从网络中的 DHCP 服务器获取地址，请选择此选项。如果您配置高可用性，将不能使用此选项。如有需要，更改以下选项：
- 路由指标 - 如果从 DHCP 服务器获取默认路由，则此选项是指与获知路由的管理距离，其值介于 1 到 255 之间。默认值为 1。
- 获取默认路由 - 是否从 DHCP 服务器获取默认路由。您通常会选择此选项，该选项是默认值。

静态 - 如果希望分配固定的地址，请选择此选项。对于连接到接口的网络，键入接口的 IP 地址和子网掩码。例如，如果您连接的是 10.100.10.0/24 网络，则可以输入 10.100.10.1/24。确保该地址尚未在网络中使用。

如果您配置了高可用性，并要监控此接口的高可用性，则还要在同一子网上配置一个备用 IP 地址。此接口在备用设备上使用备用地址。如果未设置备用 IP 地址，则主用设备无法使用网络测试监控备用接口，只能跟踪链路状态。

注	如果为接口配置了 DHCP 服务器，您会看到该配置。您可以编辑或删除 DHCP 地址池。如果将接口 IP 地址更改为不同的子网，必须先删除 DHCP 服务器或在新子网上配置地址池，才能保存接口更改。请参阅配置 DHCP 服务器。

步骤 6

（可选。）点击 IPv6 地址选项卡，并配置 IPv6 地址。

状态 - 在不想配置全局地址时，要启用 IPv6 处理并自动配置本地链路地址，请选择已启用。本地链路地址基于接口的 MAC 地址（修改的 EUI-64 格式）生成。

注	禁用 IPv6 不会禁用接口上使用明示 IPv6 地址配置或启用自动配置的 IPv6 处理。

地址自动配置 - 选择此选项可自动配置地址。只有设备所在链路中的路由器配置为提供 IPv6 服务（包括通告 IPv6 全局前缀以用于该链路），IPv6 无状态自动配置才会生成全局 IPv6 地址。如果该链路中的 IPv6 路由服务不可用，则只能获得本地链路 IPv6 地址，无法访问设备直接的网络链路之外的服务。本地链路地址以修改的 EUI-64 接口 ID 为基础。

虽然 RFC 4862 规定为无状态自动配置所配置的主机不发送路由器通告消息，但 FTD 设备在这种情况下确实会发送路由器通告消息。选择抑制 RA 可抑制消息，遵从 RFC 要求。

静态地址/前缀 - 如果不使用无状态自动配置，请输入完整的静态全局 IPv6 地址和网络前缀。例如，2001:0DB8::BA98:0:3210/48。有关 IPv6 寻址的详细信息，请参阅 IPv6 编址。

如果仅使用本地链路地址，请选择本地链路选项。本地链路地址在本地网络之外无法访问。在桥接组接口上无法配置本地链路地址。

注	链路本地地址应以 FE8、FE9、FEA 或 FEB 开头，例如 fe80::20d:88ff:feee:6a82。请注意，我们建议根据修改的 EUI-64 格式自动分配链路本地地址。例如，如果其他设备强制使用修改的 EUI-64 格式，则手动分配的链路本地地址可能导致丢弃数据包。

备用 IP 地址 - 如果您配置了高可用性，并为高可用性监控此接口，请在同一子网上配置备用 IPv6 地址。此接口在备用设备上使用备用地址。如果未设置备用 IP 地址，则主用设备无法使用网络测试监控备用接口，只能跟踪链路状态。
抑制 RA - 是否抑制路由器通告。Firepower 威胁防御设备可以参与路由器通告，以便邻居设备可以动态获悉默认路由器地址。默认情况下，每个配置 IPv6 的接口定期发送路由器通告消息（ICMPv6 类型 134）

也会发送路由器通告，以响应路由器请求消息（ICMPv6 类型 133）。路由器请求消息由主机在系统启动时发送，以便主机可以立即自动配置，而无需等待下一条预定路由器通告消息。

对于不希望 FTD 设备提供 IPv6 前缀的任何接口（例如外部接口），您可能希望抑制接口上的这些消息。

步骤 7

（可选。）配置高级选项。

高级设置的默认值适用于大多数网络。只有在需要解决网络问题时，再进行编辑。

步骤 8

点击确定。

下一步做什么

将子接口添加至相应的安全区域。请参阅配置安全区。

配置被动接口

被动接口使用交换机 SPAN（交换端口分析器）或镜像端口监控在网络中传输的流量。SPAN 或镜像端口允许从交换机的其他端口复制流量。此功能可以提供网络内的系统可视性，而不会影响网络流量。

如果系统是在被动部署中配置的，则无法执行某些操作，例如阻止流量。被动接口无条件接收所有流量，这些接口不会重传接收到的流量。

使用被动接口监控网络上的流量，以收集流量相关的信息。例如，您可以应用入侵策略来识别攻击网络的威胁类型，或了解用户正在发出的 Web 请求的 URL 类别。您可以实施各种安全策略和规则，了解系统在主动部署的情况下会执行哪些操作，以便可以根据访问控制和其他规则丢弃流量。

但是，由于被动接口无法影响流量，因此存在很多配置限制。这些接口只是让系统知悉有流量通过：进入被动接口的数据包不会从设备流出。

以下主题更加详细地介绍了被动接口及其配置方法。

为什么使用被动接口？

被动接口的主要目的是提供一种简单的演示模式。您可以设置交换机监控单个源端口，然后使用工作站发送通过被动接口监控的测试流量。由此，可以了解 Firepower 威胁防御系统如何评估连接、识别威胁等。系统性能满足要求后，可以将其主动部署在网络中，并删除被动接口配置。

不过，您也可以在生产环境中使用被动接口，以提供以下服务：

纯 ID 部署 - 如果您不想使用系统作为防火墙或 IPS（入侵防御系统），可以将其被动部署为 IDS（入侵检测系统）。在此部署方法中，您将使用访问控制规则将入侵策略应用于所有流量。您还必须设置系统监控交换机上的多个源端口。然后，您将可以使用控制面板监控网络上发现的威胁。但是，在此模式下，系统不会执行任何操作来阻止这些威胁。
混合部署 - 您可以在同一系统上搭配使用主动路由接口和被动接口。因此，在某些网络中，您可以将 Firepower 威胁防御设备部署为防火墙，同时配置一个或多个被动接口监控其他网络中的流量。

被动接口的限制

定义为被动模式接口的任何物理接口具有以下限制：

无法为被动接口配置子接口。
不能将被动接口添加到桥接组。
不能在被动接口上配置 IPv4 或 IPv6 地址。
不能对被动接口选择“仅管理”选项。
只能将接口添加到被动模式安全区，不能将其添加到路由安全区。
可以将被动安全区添加到访问控制或身份规则的源条件中。不能在目标条件中使用被动区域。同时，也不能在同一规则中搭配使用被动和路由区域。
不能为被动接口配置管理访问规则（HTTPS 或 SSH）。
不能在 NAT 规则中使用被动接口。
不能为被动接口配置静态路由。也不能在路由协议配置中使用被动接口。
不能在被动接口上配置 DHCP 服务器。也不能使用被动接口通过自动配置获取 DHCP 设置。
不能在系统日志服务器配置中使用被动接口。
不能在被动接口上配置任何类型的 VPN。

为硬件 Firepower 威胁设备被动接口配置交换机

只有当网络交换机配置正确时，硬件 Firepower 威胁防御设备上的被动接口才能使用。以下过程基于思科 Nexus 5000 系列交换机。如果您有不同类型的交换机，所用的命令可能会有所不同。

其基本思路是，配置 SPAN（交换端口分析器）或镜像端口，将被动接口连接到该端口，在交换机上配置监控会话以将流量副本从一个或多个源端口发送到 SPAN 或镜像端口。

过程

步骤 1	将交换机上的端口配置为监控（SPAN 或镜像）端口。 `switch(config)# interface Ethernet1/48 switch(config-if)# switchport monitor switch(config-if)#`
步骤 2	定义监控会话以识别要监控的端口。确保您将 SPAN 或镜像端口定义为目标端口。在以下示例中，监控两个源端口。 `switch(config)# monitor session 1 switch(config-monitor)# source interface ethernet 1/7 switch(config-monitor)# source interface ethernet 1/8 switch(config-monitor)# destination interface ethernet 1/48 switch(config-monitor)# no shut`
步骤 3	（可选。）使用 show monitor session 命令验证配置。以下示例显示会话 1 的简要输出。 `switch# show monitor session 1 brief session 1 --------------- type : local state : up source intf : rx : Eth1/7 Eth1/8 tx : Eth1/7 Eth1/8 both : Eth1/7 Eth1/8 source VSANs : destination ports : Eth1/48 Legend: f = forwarding enabled, l = learning enabled`
步骤 4	以物理方式将电缆从 Firepower 威胁防御被动接口连接到交换机的目标端口。可以在进行物理连接前后，将接口配置为被动模式。请参阅将物理接口配置为被动模式。

为 Firepower 威胁防御虚拟被动接口配置 VLAN

只有在虚拟网络上正确配置了 VLAN 时，Firepower 威胁防御虚拟设备的被动接口才可以正常工作。请确保执行以下操作：

将 Firepower 威胁防御虚拟接口连接到已在混杂模式下配置的 VLAN。然后，按照将物理接口配置为被动模式中的说明配置接口。被动接口会看到混合 VLAN 上所有流量的副本。
将一个或多个终端设备（例如虚拟 Windows 系统）连接到同一 VLAN。如果 VLAN 已连接到互联网，可以使用单台设备。否则，需要至少两台设备，才可以在两者之间传递流量。要想获取 URL 类别数据，需要建立互联网连接。

将物理接口配置为被动模式

您可以将接口配置为被动模式。在被动模式下工作时，接口仅监控交换机自身（针对硬件设备）或混合 VLAN（针对 Firepower 威胁防御虚拟）配置的监控会话中来自源端口的流量。有关需要在交换机或虚拟网络中配置哪些对象的详细信息，请参阅以下主题：

为硬件 Firepower 威胁设备被动接口配置交换机
为 Firepower 威胁防御虚拟被动接口配置 VLAN

当您想要分析通过受监控交换机端口传入的流量，而不影响这些流量时，可使用被动模式。有关使用被动模式的端到端示例，请参阅如何被动监控网络上的流量。

过程

步骤 1

点击设备，然后点击接口摘要中的链接。

接口列表将显示可用的接口及其名称、地址和状态。

步骤 2

点击要编辑的物理接口的编辑图标 ()。

选择当前未使用的接口。如果您要将使用中的接口转换为被动接口，需要先从任何安全区中删除该接口，并删除使用该接口的所有其他配置。

步骤 3

将状态滑块设置为已启用设置 ( 已启用滑块。 )。

步骤 4

进行以下配置：

接口名称 - 接口名称，最多 48 个字符。字母字符必须为小写。例如，monitor。
模式 - 选择被动。
（可选。）说明 - 说明最多为 200 个字符，单行，不能使用回车。

注	无法配置 IPv4 或 IPv6 地址。在“高级”选项卡中，仅可以更改 MTU、双工和速度设置。

步骤 5

点击确定。

下一步做什么

创建被动接口并不会在控制面板上填充接口上所发现流量的相关信息。您还必须执行以下操作：使用案例会介绍这些步骤。请参阅如何被动监控网络上的流量。

创建被动安全区并向其添加接口。请参阅配置安全区。
创建将被动安全区用作源区域的访问控制规则。通常，您将在这些规则中应用入侵策略以实施 IDS（入侵检测系统）监控。请参阅配置访问控制策略。
或者，为被动安全区创建 SSL 解密和身份规则，并启用安全情报策略。

配置高级接口选项

高级选项包括设置 MTU、硬件设置、仅管理、MAC 地址和其他设置。

关于 MAC 地址

您可以手动配置介质访问控制 (MAC) 地址来覆盖默认地址。

对于高可用性配置，您可以同时配置接口的主用和备用 MAC 地址。如果主用设备进行故障切换，并且备用设备成为主用设备，则新的主用设备会开始使用主用 MAC 地址，以最大限度地减少网络中断。

默认 MAC 地址

默认 MAC 地址分配取决于接口类型。

物理接口 - 物理接口使用已刻录的 MAC 地址。
子接口- 物理接口的所有子接口都使用同一个烧录 MAC 地址。您可能想为子接口分配唯一的 MAC 地址。例如，您的运营商可能根据 MAC 地址执行访问控制。此外，由于 IPv6 链路本地地址是基于 MAC 地址生成的，因此将唯一 MAC 地址分配给子接口会允许使用唯一 IPv6 链路本地地址，这能够避免 FTD 上特定实例内发生流量中断。

关于 MTU

MTU 指定 Firepower 威胁防御设备可在给定以太网接口上传输的最大帧负载大小。MTU 值是没有以太网报头、VLAN 标记或其他系统开销情况下的帧大小。例如，将 MTU 设置为 1500 时，预期帧大小为 1518 字节（含报头）或 1522 字节（使用 VLAN）。请勿为容纳这些报头而将 MTU 的值设得过高。

路径 MTU 发现

Firepower 威胁防御设备支持路径 MTU 发现（如 RFC 1191 中所定义），从而使两个主机之间的网络路径中的所有设备均可协调 MTU，以便它们可以标准化路径中的最低 MTU。

MTU 和分段

对于 IPv4，如果传出 IP 数据包大于指定 MTU，则该数据包将分为 2 帧或更多帧。片段在目标处（有时在中间跃点处）重组，而分片可能会导致性能下降。对于 IPv6，通常不允许对数据包进行分段。因此，IP 数据包大小应在 MTU 大小范围内，以避免分片。

对于 UDP 或 ICMP，应用应将 MTU 考虑在内，以避免分段。

注	只要有内存空间，Firepower 威胁防御设备就可接收大于所配置的 MTU 的帧。

MTU 和巨帧

MTU 越大，您能发送的数据包越大。加大数据包可能有利于提高网络效率。请参阅以下准则：

与流量路径上的 MTU 相匹配 - 我们建议将所有 FTD 接口以及流量路径的其他设备接口上的 MTU 设为相同。匹配 MTU 可防止中间设备对数据包进行分片。

容纳巨帧 - 巨帧是指大于标准最大值 1522 字节（包括第 2 层报头和 VLAN 报头）的以太网数据包，最大为 9216 字节。MTU 最大可设置为 9198 字节，以容纳巨帧。Firepower 威胁防御虚拟的最大值为 9184。

注	加大 MTU 会为巨帧分配更多内存，这样可能会限制其他功能（例如访问规则）的最大使用量。如果在 ASA 5500-X 系列设备或 Firepower 威胁防御虚拟上将 MTU 增加到默认值 1500 以上，则必须重新启动系统。如果设备已为高可用性，还须重新启动备用设备。无需重新启动 Firepower 型号，因为巨帧支持在该型号上始终启用。

配置高级选项

高级接口选项的默认设置适用于大多数网络。只有当您解决网络问题或配置高可用性时，才需要进行配置。

以下步骤程序假定已定义接口。另外，您还可以在初始编辑或创建接口时编辑这些设置。

限制

对于桥接组，您可以在成员接口上配置大多数这些选项。除用于 DAD 尝试和高可用性监控之外，这些选项不适用于桥接虚拟接口 (BVI)。
您无法在 Firepower 2100 设备上设置管理接口的 MTU、双工或速度。
对于被动接口，您只能设置 MTU、双工以及速度。不能将接口仅用于管理。

过程

步骤 1

点击设备，然后点击接口摘要中的链接。

接口列表将显示可用的接口及其名称、地址和状态。

步骤 2

点击要编辑的接口的编辑图标 ()。

步骤 3

点击高级选项。

步骤 4

如果您想让系统在决定是否故障切换到高可用性配置中的对等设备时考虑接口的运行状况，请选择对高可用性监控启用。

如果不配置高可用性，可忽略此选项。如果不配置接口的名称，也可以忽略此选项。

步骤 5

要将数据接口仅用于管理，请选择仅管理。

仅管理接口不允许直通流量，所以将数据接口设置为仅管理的价值微乎其微。不能更改管理/诊断接口的此项设置，它们始终为仅管理。

步骤 6

将 MTU（最大传输单位）更改为所需的值。

默认 MTU 为 1500 字节。您可以指定介于 64 - 9198（或 9000，适用于 Firepower 威胁防御虚拟）之间的值。如果通常在网络中使用巨帧，请设置一个较大的值。

注	如果在 ASA 5500-X 系列设备、ISA 3000 系列设备或 Firepower 威胁防御虚拟上将 MTU 提高到 1500 以上，则必须重新启动设备。登录 CLI 并使用 reboot 命令。如果设备已为高可用性，还须重新启动备用设备。无需重新启动 Firepower 型号，因为巨帧支持在该型号上始终启用。

步骤 7

（仅限物理接口）。修改速度和双工设置。

默认设置为该接口与线路另一端的接口协商最佳双工和速度，但如有必要，您可以强制实施特定的双工或速度。所列的选项仅为接口支持的设置。在网络模块上设置这些选项之前，请阅读接口配置的局限性。

双工 - 选择自动、半双工、全双工或默认。当接口支持时，自动为默认值。例如，您不能为 Firepower 2100 系列设备上的 SFP 接口选择“自动”。

选择默认表示 Firepower 设备管理器不应尝试配置设置。任何现有配置将保持不变。
速度 - 选择自动可使接口协商速度（默认值）或选取特定速度：10 Mbps、100 Mbps、1000 Mbps、10000 Mbps。此外，您还可以选择以下特殊选项：
- 不协商 - 对于光纤接口，请将速度设置为 1000 Mbps，并且不协商链路参数。这是这些接口上配置的默认配置。
- 默认 - 表示 Firepower 设备管理器不应尝试配置设置。任何现有配置将保持不变。
接口类型限制了您可以选择的选项。例如，Firepower 2100 系列设备上的 SFP+ 接口仅支持 1000 (1 Gbps) 和 10000 (10 Gpbs)，SFP 接口仅支持 1000 (1 Gbps)，而千兆以太网端口不支持 10000 (10 Gpbs)。其他设备上的 SPF 接口可能需要设置不协商。有关接口所支持的选项的信息，请参阅硬件文档。

步骤 8

修改 IPv6 配置设置。

启用 DHCP 以获取 IPv6 地址配置 - 是否在 IPv6 路由器通告数据包中设置“托管地址配置”标志。此标志通知 IPv6 自动配置客户端应使用 DHCPv6 来获取相关地址以及派生的无状态自动配置地址。
启用 DHCP 以获取 IPv6 非地址配置 - 是否在 IPv6 路由器通告数据包中设置“其他地址配置”标志。此标志通知 IPv6 自动配置客户端应使用 DHCPv6 从 DHCPv6 获取其他信息，如 DNS 服务器地址。
DAD 尝试 - 接口执行重复地址检测 (DAD) 的频率，介于 0 - 600 之间。默认值为 1。在无状态自动配置过程中，DAD 会验证新单播 IPv6 地址的唯一性，再将地址分配给接口。如果重复地址是接口的链路本地地址，则在接口上禁用 IPv6 数据包处理。如果重复地址是全局地址，则将不使用该地址。接口将使用邻居的询求消息来执行重复地址检测。将该值设置为 0 可禁用重复地址检测 (DAD) 流程。

步骤 9

（可选，建议为子接口和高可用性设备配置。）配置 MAC 地址。

默认情况下，系统对接口使用预烧到网络接口卡 (NIC) 的 MAC 地址。因此，该接口上的所有子接口都使用相同的 MAC 地址，也因此您可能想要为每个子接口创建唯一地址。如果您配置高可用性，建议手动配置主用/备用 MAC 地址。定义 MAC 地址有助于在故障切换时保持网络中的一致性。

MAC 地址 - 采用 H.H.H 格式的介质访问控制，其中 H 是 16 位十六进制数字。例如，您可以将 MAC 地址 00-0C-F1-42-4C-DE 输入为 000C.F142.4CDE。MAC 地址不能设置组播位，即左起第二个十六进制数字不能是奇数。
备用 MAC 地址 - 用于高可用性。如果主用设备发生故障切换，备用设备变为主用设备，则新的主用设备开始使用主用 MAC 地址，以最大限度地减少网络中断，而原来的主用设备使用备用地址。

步骤 10

单击 OK。

添加接口到虚拟 Firepower 威胁防御

部署 FTDv 时，可以将接口分配给虚拟机。然后，在 FDM中，使用与配置硬件设备相同的方法配置这些接口。

但是，您无法给虚拟机添加更多虚拟接口，然后让 FDM 来自动识别它们。如果您需要为 FTDv 配置更多物理接口对等体，那基本上需要重新执行该流程。您可以部署新的虚拟机，也可以使用以下程序。

小心	要给虚拟机添加接口，您需要完全清除 FTDv配置。配置中唯一保留不变的部分是管理地址和网关设置。

开始之前

在中FDM执行以下操作：

检查 FTDv 配置并记下要在新虚拟机中复制的设置。
依次选择设备 > 智能许可证 > 查看配置并禁用所有功能许可证。

过程

步骤 1	关闭 FTDv 的电源。
步骤 2	使用虚拟机软件，将接口添加至 FTDv。对于 VMware，默认情况下，虚拟设备使用 e1000（1 千兆位/秒）接口。您还可以使用 vmxnet3 或 ixgbe（10 千兆位/秒）接口。
步骤 3	打开 FTDv 的电源。
步骤 4	打开 FTDv控制台，删除本地管理器，然后启用本地管理器。删除本地管理器，然后启用本地管理器，重置设备配置，并让系统识别新接口。管理接口配置不会重置。以下 SSH 会话会显示相应命令。 `> show managers Managed locally. > configure manager delete If you enabled any feature licenses, you must disable them in Firepower Device Manager before deleting the local manager. Otherwise, those licenses remain assigned to the device in Cisco Smart Software Manager. Do you want to continue[yes/no] yes DCHP Server Disabled > show managers No managers configured. > configure manager local >`
步骤 5	打开浏览器并连接到 Firepower 设备管理器，完成设备安装向导，并配置设备。请参阅完成初始配置。

监控接口

可在以下区域查看有关接口的一些基本信息：

设备。使用端口图可监控接口的当前状态。将鼠标悬停在端口上方可查看其 IP 地址启用状态和链路状态。IP 地址可静态分配，也可以使用 DHCP 获取。

接口端口使用以下颜色代码：
- 绿色 - 接口已配置和启用，链路为运行状态。
- 灰色 - 接口未启用。
- 橙色/红色 - 接口已配置和启用，但链路中断。如果该接口已连接电缆，则此状态表示有错误需要更正。如果该接口未连接电缆，则此状态为预期状态。
监控 > 系统。吞吐量控制面板显示有关流经系统的流量的信息。您可以查看所有接口的信息，也可以选择特定接口查看其信息。
监控 > 区域。该控制面板显示基于安全区域的统计信息，这些安全区域由接口组成。您可以深入分析此信息以了解更多详情。

在 CLI 中监控接口

您还可以打开 CLI 控制台或登录设备 CLI，使用以下命令获取有关接口相关行为与统计信息的更详细信息。

show interface 显示接口统计信息和配置信息。此命令有许多关键字，可用于获取所需的信息。使用 ? 作为关键字可查看可用选项。
show ipv6 interface 显示有关接口的 IPv6 配置信息。
show bridge-group 显示网桥虚拟接口 (BVI) 的相关信息，包括成员信息和 IP 地址。
show conn 显示当前通过接口建立的连接的相关信息。
show traffic 显示流过每个接口的流量的相关统计信息。
show ipv6 traffic 显示流过设备的 IPv6 流量的相关统计信息。
show dhcpd 显示接口上的 DHCP 使用统计信息及其他信息，特别是接口上配置的 DHCP 服务器的相关信息。

接口示例

使用案例章节涵盖以下与接口相关的示例：

非歧视性语言

当地语言翻译版本说明

Results

Chapter: 接口

接口

关于 FTD 接口

接口模式

管理/诊断接口

配置单独管理网络的建议

单独的管理网络的管理/诊断接口配置的局限性

安全区域

IPv6 编址

Auto-MDI/MDIX 功能

接口的准则与限制

接口配置的局限性

各设备型号的最大 VLAN 子接口数量

配置物理接口

过程

下一步做什么

配置桥接组

开始之前

过程

下一步做什么

配置 VLAN 子接口和 802.1Q 中继

过程

下一步做什么

配置被动接口

为什么使用被动接口？

被动接口的限制

为硬件 Firepower 威胁设备被动接口配置交换机

过程

为 Firepower 威胁防御虚拟被动接口配置 VLAN

将物理接口配置为被动模式

过程

下一步做什么

配置高级接口选项

关于 MAC 地址

默认 MAC 地址

关于 MTU

路径 MTU 发现

MTU 和分段

MTU 和巨帧

配置高级选项

过程

添加接口到虚拟 Firepower 威胁防御

开始之前

过程

监控接口

在 CLI 中监控接口

接口示例

此文档是否有帮助?

联系我们