适用于 Firepower 设备管理器的思科 Firepower 威胁防御配置指南，版本 6.3.0

安装软件更新

您可以安装系统数据库和系统软件的更新。以下主题介绍如何安装这些更新。

更新系统数据库和源

系统使用许多个数据库和安全情报源来提供高级服务。思科会对这些数据库和源提供更新，以便您的安全策略采用可用的最新信息。

系统数据库和源更新概述

Firepower 威胁防御使用以下数据库和源提供高级服务。

入侵规则

随着新的漏洞被发现，思科 Talos 情报小组 (Talos) 会发布入侵规则更新，您可以导入更新的规则。这些更新会影响入侵规则、预处理器规则和使用这些规则的策略。

入侵规则更新提供全新和更新的入侵规则及预处理器规则、现有规则的修改状态和修改的默认入侵策略设置。另外，规则更新还可能删除规则，提供新规则类别和默认变量，并修改默认变量值。

要使入侵规则更新所做的更改生效，必须重新部署配置。

入侵规则更新可能很大，所以请在网络使用量低的环境下更新重要规则。在慢速网络中，更新尝试可能会失败，您将需要重试。

地理位置数据库 (GeoDB)

思科地理位置数据库 (GeoDB) 包含与可路由 IP 地址关联的地理数据（例如国家/地区、城市、坐标）和连接相关数据（例如互联网服务提供商、域名、连接类型）。

GeoDB 更新物理位置、连接类型等方面的更新信息，系统会将这些信息与所检测到的可路由 IP 地址相关联。您可以使用地理位置数据作为访问控制规则的条件。

更新 GeoDB 所需的时间取决于您的设备；安装通常需要 30-40 分钟。虽然 GeoDB 更新不会中断任何其他系统功能（包括正在进行的地理位置信息收集），但更新执行时的确会占用系统资源。制定更新计划时需要考虑这一点。

漏洞数据库 (VDB)

思科漏洞数据库 (VDB) 包含主机可能易受感染的已知漏洞，以及操作系统、客户端和应用程序指纹。Firepower 系统可将指纹与漏洞关联，帮助您确定某个特定主机是否会增加网络受攻击的风险。思科 Talos 情报小组 (Talos) 定期发布 VDB 更新。

更新漏洞映射所需的时间取决于网络映射中的主机数量。您可能希望在系统使用量低的期间安排更新，以尽可能地降低对任何系统停机的影响。一般说来，将网络中的主机数除以 1000，即可估算出执行更新所需的大致时间（分钟）。

在更新 VDB 后必须部署配置，才能使更新的应用检测器和操作系统指纹生效。

思科 Talos 情报小组 (Talos) 安全情报源

Talos 提供对安全情报策略中使用的定期更新情报源的访问权限。具有安全威胁（如恶意软件、垃圾邮件、僵尸网络和网络钓鱼）的站点出现和消失的速度可能比您更新和部署自定义配置的速度要快。这些源包含已知威胁的地址和 URL。当系统更新源时，不必重新部署。新列表可用于评估后续连接。

URL 类别/信誉数据库

系统从思科综合安全情报 (CSI) 获取 URL 类别和信誉数据库。如果您配置过滤类别和信誉的 URL 过滤访问控制规则，请求的 URL 将根据数据库进行匹配。您可以在系统设置 > URL 过滤首选项上配置数据库更新和某些其他 URL 过滤首选项。您不能通过管理其他系统数据库更新的方式管理 URL 类别/信誉数据库更新。

更新系统数据库

您可以在方便之时，手动检索和执行系统数据库更新。从思科支持站点可检索更新。因此，系统的管理地址必须可连接互联网。

另外，您还可以设置计划来定期检索和应用数据库更新。由于这些更新可能很大，所以请将它们安排在网络活动少的时间进行更新。

注	在更新数据库时，您可能会发现用户界面响应操作的速度迟缓。

开始之前

为了避免对进行的更改造成任何潜在影响，请先将配置部署到设备，再手动更新这些数据库。

请注意，VDB 和 URL 类别更新可删除应用或类别。您需要更新使用这些已弃用项目的任何访问控制或 SSL 解密规则，然后才能部署更改。

过程

步骤 1

点击设备，然后点击“更新”摘要中的查看配置。

此时将打开“更新”页面。该页面上的信息显示每个数据库的当前版本，以及每个数据库的最后更新日期和时间。

步骤 2

要手动更新数据库，请点击该数据库的立即更新部分。

规则和 VDB 更新需要部署配置，使其处于活动状态。系统会询问是否要立即部署；点击是。如果点击否，请记住尽早启动部署作业。

步骤 3

（可选）要设置定期数据库更新计划，请执行以下操作：

点击所需数据库的配置链接部分。如果已有计划，请点击编辑。

数据库的更新计划是独立的。您必须单独定义计划。
设置更新开始时间：
- 更新频率（每日、每周或每月）。
- 对于每周或每月更新，希望在星期几或每月几日执行更新。
- 希望开始更新的时间。您指定的时间已根据夏令时调整，因此当您所在地区的时间被调整时，它会向前或向后移动一小时。如果您想要在全年确保此时间准确无误，您必须在时间被更改时编辑计划。
对于规则或 VDB 更新，如果希望系统在更新数据库时部署配置，请选中自动部署更新复选框。

更新在完成部署之前无效。自动部署还将部署尚未部署的任何其他配置更改。
点击保存。

注	如果要删除定期更新计划，请点击编辑链接打开计划对话框，然后点击删除按钮。

更新思科安全情报源

思科 Talos 情报小组 (Talos) 提供对定期更新的安全情报源的访问权限。具有安全威胁（如恶意软件、垃圾邮件、僵尸网络和网络钓鱼）的站点出现和消失的速度可能比您更新和部署自定义配置的速度要快。当系统更新源时，不必重新部署。新列表可用于评估后续连接。

如果要对系统从互联网更新源的时间进行严格控制，可以禁用该源的自动更新。但是，自动更新可确保获取最新的相关数据。

过程

步骤 1

点击设备，然后点击“更新”摘要中的查看配置。

此时将打开“更新”页面。页面上的信息显示安全情报源的当前版本以及其上次更新日期和时间。

步骤 2

要手动更新源，请点击安全情报源组中的立即更新。

如果您在高可用性组中的一台设备上手动更新源，也需要在另一台设备上手动进行此更新，以确保一致性。

步骤 3

（可选。）要配置定期更新频率，请执行以下操作：

点击“思科源”部分中的配置链接。如果已有计划，请点击编辑。
选择所需的频率。

默认值为每小时。您还可以设置每日更新（指定具体时间）或每周更新（选择星期几和具体时间）。您指定的时间已根据夏令时调整，因此当您所在地区的时间被调整时，它会向前或向后移动一小时。如果您想要在全年确保此时间准确无误，您必须在时间被更改时编辑计划。

点击删除阻止自动更新。
单击 OK。

升级 Firepower 威胁防御软件

您可以在 Firepower 威胁防御软件升级可用时安装升级。以下程序假定您的系统已在运行 Firepower 威胁防御6.2.0 版或更高版本，并且它们运行正常。

升级有三种：热修补、次要升级和主要升级。热修补升级可能不需要重新启动系统，而次要和主要版本升级则的确需要重新启动。如果需要重新启动，系统会在安装后自动重新启动。安装任何更新都可能造成流量中断，因此请在非工作时间进行安装。

如果您要升级高可用性组中的设备，请升级备用设备，切换模式以交换主用/备用设备，然后在新的备用设备上安装升级。有关详细信息，请参阅在高可用性设备上安装软件升级。

使用此程序无法重新映像设备或从 ASA 软件迁移到 Firepower 威胁防御软件。

注	如有任何等待完成的更改，请务必在安装更新前部署这些更改。此外，您还应该运行备份并下载备份副本。

开始之前

查看任务列表，并确认没有任务正在运行。等所有任务（例如数据库更新）均完成后再安装升级。此外，检查是否有任何已计划的任务。任何计划任务都不得与升级任务重叠。

执行更新前，请确保应用过滤器、访问规则或 SSL 解密规则中不存在已弃用应用。这些应用的应用名称后面带有“(Deprecated)”。虽然无法将已弃用应用添加至这些对象，但后续 VDB 更新可能会使先前有效应用变为弃用应用。如果发生这种情况，则升级将失败，导致设备处于不可用状态。

登录 Cisco.com，下载升级映像。

确保获得适当的升级文件（文件类型为 REL.tar）。请勿下载系统软件包或引导映像。
请勿对更新文件重命名。系统将重命名的文件视为无效。
您无法降级或卸载补丁。
确认您是否正在运行升级所需的基准映像。有关兼容性信息，请参阅《思科 Firepower 兼容性指南》，网址是：http://www.cisco.com/c/en/us/td/docs/security/firepower/compatibility/firepower-compatibility.html。
阅读有关新版本的版本说明。您可以在 http://www.cisco.com/c/en/us/support/security/firepower-ngfw/products-release-notes-list.html找到发行说明。

过程

步骤 1

选择设备，然后点击“更新”摘要中的查看配置。

系统升级部分将显示当前运行的软件版本和您已上传的任何更新。

步骤 2

上传升级文件。

如果尚未上传升级文件，请点击浏览并选择该文件。
如果已有上传的文件，但要上传与之不同的文件，请点击上传其他文件链接。只能上传一个文件。如果上传新文件，它将取代旧文件。
要删除该文件，请点击删除图标 ()。

步骤 3

点击安装开始安装过程。

图标旁的信息表示设备是否会在安装期间重新启动。您将从系统中自动注销。安装可能需要 30 分钟或更长时间。

请耐心等候，然后重新登录系统。“设备摘要”（或“系统监控”控制面板）应该显示新版本。

注	不要只刷新浏览器窗口，而要从 URL 中删除所有路径，然后重新连接到主页。这可确保使用最新代码刷新缓存的信息。

步骤 4

（可选。）更新系统数据库。

如果没有为地理位置、规则和漏洞数据库 (VDB) 配置自动更新作业，现在正是对其进行更新的好时机。

重新映像设备

重新映像设备包括擦除设备配置和安装新软件映像。重新映像是为了通过出厂默认配置实现安全安装。

在以下情况下，您可以重新映像设备：

要将系统从 ASA 软件转换为 Firepower 威胁防御软件。无法将运行 ASA 映像的设备升级为运行 Firepower 威胁防御映像的设备。
设备运行的是 6.1.0 版本之前的映像，而您要升级到 6.1 或更高版本的映像，并使用 Firepower 设备管理器配置设备。无法使用 Firepower 管理中心升级 6.1 版本之前的设备，然后再切换到本地管理。
设备无法正常工作，而修复配置的所有尝试均失败。

有关如何重新映像设备的信息，请参阅针对您的设备型号的编写的《重新映像思科 ASA 或 Firepower 威胁防御设备指南》或《Firepower 威胁防御快速入门指南》。如需查阅上述指南，请访问 http://www.cisco.com/c/en/us/support/security/firepower-ngfw/products-installation-guides-list.html。

备份和恢复系统

您可以备份系统配置，这样在配置因后续配置错误或物理故障而受损时即可恢复设备。

仅当两台设备的型号相同且运行相同版本的软件（包括内部版本号，而不仅仅是相同的发布版）时，才可将备份恢复到替换设备上。请勿使用备份和恢复过程在设备之间复制配置。备份文件包含唯一标识设备的信息，所以不能按此方式进行共享。

注	备份不包括管理 IP 地址配置。因此，恢复备份文件时，不会从备份副本中替换管理地址。这可以确保保存对地址所做的任何更改，并且还可以在其他网段的其他设备上恢复配置。

备份仅包括配置，而不是系统软件。如果需要完全重新映像设备，您需要重新安装软件，然后才能上传备份和恢复配置。

在备份期间将锁定配置数据库。在备份期间不能更改配置，但可以查看策略、控制面板等。在恢复期间，系统完全不可用。

“备份和恢复”(Backup and Restore) 页面的表格将列出系统中可用的所有现有备份副本，包括备份的文件名、创建日期和时间及文件大小。备份类型（手动、预定或周期性）以您指示系统创建该备份副本的方式为基础。

提示	备份副本在系统中创建。您必须手动下载备份副本，并将它们存储到安全服务器上，以确保拥有执行灾难恢复所需的备份副本。

以下主题介绍如何管理备份和恢复操作。

立即备份系统

您可以根据需要随时开始备份。

过程

步骤 1	点击设备，然后点击“备份和恢复”摘要中的查看配置。点击后随即会打开“备份和恢复”页面。表格中将列出系统中可用的所有现有备份副本。
步骤 2	依次点击手动备份 > 立即备份。
步骤 3	输入备份名称和描述（后者为可选项）。如果决定以后再进行备份（而不是立即进行），可以改为点击计划。
步骤 4	（仅限于 ISA 3000）选择备份文件的位置。您可以在本地硬盘或 SD 卡上创建备份。使用 SD 卡的好处是，您可以使用卡将配置恢复到替换设备。
步骤 5	点击立即备份。系统将开始备份过程。备份完成后，备份文件将显示在表格中。然后，您即可将备份副本下载到系统并存储到其他位置（如需）。初始化备份后，即可离开“备份和恢复”页面。但是，系统可能会非常缓慢，您应考虑暂停您的工作以让备份完成。此外，系统将在部分或所有备份期间获取配置数据库上的锁，这可能会阻止您在备份过程的持续时间内进行更改。

在预定时间备份系统

您可以设置预定备份，以便在将来的某个特定日期和时间备份系统。预定备份是一次性事件。如果要创建备份计划以定期创建备份，请配置周期性备份，而不是预定备份。

注	如果要删除将来备份计划，请编辑该计划并点击删除。

过程

步骤 1	点击设备，然后点击“备份和恢复”摘要中的查看配置。
步骤 2	依次点击预定备份 > 计划备份。如果您已经有计划备份，请点击预定备份 > 编辑。
步骤 3	输入备份名称和描述（后者为可选项）。
步骤 4	选择备份的日期和时间。
步骤 5	（仅限于 ISA 3000）选择备份文件的位置。您可以在本地硬盘或 SD 卡上创建备份。使用 SD 卡的好处是，您可以使用卡将配置恢复到替换设备。
步骤 6	点击计划。当选择的日期和时间到达时，系统将执行备份。完成后，备份将在备份表格中列出。

设置周期性备份计划

您可以设置周期性备份来定期备份系统。例如，您可以在每个周五的午夜执行备份。周期性备份计划有助于确保您始终拥有一组最近的备份。

注	如果要删除周期性计划，请编辑该计划并点击删除。

过程

步骤 1	点击设备，然后点击“备份和恢复”摘要中的查看配置。
步骤 2	依次点击周期性备份 > 配置。如果您已配置周期性备份，请依次点击周期性备份 > 编辑。
步骤 3	输入备份名称和描述（后者为可选项）。
步骤 4	选择频率和相关计划：每日 - 选择一天的时间。系统每天在预定时间执行备份。每周 - 选择星期几和当日的时间。系统将在您所选的每天的预定时间执行备份。例如，您可将备份安排在每个星期一、星期三和星期五的 23:00（晚上 11 点）进行。每月 - 选择每月的日期和当日的时间。系统将在您所选的每天的预定时间执行备份。例如，您可将备份安排在每月一 (1) 日、十五 (15) 日和二十八 (28) 日的 23:00（晚上 11 点）进行。您指定的时间已根据夏令时调整，因此当您所在地区的时间被调整时，它会向前或向后移动一小时。如果您想要在全年确保此时间准确无误，您必须在时间被更改时编辑计划。
步骤 5	（仅限于 ISA 3000）选择备份文件的位置。您可以在本地硬盘或 SD 卡上创建备份。使用 SD 卡的好处是，您可以使用卡将配置恢复到替换设备。
步骤 6	点击保存。到所选日期及时间时，系统执行备份。完成后，备份将在备份表格中列出。周期性计划将持续执行备份，直到您更改或删除该计划为止。

恢复备份

只要设备运行的软件版本（包括内部版本号）与备份时相同，即可根据需要还原备份。只有两台设备的型号相同且运行相同版本的软件（包括内部版本号），才能将备份恢复到替换设备上。

不过，当设备属于高可用性对的一部分时，您无法恢复备份。您必须首先从设备 > 高可用性页面中断高可用性，然后才能恢复备份。如果备份包括高可用性配置，设备将重新加入高可用性组。不要在两台设备上恢复相同备份，因为这两台设备都会变成活动状态。相反，您要在想要首先恢复活动状态的设备上恢复备份，然后在另一台设备上恢复等效备份。

如果设备中没有要恢复的备份副本，必须先上传该备份，才能进行恢复。

在恢复期间，系统完全不可用。

注	备份不包括管理 IP 地址配置。因此，恢复备份文件时，不会从备份副本中替换管理地址。这可以确保保存对地址所做的任何更改，并且还可以在其他网段的其他设备上恢复配置。

过程

步骤 1

点击设备，然后点击“备份和恢复”摘要中的查看配置。

点击后随即会打开“备份和恢复”页面。表格中将列出系统中可用的所有现有备份副本。

步骤 2

如果可用的备份列表中没有要恢复的备份副本，请依次点击上传 > 浏览，并上传该备份副本。

步骤 3

点击该文件的恢复图标 ()。

您需要确认恢复。默认情况下，恢复后系统将删除备份副本，但您可以事先选择恢复后不删除备份以保留备份副本，然后再继续进行恢复。

恢复完成后，系统会重新启动。

注	系统重新启动后，会自动检查漏洞数据库 (VDB)、地理位置和规则数据库更新，并根据需要进行下载。由于这些更新可能很大，因此初始尝试可能会失败。请检查任务列表，如果下载失败，请手动下载更新，如更新系统数据库中所述。系统还会重新部署策略。在更新成功之前，任何后续部署都将失败。

步骤 4

如有必要，请依次点击设备 > 智能许可证 > 查看配置，重新注册该设备，并重新启用所需的可选许可证。

如果您将备份恢复到生成备份的设备，则许可状态将返回到备份时的状态。如果您进行了后续更改，例如启用或禁用许可证，则必须重新执行这些更改。

如果在不同设备上恢复备份，例如您要替换设备，则新设备是未注册的。您必须重新注册设备，并启用所需的可选许可证。如果备份包括高可用性配置，设备将不会尝试加入高可用性组。您必须先注册设备，然后手动部署配置。

更换 ISA 3000 设备

您可以移除 ISA 3000 的 SD 卡，将其插入另一台 ISA 3000 设备。如果您在 SD 卡上创建系统备份，可以使用此功能轻松更换设备。只需取出故障设备的 SD 卡，并插入新的设备。然后即可通过备份进行恢复。

要确保您有必要的备份，请配置备份作业以在 SD 卡上创建备份。

管理备份文件

在创建新备份时，备份文件将列在“备份和恢复”(Backup and Restore) 页面。备份副本不会无限期保留：当设备上的磁盘空间使用率达到最大阈值时，系统将删除较早的备份副本以便为较新的备份腾出空间。因此，您应定期管理备份文件，确保保存最希望保留的特定备份。

您可以执行以下操作来管理备份副本：

将文件下载到安全存储 - 要将备份文件下载到您的工作站，请点击该文件的下载图标 ()。然后，您就可以将该文件移到安全文件存储了。

将备份文件上传到系统 - 如果要恢复设备中不再可用的备份副本，请依次点击上传 > 浏览文件，并从工作站上传文件。然后即可执行恢复。

注	可以重命名上传的文件，以便与原始文件名匹配。此外，如果系统中的备份副本已超过 10 个，系统将删除最早的备份副本，以便为上传的文件腾出空间。无法上传使用较早的软件版本创建的文件。

恢复备份 - 要恢复备份，请点击该文件的恢复图标 ()。系统在恢复期间不可用，恢复完成后将重新启动。在系统正常运行后，您需要部署配置。
删除备份文件 - 如果不再需要某个特定备份，请点击该文件的删除图标 ()。您需要确认删除。删除后，则无法恢复备份文件。

审核与变更管理

您可以查看有关系统事件以及用户已执行操作的状态信息。此信息可以帮助您审核系统，并确保正确地管理系统。

依次点击设备 > 设备管理 > 审核日志可以查看审核日志。此外，您可以通过点击右上角的任务列表或部署图标按钮查找系统管理信息。

以下主题介绍系统审核和⁪变更管理的一些主要概念和任务。

审核事件

审核日志可包括以下类型的事件：

部署已完成，部署失败：作业名称或实体名称

这些事件表示部署作业已成功完成或失败。详细信息包括作业发起人以及与作业实体相关的信息。失败的作业包括与失败相关的错误消息。

详细信息还包括一个差异视图选项卡，其中显示了作业执行过程中部署到设备的更改。这里汇总了已部署实体的所有实体更改事件。

要过滤这些事件，只需点击部署历史记录预定义过滤器。请注意，这些事件的事件类型是部署事件，您无法仅过滤已完成或失败的事件。

事件名称包括用户定义的作业名称（如果进行了配置）或“用户（用户名）触发的部署”。其中还包括，在运行设备设置向导期间发生的“设备设置自动部署”和“设备设置自动部署（最后一步）”作业。

实体已创建、实体已更新、实体已删除：实体名称（实体类型）

这些事件表示对识别的实体或对象进行了更改。实体详细信息包括实施更改的人员以及实体名称、类型和 ID。您可以过滤这些项目。详细信息还包括一个差异视图选项卡，其中显示了应用于对象的更改。

HA 操作事件

这些事件与有关高可用性配置的操作有关，它们可以是您发起的操作，也可以是系统发起的操作。HA 操作事件的类型为事件，但事件名称是以下项之一：

HA 已暂停 - 有意暂停系统上的 HA。
HA 已恢复 - 有意恢复系统上的 HA。
HA 已重置 - 有意重置系统上的 HA。
HA 故障切换：设备切换模式 - 有意切换模式，或系统由于运行状况指标违规而进行了故障切换。此消息表明，主用对等设备变为了备用设备，或备用对等设备变为了主用设备。

已放弃等待完成的更改

此事件表示已删除所有待完成的更改。此事件与先前的“部署已完成”事件之间由“实体已创建”、“实体已更新”以及“实体已删除”事件指明的所有更改均已删除，并且受影响对象的状态恢复到上一次部署的版本。

任务已开始，任务已完成，任务失败

任务事件表示系统或用户发起的作业的开始和结束。这两个事件将会整合到任务列表中的一个任务中，您可以通过点击右上角的任务列表按钮进行查看。

任务包括部署作业以及手动或计划的数据库更新等操作。任务列表中的任何项目都将与审核日志中的两个任务事件对应，指示任务开始、成功完成或失败。

用户已登录、用户已注销：用户名

这些事件显示用户登录和注销 Firepower 设备管理器的时间和源 IP 地址。主动注销和因空闲时间超时而自动注销都会引发“用户已注销”事件。

这些事件无关于与设备建立连接的 RA VPN 用户。它们也不包含登录/注销设备 CLI。

查看和分析审核日志

审核日志包括有关系统发起和用户发起事件的相关信息，例如，部署作业、数据库更新和登录/注销 Firepower 设备管理器。

有关日志中可以显示的事件类型的说明，请参阅审核事件。

过程

步骤 1

点击设备，然后点击设备管理 > 查看配置链接。

步骤 2

点击目录中的审核日志（如果未将其选定）。

事件将按照日期分组，一天内的事件按时间分组，日期/时间最新的事件排在列表顶部。最初，所有事件都处于折叠状态，只能看到时间、事件名称、发起事件的用户以及该用户的源 IP 地址。如果用户和 IP 地址为“系统”，这意味着事件是由设备自身发起的。

可以执行以下操作：

点击事件名称旁边的 >，可事件打开并查看详细信息。再次点击该图标可关闭事件。很多事件具有一系列简单的事件属性，例如，事件类型、用户名、源 IP 地址等。但实体和部署事件包含两个选项卡：
- 摘要显示基本事件属性。
- 差异视图显示现有的“已部署”配置与事件过程中所发生变更的对比信息。如果是部署作业，此视图可能会很长，需要滚动鼠标才能完整查看。它将汇总部署作业过程中实体事件变更的所有差异。
从过滤器字段右侧的下拉列表中选择不同的时间范围。默认是查看过去 2 周的事件，但您可以更改范围，查看过去 24 小时、7 天、1 个月或 6 个月的事件。点击自定义可通过输入开始和结束日期与时间指定具体范围。
点击日志中的任意链接，为该条目添加搜索过滤器。列表会更新，仅显示包含该条目的事件。您也可以点击过滤器框，直接构建过滤器。此外，还可以点击过滤器框下方的预定义过滤器，加载相关的过滤条件。有关过滤事件的详细信息，请参阅过滤审核日志。
重新加载浏览器页面将会刷新日志，以显示最新事件。

过滤审核日志

您可以对审核日志应用过滤器，将视图显示范围缩小到仅显示特定类型的消息。过滤器中的每个元素都是一个准确、完全的匹配。例如，“User = admin”仅显示名为 admin 的用户发起的事件。

您可以单独或组合使用以下方法来构建过滤器：每次添加过滤器元素时，列表都会自动更新。

点击预定义过滤器

过滤器字段下方是预定义的过滤器。点击链接即可加载过滤器。系统将要求您进行确认。如果您已应用过滤器，该过滤器会被替换，也不会添加该过滤器。

点击高亮显示的条目

要构建过滤器，最简单的方法是点击日志表或事件详细信息中包含作为过滤标准的值的条目。点击条目后，过滤器字段将替换为该值和元素组合的格式设置正确的元素。但是，使用此方法要求现有的事件列表中包含所需的值。

如果可以为条目添加过滤器元素，当您将鼠标指针悬停在该条目上时，该条目会标有下划线，并显示命令点击添加到过滤器。

选择原子元素

此外，您还可以通过以下方法创建过滤器：点击过滤器字段，从下拉列表中选择所需的原子元素，在等号后面键入匹配值，然后按 Enter 键。您可以过滤以下元素。请注意，对于每种类型的事件而言，并非所有元素都是相关的。

事件类型 - 事件类型通常与事件名称（不含实体名称或用户等变量限定符）相同，但并非总是这样。部署事件的事件类型是“部署事件”。有关事件类型的说明，请参阅审核事件。
用户 - 发起事件的用户的名称。系统用户采用字母全部大写的形式：SYSTEM。
源 IP - 用户发起事件的源 IP 地址。系统发起事件的源 IP 地址是 SYSTEM。
实体 ID - 实体或对象的 UUID，这是一种比较长且不可读的字符串，例如 8e7021b4-2e1e-11e8-9e5d-0fc002c5f931。通常，要使用此过滤器，您需要点击事件详细信息中的实体 ID，或使用 REST API 通过相关 GET 调用检索所需的 ID。
实体名称 - 实体或对象的名称。对于用户创建的实体，实体名称通常是您为对象指定的名称，例如，将网络对象命名为 InsideNetwork。对于系统生成的实体或（在某些情况下）用户定义的实体，实体名称是预定义但可识别的名称，例如，将没有明确命名的部署作业命名为“User (admin) Triggered Deployment”。
实体类型 - 实体或对象的类型。这些是预定义但可识别的名称，例如 Network Object。您可以通过查看相关对象模型的“type”值，在 API Explorer 中查找实体类型。API 类型通常采用字母全部小写形式，且不含空格。如果您完全按照模型中所示输入类型，则按 Enter 键时，字符串会变成可读性更强的格式。这两种输入方式都可以接受。要打开 API Explorer，请将浏览器中 URL 的最后一部分改成 /#/api-explorer。

复杂审核日志过滤器的规则

在构建包含多个原子元素的复杂过滤器时，请记住以下规则：

相同类型的元素在该类型的所有值之间具有 OR 关系。例如，包括“User = admin”和“User = SYSTEM”将会匹配由任一用户发起的事件。
不同类型的元素之间为 AND 关系。例如，包括“Event Type = Entity Updated”和“User = SYSTEM”仅会显示由系统而非活动用户更新实体的事件。
您不能使用通配符、正则表达式、部分匹配或简单的文本字符串匹配。

检查部署和实体更改历史记录

部署和实体事件在事件详细信息中包括差异视图选项卡。此选项卡以彩色显示旧配置与更改之间的对比情况。

对于部署作业，此对比为部署之前设备上运行的配置与实际所部署更改之间的对比。
对于实体事件，这些是对之前版本的对象所做的配置更改。之前的版本可能是实际设备使用的版本，也可能是对象尚未部署的变化。

过程

步骤 1	点击设备，然后点击设备管理 > 查看配置链接。
步骤 2	点击目录中的审核日志（如果未将其选定）。
步骤 3	（可选。）过滤消息：部署事件 - 点击过滤器框下的部署历史记录预定义过滤器。实体更改事件 - 使用事件类型元素为您感兴趣的更改类型手动创建过滤器。要查看所有实体更改，请选择实体已创建、实体已更新和实体已删除这三种规格。过滤器应如下所示：
步骤 4	打开事件，然后点击差异视图选项卡。所做的更改会使用颜色编码，标题指示对象的类型以及对象是被添加（创建）、移除（删除）还是编辑（更新）。编辑的对象仅显示已更改或从该对象删除的属性。在部署作业中，每个更改的实体都有单独的标题。标题表明对象的实体类型。

放弃所有待处理更改

如果您对一套尚未部署的配置更改不满意，您可以放弃所有待处理的更改。此操作使所有功能均恢复到设备上存在的状态。之后，您可以再重新开始部署配置更改。

过程

步骤 1

点击网页右上角的部署更改图标。

如存在待处理的更改，系统会用圆点高亮显示。

步骤 2

依次点击更多选项 > 全部放弃。

步骤 3

点击确认对话框中的确定。

系统将放弃更改，操作完成后您会看到一条表示没有待处理更改的消息。系统会在审核日志中添加“已放弃待处理的更改”事件。

导出设备配置

可以 JSON 格式导出一份当前部署的配置。可以使用该文件进行归档或备案。密码和密钥等所有敏感数据均被屏蔽。

无法将文件导入此设备或其他设备。此功能不会取代系统备份。

必须至少完成一个成功的部署作业，才能下载配置。

过程

步骤 1	选择设备，然后点击设备管理组中的查看配置。
步骤 2	点击目录中的下载配置。
步骤 3	点击获取设备配置启动创建文件的作业。如果您之前创建了一个文件，您将看到一个下载按钮和一条含文件创建日期的文件可供下载消息。生成文件可能需要几分钟的时间，具体取决于配置的大小。检查任务列表或审核日志，或者定期返回到此页面，直到导出配置作业完成并生成文件。
步骤 4	生成文件后，返回到此页面并点击下载配置文件按钮 () 将文件保存到工作站。

管理 FDM 和 FTD 用户访问权限

您可以为登录到 Firepower 设备管理器的用户配置外部身份验证和授权源（HTTPS 访问）。您可以将外部服务器与本地用户数据库和系统定义的 admin 用户结合使用，或不使用后两者。请注意，您无法创建用于 FDM 访问的额外本地用户账户。

虽然您可以有多个可以更改配置的外部 FDM 用户账户，但用户不跟踪这些更改。当一个用户部署更改时，所有用户做出的更改均被部署。没有任何锁定：即，多个用户可能会尝试在同一时间更新同一对象，这将导致只有一个用户能够成功保存更改。您也无法基于用户丢弃更改。

Firepower 设备管理器允许 5 个并发用户会话。如果第六个用户登录，开始时间最早的用户会话会自动注销。还有空闲超时，非活动用户空闲 20 分钟后注销。

除 Firepower 设备管理器用户之外，您可以创建本地只使用 CLI 的用户。除 admin 用户之外，CLI 和 Firepower 设备管理器用户之间没有任何交叉：用户账户是完全独立的。

注	使用外部服务器时，您可以通过设置单独的 RADIUS 服务器组，或在仅允许用户访问特定 FTD设备 IP 地址的 RADIUS 服务器中创建身份验证/授权策略，来控制用户对您部分设备的访问。

以下主题介绍如何配置和管理 Firepower 设备管理器用户访问和 CLI 用户访问。

为 FDM (HTTPS) 用户配置外部授权 (AAA)

您可以从外部 RADIUS 服务器提供到 Firepower 设备管理器的 HTTPS 访问权限。通过启用 RADIUS 身份验证和授权，您可以提供不同级别的访问权限，使并非每个用户都通过本地 admin 账户登录。

这些外部用户还有权访问 Firepower 威胁防御 API 和 API Explorer。

要提供基于角色的访问控制 (RBAC)，请更新 RADIUS 服务器上的用户账户以定义 cisco-av-pair 属性（注意这是在 ISE 中，而在 Free RADIUS 中该属性拼写为 Cisco-AVPair；请检查系统的拼写是否正确）。必须在用户账户上正确定义此属性，否则系统会拒绝用户访问 Firepower 设备管理器。以下是受支持的 cisco-av-pair 属性值：

fdm.userrole.authority.admin 提供完全管理员访问权限。这些用户可以执行本地 admin 用户可以执行的所有操作。
fdm.userrole.authority.rw 提供读写访问权限。这些用户可以执行只读用户可以执行的任何操作，还可以编辑和部署配置。唯一的限制是无法执行关键系统操作，包括安装升级、创建和恢复备份、查看审核日志以及中止 Firepower 设备管理器用户的会话。
fdm.userrole.authority.ro 提供只读访问权限。这些用户可以查看控制面板和配置，但无法进行任何更改。如果用户尝试进行更改，会显示错误消息，指明权限不足。

用户登录 Firepower 设备管理器后，页面右上角将显示用户名和角色：管理员、读写用户或只读用户。

在 RADIUS 服务器上正确设置账户后，您可以使用此程序启用账户，以进行管理访问。

过程

步骤 1

点击设备，然后依次点击系统设置 > 管理访问链接。

如果您已位于“系统设置”页面，只需点击目录中的管理访问。

步骤 2

点击AAA 配置选项卡，如果尚未选择此选项卡。

步骤 3

配置 HTTPS 连接选项：

管理/REST API 的服务器组 - 选择您想要用作主要身份验证源的 RADIUS 服务器组或本地用户数据库 (LocalIdentitySource)。必须选择要使用外部授权的 RADIUS 服务器组。

如果尚不存在服务器组，点击创建新 RADIUS 服务器组链接立即创建服务器组。您还需要为每个服务器创建 RADIUS 服务器对象，将这些对象添加到组（定义服务器组时可以执行此操作）。有关 RADIUS 的详细信息，请参阅 RADIUS 服务器和组。

使用本地身份源进行身份验证 - 如果您选择外部服务器组，可以指定如何使用包含本地 admin 用户账户的本地身份源。选择以下一个选项：

在外部服务器之前 - 系统首先对照本地源检查用户名和密码。
在外部服务器之后 - 仅当外部源不可用或在外部来源中找不到用户账户时，才检查本地源。
从不 -（不推荐。）从不使用本地源，因此不能以 admin 用户身份登录。

小心	如果您选择从不，将无法使用 admin 账户登录 Firepower 设备管理器。如果 RADIUS 服务器不可用，或者未在 RADIUS 服务器中配置账户，您将被锁定在系统外面。

步骤 4

点击保存。

管理 Firepower 设备管理器用户会话

依次选择监控 > 会话，查看当前登录到 Firepower 设备管理器的用户的列表。列表会显示当前会话每个用户登录的持续时间。

如果相同的用户名出现多次，则表示用户从不同的源地址打开会话。系统根据用户名和源地址单独跟踪会话，而且每个会话具有唯一时间戳。

系统允许 5 个并发用户会话。如果第六个用户登录，开始时间最早的当前会话会自动注销。此外，非活动状态长达 20 分钟的空闲用户会被自动注销。

如果 FDM 用户输入错误的密码且连续 3 次尝试登录失败，则该用户的账户将锁定 5 分钟。用户必须待锁定时间结束后方可尝试重新登录。无法解锁 FDM 用户账户，也无法调整重试计数或锁定超时。（请注意，对于 SSH 用户，可以调整这些设置并解锁账户。）

如果有必要，您可以通过点击会话的删除图标 () 终止用户会话。如果您删除您自己的会话，您也会被注销。结束会话没有锁定时段：用户可以立即重新登录。

启用备用 HA 设备上的外部用户 FDM 访问权限

如果为 FDM 用户配置了外部授权，则这些用户可以登录到高可用性对的主用和备用设备。但是，与登录主用设备相比，首次成功登录备用设备还需要执行一些额外操作。

外部用户首次登录到主用设备后，系统会创建一个对象，定义用户和用户的访问权限。随后，管理员或读写用户必须在主用设备上，为要在备用设备上显示的用户对象部署配置。

只有在部署和后续配置同步成功完成之后，外部用户才可登录到备用设备。

管理员和读写用户在登录到主用设备后可以部署更改。但是，只读用户无法部署配置，且必须请求拥有适当权限的用户部署配置。

为 FTD CLI 创建本地用户账户

您可以在 FTD 设备上为 CLI 访问创建用户。这些账户不允许访问管理应用，仅允许访问 CLI。CLI 对于故障排除和监控非常有用。

您不能一次性在多个设备上创建本地用户账户。每个设备都有自己的一组唯一本地用户 CLI 账户。

过程

步骤 1

使用具有配置权限的账户登录设备 CLI。

管理员用户账户具有所需的权限，但具有配置权限的任何账户都可以执行操作。您可以使用 SSH 会话或控制台端口。

对于某些设备型号，控制台端口会带您进入 FXOS CLI。使用 connect ftd 命令进入 FTD CLI。

步骤 2

创建用户账户。

configure user add username {basic | config}

您可以使用以下权限级别定义用户：

config - 提供用户配置访问权限。此级别将赋予用户完整管理员权限，让其可以输入所有配置命令。
basic - 提供用户基本访问权限。此级别不允许用户输入配置命令。

示例:

以下示例将添加一个名为 joecool 且具有配置访问权限的用户账户。在您键入密码时，密码不会显示。


> configure user add joecool config
Enter new password for user joecool: newpassword
Confirm new password for user joecool: newpassword
> show user
Login              UID   Auth Access  Enabled Reset    Exp Warn  Str Lock Max
admin             1000  Local Config  Enabled    No  Never  N/A  Dis   No N/A
joecool           1001  Local Config  Enabled    No  Never  N/A  Dis   No   5

注	告知用户他们可以使用 configure password 命令更改密码。

步骤 3

（可选。）根据安全要求调整该账户的特性。

您可以使用以下命令更改默认账户行为。

configure user aging username max_days warn_days

设置用户密码的到期日。指定密码最大有效天数，以及密码到期前向用户发出密码即将到期警告的天数。两个值均介于 1 到 9999 之间，但是警告天数必须小于最大天数。当您创建账户时，密码没有到期日。
configure user forcereset username

强制用户下次登录时更改密码。
configure user maxfailedlogins username number

设置在锁定账户之前您允许的最大连续失败登录次数，该值介于 1 至 9999 之间。使用 configure user unlock 命令解锁账户。新账户的默认值为 5 次连续失败登录。
configure user minpasswdlen username number

设置最小密码长度，此值介于 1 至 127 之间。
configure user strengthcheck username { enable | disable}

启用或禁用密码强度检查，此检查要求用户在更改密码时要满足特定的密码条件。如果用户密码到期或使用了 configure user forcereset 命令，则此要求会在用户下次登录时自动启用。

步骤 4

根据需要管理用户账户。

用户可能被锁定在账户之外了，也可能您需要删除账户或解决其他问题。使用以下命令管理系统中的用户账户。

configure user access username { basic | config}

更改用户账户的权限。
configure user delete username

删除指定的账户。
configure user disable username

禁用指定的账户，而不将其删除。用户无法登录，直到您启用该账户为止。
configure user enable username

启用指定的账户。
configure user password username

更改指定用户的密码。通常情况下，用户应使用 configure password 命令更改自己的密码。
configure user unlock username

解锁因超出最大连续失败登录尝试次数而被锁定的用户账户。

重新启动系统

如果您认为系统运行不正确，而解决问题的其他操作均失败，您可以重新启动设备。您必须通过 CLI 重新启动设备；不能通过 Firepower 设备管理器重新启动设备。

过程

步骤 1

使用 SSH 客户端打开指向管理 IP 地址的连接，使用具有配置 CLI 访问权限的用户名登录设备 CLI。例如 admin 用户名。

步骤 2

输入 reboot 命令。

示例:


> reboot

系统故障排除

以下主题介绍一些系统级故障排除任务和功能。有关对特定功能（如访问控制）进行故障排除的信息，请参阅相应功能的章节。

用于测试连接的 Ping 命令

ping 是一种简单命令，可用于确定特定地址是否处于活动状态以及是否会做出响应。这意味着基本连接正常工作。然而，在设备上运行的其他策略可能会阻止特定类型的流量成功通过设备。您可通过ping 打开 CLI 控制台或登录设备 CLI 使用。

注	由于系统有多个接口，您可以控制用于 ping 地址的接口。必须确保使用正确的命令，以便测试重要的连接。例如，系统必须能够通过虚拟管理接口到达思科许可证服务器，因此您必须使用 ping system 命令测试连接。如果使用 ping ，则测试的是能否通过数据接口访问地址，这可能不会得到相同的结果。

正常 ping 使用 ICMP 数据包测试连接。如果您的网络禁止 ICMP，可以换用 TCP ping（仅用于数据接口 ping）。

以下是 ping 网络地址的主要选项。

通过虚拟管理接口 ping 地址

使用 ping system 命令。

ping system host

主机可以是 IP 地址或完全限定域名 (FQDN)，例如 www.example.com。不同于通过数据接口进行 ping 操作，系统 ping 没有默认计数。ping 操作会持续执行，直到您使用 Ctrl+c 将其停止。例如：


> ping system www.cisco.com
PING origin-www.cisco.COM (72.163.4.161) 56(84) bytes of data.
64 bytes from www1.cisco.com (72.163.4.161): icmp_seq=1 ttl=242 time=10.6 ms
64 bytes from www1.cisco.com (72.163.4.161): icmp_seq=2 ttl=242 time=8.13 ms
64 bytes from www1.cisco.com (72.163.4.161): icmp_seq=3 ttl=242 time=8.51 ms
64 bytes from www1.cisco.com (72.163.4.161): icmp_seq=4 ttl=242 time=8.40 ms
^C
--- origin-www.cisco.COM ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3003ms
rtt min/avg/max/mdev = 8.139/8.927/10.650/1.003 ms
>

使用路由表，通过数据接口 ping 地址

使用 ping 命令。测试的是系统一般能否找出通往主机的路由。因为这是系统正常路由流量的方式，所以您通常需要对此进行测试。

ping host

指定主机的 IP 地址。如果您仅知道 FQDN，可使用 nslookup fqdn-name 命令来确定 IP 地址。例如：


> ping 171.69.38.1
Sending 5, 100-byte ICMP Echos to 171.69.38.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/10 ms

注	您可以指定超时、重复计数、数据包大小甚至发送时所用的数据模式。在 CLI 中使用帮助指示符 ? 查看可用的选项。

通过特定数据接口 ping 地址

如果要通过特定数据接口测试连接性，可使用 ping interface if_name 命令。您还可以使用此命令指定诊断接口，但不能指定虚拟管理接口。

ping interface if_name host

指定主机的 IP 地址。如果您仅知道 FQDN，可使用 nslookup fqdn-name 命令来确定 IP 地址。例如：


> ping interface inside 171.69.38.1
Sending 5, 100-byte ICMP Echos to 171.69.38.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/10 ms

使用 TCP ping，通过数据接口 ping 地址

使用 ping tcp 命令。TCP ping 发送 SYN 数据包，如果目标发送了 SYN-ACK 数据包，则认为 ping 取得了成功。

ping tcp [interface if_name] host port

您必须指定主机和 TCP 端口。如果您仅知道 FQDN，可使用 nslookup fqdn-name 命令来确定 IP 地址。

您可以选择指定接口，即 ping 的源接口，而不是用于发送 ping 的接口。此类 ping 通常使用路由表。

TCP ping 发送 SYN 数据包，如果目标发送了 SYN-ACK 数据包，则认为 ping 取得了成功。例如：


> ping tcp 10.0.0.1 21
Type escape sequence to abort.
No source specified. Pinging from identity interface.
Sending 5 TCP SYN requests to 10.0.0.1 port 21
from 10.0.0.10, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

注	您还可以指定 TCP ping 的超时、重复计数和源地址。在 CLI 中使用帮助指示符 ? 查看可用的选项。

跟踪主机路由

如果您向某个 IP 地址发送流量时遇到问题，可以跟踪主机路由以确定网络路径是否有问题。traceroute 的工作方式是从无效端口向目的地发送 UDP 数据包或者向目的地发送 ICMPv6 回应。通往目的地沿途的路由器以 ICMP Time Exceeded 消息响应，并向 traceroute 报告该错误。每个节点会收到三个数据包，因此对于每个节点，您有三次机会获得信息性结果。您可通过traceroute 打开 CLI 控制台或登录设备 CLI 使用。

注	通过数据接口 (traceroute ) 或通过虚拟管理接口 (traceroute system ) 跟踪路由有单独的命令。请务必使用正确的命令。

下表说明了输出中显示的每个数据包的可能结果。


输出符号	说明
*	在超时期限内未收到对探测的响应。
`nn` msec	各节点指定探测数的往返时间（以毫秒为单位）。
!N.	无法访问 ICMP 网络。
!H	无法访问 ICMP 主机。
!P	ICMP 协议不可达。
!A	管理性禁止 ICMP。
?	未知 ICMP 错误。

通过虚拟管理接口跟踪路由

使用 traceroute system 命令。

traceroute system destination

主机可以是 IPv4/IPv6 地址或完全限定域名 (FQDN)，例如 www.example.com。例如：


> traceroute system www.example.com 
traceroute to www.example.com (172.163.4.161), 30 hops max, 60 byte packets
 1  192.168.0.254 (192.168.0.254)  0.213 ms  0.310 ms  0.328 ms
 2  10.88.127.1 (10.88.127.1)  0.677 ms  0.739 ms  0.899 ms
 3  lab-gw1.example.com (10.89.128.25)  0.638 ms  0.856 ms  0.864 ms
 4  04-bb-gw1.example.com (10.152.240.65)  1.169 ms  1.355 ms  1.409 ms
 5  wan-gw1.example.com (10.152.240.33)  0.712 ms  0.722 ms  0.790 ms
 6  wag-gw1.example.com (10.152.240.73)  13.868 ms  10.760 ms  11.187 ms
 7  rbb-gw2.example.com (172.30.4.85)  7.202 ms  7.301 ms  7.101 ms
 8  rbb-gw1.example.com (172.30.4.77)  8.162 ms  8.225 ms  8.373 ms
 9  sbb-gw1.example.com (172.16.16.210)  7.396 ms  7.548 ms  7.653 ms
10  corp-gw2.example.com (172.16.16.58)  7.413 ms  7.310 ms  7.431 ms
11  dmzbb-gw2.example.com (172.16.0.78)  7.835 ms  7.705 ms  7.702 ms
12  dmzdcc-gw2.example.com (172.16.0.190)  8.126 ms  8.193 ms  11.559 ms
13  dcz05n-gw1.example.com (172.16.2.106)  11.729 ms  11.728 ms  11.939 ms
14  www1.example.com (172.16.4.161)  11.645 ms  7.958 ms  7.936 ms

通过数据接口跟踪路由

使用 traceroute 命令。

traceroute destination

指定主机的 IP 地址。如果您仅知道 FQDN，可使用 nslookup fqdn-name 命令来确定 IP 地址。例如：


> traceroute 209.165.200.225
Tracing the route to 209.165.200.225
 1  10.83.194.1 0 msec 10 msec 0 msec
 2  10.83.193.65 0 msec 0 msec 0 msec
 3  10.88.193.101 0 msec 10 msec 0 msec
 4  10.88.193.97 0 msec 0 msec 10 msec
 5  10.88.239.9 0 msec 10 msec 0 msec
 6  10.88.238.65 10 msec 10 msec 0 msec
 7 172.16.7.221 70 msec 70 msec 80 msec
 8 209.165.200.225 70 msec 70 msec 70 msec

注	您可以指定超时、生存时间、每个节点的数据包数量，乃至要用作 traceroute 源的 IP 地址或接口。在 CLI 中使用帮助指示符 ? 查看可用的选项。

设置 Firepower 威胁防御设备显示在跟踪路由上

默认情况下，Firepower 威胁防御不会在跟踪路由上显示为跃点。要使其显示，您需要递减通过设备的数据包上的生存时间，并增加对 ICMP 不可达消息的速率限制。要实现此目的，您必须创建配置所需的服务策略规则和其他选项的 FlexConfig 对象。

有关服务策略和流量类别的详细讨论，请参阅《思科 ASA 系列防火墙配置指南》，网址为 https://www.cisco.com/c/en/us/support/security/asa-firepower-services/products-installation-and-configuration-guides-list.html。

注	如果减少生存时间，系统会丢弃 TTL 为 1 的数据包，但会为会话打开一个连接，前提是假设该连接可能包含具有更大 TTL 的数据包。请注意，某些数据包（例如 OSPF hello 数据包）发送时 TTL = 1，因此减去生存时间可能会导致意外后果。定义流量类时，请注意这些事项。

过程

步骤 1	在设备 > 高级配置中点击查看配置。
步骤 2	在“高级配置”目录中依次点击 FlexConfig > FlexConfig 对象。
步骤 3	创建减小 TTL 的对象。点击 + 按钮以创建新的对象。为对象输入名称。例如，Decrement_TTL。在模板编辑器中，输入以下命令，包括缩进。 `icmp unreachable rate-limit 50 burst-size 1 policy-map global_policy class class-default set connection decrement-ttl` 在取消模板编辑器中，输入撤消此配置所需的命令。正如要让命令启用模板需要添加父命令以进入正确的子模式那样，您也需要在取消模板中添加这些命令。取消模板将在您从 FlexConfig 策略删除此对象（部署成功后删除）时，以及不成功的部署期间应用（将配置重置为之前的状态）。因此，在本示例中，取消模板为： `no icmp unreachable rate-limit 50 burst-size 1 policy-map global_policy class class-default no set connection decrement-ttl` 点击确定保存对象。
步骤 4	将对象添加到 FlexConfig 策略中。仅部署在 FlexConfig 策略中选择的对象。点击目录中的 FlexConfig 策略。在组列表中点击 +。选择 Decrement_TTL 对象，然后点击确定。系统应随即使用模板中的命令更新预览。验证您是否看到预期的命令。点击保存。您现在可以部署策略。

排除 NTP 故障

系统靠时间准确一致来正常运行，并确保事件和其他数据点得到准确处理。您必须配置至少一个（最好是三个）网络时间协议 (NTP) 服务器来确保系统始终能获得可靠的时间信息。

设备摘要连接图（在主菜单中点击设备）显示至 NTP 服务器的连接状态。如果状态为黄色或橙色，说明与配置的服务器存在连接问题。如果连接问题仍然存在（不仅仅是一个临时问题），请尝试以下操作。

首先，确保在设备 > 系统设置 > NTP上配置至少三个 NTP 服务器。尽管不要求配置至少三个 NTP 服务器，但这样做可以大大提高可靠性。
确保管理接口 IP 地址（在设备 > 系统设置 > 管理接口中定义）与 NTP 服务器之间存在网络路径。
- 当管理接口网关是数据接口时，如果默认路由不充足，则可以在设备 > 路由上配置到 NTP 服务器的静态路由。
- 如果设置了显式管理接口网关，请登录设备 CLI，并使用 ping system 命令测试与每个 NTP 服务器之间是否存在网络路径。

登录设备 CLI，并使用以下命令检查 NTP 服务器的状态。

show ntp - 此命令显示 NTP 服务器的基本信息及其可用性。但是，Firepower 设备管理器中的连接状态使用其他信息指示其状态，所以此命令的显示以及连接状态图的显示可能存在不一致的地方。还可从 CLI 控制台发出此命令。

system support ntp - 此命令包括 show ntp 的输出以及标准 NTP 命令 ntpq （该命令记录在 NTP 协议中）的输出。如果需要确认 NTP 同步，请使用此命令。

查找“‘ntpq -pn’的结果”部分。例如，您可能会看到类似如下的内容：


Results of 'ntpq -pn'
remote                    : +216.229.0.50
refid                     : 129.7.1.66
st                        : 2
t                         : u
when                      : 704
poll                      : 1024
reach                     : 377
delay                     : 90.455
offset                    : 2.954
jitter                    : 2.473

在本例中，NTP 服务器地址前的 + 表示作为潜在候选者。此处的星号 * 表示当前的时间源对等体。

NTP 守护程序 (NTPD) 使用每个对等体中的八个示例的滑动窗口，并选出一个示例，然后根据时钟选择确定正确的报时器和错误的断续器。然后，NTPD 会确定往返距离（候补者的偏移不得超过往返延迟的一半）。如果连接延迟、丢包或服务器问题导致一个或全部候补者被拒绝，则同步中会出现较长的延迟。而且，该调整很长一段时间后才会完成：时钟偏移和振荡器错误必须通过时钟训练算法解决，这可能会需要数小时的时间。

注	如果 refid 是 .LOCL.，则表明对等体是一个未经训练的本地时钟，也即它只使用其本地时钟来设置时间。如果所选的对等体是 .LOCL.，则 Firepower 设备管理器始终将 NTP 连接标为黄色（未同步）。如果还有更好的证书，NTP 通常不会选择 .LOCL. 证书，这就是应配置至少三个服务器的原因所在。

为管理接口排除 DNS 故障

必须配置至少一个 DNS 服务器供管理接口使用。需要使用该服务器来云连接到智能许可、数据库更新（如 GeoDB、规则和 VDB）等服务，和处理其他需要域名解析的任何活动。

配置 DNS 服务器非常简单。只需在初始配置设备时输入所用 DNS 服务器的 IP 地址。随后可在设备 > 系统设置 > DNS 服务器页面进行更改。

但是，由于网络连接问题或 DNS 服务器本身的问题，系统可能会无法解析完全限定域名 (FQDN)。如果您发现系统无法使用您的 DNS 服务器，请考虑以下操作来识别和解决问题。另请参阅常规 DNS 问题故障排除。

过程

步骤 1

确定是否存在问题。

使用 SSH 登录设备 CLI。

输入 ping system www.cisco.com 。如果您获得类似于下文的“未知主机”消息，系统将无法解析域名。如果 ping 操作成功，问题得到解决：DNS 正常工作。（按 Ctrl+C 可停止 ping 命令。）


> ping system www.cisco.com
ping: unknown host www.cisco.com

注	务必在 ping 命令中添加 system 关键字。system 关键字通过管理 IP 地址执行 ping 操作，该接口也是使用管理 DNS 服务器的唯一接口。访问 www.cisco.com 也是一个不错的选择，因为您需要到该服务器的路由以获得智能许可和更新。

步骤 2

验证管理接口的配置。

依次点击设备 > 系统设置 > 管理接口，并验证以下内容。如果您进行更改，点击保存后会立即应用所做的更改。如果您更改管理地址，需要重新连接并重新登录。
- 管理网络的网关 IP 地址是正确的。如果您使用数据接口作为网关，后续步骤将验证该配置。
- 如果您不使用数据接口作为网关，请验证管理 IP 地址/子网掩码和网关 IP 地址位于同一子网。
依次点击设备 > 系统设置 > DNS 服务器，并验证是否正确配置 DNS 服务器。

如果您在网络边缘部署设备，运营商可能会对您可以使用的 DNS 服务器提出特定要求。
如果您使用数据接口作为网关，确认您具有所需的路由。
您需要为 0.0.0.0 提供默认路由。如果 DNS 服务器不能使用默认路由的网关，您可能需要额外的路由。这种情况基本分为两类：
- 如果您使用 DHCP 获取外部接口的地址且选择使用 DHCP 获取默认路由选项，默认路由在 Firepower 设备管理器中不可见。从 SSH 输入 show route 验证是否存在适用于 0.0.0.0 的路由。由于这是外部接口的默认配置，您可能会遇到这样的情况。（请转至设备 > 接口查看外部接口的配置。）
- 如果您在外部接口上使用静态 IP 地址或不从 DHCP 获取默认路由，则打开设备 > 路由。验证已为默认路由使用正确的网关。
如果无法通过默认路由访问 DNS 服务器，则必须在路由页面为其定义静态路由。请注意，不应为直连网络（即直接连接到系统任何数据接口的网络）添加路由，因为系统可以自动路由到这些网络。

此外，验证没有静态路由将发往服务器的流量错误引导至不正确的接口。
如果部署按钮指示存在未部署的更改，请现在部署这些更改并等待部署完成。
重新测试 ping system www.cisco.com 。如果问题仍然存在，继续执行下一步。

步骤 3

在 SSH 会话中，输入 nslookup www.cisco.com 。

如果 nslookup 指示可获取 DNS 服务器的响应，但服务器找不到名称，这意味着，DNS 已正确配置，但所用的 DNS 服务器没有适用于 FQDN 的地址。响应应类似于以下内容：
```
> nslookup www.cisco.com 
Server:         10.163.47.11
Address:        10.163.47.11#53

** server can't find www.cisco.com: NXDOMAIN
```
解决方案：在这种情况下，您需要配置不同的 DNS 服务器，或获取已更新的服务器，使其能够解析需要解析的 FQDN。联系您的网络管理员或 ISP，获取可用于您网络的 DNS 服务器的 IP 地址。
如果您收到“连接已超时”消息，系统将无法访问 DNS 服务器，或所有 DNS 服务器目前均有故障，无法响应（不太可能出现这种情况）。继续进行下一步。
```
> nslookup www.cisco.com 
; ; connection timed out; no servers could be reached 
```

步骤 4

使用 traceroute system DNS_server_ip_address 命令追踪到 DNS 服务器的路由。

例如，如果 DNS 服务器 10.100.10.1，请输入：


> traceroute system 10.100.10.1

下文是可能出现的结果：

跟踪路由完成并到达 DNS 服务器。在这种情况下，实际上存在通向 DNS 服务器的路由，且系统可以访问该服务器。因此，没有任何路由问题。但是，由于某种原因，到此服务器的 DNS 请求没有获得响应。

解决方案：可能是因为沿该路径的路由器或防火墙丢弃 UDP/53 流量，这是用于 DNS 的端口。您可以沿其他网络路径尝试连接 DNS 服务器。这种问题比较棘手，因为您需要确定哪个节点阻止流量，并联系系统管理员才能更改访问规则。
跟踪路由连一个节点都无法访问，其响应如下所示：
```
> traceroute system 10.100.10.1 
traceroute to 10.100.10.1 (10.100.10.1), 30 hops max, 60 byte packets
 1  * * *
 2  * * *
 3  * * *
(and so forth) 
```
解决方案：在这种情况下，系统存在路由问题。尝试为网关 IP 地址执行 ping system 。按照之前步骤中的介绍重新验证管理接口的配置，确保您已配置所需的网关和路由。
跟踪路由可以通过几个节点，之后便不再能够解析路由，其响应如下所示：
```
> traceroute system 10.100.10.1 
traceroute to 10.100.10.1 (10.100.10.1), 30 hops max, 60 byte packets
 1  192.168.0.254 (192.168.0.254)  0.475 ms  0.532 ms  0.542 ms
 2  10.88.127.1 (10.88.127.1)  0.803 ms  1.434 ms  1.443 ms
 3  site04-lab-gw1.example.com (10.89.128.25)  1.390 ms  1.399 ms  1.435 ms
 4  * * * 
 5  * * * 
 6  * * * 
```
解决方案：这种情况下，路由在最后一个节点出现问题。您可能需要联系系统管理员，以在该节点安装正确的路由。但是，如果有意地在该节点不设置通往 DNS 服务器的路由，您需要更改网关，或创建自己的静态路由，使其指向可以将流量路由到 DNS 服务器的路由器。

分析 CPU 和内存使用情况

要查看有关 CPU 和内存使用情况的系统级信息，请依次选择监控 > 系统，然后查找 CPU 和“内存”条形图。这些图表显示通过 CLI 使用 show cpu system 和 show memory system 命令收集的信息。

如果打开 CLI 控制台或登录 CLI，还可以使用这些命令的其他版本查看其他信息。通常，只有当使用情况存在长时间持续的问题时，或者奉思科技术支持中心 (TAC) 之命，才会查看此信息。其中许多详细信息比较复杂，需要 TAC 加以解释。

以下是您可以检查的一些要点。您可以在思科 Firepower 威胁防御命令参考（网址为 http://www.cisco.com/c/en/us/td/docs/security/firepower/command_ref/b_Command_Reference_for_Firepower_Threat_Defense.html）中找到有关这些命令的更多详细信息。

show cpu 显示数据平面 CPU 使用情况。
show cpu core 分别显示每个 CPU 核心的使用情况。
show cpu detailed 显示其他每个核心及总数据平面的 CPU 使用情况。
show memory 显示数据平面内存使用情况。

注	某些关键字（上文未提及）需要先使用 cpu 或 memory 命令设置分析或其他功能。这些功能只能奉 TAC 之命使用。

查看日志

系统会记录各种操作的信息。您可以使用 system support view-files 命令打开系统日志。请在配合思科技术支持中心 (TAC) 解决问题时使用此命令，以便他们帮助您解释输出内容并选择要查看的相应日志。

该命令将显示一个菜单供您选择日志。请使用以下命令在向导中导航：

要更改为子目录，请键入该目录的名称并按 Enter 键。
要选择欲查看的文件，请在提示符后输入 s 。然后系统将提示您输入文件名。请键入完整名称，并注意区分大小写。文件列表会显示日志的大小，您最好考虑一下再打开非常大的日志。
看到 --More-- 时，按空格键可查看下一页日志条目；按 Enter 键仅查看下一个日志条目。到达日志末尾后，即会转到主菜单。--More-- 行会显示日志的大小和已查看部分的大小。如果不想翻阅完整个日志，请使用 Ctrl+C 关闭日志并退出命令。
键入 b 返回菜单结构的上一级。

如果要保持日志打开以便及时看到添加的新消息，请使用 tail-logs 命令而非 system support view-files 。

以下示例显示如何查看 cisco/audit.log 文件，该文件用于跟踪系统登录尝试。文件列表首先在顶部列出目录，然后列出当前目录下的文件。


> system support view-files

===View Logs===

============================
Directory: /ngfw/var/log
----------sub-dirs----------
cisco
mojo
removed_packages
setup
connector
sf
scripts
packages
removed_scripts
httpd
-----------files------------
2016-10-14 18:12:04.514783 | 5371       | SMART_STATUS_sda.log
2016-10-14 18:12:04.524783 | 353        | SMART_STATUS_sdb.log
2016-10-11 21:32:23.848733 | 326517     | action_queue.log
2016-10-06 16:00:56.620019 | 1018       | br1.down.log

<list abbreviated>


([b] to go back or [s] to select a file to view, [Ctrl+C] to exit)
Type a sub-dir name to list its contents: cisco

============================
Directory: /ngfw/var/log/cisco
-----------files------------
2017-02-13 22:44:42.394907 | 472        | audit.log
2017-02-13 23:40:30.858198 | 903615     | ev_stats.log.0
2017-02-09 18:14:26.870361 | 0          | ev_stats.log.0.lck
2017-02-13 05:24:00.682601 | 1024338    | ev_stats.log.1
2017-02-12 08:41:00.478103 | 1024338    | ev_stats.log.2
2017-02-11 11:58:00.260805 | 1024218    | ev_stats.log.3
2017-02-09 18:12:13.828607 | 95848      | firstboot.ngfw-onbox.log
2017-02-13 23:40:00.240359 | 6523160    | ngfw-onbox.log

([b] to go back or [s] to select a file to view, [Ctrl+C] to exit)
Type a sub-dir name to list its contents: s

Type the name of the file to view ([b] to go back, [Ctrl+C] to exit)
> audit.log
2017-02-09 18:59:26 - SubSystem:LOGIN, User:admin, IP:10.24.42.205, Message:Login successful, 
2017-02-13 17:59:28 - SubSystem:LOGIN, User:admin, IP:10.24.111.72, Message:Login successful, 
2017-02-13 22:44:36 - SubSystem:LOGIN, User:admin, IP:10.24.111.72, Message:Login failed, 
2017-02-13 22:44:42 - SubSystem:LOGIN, User:admin, IP:10.24.111.72, Message:Login successful, 
2017-02-13 22:44:42 - SubSystem:LOGIN, User:admin, IP:10.24.111.72, Message:Unlocked account., 

<remaining log truncated>

创建故障排除文件

在提交问题报告时，思科技术支持中心 (TAC) 人员可能要求您提交系统日志消息。这些信息可帮助他们诊断问题。您无需提交诊断文件，除非要求您这样做。

以下步骤程序介绍了如何创建和下载诊断文件。

过程

步骤 1

点击设备。

步骤 2

在故障排除下，点击请求创建文件或重新请求创建文件（如果您之前已创建一份文件）。

系统将开始生成诊断文件。您可以转至其他页面，再返回此处检查状态。当该文件准备就绪后，会显示文件创建日期和时间及下载按钮。

步骤 3

当该文件准备就绪后，请点击下载按钮。

系统将使用浏览器的标准下载方法，将该文件下载到您的工作站。

不常见的管理任务

以下主题介绍您即便执行，也不会经常执行的操作。所有这些操作都可能清除您的设备配置。在进行这些更改之前，请确保设备当前没有向生产网络提供重要服务。

在本地和远程管理之间切换

您可以使用本地 Firepower 设备管理器（直接托管在设备上）配置和管理自己的设备，也可以使用 Firepower 管理中心多设备管理器进行远程配置和管理。如果要配置不受 Firepower 设备管理器支持的功能，或需要 Firepower 管理中心提供的效能和分析功能，您可能要使用远程管理器。

另外，若要在透明防火墙模式下运行设备，也必须使用 Firepower 管理中心。

您可以在本地和远程管理之间切换，而无需重新安装软件。在从远程管理切换至本地管理之前，请确认 Firepower 设备管理器满足您的所有配置要求。

小心	切换管理器会清除设备配置，并会使系统恢复默认配置。但是，管理 IP 地址和主机名保留不变。

开始之前

如果已注册了设备，特别是如果启用了任何功能许可证，则必须通过 Firepower 设备管理器取消注册设备，然后才能切换到远程管理。取消注册设备会释放基本许可证和所有功能许可证。如果不取消注册设备，这些许可证将保持分配给思科智能软件管理器中的设备。请参阅注销设备。

如果设备已配置为高可用性，您必须首先使用设备管理器（如果可能）或 configure high-availability disable 命令中断高可用性配置。理想情况下，应从主用设备中断高可用性。

过程

步骤 1

使用 SSH 客户端打开与管理 IP 地址的连接，使用具有配置 CLI 访问权限的用户名登录设备 CLI。例如 admin 用户名。

连接到管理 IP 地址时，请务必执行此过程。使用 Firepower 设备管理器时，您可以选择通过数据接口上的 IP 地址管理设备。但是，必须使用“管理”物理端口和管理 IP 地址来远程管理设备。

如果无法连接到管理 IP 地址，请解决以下问题：

确保管理物理端口连接到正常运行的网络。

确保为管理网络配置了管理 IP 地址和网关。在 Firepower 设备管理器中，在设备 > 系统设置 > 管理接口上配置地址和网关。（在 CLI 中，使用 configure network ipv4/ipv6 manual 命令。）

注	确保使用外部网关作为管理 IP 地址。使用远程管理器时，不能将数据接口用作网关。

步骤 2

要从本地管理切换为远程管理，请执行以下操作：

验证您当前处于本地管理模式之下。
```
> show managers 
Managed locally.
```

配置远程管理器

configure manager add {hostname | IPv4_address | IPv6_address | DONTRESOLVE} regkey [nat_id]

其中：

{hostname | IPv4_address | IPv6_address | DONTRESOLVE} 指定管理此设备的 Firepower 管理中心的 DNS 主机名或 IP 地址（IPv4 或 IPv6）。如果 Firepower 管理中心无法直接寻址，请使用 DONTRESOLVE 。如果使用 DONTRESOLVE ，则需要使用 nat_id 。
regkey 是向 Firepower 管理中心注册设备所需的唯一字母数字注册密钥。
nat_id 是在 Firepower 管理中心与设备之间的注册流程中使用的可选字母数字字符串。如果主机名设置为 DONTRESOLVE，此项为必填项。

例如，要在 192.168.0.123 处使用该管理器，注册密钥为 secret ，请输入以下信息：


> configure manager add 192.168.0.123 secret
If you enabled any feature licenses, you must disable them in 
Firepower Device Manager before switching to remote management.
Otherwise, those licenses remain assigned to the device in Cisco 
Smart Software Manager.
Do you want to continue  [yes/no] yes
Manager successfully configured.
Please make note of reg_key as this will be required while adding 
Device in FMC.

> show managers 
Host                      : 192.168.0.123
Registration Key          : ****
Registration              : pending
RPC Status                :

注	在执行注册期间，您可以使用 configure manager delete 删除该注册，然后使用 configure manager local 返回到本地管理。

登录 Firepower 管理中心并添加设备。

有关详细信息，请参见 Firepower 管理中心在线帮助。

步骤 3

要从远程管理切换为本地管理，请执行以下操作：

验证您当前处于远程管理模式之下。


> show managers 
Host                      : 192.168.0.123
Registration Key          : ****
Registration              : pending
RPC Status                :

删除远程管理器，进入无管理器模式。
无法直接从远程管理转至本地管理。使用 configure manager delete 命令可删除管理器。
```
> configure manager delete 
Deleting task list
Manager successfully deleted.

> 
> show managers 
No managers configured.
```
配置本地管理器。
configure manager local

例如：
```
> configure manager local 
Deleting task list

> show managers 
Managed locally.
```
现在，您可以使用 Web 浏览器在 https://management-IP-address 位置打开本地管理器。

更改防火墙模式

Firepower 威胁防御防火墙可在路由模式或透明模式下运行。路由模式防火墙是指路由的跳跃，可作为连接到任一屏蔽子网的主机的默认网关。另一方面，透明防火墙是第 2 层防火墙，其作用相当于“网络嵌入式”或“隐形防火墙”，不会被视为路由器跳跃至相连设备。

本地 Firepower 设备管理器仅支持路由模式。不过，如果需要在透明模式下运行该设备，则可以更改防火墙模式，开始使用 Firepower 管理中心管理设备。相反，您可以将透明模式设备转换为路由模式，然后选择使用本地管理器对其进行配置（也可以使用 Firepower 管理中心管理路由模式设备）。

无论执行本地还是远程管理，都必须使用设备 CLI 更改模式。

以下步骤程序介绍了使用本地管理器或计划使用本地管理器时如何更改模式。

小心	更改防火墙模式会清除设备配置，并会使系统恢复默认配置。但是，管理 IP 地址和主机名保留不变。

开始之前

如果要转换为透明模式，请先安装 Firepower 管理中心，再更改防火墙模式。

如果启用了任何功能许可证，您必须首先在 Firepower 设备管理器中禁用它们，然后才能删除本地管理器和切换为远程管理。否则，这些许可证将仍旧分配给思科智能软件管理器中的设备。请参阅启用或禁用可选许可证。

如果设备已配置为高可用性，您必须首先使用设备管理器（如果可能）或 configure high-availability disable 命令中断高可用性配置。理想情况下，应从主用设备中断高可用性。

过程

步骤 1

使用 SSH 客户端打开与管理 IP 地址的连接，使用具有配置 CLI 访问权限的用户名登录设备 CLI。例如 admin 用户名。

连接到管理 IP 地址时，请务必执行此过程。使用 Firepower 设备管理器时，您可以选择通过数据接口上的 IP 地址管理设备。但是，必须使用“管理”物理端口和管理 IP 地址来远程管理设备。

如果无法连接到管理 IP 地址，请解决以下问题：

确保管理物理端口连接到正常运行的网络。

确保为管理网络配置了管理 IP 地址和网关。在 Firepower 设备管理器中，在设备 > 系统设置 > 管理接口上配置地址和网关。（在 CLI 中，使用 configure network ipv4/ipv6 manual 命令。）

注	确保使用外部网关作为管理 IP 地址。使用远程管理器时，不能将数据接口用作网关。

步骤 2

要从路由模式更改为透明模式，并且使用远程管理：

禁用本地管理，并进入无管理器模式。

若有活动管理器，则无法更改防火墙模式。使用 configure manager delete 命令可删除管理器。


> configure manager delete 
If you enabled any feature licenses, you must disable them in 
Firepower Device Manager before deleting the local manager.
Otherwise, those licenses remain assigned to the device in 
Cisco Smart Software Manager.
Do you want to continue[yes/no] yes
Deleting task list
Manager successfully deleted.

> 
> show managers 
No managers configured.

将防火墙模式更改为透明。

configure firewall transparent

示例:


> configure firewall transparent 
This will destroy the current interface configurations, 
are you sure that you want to proceed? [y/N] y
The firewall mode was changed successfully.

配置远程管理器
configure manager add {hostname | IPv4_address | IPv6_address | DONTRESOLVE} regkey [nat_id]

其中：
- {hostname | IPv4_address | IPv6_address | DONTRESOLVE} 指定管理此设备的 Firepower 管理中心的 DNS 主机名或 IP 地址（IPv4 或 IPv6）。如果 Firepower 管理中心无法直接寻址，请使用 DONTRESOLVE 。如果使用 DONTRESOLVE ，则需要使用 nat_id 。
- regkey 是向 Firepower 管理中心注册设备所需的唯一字母数字注册密钥。
- nat_id 是在 Firepower 管理中心与设备之间的注册流程中使用的可选字母数字字符串。如果主机名设置为 DONTRESOLVE，此项为必填项。
例如，要在 192.168.0.123 处使用该管理器，注册密钥为 secret ，请输入以下信息：
```
> configure manager add 192.168.0.123 secret
Manager successfully configured.
Please make note of reg_key as this will be required while adding 
Device in FMC.

> show managers 
Host                      : 192.168.0.123
Registration Key          : ****
Registration              : pending
RPC Status                : 
```
登录 Firepower 管理中心并添加设备。

有关详细信息，请参见 Firepower 管理中心在线帮助。

步骤 3

要从透明模式更改为路由模式并转换为本地管理，请执行以下操作：

从 FMC 注销设备。
访问 FTD设备 CLI，首选使用控制台端口。

由于更改模式会清除配置，管理 IP 地址将恢复为默认值，所以更改模式后，您可能会丢失与管理 IP 地址的 SSH 连接。

将防火墙模式更改为路由。

configure firewall routed

示例:


> configure firewall routed
This will destroy the current interface configurations, 
are you sure that you want to proceed? [y/N] y
The firewall mode was changed successfully.

启用本地管理器。
configure manager local

例如：
```
> configure manager local 
Deleting task list

> show managers 
Managed locally.
```
现在，您可以使用 Web 浏览器在 https://management-IP-address 位置打开本地管理器。

重置配置

如果要重新开始，您可以将系统配置重置为出厂默认设置。虽然无法直接重置配置，但删除和添加管理器可清除配置。

如果您计划擦除配置，然后恢复备份，请确保您已下载要恢复的备份副本。重置系统后，您需要上传备份副本，然后才能执行恢复。

开始之前

如果启用了任何功能许可证，必须首先在 Firepower 设备管理器中禁用它们，然后才能删除本地管理器。否则，这些许可证将仍旧分配给思科智能软件管理器中的设备。请参阅启用或禁用可选许可证。

如果设备已配置为高可用性，您必须首先使用设备管理器（如果可能）或 configure high-availability disable 命令中断高可用性配置。理想情况下，应从主用设备中断高可用性。

过程

步骤 1

使用 SSH 客户端打开指向管理 IP 地址的连接，使用具有配置 CLI 访问权限的用户名登录设备 CLI。例如 admin 用户名。

步骤 2

使用 configure manager delete 命令可删除管理器。


> configure manager delete 
If you enabled any feature licenses, you must disable them in 
Firepower Device Manager before deleting the local manager.
Otherwise, those licenses remain assigned to the device in Cisco 
Smart Software Manager.
Do you want to continue[yes/no] yes
Deleting task list
Manager successfully deleted.

> 
> show managers 
No managers configured.

步骤 3

配置本地管理器。

configure manager local

例如：


> configure manager local 
Deleting task list

> show managers 
Managed locally.

现在，您可以使用 Web 浏览器在 https://management-IP-address 位置打开本地管理器。清除配置后，系统会提示您完成设备安装向导。

非歧视性语言

当地语言翻译版本说明

Results

Chapter: 系统管理

系统管理

安装软件更新

更新系统数据库和源

系统数据库和源更新概述

更新系统数据库

开始之前

过程

更新思科安全情报源

过程

升级 Firepower 威胁防御软件

开始之前

过程

重新映像设备

备份和恢复系统

立即备份系统

过程

在预定时间备份系统

过程

设置周期性备份计划

过程

恢复备份

过程

更换 ISA 3000 设备

管理备份文件

审核与变更管理

审核事件

查看和分析审核日志

过程

过滤审核日志

复杂审核日志过滤器的规则

检查部署和实体更改历史记录

过程

放弃所有待处理更改

过程

导出设备配置

过程

管理 FDM 和 FTD 用户访问权限

为 FDM (HTTPS) 用户配置外部授权 (AAA)

过程

管理 Firepower 设备管理器用户会话

启用备用 HA 设备上的外部用户 FDM 访问权限

为 FTD CLI 创建本地用户账户

过程

示例:

重新启动系统

过程

示例:

系统故障排除

用于测试连接的 Ping 命令

跟踪主机路由

设置 Firepower 威胁防御设备显示在跟踪路由上

过程

排除 NTP 故障

为管理接口排除 DNS 故障

过程

分析 CPU 和内存使用情况

查看日志

创建故障排除文件

过程

不常见的管理任务

在本地和远程管理之间切换

开始之前

过程

更改防火墙模式

开始之前

过程

示例:

示例:

重置配置

开始之前

过程

此文档是否有帮助?

联系我们