步骤 1

登录设备管理器。

1. 在浏览器中输入以下 URL 之一。

   • 内部（以太网 1/2）- https://192.168.95.1 。

   • 管理 - https://management_ip 。管理接口是 DHCP 客户端，因此 IP 地址取决于您的 DHCP 服务器。在此过程中，您可能必须将管理 IP 地址设置为静态地址，因此我们建议您使用内部接口，以免连接被断开。

2. 使用用户名 admin 和默认密码 Admin123 登录。

3. 系统会提示您阅读和接受“最终用户许可协议”并更改管理员密码。

步骤 2

首次登录设备管理器以完成初始配置时，请使用设置向导。您可以选择通过点击页面底部的跳过设备设置 (Skip device setup) 来跳过设置向导。

1. 为外部接口和管理接口配置以下选项，然后点击下一步。

   1. 外部接口地址 (Outside Interface Address) - 此接口通常是互联网网关，并且可用作管理器访问接口。在初始设备设置期间，您不能选择其他外部接口。第一个数据接口是默认的外部接口。

      如果要使用与外部（或内部）不同的接口来进行管理器访问，则必须在完成设置向导后手动配置该接口。

      配置 IPv4 - 外部接口的 IPv4 地址。可以使用 DHCP，也可以手动输入静态 IP 地址、子网掩码和网关。另外，也可以选择关，不配置 IPv4 地址。您无法使用设置向导配置 PPPoE。如果接口连接到 DSL、电缆调制解调器或 ISP 的其他连接，并且 ISP 使用 PPPoE 来提供 IP 地址，则可能需要使用 PPPoE。您可以在完成向导后配置 PPPoE。

      配置 Ipv6 - 外部接口的 Ipv6 地址可以使用 DHCP，也可以手动输入静态 IP 地址、前缀和网关。另外，也可以选择关，不配置 IPv6 地址。

   2. 管理接口

      如果在 CLI 中执行了初始设置，您将不会看到管理接口设置。请注意，设置管理接口 IP 地址不是安装向导的一部分。请参阅步骤 3以设置管理 IP 地址。

      DNS 服务器 - 防火墙的管理接口的 DNS 服务器。输入 DNS 服务器的一个或多个地址以解析名称。默认值为 OpenDNS 公共 DNS 服务器。如果您编辑字段并想要恢复默认值，请点击使用 OpenDNS (Use OpenDNS) 以重新将合适的 IP 地址载入字段。

      防火墙主机名 - 防火墙的管理接口的主机名。

2. 配置时间设置 (NTP) (Time Setting [NTP]) 并点击下一步 (Next)。

   1. 时区 - 选择系统时区。

   2. NTP 时间服务器 - 选择使用默认 NTP 服务器，还是手动输入 NTP 服务器的地址。可以添加多个服务器来提供备份。

3. 选择启动 90 日评估期而不注册。

   不要向智能软件管理器注册威胁防御；所有许可均在管理中心上执行。

4. 点击完成。

5. 系统将提示您选择云管理 (Cloud Management) 或独立 (Standalone)。对于 管理中心 管理，请选择独立 (Standalone)，然后选择知道了 (Got It)。

步骤 3

(可能需要）为管理接口配置一个静态 IP 地址。选择设备 (Device)，然后依次点击系统设置 (System Settings) > 管理接口 (Management Interface) 链接。

步骤 4

如果要配置其他接口，包括外部或内部之外的接口，请选择设备 (Device)，然后点击接口 (Interfaces) 摘要中的链接。

步骤 5

选择 设备 > 系统设置 > 集中管理，然后点击 继续 设置 管理中心 管理。

步骤 6

配置管理中心/CDO 详细信息。

1. 对于 是否知道管理中心/CDO 主机名或 IP 地址，如果您可以使用 IP 地址或主机名访问 管理中心 ，请点击 是 ，如果 管理中心 位于 NAT 之后或没有公共 IP 地址或主机名，请点击 否 。

   必须至少有一个设备（ 管理中心 或 威胁防御 设备）具有可访问的 IP 地址，才能在两个设备之间建立双向 SSL 加密的通信通道。

2. 如果您选择 是，则输入 管理中心/CDO 主机名/IP 地址。

3. 指定 管理中心/CDO 注册密钥。

   此密钥是您选择的一次性注册密钥，注册威胁防御设备时也要在 管理中心上指定它。注册密钥不得超过 37 个字符。有效字符包括字母数字（A–Z、a–z、0–9）和连字符 (-)。此 ID 可用于将多台设备注册到 管理中心。

4. 指定 NAT ID。

   此 ID 是您选择的唯一一次性字符串，您还需要在 管理中心上指定它。如果仅在其中一台设备上指定 IP 地址，则此字段必填；但建议您即使在知道两台设备的 IP 地址时，仍指定 NAT ID。NAT ID 不得超过 37 个字符。有效字符包括字母数字（A–Z、a–z、0–9）和连字符 (-)。此 ID 不能 用于将任何其他设备注册到 管理中心。NAT ID 与 IP 地址结合使用，用于验证连接是否来自正确的设备；只有在对 IP 地址/NAT ID 进行身份验证后，才会检查注册密钥。

步骤 7

配置连接配置。

1. 指定 FTD 主机名。

2. 指定 DNS 服务器组。

   选择现有组或创建一个新组。默认 DNS 组名为 CiscoUmbrellaDNSServerGroup，其中包括 OpenDNS 服务器。

3. 对于管理中心/CDO 访问接口 (Management Center/CDO Access Interface)，请选择管理 (management)。

步骤 8

点击连接 (Connect)。注册状态 对话框显示切换到 管理中心的当前状态。在 保存管理中心/CDO 注册设置 步骤后，转到 管理中心，并添加防火墙。

如果要取消切换到 管理中心，请点击 取消注册。否则，请在 保存管理中心/CDO 注册设置 步骤之后关闭 设备管理器 浏览器窗口。如果这样做，该过程将暂停，并且只有在您重新连接到 设备管理器时才会恢复。

如果您在 保存管理中心/CDO 注册设置 步骤后保持连接到 设备管理器 ，您最终将看到 与管理中心的成功连接或 CDO 对话框。您将断开与 设备管理器的连接。

Step 1

从控制台端口连接到 威胁防御 CLI，或使用管理接口连接至 SSH，默认情况下其从 DHCP 获取 IP 地址。如果您打算更改网络设置，我们建议使用控制台端口，以免断开连接。

Step 2

使用用户名 admin 和密码 Admin123 登录。

firepower login: admin
Password: Admin123
Successful login attempts for user 'admin' : 1

[...]

Hello admin. You must change your password.
Enter new password: ********
Confirm new password: ********
Your password was updated successfully.

[...]

firepower# 

Step 3

如果在控制台端口上连接到 FXOS，请连接到 威胁防御 CLI。

firepower# connect ftd
>

Step 4

第一次登录 威胁防御 时，系统会提示您接受《最终用户许可协议》(EULA)和，如果使用 SSH 连接，则会提示您更改 admin 密码。然后，系统将显示 CLI 设置脚本。

You must accept the EULA to continue.
Press <ENTER> to display the EULA:
End User License Agreement
[...]

Please enter 'YES' or press <ENTER> to AGREE to the EULA: 

System initialization in progress.  Please stand by.
You must change the password for 'admin' to continue.
Enter new password: ********
Confirm new password: ********
You must configure the network to continue.
You must configure at least one of IPv4 or IPv6.
Do you want to configure IPv4? (y/n) [y]:
Do you want to configure IPv6? (y/n) [n]:
Configure IPv4 via DHCP or manually? (dhcp/manual) [manual]:
Enter an IPv4 address for the management interface [192.168.45.45]: 10.10.10.15
Enter an IPv4 netmask for the management interface [255.255.255.0]: 255.255.255.192
Enter the IPv4 default gateway for the management interface [data-interfaces]: 10.10.10.1
Enter a fully qualified hostname for this system [firepower]: ftd-1.cisco.com
Enter a comma-separated list of DNS servers or 'none' [208.67.222.222,208.67.220.220]:
Enter a comma-separated list of search domains or 'none' []:
If your networking information has changed, you will need to reconnect.
For HTTP Proxy configuration, run 'configure network http-proxy'

Manage the device locally? (yes/no) [yes]: no
Configure firewall mode? (routed/transparent) [routed]:
Configuring firewall mode ... 

Update policy deployment information
    - add device configuration
    - add network discovery
    - add system policy

You can register the sensor to a Firepower Management Center and use the
Firepower Management Center to manage it. Note that registering the sensor
to a Firepower Management Center disables on-sensor Firepower Services
management capabilities.

When registering the sensor to a Firepower Management Center, a unique
alphanumeric registration key is always required.  In most cases, to register
a sensor to a Firepower Management Center, you must provide the hostname or
the IP address along with the registration key.
'configure manager add [hostname | ip address ] [registration key ]'

However, if the sensor and the Firepower Management Center are separated by a
NAT device, you must enter a unique NAT ID, along with the unique registration
key.
'configure manager add DONTRESOLVE [registration key ] [ NAT ID ]'

Later, using the web interface on the Firepower Management Center, you must
use the same registration key and, if necessary, the same NAT ID when you add
this sensor to the Firepower Management Center.
>

Step 5

确定将管理此 威胁防御的 管理中心 。

> configure manager add MC.example.com 123456
Manager successfully configured.

> configure manager add DONTRESOLVE regk3y78 natid90
Manager successfully configured.

> configure manager add 10.70.45.5 regk3y78 natid56
Manager successfully configured.

步骤 1

选择设备 (Devices) > 设备管理 (Device Management)，然后点击防火墙的编辑（ ）。

步骤 2

点击接口 (Interfaces)。

步骤 3

点击要用于内部的接口的编辑（ ）。

此时将显示一般 (General) 选项卡。

1. 输入长度最大为 48 个字符的 Name。

   例如，将接口命名为 inside。

2. 选中 Enabled 复选框。

3. 将 Mode 保留为 None。

4. 从安全区域 (Security Zone) 下拉列表中选择一个现有的内部安全区域，或者点击新建 (New) 添加一个新的安全区域。

   例如，添加一个名为 inside_zone 的区域。必须将每个接口分配给安全区域和/或接口组。每个接口只能属于一个安全区域，但可以同时属于多个接口组。您可以根据区域或组应用安全策略。例如，您可以将内部接口分配到内部区域，而将外部接口分配到外部区域。然后可以配置访问控制策略，允许流量从内部传到外部，但不允许从外部传入内部。大多数策略仅支持安全区域；您可以在 NAT 策略、预过滤器策略和 QoS 策略中使用区域或接口组。

5. 点击 IPv4 和/或 IPv6 选项卡。

   • IPv4 - 从下拉列表中选择使用静态 IP (Use Static IP)，然后以斜杠表示法输入 IP 地址和子网掩码。

     例如，输入 192.168.1.1/24

     

   • IPv6 - 为无状态自动配置选中自动配置 (Autoconfiguration) 复选框。

6. 点击确定 (OK)。

步骤 4

点击要用于外部的接口的 编辑（ ）。

此时将显示一般 (General) 选项卡。

注	如果您为此接口预配置了管理器访问，则该接口就已经命名、启用和寻址。您不应更改任何这些基本设置，因为这样做会中断 管理中心 管理连接。您仍然可以在此屏幕上为直通流量策略配置安全区域。

1. 输入长度最大为 48 个字符的 Name。

   例如，将接口命名为 outside。

2. 选中 Enabled 复选框。

3. 将 Mode 保留为 None。

4. 从安全区域 (Security Zone) 下拉列表中选择一个现有的外部安全区域，或者点击新建 (New) 添加一个新的安全区域。

   例如，添加一个名为 outside_zone 的区域。

5. 点击 IPv4 和/或 IPv6 选项卡。

   • IPv4 - 选择使用 DHCP (Use DHCP)，然后配置以下选填参数：

     • 使用 DHCP 获取默认路由 (Obtain default route using DHCP) - 从 DHCP 服务器获取默认路由。

     • DHCP 路由指标 (DHCP route metric) - 分配到所获悉路由的管理距离，介于 1 和 255 之间。获悉的路由的默认管理距离为 1。

     

   • IPv6 - 为无状态自动配置选中自动配置 (Autoconfiguration) 复选框。

6. 点击确定 (OK)。

步骤 5

点击保存。

步骤 1

选择设备 (Devices) > 设备管理 (Device Management)，然后点击设备的编辑（ ）。

步骤 2

选择 DHCP > DHCP 服务器 (DHCP Server)。

步骤 3

在服务器 (Server） 页面上点击添加 (Add)，然后配置以下选项：

• 接口 (Interface) - 从下拉列表中选择接口。

• 地址池 (Address Pool) - DHCP 服务器使用的 IP 地址的范围（从最低到最高）。IP 地址范围必须与选定接口位于相同的子网上，且不能包括接口自身的 IP 地址。

• 启用 DHCP 服务器 (Enable DHCP Server) - 在所选接口上启用 DHCP 服务器。

步骤 4

点击确定 (OK)。

步骤 5

点击保存。

步骤 1

选择设备 (Devices) > 设备管理 (Device Management)，然后单击设备的编辑（ ）。

步骤 2

选择路由 (Route) > 静态路由 (Static Route)，单击添加路由 (Add Route)，然后设置以下项：

• 类型 (Intrusion) - 根据要添加静态路由的类型，单击 IPv4 或 IPv6 单选按钮。

• 接口 (Interface) - 选择出口接口；通常是外部接口。

• Available Network - 为 IPv4 默认路由选择 any-ipv4，为 IPv6 默认路由选择 any-ipv6，然后单击 Add 将其移至 Selected Network 列表。

• 网关 (Gateway) 或 IPv6 网关 (IPv6 Gateway) - 输入或选择作为此路由的下一个跃点的网关路由器。您可以提供 IP 地址或网络/主机对象。

• 指标 (Metric) - 输入到目标网络的跃点数。有效值范围为 1 到 255；默认值为 1。

步骤 3

单击确定 (OK)。

路由即已添加至静态路由表。

步骤 4

点击保存。

步骤 1

选择设备 (Devices) > NAT，然后单击新策略 (New Policy) > 威胁防御 NAT (Threat Defense NAT)。

步骤 2

为策略命名，选择要使用策略的设备，然后单击Save。

策略即已添加 管理中心。您仍然需要为策略添加规则。

步骤 3

单击添加规则 (Add Rule)。

步骤 4

配置基本规则选项：

• NAT 规则 (NAT Rule) - 选择自动 NAT 规则 (Auto NAT Rule)。

• 类型 (Type) - 选择动态 (Dynamic)。

步骤 5

在 Interface Objects 页面，将 Available Interface Objects 区域中的外部区域添加到 Destination Interface Objects 区域。

步骤 6

在转换 (Translation) 页面上配置以下选项：

• 原始源 - 单击添加（ ） 为所有 IPv4 流量添加网络对象 (0.0.0.0/0)。

  

  注	您不能使用系统定义的 any-ipv4 对象，因为自动 NAT 规则在对象定义过程中添加 NAT，并且您无法编辑系统定义的对象。

• 转换的源 (Translated Source) - 选择目标接口 IP (Destination Interface IP)。

步骤 7

单击保存 (Save) 以添加规则。

规则即已保存至 Rules 表。

步骤 8

单击 NAT 页面上的保存 (Save) 以保存更改。

步骤 1

选择策略 (Policy) > 访问策略 (Access Policy) > 访问策略 (Access Policy)，然后单击分配给 威胁防御 的访问控制策略的 编辑（ ）。

步骤 2

单击添加规则 (Add Rule) 并设置以下参数：

• 名称 (Name) - 为此规则命名，例如 inside_to_outside。

• 源区域 (Source Zones) - 从可用区域 (Available Zones) 中选择内部区域，然后单击添加到源 (Add to Source)。

• 目标区域 (Destination Zones) - 从可用区域 (Available Zones） 中选择外部区域，然后单击添加到目标 (Add to Destination)。

其他设置保留原样。

步骤 3

单击添加 (Add)。

规则即已添加至 Rules 表。

步骤 4

点击保存。

步骤 1

单击右上方的部署 (Deploy)。

步骤 2

点击全部部署 (Deploy All) 以部署到所有设备，或点击高级部署 (Advanced Deploy) 以部署到选择的设备。

步骤 3

确保部署成功。单击菜单栏中部署 (Deploy) 按钮右侧的图标可以查看部署状态。

步骤 1

选择设备 > 设备管理。

步骤 2

在要重新启动的设备旁边，单击编辑图标 ()。

步骤 3

单击设备 (Device) 选项卡。

步骤 4

单击系统部分中的关闭设备图标 ()。

步骤 5

出现提示时，确认是否要关闭设备。

步骤 6

如果您与防火墙建立了控制台连接，请在防火墙关闭时留意系统提示。您将看到以下提示：

System is stopped.
It is safe to power off now.

Do you want to reboot instead? [y/N]

步骤 7

您现在可以关闭电源开关并在必要时拔下电源插头以物理方式断开机箱的电源。

步骤 1

在 FXOS CLI 中，连接到 local-mgmt：

步骤 2

发出 shutdown 命令：

firepower(local-mgmt)# shutdown 
This command will shutdown the system.  Continue?
Please enter 'YES' or 'NO': yes
INIT: Stopping Cisco Threat Defense......ok

步骤 3

留意防火墙关闭时的系统提示。您将看到以下提示：

System is stopped.
It is safe to power off now.
Do you want to reboot instead? [y/N]

步骤 4

您现在可以关闭电源开关并在必要时拔下电源插头以物理方式断开机箱的电源。