步骤 1

在 机箱管理器中，选择逻辑设备。

步骤 2

点击添加 > 独立设备，并设置以下参数：

1. 提供设备名称。

   此名称由机箱管理引擎用于配置管理设置和分配接口；它不是在应用配置中使用的设备名称。

2. 对于模板，请选择 Cisco Firepower 威胁防御。

3. 选择映像版本。

4. 选择实例类型：容器或本地。

   本地实例使用安全模块/引擎的所有资源（CPU、RAM 和磁盘空间），因此仅可安装一个本地实例。容器实例使用部分安全模块/引擎资源，因此可以安装多个容器实例。

5. 点击确定 (OK)。

   屏幕会显示调配 - 设备名称窗口。

步骤 3

展开数据端口 (Data Ports) 区域，然后点击要分配给设备的每个接口。

您仅可分配先前在接口页面上启用的数据和数据共享接口。稍后您需要在 管理中心 中启用和配置这些接口，包括设置 IP 地址。

仅可向一个容器实例分配最多 10 个数据共享接口。此外，可以将每个数据共享接口分配至最多 14 个容器实例。数据共享接口以共享图标（）表示。

具有硬件旁路功能的端口使用以下图标显示：。对于某些接口模块，仅可启用用于内联集接口的硬件旁路功能（有关内联集的信息，请参阅 《Firepower 管理中心配置指南》）。硬件绕行确保流量在断电期间继续在接口对之间流动。在软件或硬件发生故障时，此功能可用于维持网络连接性。如果您未同时分配一个硬件旁路对中的两个接口，则会收到一条警告消息，确认您是故意这样分配。您不需要使用硬件旁路功能，因此如果您愿意，可以分配单个接口。

步骤 4

点击屏幕中心的设备图标。

步骤 5

在一般信息 (General Information) 页面上，完成下列操作：

1. 在安全模块选择下，点击您想用于此逻辑设备的安全模块。

2. 对于容器实例，指定资源配置文件。

   如果您稍后分配一个不同的资源配置文件，则实例将重新加载，这可能需要大约 5 分钟的时间。请注意，对于已建立的高可用性对或集群，如果分配不同大小的资源配置文件，请务必尽快确保所有成员大小一致。

3. 选择管理接口。

   此接口用于管理逻辑设备。此接口独立于机箱管理端口。

4. 选择管理接口地址类型：仅 IPv4、仅 IPv6 或 IPv4 和 IPv6。

5. 配置管理 IP 地址。

   设置用于此接口的唯一 IP 地址。

6. 输入网络掩码或前缀长度。

7. 输入网络网关地址。

步骤 6

在设置选项卡上，完成下列操作：

1. 对于本地实例，在应用实例的管理类型下拉列表中，选择 FMC。

   本地实例还支持 设备管理器 作为管理器。部署逻辑设备后，无法更改管理器类型。

2. 输入管理 管理中心 的 Firepower 管理中心 IP 或主机名。如果不知道 管理中心 IP 地址，请将此字段留空，并在 Firepower 管理中心 NAT ID 字段中输入口令。

3. 对于容器实例，选择是否允许 FTD SSH 会话专家模式 (Permit Expert mode from FTD SSH sessions)：是 (Yes) 或否 (No)。专家模式提供 威胁防御 外壳访问以确保实现高级故障排除。

   对于此选项，如果您选择是 (Yes)，拥有直接从 SSH 会话访问容器实例的权限的用户可以输入专家模式。如果您选择否 (No)，只有拥有从 FXOS CLI 访问容器实例的权限的用户可以输入专家模式。我们建议选择否 (No) 以加强实例之间的隔离。

   仅当书面程序指出必须使用或思科技术支持中心要求使用专家模式时，才使用专家模式。要进入此模式下，请在 威胁防御 CLI 中使用 expert 命令。

4. 输入逗号分隔列表形式的搜索域。

5. 选择防火墙模式：透明或路由式。

   在路由模式中，威胁防御被视为网络中的路由器跃点。要在其间路由的每个接口都位于不同的子网上。另一方面，透明防火墙是一个第 2 层防火墙，充当“电缆中的块”或“隐蔽的防火墙”，不被视为是到所连接设备的路由器跃点。

   系统仅在初始部署时设置防火墙模式。如果您重新应用引导程序设置，则不会使用此设置。

6. 输入逗号分隔列表形式的 DNS 服务器。

   例如，如果指定 管理中心 主机名，则 威胁防御 使用 DNS。

7. 输入 威胁防御 的完全限定主机名。

8. 输入注册期间要在管理中心和设备之间共享的注册密钥。

   可以为此密钥选择介于 1 至 37 个字符之间的任何文本字符串；添加威胁防御时，需要在管理中心上输入相同的密钥。

9. 输入供威胁防御管理员用户用于 CLI 访问的密码。

10. 选择应该发送事件的事件接口。如果未指定，系统将使用管理接口。

    此接口必须定义为 Firepower 事件接口。

11. 对于容器实例，请将硬件加密设置为已启用或已禁用。

    此设置在硬件中启用 TLS 加密加速，并提高某些类型流量的性能。有关详细信息，请参阅《Firepower 管理中心配置指南》。本地实例不支持此功能。要查看分配给该实例的硬件加密资源百分比，请输入 show hw-crypto 命令。

步骤 7

在协议选项卡上，阅读并接受最终用户许可协议 (EULA)。

步骤 8

点击确定 (OK) 关闭配置对话框。

步骤 9

点击保存 (Save)。

机箱通过下载指定软件版本，并将引导程序配置和管理接口设置推送至应用实例来部署逻辑设备。在逻辑设备 (Logical Devices) 页面中，查看新逻辑设备的状态。当逻辑设备将其状态显示为在线时，可以开始在应用中配置安全策略。

步骤 1

使用支持的浏览器输入以下 URL。

步骤 2

输入您的用户名和密码。

步骤 3

点击登录。

步骤 1

请确保智能许可帐户包含所需的可用许可证。

当您从思科或经销商那里购买设备时，您的许可证应该已链接到您的智能软件许可证帐户。但是，如果您需要自己添加许可证，则请使用Cisco Commerce Workspace上的 Find Products and Solutions 搜索字段。搜索以下许可证 PID：

注	如果未找到 PID，您可以手动将 PID 添加到订单中。

• IPS、恶意软件 防御和 URL 许可证组合：

  • L-FPR9K-40T-TMC=

  • L-FPR9K-48T-TMC=

  • L-FPR9K-56T-TMC=

  当您将上述 PID 之一添加到您的订单时，可以选择与以下 PID 之一对应的定期订用：

  • L-FPR9K-40T-TMC-1Y

  • L-FPR9K-40T-TMC-3Y

  • L-FPR9K-40T-TMC-5Y

  • L-FPR9K-48T-TMC-1Y

  • L-FPR9K-48T-TMC-3Y

  • L-FPR9K-48T-TMC-5Y

  • L-FPR9K-56T-TMC-1Y

  • L-FPR9K-56T-TMC-3Y

  • L-FPR9K-56T-TMC-5Y

• Cisco Secure 客户端-请参阅 思科安全客户端订购指南。

• 运营商许可证：

  • L-FPR9K-FTD-CAR=

步骤 2

如果尚未执行此操作，请向智能许可服务器注册管理中心。

步骤 1

在 管理中心 上，选择设备 (Devices) > 设备管理 (Device Management)。

步骤 2

从添加下拉列表中，选择添加设备。

设置以下参数：

• 主机 (Host) - 输入要添加的 威胁防御 的 IP 地址或主机名。如果在 威胁防御 初始引导程序配置中同时指定了 管理中心 IP 地址和 NAT ID，可以将此字段留空。

  注	在 HA 环境中，当两个管理中心都位于 NAT 之后时，则可以在主管理中心中注册威胁防御而无需主机 IP 或名称。但是，要在辅助 管理中心 中注册 威胁防御，则必须提供 威胁防御 的 IP 地址或主机名。

• 显示名称 (Display Name) - 输入要在管理中心中显示的威胁防御的名称。

• 注册密钥 (Registration Key) - 输入您在威胁防御初始引导程序配置中指定的注册密钥。

• 域 (Domain) - 如果有多域环境，请将设备分配给分叶域。

• 组 (Group) - 如果在使用组，则将其分配给设备组。

• 访问控制策略 (Access Control Policy) - 选择初始策略。除非已经拥有您知道自己需要使用的自定义策略，否则选择新建策略 (Create new policy)，然后选择阻止所有流量 (Block all traffic)。之后您可以更改此设置以允许流量通过；请参阅允许流量从内部传到外部。

  

• 智能许可 (Smart Licensing) - 为要部署的功能分配所需的智能许可证：Malware（如果您打算使用恶意软件检查）、Threat（如果您打算使用入侵防御）、URL （如果您打算实施基于类别的 URL 过滤）。注意：在添加设备后，您可以从系统 > 许可证 > 智能许可证页面应用 Secure Client 远程访问 VPN 许可证。

• 唯一 NAT ID (Unique NAT ID) - 指定您在 威胁防御 初始引导程序配置中指定的 NAT ID。

• 转移数据包 (Transfer Packets) - 可让设备将数据包传输至 管理中心。如果在启用此选项时触发了 IPS 或 Snort 等事件，设备会将事件元数据信息和数据包数据发送到 管理中心进行检测。如果禁用此选项，只有事件信息会发送到 管理中心，数据包数据不发送。

步骤 3

点击注册 (Register)，或者如果要添加另一台设备，请点击注册并添加其他 (Register and Add Another)，并确认注册成功。

步骤 1

（选项 1）通过 SSH 直接连接到 威胁防御管理接口的 IP 地址。

步骤 2

（选项 2）从 FXOS CLI，使用控制台连接或 Telnet 连接以连接到模块 CLI。

1. 连接到 安全模块。

   connect module slot_number { console | telnet}

   使用 Telnet 连接的优点在于，您可以同时对模块开展多个会话，并且连接速度更快。

   示例:

   
   Firepower# connect module 1 console
   Telnet escape character is '~'.
   Trying 127.5.1.1...
   Connected to 127.5.1.1.
   Escape character is '~'.
   
   CISCO Serial Over LAN:
   Close Network Connection to Exit
   
   Firepower-module1> 
   
   

2. 连接到 威胁防御控制台。

   connect ftd name

   如果您有多个应用程序实例，则必须指定实例名称。要查看实例名称，请输入不含名称的命令。

   示例:

   
   Firepower-module1> connect ftd FTD_Instance1
   
   ============================= ATTENTION ==============================
   You are connecting to ftd from a serial console. Please avoid
   executing any commands which may produce large amount of output.
   Otherwise, data cached along the pipe may take up to 12 minutes to be
   drained by a serial console at 9600 baud rate after pressing Ctrl-C.
   
   To avoid the serial console, please login to FXOS with ssh and use
   'connect module <slot> telnet' to connect to the security module.
   ======================================================================
   
   Connecting to container ftd(FTD_Instance1) console... enter "exit" to return to bootCLI
   > 
   
   

3. 输入 exit 使应用程序控制台返回到 FXOS 模块 CLI。

   注	对于 6.3 之前的版本，输入 Ctrl-a, d。

4. 返回 FXOS CLI的管理引擎层。

   要退出控制台：

   1. 输入 ~

      您将退出至 Telnet 应用。

   2. 要退出 Telnet 应用，请输入：

      telnet>quit

   要退出 Telnet 会话：

   输入 Ctrl-],。