下表列出了 Firepower Threat Defense Virtual 的 VMware 功能支持。

您可以通过两种方法来管理您的 Firepower 威胁防御设备。

有关 Firepower Threat Defense Virtual 支持的虚拟机管理程序的最新信息，请参阅Cisco Firepower 兼容性指南。

根据所需部署的实例数量和使用要求，FTDv部署所使用的具体硬件可能会有所不同。每个 FTDv 实例都需要服务器保证最小的资源配置，这包括内存数量、CPU 和磁盘空间。

运行 VMware vCenter 服务器和 ESXi 实例的系统必须满足特定的硬件和操作系统要求。有关支持平台的列表，请参阅 VMware 在线兼容性指南。

对虚拟化技术的支持

• 虚拟化技术 (VT) 是新型处理器的一套增强功能，可提高运行虚拟机的性能。您的系统应配备支持英特尔 VT 或 AMD-V 扩展的 CPU，才能实现硬件虚拟化。英特尔和 AMD 都提供在线处理器识别实用程序来帮助您识别 CPU 并确定它们的性能。

• 许多服务器虽含有支持的 VT 的 CPU，但默认状态下会禁用 VT，您必须手动启用 VT。请查阅制造商文档，了解如何在您的系统中启用 VT 支持。

  注	如果您的 CPU 支持 VT，但您在 BIOS 中没有看到此选项，请联系您的供应商，获取可让您启用 VT 支持的 BIOS 版本。

对 SR-IOV 的支持

SR-IOV 虚拟功能需要特定的系统资源。除支持 SR-IOV 功能的 PCIe 适配器之外，还需要支持 SR-IOV 的服务器。您必须了解以下硬件注意事项：

• 不同供应商和设备的 SR-IOV NIC 功能有所不同，包括可用的 VF 数量。支持以下 NIC：

  • Intel 以太网服务器适配器 X520 - DA2

  • Intel 以太网服务器适配器 X540

• 并非所有 PCIe 插槽都支持 SR-IOV。

• 支持 SR-IOV 的 PCIe 插槽可能具有不同的功能。

• x86_64 多核 CPU - Intel 沙桥或更高版本（推荐）。

  注	我们在 Intel 的 Broadwell CPU (E5-2699-v4) 上以 2.3Ghz 的频率对 FTDv 进行了测试。

• 核心

  • 每个 CPU 插槽至少 8 个物理核心

  • 8 个核心必须位于一个插槽中。

    注	建议通过 CPU 固定来实现完整的吞吐量。

请查阅制造商的文档，以了解系统对 SR-IOV 的支持情况。可以搜索 VMware 联机兼容性指南，了解包含 SR-IOV 支持的系统建议。

对 SSSE3 的支持

• Firepower Threat Defense Virtual 要求您的系统支持英特尔命名的 Supplemental Streaming SIMD Extensions 3（SSSE3 或 SSE3S），这是一种单指令流多数据流 (SIMD) 指令集。

• 您的系统应配备支持 SSSE3 的 CPU，例如 Intel Core 2 Duo、Intel Core i7/i5/i3、Intel Atom、AMD Bulldozer、AMD Bobcat 和更高版本的处理器。

• 请参阅此参考页面，进一步了解 SSSE3 指令集和支持 SSSE3 的 CPU。

验证 CPU 支持

您可以使用 Linux 命令行获取 CPU 硬件的相关信息。例如，/proc/cpuinfo 文件包含每个 CPU 核心的详细信息。运行 less 或 cat 命令，可输出其中的内容。

您可以前往“flags”部分查看以下值：

• vmx - Intel VT 扩展

• svm - AMD-V 扩展

• ssse3 - SSSE3 扩展

要快速查看文件中是否包含这些值，请使用 grep 运行以下命令：

egrep “vmx|svm|ssse3” /proc/cpuinfo

如果您的系统支持 VT 或 SSSE3，您会在“flags”列表中看到 vmx、svm 或 ssse3。以下示例显示了含有两种 CPU 的系统的输出：

flags    : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat
pse36 clflush dts acpi mmx fxsr sse sse2 ss ht tm syscall nx lm constant_tsc pni monitor
ds_cpl vmx est tm2 ssse3 cx16 xtpr lahf_lm

flags    : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat
pse36 clflush dts acpi mmx fxsr sse sse2 ss ht tm syscall nx lm constant_tsc pni monitor
ds_cpl vmx est tm2 ssse3 cx16 xtpr lahf_lm

管理模式

• 您可以通过两种方法来管理您的 Firepower 威胁防御设备。

  • Firepower 设备管理器 (FDM) 板载集成的管理器。

    注	VMware 上的 FTDv 支持运行 Cisco Firepower 6.2.2 及更高版本软件的 Firepower 设备管理器。VMware 上任何运行 Firepower 6.2.2 版之前软件的 FTDv 只能使用 Firepower 管理中心管理；请参阅如何管理您的 Firepower 设备

  • Firepower 管理中心 (FMC)

• 必须安装新版映像（6.2.2 或更高版本）才能取得 Firepower 设备管理器支持。不能在从较低版本（低于 6.2.2）更新现有 FTDv 虚拟机后切换至 Firepower 设备管理器。

• Firepower 设备管理器 （本地管理器）默认启用。

  注	当启用本地管理器选项设置为是时，防火墙模式会变为“已路由”。这是使用 Firepower 设备管理器时唯一受支持的模式。

OVF 文件准则

Cisco_Firepower_Threat_Defense_Virtual-VI-X.X.X-xxx.ovf
Cisco_Firepower_Threat_Defense_Virtual-ESXi-X.X.X-xxx.ovf

其中，X.X.X-xxx 是要使用的文件的版本和内部版本号。

• 如果使用 VI OVF 模板部署，安装过程中，您可以执行 FTDv 设备的整个初始设置。可以指定：

  • 管理员账户的新密码。

  • 使设备可以在管理网络上进行通信的网络设置。

  • 管理模式：使用 Firepower 设备管理器进行本地管理（默认），或者使用 Firepower 管理中心进行远程管理。

  • 防火墙模式。当启用本地管理器选项设置为是时，防火墙模式会变为已路由。这是唯一支持使用 Firepower 设备管理器的模式。

    注	必须使用 VMware vCenter 管理此虚拟设备。

• 如果使用 ESXi OVF 模板部署，必须在安装后配置 Firepower 系统所需的设置。您可以将此 FTDv 作为 ESXi 上的独立设备管理；有关详细信息，请参阅向 vSphere ESXi 主机部署 Firepower Threat Defense Virtual。

vMotion 支持

如果计划使用 vMotion，建议仅使用共享存储。在部署过程中，如果有主机集群，则可以在本地（特定主机上）或在共享主机上调配存储。但是，如果您尝试使用 vMotion 将 Firepower Management Center Virtual 迁移到另一台主机，则使用本地存储将会产生错误。

INIT 重生错误消息现象

您可能会在运行 ESXi 6 或 ESXi 6.5 的 FTDv 控制台上看到以下错误消息：

"INIT: Id "ftdv" respawning too fast: disabled for 5 minutes"

解决方法 - 在设备电源关闭时，编辑 vSphere 中的虚拟机设置添加串行端口。

1. 右键单击虚拟机，然后选择编辑设置。

2. 在虚拟硬件选项卡中，从新建设备下拉菜单中选择串行端口，然后单击添加。

   虚拟设备列表的底部将会显示串行端口。

3. 在虚拟硬件选项卡中，展开串行端口，并选择连接类型使用物理串行端口。

4. 取消选中在启动时连接复选框。

   单击确定保存设置。

修改 vSphere 标准交换机的安全策略设置

对于 vSphere 标准交换机，第 2 层安全策略的三个要素分别是混合模式、MAC 地址更改和伪传输。Firepower Threat Defense Virtual 使用混杂模式运行，通过在主用与备用角色之间切换 MAC 地址实现高可用性，确保正常运行。

如果采用默认设置，则系统将阻止 Firepower Threat Defense Virtual 正确运行。请参见以下要求的设置：