• 如果要添加子接口：

如果要为此物理接口配置子接口，则可能已完成。点击保存 (Save) 并继续配置 Firepower VLAN 子接口和 802.1Q 中继；否则，请继续。

• 如果您不打算添加子接口，请继续为物理接口配置 IPv4 寻址和为物理接口配置 IPv6 寻址中的一个或两个。

• 静态 (Static) - 如果希望分配固定的地址，请选择此选项。对于连接到接口的网络，输入接口的 IP 地址和子网掩码。例如，如果您连接的是 10.100.10.0/24 网络，则可以输入 10.100.10.1/24。确保您输入的地址不是网络 ID 或网络的广播地址，并且该地址尚未在网络上使用。

  • 备用 IP 地址和子网掩码 (Standby IP Address and Subnet Mask) - 如果您配置了高可用性，并为高可用性监控此接口，请在同一子网上配置备用 IP 地址。此接口在备用设备上使用备用地址。如果未设置备用 IP 地址，则主用设备无法使用网络测试监控备用接口，只能跟踪链路状态。

  • 可选）DHCP 地址池 ([Optional] DHCP Address Pool) - 输入单个 DHCP 服务器 IP 地址或 IP 地址范围。该 IP 地址范围必须与所选接口位于同一子网上，并且不能包括接口本身的 IP 地址、广播地址或子网地址。指定该池的开始和结束地址，用连字符隔开。要暂时禁用此 DHCP 服务器，请在 Firepower 威胁防御设备设置 (Firepower Threat Defense Device Settings) 页面的 DHCP 服务器 (DHCP Servers) 部分编辑该服务器。

• 动态 (DHCP) (Dynamic [DHCP]) - 如果应从网络中的 DHCP 服务器获取地址，请选择此选项。如有需要，更改以下选项：

  • 获取默认路由 (Obtain Default Route) - 是否从 DHCP 服务器获取默认路由。您通常都要选中此选项。

  • DHCP 路由指标 (DHCP Route Metric) - 如果从 DHCP 服务器获取默认路由，请输入与获知路由的管理距离，其值介于 1 到 255 之间。

    Note	如果为接口配置了 DHCP 服务器，您会看到该配置。您可以编辑或删除 DHCP 地址池。如果将接口 IP 地址更改为不同的子网，必须先删除 DHCP 服务器或在新子网上配置地址池，才能保存接口更改。

• 如果要为此接口分配 IPv6 地址和 IPv4 地址，请“为物理接口配置 IPv6 地址”。

• 配置高级 Firepower 接口选项。高级设置的默认值适用于大多数网络。只有在需要解决网络问题时，再进行编辑。

• 如果您保存了接口并且不想继续使用高级接口选项，请继续启用物理接口。

虽然 RFC 4862 规定为无状态自动配置所配置的主机不发送路由器通告消息，但 FDM 管理 设备在这种情况下确实会发送路由器通告消息。选择抑制 RA 可抑制消息，遵从 RFC 要求。

也会发送路由器通告，以响应路由器请求消息（ICMPv6 类型 133）。路由器请求消息由主机在系统启动时发送，以便主机可以立即自动配置，而无需等待下一条预定路由器通告消息。

对于不希望 Firepower 防御设备提供 IPv6 前缀的任何接口（例如外部接口），您可能希望在接口上抑制这些消息。

• 配置高级 Firepower 接口选项。高级设置的默认值适用于大多数网络。只有在需要解决网络问题时，再进行编辑。

• 如果您保存了接口并且不想继续使用高级接口选项，请继续启用物理接口。

请注意，父接口 (Parent Interface) 字段显示要为其创建此子接口的物理接口的名称。创建子接口后，父接口则无法更改。

• VLAN ID - 输入 VLAN ID，介于 1 和 4094 之间，用于标记该子接口上的数据包。

• 子接口 ID (Subinterface ID) - 以整数形式输入介于 1 和 4294967295 之间的子接口 ID。允许的子接口数因平台而异。在创建子接口后，您无法更改子接口 ID。

继续为子接口配置 IPv4 地址和为子接口配置 IPv6 地址。

• 静态 (Static) - 如果希望分配固定的地址，请选择此选项。

  对于连接到接口的网络，输入接口的 IP 地址和子网掩码。例如，如果您连接的是 10.100.10.0/24 网络，则可以输入 10.100.10.1/24。确保您输入的地址不是网络 ID 或网络的广播地址，并且该地址尚未在网络上使用。

• 仅当在高可用性设备对中使用此接口时，才输入备用 IP 地址和子网掩码。

• 动态 (DHCP) (Dynamic [DHCP]) - 如果应从网络中的 DHCP 服务器获取地址，请选择此选项。如有需要，更改以下选项：

  • 获取默认路由 (Obtain Default Route) - 是否从 DHCP 服务器获取默认路由。您通常都要选中此选项。

  • DHCP 路由指标 (DHCP Route Metric) - 如果从 DHCP 服务器获取默认路由，请输入与获知路由的管理距离，其值介于 1 到 255 之间。

    请参阅配置 DHCP 服务器。

    Note	如果为接口配置了 DHCP 服务器，您会看到该配置。您可以编辑或删除 DHCP 地址池。如果将接口 IP 地址更改为不同的子网，必须先删除 DHCP 服务器或在新子网上配置地址池，才能保存接口更改。

• 如果要为此接口分配 IPv6 地址和 IPv4 地址，请继续执行“为物理接口配置 IPv6 地址”。

• 配置高级 Firepower 接口选项。高级设置的默认值适用于大多数网络。只有在需要解决网络问题时，再进行编辑。

• 如果已创建子接口，请转至启用物理接口。

也会发送路由器通告，以响应路由器请求消息（ICMPv6 类型 133）。路由器请求消息由主机在系统启动时发送，以便主机可以立即自动配置，而无需等待下一条预定路由器通告消息。

对于不希望 Firepower 防御设备提供 IPv6 前缀的任何接口（例如外部接口），您可能希望在接口上抑制这些消息。

• 点击“高级”(Advanced) 选项卡转到配置高级 Firepower 接口选项。高级设置的默认值适用于大多数网络。只有在需要解决网络问题时，再进行编辑。

• 如果已创建子接口，请转至启用物理接口。

• 选择 BVI 网桥组，然后在“操作”(Actions) 窗格中点击编辑 (Edit)。

• 点击加号按钮，然后选择网桥组接口。

• 逻辑名称 (Logical Name) - 必须为网桥组指定名称。最多可以包含 48 个字符。字母字符必须为小写。例如 inside 或 outside。如果没有名称，将忽略其余的接口配置。

• （可选）说明 (Description) - 说明最多为 200 个字符，单行，不能使用回车。

• 选中接口以将其添加到网桥组。

• 取消选中要从网桥组中删除的接口。

BVI 现在具有名称和成员接口。继续执行以下任务以配置网桥组接口。您不会为成员接口本身执行以下任务：

• 如果要为 BVI 分配 IPv4 地址，请配置网桥组接口的 IPv4 地址信息。

• 如果要为 BVI 分配 IPv6 地址，请配置网桥组接口的 IPv6 地址信息。

• 为网桥组接口配置高级接口选项。

• 静态 (Static) - 如果希望分配固定的地址，请选择此选项。键入网桥组的 IP 地址和子网掩码。所有连接的终端都将位于此网络中。对于预配置了网桥组的型号而言，BVI“inside” 网络的默认值为 192.168.1.1/24（如 255.255.255.0）。确保该地址尚未在网络中使用。

  如果您配置了高可用性，并要监控此接口的高可用性，则还要在同一子网上配置一个备用 IP 地址。此接口在备用设备上使用备用地址。如果未设置备用 IP 地址，则主用设备无法使用网络测试监控备用接口，只能跟踪链路状态。

  Note	如果为接口配置了 DHCP 服务器，您会看到该配置。您可以编辑或删除 DHCP 地址池。如果将接口 IP 地址更改为不同的子网，必须先删除 DHCP 服务器或在新子网上配置地址池，才能保存接口更改。请参阅配置 DHCP 服务器。

• 动态 (DHCP) (Dynamic [DHCP]) - 如果应从网络中的 DHCP 服务器获取地址，请选择此选项。网桥组通常不会使用此选项，但是您可以根据需要如此配置。如果您配置高可用性，将不能使用此选项。如有需要，更改以下选项：

  • “路由指标”(Route Metric) - 如果从 DHCP 服务器获取默认路由，则此选项是指与获知路由的管理距离，其值介于 1 到 255 之间。默认值为 1。

  • “获取默认路由”(Obtain Default Route) - 选中此选项以便从 DHCP 服务器获取默认路由。您通常会选择此选项，该选项是默认值。

• 如果要为 BVI 分配 IPv4 地址，请为 BVI 配置 IPv6 地址。

• 配置高级接口选项。

• 点击保存 (Save) 并将更改部署到 Firepower 设备。有关详细信息，请参阅将配置更改从 CDO 部署到 FTD。

也会发送路由器通告，以响应路由器请求消息（ICMPv6 类型 133）。路由器请求消息由主机在系统启动时发送，以便主机可以立即自动配置，而无需等待下一条预定路由器通告消息。

对于不希望 FTD 设备提供 IPv6 前缀的任何接口（例如外部接口），您可能希望抑制接口上的这些消息。

• 配置高级接口选项。

• 点击保存 (Save) 并将更改部署到 Firepower 设备。有关详细信息，请参阅将配置更改从 CDO 部署到 FTD。

对于 Firepower 1010 系列，请输入一个介于 1 和 8 之间的值。

对于 Firepower 2100、3100、4100 和 9300 系列，请输入一个介于 1 和 48 之间的值。

• Active (活动) - 发送和接收 LACP 更新。主用 EtherChannel 可以与主用或备用 EtherChannel 建立连接。除非您需要最大限度地减少 LACP 流量，否则应使用主用模式。

• 开 (On) - EtherChannel 始终开启，并且不使用 LACP。开启的 EtherChannel 只能与另一个开启的 EtherChannel 建立连接。

警告：如果您将 EtherChannel 接口添加为成员，并且该接口已配置了 IP 地址，则 CDO 会删除该成员的 IP 地址。

• 逻辑名称。

• 州/省/自治区。

• 说明。

• 安全区域分配。

• 链路汇聚控制协议状态。

• IPv4、IPv6 或高级 (Advanced) 选项卡中的 IP 地址配置。

• EtherChannel 成员。

• 逻辑名称。

• 州/省/自治区。

• 说明。

• 安全区域分配。

• VLAN ID

• IPv4、IPv6 或高级 (Advanced) 选项卡中的 IP 地址配置。

• （可选）选中受保护端口 (Protected Port) 复选框以将此交换机端口设置为受保护端口， 因此您可以阻止交换机端口与同一 VLAN 上的其他受保护交换机端口进行通信。在以下情况下，您可能想要防止交换机端口相互之间进行通信：主要从其他 VLAN 访问这些交换机端口上的设备；您不需要允许 VLAN 间访问；由于病毒感染或其他安全漏洞，您想要将设备相互隔离开。例如，如果具有托管 3 台 Web 服务器的 DMZ，则在您将此选项应用于各交换机端口后，则可以将 Web 服务器相互隔离。内部网络和外部网络均可以与这 3 台网络服务器进行通信，反之亦然，但这些网络服务器相互之间无法进行通信。

• 对于使用类型，请选择访问 (Access) 或中继 (Trunk)。请参阅适用于 FTD 的交换机端口模式接口，以确定所需的端口类型。

  • 如果选择中继 (Trunk)，则您必须选择一个 VLAN 接口作为本地中继 (Native Trunk) VLAN 以转发未标记流量，并至少选择一个关联 VLAN (Associated VLAN) 以转发标记流量。点击 图标以查看现有物理接口。最多可以选择 20 个 VLAN 接口作为关联的 VLAN。

  • 您可以通过点击新建 VLAN (C reate new VLAN) 来创建被设为访问模式的新 VLAN 接口。

• 选择 eq 并输入以 CIDR 表示法表示的单个 IP 地址、子网地址或部分限定域名 (PQDN)。

• 选择范围并输入 IP 地址范围。

注意：新创建的网络对象不与任何 FDM 管理 设备关联，因为它们不属于任何规则或策略。要查看这些对象，请在对象过滤器中选择未关联的对象类别。有关详细信息，请参阅对象过滤器。在设备的规则或策略中使用未关联的对象后，此类对象将与该设备关联。

• 点击添加为此名称的新对象 (Add as New Object With This Name)，以创建具有该名称的新对象。输入一个值，然后点击复选标记将其保存。

• 点击添加为新对象 (Add as New Object) 以创建一个新对象。对象名称和值相同。输入名称，然后点击复选标记将其保存。

即使该值已存在，也可以创建一个新对象。您可以对这些对象进行更改并将它们保存。

注意：您可以点击编辑图标修改详细信息。点击“删除”按钮不会删除对象本身；相反，它会将其从网络组中删除。

1. 点击对象名称或网络组旁边的编辑图标可对其进行修改。

2. 点击复选标记以保存更改。注意：您可以点击删除图标从网络组中删除该值。

1. 在值字段中，输入新值或现有网络对象的名称。当您开始输入时，CDO 会提供与您的条目匹配的对象名称或值。您可以选择一个显示的现有对象，也可以根据输入的名称或值创建一个新对象。

2. 如果 CDO 找到了匹配项，要选择现有对象，请点击添加 (Add) 将网络对象或网络组添加到新网络组。

3. 如果输入的值或对象不存在，则可以执行以下操作之一：

   • 点击添加为此名称的新对象 (Add as New Object With This Name)，以创建具有该名称的新对象。输入一个值，然后点击复选标记将其保存。

   • 点击添加为新对象 (Add as New Object) 以创建一个新对象。对象名称和值相同。输入名称，然后点击复选标记将其保存。

即使该值已存在，也可以创建一个新对象。您可以对这些对象进行更改并将它们保存。

• 点击编辑图标以修改值。

• 在覆盖值 (Override Values) 中点击设备 (Devices) 列，以便分配新设备。您可以选择已分配的设备，然后点击删除覆盖 (Remove Overrides) 以删除该设备上的覆盖。

• 点击覆盖值 (Override Values) 中的 箭头，将其推送并设置为共享对象的默认值。

• 点击要删除的覆盖旁边的删除图标。

• 设备 (Devices) 字段会显示共享网络组所在的设备。

• 使用情况 (Usage) 字段会显示与共享网络组关联的规则集。

• 默认值 (Default Values) 字段将指定默认网络对象及其与创建期间提供的共享网络组关联的值。在此字段旁边，您可以看到包含此默认值的设备数量，您可以点击查看其名称和设备类型。您还可以查看与此值关联的规则集。

• 点击添加为此名称的新对象 (Add as New Object With This Name)，以创建具有该名称的新对象。输入一个值，然后点击复选标记将其保存。

• 点击添加为新对象 (Add as New Object) 以创建一个新对象。对象名称和值相同。输入名称，然后点击复选标记将其保存。

即使该值已存在，也可以创建一个新对象。您可以对这些对象进行更改并将它们保存。

• 点击编辑图标以修改值。

• 点击设备 (Devices) 列中的单元格以分配新设备。您可以选择已分配的设备，然后点击删除覆盖 (Remove Overrides) 以删除该设备上的覆盖。

• 点击默认值 (Default Values) 中的 箭头，将其设置为共享网络组的其他值。与共享网络组关联的所有设备都会自动分配到该共享网络组。

• 点击覆盖值 (Override Values) 中的 箭头，将其推送并设置为共享网络组的默认对象。

• 点击旁边的删除图标，从网络组中删除对象。

初始列表将在连续滚动的列表中显示应用。点击高级过滤器 (Advanced Filter) 可查看过滤器选项，可更加方便地查看和选择应用。完成选择后，点击添加 (Add)。您可以重复该过程，以添加更多应用或过滤器。

风险 (Risks)：应用所用的用途可能违反组织安全策略的可能性，从非常低到非常高。

业务相关性 (Business Relevance)： 在组织的业务运营环境（非娱乐性）下使用应用的可能性，从非常低到非常高。

类型 (Types)：应用类型。

• 应用协议 (Application Protocol)：应用协议（例如 HTTP 和 SSH），代表主机之间的通信。

• 客户端协议 (Client Protocol)：客户端（例如 Web 浏览器和邮件客户端），代表主机上运行的软件。

• Web 应用 (Web Application)：Web 应用（例如 MPEG 视频和 Facebook），代表 HTTP 流量的内容或请求的 URL。

类别 (Categories)：对应用的一般分类，说明其最基本的功能。

标记 (Tags)：关于应用的其他信息，与类别类似。

对于加密流量，系统可以仅使用标记有 SSL 协议的应用识别和过滤流量。只有在未加密或已解密的流量中才能检测到没有此标记的应用。此外，系统仅将已解密的流量标记分配给可在已解密的流量中检测到的应用，而不会将它们分配给加密或未加密的流量中检测到的应用。

应用列表 (Applications List)（显示底部）：在从列表上方的选项中选择过滤器时，此列表将进行更新，所以您可查看当前符合过滤器的应用。在计划将过滤器条件添加到规则中时，使用此列表可确认您的过滤器是否针对所需的应用。要将特定应用添加到对象，请从过滤列表中选择它们。选择应用后，过滤器将不再适用。如果您希望过滤器本身作为对象，请勿从列表中选择应用。然后，该对象将代表过滤器识别的应用。

• 在对象页面中创建证书对象：

  1. 在左侧的 CDO 导航栏中，点击 对象 (Objects) > FDM 对象 (FDM Objects)。

  2. 点击加号按钮，然后选择 FTD 证书。 >

• 将新证书对象添加到策略时，点击创建新对象。

证书必须遵循以下准则：

• 证书中的服务器名称必须与服务器主机名/IP 地址匹配。例如，如果使用 10.10.10.250 作为 IP 地址，但证书中的地址为 ad.example.com，则连接失败。

• 该证书必须为 PEM 或 DER 格式的 X509 证书。

• 您粘贴的证书必须包括 BEGIN CERTIFICATE 和 END CERTIFICATE 行。例如：

  -----BEGIN CERTIFICATE-----
  MIIFgTCCA2mgAwIBAgIJANvdcLnabFGYMA0GCSqGSIb3DQEBCwUAMFcxCzAJBgNV
  BAYTAlVTMQswCQYDVQQIDAJUWDEPMA0GA1UEBwwGYXVzdGluMRQwEgYDVQQKDAsx
  OTIuMTY4LjEuMTEUMBIGA1UEAwwLMTkyLjE2OC4xLjEwHhcNMTYxMDI3MjIzNDE3
  WhcNMTcxMDI3MjIzNDE3WjBXMQswCQYDVQQGEwJVUzELMAkGA1UECAwCVFgxDzAN
  BgNVBAcMBmF1c3RpbjEUMBIGA1UECgwLMTkyLjE2OC4xLjExFDASBgNVBAMMCzE5
  Mi4xNjguMS4xMIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEA5NceYwtP
  ES6Ve+S9z7WLKGX5JlF58AvH82GPkOQdrixn3FZeWLQapTpJZt/vgtAI2FZIK31h
  (...20 lines removed...)
  hbr6HOgKlOwXbRvOdksTzTEzVUqbgxt5Lwupg3b2ebQhWJz4BZvMsZX9etveEXDh
  PY184V3yeSeYjbSCF5rP71fObG9Iu6+u4EfHp/NQv9s9dN5PMffXKieqpuN20Ojv
  2b1sfOydf4GMUKLBUMkhQnip6+3W
  -----END CERTIFICATE-----

• 在对象页面中创建证书对象：

  1. 在左侧的 CDO 导航栏中，点击 对象 (Objects) > FDM 对象 (FDM Objects)。

  2. 点击加号按钮，然后选择 FTD 证书。 >

• 将新证书对象添加到策略时，点击创建新对象。

• 国家/地区 (Country [C]) - 从下拉列表中选择国家/地区代码。

• 州或省 (ST) (State or Province [ST]) - 证书中包括的州或省。

• 地区或城市 (Locality or City) (L) - 证书中包括的地区，例如城市名称。

• 组织 (O) (Organization [O]) - 要包含在证书中的组织或公司名称。

• 组织单位（部门）(Organizational Unit [Department]) (OU) - 证书中包含的组织单位名称（例如部门名称）。

• 公用名 (CN)(Common Name [CN]) - 要包含在证书中的 X.500 公用名。它们可能是设备、网站或其他文本字符串的名称。通常需要有此元素，才能成功进行连接。例如，用于远程访问 VPN 的内部证书中必须包括 CN。

• 点击蓝色加号按钮 ，然后选择 FTD > IKEv1 IPsec 提议 (IKEv1 IPsec Proposal) 以创建新对象。

• 在对象页面中，选择要编辑的 IPsec 方案，然后点击右侧“操作”(Actions) 窗格中的编辑 (Edit)。

• 隧道模式会封装整个 IP 数据包。IPSec 报头被添加到原始 IP 报头和新的 IP 报头之间。这是默认值。当防火墙对出入位于防火墙后的主机的流量进行保护时，请使用隧道模式。在通过不可信网络（例如互联网）连接的两个防火墙（或其他安全网关）之间，通常采用隧道模式实施常规 IPSec。

• 传输模式只封装 IP 数据包的上层协议。IPSec 报头被插入到 IP 报头和上层协议报头（例如 TCP）之间。传输模式要求源和目的主机都支持 IPSec，并且只有在隧道的目的对等体是 IP 数据包的最终目的时才可使用。通常只有在保护第 2 层或第 3 层隧道协议（例如 GRE、L2TP 和 DLSW）时，才会使用传输模式。

• 点击蓝色加号按钮 ，然后选择 FTD > IKEv2 IPsec 提议 (IKEv2 IPsec Proposal) 以创建新对象。

• 在对象页面中，选择要编辑的 IPsec 方案，然后点击右侧“操作”(Actions) 窗格中的编辑 (Edit)。

• 加密 - 此提议的封装安全协议 (ESP) 加密算法。选择要允许的所有算法。系统与对等体协商，从最强算法到最弱算法，直到达成匹配。有关选项的说明，请参阅决定使用哪个加密算法。

• 完整性散列 - 要用于身份验证的散列或完整性算法。选择要允许的所有算法。系统与对等体协商，从最强算法到最弱算法，直到达成匹配。有关选项的说明，请参阅决定使用哪些散列算法。

• 点击蓝色加号按钮 ，然后选择 FTD > IKEv1 Policy 策略以创建新的 IKEv1 策略。

• 在对象页面中，选择要编辑的 IKEv1 策略，然后点击右侧“操作”(Actions) 窗格中的编辑 (Edit)。

• 优先级 (Priority) - IKE 策略的相对优先级，从 1 到 65,535。当尝试查找常见安全关联 (SA) 时，优先级可确定两个协商对等体比较的 IKE 策略顺序。如果远程 IPsec 对等体不支持在您的最高优先级策略中选定的参数，它会尝试使用下一个优先级中定义的参数。数值越低，优先级越高。

• 加密 - 用于建立第 1 阶段安全关联 (SA)（用于保护第 2 阶段协商）的加密算法。有关选项的说明，请参阅“决定使用哪种加密算法”。

• Diffie-Hellman 组 - 用于在两个 IPsec 对等体之间派生共享密钥而不将其相互传输的 Diffie-Hellman 组。模数更大则安全性越高，但需要更多的处理时间。两个对等体必须具有匹配的模数组。有关选项的解释，请看“决定要使用的 Diffie-Hellman 模数组”。

• 生命周期 (Lifetime) - 安全关联 (SA) 的生命周期（以秒为单位）范围为 120 到 2147483647，也可以将其留空。当超过生命周期时，SA 到期且必须在两个对等体之间重新协商。通常，生命周期越短（某种程度上），IKE 协商越安全。但是，生命周期越长，将来设置 IPsec 安全关联的速度比生命周期较短时更快。默认值为 86400。要指定无限生命周期，请不要输入任何值（将此字段留空）。

• 身份验证 - 在两个对等体之间使用的身份验证方法。有关详细信息，请参阅确定使用哪种身份验证方法。

  • 预共享密钥 - 使用在每个设备上定义的预共享密钥。在身份验证阶段，此类密钥允许密钥在两个对等体之间共享并由 IKE 使用。如果未使用同一预共享密钥配置对等体，则无法建立 IKE SA。

  • 证书 - 使用对等体的设备身份证书来识别彼此。必须通过在证书颁发机构中注册每个对等体来获取这些证书。还须上传用于签署每个对等体的身份证书的受信任 CA 根证书和中间 CA 证书。对等体可以注册到相同或不同的 CA 中。对于任一对等体，都不能使用自签证书。

• 散列 - 用于创建消息摘要的散列算法，以确保消息的完整性。有关选项的说明，请参阅VPN 中使用的加密和散列算法。