选择逻辑设备。

点击添加 > 独立设备，并设置以下参数：

1. 提供设备名称。

   此名称由机箱管理引擎用于配置管理设置和分配接口；它不是在应用配置中使用的设备名称。

2. 对于模板，请选择思科：自适应安全设备。

3. 选择映像版本。

4. 单击确定 (OK)。

   屏幕会显示调配 - 设备名称窗口。

展开数据端口区域，然后点击要分配给设备的每个端口。

单击屏幕中心的设备图标。

在一般信息页面上，完成下列操作：

1. （对于 Firepower 9300）在安全模块选择下，点击您想用于此逻辑设备的安全模块。

2. 选择管理接口。

   此接口用于管理逻辑设备。此接口独立于机箱管理端口。

3. 选择管理接口地址类型：仅 IPv4、仅 IPv6 或 IPv4 和 IPv6。

4. 配置管理 IP 地址。

   设置用于此接口的唯一 IP 地址。

5. 输入网络掩码或前缀长度。

6. 输入网络网关地址。

点击设置选项卡。

选择防火墙模式：路由式或透明。

输入并确认管理员用户和启用密码的密码。

单击确定关闭配置对话框。

点击保存。

机箱通过下载指定软件版本，并将引导程序配置和管理接口设置推送至应用实例来部署逻辑设备。在逻辑设备页面中，查看新逻辑设备的状态。当逻辑设备将其状态显示为在线时，可以开始在应用中配置安全策略。

请参阅 ASA 配置指南，以开始配置安全策略。

选择逻辑设备。

点击添加 > 独立设备，并设置以下参数：

1. 提供设备名称。

   此名称由机箱管理引擎用于配置管理设置和分配接口；它不是在应用配置中使用的设备名称。

2. 对于模板，请选择 Cisco Firepower 威胁防御。

3. 选择映像版本。

4. 选择实例类型：容器或本地。

   本地实例使用安全模块/引擎的所有资源（CPU、RAM 和磁盘空间），因此仅可安装一个本地实例。容器实例使用部分安全模块/引擎资源，因此可以安装多个容器实例。

5. 单击确定 (OK)。

   屏幕会显示调配 - 设备名称窗口。

展开数据端口区域，然后点击要分配给设备的每个接口。

您仅可分配先前在接口页面上启用的数据和数据共享接口。稍后您需要在 FMC 中启用和配置这些接口，包括设置 IP 地址。

仅可向一个容器实例分配最多 10 个数据共享接口。此外，可以将每个数据共享接口分配至最多 14 个容器实例。数据共享接口以共享图标（） 表示。

具有硬件旁路功能的端口使用以下图标显示：。对于某些接口模块，仅可启用用于内联集接口的硬件旁路功能（请参阅 FMC 配置指南）。硬件绕行确保流量在断电期间继续在接口对之间流动。在软件或硬件发生故障时，此功能可用于维持网络连接性。如果您未同时分配一个硬件旁路对中的两个接口，则会收到一条警告消息，确认您是故意这样分配。您不需要使用硬件旁路功能，因此如果您愿意，可以分配单个接口。

单击屏幕中心的设备图标。

在一般信息页面上，完成下列操作：

1. （对于 Firepower 9300）在安全模块选择下，点击您想用于此逻辑设备的安全模块。

2. 对于容器实例，指定资源配置文件。

   如果您稍后分配一个不同的资源配置文件，则实例将重新加载，这可能需要大约 5 分钟的时间。请注意，对于已建立的高可用性对，如果分配不同大小的资源配置文件，请务必尽快确保所有成员大小一致。

3. 选择管理接口。

   此接口用于管理逻辑设备。此接口独立于机箱管理端口。

4. 选择管理接口地址类型：仅 IPv4、仅 IPv6 或 IPv4 和 IPv6。

5. 配置管理 IP 地址。

   设置用于此接口的唯一 IP 地址。

6. 输入网络掩码或前缀长度。

7. 输入网络网关地址。

在设置选项卡上，完成下列操作：

1. 对于本地实例，在应用实例的管理类型下拉列表中，选择 FMC。

   本地实例还支持 FDM 作为管理器。部署逻辑设备后，无法更改管理器类型。

2. 输入管理 FMC 的 Firepower 管理中心 IP。如果您不知道 FMC IP 地址，请将此字段留空，并在 Firepower 管理中心 NAT ID (Firepower Management Center NAT ID) 字段中输入口令。

3. 对于容器实例，选择是否允许 FTD SSH 会话专家模式 (Permit Expert mode from FTD SSH sessions)：是 (Yes) 或否 (No)。专家模式提供 FTD shell 访问权限以确保实现高级故障排除。

   对于此选项，如果您选择是 (Yes)，拥有直接从 SSH 会话访问容器实例的权限的用户可以输入专家模式。如果您选择否 (No)，只有拥有从 FXOS CLI 访问容器实例的权限的用户可以输入专家模式。我们建议选择否 (No) 以加强实例之间的隔离。

   仅当书面程序指出必须使用或思科技术支持中心要求使用专家模式时，才使用专家模式。要进入此模式下，请在 FTD CLI 中使用 expert 命令。

4. 输入逗号分隔列表形式的搜索域。

5. 选择防火墙模式：透明或路由式。

   在路由模式中，FTD被视为网络中的路由器跃点。要在其间路由的每个接口都位于不同的子网上。另一方面，透明防火墙是一个第 2 层防火墙，充当“线缆中的块”或“隐蔽的防火墙”，不被视为是到所连接设备的路由器跃点。

   系统仅在初始部署时设置防火墙模式。如果您重新应用引导程序设置，则不会使用此设置。

6. 输入逗号分隔列表形式的 DNS 服务器。

   例如，如果指定 FMC 主机名，则 FTD 使用 DNS。

7. 输入 FTD 的完全限定主机名。

8. 输入注册期间要在 FMC 和设备之间共享的注册密钥。

   可以为此密钥选择介于 1 至 37 个字符之间的任何文本字符串；添加FTD时，需要在FMC上输入相同的密钥。

9. 输入供FTD管理员用户用于 CLI 访问的密码。

10. 选择应该发送事件的事件接口。如果未指定，系统将使用管理接口。

    此接口必须定义为 Firepower 事件接口。

11. 对于容器实例，请将硬件加密设置为已启用或已禁用。

    此设置在硬件中启用 TLS 加密加速，并提高某些类型流量的性能。默认情况下启用此功能。您最多可以为每个安全模块的 16 个实例启用 TLS 加密加速。始终为本地实例启用此功能。要查看分配给该实例的硬件加密资源百分比，请输入 show hw-crypto 命令。

在协议选项卡上，阅读并接受最终用户许可协议 (EULA)。

单击确定关闭配置对话框。

点击保存。

机箱通过下载指定软件版本，并将引导程序配置和管理接口设置推送至应用实例来部署逻辑设备。在逻辑设备页面中，查看新逻辑设备的状态。当逻辑设备将其状态显示为在线时，可以开始在应用中配置安全策略。

请参阅 FMC 配置指南，将 FTD 添加为受管设备，并开始配置安全策略。

选择逻辑设备。

点击添加 > 独立设备，并设置以下参数：

1. 提供设备名称。

   此名称由机箱管理引擎用于配置管理设置和分配接口；它不是在应用配置中使用的设备名称。

2. 对于模板，请选择 Cisco Firepower 威胁防御。

3. 选择映像版本。

4. 选择实例类型：本地。

   FDM不支持容器实例。

5. 单击确定 (OK)。

   屏幕会显示调配 - 设备名称窗口。

展开数据端口区域，然后点击要分配给设备的每个接口。

仅可分配先前在接口页面上启用的数据接口。稍后您需要在 FDM 中启用和配置这些接口，包括设置 IP 地址。

单击屏幕中心的设备图标。

在一般信息页面上，完成下列操作：

1. （对于 Firepower 9300）在安全模块选择下，点击您想用于此逻辑设备的安全模块。

2. 选择管理接口。

   此接口用于管理逻辑设备。此接口独立于机箱管理端口。

3. 选择管理接口地址类型：仅 IPv4、仅 IPv6 或 IPv4 和 IPv6。

4. 配置管理 IP 地址。

   设置用于此接口的唯一 IP 地址。

5. 输入网络掩码或前缀长度。

6. 输入网络网关地址。

在设置选项卡上，完成下列操作：

1. 在应用实例的管理类型下拉列表中，选择 LOCALLY_MANAGED。

   本地实例还支持 Firepower Management Center 作为管理器。如果在部署逻辑设备后更改管理器，则系统会清除您的配置，并重新初始化设备。

2. 输入逗号分隔列表形式的搜索域。

3. 防火墙模式仅支持路由式。

4. 输入逗号分隔列表形式的 DNS 服务器。

5. 输入FTD的完全限定主机名。

6. 输入供FTD管理员用户用于 CLI 访问的密码。

在协议选项卡上，阅读并接受最终用户许可协议 (EULA)。

单击确定关闭配置对话框。

点击保存。

机箱通过下载指定软件版本，并将引导程序配置和管理接口设置推送至应用实例来部署逻辑设备。在逻辑设备页面中，查看新逻辑设备的状态。当逻辑设备将其状态显示为在线时，可以开始在应用中配置安全策略。

请参阅《 FDM 配置指南》，以开始配置安全策略。

如果要将单独的管理接口用于 vDP，请启用该接口并根据配置物理接口将其设置为管理类型。否则，您可以共享应用管理接口。

选择逻辑设备打开“逻辑设备”页面。

创建独立的 ASA 或 FTD 逻辑设备（请参阅 添加独立 ASA 或为 FMC 添加独立 FTD）。

在修饰器区域中，选择 vDP。系统将显示“Radware：虚拟 DefensePro - 配置”窗口。在一般信息选项卡下配置以下字段。

如果您已将多个 vDP 版本上传到 Firepower 4100/9300 机箱，请在版本下拉列表中选择要使用的版本。

如果您有一个资源可配置的 Radware DefensePro 应用，则资源配置文件下拉列表下会显示支持的资源配置文件列表。选择要分配给设备的资源配置文件。如果未选择资源配置文件，则使用默认设置。

在管理接口下拉列表下，选择在此操作步骤的步骤 1 中创建的管理接口。

选择默认地址类型：仅 IPv4、仅 IPv6，或者 IPv4 和 IPv6。

根据在上一步中选择的地址类型，配置以下字段。

1. 在管理 IP 字段中，配置本地 IP 地址。

2. 仅 IPv4：输入网络掩码。

   仅 IPv6：输入前缀长度。

3. 输入网络网关地址。

点击您想要分配给设备的每个数据端口旁边的复选框。

单击确定 (OK)。

单击保存 (Save)。

如果要将单独的管理接口用于 vDP，请启用该接口并根据配置物理接口将其设置为管理类型。否则，您可以共享应用管理接口。

配置 ASA 或 FTD 机箱内集群（请参阅 创建 ASA 集群 或 创建 FTD 集群）。

在修饰器区域中，选择 vDP。系统将显示 Radware：虚拟 DefensePro - 配置对话框。在一般信息选项卡下配置以下字段。

如果已将多个 vDP 版本上传到 Firepower 4100/9300 机箱，请在版本下拉列表中选择要使用的 vDP 版本。

如果您有一个资源可配置的 Radware DefensePro 应用，则“资源配置文件”下拉列表下会显示支持的资源配置文件列表。选择要分配给设备的资源配置文件。如果未选择资源配置文件，则使用默认设置。

在管理接口下拉列表下，选择管理接口。

点击您想分配给 vDP 修饰程序的每个数据端口旁边的复选框。

点击接口信息选项卡。

选择要使用的地址类型，仅 IPv4、仅 IPv6 或 IPv4 和 IPv6。

为每个安全模块配置以下字段。请注意，显示的字段取决于您在上一步中选择的地址类型。

1. 在管理 IP 字段中，配置本地 IP 地址。

2. 仅 IPv4：输入网络掩码。

   仅 IPv6：输入前缀长度。

3. 输入网络网关地址。

单击确定 (OK)。

单击保存 (Save)。

选择逻辑设备打开“逻辑设备”页面。

滚动已配置的逻辑设备列表至 vDP 条目。验证管理 IP 列中列出的属性。

• 如果 CLUSTER-ROLE 元素针对 DefensePro 实例显示为未知 ，必须进入 DefensePro 应用，配置控制设备 IP 地址，完成 vDP 集群创建。

• 如果 CLUSTER-ROLE 元素针对 DefensePro 实例显示为 primary 或 secondary ，则说明应用在线，并且已在集群中形成。

从 FXOS CLI 连接到 vDP 应用实例。

启用 vDP Web 服务。

退出 vDP 应用控制台并返回 FXOS 模块 CLI。

登录FMC。

点击设备 > 设备管理。

点击 编辑（ ） 以编辑受管设备。

单击设备 (Device)页面。TLS 加密加速 状态显示在“常规”(General) 部分中。

使用控制台连接或 Telnet 连接来连接至模块 CLI。

Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1> 

连接到应用控制台。 为您的设备输入适当的命令。

Firepower-module1> connect asa asa1
Connecting to asa(asa1) console... hit Ctrl + A + D  to return to bootCLI
[...]
asa>

Firepower-module1> connect ftd ftd1
Connecting to ftd(ftd-native) console... enter exit to return to bootCLI
[...]
> 

退出应用控制台到 FXOS 模块 CLI。

返回 FXOS CLI 的管理引擎层。

1. 输入 ~

   您将退出至 Telnet 应用。

2. 要退出 Telnet 应用，请输入：

   telnet>quit

1. 输入 Ctrl-], .

选择逻辑设备打开“逻辑设备”页面。

单击想要删除的逻辑设备所对应的删除 (Delete)。

单击是 (Yes) 确认想要删除此逻辑设备。

单击是 (Yes) 确认想要删除应用配置。

选择逻辑设备打开“逻辑设备”页面。

单击想要删除的应用实例所对应的删除 (Delete)。

单击是 (Yes) 确认想要删除应用实例。

在 Firepower 机箱管理器中，选择逻辑设备。

点击右上角的编辑图标以编辑逻辑设备。

通过在数据端口区域中选择新的数据接口来分配该接口。

请勿删除任何接口。

替换管理或事件接口：

1. 点击页面中心的设备图标。

2. 在常规或集群信息选项卡上，从下拉列表中选择新的管理接口。

3. 在设置选项卡上，从下拉列表中选择新的事件接口。

4. 点击确定。

单击保存 (Save)。

同步 FMC 中的接口。

1. 登录至FMC。

2. 依次选择设备 (Devices) > 设备管理 (Device Management)，并单击 FTD 设备的 编辑（ ）。系统默认选择接口 (Interfaces) 页面。

3. 点击接口页面左上方的同步设备按钮。

4. 检测到更改后，可以在接口页面上看到红色横幅，表明接口配置已发生更改。点击点击了解详情链接以查看接口更改。

5. 如果计划删除接口，请手动将任何接口配置从旧接口传输至新接口。

   由于尚未删除任何接口，因此可以引用现有配置。在删除旧接口并重新运行验证后，将有额外的机会来修复配置。验证将显示仍在使用旧接口的所有位置。

6. 单击验证更改 (Validate Changes) 以确保策略在接口更改后仍有效。

   如出现任何错误，则需要更改配置并重新运行验证。

7. 点击保存。

8. 选择设备然后点击部署，以将策略部署到所分配的设备。在部署更改之后，更改才生效。

同步和迁移 FDM 中的接口。

1. 登录至FDM。

2. 单击设备 (Device)，然后单击接口 (Interfaces) 摘要中的查看所有接口 (View All Interfaces) 链路。

   

3. 点击扫描接口图标。

4. 等待接口扫描，然后点击确定。

   

5. 使用名称、IP 地址等配置新接口。

   如果要使用待删除接口的现有 IP 地址和名称，则需要使用虚拟名称和 IP 地址重新配置旧接口，以便可以在新接口上使用这些设置。

6. 要将旧接口替换为新接口，请点击旧接口的“替换”图标。

   替换图标

   此过程会将旧接口替换为引用该接口的所有配置设置中的新接口。

7. 从替换接口下拉列表中选择新接口。

   

8. 一则消息将显示在接口页面上。点击消息中的链接。

   

9. 检查任务列表，以确保迁移成功。

   

在 Firepower 机箱管理器 中，通过在数据端口 (Data Ports) 区域中取消选择数据接口来取消分配该接口。

点击保存。

再次在 FMC或 FDM 中同步接口。

在 Firepower 机箱管理器中，选择逻辑设备。

点击右上角的编辑图标以编辑逻辑设备。

通过在数据端口 (Data Ports) 区域中取消选择数据接口来取消分配该接口。

通过在数据端口 (Data Ports) 区域中选择新的数据接口来分配该接口。

替换管理接口：

1. 单击页面中心的设备图标。

2. 在常规/群集信息 (General/Cluster Information) 选项卡上，从下拉列表中选择新的管理接口 (Management Interface)。

3. 单击确定 (OK)。

单击保存 (Save)。

在 Firepower 机箱管理器中，选择逻辑设备。

点击右上角的编辑图标以编辑逻辑设备。

单击页面中心的设备图标。

根据需要修改逻辑设备设置。

单击 OK。

单击立即重启，以保存更改并立即重启应用实例。单击稍后重启，以保存更改而不重启应用实例。