支持的功能

• 在虚拟私有云 (VPC) 中部署

• 增强型联网 (SR-IOV)。

• 从 Amazon Marketplace 部署

• L3 网络的部署。

• 路由模式（默认）。

• ERSPAN 被动模式。

• 集群（7.2 及更高版本）。有关详细信息，请参阅公共云中 Threat Defense Virtual 的集群。

• Amazon CloudWatch 记录的运行状况监控指标

• 巨型帧

• IPv6

不支持的功能

• 克隆

• 透明、内联和被动模式

• AWS 上的 Geneve 单臂设置不支持传输层安全 (TLS) 服务器身份发现。

许可

• 支持使用 Cisco 智能许可证帐户的 BYOL（自带许可证）。

• PAYG（即付即用）许可，一种基于使用的计费模式，允许客户在不购买 Cisco 智能许可的情况下运行 Firewall Threat Defense Virtual。对于已注册的 PAYG Firewall Threat Defense Virtual 设备，将启用所有许可的功能（恶意软件/威胁/URL 过滤/VPN 等）。这些许可功能在已注册的 防火墙管理中心 上自动标记为活动。许可的功能无法从 防火墙管理中心 编辑或修改。（版本 6.5+）

  Note	在 防火墙设备管理器 模式下部署的 Firewall Threat Defense Virtual 设备上不支持 PAYG 许可。

有关许可 Firewall Threat Defense Virtual 设备时的准则，请参阅《防火墙管理中心管理指南》中的“许可证”一章。

Firewall Threat Defense Virtual 智能许可的性能级别

从 Firewall Threat Defense Virtual 版本 7.0.0 发布开始，Firewall Threat Defense Virtual 支持性能级许可，该级别许可可基于部署要求提供不同的吞吐量级别和 VPN 连接限制。

Note	任何 Threat Defense Virtual 层许可证均可与任何支持的 Threat Defense Virtual vCPU 或内存配置配合使用。 这允许 Threat Defense Virtual 客户在各种 VM 资源上使用许可证。 这还会增加受支持的 AWS 实例类型的数量。配置 Threat Defense Virtual 虚拟机时，支持的最大核心 (vCPU) 数量为 16，支持的最大内存为 32 GB RAM。

性能优化

为实现 Firewall Threat Defense Virtual的最佳性能，您可以对 VM 和主机进行调整。有关详细信息，请参阅 AWS 上的虚拟化调整和优化。

接收端扩展 - Firewall Threat Defense Virtual 支持接收端扩展 (RSS)，网络适配器利用这项技术将网络接收流量分发给多个处理器内核。在 7.0 及更高版本上受支持。有关详细信息，请参阅用于接收端扩展 (RSS) 的多个 RX 队列。

修改网络接口

要修改 AWS 上 Threat Defense Virtual 实例的网络接口，请执行以下操作：

1. 取消注册 Threat Defense Virtual：从防火墙管理中心取消注册 Threat Defense Virtual 以防止配置冲突。

2. 关闭 Threat Defense Virtual 实例的电源：导航到 AWS 管理控制台上的实例窗口，右键点击实例标识符，然后选择停止实例。等待实例达到停止状态，然后再继续。

3. 修改接口：根据您的要求附加、分离或重新排序接口。

4. 开启 Threat Defense Virtual 实例的电源：导航到 AWS 管理控制台上的实例窗口，右键点击实例标识符，然后选择启动实例。

5. 重新注册 Threat Defense Virtual：实例开始运行后，在 Management Center Virtual 上重新注册 Threat Defense Virtual。

6. 配置接口：在 Management Center Virtual 上配置接口。

Firewall Threat Defense Virtual 限制

• c5.xlarge 是推荐实例；c3.xlarge 实例在不同 AWS 区域的可用性受限。

• 从版本 10.0 开始，Firewall Threat Defense Virtual 支持部署至少三个接口（无诊断接口）。

  支持的最低接口配置为：

  • 管理接口

  • 数据接口

  Note	在没有诊断接口的 AWS 中部署 Firewall Threat Defense Virtual 时，必须明确提供包含 "Diagnostic": "OFF" 的 Day0 配置。

  无诊断接口的 Threat Defense Virtual Day0 配置

  Threat Defense Virtual Day0 启动脚本示例：

  {
  	"AdminPassword": "E28@2OiUrhx!",
  	"Hostname": "ciscoftdv",
  	"FirewallMode": "routed",
  	"ManageLocally": "No",
  	"Diagnostic": "OFF"
  }

  Caution

  如果未提供此设置，且 Firewall Threat Defense Virtual 是使用三个接口启动的，则 Firewall Threat Defense Virtual 可能无法初始化，因为系统默认需要使用诊断接口。

  有关从 FTD 版本 10.0 开始移除诊断接口的详细信息，请参阅移除诊断接口。

Note	除非连接所需的最低接口，否则 Firewall Threat Defense Virtual 将无法启动。

• 在 AWS 中配置数据接口时，必须禁用“更改源/目标检查”选项。

• 通过 CLI 或 防火墙管理中心 完成的任何 IP 地址（IPv4 和 IPv6）配置必须与 AWS 控制台中创建的内容一致；在部署期间应注意配置。

• 在注册 Firewall Threat Defense Virtual 后，必须在 防火墙管理中心 上编辑并启用这些接口；请注意，IP 地址必须与 AWS 配置的接口匹配。

• 目前不支持透明/内联/被动模式。

• 要修改接口，您需要从 AWS 控制台进行更改。在 AWS 控制台上，从 防火墙管理中心 取消注册接口，然后停止使用 AWS AMI 用户界面的实例。然后，分离要更改的接口并连接新接口。现在，启动实例并重新注册到 防火墙管理中心。

  从 防火墙管理中心 编辑设备接口，然后修改 IP 地址（IPv4 和 IPv6）和其他参数，以便与通过 AWS 控制台所做的更改匹配。

  Note	IPv6 只能在双堆栈 (IPv4 + IPv6) 模式下使用。

• 在启动后无法添加接口。

• 如果您观察到异常行为，例如 Snort 需要很长时间才能关闭，或者 VM 通常缓慢，或者在执行某个进程时，请从 Firewall Threat Defense Virtual 和 VM 主机收集日志。收集总体 CPU 使用情况、内存、I/O 使用情况和读/写速度日志将有助于对问题进行故障排除。

• 当 Snort 关闭时，观察到高 CPU 和 I/O 使用率。如果在内存不足且没有专用 CPU 的单个主机上创建了大量 Firewall Threat Defense Virtual 实例，则 Snort 将需要很长时间才能关闭，这将导致创建 Snort 核心。

Note	运行版本 7.4.3 或更高版本的 Threat Defense Virtual 实例会在首次启动期间执行多项初始化任务，这会导致控制台在大约五分钟后可用。这种延迟是正常的。如果设备在首次启动后大约两分钟内关闭，重要的初始化步骤可能会中断，从而可能导致设置不完整和意外行为。 要解决此问题，必须使用新映像重新安装虚拟平台。

Firewall Threat Defense Virtual 上的实例元数据数据服务 (IMDS) 服务的指南和限制

• 默认情况下，部署在 IMDSv2 可选模式下进行。

• 在 Firewall Threat Defense Virtual 7.4 或更早版本中，只能使用 IMDSv2 可选模式进行部署。

• 在 Firewall Threat Defense Virtual 7.6 或更高版本中，可在 IMDSv2 可选模式和 IMDSv2 必需模式下进行部署。我们建议使用 IMDSv2 必需模式。

• Firewall Threat Defense Virtual 的 IMDS 模式可以随时更改。

• 在切换到 IMDSv2 必需模式之前，请确保您使用的是 Firewall Threat Defense Virtual 7.6 或更高版本。如果您使用的是 Firewall Threat Defense Virtual 7.4 或更早版本，则某些依赖 IMDS 的服务可能会失败。

UEFI 和安全启动限制

在 AWS 上，仅支持绿地（全新）部署，并且必须在初始部署期间启用 UEFI 固件。

现有的棕色地带部署可以升级到版本 10.0，而不会受到影响。不支持在部署后更改启动模式或启用 UEFI 安全启动。

升级限制和局限性

恢复升级限制

Caution

不支持恢复升级。

确保在升级前进行备份。升级到 Threat Defense Virtual 10.0 后，您无法回滚到以前的软件版本。要返回到较早的版本，必须重新部署管理中心。

准备工作

• 创建 AWS 账户。

• 确认可供 Firewall Threat Defense Virtual 实例使用的 AMI。

在 AWS 中为 Firewall Threat Defense Virtual 实例配置 IMDS

AWS 支持 Firewall Threat Defense Virtual 实例的以下两种 IMDS 模式：

• IMDSv2 可选：您可以部署 Firewall Threat Defense Virtual 实例，以启用 IMDSv1 或 IMDSv2 或同时启用 IMDSv1 和 IMDSv2 API。

• IMDSv2 必需：您必须在 Firewall Threat Defense Virtual 实例部署期间仅专门配置此模式。

  Note	“IMDSv2 必需”是建议的模式，其中仅支持 IMDSv2 API 调用。

您可以在 AWS 中为以下部署场景中的实例配置 IMDS：

新部署：新部署 Firewall Threat Defense Virtual 实例时，可以配置 IMDSv2 必需模式。对于新部署，您可以使用以下方法之一来启用 IMDSv2。

• AWS EC2 控制台 - 您可以在 AWS EC2 控制台的“高级详细信息”(Advance Details) 部分中为独立实例部署启用仅 V2（需要令牌）(V2 only [token required])。

• CloudFormation 模板 - 您可以使用模板中 MetadataOptions 下的 HttpEndpoint: enabled 和 HttpTokens: required 属性来启用 仅 V2（需要令牌） - IMDSv2 必需模式。这适用于自动缩放和集群部署。