《Cisco Firepower 2100 入门指南》

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

当地语言翻译版本说明

思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。

Book Contents
Find Matches in This Book
语言选择
Download Options

Book Title

《Cisco Firepower 2100 入门指南》

Chapter Title

部署 Firepower 威胁防御与 FDM

Results

已更新:
2020年6月17日

Chapter: 部署 Firepower 威胁防御与 FDM

部署 Firepower 威胁防御与 FDM

本章对您适用吗？

本章介绍如何使用 Firepower 设备管理器 (FDM) 基于 Web 的设备设置向导，完成 Firepower 威胁防御 (FTD) 设备的初始设置和配置。

FDM可以配置小型网络最常用软件的基本功能。此产品专为包括一台或几台设备的网络而设计，在这种网络中，无需使用高功率多设备管理器来控制包含许多 FDM设备的大型网络。

如果要管理大量设备或要使用 FTD 支持的更复杂的功能和配置，则使用 Firepower 管理中心 (FMC)。


注

Firepower 2100 系列硬件可以运行 FTD 软件或 ASA 软件。在 FTD 和 ASA 之间切换需要您对设备进行重新映像。请参阅重新映像思科 ASA 或 Firepower 威胁防御设备。


注

隐私收集声明 - Firepower 2100 系列不要求或主动收集个人身份信息。不过，您可以在配置中使用个人身份信息，例如用于用户名。在这种情况下，管理员在执行配置或使用 SNMP 时可能会看到此信息。

端到端程序

请参阅以下任务以在机箱上部署 FTD和 FDM。

配置前准备工作

查看网络部署和默认配置。

配置前准备工作

连接设备电缆。

配置前准备工作

接通设备电源。

Firepower 设备管理器

登录 FDM。

Firepower 设备管理器

完成初始配置。

思科商务工作空间

（可选）配置许可：获取功能许可证。

智能软件管理器

配置许可：生成许可证令牌

Firepower 设备管理器

配置许可：向智能许可服务器注册设备。

Firepower 设备管理器

在 Firepower 设备管理器中配置设备。

查看网络部署和默认配置

下图显示在使用默认配置的 Firepower 2100 系列设备上，使用 Firepower 设备管理器 的 Firepower 威胁防御 默认网络部署。

图 1. 建议的网络部署

默认配置

在初始设置后，Firepower 设备的配置包括以下内容：

  • 内部 - 以太网 1/2，IP 地址 192.168.1.1

  • 外部 - 以太网 1/1、来自 DHCP 的 IP 地址或在设置过程中指定的地址

  • 内部→外部流量

  • 管理 - 管理 1/1（管理）

    • IP 地址 192.168.45.45


    注

    管理 1/1 接口由管理逻辑接口和诊断逻辑接口共用；有关详细信息，请参阅《FDM 配置指南》。

  • 用于管理的 DNS 服务器

    • OpenDNS：208.67.222.222、208.67.220.220 或您在设置过程中指定的服务器

  • NTP - 思科 NTP 服务器：0.sourcefire.pool.ntp.org、1.sourcefire.pool.ntp.org、2.sourcefire.pool.ntp.org 或您在设置过程中指定的服务器

  • 默认路由

    • 数据接口 - 从外部 DHCP 获取，或在设置过程中指定的网关 IP 地址

    • 管理接口 - FTD 需要互联网接入以用于许可和更新。

      在背板上并通过数据接口

  • DHCP 服务器在内部接口上，管理接口

  • FDM 访问 - 允许管理和内部主机

  • NAT- 接口 PAT 用于所有从内部到外部的流量

连接设备电缆

在管理 1/1 或以太网 1/2 上管理 Firepower 2100。默认配置还会将以太网 1/1 配置为外部接口。

过程

步骤 1

将您的管理计算机连接至以下任一接口：

  • 管理 1/1（标记为 MGMT）-

    将管理计算机直接连接至管理 1/1 接口以进行初始配置，或将管理 1/1 接口连接至管理网络。管理 1/1 接口具有默认 IP 地址 (192.168.45.45)，并且还会运行 DHCP 服务器以向客户端（包括管理计算机）提供 IP 地址，因此，请确保这些设置不会与任何现有网络设置冲突（请参阅默认配置）。

  • 以太网 1/2 - 将您的管理计算机直接连接至以太网 1/2 以进行初始配置，或将以太网 1/2 连接至内部网络。以太网 1/2 具有默认 IP 地址 (192.168.1.1)，并且还会运行 DHCP 服务器以向客户端（包括管理计算机）提供 IP 地址，因此，请确保这些设置不会与任何现有内部网络设置冲突（请参阅 默认配置）。

可以稍后从其他接口配置 FDM 管理访问；请参阅 FDM 配置指南。

步骤 2

将外部网络连接至以太网 1/1 接口（标记为 WAN）。
步骤 3

将其他网络连接到其余接口。

接通设备电源

系统电源由位于设备后部的摇杆电源开关控制。电源开关以软通知开关形式实施，支持平稳地关闭系统以降低系统软件及数据损坏的风险。

过程

步骤 1

将电源线一端连接到设备，另一端连接到电源插座。

步骤 2

按下设备后部的电源开关。

步骤 3

检查设备前面的 PWD LED；如果该 LED 呈绿色稳定亮起，表示设备已接通电源。
步骤 4

检查设备正面的 SYS LED；在其绿灯常亮后，表示系统已通过启动诊断。

注 

将开关从开切换到关时，系统可能需要几秒钟才会最终关闭。在此期间，设备前面的 PWR LED 将闪烁绿色。在 PWD LED 完全关闭之前，请勿拔出电源。

登录 FDM

登录 FDM 以配置 FTD。

开始之前

  • 使用 Firefox、Chrome、Safari、Edge 或 Internet Explorer 的当前版本。

过程

步骤 1

在浏览器中输入以下 URL。

  • https://192.168.1.1 - 内部（以太网 1/2）接口 IP 地址。

  • https://192.168.45.45 - 管理接口 IP 地址。

步骤 2

使用用户名 admin 和默认密码 Admin123 登录。

下一步做什么

完成初始配置

首次登录 FDM 以完成初始配置时，请使用设置向导。完成设置向导后，您的设备应该会正常工作并应部署了下列基本策略：

  • 外部（Ethernet1/1）和内部接口（Ethernet1/2）。

  • 内部和外部接口的安全区域。

  • 信任所有内部到外部流量的访问规则。

  • 接口 NAT 规则，用于将所有内部到外部流量转换到外部接口 IP 地址上的唯一端口。

  • 在内部接口上运行的 DHCP 服务器。

过程

步骤 1

系统会提示您阅读和接受“最终用户许可协议”并更改管理员密码。

只有完成这些步骤，才能继续。

步骤 2

为外部接口和管理接口配置以下选项，然后点击下一步。

注 
点击下一步后，您的设置将部署到设备中。该接口将命名为“outside”，并添加到“outside_zone”安全区。确保您的设置正确。

  1. 外部接口 - 即连接到网关路由器的数据端口。在初始设备设置期间，您不能选择其他外部接口。第一个数据接口是默认的外部接口。

    配置 IPv4 (Configure IPv4) - 外部接口的 IPv4 地址。可以使用 DHCP，也可以手动输入静态 IP 地址、子网掩码和网关。另外，也可以选择关，不配置 IPv4 地址。

    配置 Ipv6 - 外部接口的 Ipv6 地址可以使用 DHCP，也可以手动输入静态 IP 地址、前缀和网关。另外，也可以选择关，不配置 IPv6 地址。

  2. 管理接口

    DNS 服务器 - 系统管理地址的 DNS 服务器。输入 DNS 服务器的一个或多个地址以解析名称。默认值为 OpenDNS 公共 DNS 服务器。如果您编辑字段并想要恢复默认值，请点击使用 OpenDNS 以重新将合适的 IP 地址加载到字段。

    防火墙主机名 - 系统管理地址的主机名。

步骤 3

配置系统时间设置，然后点击下一步。

  1. 时区 - 选择系统时区。

  2. NTP 时间服务器 - 选择使用默认 NTP 服务器，还是手动输入 NTP 服务器的地址。可以添加多个服务器来提供备份。

步骤 4

为系统配置智能许可证。

只有具有智能许可证账户，才能获取和应用系统需要的许可证。最初，可以使用为期 90 天的评估许可证，以后再设置智能许可。

要立即注册设备，请单击链接登录智能软件管理器帐户，并参阅配置许可。

要使用评估许可证，请选择 Start 90 day evaluation period without registration。

步骤 5

点击完成。

下一步做什么

配置许可

FTD 使用思科智能软件许可，这使得您可以集中购买和管理许可证池。

当您注册机箱时，许可证颁发机构会颁发一张 ID 证书，用于机箱与许可证颁发机构之间的通信。它还会将机箱分配到相应的虚拟帐户。

基本许可证会自动包含在内。智能许可不会阻止您使用尚未购买的产品功能，但是为了符合要求，您应购买以下可选功能许可证：

  • 威胁 - 安全情报和思科 Firepower 下一代 IPS

  • 恶意软件 - 适用于网络的高级恶意软件防护 (AMP)

  • URL - URL 过滤

  • RA VPN - AnyConnect Plus、AnyConnect Apex 或仅 AnyConnect VPN。

除上述许可证外，您还需要订阅相关内容以获取 1 年、3 年或 5 年的更新。

有关为系统授权许可的完整信息，请参阅《FDM 配置指南》。

开始之前

  • 拥有思科智能软件管理器主帐户。

    如果您还没有账户，请单击此链接以设置新账户。通过智能软件管理器，您可以为组织创建一个主账户。

  • 您的思科智能软件许可帐户必须符合强加密 (3DES/AES) 许可证的要求，才能使用某些功能（已使用导出合规性标志启用）。

过程

步骤 1

请确保智能许可帐户包含所需的可用许可证。

当您从思科或经销商那里购买设备时，您的许可证应该已链接到您的智能软件许可证帐户。但是，如果您需要自己添加许可证，则请使用思科商务工作空间上的 Find Products and Solutions 搜索字段。搜索以下许可证 PID：

图 2. 许可证搜索
注 

如果未找到 PID，您可以手动将 PID 添加到订单中。

  • 威胁、恶意软件和 URL 许可证组合：

    • L-FPR2110T-TMC=

    • L-FPR2120T-TMC=

    • L-FPR2130T-TMC=

    • L-FPR2140T-TMC=

  • 威胁、恶意软件和 URL 订阅组合：

    • L-FPR2110T-TMC-1Y

    • L-FPR2110T-TMC-3Y

    • L-FPR2110T-TMC-5Y

    • L-FPR2120T-TMC-1Y

    • L-FPR2120T-TMC-3Y

    • L-FPR2120T-TMC-5Y

    • L-FPR2130T-TMC-1Y

    • L-FPR2130T-TMC-3Y

    • L-FPR2130T-TMC-5Y

    • L-FPR2140T-TMC-1Y

    • L-FPR2140T-TMC-3Y

    • L-FPR2140T-TMC-5Y

  • RA VPN - 请参阅思科 AnyConnect 订购指南。

步骤 2

在 Cisco Smart Software Manager 中，为要将此设备添加到的虚拟帐户请求并复制注册令牌。

  1. 单击 Inventory。

  2. 在 General 选项卡上，单击 New Token。

  3. 在 Create Registration Token 对话框中，输入以下设置，然后单击 Create Token：

    • Description

    • Expire After - 思科建议该时间为 30 天。

    • Allow export-controlled functionaility on the products registered with this token（在使用此令牌注册的产品上允许导出控制的功能）- 在您所在的国家/地区允许进行强加密的情况下启用导出合规性标志。

    系统将令牌添加到您的资产中。

  4. 单击令牌右侧的箭头图标可以打开 Token 对话框，可以从中将令牌 ID 复制到剪贴板。当需要注册 FTD 时，请准备好此令牌，以在该程序后面的部分使用。

    图 3. 查看令牌
    图 4. 复制令牌
步骤 3

在 FDM 中，单击设备，然后在智能许可证摘要中，单击查看配置。

您会看到智能许可证页面。

步骤 4

单击 Register Device。

然后，按照智能许可证注册对话框中的说明粘贴令牌：

步骤 5

单击 Register Device。

您会返回到智能许可证页面。在设备注册时，您会看到以下消息：

在设备成功注册并刷新页面后，您会看到以下内容：
步骤 6

根据需要，点击每个可选许可证的启用/禁用控件。

  • 启用 - 将许可证注册到您的思科智能软件管理器账户，并启用控制的功能。现在，您可以配置和部署该许可证控制的策略了。

  • 禁用 - 取消许可证向思科智能软件管理器账户的注册，并禁用控制的功能。新策略中无法配置这些功能，也不能再部署使用该功能的策略。

  • 如果启用了 RA VPN 许可证，请选择要使用的许可证类型：Plus、Apex、仅 VPN或 Plus 和 Apex。

启用功能后，如果帐户中没有许可证，则在刷新页面后，您会看到以下不合规消息：
步骤 7

从齿轮下拉列表中选择 Resync Connection（再同步连接），将许可证信息与思科智能软件管理器同步。

在 Firepower 设备管理器中配置设备

以下步骤概述了可能需要配置的其他功能。请点击页面上的帮助按钮 (?)，获取有关每个步骤的详细信息。

过程

步骤 1

如果连接了其他接口，请选择设备，然后单击接口摘要中的链接。

单击每个接口的编辑图标 ()，以设置模式并定义 IP 地址和其他设置。

以下示例将一个接口配置为用作“隔离区”(DMZ)，可以将可公开访问的资产（例如 Web 服务器）放在该区域中。完成后单击 Save。

图 5. 编辑接口
步骤 2

如果已配置新接口，请选择对象，然后从目录中选择安全区域。

根据需要编辑或创建新区域。每个接口都必须属于一个区域，因为需要根据安全区域而不是接口来配置策略。配置接口时不能将其放在区域中，因此每当创建新接口或更改现有接口的用途之后，都必须编辑区域对象。

以下示例显示如何为 DMZ 接口创建一个新的 DMZ 区域。

图 6. 安全区域对象
步骤 3

如果要让内部客户端使用 DHCP 从设备获取 IP 地址，请选择 Device > System Settings > DHCP Server，然后选择 DHCP Server 选项卡。

内部接口已配置了 DHCP 服务器，但可以编辑地址池或甚至将其删除。如果配置了其他内部接口，则在这些接口上设置 DHCP 服务器是非常典型的做法。单击 +，为每个内部接口配置服务器和地址池。

此外，您也可以在 Configuration 选项卡中对为客户端提供的 WINS 和 DNS 列表进行精细调整。以下示例显示如何在 inside2 接口（地址池为 192.168.4.50-192.168.4.240）上设置 DHCP 服务器。

图 7. DHCP 服务器
步骤 4

选择 Device，然后单击 Routing 组中的 View Configuration（或 Create First Static Route），配置默认路由。

默认路由通常指向位于外部接口之外的上游或 ISP 路由器。默认的 IPv4 路由适用于 any-ipv4 (0.0.0.0/0)，而默认的 IPv6 路由适用于 any-ipv6 (::0/0)。为所使用的每个 IP 版本创建路由。如果使用 DHCP 获取外部接口的地址，则可能已经拥有所需的默认路由。

注 

此页面上定义的路由仅适用于数据接口，而不会影响管理接口。在 Device > System Settings > Management Interface 上设置管理网关。

以下示例显示 IPv4 的默认路由。在此示例中，isp-gateway 是用于标识 ISP 网关 IP 地址的网络对象（必须从 ISP 中获取地址）。可以通过点击网关下拉菜单底部的创建新网络，来创建该对象。

图 8. 默认路由
步骤 5

选择策略，并为网络配置安全策略。

设备安装向导设置允许内部区域与外部区域之间存在流量流动，并对所有接口上流向外部接口的流量启用网络地址转换 (NAT)。即使配置了新接口，如果将其添加到内部区域对象中，访问控制规则也将自动应用于这些接口。

但是，如果有多个内部接口，则需要一条访问控制规则来允许内部区域之间的流量。如要添加其他安全区域，则需要规则来允许这些区域之间的流量。这是您需要进行的最低限度的更改。

此外，您还可配置其他策略以提供附加服务，并对 NAT 和访问规则进行精细调整，以实现组织需要的结果。您可以配置以下策略：

  • SSL 解密 - 如果要检查加密连接（例如 HTTPS）是否存在入侵、恶意软件等，则必须解密连接。使用 SSL 解密策略确定需要解密的连接。系统检查连接后，会将其重新加密。

  • 身份 - 如果要将网络活动与各个用户相关联，或根据用户或用户组成员身份控制网络访问，请使用身份策略确定与给定源 IP 地址关联的用户。

  • 安全情报 - 使用安全情报策略快速丢弃进出列入黑名单的 IP 地址或 URL 的连接。将已知恶意站点列入黑名单后，在访问控制策略中即可无需考虑这些站点。思科提供定期更新的已知恶意地址和 URL 源，可使安全情报黑名单实现动态更新。使用情报源，无需通过编辑策略来添加或删除黑名单中的项目。

  • NAT (Network Address Translation) - 使用 NAT 策略将内部 IP 地址转换为外部可路由地址。

  • 访问控制 - 使用访问控制策略确定网络上允许的连接。您可以按安全区域、IP 地址、协议、端口、应用、URL、用户或用户组进行过滤。您还可以使用访问控制规则来应用入侵策略和文件（恶意软件）策略。使用此策略实施 URL 过滤。

  • 入侵 - 使用入侵策略检测已知威胁。即使使用访问控制规则应用入侵策略，也仍可以编辑入侵策略，以选择性地启用或禁用特定的入侵规则。

以下示例显示如何在访问控制策略中允许内部区域与 DMZ 区域之间的流量。在此示例中，任何其他选项卡上均未设置任何选项，日志记录除外，其中在连接结束时选项已被选中。

图 9. 访问控制策略
步骤 6

选择 Device，然后单击 Updates 组中的 View Configuration，为系统数据库配置更新计划。

如果使用入侵策略，请为“规则”和“VDB”数据库设置定期更新。如果使用安全情报源，请为“规则”和“VDB”数据库设置更新计划。如果在任何安全策略中使用地理位置作为匹配条件，请为“规则”和“VDB”数据库设置更新计划。
步骤 7

单击菜单中的 Deploy 按钮，然后单击立即部署按钮 ()，以部署对设备的更改。

只有将更改部署至设备，更改才会生效。

访问 FTD 和 FXOS CLI

使用命令行界面 (CLI) 可设置系统以及对系统进行基本的故障排除。无法通过 CLI 会话配置策略。可以连接到控制台端口以访问 CLI。

可以通过 SSH 连接到 FTD 设备的管理接口。如果您为 SSH 连接打开某个数据接口，您也可以连接到该接口上的地址。默认情况下，禁用 SSH 数据接口访问。

也可以从 FTD CLI 访问 FXOS CLI，以便进行故障排除。

过程

步骤 1

要登录 CLI，请将管理计算机连接到控制台端口。有关控制台电缆的详细信息，请参阅设备的硬件指南。使用以下串行设置：

  • 9600 波特率

  • 8 个数据位

  • 无奇偶校验

  • 1 个停止位

注意 

控制台端口上的 CLI 是 FXOS。

步骤 2

在出现提示时，登录 FXOS CLI。

示例:


firepower login: admin
Password:
Last login: Thu May 16 14:01:03 UTC 2019 on ttyS0
Successful login attempts for user 'admin' : 1

firepower#
步骤 3

访问 FTD CLI。

connect ftd

示例:


firepower# connect ftd
>

登录后，如需了解 CLI 中可用命令的相关信息，请输入 help 或 ? 。有关使用信息，请参阅 Firepower 威胁防御命令参考。

步骤 4

要退出 FTD CLI, 请输入 exit 或 logout 命令。

示例:


> exit
firepower#
注 

此时系统会将您重新导向至 FXOS CLI 提示。有关 CLI 中可用命令的相关信息，请输入 ? 。有关使用信息，请参阅思科 Firepower FXOS 命令参考。

断开设备电源

使用 FDM 正确关闭系统非常重要。仅拔掉电源或按下电源开关可能会导致文件系统严重损坏。请记住，有许多进程一直在后台运行，拔掉或关闭电源不能正常关闭 Firepower 系统。

过程

步骤 1

（6.5 及更高版本）使用 FDM 关闭设备。

注 

对于 6.4 及更早版本，请在 FDM CLI 中输入shutdown 命令。

  1. 单击设备，然后单击系统设置 > 重新引导/关闭链接。

  2. 点击关闭。

步骤 2

观察电源 LED 和状态 LED 以验证机箱是否已断电（不亮）。
步骤 3

在机箱成功关闭电源后，您可以在必要时拔下电源插头以物理方式断开机箱的电源。

此文档是否有帮助?

Feedback反馈

联系我们