Cisco Secure Firewall 200 Threat Defense 入门：位于中心总部的防火墙管理中心

PDF

向防火墙管理中心注册防火墙

Updated: January 9, 2026

Want to summarize with AI?

Log in

了解如何使用 零接触调配 或手动注册将 Secure Firewall 200 注册到 ，以开始集中管理。

根据您使用的部署方法向 注册防火墙。

使用序列号添加防火墙（零接触调配）

通过零接触调配，您可以按序列号将设备注册到 ，而无需在设备上执行任何初始设置。Security Cloud Control 集成以实现此功能。

Note

对于 版本 7.4，您需要使用 Security Cloud Control 来添加设备；有关详细信息，请参阅 7.4 指南。7.6 中添加了本地 工作流程。此外，对于 7.4 中的云集成，请参阅中的 SecureX 集成页面。

注册后的默认配置

使用 零接触调配时，系统会预配置以下接口：请注意，不会保留其他配置设置，例如访问控制策略或安全区。请注意，诸如内部的 DHCP 服务器、访问控制策略或安全区域等其他设置均未配置。

  • 以太网 1/1—“外部”，IP 地址来自 DHCP、IPv6 自动配置

  • 以太网 1/2（或对于 200，为 VLAN1 接口）-“内部”，192.168.95.1/24

  • 默认路由 - 通过外部接口上的 DHCP 获取

要求

当您使用外部接口进行管理器访问时，它会默认使用 DHCP。在启用高可用性之前，需要将 IP 地址更改为静态地址。或者，您可以改用管理接口；在高可用性管理上支持 DHCP。

开始之前

  • 如果设备没有公共 IP 地址或 FQDN，请为 设置公共 IP 地址/FQDN（例如，如果它在 NAT 之后），以便设备可以发起管理连接。请参阅管理 > 配置 > 管理器远程访问。

  • 为管理或以太网 1/1 提供 IP 地址和默认网关的 DHCP 服务器。

  • 通过网络访问 OpenDNS 公共 DNS 服务器。IPv4：208.67.220.220 和 208.67.222.222；IPv6：2620:119:35::35。系统从不使用从 DHCP 获取的 DNS 服务器。

    需要解析以下名称：

    Table 1. FQDN 的零接触调配

    FQDNs

    *.cisco.com（多个 FQDN）

    defenseorchestrator.com

    *.defenseorchestrator.eu（供欧盟地区使用，许多 FQDN）

    0.sourcefire.pool.ntp.org, 1.sourcefire.pool.ntp.org, 2.sourcefire.pool.ntp.org, 3.sourcefire.pool.ntp.org

    1.200.159.162.in-addr.arpa

    60.19.239.178.in-addr.arpa

    connected.by.freedominter.net

    time.cloudflare.com

    udc.neo4j.org

过程

1.

首次使用序列号添加设备时，请将 与Security Cloud Control集成。

Note

对于 高可用性对，您还需要将辅助 与Security Cloud Control集成。

  1. 选择集成 > 安全云控制。

  2. 点击启用安全云控制打开单独的浏览器选项卡，让您登录Security Cloud Control帐户并确认显示的代码。

    确保此页面未被弹出窗口阻止程序阻止。如果您还没有Security Cloud Control 帐户，您可以在程序期间添加一个。

    有关此集成的详细信息，请参阅 Cisco Secure Firewall Management Center 管理指南中的“系统配置”一章。

    Security Cloud Control 会在您将 与Security Cloud Control集成后载入本地 。Security Cloud Control 需要其清单中的 ，以便 零接触调配 运行。但是，您不需要直接使用 Security Cloud Control。如果您使用 Security Cloud Control，其 支持仅限于设备载入、查看其托管设备、查看与 关联的对象，以及交叉启动 。

  3. 确保选中启用零接触调配 (Enable Zero-Touch Provisioning) 。

  4. 点击保存。
2.

获取设备的序列号。

设备包含两个序列号：机箱序列号和 PCB（电路板）序列号。任一序列号均可使用。

  • 如果您有装运箱，则可以在标签上看到机箱序列号。

  • 机箱序列号位于设备。

  • PCB 序列号位于机箱上名为“S/N”的标签上。

  • 您可以使用以下 CLI 命令查看序列号：

    • FXOS CLI - show chassis detail 显示两个序列号。

    • Firewall Threat Defense - show inventory 显示机箱序列号。show serial-number 显示 PCB 序列号。
3.

检查 LED，确保防火墙已准备好注册。

Table 2. 零接触调配：受管 (M) LED 行为

M LED

说明

设备通电后的时间 （分:秒）

绿色慢速闪烁

已连接到思科云，准备好载入

15:00 - 30:00

绿色和琥珀色交替闪烁

（错误情况）

设备无法连接到思科云。

15:00 - 30:00

绿灯常亮

已自行激活

20:00 - 45:00
4.

选择设备 > 设备管理。

5.

从添加下拉菜单中，选择设备。

6.

依次点击序列号、基本和下一步。

Figure 1. 设备注册方法
设备注册方法
7.

配置设备详细信息并点击下一步。

Figure 2. 设备详细信息
域

  • 域 (Domain)- 在多域环境中，选择分叶域。

  • 设备组- 在单域环境中，将设备添加到 设备组。

  • 序列号 - 输入要添加设备的 IP 地址或主机名。如果您不知道设备的 IP 地址（例如，它位于 NAT 后），请将此字段留空。

  • 显示名称 - 输入要在 中显示的设备名称。之后将无法更改该名称。

  • 设备密码 - 如果此设备未配置或全新安装，则需要设置新密码并进行确认。

    仅当您已登录并更改 密码时，才可检查我已在设备上 更改密码。否则，注册将失败。
8.

配置初始设备配置。

Figure 3. 初始设备配置
初始设备配置

  • 访问控制策略 - 选择初始访问控制策略以在注册时部署到设备，或创建一个新策略。 除非已经拥有您知道自己需要使用的自定义策略，否则选择添加 (添加图标)，然后选择阻止所有流量。之后您可以更改此设置以允许流量通过。

  • 智能许可- 选择您的许可证。

    • 此设备是物理设备还是虚拟设备？- 选择 物理设备

    • 许可证类型- 选中要分配给设备的每个许可证类型。

    在添加设备后应用许可证。

  • 传输数据包 - 启用此选项，以便对于每个入侵事件，设备会将数据包传输到 进行检查。

    对于每个入侵事件，设备会将事件信息和触发事件的数据包发送到 进行检查。如果禁用此选项，则只会向 发送事件信息，而不会发送数据包。
9.

点击添加设备。

可能需要长达两分钟来验证设备的心跳并建立通信。

在外部接口上使用零接触调配时，Security Cloud Control 会充当 DDNS 提供商并执行以下操作：

  • 使用仅限 FMC (FMC Only) 方法在外部启用 DDNS。此方法仅支持零接触调配设备。

  • 使用以下主机名映射外部 IP 地址： serial-number.local。

  • 提供到 的 IP 地址/主机名映射，以便将主机名解析为正确的 IP 地址。

  • 如果 IP 地址发生变化（例如 DHCP 租用更新），则会向 发送通知。

如果在管理接口上使用零接触调配，则不支持 DDNS。 必须可公开访问，以便设备能够发起管理连接。

您可以继续使用 Security Cloud Control 作为 DDNS 提供商，也可以稍后将 中的 DDNS 配置更改为其他方法。

使用手动调配添加防火墙

使用设备 IP 地址或主机名以及注册密钥将防火墙手动注册到。

过程

1.

登录。

  1. 输入以下 URL。

    https://fmc_ip_address

  2. 输入您的用户名和密码。

  3. 点击登录。

2.

选择设备 > 设备管理。

3.

从添加下拉菜单中，选择设备。

4.

依次点击注册密钥、基本和下一步。

Figure 4. 设备注册方法
设备注册方法
5.

配置设备详细信息并点击下一步。

Figure 5. 设备详细信息
域

  • 域 (Domain)- 在多域环境中，选择分叶域。

  • 设备组- 在单域环境中，将设备添加到 设备组。

  • 主机名或 IP 地址 - 对于主机，输入要添加设备的 IP 地址或主机名。如果您不知道设备的 IP 地址（例如，它位于 NAT 后），请将此字段留空。

  • 显示名称 - 输入要在 中显示的设备名称。之后将无法更改该名称。

  • 注册密钥 - 输入初始配置中相同的注册密钥。

  • 唯一 NAT ID - 输入初始配置中相同的 ID。

  • 仅分析管理中心 - 除非您知道设备由云交付的防火墙管理中心管理，。
6.

配置初始设备配置。

Figure 6. 初始设备配置
初始设备配置

  • 访问控制策略 - 选择初始访问控制策略以在注册时部署到设备，或创建一个新策略。 除非已经拥有您知道自己需要使用的自定义策略，否则选择添加 (添加图标)，然后选择阻止所有流量。之后您可以更改此设置以允许流量通过。

  • 智能许可- 选择您的许可证。

    • 此设备是物理设备还是虚拟设备？- 选择 物理设备

    • 许可证类型- 选中要分配给设备的每个许可证类型。

    在添加设备后应用许可证。

  • 传输数据包 - 启用此选项，以便对于每个入侵事件，设备会将数据包传输到 进行检查。

    对于每个入侵事件，设备会将事件信息和触发事件的数据包发送到 进行检查。如果禁用此选项，则只会向 发送事件信息，而不会发送数据包。
7.

点击添加设备。

可能需要长达两分钟来验证设备的心跳并建立通信。如果注册成功，设备将添加到列表中。如果注册失败，您会看到一则错误消息。如果设备注册失败，请检查以下项：

  • Ping - 访问设备 CLI，然后使用以下命令 ping IP 地址：

    ping system ip_address

    如果 ping 不成功，使用 show network 命令检查网络设置。如果需要更改设备 IP 地址，使用 configure network {ipv4 | ipv6} manual 命令。

  • 注册密钥、NAT ID 和 IP 地址 - 确保在两个设备上使用相同的注册密钥和 NAT ID（如有使用）。可以在设备上使用 configure manager add 命令设定注册密钥和 NAT ID。

有关更多故障排除信息，请参阅 https://cisco.com/go/fmc-reg-error。