步骤 1

选择管理 > 集成 > 防火墙管理中心。

步骤 2

选择云交付 FMC，然后点击操作、管理或设置窗格中的链接，以在新选项卡中打开 云交付的防火墙管理中心。

步骤 1

选择设备 > 设备管理，然后点击防火墙的 编辑 ()。

步骤 2

点击接口。

步骤 3

要从 40-Gb 或更大的接口创建分支端口，请点击该接口的中断图标。

步骤 4

点击要用于内部的接口的编辑 ()。

1. 从安全区域下拉列表中选择一个现有的内部安全区域，或者点击新建添加一个新的安全区域。

   例如，添加一个名为 inside_zone 的区域。您可以根据区域或组应用安全策略。例如，配置访问控制策略，使流量可以从内部区域进入外部区域，但不能从外部进入内部区域。

2. 输入长度最大为 48 个字符的名称。

   例如，将接口命名为 inside。

3. 选中启用 复选框。

4. 将模式保留为无。

5. 点击 IPv4 和/或 IPv6 选项卡。

   • IPv4 - 从下拉列表中选择使用静态 IP (Use Static IP)，然后以斜杠表示法输入 IP 地址和子网掩码。

     例如，输入 192.168.1.1/24

     

   • IPv6 - 为无状态自动配置选中自动配置复选框。

     

6. 点击确定。

步骤 5

点击要用于外部的接口的编辑 ()。

1. 从安全区域下拉列表中选择一个现有的外部安全区域，或者点击新建添加一个新的安全区域。

   例如，添加一个名为 outside_zone 的区域。

   您不应更改任何其他基本设置，因为这样做会中断 防火墙管理中心 管理连接。

2. 点击确定。

步骤 6

例如，配置 DMZ 接口以托管 Web 服务器。

1. 点击您要使用的接口的 编辑 ()。

2. 从安全区域下拉列表中选择一个现有的 DMZ 安全区域，或者点击新建添加一个新的安全区域。

   例如，添加一个名为 dmz_zone 的区域。

3. 输入长度最大为 48 个字符的名称。

   例如，将接口命名为 dmz。

4. 选中启用复选框。

5. 将模式保留为无。

6. 点击 IPv4 和/或 IPv6 选项卡并配置所需的 IP 地址。

7. 点击确定。

步骤 7

点击保存。

步骤 1

选择设备 (Devices) > 设备管理 (Device Management)，然后点击设备的编辑 ()。

步骤 2

选择 DHCP > DHCP 服务器 (DHCP Server)。

步骤 3

在服务器区域中，点击添加并配置以下选项。

• 接口 (Interface) - 从下拉列表中选择接口名称。

• 地址池 (Address Pool) - 设置 IP 地址的范围。IP 地址必须与选定接口位于相同的子网上，且不能包括接口自身的 IP 地址。

• 启用 DHCP 服务器 (Enable DHCP Server) - 在所选接口上启用 DHCP 服务器。

步骤 4

点击确定。

步骤 5

点击保存 (Save)。

步骤 1

选择设备 (Devices) > NAT，然后点击新建策略 (New Policy)。

步骤 2

为策略命名，选择要使用策略的设备，然后点击保存 (Save)。

策略即已添加 防火墙管理中心。您仍然需要为策略添加规则。

步骤 3

点击添加规则 (Add Rule)。

步骤 4

配置基本规则选项：

• NAT 规则 (NAT Rule) - 选择自动 NAT 规则 (Auto NAT Rule)。

• 类型 (Type) - 选择动态 (Dynamic)。

步骤 5

在 Interface Objects 页面，将 Available Interface Objects 区域中的外部区域添加到 Destination Interface Objects 区域。

步骤 6

在转换 (Translation) 页面上配置以下选项：

• 原始源-点击 添加 () 为所有 IPv4 流量添加网络对象 (0.0.0.0/0)。

  

  注	您不能使用系统定义的 any-ipv4 对象，因为自动 NAT 规则在对象定义过程中添加 NAT，并且您无法编辑系统定义的对象。

• 转换的源 (Translated Source) - 选择目标接口 IP (Destination Interface IP)。

步骤 7

点击保存 (Save) 以添加规则。

步骤 8

点击 NAT 页面上的保存 (Save) 以保存更改。

步骤 1

选择 策略 > 访问控制标题 > 访问控制，然后点击分配给设备的访问控制策略对应的 编辑 ()。

步骤 2

点击添加规则 (Add Rule) 并设置以下参数。

1. 为此规则命名，例如 inside-to-outside。

2. 从区域 (Zones) 中选择内部区域

3. 点击添加源区域 (Add Source Zone)。

4. 从区域 (Zones) 中选择外部区域。

5. 点击添加目标区域 (Add Destination Zone)。

其他设置保留原样。

步骤 3

(可选) 点击数据包流程图中的策略类型，以便自定义相关策略。

预过滤器、解密、安全智能和身份策略在访问控制规则之前应用。不需要自定义这些策略，但在了解网络需求后，这些策略可通过快速路由受信任流量（绕过处理）或阻止流量以避免进一步处理，从而提高网络性能。

• 预过滤器规则 - 默认预过滤器策略通过所有流量，以便其他规则执行操作（分析）。您可以对默认策略进行的唯一更改是阻止隧道流量。否则，您可以创建新的预过滤器策略，以便与可以分析（传递）、快速路径（绕过进一步检查）或阻止的访问控制策略关联。

  预过滤功能可在流量到达更远的地方之前，通过拦截或快速路径来处理流量，从而提高性能。在新策略中，您可以添加隧道规则和预过滤器规则。通过隧道规则，您可以对明文（非加密）直通隧道进行快速路由、阻止或重新分区。预过滤器规则可让您快速路由或阻止通过 IP 地址、端口和协议识别的非隧道流量。

  例如，如果知道要阻止网络上的所有 FTP 流量，但不阻止来自管理员的快速 SSH 流量，则可以添加一个新的预过滤器策略。

• 解密 - 默认情况下不应用解密。解密是让网络流量接受深度检查的一种方法。大多数情况下都不要对流量进行解密，只有在法律允许的情况下才能这样做。为了最大限度地保护网络，对于前往关键服务器或来自不信任网段的流量，解密策略可能是一个好主意。

• 安全智能 -（需要 IPS 许可证）默认启用安全智能。安全智能是在将连接传递到访问控制策略进行进一步处理之前应用的另一项针对恶意活动的早期防御措施。安全智能使用信誉智能快速阻止与思科威胁智能组织 Talos 提供的 IP 地址、URL 和域名之间的连接。您可以根据需要添加或删除其他 IP 地址、URL 或域。

  注	如果没有 IPS 许可证，即使访问控制策略中显示该策略已启用，也不会部署该策略。

• 身份 - 默认情况下不应用身份。在允许访问控制策略处理流量之前，可以要求用户进行身份验证。

步骤 4

(可选) 添加在访问控制规则之后应用的入侵策略。

1. 点击入侵策略 (Intrusion Policy) 下拉列表。

   

2. 从列表中选择一个系统提供的策略。

步骤 5

(可选) 添加在访问控制规则之后应用的文件策略。

1. 点击文件策略 (File Policy) 下拉列表，然后选择现有策略或通过选择打开文件策略列表 (Open File Policy List) 添加一个策略。

   

   对于新策略，系统将在单独的选项卡中打开策略 > 访问控制标题 > 恶意软件和文件 页面。

2. 有关创建策略的详细信息，请参阅《Cisco Secure Firewall 设备管理器配置指南》。

3. 返回添加规则 (Add Rule) 页面，从下拉列表中选择新创建的策略。

步骤 6

点击应用 (Apply)。

步骤 7

点击保存。

步骤 1

选择 设备 > 平台设置 并创建或编辑 防火墙威胁防御 策略。

步骤 2

选择 SSH 访问 (SSH Access)。

步骤 3

标识允许 SSH 连接的外部接口和 IP 地址。

1. 点击添加以添加新规则，或点击编辑以编辑现有规则。

2. 配置规则属性：

   • IP 地址-用于标识允许建立 HTTPS 连接的主机或网络的网络对象 或组 。从下拉列表中选择一个对象，或者点击 + 以添加新的网络对象。

   • 可用区域/接口 - 添加外部区域或者在所选区域/接口列表下的字段中键入外部接口名称，然后点击添加。

   

3. 点击确定。

步骤 4

点击保存 (Save)。

步骤 1

点击右上方的部署 (Deploy)。

步骤 2

要快速部署，请选中特定设备，然后点击部署 (Deploy)。

或者，点击全部部署 (Deploy All) 以部署到所有设备。

否则，对于其他部署选项，请点击高级部署 (Advanced Deploy)。

步骤 3

确保部署成功。点击菜单栏中部署 (Deploy) 按钮右侧的图标可以查看部署状态。