RFC 8446定义的最新版本的传输层安全（TLS）协议 1.3 是许多 Web 服务器提供安全通信的首选协议。由于 TLS 1.3 协议会加密服务器的证书以提高安全性，并且需要使用证书来匹配访问控制规则中的应用和 URL 过滤条件，因此 Firepower 系统提供了一种提取服务器证书而 不 解密整个数据包的方法。

在为访问控制策略配置高级设置时，可以启用此功能，称为 TLS 服务器身份发现。某些功能不受支持，例如 STARTTLS 流量、HTTP CONNECT 方法，以及在已有其他设备正在解密流量的网络中。

如果启用此选项，我们建议您同时启用解密策略的高级 TLS 自适应服务器身份探测选项。总之，这些选项可更有效地解密 TLS 1.3 流量。有关详细信息，请参阅TLS 1.3 解密最佳实践。

当新连接开始且受 TLS 服务器身份发现影响时，Firewall Threat Defense 会保留原始 ClientHello 数据包，以确定其连接的服务器的身份，然后再继续。Firewall Threat Defense 设备会从 Firewall Threat Defense 向服务器发送专用连接。服务器的响应包括服务器证书，专用连接会被终止，并根据访问控制策略的要求评估原始连接。

TLS 服务器身份发现将证书的通用名称 (CN) 优先于服务器名称指示 (SNI)。

要启用 TLS 服务器身份发现，请点击高级选项卡，点击该设置旁的编辑 ()，然后选择增强应用和 URL 检测。

我们强烈建议您为要根据应用或 URL 条件匹配的任何流量启用此功能，尤其是在您想要对该流量执行深度检查时。解密策略 不需要 SSL 策略，因为在提取服务器证书的过程中不会解密流量。

注

TLS 服务器身份发现不能与以下任何一项配合使用： STARTTLS 流量 HTTP CONNECT 方法 已被网络上的其他设备解密的流量 由于证书是解密的，因此 TLS 服务器身份发现会降低性能，具体取决于硬件平台。 内联分路模式或被动模式部署不支持 TLS 服务器身份发现。 任何部署到 AWS 的 Secure Firewall Threat Defense Virtual 都不支持启用 TLS 服务器身份发现。如果您有任何由 Secure Firewall Management Center管理的此类托管设备，则每次设备尝试提取服务器证书时，连接事件 PROBE_FLOW_DROP_BYPASS_PROXY 都会增加。 TLS 服务器身份发现也可在 TLS 1.2 会话上运行。

高级传输和网络预处理器设置全局应用于会部署访问控制策略的所有网络、区域和 VLAN。

• 跟踪连接时忽略 VLAN 报头 -识别流量时忽略还是包含 VLAN 报头。同一连接中行进方向不同的流量中的 VLAN 标记不同，可能影响流量重组和规则处理。例如，对于同一连接，流量可以通过 VLAN A 传输，而通过 VLAN B 接收。如果设备可能为同一连接识别到不同的 VLAN，请选择此选项。该选项默认为关闭。

  

• 最大活动响应数 - 对于触发配置为提供活动响应的预处理器/入侵丢弃规则的 TCP 连接，是指每个 TCP 连接的最大活动响应数。如果已启动活动响应的连接上出现其他流量，并且在先前活动响应后流量出现超过最小响应秒数 (Minimum Response Seconds)，系统会发送其他活动响应，除非已达到指定的最大数量。设置为 0 将禁用由主动响应规则触发的额外主动响应。默认值为无限制。范围为 0 到 25。

  注	您必须专门配置丢弃规则，以提供主动响应。对于 TCP 连接，主动响应是 RESET 数据包。对于 UDP 连接，系统会向连接源发送 ICMP 不可达数据包。

• 最小响应秒数 - 指定在系统已启动活动响应的连接上的任何其他流量都会产生后续活动响应之前等待的秒数，直至出现最大活动响应数。默认值为无限制。范围为 1 到 300。

• 会话终止日志记录阈值 - 请勿修改此选项，除非支持人员指示执行此操作。

  支持人员可能会在故障排除呼叫期间要求您配置系统，以在单个连接超过指定阈值时记录消息。更改此选项的设置会影响性能，应仅在支持人员的指导下进行操作。此选项指定一个字节数，当会话终止并超过该指定数字时，将会记录消息。上限为 1GB。

检测增强设置确定自适应配置文件是否用于访问控制策略中的应用检测和入侵规则。通常，系统使用网络分析策略中的静态设置预处理和分析流量。通过自适应配置文件，系统可以使用由网络发现检测或从第三方导入的主机信息适应处理行为。

注	要在 Snort 3 中启用自适应配置文件，必须同时选择启用和启用配置文件更新选项。

• 启用 - 您必须启用自适应分析功能（其默认状态），以便访问控制规则执行应用程序和文件控制（包括恶意软件防护 (AMP)），并使入侵规则能够使用服务元数据。

• 启用配置文件更新 - 配置文件更新（例如可在网络分析策略中配置的基于目标的配置文件）有助于通过与目标主机上的操作系统相同的方式对 IP 数据包进行分片重组并重组数据流。然后入侵规则引擎使用与目标主机所用的相同格式分析数据。配置文件更新还会将入侵规则中的元数据与主机信息进行比对，以确定该规则是否应适用于特定主机。有关详细信息，请参阅：

  • 自适应配置文件更新

  • 自适应配置文件更新和建议的规则

• 自适应配置文件 - 属性更新间隔 - 启用配置文件更新后，您可以控制从管理中心向受管设备同步网络地图数据的频率（以分钟为单位）。系统使用该数据确定处理流量时应使用哪些配置文件。增大此选项的值可提升大型网络的性能。

• 自适应配置文件 - 网络 - 或者，启用配置文件更新后，您可以通过将限制在逗号分隔的 IP 地址、地址块和网络变量列表中来提高性能。如果使用网络变量，则系统会为您的访问控制策略使用与默认入侵策略相关联的变量集中的变量值。例如，可以输入：192.168.1.101, 192.168.4.0/24, $HOME_NET。支持 IPv4 和 IPv6。

  默认值 (0.0.0.0/0) 将自适应配置文件更新应用于所有网络。

模式匹配限制

• 每个数据包要分析的最大模式状态数 — 要排队的最大事件数。默认值为 5。

• 禁用对未来将进行重组的流量的内容检查 — 是否在重组前检测 TCP 负载。它包括数据流重组前后的数据包检测。这一过程需要更多的处理开销，并且可能会降低性能。如果未选中该选项，则在重组后检测 TCP 负载。默认为关闭。

性能统计数据

当过了所指定的性能统计数据更新之间的秒数时，系统验证其已分析的数据包是否到达指定数量。如果到达，则系统更新性能统计数据。否则，系统等待，直到其分析的数据包到达指定的数量。

• 采样时间（秒）— 进行性能采样的时间范围。默认值为 300 秒。

  为采样时间配置非常低的值（例如 1 秒）可能会对设备造成巨大影响；设备上记录的性能统计信息可能会导致磁盘空间问题并影响设备的运行。因此，建议您不要配置非常低的值。

• 最小数据包数 — 将多少个数据包视为有效性能统计信息的最小值。默认值为 0。

• 故障排除选项：

  • 记录会话/协议分布 — 思科技术支持可能会在故障排除电话中要求您启用此选项，以配置系统仅在 Snort 进程关闭或重启时计算性能统计信息。

  • 摘要 — 仅当思科技术支持指示时才启用此选项。

正则表达式限制

默认的 Perl 兼容正则表达式 (PCRE) 限制确保了最低水平的性能。覆盖这些限制可能会提高安全性，但也会因允许根据低效的正则表达式对数据包进行评估而严重影响性能。

• 匹配限制状态 — 匹配正则表达式的限制。您可以选择默认值（即 3500）、无限制或自定义。如果您选择自定义，请在匹配限制中指定尝试匹配 PCRE 正则表达式中定义的模式的次数。指定 0 以完全禁用 PCRE 匹配评估。

• 匹配递归限制状态 — 匹配正则表达式递归的限制。您可以选择默认值（即 3500）、无限制或自定义。如果您选择自定义，请在匹配递归限制中指定评估数据包负载中的 PCRE 正则表达式时的递归次数。指定 0 以完全禁用 PCRE 递归。

  注	要使自定义匹配递归限制有意义，它必须小于匹配限制。

入侵事件日志记录限制

当入侵规则引擎根据规则评估流量时，它会将针对给定数据包或数据包流生成的事件放在事件队列中，然后将队列顶部的事件报告至用户界面。配置入侵事件日志记录限制时，可指定队列中可放置的事件数量及要记录的事件数量，并可选择确定队列中事件顺序的条件。

• 每个数据包存储的最大事件数 — 可以为给定数据包或数据包流存储的最大事件数。默认值为 8。

• 每个数据包记录的最大事件数 — 为给定数据包或数据包流记录的事件数。这不能超过每个数据包存储的最大事件数量 (Maximum Events Stored Per Packet) 的值。默认值为 5。

• 事件日志记录优先级依据 — 用于确定事件队列中事件排序的值。通过用户界面报告排序最靠前的事件。您可以选择：

  • 内容长度（默认），按最长识别内容匹配对事件进行排序。当事件按内容长度排序时，规则事件始终优先于解码器和预处理程序事件。

  • 优先级，按事件优先级对队列中的事件进行排序。