默认情况下，交换机端口在 VLAN 1 中会被设为访问模式。您必须手动添加逻辑 VLAN 1 接口（或为这些交换机端口设置的任何 VLAN），以便路由流量并参与 Firewall Threat Defense 安全策略（请参阅配置 VLAN 接口）。您无法将管理接口设置为交换机端口模式。更改交换机端口模式时，会删除所有不支持的配置：

此外，如果该接口已经启用，系统也会将其禁用。请确保重新启用该接口。

如果编辑的是现有 VLAN 接口，则 关联接口 表会显示此 VLAN 上的交换机端口。

• 配置路由模式接口

• 配置常规网桥组成员接口参数

此时，您可以转至部署 > 部署部署并将策略部署到所分配的设备。在部署更改之后，更改才生效。

一行说明最多可包含 200 个字符（不包括回车符）。

默认的 VLAN ID 为 1。

在以下情况下，您可能想要防止交换机端口相互之间进行通信：主要从其他 VLAN 访问这些交换机端口上的设备；您不需要允许 VLAN 间访问；如出现病毒感染或其他安全漏洞，则需要将设备相互隔离开。例如，如果具有托管 3 台 Web 服务器的 DMZ，当您在交换机端口上启用受保护 (Protected) 后，则可以将 Web 服务器相互隔离。内部网络和外部网络均可以与这 3 台网络服务器进行通信，反之亦然，但这些网络服务器相互之间无法进行通信。

选中自动协商 (Auto-negotiation) 复选框（默认）以自动检测速度和双工。如果取消选中，您可以手动设置速度和双工：

• 复用—选择 全 或 半。

• 速度 (Speed) - 选择 10mbps、100mbps 或 1gbps。

此时，您可以转至部署 > 部署部署并将策略部署到所分配的设备。在部署更改之后，更改才生效。

一行说明最多可包含 200 个字符（不包括回车符）。

默认的本地 VLAN ID 为 1。

每个端口只能有一个本地 VLAN，但各端口的本地 VLAN 可以相同也可以不同。

您可以通过以下方式之一识别最多 20 个ID：

• 单一编号 (n)

• 范围 (n-x)

• 用逗号将编号和范围隔开，例如：

  5,7-10,13,45-100

  您可以输入空格而不是逗号。

如果在此字段中包含本地 VLAN，则将忽略该本地 VLAN；从端口发送本地 VLAN 流量时，中继端口始终会删除 VLAN 标记。此外，不会接收仍具有 VLAN 标记的流量。

在以下情况下，您可能想要防止交换机端口相互之间进行通信：主要从其他 VLAN 访问这些交换机端口上的设备；您不需要允许 VLAN 间访问；如出现病毒感染或其他安全漏洞，则需要将设备相互隔离开。例如，如果具有托管 3 台 Web 服务器的 DMZ，当您在交换机端口上启用受保护 (Protected) 后，则可以将 Web 服务器相互隔离。内部网络和外部网络均可以与这 3 台网络服务器进行通信，反之亦然，但这些网络服务器相互之间无法进行通信。

选中自动协商 (Auto-negotiation) 复选框（默认）以自动检测速度和双工。如果取消选中，您可以手动设置速度和双工：

• 复用—选择 全 或 半。

• 速度 (Speed) - 选择 10mbps、100mbps 或 1gbps。

如果通过 50G 电缆连接到该端口的对等交换机不支持自动协商，请确保也在该交换机和威胁防御接口上禁用自动协商。例如，N9K-C93400LD-H1 不支持通过 50G 电缆进行自动协商。因此，要连接该端口，您必须在平台和交换机上禁用默认的自动协商。

此时，您可以转至部署 > 部署部署并将策略部署到所分配的设备。在部署更改之后，更改才生效。

默认情况下，PoE 处于启用状态。

• 自动协商功耗功率 (Auto Negotiate Consumption Wattage) - PoE 使用适合受电设备类别的瓦数将电源自动传送至受电设备。防火墙使用 LLDP 进一步协商正确的瓦数。当连接某个类别的设备时，它会被调配到该等级的最大功率，以防需要使用更多电能。例如，如果您添加请求的功率为 12.95W 的 4 类设备，即使它当前没有使用该功率，系统也会为其分配 30W。某些设备可以重新协商电源需求。如果您知道设备需要的电量少于所分配的电量，则可以手动设置功耗瓦数，将电量释放给其他设备。

• 功耗瓦数 (Consumption Wattage) - 取消选中自动协商功耗功率 (Auto Negotiate Consumption Wattage) 复选框以手动设置瓦数，从而以毫瓦为单位手动指定范围从 4000 至 30000 (1010) 或 90000 (1210CP) 的瓦数。如果要手动设置瓦数并禁用 LLDP 协商，请使用此选项。对于手动分配，该类别将在 show power inline 输出中显示为不适用 (n/a)，因为该类别不用于决定功耗。

  使用 show power inline 命令查看当前 PoE 状态。

此时，您可以转至部署 > 部署部署并将策略部署到所分配的设备。在部署更改之后，更改才生效。

名称不能以短语“cluster”开头。它保留供内部使用。

一行说明最多可包含 200 个字符（不包括回车符）。

常规防火墙接口的模式设置为“无”。其他模式用于仅 IPS 接口类型。在将此接口分配到网桥组后，该模式将显示为交换。

桥接组成员接口是交换类型的接口，只能属于交换类型的区域。请勿为此接口设置任何 IP 地址设置。您将只设置桥接虚拟接口 (BVI) 的 IP 地址。请注意，BVI 不属于某个区域，您不能将访问控制策略应用到 BVI。

• 复用—选择 全 或 半。SFP 接口仅支持 全 复用。但是，Cisco Secure Firewall 220 的 SFP 接口 (Ethernet 1/5) 支持全双工和半双工。

• 速度-选择速度（因型号而异）。对于 SFP，选择 检测 SFP 以检测已安装 SFP 模块的速度，并使用相应的速度。 双工模式始终为全双工，自动协商始终启用，且 FEC 设置为自动。对于双速收发器，将使用较低速度。如果您稍后将网络模块更改为其他型号，并希望速度自动更新，则此选项非常有用。某些交换机和收发器不支持自动协商，尤其是高速接口。在这种情况下，请将Firewall Threat Defense的接口设置为手动速度，并禁用自动协商，以便建立链路。例如，Cisco Secure Firewall 6100 上的 SFP-H25GB-CU1M 不支持自动协商或 FEC，因此您必须手动设置速度、禁用自动协商并禁用前向纠错模式。

  注	您无法修改高可用性或集群控制链路接口的速度。

• 自动协商 - 设置接口以协商速度、链路状态和流量控制。

  1100除外，自动协商与速度分开设置。某些交换机不支持自动协商，尤其是高速接口。在这种情况下，请将Firewall Threat Defense的接口设置为手动速度，并禁用自动协商，以便建立链路。

• 前向纠错模式 - 对于 25 Gbps 及更高速率的接口，请启用前向纠错 (FEC)。

  对于 EtherChannel 成员接口，必须先配置 FEC，然后才能将其添加到 EtherChannel。如果从 EtherChannel 中删除接口，则重新启动后可能需要为该接口重新配置 FEC。

  有些交换机不支持 FEC 自动模式，尤其是较大的接口。请根据交换机支持情况确保手动配置该设置。不建议禁用 FEC；如果禁用，EtherChannel 可能无法正常启用。

  使用 自动 时选择的设置取决于收发器类型，以及接口是固定接口（内置）还是在网络模块上。

  表 2. 用于自动设置的默认 FEC

  收发器类型	固定端口默认 FEC（以太网 1/9 至 1/16）	网络模块默认 FEC
  25G-SR	Clause 108 RS-FEC	Clause 108 RS-FEC
  25G-LR	Clause 108 RS-FEC	Clause 108 RS-FEC
  10/25G-CSR	Clause 108 RS-FEC	Clause 74 FC-FEC
  25G-AOCxM	Clause 74 FC-FEC	Clause 74 FC-FEC
  25G-CU2.5/3M	自动协商	自动协商
  25G-CU4/5M	自动协商	自动协商
  25/50/100G	Clause 91 RS-FEC	Clause 91 RS-FEC

此时，您可以转至部署 > 部署部署并将策略部署到所分配的设备。在部署更改之后，更改才生效。

如果要在网桥组成员之外路由流量，例如路由到外部接口或其他网桥组的成员，则必须为 BVI 命名。该名称不区分大小写。

请勿为 BVI 分配主机地址（/32 或 255.255.255.255）。此外，请勿使用主机地址不足 3 个（分别用于上游路由器、下游路由器和透明防火墙）的其他子网，例如 /30 子网 (255.255.255.252)。Firewall Threat Defense 设备会丢弃传入子网中第一个和最后一个地址或从其传出的所有 ARP 数据包。例如，如果您使用 /30 子网，并从该子网中为上游路由器分配了一个预留地址，那么 Firewall Threat Defense 设备将丢弃从下游路由器发送至上游路由器的 ARP 请求。

对于高可用性，请在 设备 > 设备管理 页面上设置备用 IP 地址，然后点击监控接口区域中的高可用性选项卡。如果未设置备用 IP 地址，则主用设备无法使用网络测试监控备用接口，只能跟踪链路状态。

高可用性和集群接口仅支持静态 IP 地址配置；不支持 DHCP。

此时，您可以转至部署 > 部署部署并将策略部署到所分配的设备。在部署更改之后，更改才生效。

对于路由模式，基本 (Basic) 页面默认处于选中状态。对于透明模式，地址 (Address) 页面默认处于选中状态。

如果您只想配置链路本地地址，请使用此选项。否则，配置 IPv6 地址将自动启用 IPv6 处理。

要用于故障转移和集群，以及用于环回接口，您必须手动设置 IP 地址。对于集群，也不支持手动配置链路本地地址。

• 要在本地链路上的 IPv6 地址中强制使用修改的 EUI-64 格式的接口标识符，请选中强制 EUI-64 复选框。

• 要手动设置链路本地地址，请在链路本地地址字段中输入地址。

  链路本地地址应以 FE8、FE9、FEA 或 FEB 开头，例如 fe80::20d:88ff:feee:6a82。如果您不想配置全局地址，且只需配置链路本地地址，则可以选择手动定义链路本地地址。请注意，我们建议根据修改的 EUI-64 格式自动分配链路本地地址。例如，如果其他设备强制使用修改的 EUI-64 格式，则手动分配的链路本地地址可能导致丢弃数据包。

  集群不支持手动链路本地地址。

• 选中为地址配置启用 DHCP 复选框以在 IPv6 路由器通告数据包中设置托管地址配置标志。

  IPv6 路由器通告中的此标志通知 IPv6 自动配置客户端应使用 DHCPv6 来获取相关地址以及派生的无状态自动配置地址。

• 选中为非地址配置启用 DHCP 复选框以在 IPv6 路由器通告数据包中设置其他地址配置标志。

  IPv6 路由器通告中的此标志通知 IPv6 自动配置客户端应使用 DHCPv6 从 DHCPv6 获取其他信息，如 DNS 服务器地址。在使用具有 DHCPv6 前缀委派的 DHCPv6 无状态服务器时使用此选项。

• DAD 尝试次数 - DAD 尝试的最大数，介于 1 和 600 之间。将该值设置为 0 可禁用重复地址检测 (DAD) 流程。此设置可配置当对 IPv6 地址执行 DAD 时，接口上发送的连续邻居请求消息的数量。默认值为 1 次尝试。

• NS 间隔 - 接口上 Ipv6 邻居请求重新传输之间的间隔，介于 1000 和 3600000 毫秒之间。默认值为 1000 毫秒。

• 可达时间 - 可达性确认事件发生后远程 IPv6 节点被视为可达的时长，介于 0 和 3600000 毫米之间。默认值为 0 毫秒。当该值为 0 时，将发送未确定的可访问时间。由接收设备来设置和跟踪可访问时间的值。邻居可访问时间可启用检测不可用邻居。配置时间越短，检测不可用邻居的速度就越快，但是，时间缩短却在所有 IPv6 网络设备中占用了更多的 IPv6 网络带宽和处理资源。在正常 IPv6 操作中不建议设置很短的配置时间。

此时，您可以转至部署 > 部署部署并将策略部署到所分配的设备。在部署更改之后，更改才生效。

此设置可配置当对 IPv6 地址执行 DAD 时，接口上发送的连续邻居请求消息的数量。

在无状态自动配置过程中，重复地址检测会验证新单播 IPv6 地址的唯一性，再将地址分配给接口。

识别出重复地址后，该地址的状态会设置为 DUPLICATE，且不会使用该地址并生成以下错误消息：

325002: Duplicate address ipv6_address/MAC_address on interface

如果重复地址是接口的链路本地地址，则在接口上禁用 IPv6 数据包处理。如果重复地址是全局地址，则将不使用该地址。

默认值为 1000 毫秒。

邻居请求消息（ICMPv6 类型 135）由尝试发现本地链路上其他节点的链路层地址的节点在本地链路上发送。在收到邻居请求消息后，目标节点通过在本地链路上发送邻居通告消息（ICPMv6 类型 136）作出应答。

源节点接收邻居通告后，源节点与目标节点即可通信。识别邻居的链路层地址后，邻居请求消息也用于验证邻居的可访问性。当节点要验证邻居的可访问性时，邻居请求消息中的目标地址是邻居的单播地址。

本地链路中一个节点的链路层地址发生变化时，也会发送邻居通告消息。

默认值为 0 毫秒。当该值为 0 时，将发送未确定的可访问时间。由接收设备来设置和跟踪可访问时间的值。

邻居可访问时间可启用检测不可用邻居。配置时间越短，检测不可用邻居的速度就越快，但是，时间缩短却在所有 IPv6 网络设备中占用了更多的 IPv6 网络带宽和处理资源。在正常 IPv6 操作中不建议设置很短的配置时间。

路由器通告消息（ICMPv6 类型 134）会自动发送，以响应路由器请求消息（ICMPv6 类型 133）。路由器请求消息由主机在系统启动时发送，以便主机可以立即自动配置，而无需等待下一条预定路由器通告消息。

在不希望 Firewall Threat Defense 提供 IPv6 前缀的所有接口（例如，外部接口）上，您可能想要禁用这些消息。

• RA 有效期 - 在 IPv6 路由器通告中配置路由器有效期的值，介于 0 和 9000 秒之间。

  默认值为 1800 秒。

• RA 间隔 - 配置 IPv6 路由器通告传输之间的间隔，介于 3 和 1800 秒之间。

  默认值为 200 秒。

  为防止与其他 IPv6 节点同步，防火墙会随机调整您设置的值（抖动）。

对于使用 SLAAC 而不是 DHCPv6 进行寻址的客户端，此选项非常有用。请注意，如果在 Firewall Threat Defense上启用了前缀委派客户端，也可以使用 Firewall Threat Defense的 DHCPv6 无状态服务器传递 Firewall Threat Defense 接收到的 DNS 服务器信息。 如果两种方法都配置，则客户端将同时接收两组服务器。

对于使用 SLAAC 而不是 DHCPv6 进行寻址的客户端，此选项非常有用。请注意，如果您在Firewall Threat Defense上启用了前缀委派客户端，也可以使用Firewall Threat Defense 的 DHCPv6 无状态服务器传递Firewall Threat Defense 接收到的 DNS 域。 如果同时配置这两种方法，则客户端将接收两套域。

此时，您可以转至部署 > 部署部署并将策略部署到所分配的设备。在部署更改之后，更改才生效。