步骤 1

选择设备 > 平台设置。

步骤 2

对于现有策略，您可以复制 ()、编辑（）或删除（）策略。

步骤 3

要创建新策略，请点击新建策略 (New Policy)。

1. 从下拉列表中选择设备类型。

   • Firepower 设置 为典型托管设备创建共享策略。

   • 威胁防御设置 以创建 威胁防御 托管设备的共享策略。

   • 机箱平台设置 用于在多实例模式下为受管 威胁防御 机箱创建共享策略。

2. 为新策略输入名称 (Name) 和说明 (Description)（可选）。

3. 或者，选择要应用策略的 可用设备 或 可用机箱 ，然后点击 添加 到策略（或拖放）以添加所选设备。可以在搜索 (Search) 字段中输入搜索字符串以缩小设备列表。

4. 点击保存 (Save)。

   系统创建策略，并打开以进行编辑。

步骤 4

要更改策略的目标设备，请点击要编辑的平台设置策略旁边的 编辑（） 图标。

1. 点击策略分配 (Policy Assignment)。

2. 要将设备、高可用性对或设备组分配给策略，请在 可用设备 或 可用机箱 列表中将其选中，然后点击 添加。还可以进行拖放。

3. 要删除设备分配，请点击 所选设备 或 所选机箱 列表中的设备、高可用性对或设备组旁边的 删除（） 。

4. 点击确定 (OK)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择ARP 检测。

步骤 3

将条目添加到 ARP 检查表。

1. 点击添加以创建新条目，如果该条目已存在，则点击编辑。

2. 选择所需的选项。

   • 已启用检查 - 对选定接口和区域执行 ARP 检查。

   • 已启用洪流 - 是否将不匹配静态 ARP 条目的 ARP 请求以洪流形式自除原始接口或专用管理接口以外的所有接口发出。此为默认行为。

     如果您不选择以洪流形式发出 ARP 请求，则只允许与静态 ARP 条目完全匹配的请求。

   • 安全区域 - 添加包含要在其上执行所选操作的接口的区域。区域必须为交换区域。对于不在区域中的接口，您可以在“所选安全区域”列表下方的字段中键入接口名称，然后点击添加 (Add)。仅当设备包含所选接口或区域时，才会将这些规则应用于该设备。

3. 点击确定 (OK)。

步骤 4

根据添加静态 ARP 条目中所述添加静态 ARP 条目。

步骤 5

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择横幅。

步骤 3

配置横幅。

步骤 4

点击保存 (Save)。

步骤 1

选择设备 (Devices) > 平台设置 (Platform Settings) 并创建或编辑威胁防御策略。

步骤 2

点击 DNS。

步骤 3

点击 DNS 设置 选项卡。

步骤 4

选中 启用按设备 DNS 域名解析。

步骤 5

配置 DNS 服务器组。

1. 在 DNS 服务器组列表中执行以下任一操作：

   • 要将值添加到列表，请点击 添加。如果在现有服务器组列表中配置了 30 个过滤器域，则无法添加其他组。

   • 要编辑组的设置，请点击组旁边的 编辑（） 。

   • 要删除组，请点击该组旁边的 删除（） 。删除组不会删除 DNS 服务器组对象，只是将其从此列表中删除。

2. 在添加或编辑组时，请配置以下设置，然后点击 确定：

   • 选择 DNS 组-选择现有 DNS 服务器组对象，或点击 + 创建新的 DNS 服务器组对象。

   • 作为默认-选择此选项可使此组成为默认组。任何与其他组的过滤器不匹配的 DNS 解析请求都将使用此组中的服务器进行解析。

   • 过滤域-仅对于非默认组，是逗号分隔的域名列表，例如 example.com，example2.com。不能包含空格。

     该组将仅用于这些域的 DNS 解析。您可以在添加到此 DNS 平台设置策略的所有组中最多输入 30 个单独的域。每个名称最多可包含 127 个字符。

     请注意，这些过滤器域与该组的默认域名无关。过滤器列表可以与默认域不同。

步骤 6

(可选) 输入 过期条目计时器 和 轮询计时器 值，以分钟计。

步骤 7

在所有接口或特定接口上启用 DNS 查找。这些选择还会影响所使用的路由表。

步骤 8

要配置受信任的 DNS 服务器，请点击 受信任的 DNS 服务器 选项卡。

步骤 9

默认情况下，在 DHCP 池，DHCP 中继，DHCP 客户端或 DNS 服务器组中配置的现有DNS服务器作为受信任DNS服务器。如果要排除其中任何一个，请取消选中相应的复选框。

步骤 10

要添加受信任的 DNS 服务器，请在 指定 DNS 服务器下，点击 编辑。

步骤 11

在 选择 DNS 服务器 对话框中，选择主机对象作为受信任 DNS 服务器或直接指定受信任 DNS 服务器的 IP 地址：

1. 要选择现有主机对象，请在 可用主机对象下，选择所需的主机对象，然后点击 添加 以将其包含到 所选DNS服务器中。有关添加主机对象的信息，请参阅 创建网络对象。

2. 要直接提供受信任 DNS 服务器的 IP 地址（IPv4 或 IPv6），请在给定文本字段中输入地址，然后点击 添加 以将其包含到 所选 DNS 服务器中。

3. 点击保存 (Save)。添加的DNS服务器显示在 受信任的 DNS 服务器 页面中。

步骤 12

（可选）要使用主机名或 IP 地址搜索已添加的 DNS 服务器，请使用 指定 DNS 服务器 下的搜索字段。

步骤 13

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

点击外部身份验证 (External Authentication)。

步骤 3

点击管理外部身份验证服务器 (Manage External Authentication Server) 链接。

步骤 4

配置 LDAP 身份验证对象。

1. 点击添加外部身份验证对象 (Add External Authentication Object)。

2. 将身份验证方法设置为 LDAP

3. 输入名称和可选说明。

4. 从下拉列表中选择服务器类型。

5. 对于主服务器，输入主机名/IP 地址。

   注	如果是使用证书通过 TLS 或 SSL 进行连接，则证书中的主机名必须与此字段中使用的主机名匹配。此外，加密连接不支持 IPv6 地址。

6. (可选) 更改端口使用的默认值。

7. (可选) 输入备份服务器参数。

8. 输入 LDAP 特定参数。

   • 基础 DN - 为要访问的 LDAP 目录输入基本可分辨名称。例如，要对 Example 公司的 Security 组织中的名称进行身份验证，请输入 ou=security,dc=example,dc=com。或者，点击获取 DN (Fetch DNs)，然后从下拉列表中选择相应的基本可分辨名称。

   • 基本过滤器 - 例如，如果目录树中的用户对象具有 physicalDeliveryOfficeName 属性，并且纽约办公室中的用户对于该属性具有属性值 NewYork，要仅检索纽约办公室中的用户，请输入 (physicalDeliveryOfficeName=NewYork)。

   • 用户名 - 为有足够凭证浏览 LDAP 服务器的用户输入可分辨的名称。例如，如果是连接到 OpenLDAP 服务器，其中用户对象具有 uid 属性，并且 Example 公司 Security 部门的管理员对象的 uid 值为 NetworkAdmin，则您可以输入 uid=NetworkAdmin,ou=security,dc=example,dc=com。

   • 密码和确认密码 - 输入并确认用户的密码。

   • （可选）显示高级选项 - 配置以下高级选项。

     • 加密 (Encryption) - 点击无 (None)、TLS 或 SSL。

       注	如果在指定端口后更改加密方法，则会将端口重置为该方法的默认值。对于无或 TLS，端口将重置为默认值 389。如果选择 SSL 加密，端口将重置为 636。

     • SSL 证书上传路径 (SSL Certificate Upload Path) - 对于 SSL 或 TLS 加密，必须通过点击选择文件 (Choose File) 选择一个证书。

     • （未使用）用户名模板 - 威胁防御 未使用。

     • 超时-输入滚动到备份连接之前等待的秒数（1-30 秒）。默认值为 30。

       注	威胁防御 和 管理中心的超时范围不同，因此，如果共享对象，请确保不要超过 威胁防御的较小超时范围（1-30 秒）。如果将超时设置为更高的值，则 威胁防御 外部身份验证配置将不起作用。

9. (可选) 如果要使用用户可分辨类型之外的外壳访问属性，请设置 CLI 访问属性 。例如，在 Microsoft Active Directory Server 上，通过在 CLI 访问属性 字段中键入 sAMAccountName 来使用 sAMAccountName 外壳访问属性检索外壳访问用户。

10. 设置 CLI 访问过滤器。

    选择以下方法之一：

    • 要使用配置身份验证设置时指定的同一过滤器，请选择与基本过滤器相同 (Same as Base Filter)。

    • 要根据属性值检索管理用户条目，请输入要用作过滤器的属性名、比较运算符和属性值（用括号括起来）。例如，如果所有网络管理员都具有属性值为 shell 的 manager 属性，则可以设置基本过滤器 (manager=shell)。

    LDAP 服务器上的名称必须是 Linux 有效的用户名：

    • 最多 32 个字母数字字符，外加连字符 (-) 和下划线 (_)

    • 全部小写

    • 不能以连字符 (-) 开头；不能全部是数字；不能包含句点 (.)、at 符号 (@) 或斜线 (/)

11. 点击保存 (Save)。

步骤 5

对于 LDAP，如果以后在 LDAP 服务器上添加或删除用户，必须刷新用户列表并重新部署平台设置。

1. 依次选择系统 > 用户 > 外部身份验证。

2. 点击 LDAP 服务器旁边的 刷新 （） 。

   如果用户列表发生变化，您将看到一条消息，建议您为设备部署配置更改。Firepower Threat Defense 平台设置还会显示它在“x 个目标设备上过时。"

3. 部署配置更改；请参阅部署配置更改。

步骤 6

配置 RADIUS 身份验证对象。

1. 使用 Service-Type 属性在 RADIUS 服务器上定义用户。

   以下是受支持的 Service-Type 属性值：

   • 管理员 (6) - 提供 CLI 的配置访问授权。这些用户可以在 CLI 中使用所有命令。

   • NAS 提示 (7) 或除级别 6 以外的任何级别 - 提供 CLI 的基本访问授权。这些用户可以使用只读命令，例如show命令，用于监控和故障排除。

   名称必须是 Linux 有效的用户名：

   • 最多 32 个字母数字字符，外加连字符 (-) 和下划线 (_)

   • 全部小写

   • 不能以连字符 (-) 开头；不能全部是数字；不能包含句点 (.)、at 符号 (@) 或斜线 (/)

   或者，您可以在外部身份验证对象中预定义用户（参见步骤6.j）。要在为 威胁防御使用 Service-Type 属性的同时对 威胁防御 和 管理中心 使用相同的 RADIUS 服务器，请创建可识别相同 RADIUS 服务器的两个外部身份验证对象：其中一个对象包括预定义的 CLI 访问过滤器 用户（用于 管理中心），另一个对象则将 CLI 访问过滤器 留空（用于 威胁防御）。

2. 在 管理中心 中，点击添加外部身份验证对象 (Add External Authentication Object)。

3. 将身份验证方法设置为 RADIUS。

4. 输入名称和可选说明。

5. 对于主服务器，输入主机名/IP 地址。

   注	如果是使用证书通过 TLS 或 SSL 进行连接，则证书中的主机名必须与此字段中使用的主机名匹配。此外，加密连接不支持 IPv6 地址。

6. (可选) 更改端口使用的默认值。

7. 输入 RADIUS 服务器密钥。

8. (可选) 输入备份服务器参数。

9. 输入 RADIUS 特定参数。

   • 超时（秒） - 输入滚动到备份连接之前等待的秒数。默认值为 30。

   • 重试次数 - 输入在滚动到备份连接之前应当尝试主服务器连接的次数。默认值为 3。

10. （可选）不使用 RADIUS 定义的用户，在 CLI 访问过滤器下，在 管理员 CLI 访问用户列表 字段中输入一个逗号分隔的用户名列表。例如，输入 jchrichton、aerynsun、rygel。

    您可能想要使用 威胁防御 的 CLI 访问过滤器 方法以便对 威胁防御 和其他平台类型使用相同的外部身份验证对象。请注意，如果想要使用 RADIUS 定义的用户，则必须将 CLI 访问过滤器 留空。

    请确保这些用户名匹配 RADIUS 服务器上的用户名。名称必须是 Linux 有效的用户名：

    • 最多 32 个字母数字字符，外加连字符 (-) 和下划线 (_)

    • 全部小写

    • 不能以连字符 (-) 开头；不能全部是数字；不能包含句点 (.)、at 符号 (@) 或斜线 (/)

    注	如果要在 RADIUS 服务器上仅定义用户，则必须将此部分留空。

11. 点击保存 (Save)。

步骤 7

返回 设备 > > 平台设置 > 外部身份验证。

步骤 8

点击 刷新 （） 可查看新添加的任何对象。

步骤 9

点击要使用的外部身份验证对象旁边的 滑块已启用（） 。只能启用一个对象。

步骤 10

点击保存 (Save)。

步骤 11

部署配置更改；请参阅部署配置更改。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择碎片设置 (Fragment Settings)。

步骤 3

配置以下选项。如果希望使用默认设置，请点击重置为默认值。

• 大小（块） - 来自所有连接的可能正在等待重组的总体数据包分段的最大数量。默认值为 200 个分段。
• 链（分段） - 可将一个完整 IP 数据包分段为数据包的最大数量。默认为 24 个数据包。将此选项设置为 1 将禁止分段。
• 超时（秒） - 等待整个分段数据包到达所需的最大秒数。默认值为 5 秒。如果在此时间内未收到所有分段，则将放弃所有分段。

步骤 4

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择 HTTP 访问。

步骤 3

选中 启用 HTTP 服务器 复选框以启用 HTTP 服务器。

步骤 4

(可选) 更改 HTTP 端口。默认值为 443。

步骤 5

标识允许 HTTP 连接的接口和 IP 地址。

1. 点击添加 (Add) 以添加新规则，或点击编辑 (Edit) 以编辑现有规则。

2. 配置规则属性：

   • IP 地址- 用于标识允许建立 HTTP 连接的主机或网络的网络对象 或组 。从下拉列表中选择一个对象，或者点击 + 以添加新的网络对象。

   • 可用区域/接口- 添加包含将允许进行 HTTP 连接的接口的区域。对于不在区域中的接口，可以在 所选区域/接口 列表下方的字段中键入接口名称，然后点击 添加。仅当设备包含所选接口或区域时，才会将这些规则应用于该设备。

3. 点击确定 (OK)。

步骤 6

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择 ICMP 访问。

步骤 3

配置 ICMP 规则。

1. 点击添加 (Add) 以添加新规则，或点击编辑 (Edit) 以编辑现有规则。

2. 配置规则属性：

   • 操作 - 许可（允许）还是拒绝（丢弃）匹配的流量。

   • ICMP 服务 - 标识 ICMP 消息类型的端口对象。

   • 网络 (Network) - 标识您要控制其访问权限的主机或网络的网络对象或组。

   • 可用区域/接口-添加包含您所保护的接口的区域。对于不在区域中的接口，可以在 所选区域/接口 列表下方的字段中键入接口名称，然后点击 添加。仅当设备包含所选接口或区域时，才会将这些规则应用于该设备。

3. 点击确定 (OK)。

步骤 4

（可选。）设置对 ICMPv4 无法访问的消息的速率限制。

步骤 5

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择 NetFlow。

步骤 3

启用启用流导出开关以 启用 NetFlow 数据导出。

步骤 4

配置用于控制事件推送到收集器的频率的常规 NetFlow 参数。

1. 活动刷新间隔- 对于活动连接，指定流更新事件之间的时间间隔（以分钟为单位）。

2. 延迟流创建 - 指定发送流创建事件之前的延迟（以秒为单位）。如果没有输入任何值，则不会延迟，并会在创建流后立即导出流创建事件。

3. 模板超时速率 - 指定将模板记录发送到收集器的间隔（以分钟为单位）。

步骤 5

点击 添加收集器 以配置收集器。请参阅在 NetFlow 中添加收集器。

步骤 6

点击 添加流量类 以配置流量类。请参阅将流量类添加到 NetFlow。

步骤 7

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择SSH 访问 (SSH Access)。

步骤 3

标识允许 SSH 连接的接口和 IP 地址。

1. 点击添加 (Add) 以添加新规则，或点击编辑 (Edit) 以编辑现有规则。

2. 配置规则属性：

   • IP 地址-用于标识允许建立 HTTPS 连接的主机或网络的网络对象 或组 。从下拉列表中选择一个对象，或者点击 + 以添加新的网络对象。

   • 可用区域/接口 (Available Zones/Interfaces) - 添加包含将允许进行 SSH 连接的接口的区域。对于不在区域中的接口，可以在所选区域/接口 (Selected Zones/Interfaces) 列表下方的字段中键入接口名称，然后点击添加 (Add)。 您还可以添加环回接口和虚拟路由器感知接口。仅当设备包含所选接口或区域时，才会将这些规则应用于该设备。

3. 点击确定 (OK)。

步骤 4

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

点击 SMTP 服务器。

步骤 3

选择标识主服务器 IP 地址的网络对象，以及可选的辅助服务器 IP 地址。

步骤 4

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择 SNMP。

步骤 3

启用 SNMP 并配置基本选项。

• 启用 SNMP 服务器 - 是否向配置的 SNMP 主机提供 SNMP 信息。您可以取消选择此选项，以便在保留配置信息的同时禁用 SNMP 监控。
• 读取社区字符串、确认 - 输入在向 威胁防御设备发送请求时，SNMP 管理工作站使用的密码。SNMP 社区字符串是 SNMP 管理工作站与受管的网络节点之间的共享密钥。安全设备使用此密码确定传入的 SNMP 请求是否有效。密码是区分大小写的字母数字字符串，最多可包含 32 个字符；不允许使用空格和特殊字符。
• 系统管理员名称 - 输入设备管理员或其他联系人的名称。该字符串区分大小写，最多可以包含 127 个字符。接受空格，但多个空间缩为一个空格。
• 位置 - 输入此安全设备的位置（例如，54 区 42 号楼）。该字符串区分大小写，最多可以包含 127 个字符。接受空格，但多个空间缩为一个空格。
• 端口 - 输入将在其上接受传入请求的 UDP 端口。默认值为 161。

步骤 4

（仅限 SNMPv3）。添加 SNMPv3 用户。

步骤 5

添加 SNMP 主机。

步骤 6

配置 SNMP 陷阱。

步骤 7

点击保存 (Save)。

步骤 1

选择设备 > 平台设置，并创建或编辑 威胁防御策略。

步骤 2

选择 SSL。

步骤 3

将条目添加到添加 SSL 配置表中。

1. 点击添加以创建新条目，如果该条目已存在，则点击编辑。

2. 从下拉列表中选择所需的安全配置。

• 协议版本 - 指定在建立远程访问 VPN 会话时要使用的 TLS 协议。
• 安全级别 - 指示希望为 SSL 设置的安全定位类型。

步骤 4

根据您选择的协议版本选择可用算法，然后点击添加以针对所选协议包括这些算法。有关详细信息，请参阅关于 SSL 设置。

步骤 5

点击确定以保存更改。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择超时。

步骤 3

配置要更改的超时。

步骤 4

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择时间同步 (Time Synchronization)。

步骤 3

配置以下时钟选项之一：

• 通过 NTP 从防御中心 -（默认）。托管设备从为 管理中心 配置的 NTP 服务器（经过身份验证的 NTP 服务器除外）获取时间，并直接与这些服务器同步时间。但是，如果满足以下任一条件，则托管设备将从 管理中心 同步时间：

  • 设备无法访问 管理中心 的 NTP 服务器。

  • 管理中心 没有未经身份验证的服务器。

• 通过网络上的 NTP (Via NTP from)：如果您的 管理中心使用的是网络上的 NTP 服务器，请选择此选项，并输入您在系统 (System) > 配置 (Configuration) > 时间同步 (Time Synchronization) 中指定的同一 NTP 服务器的完全限定 DNS 名称（例如 ntp.example.com）或 IPv4 或 IPv6 地址 。如果无法访问 NTP 服务器，则 管理中心将充当 NTP 服务器。

步骤 4

点击保存 (Save)。

步骤 1

依次选择设备 (Devices) > 平台设置 (Platform Settings)，并创建或编辑 威胁防御 策略。

步骤 2

通过点击 +创建新的时区对象。

步骤 3

选择时区。

步骤 4

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

点击 UCAPL/CC 合规性 (UCAPL/CC Compliance)。

步骤 3

要在设备上永久启用安全认证合规性，您有两种选择：

• 要在通用条件模式中启用安全认证合规性，请从下拉列表中选择 CC。
• 要在统一功能获批产品列表模式中启用安全认证合规性，请从下拉列表中选择 UCAPL。

步骤 4

点击保存 (Save)。

步骤 1

选择 设备 > 平台设置 ，并创建或编辑 威胁防御 策略。

步骤 2

选择性能配置文件 (Performance Profile)。

步骤 3

选择一个配置文件：

步骤 4

单击保存。

步骤 5

部署策略。

步骤 6

部署完成后，您必须重新启动每个受影响的设备，这样才能进行新的核心分配。