步骤 1

选择设备 > 设备管理。

步骤 2

在要修改管理选项的设备旁边，点击 编辑 ()。

步骤 3

点击设备 (Devices)，并查看管理 (Management) 区域。

步骤 4

点击滑块暂时禁用管理，使其处于禁用状态 滑块已禁用 ()。

系统将提示您继续禁用管理；点击 是。

禁用管理会阻止 管理中心 和设备之间的连接，但不会从 管理中心 取消注册设备。

步骤 5

通过点击 编辑 () 来编辑远程主机地址 IP 地址和可选辅助地址（使用冗余数据接口时）或主机名。

步骤 6

在管理 (Management) 对话框中，在远程主机地址 (Remote Host Address) 字段和可选的辅助地址 (Secondary Address) 字段中修改名称或 IP 地址，然后点击保存 (Save)。

有关使用辅助管理器访问数据接口的信息，请参阅配置冗余管理器访问数据接口。

步骤 7

点击滑块重新启用管理，使其处于启用状态 滑块已启用 ()。

步骤 1

禁用管理连接。

1. 选择设备 > 设备管理。

2. 点击设备旁边的 编辑 ()。

3. 点击设备 (Devices)，并查看管理 (Management) 区域。

4. 点击滑块暂时禁用管理，使其处于禁用状态 ()。

   

   系统将提示您继续禁用管理；点击 是。

   

步骤 2

将 管理中心 中的设备 IP 地址更改为新的设备 IP 地址。

1. 通过点击 编辑 () 来编辑远程主机地址 IP 地址和可选辅助地址（使用冗余数据接口时）或主机名。

   

2. 在管理 (Management) 对话框中，在远程主机地址 (Remote Host Address) 字段和可选的辅助地址 (Secondary Address) 字段中修改名称或 IP 地址，然后点击保存 (Save)。

   

步骤 3

请更改 管理中心 IP 地址。

1. 选择 系统 () > 配置，然后选择管理接口。

2. 在接口区域中，点击要配置的接口旁边的编辑。

3. 更改 IP 地址，然后点击保存 (Save)。

步骤 4

更改设备上的管理器 IP 地址。

1. 在 威胁防御 CLI 中，查看 管理中心 标识符。

   show managers

   示例:

   
   > show managers
   Type                      : Manager
   Host                      : 10.10.1.4
   Display name              : 10.10.1.4
   Identifier                : f7ffad78-bf16-11ec-a737-baa2f76ef602
   Registration              : Completed
   Management type           : Configuration
    

2. 编辑 管理中心 IP 地址或主机名。

   configure manager edit 标识符 {hostname {ip_address | hostname} | displayname display_name}

   如果 管理中心 最初由 DONTRESOLVE 和 NAT ID 标识，则可以使用此命令将该值更改为主机名或 IP 地址。不能将 IP 地址或主机名更改为 DONTRESOLVE 。

   示例:

   
   > configure manager edit f7ffad78-bf16-11ec-a737-baa2f76ef602 hostname 10.10.5.1
   
   

步骤 5

在控制台端口更改管理器访问接口的 IP 地址。

步骤 6

点击滑块重新启用管理，使其处于启用状态 ()。

对于高可用性对或集群，在所有设备上执行这些步骤。

步骤 7

（如果使用数据接口进行管理器访问）刷新 管理中心中的数据接口设置。

1. 选择设备 (Devices) > 设备管理 (Device Management) > 设备 (Device) > 管理 (Management) > 管理访问权限 - 配置详细信息 (Manager Access - Configuration Details)，然后点击刷新 (Refresh)。

2. 选择设备 (Devices) > 设备管理 (Device Management) > 接口 (Interfaces)，然后设置 IP 地址以便与新地址匹配。

3. 返回管理器访问 - 配置详细信息 (Manager Access - Configuration Details) 对话框，然后点击确认 (Acknowledge) 以删除部署块。

步骤 8

确保管理连接已重新建立。

在 管理中心 中，在 设备 (Devices) > 设备管理 (Device Management) > 设备 (Device) > 管理 (Management) > 管理器访问 - 配置详细信息 (Manager Access - Configuration Details) > 连接状态 (Connection Status) 页面上检查管理连接状态。

在 威胁防御 CLI，输入 sftunnel-status-brief 命令以查看管理连接状态。

以下状态显示数据接口成功连接，显示内部“ tap_nlp”接口。

步骤 9

（对于高可用性 管理中心 对）在辅助 管理中心上重复配置更改。

1. 更改辅助 管理中心 IP 地址。

2. 在两台设备上指定新的对等地址。

3. 将辅助设备设置为主用设备。

4. 禁用设备管理连接。

5. 更改 管理中心 中的设备 IP 地址。

6. 重新启用管理连接。

步骤 1

初始化接口迁移。

1. 在 设备 (Devices) > 设备管理 (Device Management) 页面，然后点击设备的 编辑 () 。

2. 转到设备 (Device) > 管理 (Management) 部分，然后点击管理器访问接口 (Manager Access Interface) 的链接。

   管理器访问接口 (Manager Access Interface) 字段会显示当前管理接口。当您点击链接时，在 管理设备依据 下拉列表中选择新接口类型 数据接口。

   

3. 点击 确定 (OK) ，然后点击 关闭 (Close)。

   您现在必须完成此程序中的其余步骤，才能在数据接口上启用管理器访问。管理 (Management) 区域现在会显示管理器访问接口：数据接口 (Manager Access Interface: Data Interface) 以及管理器访问详细信息：配置 (Manager Access Details: Configuration)。

   

   如果点击配置 (Configuration)，将打开管理器访问 - 配置详细信息 (Manager Access - Configuration Details) 对话框。管理器访问模式 (Manager Access Mode) 将显示“等待部署” (Deploy pending) 状态。

步骤 2

在设备 (Devices) > 设备管理 (Device Management) > 接口 (Interfaces) > 编辑物理接口 (Edit Physical Interface) > 管理器访问 (Manager Access) 页面上启用数据接口上的管理器访问。

步骤 3

(可选) 如果对接口使用DHCP，请在 设备 > 设备管理 > DHCP > DDNS 页面上启用 Web 类型 DDNS 方法。

步骤 4

确保 威胁防御 可以通过数据接口路由到 管理中心；如果需要，在 设备 (Devices) > 设备管理 (Device Management) > 路由 (Routing) > 静态路由 (Routing)上添加静态路由。

步骤 5

(可选) 在平台设置策略中配置 DNS，并将其应用到位于 设备 > 平台设置 > DNS的此设备。

步骤 6

(可选) 在平台设置策略中为数据接口启用 SSH，并通过 设备 > 平台设置 > 安全外壳将其应用于此设备。

步骤 7

部署配置更改；请参阅 部署配置更改。

步骤 8

在 威胁防御 CLI（最好从控制台端口），将管理接口设置为使用静态 IP 地址，并将网关设置为使用数据接口。 对于高可用性，请在两台设备上执行此步骤。

步骤 9

如有必要，请重新连接 威胁防御，使其能够到达数据接口上的 管理中心。 对于高可用性，请在两台设备上执行此步骤。

步骤 10

在 管理中心 中，禁用管理连接，在设备 (Devices) > 设备管理 (Device Management) > 设备 (Device) > 管理 (Management) 部分中更新 威胁防御 的远程主机地址 (Remote Host Address)IP 地址 (IP address) 和可选辅助地址 (Secondary Address)，然后重新启用连接。

步骤 11

确保管理连接已重新建立。

在 管理中心 中，在 设备 (Devices) > 设备管理 (Device Management) > 设备 (Device) > 管理 (Management) > 管理器访问 - 配置详细信息 (Manager Access - Configuration Details) > 连接状态 (Connection Status) 页面上检查管理连接状态。

在 威胁防御 CLI，输入 sftunnel-status-brief 命令以查看管理连接状态。

以下状态显示数据接口成功连接，显示内部“ tap_nlp”接口。

如果重新建立连接需要 10 分钟以上，则应排除连接故障。请参阅排除数据接口上的管理连接故障。

步骤 1

初始化接口迁移。

1. 在 设备 (Devices) > 设备管理 (Device Management) 页面，然后点击设备的 编辑 () 。

2. 转到设备 (Device) > 管理 (Management) 部分，然后点击管理器访问接口 (Manager Access Interface) 的链接。

   管理器访问接口 (Manager Access Interface) 字段会将当前管理接口显示为数据。点击链接时，在 管理设备依据 下拉列表中选择新接口类型， 管理接口。

   

3. 点击保存 (Save)。

   点击确定 (OK) ，然后点击关闭 (Close)。

   您现在必须完成此程序中的其余步骤，才能在管理接口上启用管理器访问。管理 (Management) 区域现在会显示管理器访问接口：管理接口 (Manager Access Interface: Management Interface)。

   

步骤 2

在设备 (Devices) > 设备管理 (Device Management) > 接口 (Interfaces) > 编辑物理接口 (Edit Physical Interface) > 管理器访问 (Manager Access) 页面上禁用数据接口上的管理器访问。

步骤 3

如果尚未执行此操作，请在“平台设置”策略中为数据接口配置 DNS 设置，然后在 设备 > 平台设置 > DNS上将其应用至设备。

步骤 4

部署配置更改；请参阅 部署配置更改。

步骤 5

如有必要，请重新连接 威胁防御，以便它可以到达管理接口上的 管理中心。 对于高可用性，请在两台设备上执行此步骤。

步骤 6

在 威胁防御 CLI 中，使用静态 IP 地址或 DHCP 配置管理接口 IP 地址和网关。 对于高可用性，请在两台设备上执行此步骤。

步骤 7

在 管理中心 中，禁用管理连接，在设备 (Devices) > 设备管理 (Device Management) > 设备 (Device) > 管理 (Management) 部分中更新 威胁防御 的远程主机地址 (Remote Host Address)IP 地址 (IP address) 和可选辅助地址 (Secondary Address)，然后重新启用连接。

步骤 8

确保管理连接已重新建立。

步骤 1

在 设备 (Devices) > 设备管理 (Device Management) 页面，然后点击设备的 编辑 () 。

步骤 2

启用对辅助接口的管理器访问。

1. 选择接口 (Interfaces) > 编辑物理接口 (Edit Physical Interface) > 管理器访问 (Manager Access)。

2. 选中在此接口上为管理器启用管理 (Enable management on this interface for the Manager)。

3. 点击确定 (OK)。

两个接口都会在列表中显示（管理器访问）。

步骤 3

将辅助地址添加到管理 (Management) 设置。

1. 点击设备 (Devices)，并查看管理 (Management) 区域。

2. 点击编辑 ()。

   

3. 在管理 (Management) 对话框中，在辅助地址 (Secondary Address) 字段中修改名称或 IP 地址

   

4. 点击保存 (Save)。

步骤 4

通过两个接口创建 ECMP 区域。

1. 点击路由。

2. 从虚拟路由器下拉列表中，选择主接口和辅助接口所在的虚拟路由器。

3. 点击 ECMP，然后点击添加 (Add)。

4. 为 ECMP 区域输入一个名称。

5. 在可用接口 (Available Interfaces) 框下选择主和辅助接口，然后点击添加 (Add)。

   

6. 点击确定 (OK)，然后点击保存 (Save)。

步骤 5

为两个接口添加等价默认静态路由，并在两个接口上启用 SLA 跟踪。

除网关外，路由应完全相同，并且都应具有指标 1。主接口应已具有您可以编辑的默认路由。

1. 点击静态路由 (Static Route)。

2. 点击添加路由 (Add Route) 以添加新路由，或点击现有路由的 编辑 ()。

3. 从接口 (Interface) 下拉列表中选择接口。

4. 对于目标网络，从可用网络 (Available Networks) 框中选择 any-ipv4，然后点击添加 (Add)。

5. 输入默认网关。

6. 对于路由跟踪 (Route Tracking)，请点击 添加 () 以添加新的 SLA 监控器对象。

7. 输入以下必需参数：

   • 作为 管理中心 IP 地址的监控地址。

   • 可用区域 (Available Zones) 中的主要或辅助管理接口的区域；例如，为主接口对象选择外部区域，为辅助接口对象选择管理区域。

   有关详细信息，请参阅SLA 监控器。

   

8. 点击保存 (Save)，然后在路由跟踪 (Route Tracking) 下拉列表中选择您刚创建的 SLA 对象。

9. 点击确定 (OK)，然后点击保存 (Save)。

10. 对另一个管理接口的默认路由重复此操作。

步骤 6

部署配置更改；请参阅 部署配置更改。

步骤 1

通过控制台端口或使用 SSH 连接至设备 CLI。

步骤 2

使用“管理员”(Admin) 用户名和密码登录。

步骤 3

（仅 Firepower 4100/9300/Cisco Secure Firewall 4200））启用第二个管理接口作为仅事件的接口。

> configure network management-interface enable management1
Configuration updated successfully

> configure network management-interface disable-management-channel management1
Configuration updated successfully

>

步骤 4

配置管理接口和/或事件接口的 IP 地址：

1. 配置 IPv4 地址：

   • 手动配置：

     configure network ipv4 manual ip_address netmask gateway_ip [management_interface]

     请注意，此命令中的 门户_ip 用于为设备创建默认路由。如果配置仅事件接口，则必须输入 门户_ip 作为命令的一部分；但是，此条目只是将默认路由配置为您指定的值，并且不会为事件接口创建单独的静态路由。如果您在与管理接口不同的网络上使用仅事件接口，我们建议您设置 门户_ip 以用于管理接口，然后使用 configure network static-routes 命令单独为仅事件接口创建静态路由。

     示例：

     
     > configure network ipv4 manual 10.10.10.45 255.255.255.0 10.10.10.1 management1
     Setting IPv4 network configuration.
     Network settings changed.
     
     >
     
     

   • DHCP（只有默认的管理接口上才支持）：

     configure network ipv4 dhcp

2. 配置 IPv6 地址：

   • 无状态自动配置：

     configure network ipv6 router [management_interface]

     示例：

     
     > configure network ipv6 router management0
     Setting IPv6 network configuration.
     Network settings changed.
     
     >
     
     

   • 手动配置：

     configure network ipv6 manual ip6_address ip6_prefix_length [ip6_gateway_ip] [management_interface]

     请注意，此命令中的 ipv6_gateway_ip 用于为设备创建默认路由。如果配置仅事件接口，则必须输入 ipv6_gateway_ip 作为命令的一部分；但是，此条目只是将默认路由配置为您指定的值，并且不会为事件接口创建单独的静态路由。如果您在与管理接口不同的网络上使用仅事件接口，我们建议您将 ipv6_gateway_ip 设置为与管理接口配合使用，然后使用 configure network static-routes 命令单独为仅事件接口创建静态路由。

     示例：

     
     > configure network ipv6 manual 2001:0DB8:BA98::3210 64 management1
     Setting IPv6 network configuration.
     Network settings changed.
     
     >
     
     

   • DHCPv6（只有默认的管理接口上才支持）：

     configure network ipv6 dhcp

步骤 5

对于 IPv6，启用或禁用 ICMPv6 回应应答和目的地不可达消息。默认情况下，系统会启用这些消息。

> configure network ipv6 destination-unreachable disable
> configure network ipv6 echo-reply disable

步骤 6

在默认管理接口上启用 DHCP 服务器，以便向已连接的主机提供 IP 地址：

> configure network ipv4 dhcp-server-enable 10.10.10.200 10.10.10.254
DHCP Server Enabled

>

> show network-dhcp-server
DHCP Server Enabled
10.10.10.200-10.10.10.254

步骤 7

如果 管理中心位于远程网络上，则将为仅事件接口添加静态路由；否则，所有流量都将通过管理接口与默认路由匹配。

> configure network static-routes ipv4 add management1 192.168.6.0 255.255.255.0 10.10.10.1
Configuration updated successfully

> configure network static-routes ipv6 add management1 2001:0DB8:AA89::5110 64 2001:0DB8:BA98::3211
Configuration updated successfully

>

> show network-static-routes
---------------[ IPv4 Static Routes ]---------------
Interface                 : management1
Destination               : 192.168.6.0
Gateway                   : 10.10.10.1
Netmask                   : 255.255.255.0
[…]

步骤 8

设置主机名：

> configure network hostname farscape1.cisco.com

步骤 9

选择搜索域：

> configure network dns searchdomains example.com,cisco.com

步骤 10

设置多达 3 个 DNS 服务器，用逗号隔开：

> configure network dns servers 10.10.6.5,10.20.89.2,10.80.54.3

步骤 11

设置与 管理中心通信的远程管理端口：

> configure network management-interface tcpport 8555

步骤 12

（仅限 威胁防御）设置管理或事件接口 MTU。默认 MTU 为 1500 字节。

> configure network mtu 8192 management1
MTU set successfully to 1500 from 8192 for management1
Refreshing Network Config...
NetworkSettings::refreshNetworkConfig MTU value at start 8192

Interface management1 speed is set to '10000baseT/Full'
NetworkSettings::refreshNetworkConfig MTU value at end 8192
> 

步骤 13

配置 HTTP 代理。该设备配置为直接连接到互联网上的端口 TCP/443 (HTTPS) 和 TCP/80 (HTTP)。您可以通过 HTTP 摘要对代理服务器进行身份验证。发出命令后，系统将提示您 HTTP 代理地址和端口，是否需要进行代理身份验证，如果需要，还会提示代理用户名、代理密码和代理密码确认。

> configure network http-proxy
Manual proxy configuration
Enter HTTP Proxy address: 10.100.10.10
Enter HTTP Proxy Port: 80
Use Proxy Authentication? (y/n) [n]: Y
Enter Proxy Username: proxyuser
Enter Proxy Password: proxypassword
Confirm Proxy Password: proxypassword

步骤 14

如果更改设备管理 IP 地址，请参阅以下有关 管理中心 连接的任务，具体取决于您在初始设备设置期间使用 configure manager add 命令识别 管理中心 的方式（请参阅 向新的管理中心注册）：

步骤 1

如果要将数据管理接口更改为新接口，请将当前接口电缆移至新接口。

步骤 2

连接到设备 CLI。

步骤 3

使用“管理员”(Admin) 用户名和密码登录。

步骤 4

禁用接口，以便您重新配置其设置。

> configure network management-data-interface disable

 Configuration updated successfully..!!


Configuration disable was successful, please update the default route to point to a gateway on management interface using the command 'configure network'

步骤 5

配置用于管理器访问的新数据接口。

> configure network management-data-interface
Data interface to use for management: ethernet1/4
Specify a name for the interface [outside]: internet
IP address (manual / dhcp) [dhcp]: manual
IPv4/IPv6 address: 10.10.6.7
Netmask/IPv6 Prefix: 255.255.255.0
Default Gateway: 10.10.6.1
Comma-separated list of DNS servers [none]: 208.67.222.222,208.67.220.220
DDNS server update URL [none]:
Do you wish to clear all the device configuration before applying ? (y/n) [n]: y

Configuration done with option to allow manager access from any network, if you wish to change the manager access network
use the 'client' option in the command 'configure network management-data-interface'.

Setting IPv4 network configuration.
Network settings changed.

>

步骤 6

(可选) 限制在特定网络上通过数据接口访问 管理中心。

步骤 7

连接将自动重新建立，但在 管理中心 中禁用和重新启用连接将有助于更快地重新建立连接。请参阅更新管理中心中的主机名或 IP 地址。

步骤 8

检查管理连接是否已重新建立。

> sftunnel-status-brief
PEER:10.10.17.202
Peer channel Channel-A is valid type (CONTROL), using 'eth0', connected to '10.10.17.202' via '10.10.17.222'
Peer channel Channel-B is valid type (EVENT), using 'eth0', connected to '10.10.17.202' via '10.10.17.222'
Registration: Completed.
IPv4 Connection to peer '10.10.17.202' Start Time: Wed Jun 10 14:27:12 2020 UTC
Heartbeat Send Time: Mon Jun 15 09:02:08 2020 UTC
Heartbeat Received Time: Mon Jun 15 09:02:16 2020 UTC

步骤 9

在 管理中心 中，选择设备 (Devices) > 设备管理 (Device Management) > 设备 (Device) > 管理 (Management) > 管理器访问 - 配置详细信息 (Manager Access - Configuration Details)，然后点击刷新 (Refresh)。

步骤 10

选择 设备 > 设备管理 > 接口，然后做作一下更改。

1. 从旧数据管理接口中删除 IP 地址和名称，并禁用此接口的管理器访问。

2. 使用旧接口（在 CLI 中使用的接口）的配置配置新的数据管理接口，并为其启用管理器访问。

步骤 11

选择 设备 > 设备管理 > 路由 > 静态路由 ，然后将默认路由从旧数据管理接口更改为新路由。

步骤 12

返回管理器访问 - 配置详细信息 (Manager Access - Configuration Details) 对话框，然后点击确认 (Acknowledge) 以删除部署块。

步骤 1

在 威胁防御 CLI 中，查看 管理中心 标识符。

> show managers
Type                      : Manager
Host                      : 10.10.1.4
Display name              : 10.10.1.4
Identifier                : f7ffad78-bf16-11ec-a737-baa2f76ef602
Registration              : Completed
Management type           : Configuration
 

步骤 2

在 威胁防御 CLI 中，编辑 管理中心 IP 地址或主机名。

> configure manager edit f7ffad78-bf16-11ec-a737-baa2f76ef602 hostname 10.10.5.1

步骤 1

在 威胁防御 CLI 中，回滚到之前的配置。

> configure policy rollback

The last deployment to this FTD was on June 1, 2020 and its status was Successful.
Do you want to continue [Y/N]?

Y

Rolling back complete configuration on the FTD. This will take time.
.....................
Policy rollback was successful on the FTD.
Configuration has been reverted back to transaction id: 
Following is the rollback summary:
...................
....................
>

步骤 2

检查管理连接是否已重新建立。

步骤 1

选择设备 > 设备管理。

步骤 2

在要编辑高级设备设置的设备旁边，点击 编辑 ()。

步骤 3

点击设备 (Device)，然后点击高级设置 (Advanced Settings) 部分的 编辑 () 。

步骤 4

选中自动应用旁路。

步骤 5

输入介于 250 毫秒到 60,000 毫秒之间的旁路阈值。默认设置为 3000 毫秒 (ms)。

步骤 6

点击保存 (Save)。

步骤 1

选择设备 > 设备管理。

步骤 2

在要配置规则的 威胁防御设备旁，点击 编辑 ()。

步骤 3

点击设备 (Device) 选项卡，然后点击高级设置 (Advanced Settings) 部分的 编辑 () 。

步骤 4

选中对象组搜索 (Object Group Search)。

步骤 5

要使对象组搜索除网络对象外还适用于接口对象，请选中接口对象优化 (Interface Object Optimization)。

步骤 6

点击保存 (Save)。

步骤 1

选择设备 > 设备管理。

步骤 2

在要配置规则的 FTD 设备旁，点击 编辑 ()。

步骤 3

点击设备 (Device) 选项卡，然后点击高级设置 (Advanced Settings) 部分的 编辑 () 。

步骤 4

选中接口对象优化 (Interface Object Optimization)。

步骤 5

点击保存 (Save)。