步骤 1

选择 对象 > 对象管理 > AAA 服务器 > Radius 服务器组。

步骤 2

选择并编辑列出的 Radius 服务器组对象，或者添加一个新的对象。

步骤 3

点击保存

步骤 1

依次选择 对象 > 对象管理 > AAA服务器 > 单点登录服务器。

步骤 2

点击 添加单点登录服务器 并提供以下详细信息：

步骤 3

点击保存 (Save)。

步骤 1

选择 对象 > 对象管理，然后从目录中选择 访问列表 (Access List) > 扩展 (Extended)。

步骤 2

执行以下操作之一：

步骤 3

在“新建扩展 ACL 访问列表对象”(New Extended Access List Object) 对话框中，输入对象的名称（不允许使用空格），并配置访问控制条目：

1. 执行以下操作之一：

   • 点击添加 (Add) 以创建新条目。

   • 点击 编辑 () 以编辑现有条目。

2. 选择操作 (Action)，是允许（匹配）还是阻止（不匹配）流量条件。

   注	日志记录 (Logging)、日志级别 (Log Level) 以及日志间隔 (Log Interval) 选项仅用于访问规则（附加到接口或全局应用的 ACL）。由于 ACL 对象不用于访问规则，请将这些值保留其默认值。

3. 使用以下任一方法在网络 (Network) 选项卡上配置源和目标地址：

   • 从“可用”(Available) 列表中选择所需的网络对象或组，然后点击添加到源 (Add to Source) 或添加到目标 (Add to Destination)。您可以通过点击列表上方的 + 按钮创建新对象。您可以混合使用 IPv4 和 IPv6 地址。

   • 在源或目标列表下面的编辑框中输入地址并点击添加 (Add)。您可以指定单个主机地址（如 10.100.10.5 或 2001:DB8::0DB8:800:200C:417A）或子网（10.100.10.0/24 或 10.100.10.0 255.255.255.0 格式，或 2001:DB8:0:CD30::/60 这种 IPv6 格式）。

4. 点击端口 (Port) 选项卡并使用以下任一方法配置服务。

   • 从可用列表中选择所需的端口对象，然后点击添加到源 (Add to Source) 或添加到目标 (Add to Destination)。您可以通过点击列表上方的 + 按钮创建新对象。对象可以指定 TCP/UDP 端口、ICMP/ICMPv6 消息类型或其他协议（包括“任意”[any]）。但是，通常留空的源端口只接受 TCP/UDP。您无法选择端口组。

     对于 TCP/UDP，请注意，如果同时指定了源和目标字段，则必须在两者中使用相同的协议。例如，您不能指定 UDP 源端口和 TCP 目标端口。

   • 在源或目标列表下面的编辑框中输入或选择端口或协议并点击添加 (Add)。

   注	要获取适用于所有 IP 流量的条目，请选择指定“所有”协议的目标端口对象。

5. 点击应用 (Application) 选项卡，然后选择要为直接互联网访问策略分组的应用。

   重要	不能为集群设备配置应用。因此，此选项卡不适用于集群设备。 仅在基于策略的路由选择中使用带有应用的扩展 ACL。请勿在其他策略中使用它，因为其行为未知且不受支持。确保为基于策略的路由选择迁移领域/ISE 配置，该路由选择在扩展 ACL 中使用用户身份和 SGT。

   注	可用应用 列表显示一组固定的预定义应用。此列表是访问控制策略上可用的应用的子集，因为只有第一个数据包（FQDN 终端解析为 IP 地址和端口）可以检测到这些应用。应用定义通过 VDB 更新进行更新，并在后续部署期间推送到 威胁防御 。 不支持用户定义的自定义应用或应用组。 目前， 管理中心 既不支持用户定义的自定义应用或应用组，也不允许您修改预定义的应用列表。 您可以使用应用过滤器下提供的应用过滤器 (Application Filters) 来优化此列表。

6. 点击用户 (Users) 选项卡，然后选择要为策略型路由 (PBR) 分类的用户、用户组或两者。

   重要	仅对策略型路由中的用户使用用户、用户组或两者扩展 ACL。请勿在其他策略中使用它，因为其行为未知且不受支持。

   注

   可用领域 (Available Realms) 列表会显示已配置的 Active Directory/LDAP 领域。有关创建和管理领域的信息，请分别参阅创建 LDAP 领域或 Active Directory 领域和领域目录和管理领域。 注   不支持本地领域和 Azure AD 领域。 可用用户 (Available Users) 列表会显示所选 AD/LDAP 领域的已下载用户和用户组。要下载用户、用户组或两者，请导航至集成 (Integrations) > 其他集成 (Other Integrations) > 领域 (Realms)，然后对相关的 Active Directory/LDAP 领域点击下载 (Download)。 注   威胁防御最多可支持 512 个用户组和 64000 个用户 IP 映射。 在用户登录或注销和组成员身份更改期间，用户到 IP 的映射和用户组成员身份信息将更新并从 管理中心 推送到 威胁防御 。

7. 点击安全组标记 (Security Group Tag)选项卡，然后选择要为直接互联网访问策略分类的源 SGT 标记。

   重要	仅对策略型路由中的 SGT 使用扩展 ACL。请勿在其他策略中使用它，因为其行为未知且不受支持。

   注	可用安全组标记 (Available Security Group Tags) 列表会显示已配置的安全组标记。您可以选择使用 ISE SGT 或创建自定义 SGT。 要使用 ISE SGT，请确保通过已订用的会话目录主题 和 SXP 主题将 ISE 与 管理中心 集成。有关 ISE 集成的更多信息，请参阅配置 思科身份服务引擎 (Cisco ISE) 身份源的方法。 注   支持的 ISE 版本包括 3.2、3、1、3.0 和 2.7 修补程序 2+。 有关创建自定义 SGT 的信息，请参阅创建安全组标记对象。

8. 选择所需的应用，然后点击添加到规则 (Add to Rule)。

   注	请勿在扩展 ACL 对象中配置目标网络和应用。 每个访问控制条目中的所选应用（Nertwork 服务对象）组成一个网络服务组 (NSG)，此组部署在 威胁防御上。NSG 用于直接互联网访问，根据与所选应用组的匹配对流量进行分类。

9. 点击添加 (Add) 以将条目添加到对象。

10. 如有必要，请点击并拖动条目，以按照规则顺序将其上移或下移到所需位置。

    重复该过程以创建或编辑对象中的其他条目。

步骤 4

如果要允许对此对象进行覆盖，请选中允许覆盖复选框；请参阅允许对象覆盖。

步骤 5

点击保存 (Save)。

步骤 1

选择 对象 > 对象管理，然后从目录中选择 访问列表 (Access List) > Standard (标准)。

步骤 2

执行以下操作之一：

步骤 3

在“新建标准ACL 访问列表对象”对话框中，输入对象的名称（不允许使用空格），并配置访问控制条目：

1. 执行以下操作之一：

   • 点击添加 (Add) 以创建新条目。

   • 点击 编辑 () 以编辑现有条目。

2. 对于每个访问控制条目，请配置以下属性：

   • 操作 (Action) - 是允许（匹配）还是阻止（不匹配）流量标准。

   • 网络 (Network) - 添加用于识别流量目标的 IPv4 网络对象或组。

3. 点击添加 (Add) 以将条目添加到对象。

4. 如有必要，请点击并拖动条目，以按照规则顺序将其上移或下移到所需位置。

   重复该过程以创建或编辑对象中的其他条目。

步骤 4

如果要允许对此对象进行覆盖，请选中允许覆盖复选框；请参阅允许对象覆盖。

步骤 5

点击保存 (Save)。

步骤 1

选择对象 > 对象管理。

步骤 2

从对象类型列表中选择密码套件列表 (Cipher Suite List)。

步骤 3

点击 Add Cipher Suites。

步骤 4

输入 Name。

步骤 5

从可用密码 (Available Ciphers) 列表中选择一个或多个密码套件。

步骤 6

点击添加 (Add)。

步骤 7

或者，点击所选密码 (Selected Ciphers) 列表中要删除的任何密码套件旁边的 删除 ()。

步骤 8

点击保存 (Save)。

步骤 1

选择对象 > 对象管理。

步骤 2

展开可分辨名称 (Distinguished Name) 节点，然后选择单个对象 (Individual Objects)。

步骤 3

点击 Add Distinguished Name。

步骤 4

输入 Name。

步骤 5

在 DN 字段中，输入可分辨名称或公用名的值。您有以下选择：

• 如果添加可分辨名称，则可包括可分辨名称中列出的每个属性（以逗号隔开）。
• 如果添加公用名，则可包括多个标签和通配符。

步骤 6

点击保存 (Save)。

步骤 1

选择对象 (Object) > 对象管理 (Object Management)。

步骤 2

点击网络对象列表中的 DNS 服务器组。

步骤 3

点击添加 DNS 服务器组。

步骤 4

输入 Name。

步骤 5

或者，输入用于附加到非完全限定主机名的默认域。

步骤 6

默认的超时和重试次数值已预填。如有必要，可更改这些值。

步骤 7

输入将属于此组的 DNS 服务器，可为 IPv4 或 IPv6 格式的逗号分隔条目。

步骤 8

点击保存 (Save)。

步骤 1

选择对象 > 对象管理。

步骤 2

从对象类型列表中选择文件列表 (File List)。

步骤 3

点击要添加文件的干净列表或自定义检测列表旁边的 编辑 ()。

步骤 4

从添加方式 (Add by) 下拉列表中选择 Enter SHA Value。

步骤 5

在 Description 字段中输入源文件的描述。

步骤 6

在 SHA-256 字段中输入或粘贴文件的完整值。系统不支持匹配部分值。

步骤 7

点击添加 (Add)。

步骤 8

点击保存 (Save)。

步骤 1

选择对象 > 对象管理。

步骤 2

从对象类型列表中选择文件列表 (File List)。

步骤 3

点击要添加文件的干净列表或自定义检测列表旁边的 编辑 ()。

步骤 4

从添加方式 (Add by) 下拉菜单中，选择计算 SHA (Calculate SHA)。

步骤 5

或者，在说明 (Description) 字段中输入文件的说明。如果不输入说明，在上传时文件名将被用作说明。

步骤 6

点击浏览 (Browse)，然后选择要上传的文件。

步骤 7

点击计算并添加 SHA (Calculate and Add SHA)。

步骤 8

点击保存 (Save)。

步骤 1

选择对象 > 对象管理。

步骤 2

点击 File List。

步骤 3

点击要从源文件向其添加值的文件列表旁边的 编辑 ()。

步骤 4

从添加方式 (Add by) 下拉菜单中，选择 List of SHAs。

步骤 5

或者，在说明 (Description) 字段中输入源文件的说明。如果不输入说明，系统将会使用文件名。

步骤 6

点击浏览 (Browse) 浏览到源文件，然后点击上传并添加列表 (Upload and Add List)。

步骤 7

点击保存 (Save)。

步骤 1

选择对象 > 对象管理。

步骤 2

点击 File List。

步骤 3

点击要修改文件的干净列表或自定义检测列表旁边的 编辑 ()。

步骤 4

您可以执行以下操作：

• 点击要更改的 SHA-256 值旁边的 编辑 ()，并根据需要修改 SHA-256 或说明 (Description) 值。
• 点击要删除的 SHA-256 值旁边的 删除 ()。

步骤 5

点击保存 (Save) 以更新列表中的文件条目。

步骤 6

点击保存 (Save) 以保存文件列表。

步骤 1

选择对象 > 对象管理。

步骤 2

从对象类型列表中选择文件列表 (File List)。

步骤 3

点击要下载源文件的干净列表或自定义检测列表旁边的 编辑 ()。

步骤 4

点击要下载的源文件旁边的 视图 ()。

步骤 5

点击下载 SHA 列表 (Download SHA List) 并按照提示保存源文件。

步骤 6

点击关闭 (Close)。

步骤 1

选择对象 > 对象管理。

步骤 2

从对象类型列表中选择地理位置 (Geolocation)。

步骤 3

点击 Add Geolocation。

步骤 4

输入 Name。

步骤 5

选中要包括到地理定位对象中的国家/地区和大洲的相应复选框。选中大洲会选中该大洲的所有国家/地区，以及 GeoDB 更新将来可能添加到该大洲下的所有国家/地区。取消选中大洲下的任意国家/地区会取消选中该大洲。您可以选择国家/地区和大洲的任意组合。

步骤 6

点击保存 (Save)。

步骤 1

选择对象 > 对象管理。

步骤 2

从对象类型列表中选择密钥链。

步骤 3

点击添加密钥链。

步骤 4

在“添加密钥链对象”对话框的名称字段中输入密钥链的名称。

步骤 5

要向密钥链添加密钥，请点击添加 (Add)。

步骤 6

在密钥 ID 字段中指定密钥标识符。

步骤 7

算法字段和密码加密类型字段分别显示支持的算法和加密类型，即 MD5 和明文。

步骤 8

在加密密钥字符串字段中输入密码，然后在确认加密密钥字符串字段中重新输入该密码。

步骤 9

要设置设备与其他设备进行密钥交换期间接受/发送密钥的时间间隔，请在接受生存期和发送生存期字段中提供生存期值：

步骤 10

点击添加 (Add)。

步骤 11

管理对象的覆盖：

• 如果要允许对此对象进行覆盖，请选中允许覆盖复选框；请参阅允许对象覆盖。
• 如果要将覆盖值添加到此对象，请展开“覆盖”(Override) 部分并点击添加 (Add)；请参阅添加对象覆盖。

步骤 12

点击保存 (Save)。

步骤 1

选择对象 > 对象管理。

步骤 2

从对象类型列表中选择网络 (Network)。

步骤 3

从添加网络 (Add Network) 下拉菜单中选择添加对象 (Add Object)。

步骤 4

或者，您可以克隆现有网络对象，然后编辑参数以创建新的网络对象。点击要克隆的现有网络对象上的克隆图标。

步骤 5

输入 Name。

步骤 6

输入说明 (Description)（可选）。

步骤 7

在网络字段中，选择所需选项，然后输入适当的值；请参阅网络。

步骤 8

（仅限 FQDN 对象）从查找下拉菜单中选择 DNS 解析以确定是否要将 IPv4 地址、IPv6 地址，或这两个地址与 FQDN 关联。

步骤 9

管理对象的覆盖：

• 如果要允许对此对象进行覆盖，请选中允许覆盖复选框；请参阅允许对象覆盖。
• 如果要将覆盖值添加到此对象，请展开“覆盖”(Override) 部分并点击添加 (Add)；请参阅添加对象覆盖。

步骤 10

点击保存 (Save)。

步骤 1

选择对象 > 对象管理。

步骤 2

从对象类型列表中选择端口 (Port)。

步骤 3

从添加端口 (Add Port) 下拉列表中选择添加对象 (Add Object)。

步骤 4

输入 Name。

步骤 5

选择协议 (Protocol)。

步骤 6

根据选择的协议，按端口 (Port) 进行限制，或者选择 ICMP 类型 (Type) 和代码 (Code)。

步骤 7

管理对象的覆盖：

• 如果要允许对此对象进行覆盖，请选中允许覆盖复选框；请参阅允许对象覆盖。
• 如果要将覆盖值添加到此对象，请展开“覆盖”(Override) 部分并点击添加 (Add)；请参阅添加对象覆盖。

步骤 8

点击保存 (Save)。

步骤 1

依次选择对象 (Object) > 对象管理 (Object Management) 并从目录中选择前缀列表 (Prefix Lists) > IPv6 前缀列表 (IPv6 Prefix List)。

步骤 2

点击添加前缀列表 (Add Prefix List)。

步骤 3

在新建前缀列表对象 (New Prefix List Object) 窗口上的名称 (Name) 字段中输入前缀列表对象的名称。

步骤 4

点击 新建前缀列表对象 (New Prefix List Object) 窗口上的 添加 (Add) 。

步骤 5

从操作 (Action) 下拉列表中选择相应的操作（“允许”[Allow] 或“阻止”[Block]），以指示重新分发访问。

步骤 6

在序列号 (Sequence No.) 字段中输入用于指示新前缀列表条目在已为此对象配置的前缀列表条目列表中将具有的位置的唯一编号。如果保留为空白，则序列号将默认为比当前使用中的最大序列号大 5。

步骤 7

在 IP 地址 (IP address) 字段中指定 IP 地址/掩码长度格式的 IPv6 地址。掩码长度必须是介于 1 和 128 之间的有效值。

步骤 8

在最小前缀长度 (Minimum Prefix Length) 中输入最小前缀长度。该值必须大于掩码长度并小于或等于“最大前缀长度”(Maximum Prefix Length)（如果指定）。

步骤 9

在最大前缀长度 (Maximum Prefix Length) 字段中输入最大前缀长度。该值必须大于或等于“最小前缀长度”(Minimum Prefix Length)（如果存在），或者大于掩码长度（如果未指定“最小前缀长度”[Minimum Prefix Length]）。

步骤 10

点击添加 (Add)。

步骤 11

如果要允许对此对象进行覆盖，请选中允许覆盖复选框；请参阅允许对象覆盖。

步骤 12

点击保存 (Save)。

步骤 1

依次选择对象 (Object) > 对象管理 (Object Management) 并从目录中选择前缀列表 (Prefix Lists) > IPv4 前缀列表 (IPv4 Prefix List)。

步骤 2

点击添加前缀列表 (Add Prefix List)。

步骤 3

在新建前缀列表对象 (New Prefix List Object) 窗口上的名称 (Name) 字段中输入前缀列表对象的名称。

步骤 4

点击添加 (Add)。

步骤 5

从操作 (Action) 下拉列表中选择相应的操作（“允许”[Allow] 或“阻止”[Block]），以指示重新分发访问。

步骤 6

在序列号 (Sequence No.) 字段中输入用于指示新前缀列表条目在已为此对象配置的前缀列表条目列表中将具有的位置的唯一编号。如果保留为空白，则序列号将默认为比当前使用中的最大序列号大 5。

步骤 7

在 IP 地址 (IP address) 字段中指定 IP 地址/掩码长度格式的 IPv4 地址。掩码长度必须是介于 1 和 32 之间的有效值。

步骤 8

在最小前缀长度 (Minimum Prefix Length) 中输入最小前缀长度。该值必须大于掩码长度并小于或等于“最大前缀长度”(Maximum Prefix Length)（如果指定）。

步骤 9

在最大前缀长度 (Maximum Prefix Length) 字段中输入最大前缀长度。该值必须大于或等于“最小前缀长度”(Minimum Prefix Length)（如果存在），或者大于掩码长度（如果未指定“最小前缀长度”[Minimum Prefix Length]）。

步骤 10

点击添加 (Add)。

步骤 11

如果要允许对此对象进行覆盖，请选中允许覆盖复选框；请参阅允许对象覆盖。

步骤 12

点击保存 (Save)。