在FTD上配置从管理到数据接口的管理器访问

下载选项

  • PDF     (1.9 MB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (1.7 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (1.5 MB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2024 年 7 月 18 日
文档 ID:222145

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

    简介

    本文档介绍将Firepower威胁防御(FTD)上的Manager访问从管理修改为数据接口的流程。

    先决条件

    要求

    Cisco 建议您了解以下主题：

    • Firepower威胁防御
    • Firepower 管理中心

    使用的组件

    • Firepower管理中心虚拟7.4.1
    • Firepower威胁防御虚拟7.2.5

    本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

    背景信息

    每个设备包括用于与FMC通信的单个专用管理接口。您可以选择将设备配置为使用数据接口而不是专用管理接口进行管理。如果要从外部接口远程管理Firepower威胁防御，或者没有单独的管理网络，则数据接口上的FMC访问非常有用。此更改必须在FMC管理的FTD的Firepower管理中心(FMC)上执行。

    从数据接口进行FMC访问存在一些限制：

    • 您只能在一个物理数据接口上启用管理器访问。不能使用子接口或EtherChannel。
    • 仅路由防火墙模式，使用路由接口。
    • 不支持PPPoE。如果您的ISP需要PPPoE，则必须在Firepower威胁防御和广域网调制解调器之间放置一台具有PPPoE支持的路由器。
    • 不能使用单独的管理接口和仅事件接口。

    配置

    继续接口迁移

    注释图标

    注意：强烈建议在继续进行任何更改之前同时备份FTD和FMC。

    1. 导航到设备>设备管理页面，点击要更改的设备的编辑。

    导航到Device Management to Edit

    2.转至Device > Management部分，单击Manager Access Interface的链接。

    修改管理访问接口

    Manager Access Interface字段显示现有管理接口。点击链接以选择新的接口类型，这是Manage device by下拉列表中的Data Interface选项，然后单击Save。

    将Manager访问接口从Management更改为Data

    3. 现在，您必须继续在数据接口上启用管理访问，导航到“设备”(Devices) >“设备管理”(Device Management) >“接口”(Interfaces) >“编辑物理接口”(Edit Physical Interface) >“管理器访问”(Manager Access)。

    在接口上启用管理访问

    注释图标

    注意：（可选）如果使用辅助接口实现冗余，请在用于冗余目的的接口上启用管理访问。

    （可选）如果对接口使用DHCP，请在Devices > Device Management > DHCP > DDNS对话框上启用Web类型“DDNS”方法。

    （可选）在平台设置策略中配置DNS，并将其应用于Devices > Platform Settings > DNS下的此设备。

    4. 确保威胁防御可以通过数据接口路由到管理中心；如有必要，在Devices > Device Management > Routing > Static Route上添加静态路由。

    1. 根据您要添加的静态路由类型，单击IPv4或IPv6。
    2. 选择此静态路由所应用的Interface。
    3. 在Available Network列表中，选择目标网络。
    4. 在Gateway或IPv6 Gateway字段中，输入或选择作为此路由的下一跳的网关路由器。

       （可选）要监控路由可用性，请在路由跟踪(Route Tracking)字段中输入或选择定义监控策略的服务级别协议(SLA)监控对象的名称。

    配置FTD的静态路由

    5.部署配置更改。配置更改现在通过当前管理接口进行部署。

    6. 在FTD CLI中，将管理接口设置为使用静态IP地址，并将网关设置为数据接口。

    • configure network {ipv4 | ipv6} manual ip_address netmask data-interfaces

    配置FTD上的管理以使用数据接口作为网关

    注释图标

    注意：虽然不计划使用管理接口，但必须设置静态IP地址。例如，提供私有地址，以便您可以将网关设置为data-interfaces。此管理用于使用tap_nlp接口将管理流量转发到数据接口。

    7. 禁用管理中心中的管理，在Devices > Device Management > Device > Management部分单击Edit并更新威胁防御的远程主机地址IP地址和（可选）辅助地址，然后启用连接。

    在FMC上禁用FTD管理

    在平台设置中启用SSH

    在“平台设置”策略中为数据接口启用SSH，然后在“设备”(Devices) >“平台设置”(Platform Settings)>“SSH访问”(SSH Access)处将SSH应用于此设备。单击“添加”(Add)。

    1. 允许进行SSH连接的主机或网络。
    2. 添加包含允许SSH连接的接口的区域。对于不在区域中的接口，您可以将接口名称键入字段Selected Zones/Interfaces列表并单击Add。
    3. Click OK. 部署更改
      4.

    在平台设置中配置SSH

    注释图标

    注意：默认情况下，SSH在数据接口上未启用，因此，如果您希望使用SSH管理威胁防御，则需要明确允许它。

    验证

    确保已在数据接口上建立管理连接。

    从FMC图形用户界面(GUI)进行验证

    在管理中心，在Devices > Device Management > Device > Management > Manager Access - Configuration Details > Connection Status页面上检查管理连接状态。

    检验FMC和FTD之间的管理连接状态

    从FTD命令行界面(CLI)进行验证

    在威胁防御CLI中，输入thesftunnel-status-briefcommand以查看管理连接状态。

    sftunnel-status-brief的命令输出

    状态显示数据接口的连接成功，显示内部tap_nlp接口。

    故障排除

    在管理中心，在Devices > Device Management > Device > Management > Manager Access - Configuration Details > Connection Status页面上检查管理连接状态。

    在威胁防御CLI中，输入thesftunnel-status-briefcommand以查看管理连接状态。还可以使用ftunnel-statusto查看更完整的信息。

    管理连接状态

    工作场景

    指示tap_nlp接口的sftunnel-status-brief命令输出

    非工作场景

    sftunnel-status连接状态的命令输出

    验证网络信息

    在威胁防御CLI中，查看管理和管理器访问数据接口网络设置：

    > show network

    FTD上的Show Network输出

    验证管理员状态

    在威胁防御 CLI中，检查管理中心注册是否已完成。

      > show managers

    FTD上的Show Managers命令输出

    注释图标

    注意：此命令不显示管理连接的当前状态。

    验证网络连接

    Ping管理中心

    在威胁防御CLI中，使用命令从数据接口对管理中心执行ping操作：

      > ping fmc_ip

    对FMC执行ping操作以从FMC验证连接

    在威胁防御CLI中，使用命令从管理接口对管理中心执行ping操作，该管理接口通过背板路由到数据接口：

      > ping system fmc_ip

    对FMC执行ping操作以检验通过管理接口从FMC建立的连接

    检查接口状态、统计信息和数据包计数

    在threat defenseCLI中，请参阅有关内部背板接口的信息nlp_int_tap：

      > show interface detail

    FTD上的接口统计信息

    验证FTD上的路由以到达FMC

    在threat defenseCLI中，检查是否已添加默认路由(S*)以及管理接口(nlp_int_tap)是否存在内部NAT规则。

      > show route

    验证FTD上的路由

      > show nat

    FTD上用于管理流量的NAT配置

    检查Sftunnel和连接统计信息

      > show running-config sftunnel

    Sftunnel的运行配置

    警告图标

    警告：在更改管理员访问权限的整个过程中，请勿在FTD上删除管理员，或取消注册/强制从FMC中删除FTD。

    相关信息

    修订历史记录

    版本 发布日期 备注
    1.0
    18-Jul-2024
    初始版本
    TAC Authored

    由思科工程师提供

    • 赛库马·本帕利
      安全技术咨询工程师

    此文档是否有帮助?

    Feedback反馈

    联系我们

    本文档适用于以下产品