Cisco Cisco Firepower Management Center 2000 User Guide

1-11

FireSIGHT 系统用户指南 

第 1 章      思科 FireSIGHT 系统简介 

  FireSIGHT 系统组件   

网络流量管理

利用 FireSIGHT 系统的网络流量管理功能可将受管设备用作贵公司网络基础设施的一部分。可以
配置 3 系列设备，使其在交换式、路由式或混合式 （交换路由式）环境中提供服务；执行网络地
址转换 (NAT) 以及创建安全虚拟专用网络 (VPN) 通道。

交换

可以在第 2 层部署中配置 FireSIGHT 系统，使其在两个或多个网段提供数据包交换。在第 2 层部
署中，在受管设备上配置交换接口和虚拟交换机作为独立的广播域。虚拟交换机根据主机的 
MAC 地址来确定数据包发送的目的地。您还可以将多个物理接口组成单个逻辑链路，用于在网
络中的两个终端之间提供数据包交换。终端可以是两个 FirePOWER 受管设备，也可以是连接到
第三方接入交换机的 FirePOWER 受管设备。

路由

可以在第 3 层部署配置 FireSIGHT 系统，路由两个或多个接口之间的流量。在第 3 层部署中，受
管设备上的路由接口和虚拟路由器配置为接收和转发流量。系统通过根据目标 IP 地址制定数据包
转发决策来路由数据包。路由器根据转发条件从传出接口获取目标位置，访问控制规则指定要应
用的安全策略。

配置虚拟路由器时，可以定义静态路由。此外，还可以配置路由信息协议 (RIP) 和开放式最短路
径优先 (OSPF) 动态路由协议。还可以配置静态路由与 RIP 或静态路由与 OSPF 的组合。可以为所
配置的每个虚拟路由器设置 DHCP 中继。

如果在使用的思科设备中同时包括虚拟交换机和虚拟路由器，可以配置关联混合接口以桥接它们
之间的流量。这些实用程序将分析流量，确定流量类型和相应的响应措施（路由、交换或其他）。
您还可以将多个物理接口组成单个逻辑链路，用于在网络中的两个终端之间路由流量。终端可以
是两个 FirePOWER 受管设备，也可以是连接到第三方路由器的 FirePOWER 受管设备。

在第 3 层部署中，可以配置网络地址转换 (NAT)。可以将内部服务器暴露于外部网络，或者允许
内部主机或服务器连接外部应用。还可以使用 IP 地址块或使用有限制的 IP 地址块和端口转换，
从外部网络配置 NAT 来隐藏专用网络地址。

虚拟专用网络 (VPN) 是通过互联网或其他网络等公共资源在终端之间建立安全隧道的一种网络连
接。可以配置 FireSIGHT 系统，在 3 系列设备的虚拟路由器之间建立安全 VPN 隧道。

FireSIGHT 是思科用于查看和收集有关主机、操作系统、应用、用户、文件、网络、地理位置信
息和漏洞信息的发现和感知技术，为您提供网络全面信息。

可以使用防御中心的 Web 界面来查看和分析系统收集的数据。还可以使用此数据来帮助执行访问
控制和修改入侵规则状态。此外，还可以根据主机的关联事件数据，对网络主机生成和跟踪危害
表现信息。

访问控制

访问控制是一项基于策略的功能，可用于指定、检查和记录可以流经网络的流量。访问控制策决
定系统如何处理网络上的流量。