How Cisco FTD register to FMC

将 Cisco FTD 注册到 FMC，核心操作分两步：先在 FTD 的 CLI 上配置管理器信息，再在 FMC 的 Web 界面上添加该设备。两者使用的注册密钥必须完全一致。

前提条件

版本兼容：FMC 的软件版本必须等于或高于 FTD 的版本，否则注册会因版本不兼容而失败。
网络可达：FTD 与 FMC 之间需要能互通，FTD 默认会监听 TCP 8305 端口用于管理通信。

操作步骤

第一步：在 FTD CLI 上配置管理器

通过 SSH 或 Console 登录 FTD 命令行，进入配置模式后执行注册命令。

标准语法：

configure manager add {FMC主机名 | FMC_IP地址 | DONTRESOLVE} 注册密钥 [NAT_ID]

常见场景示例：

场景 A：FMC 有可路由的静态 IP（最常见）
如果 FTD 能直接访问 FMC 的 IP，直接指定 IP 和自定义密钥即可。
text
```
configure manager add 10.62.148.75 Cisco-123
```
执行成功后，系统会提示 Manager successfully configured.，并提醒你记下 reg_key，因为下一步在 FMC 上必须填同一个密钥。
场景 B：FMC 在 NAT 后面（或使用 DONTRESOLVE）
如果 FTD 无法直接解析或路由到 FMC 的地址，需指定 DONTRESOLVE，并必须附带一个唯一的 NAT ID。
text
```
configure manager add DONTRESOLVE my_reg_key my_nat_id
```
此时 FMC 侧除了密钥，还必须填入完全相同的 NAT ID 才能匹配。

第二步：在 FMC GUI 上添加设备

登录 FMC，导航至 Devices > Device Management。
点击 Add > Device。
填写关键参数：
- Host：输入 FTD 的 IP 地址（即 FTD 的管理口 IP）。
- Display Name：自定义一个易于识别的设备名称。
- Registration Key：必须与第一步在 FTD 上输入的密钥完全一致（区分大小写）。
- Access Control Policy：选择准备下发给该 FTD 的初始策略。
- NAT ID：如果第一步在 FTD 上配置了 NAT ID，此处必须填写完全相同的值；如果第一步直接指定了 IP，此处可留空。
点击 Register。FMC 会尝试建立连接并下发证书，状态变为 “Completed” 即表示成功。

验证与排错

查看状态：在 FTD CLI 上输入 show managers，若状态显示为 Completed 或 Pending 转为正常，说明配置已被接受。
常见失败原因：
- 密钥不匹配：FTD 和 FMC 两侧的密钥不一致。
- NAT ID 不一致：使用了 DONTRESOLVE 场景时，两侧的 NAT ID 不同。
- 版本倒挂：FTD 版本比 FMC 新，需升级 FMC。
- 证书残留：如果 FMC 曾从备份恢复，可能导致旧证书冲突，需清理 FMC 数据库中的旧条目。

# DONTRESOLVE 这是个啥

DONTRESOLVE 是思科 Firepower 设备（FTD）在向管理中心（FMC）注册时使用的一个特殊关键字。它的作用是告诉设备：不要尝试通过 DNS 解析 FMC 的主机名，因为 FMC 在 NAT 后面，无法直接寻址。

为什么需要它

当 FMC 位于 NAT 设备之后时，FTD 通常无法通过一个固定的 IP 地址或主机名直接找到它。此时，DONTRESOLVE 会替代常规的 hostname 或 IPv4_address 参数，并强制要求你同时配置一个 NAT ID 作为双方建立信任的凭证。

关键配置要点

在 FTD 的命令行中，配置格式通常如下：

configure manager add DONTRESOLVE [注册密钥] [NAT ID]

使用时需注意：

必须配对 NAT ID：一旦使用了 DONTRESOLVE，nat_id 就是必填项。你必须在 FMC 的 Web 界面添加该设备时，输入完全相同的 NAT ID 和注册密钥，双方才能完成认证和注册。
至少一方可路由：虽然 FMC 地址不可直接解析，但 FTD 本身（或 FMC 的另一侧）必须有一个可路由的 IP 地址或主机名，以便建立双向的 SSL 通信通道。

简单说，这就是在“FMC 藏在了 NAT 后面”的场景下，用来替代真实地址、依靠共享密钥（NAT ID）来完成牵手的专用指令。

本回答由 AI 生成，内容仅供参考，请仔细甄别

# 举个真实例子

思科官方文档中给出了一个标准的命令行示例。假设你的 FMC 部署在 NAT 设备后面，无法通过固定 IP 或主机名直接访问，而 FTD 有可路由的地址。

在 FTD 的 CLI 中，你需要这样配置：

> configure manager add DONTRESOLVE regk3y78 natid90
Manager successfully configured.

这里的关键对应关系是：

DONTRESOLVE：替代了 FMC 的真实地址，告诉 FTD 不要尝试解析。
regk3y78：这是注册密钥（Registration Key）。
natid90：这是 NAT ID，用于在双方无法直接通过 IP 互信时建立关联。

后续在 FMC 上的操作

在 FTD 上敲完上述命令后，你还需要登录 FMC 的 Web 界面完成配对。在 “Add Device” 页面中，你需要填入完全一致的信息：

在 Registration Key 字段输入 regk3y78。
在 Unique NAT ID 字段输入 natid90。

只要这两边的密钥和 NAT ID 匹配成功，即使 FMC 藏在 NAT 后面，注册流程也能顺利完成。

# 那我在ftd里输入了 DONTRESOLVE

FTD针对谁发起请求？

当你输入 DONTRESOLVE 后，FTD 不会主动向 FMC 的某个特定 IP 地址“发起请求”。它的行为模式发生了根本变化：从“主动去找 FMC”变成了“等待 FMC 来找自己”。

关键逻辑：谁发起连接？

根据思科官方文档，注册过程遵循一个铁律：通信双方（FTD 和 FMC）中，至少有一方必须拥有一个可路由的 IP 地址或主机名，才能建立双向的 SSL 加密通道。

当你配置了 DONTRESOLVE，意味着 FMC 的地址是未知或不可达的。因此，必须由 FTD 来承担“可被寻址”的角色。

FTD 实际在做什么？

配置完成后，FTD 并不会去解析或寻找 FMC。相反，它会：

在管理接口上监听：等待来自 FMC 的入站连接。
验证身份：当 FMC 尝试连接时，FTD 会核对对方提供的 注册密钥（reg_key） 和 NAT ID。只有这两个值与你之前在 FTD 上输入的完全一致，FTD 才会信任这个连接请求并完成注册。

总结

所以，FTD 针对的不是某个特定的 IP 地址，而是等待一个携带了正确“暗号”（NAT ID + 注册密钥）的连接请求。在这种情况下，FMC 必须主动向 FTD 的管理 IP 发起连接，而 FTD 只需要保证自己的管理 IP 是 FMC 能够访问到的即可。

# fmc怎么知道去找谁

FMC 之所以知道该去找谁，是因为你在 FMC 的 Web 界面上手动输入了 FTD 的地址。DONTRESOLVE 只解决了 FTD “不知道 FMC 在哪”的问题，但注册要成功，必须有一方是“可被找到”的。既然 FTD 放弃了寻找 FMC，那么寻找的动作就反过来由 FMC 来完成。

FMC 具体是怎么“知道”的

当你在 FMC 上点击“Add Device”时，你需要填写一个关键的 Host 字段。这里填的就是 FTD 的管理 IP 地址或主机名。

结合你之前的操作，整个逻辑闭环是这样的：

FTD 侧（你已做）：输入 configure manager add DONTRESOLVE regk3y78 natid90。这等于告诉 FTD：“别找 FMC 了，在原地等着，会有人带着暗号 natid90 和 regk3y78 来找你。”
FMC 侧（你需要做）：在 FMC 界面添加设备时，在 Host 栏填入 FTD 的管理 IP。同时，在 Registration Key 和 Unique NAT ID 栏填入完全相同的 regk3y78 和 natid90。
发起连接：FMC 根据你填写的 Host（FTD 的 IP），主动向 FTD 发起 SSL 连接请求。FTD 收到请求后，核对对方带来的“暗号”（NAT ID 和密钥），匹配成功则允许注册。

一个补充细节

思科文档也提到，在某些特定条件下（比如 FTD 初始配置时已经指定了 FMC 的 IP），FMC 的 Host 字段甚至可以留空，FMC 也能完成注册。但这通常不适用于你这种使用了 DONTRESOLVE 的场景。在你的场景下，最稳妥的做法就是在 FMC 的 Host 字段老老实实填上 FTD 的地址。

所以，DONTRESOLVE 并没有消除寻址需求，它只是把“谁去找谁”的主动权，从 FTD 转移到了 FMC 身上。

posted @ 2026-10-25 21:23 JacobJacob 阅读(4) 评论(0) 收藏举报

刷新页面返回顶部