Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Arquitectura

Funcionamiento en segundo plano cuando un usuario se conecta a un ASA mediante ASDM

Paso 1 - El usuario inicia la conexión ASDM

Paso 2 - El ASDM descubre la configuración de ASA y la dirección IP del módulo FirePOWER

Paso 3 - El ASDM inicia la comunicación hacia el módulo FirePOWER

Paso 4 - El ASDM recupera los elementos del menú FirePOWER

Troubleshoot

Información Relacionada

Introducción

Este documento describe cómo el software Adaptive Security Device Manager (ASDM) se comunica con Adaptive Security Appliance (ASA) y con un módulo de software FirePOWER instalado en él.

Un módulo FirePOWER instalado en un ASA se puede gestionar mediante:

- Firepower Management Center (FMC): solución de gestión integrada.

- ASDM: se trata de la solución de gestión integrada.

Prerequisites

Requirements

Una configuración ASA para habilitar la administración de ASDM:

ASA5525(config)# interface GigabitEthernet0/0

ASA5525(config-if)# nameif INSIDE

ASA5525(config-if)# security-level 100

ASA5525(config-if)# ip address 192.168.75.23 255.255.255.0

ASA5525(config-if)# no shutdown

ASA5525(config)#

ASA5525(config)# http server enable

ASA5525(config)# http 192.168.75.0 255.255.255.0 INSIDE

ASA5525(config)# asdm image disk0:/asdm-762150.bin

ASA5525(config)#

ASA5525(config)# aaa authentication http console LOCAL

ASA5525(config)# username cisco password cisco

Compruebe la compatibilidad entre el módulo ASA/SFR; de lo contrario, no se verán las pestañas de FirePOWER.

Además, en ASA se debe habilitar la licencia 3DES/AES:

ASA5525# show version | in 3DES

Encryption-3DES-AES               : Enabled        perpetual

Asegúrese de que el sistema cliente ASDM ejecute una versión compatible de Java JRE.

Componentes Utilizados

- Un host de Microsoft Windows 7

- ASA5525-X que ejecuta ASA versión 9.6(2.3)

- ASDM versión 7.6.2.150

- Módulo de software FirePOWER 6.1.0-330

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Arquitectura

El ASA tiene tres interfaces internas:

- asa_dataplane: se utiliza para redirigir paquetes de ASA Data Path al módulo de software FirePOWER.

- asa_mgmt_plane: se utiliza para permitir que la interfaz de administración de FirePOWER se comunique con la red.

- plano - Interfaz del plano de control que se utiliza para transferir señales de mantenimiento entre el ASA y el módulo FirePOWER.

Puede capturar tráfico en todas las interfaces internas:

ASA5525# capture CAP interface ?

asa_dataplane   Capture packets on dataplane interface

asa_mgmt_plane  Capture packets on managementplane interface

cplane          Capture packets on controlplane interface

Esto se puede visualizar de la siguiente manera:

Funcionamiento en segundo plano cuando un usuario se conecta a un ASA mediante ASDM

Tenga en cuenta esta topología:

Cuando un usuario inicia una conexión ASDM con el ASA, se producirán estos eventos:

Paso 1 - El usuario inicia la conexión ASDM

El usuario especifica la dirección IP de ASA utilizada para la administración HTTP, ingresa las credenciales e inicia una conexión hacia el ASA:

En segundo plano, se establece un túnel SSL entre el ASDM y el ASA:

Esto se puede visualizar de la siguiente manera:

Paso 2 - El ASDM descubre la configuración de ASA y la dirección IP del módulo FirePOWER

Ingrese el comando debug http 255 en el ASA para mostrar todas las verificaciones que se realizan en segundo plano cuando el ASDM se conecta al ASA:

ASA5525# debug http 255

…

HTTP: processing ASDM request [/admin/exec/show+module] with cookie-based authentication

HTTP: processing GET URL '/admin/exec/show+module' from host 192.168.75.22

HTTP: processing ASDM request [/admin/exec/show+cluster+interface-mode] with cookie-based authentication

HTTP: processing GET URL '/admin/exec/show+cluster+interface-mode' from host 192.168.75.22

HTTP: processing ASDM request [/admin/exec/show+cluster+info] with cookie-based authentication

HTTP: processing GET URL '/admin/exec/show+cluster+info' from host 192.168.75.22

HTTP: processing ASDM request [/admin/exec/show+module+sfr+details] with cookie-based authentication

HTTP: processing GET URL '/admin/exec/show+module+sfr+details' from host 192.168.75.22

- show module - El ASDM detecta los módulos ASA.

- show module sfr details - El ASDM detecta los detalles del módulo, que incluyen la dirección IP de administración de FirePOWER.

Estos se verán en segundo plano como una serie de conexiones SSL desde el PC hacia la dirección IP de ASA:

Paso 3 - El ASDM inicia la comunicación hacia el módulo FirePOWER

Dado que el ASDM conoce la dirección IP de administración de FirePOWER, inicia sesiones SSL hacia el módulo:

Esto se verá en segundo plano como conexiones SSL del host ASDM hacia la dirección IP de administración de FirePOWER:

Esto se puede visualizar de la siguiente manera:

El ASDM autentica el FirePOWER y se muestra una advertencia de seguridad, ya que el certificado de FirePOWER se firma automáticamente:

Paso 4 - El ASDM recupera los elementos del menú FirePOWER

Después de la autenticación correcta, el ASDM recupera los elementos de menú del dispositivo FirePOWER:

Las fichas recuperadas se muestran en este ejemplo:

También recupera el elemento de menú de configuración de ASA FirePOWER:

Troubleshoot

En caso de que ASDM no pueda establecer un túnel SSL con la dirección IP de administración de FirePOWER, sólo cargará este elemento de menú de FirePOWER:

También falta el elemento de configuración de ASA FirePOWER:

Verificación 1

Asegúrese de que la interfaz de administración de ASA esté ACTIVA y que el puerto de switch conectado a ella esté en la VLAN adecuada:

ASA5525# show interface  ip brief | include Interface|Management0/0

Interface                  IP-Address      OK? Method Status                Protocol

Management0/0              unassigned      YES unset  up                    up

Solución de problemas recomendada

- Configure la VLAN adecuada.

- Apague el puerto (compruebe el cable y la configuración del puerto del switch (speed/duplex/shut)).

Verificación 2

Asegúrese de que el módulo FirePOWER esté completamente inicializado, ACTIVO y en ejecución:

ASA5525# show module sfr details

Getting details from the Service Module, please wait...

Card Type:          FirePOWER Services Software Module

Model:              ASA5525

Hardware version:   N/A

Serial Number:      FCH1719J54R

Firmware version:   N/A

Software version:   6.1.0-330

MAC Address Range:  6c41.6aa1.2bf2 to 6c41.6aa1.2bf2

App. name:          ASA FirePOWER

App. Status:        Up

App. Status Desc:   Normal Operation

App. version:       6.1.0-330

Data Plane Status:  Up

Console session:    Ready

Status:             Up

DC addr:            No DC Configured

Mgmt IP addr:       192.168.75.123

Mgmt Network mask:  255.255.255.0

Mgmt Gateway:       192.168.75.23

Mgmt web ports:     443

Mgmt TLS enabled:   true

A5525# session sfr console

Opening console session with module sfr.

Connected to module sfr. Escape character sequence is 'CTRL-^X'.

> show version

--------------------[ FP5525-3 ]--------------------

Model                     : ASA5525 (72) Version 6.1.0 (Build 330)

UUID                      : 71fd1be4-7641-11e6-87e4-d6ca846264e3

Rules update version      : 2016-03-28-001-vrt

VDB version               : 270

----------------------------------------------------

>

Solución de problemas recomendada

- Verifique la salida del comando show module sfr log console para ver si hay errores o fallas.

Verificación 3

Verifique la conectividad básica entre el host ASDM y la IP de administración del módulo FirePOWER con comandos como ping y tracert/traceroute:

Solución de problemas recomendada

- Verifique el ruteo a lo largo de la trayectoria.

- Verifique que no haya dispositivos en la trayectoria que bloqueen el tráfico.

Verificación 4

Si el host ASDM y la dirección IP de administración de FirePOWER se encuentran en la misma red de capa 3, verifique la tabla Address Resolution Protocol (ARP) en el host ASDM:

Solución de problemas recomendada

- Si no hay entradas ARP, utilice Wireshark para verificar la comunicación ARP. Asegúrese de que las direcciones MAC de los paquetes sean correctas.

- Si hay entradas ARP, asegúrese de que sean correctas.

Verificación 5

Habilite la captura en el dispositivo ASDM mientras se conecta a través de ASDM para ver si hay una comunicación TCP adecuada entre el host y el módulo FirePOWER. Como mínimo, debería ver:

- entrada en contacto TCP de 3 vías entre el host ASDM y el ASA.

- Túnel SSL establecido entre el host ASDM y el ASA.

- entrada en contacto de 3 vías TCP entre el host ASDM y la dirección IP de administración del módulo FirePOWER.

- túnel SSL establecido entre el host ASDM y la dirección IP de administración del módulo FirePOWER.

Solución de problemas recomendada

- Si falla el intercambio de señales TCP de 3 vías, asegúrese de que no haya tráfico asimétrico ni dispositivos en la trayectoria que bloqueen los paquetes TCP.

- Si falla SSL, verifique si no hay ningún dispositivo en la ruta que realice man-in-the-middle (MITM) (el emisor del certificado del servidor dará una pista para esto).

Verificación 6

Para verificar el tráfico hacia y desde el módulo FirePOWER, habilite captura en la interfaz asa_mgmt_plane. En la captura, puede ver lo siguiente:

- Solicitud ARP del host ASDM (paquete 42).

- Respuesta ARP del módulo FirePOWER (paquete 43).

- entrada en contacto de 3 vías TCP entre el host ASDM y el módulo FirePOWER (paquetes 44-46).

ASA5525# capture FP_MGMT interface asa_mgmt_plane

ASA5525# show capture FP_MGMT | i 192.168.75.123

…

42: 20:27:28.532076 arp who-has 192.168.75.123 tell 192.168.75.22

43: 20:27:28.532153 arp reply 192.168.75.123 is-at 6c:41:6a:a1:2b:f2

44: 20:27:28.532473 192.168.75.22.48391 > 192.168.75.123.443: S 2861923942:2861923942(0) win 8192

45: 20:27:28.532549 192.168.75.123.443 > 192.168.75.22.48391: S 1324352332:1324352332(0) ack 2861923943 win 14600

46: 20:27:28.532839 192.168.75.22.48391 > 192.168.75.123.443: . ack 1324352333 win 16695

Solución de problemas recomendada

- Igual que en la verificación 5.

Verificación 7

Verifique que el usuario ASDM tenga el nivel de privilegio 15. Una manera de confirmar esto es ingresar el comando debug http 255 mientras se conecta a través de ASDM:

ASA5525# debug http 255

debug http enabled at level 255.

HTTP: processing ASDM request [/admin/asdm_banner] with cookie-based authentication (aware_webvpn_conf.re2c:444)

HTTP: check admin session. Cookie index [2][c8a06c50]

HTTP: Admin session cookie [A27614B@20480@78CF@58989AACB80CE5159544A1B3EE62661F99D475DC]

HTTP: Admin session idle-timeout reset

HTTP: admin session verified =  [1]

HTTP: username = [user1], privilege = [14]

Solución de problemas recomendada

- Si el nivel de privilegio no es 15, intente con un usuario que tenga el nivel 15.

Verificación 8

Si entre el host ASDM y el módulo FirePOWER hay traducción de dirección de red (NAT) para la dirección IP de administración de FirePOWER, debe especificar la dirección IP NATed:

Solución de problemas recomendada

- Las capturas en los terminales (ASA/SFR y host final) confirmarán esto.

Verificación 9

Asegúrese de que el módulo FirePOWER no esté gestionado ya por FMC, ya que en ese caso faltarán las fichas de FirePOWER en ASDM:

ASA5525# session sfr console

Opening console session with module sfr.

Connected to module sfr. Escape character sequence is 'CTRL-^X'.

> show managers

Managed locally.

>

Otro método es con el comando show module sfr details:

ASA5525# show module sfr details

Getting details from the Service Module, please wait...

Card Type:          FirePOWER Services Software Module

Model:              ASA5525

Hardware version:   N/A

Serial Number:      FCH1719J54R

Firmware version:   N/A

Software version:   6.1.0-330

MAC Address Range:  6c41.6aa1.2bf2 to 6c41.6aa1.2bf2

App. name:          ASA FirePOWER

App. Status:        Up

App. Status Desc:   Normal Operation

App. version:       6.1.0-330

Data Plane Status:  Up

Console session:    Ready

Status:             Up

DC addr:            No DC Configured

Mgmt IP addr:       192.168.75.123

Mgmt Network mask:  255.255.255.0

Mgmt Gateway:       192.168.75.23

Mgmt web ports:     443

Mgmt TLS enabled:   true

Solución de problemas recomendada

- Si el dispositivo ya está administrado, debe anular el registro antes de gestionarlo desde ASDM. Vea la Guía de Configuración de Firepower Management Center.

Verificación 10

Verifique la captura de Wireshark para asegurarse de que el cliente ASDM se conecte con una versión de TLS adecuada (por ejemplo, TLSv1.2).

Solución de problemas recomendada

- Ajuste la configuración SSL del navegador.

- Inténtelo con otro explorador.

- Inténtelo desde otro host final.

Verificación 11

Verifique en la guía de compatibilidad de Cisco ASA que las imágenes ASA/ASDM son compatibles.

Solución de problemas recomendada

- Utilice una imagen ASDM compatible.

Verificación 12

Verifique en la guía de compatibilidad de Cisco ASA que el dispositivo FirePOWER sea compatible con la versión de ASDM.

Solución de problemas recomendada

- Utilice una imagen ASDM compatible.

Información Relacionada

- Guía de inicio rápido del módulo Cisco ASA FirePOWER

- Guía de configuración de administración local de ASA con FirePOWER Services, versión 6.1.0

- Guía del usuario del módulo ASA FirePOWER para ASA5506-X, ASA5506H-X, ASA5506W-X, ASA5508-X y ASA5516-X, versión 5.4.1

- Soporte Técnico y Documentación - Cisco Systems