firepower Threat Defense 정책 구축 문제 해결

소개

이 문서에서는 FTD의 정책 구축 프로세스에 대한 개요와 기본적인 문제 해결 기법에 대해 설명합니다. 

배경 정보

포함 Cisco Firepower Threat Defense FTD(Stateful Firewall) 기능, Adaptive Security Appliances (ASA) 및 Next-Gen 방화벽 기능(제공 Snort)이(가) 하나의 제품으로 통합되었습니다.

이번 변경으로 인해, Policy Deployment Infrastructure 이제 FTD에서 두 ASA 코드(LINA라고도 함) 모두에 대한 컨피그레이션 변경 사항을 처리합니다. Snort 단일 번들로 제공됩니다. 

사전 요구 사항

Cisco에서는 다음 제품에 대한 지식을 권장합니다.

• Firepower Management Center (FMC)
• Firepower Threat Defense (FTD)

사용되는 구성 요소

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

정책 구축 개요

Cisco FTD는 Policy Deployments 에 등록된 디바이스의 컨피그레이션을 관리하고 푸시아웃하려면 Firepower Management Center (FMC) 자체.

구축 내부는 "단계"로 나뉜 일련의 단계가 있습니다.

이 목록에는 FMC 단계가 요약되어 있습니다.

0단계	구축 초기화
1단계	데이터베이스 개체 컬렉션
2단계	정책 및 개체 컬렉션
3단계	NGFW 명령줄 컨피그레이션 생성
4단계	디바이스 구축 패키지 생성
5단계	배포 패키지 보내기 및 받기
6단계	보류 중인 구축, 구축 작업 및 구축 성공 메시지

프로세스의 단계 및 장애 위치를 알면 Firepower 시스템 면.

이전 컨피그레이션으로 인한 충돌 또는 Advanced Flex Configuration 디바이스 보고서에서 다루지 않는 오류를 일으킬 수 있는 키워드가 없습니다.

개요 예

1단계. 클릭 Deployment- 선택할 디바이스를 지정합니다.

2단계. 디바이스에 대한 구축이 커밋되면 FMC는 디바이스와 관련된 모든 컨피그레이션을 수집하기 시작합니다. 

3단계. 컨피그레이션이 수집되면 FMC는 패키지를 만들고 SFTunnel이라는 통신 메커니즘을 통해 센서로 전송합니다.

4단계. FMC는 센서에 개별 응답을 수신 대기하는 동안 제공된 정책으로 구축 프로세스를 시작하도록 알립니다.

5단계. 관리되는 디바이스는 아카이브의 압축을 풀고 개별 컨피그레이션 및 패키지를 적용하기 시작합니다.

A. 구축의 전반부는 Snort 구성 위치 Snort 구성이 유효한지 확인하기 위해 로컬에서 테스트됩니다.

유효한 것으로 판명되면 새 컨피그레이션이 운영 디렉토리로 이동하여 Snort. 검증이 실패하면 이 단계에서 정책 구축이 실패합니다.

B. 구축 패키지 로드의 후반부는 LINA 컨피그레이션에 대한 것이며, 여기서 LINA 컨피그레이션은 ngfwManager 프로세스에 의해 LINA 프로세스에 직접 적용됩니다.

오류가 발생하면 변경 사항이 롤백되고 정책 구축에 실패하게 됩니다.

6단계. 둘 다 Snort LINA 패키지가 성공적이면 관리되는 디바이스가 신호를 보냅니다. Snort 를 클릭하면 새 컨피그레이션을 로드하고 모든 현재 컨피그레이션을 저장하기 위해 다시 시작하거나 다시 로드됩니다.

7단계. 모든 메시지가 성공하면 센서는 성공 메시지를 전송하고 Management Center에서 승인될 때까지 기다립니다.

8단계. 수신한 FMC는 작업을 성공으로 표시하고 정책 번들을 완료할 수 있도록 합니다.

문제 해결

문제 발생 시기 Policy Deployment 다음과 같은 이유 때문일 수 있습니다.

1. 잘못된 컨피그레이션
2. FMC와 FTD 간의 통신
3. 데이터베이스 및 시스템 상태
4. 소프트웨어 결함 및 주의 사항
5. 기타 고유한 상황

이러한 문제 중 일부는 쉽게 해결할 수 있는 반면, 다른 문제는 Cisco의 지원이 필요할 수 있습니다 Technical Assistance Center (TAC).

이 섹션의 목표는 문제를 격리하거나 근본 원인을 확인하는 기술을 제공하는 것입니다. 

FMC 그래픽 사용자 인터페이스(GUI) 

Cisco에서는 구축 실패에 대한 각 트러블슈팅 세션을 FMC 어플라이언스에서 시작할 것을 권장합니다.

오류 알림 창에는 6.2.3을 초과하는 모든 버전에서 다른 가능한 오류를 지원할 수 있는 추가 도구가 있습니다. 

구축 스크립트 활용

1단계. Cisco의 Deployments FMC 웹 UI에 나열합니다.

2단계. 반면 Deployments 탭을 선택하고 Show History.

3단계. 내부 Deployment History 이 상자에서는 FMC의 모든 이전 구축을 볼 수 있습니다. 더 많은 데이터를 보려는 구축을 선택합니다.

4단계. 배포 요소를 선택하면 Deployment Details 선택 항목에 내부 모든 장치의 목록이 표시됩니다. Transaction. 이러한 항목은 다음과 같은 열로 구분됩니다. Device Number, Device Name, Status,및 Transcript.

5단계. 문제가 있는 디바이스를 선택하고 Transcript(기록) 옵션을 클릭하면 관리되는 디바이스에 있는 컨피그레이션뿐만 아니라 장애에 대해서도 알려줄 수 있는 개별 구축 기록을 확인할 수 있습니다.

6단계. 이 기록은 특정 장애 조건을 지정할 수 있으며 다음 단계에 매우 중요한 숫자를 나타낼 수 있습니다. Transaction ID.

7단계. 의 Firepower Deployment,이 Transaction ID 정책 구축의 각 개별 섹션을 추적하는 데 사용할 수 있는 기능입니다. 이를 통해 디바이스의 Command-Line에서 교정 및 분석을 위해 이 데이터의 더욱 심층적인 버전을 얻을 수 있습니다.

팁: 트랜잭션 ID를 찾을 수 없거나 트랜잭션 ID가 인쇄되기 전의 버전인 경우 이 로그를 사용하여 개별 오류 메시지를 찾을 수 있습니다.

FMC 로그 문제 해결

로그를 분석하기 위해 Cisco TAC와 협력하는 것이 적절하지만 로그를 통해 검색하면 초기 문제 격리 및 신속한 해결에 도움이 될 수 있습니다. FMC에는 정책 구축 프로세스에 대한 세부 정보를 표시하는 여러 로그 파일이 있습니다.

가장 일반적으로 참조되는 두 로그는 다음과 같습니다 policy_deployment.log 및 usmsharedsvcs.log.

이 문서에서 언급된 모든 파일은 다음과 같은 여러 Linux 명령으로 볼 수 있습니다 more, less 및 vi. 그러나, 단지 Cisco가 read 작업이 수행됩니다. 모든 파일을 보려면 루트 액세스가 필요합니다.

/var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log

이 로그는 FMC에서 정책 구축 작업을 시작하고 각 단계가 완료되었음을 명확히 표시하며, 이는 장애 코드와 함께 구축에 장애가 발생한 단계를 확인하는 데 도움이 됩니다.

이 transactionID 로그의 JSON 부분에 포함된 값을 사용하여 하나의 특정 배포 시도와 관련된 로그 항목을 찾을 수 있습니다.

22-Nov-2019 01:28:52.844,[INFO],(DefenseCenterServiceImpl.java:1372)
com.cisco.nm.vms.api.dc.DefenseCenterServiceImpl, ajp-nio-127.0.0.1-9009-exec-4
** REST Request [ CSM ]
** ID : e1c84364-0966-42eb-9356-d2914be2b4a3
** URL: Broadcast message.send.deployment
{
  "body" : {
    "property" : "deployment:deployment_initiated_for_the_device",
    "argumentList" : [ {
      "key" : "PHASE",
      "value" : "Phase-0"
    } ]
  },
  "user" : "68d03c42-d9bd-11dc-89f2-b7961d42c462",
  "type" : "deployment",
  "status" : "running",
  "progress" : 5,
  "silent" : true,
  "restart" : true,
  "transactionId" : 12884916552,
  "devices" : [ "93a2089a-fa82-11e9-8219-e1abeec81dc9" ]
}

/var/log/sf/policy_deployment.log

이 로그 파일은 6.4에서 시작되는 6.x 릴리스에 걸쳐 존재했지만 범위가 확장되었습니다.

이제 구축 패키지를 구축하기 위해 FMC에서 수행하는 자세한 단계에 대해 설명합니다. 따라서 1단계 - 4단계의 실패를 분석하는 데 가장 적합합니다.

각 단계의 시작 부분은 "INFO start... ":

Jul 18 17:20:03 firepower ActionQueueScrape.pl[17287]: INFO starting populateGlobalSnapshot - sqlite = /var/cisco/umpd/8589938337/DC_policy_deployment.db, transaction = 8589938337, time = 1563470402, running as (memory = 56.35 MB) (Framework 3950<196 <- CSMTasks 223<10 <- SF::ActionQueue 2457)
Jul 18 17:20:03 firepower ActionQueueScrape.pl[17287]: INFO deployment threading: disabled (Framework 198 <- CSMTasks 223<10 <- SF::ActionQueue 2457)
Jul 18 17:20:03 firepower ActionQueueScrape.pl[17287]: INFO -> calling SF::UMPD::Plugins::Correlation::Manager::getPluginDependencies (Plugin 298<90 <- Framework 3579<3566<216 <- CSMTasks 223)
...

관리되는 디바이스 트러블슈팅

각 관리되는 디바이스에 대한 디바이스 패키지, 고가용성 컨피그레이션, 이전 단계의 결과에 따라 달라지는 추가 단계 및 섹션이 있습니다.

관리 대상 디바이스에서 구축 문제가 장애로 격리된 경우, 디바이스에서 policy_deployment.log와 ngfwManager.log의 두 가지 로그로 추가 문제 해결을 수행할 수 있습니다.

/ngfw/var/log/ngfwManager.log

이 로그 파일은 다음 작업을 수행하는 자세한 단계를 제공합니다. Config Communication Manager 및 Config Dispatcher fmc와 통신하려면 구축 패키지와 함께 Snort 및 LINA 컨피그레이션의 검증 및 애플리케이션을 조정합니다.

다음은 주요 단계의 시작을 나타내는 ngfwManager.log의 몇 가지 예입니다.

FTD receives FMC's request for running configuration:

May 30 16:37:10 ccm[4293] Thread-10: INFO  com.cisco.ccm.ConfigCommunicationManager- Passing CD-Message-Request to Config Dispatcher...
May 30 16:37:10 ccm[4293] Thread-10: DEBUG com.cisco.ccm.ConfigCommunicationManager- <?xml version="1.0" encoding="UTF-8"?><cdMessagesList><timeStamp>1559234230012</timeStamp><cdMessage><name>LinaShowCommand</name><messageId>-753133537443151390</messageId><contentType>XML</contentType><msgContent><![CDATA[<?xml version="1.0" encoding="UTF-8"?><message><name>LinaShowCommand</name>...



FTD receives FMC's request to download the deployment package:

May 30 16:37:18 ccm[4293] Thread-9: INFO  com.cisco.ccm.ConfigCommunicationManager- Downloading database (transaction 8589938211, version 1559234236)
May 30 16:37:18 ccm[4293] Thread-9: DEBUG com.cisco.ccm.DownloadManager- handle record: 8589938211, status = PENDING
May 30 16:37:18 ccm[4293] Thread-9: DEBUG com.cisco.ccm.DownloadManager- begin downloading database



FTD begins the deployment of policy changes:

May 30 16:37:21 ccm[4293] Thread-9: INFO  com.cisco.ccm.ConfigCommunicationManager- Starting deployment
May 30 16:37:21 ccm[4293] Thread-11: INFO  com.cisco.ccm.ConfigCommunicationManager- Sending message: DEPLOYMENT_STATUS_CCM to Manager



FTD begins LINA deployment:

May 30 16:37:42 ccm[4293] Thread-19: DEBUG com.cisco.ngfw.configdispatcher.communicators.LinaCommunicatorImpl- Trying to send Start-Config-Sequencerequest to lina



FTD begins finalizing the deployment:

May 30 16:38:48 ccm[4293] Thread-19: DEBUG com.cisco.ngfw.configdispatcher.communicators.LinaCommunicatorImpl- Clustering Message sent out of ConfigDispatcher:
Name:Cluster-App-Conf-Finalize-Request

/ngfw/var/log/sf/policy_deployment.log

이 로그에는 적용된 정책의 세부사항이 포함되어 있습니다 Snort. 로그의 내용은 대부분 고급이며 TAC에서 분석해야 하지만 몇 가지 주요 항목으로 프로세스를 추적할 수 있습니다.

Config Dispatcher begins extracting the packaged policies for validation:

Jul 18 17:20:57 firepower policy_apply.pl[25122]: INFO  -> calling SF::UMPD::Plugins::NGFWPolicy::Device::exportDeviceSnapshotToSandbox  (Plugin 230 <- Framework 611 <- Transaction 1085)
Jul 18 17:20:57 firepower policy_apply.pl[25122]: INFO  found NGFWPolicy =>   (NGFWPolicy::Util 32 <- NGFWPolicy::Device 43 <- Plugin 235)
...
Jul 18 17:20:57 firepower policy_apply.pl[25122]: INFO export FTD platform settings... (PlatformSettings::FTD::Device 29 <- Plugin 235<339 <- PlatformSettings::Device 13)



Config validation begins:

Jul 18 17:21:37 firepower policy_apply.pl[25122]: INFO  starting validateExportedFiles - sqlite = /var/cisco/deploy/sandbox/policy_deployment.db, sandbox = /var/cisco/deploy/sandbox/exported-files (memory = 229.99 MB)  (Framework 3950<687 <- Transaction 1101 <- main 194)



Validation has completed successfully:

Jul 18 17:21:49 firepower policy_apply.pl[25122]: INFO validateExportedFiles - sqlite = /var/cisco/deploy/sandbox/policy_deployment.db, sandbox = /var/cisco/deploy/sandbox/exported-files took 12 (memory = 238.50 MB, change = 8.51 MB) (Framework 3976<724 <- Transaction 1101 <- main 194) 



Config Dispatcher begins moving the validated configuration to the Snort directories in production:

Jul 18 17:21:54 firepower policy_apply.pl[26571]: INFO  -> calling SF::UMPD::Plugins::NGFWPolicy::Device::publishExportedFiles  (Plugin 230 <- Framework 822 <- Transaction 1662)



Snort processes will reload to apply the new configurations:

Jul 18 17:22:02 firepower policy_apply.pl[26571]: INFO  Reconfiguring DE a3bcd340-992f-11e9-a1f1-ac829f31a4f9...  (Snort::SnortNotifications 292<154 <- Snort::Device 343 <- Plugin 235)
Jul 18 17:22:02 firepower policy_apply.pl[26571]: INFO  sending SnortReload to a3bcd340-992f-11e9-a1f1-ac829f31a4f9  (Snort::SnortNotifications 298<154 <- Snort::Device 343 <- Plugin 235)



Snort reload has completed successfully:

Jul 18 17:22:14 firepower policy_apply.pl[26571]: INFO notifyProcesses - sandbox = /var/cisco/deploy/sandbox/exported-files took 16 (memory = 169.52 MB, change = 16.95 MB) (Framework 3976<964 <- Transaction 1680 <- main 200)



After LINA config apply finishes, Snort deployment is finalized:

Jul 18 17:23:32 firepower policy_apply.pl[26913]: INFO  starting finalizeDeviceDeployment - sandbox = /var/cisco/deploy/sandbox (memory = 101.14 MB)  (Framework 3950<980 <- Transaction 1740 <- main 206)

예

1단계. 구축이 실패함

2단계. 다음 정보를 얻습니다. Deploy Transcript 및 Transaction ID.

3단계. SSH를 Management Center Linux 유틸리티 사용 less FMC에 표시된 대로 파일을 읽으려면

예: "sudo less /var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log"(sudo 비밀번호는 ssh용 사용자 비밀번호입니다.)

4단계. When you are in(로그인할 때 less에서는 슬래시를 사용하고 메시지 ID에 를 입력하여 deployment transactionID와 관련된 로그를 검색합니다. 

예:"/60129547881"(While in less, n을 사용하여 다음 결과로 이동합니다.)

실행 중인 메시지의 예:

실패 메시지의 예:

5) 적절한 장애를 공통 장애 메시지의 첨부 테이블과 비교합니다.

 즉, failed_to_retrieve_running_configuration은 두 디바이스 간의 통신 장애 중에 발생합니다. 

일반적인 실패 메시지

이러한 메시지는 의 프런트 엔드에서 볼 수 있는 일반적인 장애 메시지입니다. Management Center Task 백엔드에서 볼 수 있는 오류 코드도 포함됩니다.

이러한 메시지는 가능한 해결책에 대한 일반적인 이유와 비교 및 분석할 수 있습니다.

이러한 항목이 표시되지 않거나 상황이 해결되지 않을 경우 TAC에 문의하여 도움을 받으십시오. 

----------------------------------------------------------------------------------------

TAC에 지원을 문의하십시오.

이전 정보에서 정책 구축을 진행할 수 없거나 문제가 기존의 문서화된 동작과 관련이 없는 것으로 보이는 경우, 다음 링크에 제공된 단계를 사용하여 문제 해결 파일을 생성하고 분석 및 버그 생성을 위해 TAC에 문의하십시오.

https://www.cisco.com/c/en/us/support/docs/security/sourcefire-defense-center/117663-technote-SourceFire-00.html