FTD-interfaces in inline-paarmodus configureren

Downloadopties

  • PDF     (1.2 MB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (1.0 MB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (970.5 KB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:16 december 2020
Document-id:200924

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

    Inleiding

    In dit document worden de configuratie, verificatie en werking van een inline paarinterface op een FTD-apparaat (Firepower Threat Defence) beschreven.

    Voorwaarden

    Vereisten

    Er zijn geen specifieke vereisten voor dit document.

      

    Gebruikte componenten

    De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

    • FirePOWER 4150 FTD (code 6.1.0.x en 6.3.x)
    • Firepower Management Center (FMC) (code 6.1.0.x en 6.3.x)

    De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

    Verwante producten

    Dit document kan ook worden gebruikt voor de volgende hardware- en softwareversies:

    • ASA5506-X, ASA5506W-X, ASA5506H-X, ASA5508-X, ASA5516-X
    • ASA5512-X, ASA5515-X, ASA5525-X, ASA5545-X, ASA5555-X
    • FPR210, FPR4100, FPR9300
    • VMware (ESXi), Amazon Web Services (AWS), Kernel-based Virtual Machine (KVM)
    • FTD-softwarecode 6.2.x en hoger

    Achtergrondinformatie

    FTD is een unified software-image die bestaat uit twee hoofd-engines:

    • LINA-engine
    • Snort-engine

    Deze afbeelding toont de interactie tussen de twee engines:

    Configuration GUI

    • Een pakket komt binnen via de inkomende interface en wordt verwerkt door de LINA-engine
    • Wanneer het FTD-beleid dit vereist, wordt het pakket geïnspecteerd door de Snort-engine
    • De snort engine geeft een vonnis voor het pakket terug
    • De LINA-engine wijst het pakket af of stuurt het door op basis van het Snort-oordeel

    FTD biedt twee implementatiemodi en zes interfacemodi zoals getoond in afbeelding:

    Network Topology

    Opmerking: u kunt interfacemodi op één FTD-apparaat combineren.

    Hier is een overzicht op hoog niveau van de verschillende FTD-implementaties en interfacemodi:

    FTD-interfacemodus

    FTD-implementatiemodus

    Beschrijving

    Verkeer kan worden gedropt

    Verstuurd

    Verstuurd

    Volledige controles van de LINA-motor en de snortmotor

    Ja

    Switched

    Doorzichtig

    Volledige controles van de LINA-motor en de snortmotor

    Ja

    Inline paar

    Routed of Transparent

    Gedeeltelijke controles van LINA-motor en volledige snortmotor

    Ja

    Inline paar met tap

    Routed of Transparent

    Gedeeltelijke controles van LINA-motor en volledige snortmotor

    Nee

    passief

    Routed of Transparent

    Gedeeltelijke controles van LINA-motor en volledige snortmotor

    Nee

    Passief (ERSPAN)

    Verstuurd

    Gedeeltelijke controles van LINA-motor en volledige snortmotor

    Nee

    Inline paarinterface op FTD configureren

    Netwerkdiagram

    Network Topology

    Vereiste

    Configureer de fysieke interfaces e1/6 en e1/8 in inline paarmodus volgens deze vereisten:

    Interface e1/6 e1/8
    Naam BINNENKANT BUITEN
    Security zone BINNEN_ZONE BUITEN_ZONE
    Naam inline set Inline-paar-1
    Inline set MTU 1500
    FailSafe Ingeschakeld
    Verspreid linkstatus Ingeschakeld

    Oplossing

    Stap 1. Om te configureren naar de afzonderlijke interfaces, Navigeren naar Apparaten > Apparaatbeheer, selecteert u het juiste apparaat en selecteert u Bewerken zoals in de afbeelding.

    Configuration GUI


    Specificeer vervolgens Naam en tik Ingeschakeld voor de interface zoals in de afbeelding.

    Configuration GUI

    Opmerking: De naam is de naam van de interface.

    Op dezelfde manier voor interface Ethernet1/8. Het uiteindelijke resultaat is zoals in de afbeelding.

    Configuration GUI


    Stap 2. Configureer het inline paar.


    Navigeer naar Inline sets > Inline set toevoegen zoals in de afbeelding.

    Configuration GUI

    Stap 3. Configureer de algemene instellingen volgens de vereisten zoals aangegeven in het beeld.

    Configuration GUI

    Opmerking: Failsafe laat het verkeer door het inline paar gaan zonder inspectie als de interfacebuffers vol zijn (meestal te zien wanneer het apparaat overbelast is of de Snort-motor overbelast is). De grootte van de interfacebuffer wordt dynamisch toegewezen.

    Stap 4. Schakel de optie Propagate Link State in in de geavanceerde instellingen zoals in de afbeelding.

    Configuration GUI

    De staatspropagatie van de verbinding brengt automatisch de tweede interface in het inline interfacepaar neer wanneer één van de interfaces in de inline reeks daalt.

    Stap 5. Sla de wijzigingen op en implementeer.

    Verifiëren

    Gebruik deze sectie om te controleren of uw configuratie goed werkt.

    Controleer de configuratie van het inline paar vanuit de FTD CLI.



    Oplossing

    Log in op FTD CLI en controleer de configuratie van het inline paar:

    > show inline-set

    Inline-set Inline-Pair-1
      Mtu is 1500 bytes
      Failsafe mode is on/activated
      Failsecure mode is off
      Tap mode is off
      Propagate-link-state option is on
      hardware-bypass mode is disabled
      Interface-Pair[1]:
        Interface: Ethernet1/6 "INSIDE"
          Current-Status: UP
        Interface: Ethernet1/8 "OUTSIDE"
          Current-Status: UP
        Bridge Group ID: 509
    >

    Opmerking: de Bridge Group ID is een andere waarde dan 0. Als de tap modus is ingeschakeld, is deze 0

    Interface- en naaminformatie:

    > show nameif
    Interface                Name                     Security
    Ethernet1/6              INSIDE                     0
    Ethernet1/7              diagnostic                 0
    Ethernet1/8              OUTSIDE                    0
    >


    Controleer de interfacestatus:

    > show interface ip brief
    Interface                  IP-Address      OK? Method Status                Protocol
    Internal-Data0/0           unassigned      YES unset  up                    up
    Internal-Data0/1           unassigned      YES unset  up                    up
    Internal-Data0/2           169.254.1.1     YES unset  up                    up
    Ethernet1/6                unassigned      YES unset  up                    up
    Ethernet1/7                unassigned      YES unset  up                    up
    Ethernet1/8                unassigned      YES unset  up                    up

    Controleer de fysieke interfacegegevens:

    > show interface e1/6
    Interface Ethernet1/6 "INSIDE", is up, line protocol is up
      Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
            MAC address 5897.bdb9.770e, MTU 1500
            IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
            IP address unassigned
      Traffic Statistics for "INSIDE":
            468 packets input, 47627 bytes
            12 packets output, 4750 bytes
            1 packets dropped
          1 minute input rate 0 pkts/sec,  200 bytes/sec
          1 minute output rate 0 pkts/sec,  7 bytes/sec
          1 minute drop rate, 0 pkts/sec
          5 minute input rate 0 pkts/sec,  96 bytes/sec
          5 minute output rate 0 pkts/sec,  8 bytes/sec
          5 minute drop rate, 0 pkts/sec
    > show interface e1/8
    Interface Ethernet1/8 "OUTSIDE", is up, line protocol is up
      Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
            MAC address 5897.bdb9.774d, MTU 1500
            IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
            IP address unassigned
      Traffic Statistics for "OUTSIDE":
            12 packets input, 4486 bytes
            470 packets output, 54089 bytes
            0 packets dropped
          1 minute input rate 0 pkts/sec,  7 bytes/sec
          1 minute output rate 0 pkts/sec,  212 bytes/sec
          1 minute drop rate, 0 pkts/sec
          5 minute input rate 0 pkts/sec,  7 bytes/sec
          5 minute output rate 0 pkts/sec,  106 bytes/sec
          5 minute drop rate, 0 pkts/sec
    >




    Controleer de werking van de FTD-interface met inline paren

    In dit deel worden deze controles ter verificatie van de werking van het inline paar beschreven:

    • Verificatie 1. Met behulp van packet-tracer
    • Verificatie 2. Opname met overtrekken inschakelen en een TCP-pakket synchroniseren/erkennen (SYN/ACK) via het inline paar verzenden
    • Verificatie 3. FTD-verkeer bewaken met het gebruik van firewall-engine debug
    • Verificatie 4. Controleer de functionaliteit voor link-state doorgifte
    • Verificatie 5. Statische netwerkadresomzetting (NAT) configureren


    Oplossing

    Architectuuroverzicht

    Wanneer 2 FTD-interfaces in de inline-paarmodus werken, wordt een pakket verwerkt zoals in het beeld wordt getoond.

    Network Topology

    Opmerking: alleen fysieke interfaces kunnen lid zijn van een set inline paren

    Basistheorie

    • Wanneer u een inline paar vormt, worden fysieke interfaces intern overbrugd
    • Zeer vergelijkbaar met klassiek inline inbraakpreventiesysteem (IPS)
    • Beschikbaar in Routed of Transparent Implementation Mode
    • De meeste LINA-motorfuncties (NAT, Routing etc.) zijn niet beschikbaar voor stromen die door een Inline paar gaan
    • Transit verkeer kan worden verwijderd
    • Een paar LINA motorcontroles worden toegepast samen met volledige Snort motorcontroles

    Het laatste punt kan worden gevisualiseerd zoals aangegeven in de afbeelding:

    Network Topology

    Verificatie 1. Met het gebruik van pakkettracer


    De packet-tracer uitvoer die een pakket emuleert dat het inline paar met de belangrijkste gemarkeerde punten doorkruist:

    > packet-tracer input INSIDE tcp 192.168.201.50 1111 192.168.202.50 80

    Phase: 1
    Type: ACCESS-LIST
    Subtype:
    Result: ALLOW
    Config:
    Implicit Rule
    Additional Information:
    MAC Access list

    Phase: 2
    Type: NGIPS-MODE
    Subtype: ngips-mode
    Result: ALLOW
    Config:
    Additional Information:
    The flow ingressed an interface configured for NGIPS mode and NGIPS services is be applied

    Phase: 3
    Type: ACCESS-LIST
    Subtype: log
    Result: ALLOW
    Config:
    access-group CSM_FW_ACL_ global
    access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268438528
    access-list CSM_FW_ACL_ remark rule-id 268438528: ACCESS POLICY: FTD4100 - Default/1
    access-list CSM_FW_ACL_ remark rule-id 268438528: L4 RULE: DEFAULT ACTION RULE
    Additional Information:
     This packet is sent to snort for additional processing where a verdict is reached

    Phase: 4
    Type: NGIPS-EGRESS-INTERFACE-LOOKUP
    Subtype: Resolve Egress Interface
    Result: ALLOW
    Config:
    Additional Information:
    Ingress interface INSIDE is in NGIPS inline mode.
    Egress interface OUTSIDE is determined by inline-set configuration

    Phase: 5
    Type: FLOW-CREATION
    Subtype:
    Result: ALLOW
    Config:
    Additional Information:
    New flow created with id 106, packet dispatched to next module

    Result:
    input-interface: INSIDE
    input-status: up
    input-line-status: up
    Action: allow

    >

    Verificatie 2. Verzend TCP/SYN/ACK-pakketten via inline paar


    U kunt TCP SYN/ACK-pakketten genereren met behulp van een pakket dat hulpprogramma’s zoals Scapy maakt. Deze syntaxis genereert 3 pakketten met SYN/ACK-vlaggen ingeschakeld:

    root@KALI:~# scapy
INFO: Can't import python gnuplot wrapper . Won't be able to plot.
WARNING: No route found for IPv6 destination :: (no default route?)
Welcome to Scapy (2.2.0)
>>> conf.iface='eth0'
>>> packet = IP(dst="192.168.201.60")/TCP(flags="SA",dport=80)
>>> syn_ack=[]
>>> for i in range(0,3): # Send 3 packets
...  syn_ack.extend(packet)
...
>>> send(syn_ack)

    Schakel deze opname op FTD CLI in en verstuur een paar TCP/SYN/ACK-pakketten:

    > capture CAPI interface INSIDE trace match ip host 192.168.201.60 any
    > capture CAPO interface OUTSIDE match ip host 192.168.201.60 any
    >

    Nadat u de pakketten via de FTD hebt verzonden, kunt u een verbinding zien die is gemaakt:

    > show conn detail
    1 in use, 34 most used
    Flags: A - awaiting responder ACK to SYN, a - awaiting initiator ACK to SYN,
           b - TCP state-bypass or nailed,
           C - CTIQBE media, c - cluster centralized,
           D - DNS, d - dump, E - outside back connection, e - semi-distributed,
           F - initiator FIN, f - responder FIN,
           G - group, g - MGCP, H - H.323, h - H.225.0, I - initiator data,
           i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
           k - Skinny media, M - SMTP data, m - SIP media, N - inspected by Snort, n - GUP
           O - responder data, P - inside back connection,
           q - SQL*Net data, R - initiator acknowledged FIN,
           R - UDP SUNRPC, r - responder acknowledged FIN,
           T - SIP, t - SIP transient, U - up,
           V - VPN orphan, v - M3UA W - WAAS,
           w - secondary domain backup,
           X - inspected by service module,
           x - per session, Y - director stub flow, y - backup stub flow,
           Z - Scansafe redirection, z - forwarding stub flow

    TCP Inline-Pair-1:OUTSIDE(OUTSIDE): 192.168.201.60/80 Inline-Pair-1:INSIDE(INSIDE): 192.168.201.50/20,
        flags b N, idle 13s, uptime 13s, timeout 1h0m, bytes 0

    >

    Opmerking: b-vlag - Een klassieke ASA laat een ongevraagd SYN/ACK-pakket vallen, tenzij TCP-omzeiling is ingeschakeld. Een FTD-interface in de modus Inline paar verwerkt een TCP-verbinding in een modus waarin TCP wordt omzeild en laat TCP-pakketten niet vallen die niet behoren tot de verbindingen die al bestaan.

    Opmerking: N vlag - Het pakket wordt geïnspecteerd door de FTD Snort engine.

    De Captures bewijzen dit, omdat je de 3 pakketten kunt zien die de FTD doorkruisen:

    > show capture CAPI

    3 packets captured

       1: 15:27:54.327146       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
       2: 15:27:54.330000       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
       3: 15:27:54.332517       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
    3 packets shown
    >

    3 pakketten verlaten het FTD apparaat:

    > show capture CAPO

    3 packets captured

       1: 15:27:54.327299       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
       2: 15:27:54.330030       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
       3: 15:27:54.332548       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
    3 packets shown
    >


    Met de Soort van het eerste opnamepakket onthult enige extra informatie zoals het vonnis van de Snortmotor:

    > show capture CAPI packet-number 1 trace

3 packets captured

   1: 15:27:54.327146       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268438528
access-list CSM_FW_ACL_ remark rule-id 268438528: ACCESS POLICY: FTD4100 - Default/1
access-list CSM_FW_ACL_ remark rule-id 268438528: L4 RULE: DEFAULT ACTION RULE
Additional Information:
 This packet is sent to snort for additional processing where a verdict is reached

Phase: 5
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
Ingress interface INSIDE is in NGIPS inline mode.
Egress interface OUTSIDE is determined by inline-set configuration

Phase: 6
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 282, packet dispatched to next module

Phase: 7
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 8
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Verdict: (pass-packet) allow this packet

Phase: 9
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Result:
input-interface: OUTSIDE
input-status: up
input-line-status: up
Action: allow


1 packet shown
>



    Met het overtrekken van het tweede opgenomen pakket wordt aangetoond dat het pakket overeenkomt met een huidige verbinding, zodat het de ACL-controle omzeilt, maar nog steeds wordt geïnspecteerd door de Snelmotor:

    > show capture CAPI packet-number 2 trace

3 packets captured

   2: 15:27:54.330000       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: FLOW-LOOKUP
Subtype:ing
Result: ALLOW
Config:
Additional Information:
Found flow with id 282, using current flow

Phase: 4
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 5
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Verdict: (pass-packet) allow this packet

Phase: 6
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Result:
input-interface: OUTSIDE
input-status: up
input-line-status: up
Action: allow


1 packet shown
>

    Verificatie 3. Firewall Engine debug voor toegestaan verkeer

    Firewall engine debug draait tegen specifieke componenten van de FTD Snort Engine zoals het toegangscontrolebeleid zoals in de afbeelding:

    Network Topology

    Wanneer u de TCP SYN/ACK-pakketten via Inline pair verzendt, kunt u in de debug-uitvoer zien:

    > system support firewall-engine-debug

    Please specify an IP protocol: tcp
    Please specify a client IP address:
    Please specify a client port:
    Please specify a server IP address: 192.168.201.60
    Please specify a server port: 80
    Monitoring firewall engine debug messages

    192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 New session
    192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 using HW or preset rule order 3, id 268438528 action Allow and prefilter rule 0
    192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 allow action
    192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 Deleting session

    Verificatie 4. Verifieer link-staat doorgifte

    Schakel de FTD en de switchpoort die is aangesloten op de e1/6-interface in voor het inloggen op de buffer. Op FTD CLI moet u zien dat beide interfaces naar beneden gingen:

    > show interface ip brief
    Interface                  IP-Address      OK? Method Status                Protocol
    Internal-Data0/0           unassigned      YES unset  up                    up
    Internal-Data0/1           unassigned      YES unset  up                    up
    Internal-Data0/2           169.254.1.1     YES unset  up                    up
    Ethernet1/6                unassigned      YES unset  down                  down
    Ethernet1/7                unassigned      YES unset  up                    up
    Ethernet1/8                unassigned      YES unset  administratively down up
    >


    De FTD-logboeken tonen:

    > show log

    Jan 03 2017 15:53:19: %ASA-4-411002: Line protocol on Interface Ethernet1/6, changed state to down
    Jan 03 2017 15:53:19: %ASA-4-411004: Interface OUTSIDE, changed state to administratively down
    Jan 03 2017 15:53:19: %ASA-4-411004: Interface Ethernet1/8, changed state to administratively down
    Jan 03 2017 15:53:19: %ASA-4-812005: Link-State-Propagation activated on inline-pair due to failure of interface Ethernet1/6(INSIDE) bringing down pair interface Ethernet1/8(OUTSIDE)
    >

    De inline-set status toont de status van de 2 interfaceleden:

    > show inline-set

    Inline-set Inline-Pair-1
      Mtu is 1500 bytes
      Failsafe mode is on/activated
      Failsecure mode is off
      Tap mode is off
     Propagate-link-state option is on
      hardware-bypass mode is disabled
      Interface-Pair[1]:
        Interface: Ethernet1/6 "INSIDE"
          Current-Status: Down(Propagate-Link-State-Activated)
        Interface: Ethernet1/8 "OUTSIDE"
          Current-Status: Down(Down-By-Propagate-Link-State)
        Bridge Group ID: 509
    >

    Let op het verschil in status van de 2 interfaces:

    > show interface e1/6
    Interface Ethernet1/6 "INSIDE", is down, line protocol is down
      Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
            MAC address 5897.bdb9.770e, MTU 1500
            IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
            Propagate-Link-State-Activated
            IP address unassigned
      Traffic Statistics for "INSIDE":
            3393 packets input, 234923 bytes
            120 packets output, 49174 bytes
            1 packets dropped
          1 minute input rate 0 pkts/sec,  0 bytes/sec
          1 minute output rate 0 pkts/sec,  0 bytes/sec
          1 minute drop rate, 0 pkts/sec
          5 minute input rate 0 pkts/sec,  6 bytes/sec
          5 minute output rate 0 pkts/sec,  3 bytes/sec
          5 minute drop rate, 0 pkts/sec
    >

    En voor de Ethernet1/8-interface:

    > show interface e1/8
    Interface Ethernet1/8 "OUTSIDE", is administratively down, line protocol is up
      Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
            MAC address 5897.bdb9.774d, MTU 1500
            IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
            Down-By-Propagate-Link-State
            IP address unassigned
      Traffic Statistics for "OUTSIDE":
            120 packets input, 46664 bytes
            3391 packets output, 298455 bytes
            0 packets dropped
          1 minute input rate 0 pkts/sec,  0 bytes/sec
          1 minute output rate 0 pkts/sec,  0 bytes/sec
          1 minute drop rate, 0 pkts/sec
          5 minute input rate 0 pkts/sec,  3 bytes/sec
          5 minute output rate 0 pkts/sec,  8 bytes/sec
          5 minute drop rate, 0 pkts/sec
    >

    Nadat u de switchport opnieuw inschakelt, tonen de FTD-logboeken:

    > show log
    ...
    Jan 03 2017 15:59:35: %ASA-4-411001: Line protocol on Interface Ethernet1/6, changed state to up
    Jan 03 2017 15:59:35: %ASA-4-411003: Interface Ethernet1/8, changed state to administratively up
    Jan 03 2017 15:59:35: %ASA-4-411003: Interface OUTSIDE, changed state to administratively up
    Jan 03 2017 15:59:35: %ASA-4-812006: Link-State-Propagation de-activated on inline-pair due to recovery of interface Ethernet1/6(INSIDE) bringing up pair interface Ethernet1/8(OUTSIDE)
    >

    Verificatie 5. Statische NAT configureren

    Oplossing

    NAT wordt niet ondersteund voor interfaces die werken in inline, inline tap- of passieve modus:

    https://www.cisco.com/c/en/us/td/docs/security/firepower/601/configuration/guide/fpmc-config-guide-v601/Network_Address_Translation__NAT__for_Threat_Defense.html

    Blokpakket op interfacemodus voor inline paar

    Maak een blokregel, verstuur verkeer door het FTD inline paar en bekijk het gedrag zoals in de afbeelding.

    Configuration GUI

    Oplossing

    Schakel opname met overtrekken in en verstuur de SYN/ACK-pakketten via het FTD Inline pair. Het verkeer is geblokkeerd:

    > show capture
capture CAPI type raw-data trace interface INSIDE [Capturing - 210 bytes]
  match ip host 192.168.201.60 any
capture CAPO type raw-data interface OUTSIDE [Capturing - 0 bytes]
  match ip host 192.168.201.60 any

    Met het spoor, openbaart een pakket:

    > show capture CAPI packet-number 1 trace

    3 packets captured

       1: 16:12:55.785085       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
    Phase: 1
    Type: CAPTURE
    Subtype:
    Result: ALLOW
    Config:
    Additional Information:
    MAC Access list

    Phase: 2
    Type: ACCESS-LIST
    Subtype:
    Result: ALLOW
    Config:
    Implicit Rule
    Additional Information:
    MAC Access list

    Phase: 3
    Type: NGIPS-MODE
    Subtype: ngips-mode
    Result: ALLOW
    Config:
    Additional Information:
    The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

    Phase: 4
    Type: ACCESS-LIST
    Subtype: log
    Result: DROP
    Config:
    access-group CSM_FW_ACL_ global
    access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start
    access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1
    access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1
    Additional Information:

    Result:
    input-interface: INSIDE
    input-status: up
    input-line-status: up
    Action: drop
    Drop-reason: (acl-drop) Flow is denied by configured rule


    1 packet shown

    In dit spoor, kan worden gezien dat het pakket door de motor van FTD LINA werd gelaten vallen en niet naar de motor van de Snort van FTD werd doorgestuurd.

    Inline paarmodus met tap configureren

    Schakel de tapmodus in op het inline paar.



    Oplossing

    Navigeer naar Apparaten > Apparaatbeheer > Inline sets > Inline sets bewerken > Geavanceerd en schakel de tap modus in zoals in de afbeelding.

    Configuration GUI



    Verificatie

    > show inline-set

Inline-set Inline-Pair-1
  Mtu is 1500 bytes
  Failsafe mode is on/activated
  Failsecure mode is off
  Tap mode is on
  Propagate-link-state option is on
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/6 "INSIDE"
      Current-Status: UP
    Interface: Ethernet1/8 "OUTSIDE"
      Current-Status: UP
    Bridge Group ID: 0
>

    Controleer of het FTD-inline paar werkt met de tap-interfacehandeling

    Basistheorie

    • Wanneer u een inline paar met tap 2 configureert, worden fysieke interfaces intern overbrugd
    • Het is beschikbaar in Routed of Transparent Implementation Mode
    • De meeste LINA-motorfuncties (NAT, Routing etc.) zijn niet beschikbaar voor stromen die door het Inline paar gaan
    • Feitelijk verkeer kan niet worden gedropt
    • Een paar LINA motorcontroles worden toegepast samen met volledige Snort motorcontroles op een kopie van het werkelijke verkeer

    Het laatste punt is zoals in het beeld:

    Network Topology




    De modus Inline paar met tap laat het transitoverkeer niet vallen. Met het spoor van een pakket bevestigt het dit:

    > show capture CAPI packet-number 2 trace

3 packets captured

   2: 13:34:30.685084       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: WOULD HAVE DROPPED
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1
access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1
Additional Information:

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
Action: Access-list would have dropped, but packet forwarded due to inline-tap


1 packet shown
    >




    Inline paar en Ethernet-kanaal

    U kunt inline paar op 2 manieren met etherchannel configureren:

    1. Etherchannel beëindigd op FTD
    2. Etherchannel gaat door de FTD (vereist FXOS code 2.3.1.3 en hoger)

    Etherchannel beëindigd op FTD

    Network Topology

    Etherchannel op SW-A:

    SW-A# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP      Gi3/11(P)
35     Po35(SU)        LACP      Gi2/33(P)

    Etherkanalen op SW-B:

    SW-B# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP        Gi1/0/3(P)
55     Po55(SU)        LACP        Gi1/0/4(P)

    Het verkeer wordt doorgestuurd via het actieve FTD op basis van MAC-adresleren:

    SW-B# show mac address-table address 0017.dfd6.ec00
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
 201    0017.dfd6.ec00    DYNAMIC     Po33
Total Mac Addresses for this criterion: 1

    De inline-set op FTD:

    FTD# show inline-set

Inline-set SET1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is off
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Port-channel3 "INSIDE"
      Current-Status: UP
    Interface: Port-channel5 "OUTSIDE"
      Current-Status: UP
    Bridge Group ID: 775

    Opmerking: in het geval van een FTD failover-gebeurtenis hangt de verkeersstoring voornamelijk af van de tijd die het kost op de switches om het MAC-adres van de remote peer te leren.

    Etherchannel via de FTD

    Network Topology

    Etherchannel op SW-A:

    SW-A# show etherchannel summary | i Po33|Po55
    33     Po33(SU)        LACP      Gi3/11(P)
    55     Po55(SD)        LACP      Gi3/7(I)

    De LACP-pakketten via de Standby FTD worden geblokkeerd:

    FTD# capture ASP type asp-drop fo-standby
FTD# show capture ASP | i 0180.c200.0002
  29: 15:28:32.658123       a0f8.4991.ba03 0180.c200.0002 0x8809 Length: 124
  70: 15:28:47.248262       f0f7.556a.11e2 0180.c200.0002 0x8809 Length: 124

    Etherkanalen op SW-B:

    SW-B# show etherchannel summary | i Po33|Po55
    33     Po33(SU)        LACP        Gi1/0/3(P)
    55     Po55(SD)        LACP        Gi1/0/4(s)

    Het verkeer wordt doorgestuurd via het actieve FTD op basis van MAC-adresleren:

    SW-B# show mac address-table address 0017.dfd6.ec00
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
 201    0017.dfd6.ec00    DYNAMIC     Po33
Total Mac Addresses for this criterion: 1

    De inline-set op FTD:

    FTD# show inline-set

    Inline-set SET1
      Mtu is 1500 bytes
      Fail-open for snort down is on
      Fail-open for snort busy is off
      Tap mode is off
      Propagate-link-state option is off
      hardware-bypass mode is disabled
      Interface-Pair[1]:
        Interface: Ethernet1/3 "INSIDE"
          Current-Status: UP
        Interface: Ethernet1/5 "OUTSIDE"
          Current-Status: UP
        Bridge Group ID: 519

    Voorzichtig: In dit scenario in het geval van een FTD failover gebeurtenis hangt de convergentietijd hoofdzakelijk af van de onderhandelingen met het Etherchannel LACP en van de tijd dat het duurt kan de stroomonderbreking vrij langer zijn. In het geval dat de Etherchannel-modus ON (geen LACP) is, is de convergentietijd afhankelijk van het MAC-adresleren.

    Problemen oplossen

    Er is momenteel geen specifieke informatie beschikbaar voor deze configuratie.

    Vergelijking: Inline paar vs Inline paar met tap

    Inline paar

    Inline paar met tap

    inline-set tonen

    > inline-set tonen

    Inline-set inline-paar-1
      Mtu is 1500 bytes
      De faalveilige modus is ingeschakeld/geactiveerd
      Failbeveiligde modus is uit
      De tapmodus is uitgeschakeld
      De optie Propagate-link-state is ingeschakeld
      de hardware-bypass modus is uitgeschakeld
      Interface-paar[1]:
        Interface: Ethernet1/6 "INSIDE"
          Huidige status: UP
        Interface: Ethernet1/8 "BUITEN"
          Huidige status: UP
        ID van bruggroep: 509
    >

    > inline-set tonen

    Inline-set inline-paar-1
      Mtu is 1500 bytes
      De faalveilige modus is ingeschakeld/geactiveerd
      Failbeveiligde modus is uit
      De tapmodus is ingeschakeld
      De optie Propagate-link-state is ingeschakeld
      de hardware-bypass modus is uitgeschakeld
      Interface-paar[1]:
        Interface: Ethernet1/6 "INSIDE"
          Huidige status: UP
        Interface: Ethernet1/8 "BUITEN"
          Huidige status: UP
        ID Bridge Group: 0

    >

    show interface

    > interface e1/6 tonen
    Interface Ethernet1/6 "INSIDE", is omhoog, is het lijnprotocol omhoog
      Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
            MAC-adres 5897.bdb9.770e, MTU 1500
            IPS interface-mode: inline, inline-set: inline-paar-1
            IP-adres niet toegewezen
      Traffic Statistics voor "INSIDE":
            3957 pakketinvoer, 264913 bytes
            144-pakketuitvoer, 58664 bytes
            4 gedropte pakketten
          1 minuut ingangssnelheid 0 pkts/sec, 26 bytes/sec
          1 minuut uitvoersnelheid 0 pkts/sec, 7 bytes/sec
          1 minuut droging snelheid, 0 pkts/sec
          5 minuten ingangssnelheid 0 ppkts/sec, 28 bytes/sec
          5 minuten uitvoersnelheid 0 pkts/sec, 9 bytes/sec
          5 minuten druppelsnelheid, 0 pkts/sec
    > toon interface e1/8
    Interface Ethernet1/8 "BUITEN", is omhoog, is het lijnprotocol omhoog
      Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
            MAC-adres 5897.bdb9.774d, MTU 1500
            IPS interface-mode: inline, inline-set: inline-paar-1
            IP-adres niet toegewezen
      Verkeersstatistieken voor "BUITEN":
            144 pakketten, 55634 bytes
            3954 pakketuitvoer, 339987 bytes
            0 pakketten gevallen
          1 minuut ingangssnelheid 0 pkts/sec, 7 bytes/sec
          1 minuut uitvoersnelheid 0 pkts/sec, 37 bytes/sec
          1 minuut droging snelheid, 0 pkts/sec
          5 minuten ingangssnelheid 0 ppkts/sec, 8 bytes/sec
          5 minuten uitvoersnelheid 0 pkts/sec, 39 bytes/sec
          5 minuten druppelsnelheid, 0 pkts/sec
    >

    > interface e1/6 tonen
    Interface Ethernet1/6 "INSIDE", is omhoog, is het lijnprotocol omhoog
      Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
            MAC-adres 5897.bdb9.770e, MTU 1500
            IPS Interface-Mode: inline-tap, inline-set: inline-paar-1
            IP-adres niet toegewezen
      Traffic Statistics voor "INSIDE":
            24 pakketten, 1378 bytes
            0-pakketuitvoer, 0 bytes
            24 verzonden pakketten
          1 minuut ingangssnelheid 0 pkts/sec, 0 bytes/sec
          1 minuut uitvoersnelheid 0 pkts/sec, 0 bytes/sec
          1 minuut droging snelheid, 0 pkts/sec
          5 minuten ingangssnelheid 0 ppkts/sec, 0 bytes/sec
          5-minuten uitvoersnelheid 0 kits/sec, 0 bytes/sec
          5 minuten druppelsnelheid, 0 pkts/sec
    > toon interface e1/8
    Interface Ethernet1/8 "BUITEN", is omhoog, is het lijnprotocol omhoog
      Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
            MAC-adres 5897.bdb9.774d, MTU 1500
            IPS Interface-Mode: inline-tap, inline-set: inline-paar-1
            IP-adres niet toegewezen
      Verkeersstatistieken voor "BUITEN":
            1 pakketinvoer, 441 bytes
            0-pakketuitvoer, 0 bytes
            1 pakketongelukte pakketten
          1 minuut ingangssnelheid 0 pkts/sec, 0 bytes/sec
          1 minuut uitvoersnelheid 0 pkts/sec, 0 bytes/sec
          1 minuut droging snelheid, 0 pkts/sec
          5 minuten ingangssnelheid 0 ppkts/sec, 0 bytes/sec
          5-minuten uitvoersnelheid 0 kits/sec, 0 bytes/sec
          5 minuten druppelsnelheid, 0 pkts/sec
    >

    Pakket met blokregel behandelen

    > tonen Capi-pakketnummer 1 overtrek opnemen

    3 pakketten opgenomen

       1: 16:12:55.785085 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
    Fase: 1
    Type: OPNAME
    Subtype:
    Resultaat: TOESTAAN
    Config:
    Aanvullende informatie:
    MAC-toegangslijst

    Fase: 2
    Type: TOEGANGSLIJST
    Subtype:
    Resultaat: TOESTAAN
    Config:
    impliciete regel
    Aanvullende informatie:
    MAC-toegangslijst

    Fase: 3
    Type: NGIPS-MODE
    Subtype: ngips-mode
    Resultaat: TOESTAAN
    Config:
    Aanvullende informatie:
    De flow ingedrukt en een interface geconfigureerd voor NGIPS-modus en NGIPS-services wordt toegepast

    Fase: 4
    Type: TOEGANGSLIJST
    Subtype: log
    Resultaat: DROP
    Config:
    access-group CSM_FW_ACL_global
    toegangslijst Geavanceerd CSM_FW_ACL_ deny ip 192.168.201.0 255.255.255.0 elke regel-id 268441600 gebeurtenis-log flow-start
    toegangslijst CSM_FW_ACL_ remark regel-id 268441600: TOEGANGSBELEID: FTD4100 - Verplicht/1
    toegangslijst CSM_FW_ACL_ remark regel-id 268441600: L4 REGEL: Regel 1
    Aanvullende informatie:

    Resultaat:
    input-interface: INSIDE
    invoerstatus: omhoog
    inline-status: omhoog
    Actie: drop
    Drop-reden: (acl-drop) Flow wordt ontkend door geconfigureerde regel


    1 getoond pakket
    >

    > tonen Capi-pakketnummer 1 overtrek opnemen

    3 pakketten opgenomen

       1: 16:56:02.631437 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192
    Fase: 1
    Type: OPNAME
    Subtype:
    Resultaat: TOESTAAN
    Config:
    Aanvullende informatie:
    MAC-toegangslijst

    Fase: 2
    Type: TOEGANGSLIJST
    Subtype:
    Resultaat: TOESTAAN
    Config:
    impliciete regel
    Aanvullende informatie:
    MAC-toegangslijst

    Fase: 3
    Type: NGIPS-MODE
    Subtype: ngips-mode
    Resultaat: TOESTAAN
    Config:
    Aanvullende informatie:
    De flow ingedrukt en een interface geconfigureerd voor NGIPS-modus en NGIPS-services wordt toegepast

    Fase: 4
    Type: TOEGANGSLIJST
    Subtype: log
    Resultaat: ZOU ZIJN GEVALLEN
    Config:
    access-group CSM_FW_ACL_global
    toegangslijst Geavanceerd CSM_FW_ACL_ deny ip 192.168.201.0 255.255.255.0 elke regel-id 268441600 gebeurtenis-log flow-start
    toegangslijst CSM_FW_ACL_ remark regel-id 268441600: TOEGANGSBELEID: FTD4100 - Verplicht/1
    toegangslijst CSM_FW_ACL_ remark regel-id 268441600: L4 REGEL: Regel 1
    Aanvullende informatie:

    Resultaat:
    input-interface: INSIDE
    invoerstatus: omhoog
    inline-status: omhoog
    Actie: Toegangslijst zou zijn gedaald, maar pakket doorgestuurd door inline-tap


    1 getoond pakket
    >

    Samenvatting

    • Wanneer u de modus Inline paar gebruikt, gaat het pakket voornamelijk door de FTD Snort-engine
    • TCP-verbindingen worden in een TCP-statustypass-modus verwerkt
    • Vanuit het oogpunt van een FTD LINA-motor wordt een ACL-beleid toegepast
    • Wanneer de inline paarmodus wordt gebruikt, kunnen pakketten worden geblokkeerd omdat ze inline worden verwerkt
    • Wanneer de Taps-modus is ingeschakeld, wordt er een kopie van het pakket geïnspecteerd en intern gedropt terwijl het werkelijke verkeer ongewijzigd door FTD gaat

    Gerelateerde informatie

    Revisiegeschiedenis

    Revisie Publicatiedatum Opmerkingen
    2.0
    28-Apr-2023
    Hercertificering
    1.0
    18-Oct-2017
    Eerste vrijgave
    TAC Authored

    Bijgedragen door Cisco-engineers

    • Mikis Zafeiroudis
      Cisco TAC Engineer
    • Dinkar Sharma
      Cisco TAC Engineer

    Was dit document nuttig?

    FeedbackFeedback

    Contact Cisco

    Dit document is van toepassing op deze producten