تكوين سياسات عامل التصفية المسبق ل FTD وتشغيلها

المقدمة

يصف هذا المستند تكوين سياسات التصفية المسبقة للدفاع عن تهديد FirePOWER (FTD) وتشغيلها.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• ASA5506X الذي يشغل FTD رمز 6.1.0-195
• موجهات 3925 Cisco IOS® التي تشغل 15.2 صورة
• FireSIGHT Management Center (FMC) الذي يشغل الإصدار 6.1.0-195

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

سياسة ما قبل التصفية هي ميزة مقدمة في الإصدار 6.1 وتخدم ثلاثة أغراض رئيسية:

1. مطابقة حركة المرور استنادا إلى كل من الرؤوس الداخلية والخارجية.
2. توفير التحكم بالوصول المبكر الذي يسمح للتدفق بتجاوز محرك الشخير بالكامل.
3. العمل كعنصر نائب لإدخالات التحكم في الوصول (ACEs) التي يتم ترحيلها من أداة ترحيل أجهزة الأمان المعدلة (ASA).

التكوين

حالة إستخدام نهج عامل التصفية المسبق 1

يمكن لنهج PreFilter إستخدام نوع قاعدة النفق التي تسمح ل FTD بالتصفية استنادا إلى كل من حركة المرور النفقي لرأس IP الداخلية و/أو الخارجية. وقت كتابة هذه المقالة، تشير حركة المرور النفقي إلى:

• IP-in-IP
• IPv6-in-IP
• منفذ Teredo 3544
• تضمين التوجيه العام (GRE)

تأمل في نفق GRE كما هو موضح في الصورة:

عند إختبار الاتصال من R1 إلى R2 باستخدام نفق GRE، تمر حركة مرور البيانات عبر جدار الحماية:

إذا كان جدار الحماية جهاز ASA، فإنه يتحقق من عنوان IP الخارجي:

ASA# show conn
GRE OUTSIDE 192.168.76.39:0 INSIDE  192.168.75.39:0, idle 0:00:17, bytes 520, flags

إذا كان جدار الحماية جهاز FirePOWER، فإنه يتحقق من عنوان IP الداخلي:

باستخدام نهج عامل التصفية المسبق، يمكن لجهاز FTD مطابقة حركة مرور البيانات استنادا إلى كل من الرؤوس الداخلية والخارجية.

النقطة الرئيسية

حالة إستخدام نهج عامل التصفية المسبق 2

يمكن لنهج PreFilter إستخدام نوع قاعدة Prefilter التي يمكنها توفير التحكم بالوصول المبكر والسماح للتدفق بتجاوز محرك الشخير بالكامل:

المهمة 1: التحقق من نهج التصفية المسبقة الافتراضي

متطلبات المهمة

التحقق من نهج التصفية المسبقة الافتراضي.

الحل

1. انتقل إلى السياسات > التحكم في الوصول > Prefilter. في هذا المثال، يوجد نهج Prefilter افتراضي بالفعل:

2. حدد تحرير لعرض إعدادات النهج:

3. تم إرفاق نهج عامل التصفية المسبق بنهج التحكم بالوصول بالفعل:

التحقق من CLI (LINA)

تتم إضافة قواعد عامل التصفية المسبق فوق قوائم التحكم في الوصول (ACLs):

firepower# show access-list
access-list cached ACL log flows: total 0, denied 0 (deny-flow-max 4096)
            alert-interval 300
access-list CSM_FW_ACL_; 5 elements; name hash: 0x4a69e3f3
access-list CSM_FW_ACL_ line 1 remark rule-id 9998: PREFILTER POLICY: Default Tunnel and Priority Policy
access-list CSM_FW_ACL_ line 2 remark rule-id 9998: RULE: DEFAULT TUNNEL ACTION RULE
access-list CSM_FW_ACL_ line 3 advanced permit ipinip any any rule-id 9998 (hitcnt=0) 0xf5b597d6
access-list CSM_FW_ACL_ line 4 advanced permit 41 any any rule-id 9998 (hitcnt=0) 0x06095aba
access-list CSM_FW_ACL_ line 5 advanced permit gre any any rule-id 9998 (hitcnt=5) 0x52c7a066
access-list CSM_FW_ACL_ line 6 advanced permit udp any any eq 3544 rule-id 9998 (hitcnt=0) 0xcf6309bc

المهمة 2: حظر حركة المرور النفقي باستخدام العلامة

متطلبات المهمة

حظر حركة مرور ICMP التي يتم إنشاء قنوات لها داخل نفق GRE.

الحل

1. إذا قمت بتطبيق قوائم التحكم في الوصول (ACPs) هذه، فيمكنك رؤية حركة مرور بروتوكول رسائل التحكم في الإنترنت (ICMP) محظورة، حتى إذا مرت عبر نفق GRE أو لا:

R1# ping 192.168.76.39
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.76.39, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

R1# ping 10.0.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.0.0.2, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

في هذا المثال، يمكنك إستخدام نهج PreFilter للوفاء بمتطلبات المهمة. والمنطق هنا هو كالتالي:

• تمييز جميع الحزم التي يتم تضمينها داخل GRE.
• قم بإنشاء سياسة التحكم في الوصول التي تطابق الحزم المميزة وتمنع ICMP. 

من وجهة نظر الهندسة المعمارية، فإن الحزم يتم فحصها مقابل قواعد التصفية المسبقة LInux Native (LINA)، ثم شطب قواعد التصفية المسبقة و ACP، وأخيرا يقوم الشخير بتوجيه LINA للإسقاط. تصل الحزمة الأولى من خلال جهاز FTD.

1. حدد علامة لحركة المرور النفقي.

2. انتقل إلى السياسات > التحكم في الوصول > PreFilter وقم بإنشاء سياسة PreFilter جديدة. تذكر أنه لا يمكن تحرير نهج Prefilter الافتراضي:

في نهج عامل التصفية المسبق، قم بتحديد نوعين من القواعد:

• قاعدة النفق
• قاعدة عامل التصفية المسبق

يمكنك التفكير في هذين السمتين على أنهما مميزات مختلفة تماما يمكن تكوينها في نهج PreFilter. لهذه المهمة، من الضروري تعريف قاعدة نفق:.

يحدد هذا الجدول الإجراءات بوصف قصير لكل منها:

2. تحديد سياسة التحكم بالوصول لحركة المرور ذات العلامات

• على الرغم من أنه غير بديهي في البداية، إلا أنه يمكن إستخدام علامة النفق بواسطة قاعدة سياسة التحكم بالوصول كمنطقة مصدر. انتقل إلى السياسات > التحكم في الوصول وأنشئ قاعدة تمنع ICMP لحركة المرور ذات العلامات:

ملاحظة: يتم إرفاق نهج التصفية المسبقة الجديد بنهج التحكم بالوصول.

التحقق

تمكين الالتقاط على LINA وعلى CLISH:

firepower# show capture
capture CAPI type raw-data trace interface inside [Capturing - 152 bytes]
capture CAPO type raw-data trace interface outside [Capturing - 152 bytes]

> capture-traffic
Please choose domain to capture traffic from:
  0 - br1
  1 - Router

Selection? 1

Please specify tcpdump options desired.
(or enter '?' for a list of supported options)
Options: -n

من R1، حاول إختبار اتصال نقطة نهاية نفق GRE البعيد؛ فشل إختبار الاتصال:

R1# ping 10.0.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.0.0.2, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

يظهر التقاط CLISH أول طلب echo الذي تم إجراؤه من خلال FTD وتم حظر الرد:

Options: -n
18:21:07.759939 IP 192.168.75.39 > 192.168.76.39: GREv0, length 104: IP 10.0.0.1 > 10.0.0.2: ICMP echo request, id 65, seq 0, length 80
18:21:07.759939 IP 192.168.76.39 > 192.168.75.39: GREv0, length 104: IP 10.0.0.2 > 10.0.0.1: ICMP echo reply, id 65, seq 0, length 80
18:21:09.759939 IP 192.168.75.39 > 192.168.76.39: GREv0, length 104: IP 10.0.0.1 > 10.0.0.2: ICMP echo request, id 65, seq 1, length 80
18:21:11.759939 IP 192.168.75.39 > 192.168.76.39: GREv0, length 104: IP 10.0.0.1 > 10.0.0.2: ICMP echo request, id 65, seq 2, length 80
18:21:13.759939 IP 192.168.75.39 > 192.168.76.39: GREv0, length 104: IP 10.0.0.1 > 10.0.0.2: ICMP echo request, id 65, seq 3, length 80
18:21:15.759939 IP 192.168.75.39 > 192.168.76.39: GREv0, length 104: IP 10.0.0.1 > 10.0.0.2: ICMP echo request, id 65, seq 4, length 80

ويؤكد التقاط LINA ذلك:

> show capture CAPI | include ip-proto-47
 102: 18:21:07.767523  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
 107: 18:21:09.763739  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
 111: 18:21:11.763769  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
 115: 18:21:13.763784  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
 120: 18:21:15.763830  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
>
> show capture CAPO | include ip-proto-47
  93: 18:21:07.768133  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
  94: 18:21:07.768438  192.168.76.39 > 192.168.75.39:  ip-proto-47, length 104

قم بتمكين تصحيح أخطاء جدار حماية CLISH ومسح عدادات الإسقاط LINA ASP وإكمال نفس الاختبار. يظهر تصحيح أخطاء CLISH أنه بالنسبة إلى Echo-Request، قمت بمطابقة قاعدة عامل التصفية المسبق ولقاعدة ACP الخاصة بالرد على الارتداد:

10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 New session
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 uses prefilter rule 268434441 with tunnel zone 1
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 Starting with minimum 0, id 0 and SrcZone first with zones 1 -> -1, geo 0 -> 0, vlan 0, sgt tag: 65535, svc 0, payload 0, client 0, misc 0, user 9999997, icmpType 8, icmpCode 0
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 pending rule order 3, 'Block ICMP', AppId
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 uses prefilter rule 268434441 with tunnel zone 1
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 Starting with minimum 0, id 0 and SrcZone first with zones 1 -> -1, geo 0 -> 0, vlan 0, sgt tag: 65535, svc 3501, payload 0, client 2000003501, misc 0, user 9999997, icmpType 0, icmpCode 0
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 match rule order 3, 'Block ICMP', action Block
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 deny action

يعرض إسقاط ASP قيام الشخر بإسقاط الحزم:

> show asp drop

Frame drop:
  No route to host (no-route)                                     366
  Reverse-path verify failed (rpf-violated)                         2
  Flow is denied by configured rule (acl-drop)                      2
  Snort requested to drop the frame (snort-drop)                    5

في "أحداث الاتصال"، يمكنك الاطلاع على "نهج وأسس عامل التصفية المسبق" التي قمت بمطابقتها:

المهمة 3: تجاوز Snort Engine باستخدام قواعد FastPath Prefilter

الرسم التخطيطي للشبكة

متطلبات المهمة

1. قم بإزالة قواعد "نهج التحكم بالوصول" الحالية وإضافة قاعدة "نهج التحكم بالوصول" التي تمنع حركة مرور البيانات بالكامل.
2. قم بتكوين قاعدة نهج Prefilter التي تتجاوز Snort Engine لحركة مرور البيانات التي يتم الحصول عليها من شبكة 192.168.75.0/24.

الحل

1. سياسة التحكم في الوصول التي تمنع حركة المرور بكاملها:

2. أضف قاعدة Prefilter مع FastPath كإجراء لشبكة المصدر 192.168.75.0/24:

3. يتم عرض النتيجة في الصورة التالية:

4. حفظ ونشر.

تمكين الالتقاط باستخدام تتبع على كل من واجهات FTD:

firepower# capture CAPI int inside trace match icmp any any
firepower# capture CAPO int outsid trace match icmp any any

حاول إختبار الاتصال من R1 (192.168.75.39) إلى R2 (192.168.76.39) من خلال FTD؛ فشل إختبار الاتصال:

R1# ping 192.168.76.39
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.76.39, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

يظهر الالتقاط على الواجهة الداخلية:

firepower# show capture CAPI

5 packets captured

   1: 23:35:07.281738   192.168.75.39 > 192.168.76.39: icmp: echo request
   2: 23:35:09.278641   192.168.75.39 > 192.168.76.39: icmp: echo request
   3: 23:35:11.279251   192.168.75.39 > 192.168.76.39: icmp: echo request
   4: 23:35:13.278778   192.168.75.39 > 192.168.76.39: icmp: echo request
   5: 23:35:15.279282   192.168.75.39 > 192.168.76.39: icmp: echo request
5 packets shown

تتبع أول حزمة (echo-request) عروض (النقاط المهمة المميزة):

التقاط على الواجهة الخارجية يوضح:

firepower# show capture CAPO

10 packets captured

   1: 23:35:07.282044   192.168.75.39 > 192.168.76.39: icmp: echo request
   2: 23:35:07.282227   192.168.76.39 > 192.168.75.39: icmp: echo reply
   3: 23:35:09.278717   192.168.75.39 > 192.168.76.39: icmp: echo request
   4: 23:35:09.278962   192.168.76.39 > 192.168.75.39: icmp: echo reply
   5: 23:35:11.279343   192.168.75.39 > 192.168.76.39: icmp: echo request
   6: 23:35:11.279541   192.168.76.39 > 192.168.75.39: icmp: echo reply
   7: 23:35:13.278870   192.168.75.39 > 192.168.76.39: icmp: echo request
   8: 23:35:13.279023   192.168.76.39 > 192.168.75.39: icmp: echo reply
   9: 23:35:15.279373   192.168.75.39 > 192.168.76.39: icmp: echo request
  10: 23:35:15.279541   192.168.76.39 > 192.168.75.39: icmp: echo reply
10 packets shown

يظهر تتبع الحزمة المرتجعة أنها تطابق التدفق الحالي (52)، ولكن تم حظرها بواسطة قائمة التحكم في الوصول (ACL):

firepower# show capture CAPO packet-number 2 trace

10 packets captured

   2: 23:35:07.282227       192.168.76.39 > 192.168.75.39: icmp: echo reply
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Config:
Additional Information:
Found flow with id 52, uses current flow

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: DROP
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip any any rule-id 268434432 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268434432: ACCESS POLICY: ACP_5506-1 - Default/1
access-list CSM_FW_ACL_ remark rule-id 268434432: L4 RULE: DEFAULT ACTION RULE
Additional Information:

Result:
input-interface: outside
input-status: up
input-line-status: up
Action: drop
Drop-reason: (acl-drop) Flow is denied by configured rule

5. قم بإضافة قاعدة عامل تصفية مسبق أخرى لحركة المرور العائدة، وتعرض الصورة التالية النتيجة

الآن تتبع الحزمة المرتجعة التي تراها (النقاط المهمة مبرزة):

التحقق من الصحة

أستخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح. تم شرح التحقق في أقسام المهام ذات الصلة.

استكشاف الأخطاء وإصلاحها

لا تتوفر حاليًا معلومات محددة لاستكشاف الأخطاء وإصلاحها لهذا التكوين.

معلومات ذات صلة

• يمكن العثور على جميع إصدارات دليل تكوين مركز إدارة Cisco Firepower في التنقل عبر وثائق الدفاع عن تهديد جدار الحماية الآمن من Cisco

• يوصي مركز المساعدة التقنية العالمي (TAC) من Cisco بشدة بهذا الدليل المرئي للمعرفة العملية المتعمقة حول تقنيات أمان الجيل التالي من Cisco Firepower، والتي تتضمن التقنيات المذكورة في هذه المقالة بموجب برنامج الدفاع عن تهديد الطاقة النارية (FTD) من Cisco

• بالنسبة لجميع ملاحظات التقنية الخاصة بالتكوين واستكشاف الأخطاء وإصلاحها، ارجع إلى مركز إدارة جدار الحماية الآمن من Cisco

• الدعم التقني والمستندات - Cisco Systems