المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

التكوين

الرسم التخطيطي للشبكة

المهمة 1. تكوين NAT ساكن إستاتيكي على FTD

المهمة 2. تكوين ترجمة عنوان المنفذ (PAT) على FTD

المهمة 3. تكوين إعفاء NAT على FTD

المهمة 4. تكوين كائن nat على FTD

المهمة 5. تكوين تجمع PAT على FTD

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

معلومات ذات صلة

المقدمة

يصف هذا وثيقة كيف أن يشكل ودققت أساسي شبكة عنوان ترجمة (NAT) على FirePOWER تهديد الدفاع (FTD).

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- ASA5506X الذي يشغل FTD رمز 6.1.0-226

- FireSIGHT Management Center (FMC) الذي يشغل الإصدار 6.1.0-226

- 3 أجهزة مضيفة لنظام التشغيل Windows 7

- الموجه Cisco IOS® 3925 الذي يشغل شبكة LAN إلى شبكة LAN (L2L) VPN

وقت إكمال المعمل: ساعة واحدة

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

يدعم FTD نفس خيارات تكوين NAT مثل جهاز الأمان القابل للتكيف (ASA) التقليدي:

- قواعد NAT من قبل - هذا يعادل مرتين NAT (القسم 1) على ASA التقليدي.

- قواعد NAT التلقائية - القسم 2 في ASA التقليدي

- بعد قواعد NAT - هذا يعادل مرتين NAT (القسم 3) على ASA التقليدي.

بما أن تكوين FTD يتم من ال FMC عندما يتعلق الأمر بتكوين NAT، فمن الضروري أن تكون على دراية بواجهة المستخدم الرسومية (GUI) ل FMC ومختلف خيارات التكوين.

التكوين

الرسم التخطيطي للشبكة

المهمة 1. تكوين NAT ساكن إستاتيكي على FTD

تكوين NAT طبقا لهذه المتطلبات:

اسم نهج NAT

اسم جهاز FTD

قاعدة nat

قاعدة NAT اليدوية

نوع NAT

ثابت

إدراج

في القسم 1

واجهة المصدر

داخل*

واجهة الوجهة

DMZ*

المصدر الأصلي

192.168.75.14

مصدر مترجم

192.168.76.100

*إستخدام مناطق الأمان لقاعدة NAT

NAT الثابت

الحل:

بينما على ASA التقليدي، يجب عليك إستخدام اسم في قواعد NAT. في FTD، يلزمك إستخدام مناطق الأمان أو مجموعات الواجهة.

الخطوة 1. قم بتخصيص الواجهات لمناطق الأمان/مجموعات الواجهة.

في هذه المهمة، تقرر تعيين واجهات FTD التي يتم إستخدامها ل NAT إلى مناطق الأمان. بدلا من ذلك، يمكنك تعيينهم إلى مجموعات الواجهة كما هو موضح في الصورة.

الخطوة 2. النتيجة كما هو موضح في الصورة.

الخطوة 3. يمكنك إنشاء/تحرير مجموعات واجهة ومناطق أمان من صفحة الكائنات > إدارة الكائنات كما هو موضح في الصورة.

مناطق الأمان مقابل مجموعات الواجهة

يكمن الاختلاف الرئيسي بين مناطق الأمان ومجموعات الواجهة في إمكانية انتماء الواجهة إلى منطقة أمان واحدة فقط، ولكن يمكن أن تنتمي إلى مجموعات واجهة متعددة. لذلك من الناحية العملية، توفر مجموعات الواجهة مرونة أكثر.

يمكنك أن ترى أن الواجهة الداخلية تنتمي إلى مجموعتي واجهة مختلفتين، ولكن منطقة أمان واحدة فقط كما هو موضح في الصورة.

خطوة 4. شكلت ساكن إستاتيكي nat على FTD.

انتقل إلى الأجهزة > NAT وأنشئ سياسة NAT. حدد سياسة جديدة > الدفاع عن التهديد NAT كما هو موضح في الصورة.

الخطوة 5. حدد اسم السياسة وقم بتعيينه لجهاز مستهدف كما هو موضح في الصورة.

الخطوة 6. أضف قاعدة nat إلى النهج، انقر فوق إضافة قاعدة.

حدد ذلك حسب متطلبات المهمة كما هو موضح في الصور.

المضيف-A = 192.168.75.14

host-b = 192.168.76.100

firepower# show run object

object network Host-A

host 192.168.75.14

object network Host-B

host 192.168.76.100

تحذير: إن يشكل أنت ساكن إستاتيكي nat ويعين قارن كيترجم مصدر، بعد ذلك كل حركة مرور معد ل إلى العنوان من القارن أعدت. يتعذر على المستخدمين الوصول إلى أية خدمة ممكنة على الواجهة المعينة. وتتضمن أمثلة هذه الخدمات بروتوكولات التوجيه مثل OSPF و EIGRP.

الخطوة 7. النتيجة كما هو موضح في الصورة.

الخطوة 8. تأكد من وجود سياسة تحكم في الوصول تسمح للمضيف-ب بالوصول إلى المضيف-A والعكس صحيح. تذكرت أن ساكن إستاتيكي nat مزدوج إتجاه افتراضيا. كما هو الحال مع ASA التقليدي، راجع إستخدام IPs الحقيقي.هذا متوقع لأن LINA في هذا المختبر تشغل 9.6.1.x رمز كما هو موضح في الصورة.

التحقق:

من CLI لينا:

firepower# show run nat

nat (inside,dmz) source static Host-A Host-B

تم إدراج قاعدة NAT في القسم 1 كما هو متوقع:

firepower# show nat

Manual NAT Policies (Section 1)

1 (inside) to (dmz) source static Host-A Host-B

translate_hits = 0, untranslate_hits = 0

ملاحظة: ال 2 xlates أن يكون خلقت في الخلفية.

firepower# show xlate

2 in use, 4 most used

Flags: D - DNS, e - extended, I - identity, i - dynamic, r - portmap,

s - static, T - twice, N - net-to-net

NAT from inside:192.168.75.14 to dmz:192.168.76.100

flags sT idle 0:41:49 timeout 0:00:00

NAT from dmz:0.0.0.0/0 to inside:0.0.0.0/0

flags sIT idle 0:41:49 timeout 0:00:00

جداول ASP NAT:

firepower# show asp table classify domain nat

Input Table

in  id=0x7ff6036a9f50, priority=6, domain=nat, deny=false

hits=0, user_data=0x7ff60314dbf0, cs_id=0x0, flags=0x0, protocol=0

src ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=inside, output_ifc=dmz

in  id=0x7ff603696860, priority=6, domain=nat, deny=false

hits=0, user_data=0x7ff602be3f80, cs_id=0x0, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=192.168.76.100, mask=255.255.255.255, port=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=inside

Output Table:

L2 - Output Table:

L2 - Input Table:

Last clearing of hits counters: Never

firepower# show asp table classify domain nat-reverse

Input Table

Output Table:

out id=0x7ff603685350, priority=6, domain=nat-reverse, deny=false

hits=0, user_data=0x7ff60314dbf0, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=inside

out id=0x7ff603638470, priority=6, domain=nat-reverse, deny=false

hits=0, user_data=0x7ff602be3f80, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=inside, output_ifc=dmz

L2 - Output Table:

L2 - Input Table:

Last clearing of hits counters: Never

قم بتمكين الالتقاط باستخدام تفاصيل التتبع على FTD واختبار الاتصال من المضيف-B إلى المضيف-A كما هو موضح في الصورة.

firepower# capture DMZ interface dmz trace detail match ip host 192.168.76.14 host 192.168.76.100

firepower# capture INSIDE interface inside trace detail match ip host 192.168.76.14 host 192.168.75.14

عدد مرات الوصول موجود في جداول ASP:

firepower# show asp table classify domain nat

Input Table

in  id=0x7ff6036a9f50, priority=6, domain=nat, deny=false

hits=0, user_data=0x7ff60314dbf0, cs_id=0x0, flags=0x0, protocol=0

src ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=inside, output_ifc=dmz

in  id=0x7ff603696860, priority=6, domain=nat, deny=false

hits=4, user_data=0x7ff602be3f80, cs_id=0x0, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=192.168.76.100, mask=255.255.255.255, port=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=inside

firepower# show asp table classify domain nat-reverse

Input Table

Output Table:

out id=0x7ff603685350, priority=6, domain=nat-reverse, deny=false

hits=4, user_data=0x7ff60314dbf0, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=inside

out id=0x7ff603638470, priority=6, domain=nat-reverse, deny=false

hits=0, user_data=0x7ff602be3f80, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=inside, output_ifc=dmz

يظهر التقاط الحزمة:

firepower# show capture DMZ

8 packets captured

1: 17:38:26.324812       192.168.76.14 > 192.168.76.100: icmp: echo request

2: 17:38:26.326505       192.168.76.100 > 192.168.76.14: icmp: echo reply

3: 17:38:27.317991       192.168.76.14 > 192.168.76.100: icmp: echo request

4: 17:38:27.319456       192.168.76.100 > 192.168.76.14: icmp: echo reply

5: 17:38:28.316344       192.168.76.14 > 192.168.76.100: icmp: echo request

6: 17:38:28.317824       192.168.76.100 > 192.168.76.14: icmp: echo reply

7: 17:38:29.330518       192.168.76.14 > 192.168.76.100: icmp: echo request

8: 17:38:29.331983       192.168.76.100 > 192.168.76.14: icmp: echo reply

8 packets shown

آثار الحزمة (النقاط المهمة يتم إبرازها).

ملاحظة: معرف قاعدة NAT وارتباطها بجدول ASP.

firepower# show capture DMZ packet-number 3 trace detail

8 packets captured

3: 17:38:27.317991 000c.2998.3fec d8b1.90b7.32e0 0x0800 Length: 74

192.168.76.14 > 192.168.76.100: icmp: echo request (ttl 128, id 9975)

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

Forward Flow based lookup yields rule:

in  id=0x7ff602c72be0, priority=13, domain=capture, deny=false

hits=55, user_data=0x7ff602b74a50, cs_id=0x0, l3_type=0x0

src mac=0000.0000.0000, mask=0000.0000.0000

dst mac=0000.0000.0000, mask=0000.0000.0000

input_ifc=dmz, output_ifc=any

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

Forward Flow based lookup yields rule:

in  id=0x7ff603612200, priority=1, domain=permit, deny=false

hits=1, user_data=0x0, cs_id=0x0, l3_type=0x8

src mac=0000.0000.0000, mask=0000.0000.0000

dst mac=0000.0000.0000, mask=0100.0000.0000

input_ifc=dmz, output_ifc=any

Phase: 3

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,dmz) source static Host-A Host-B

Additional Information:

NAT divert to egress interface inside

Untranslate 192.168.76.100/0 to 192.168.75.14/0

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip host 192.168.76.14 host 192.168.75.14 rule-id 268434440

access-list CSM_FW_ACL_ remark rule-id 268434440: ACCESS POLICY: FTD5506-1 - Mandatory/2

access-list CSM_FW_ACL_ remark rule-id 268434440: L4 RULE: Host-B to Host-A

Additional Information:

This packet will be sent to snort for additional processing where a verdict will be reached

Forward Flow based lookup yields rule:

in  id=0x7ff602b72610, priority=12, domain=permit, deny=false

hits=1, user_data=0x7ff5fa9d0180, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=192.168.76.14, mask=255.255.255.255, port=0, tag=any, ifc=any

dst ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any, ifc=any, vlan=0, dscp=0x0

input_ifc=any, output_ifc=any

Phase: 5

Type: CONN-SETTINGS

Subtype:

Result: ALLOW

Config:

class-map class-default

match any

policy-map global_policy

class class-default

set connection advanced-options UM_STATIC_TCP_MAP

service-policy global_policy global

Additional Information:

Forward Flow based lookup yields rule:

in  id=0x7ff60367cf80, priority=7, domain=conn-set, deny=false

hits=1, user_data=0x7ff603677080, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=any

Phase: 6

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,dmz) source static Host-A Host-B

Additional Information:

Static translate 192.168.76.14/1 to 192.168.76.14/1

Forward Flow based lookup yields rule:

in  id=0x7ff603696860, priority=6, domain=nat, deny=false

hits=1, user_data=0x7ff602be3f80, cs_id=0x0, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=192.168.76.100, mask=255.255.255.255, port=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=inside

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Forward Flow based lookup yields rule:

in  id=0x7ff602220020, priority=0, domain=nat-per-session, deny=true

hits=2, user_data=0x0, cs_id=0x0, reverse, use_real_addr, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=any, output_ifc=any

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Forward Flow based lookup yields rule:

in  id=0x7ff6035c0af0, priority=0, domain=inspect-ip-options, deny=true

hits=1, user_data=0x0, cs_id=0x0, reverse, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=any

Phase: 9

Type: INSPECT

Subtype: np-inspect

Result: ALLOW

Config:

class-map inspection_default

match default-inspection-traffic

policy-map global_policy

class inspection_default

inspect icmp

service-policy global_policy global

Additional Information:

Forward Flow based lookup yields rule:

in  id=0x7ff602b5f020, priority=70, domain=inspect-icmp, deny=false

hits=2, user_data=0x7ff602be7460, cs_id=0x0, use_real_addr, flags=0x0, protocol=1

src ip/id=0.0.0.0, mask=0.0.0.0, icmp-type=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, icmp-code=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=any

Phase: 10

Type: INSPECT

Subtype: np-inspect

Result: ALLOW

Config:

Additional Information:

Forward Flow based lookup yields rule:

in  id=0x7ff602b3a6d0, priority=70, domain=inspect-icmp-error, deny=false

hits=2, user_data=0x7ff603672ec0, cs_id=0x0, use_real_addr, flags=0x0, protocol=1

src ip/id=0.0.0.0, mask=0.0.0.0, icmp-type=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, icmp-code=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=any

Phase: 11

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,dmz) source static Host-A Host-B

Additional Information:

Forward Flow based lookup yields rule:

out id=0x7ff603685350, priority=6, domain=nat-reverse, deny=false

hits=2, user_data=0x7ff60314dbf0, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=inside

Phase: 12

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Reverse Flow based lookup yields rule:

in  id=0x7ff602220020, priority=0, domain=nat-per-session, deny=true

hits=4, user_data=0x0, cs_id=0x0, reverse, use_real_addr, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=any, output_ifc=any

Phase: 13

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Reverse Flow based lookup yields rule:

in  id=0x7ff602c56d10, priority=0, domain=inspect-ip-options, deny=true

hits=2, user_data=0x0, cs_id=0x0, reverse, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=inside, output_ifc=any

Phase: 14

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 5084, packet dispatched to next module

Module information for forward flow ...

snp_fp_inspect_ip_options

snp_fp_snort

snp_fp_inspect_icmp

snp_fp_translate

snp_fp_adjacency

snp_fp_fragment

snp_ifc_stat

Module information for reverse flow ...

snp_fp_inspect_ip_options

snp_fp_translate

snp_fp_inspect_icmp

snp_fp_snort

snp_fp_adjacency

snp_fp_fragment

snp_ifc_stat

Phase: 15

Type: EXTERNAL-INSPECT

Subtype:

Result: ALLOW

Config:

Additional Information:

Application: 'SNORT Inspect'

Phase: 16

Type: SNORT

Subtype:

Result: ALLOW

Config:

Additional Information:

Snort Verdict: (pass-packet) allow this packet

Phase: 17

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 192.168.75.14 using egress ifc  inside

Phase: 18

Type: ADJACENCY-LOOKUP

Subtype: next-hop and adjacency

Result: ALLOW

Config:

Additional Information:

adjacency Active

next-hop mac address 000c.2930.2b78 hits 140694538708414

Phase: 19

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

Forward Flow based lookup yields rule:

out id=0x7ff6036a94e0, priority=13, domain=capture, deny=false

hits=14, user_data=0x7ff6024aff90, cs_id=0x0, l3_type=0x0

src mac=0000.0000.0000, mask=0000.0000.0000

dst mac=0000.0000.0000, mask=0000.0000.0000

input_ifc=inside, output_ifc=any

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: inside

output-status: up

output-line-status: up

Action: allow

1 packet shown

المهمة 2. تكوين ترجمة عنوان المنفذ (PAT) على FTD

تكوين NAT طبقا لهذه المتطلبات:

قاعدة nat

قاعدة NAT اليدوية

نوع NAT

دينامي

إدراج

في القسم 1

واجهة المصدر

داخل*

واجهة الوجهة

خارج*

المصدر الأصلي

192.168.75.0/24

مصدر مترجم

الواجهة الخارجية (PAT)

*إستخدام مناطق الأمان لقاعدة NAT

NAT الثابت

بات

الحل:

الخطوة 1. أضف قاعدة NAT ثانية وقم بالتكوين وفقا لمتطلبات المهمة كما هو موضح في الصورة.

خطوة 2. هنا كيف ضرب يكون شكلت كما هو موضح في الصورة.

الخطوة 3. النتيجة هي كما هو موضح في الصورة.

الخطوة 4. بالنسبة لباقي هذا المختبر، قم بتكوين نهج التحكم في الوصول للسماح لجميع حركة المرور بالمرور.

التحقق:

تشكيل nat:

firepower# show nat

Manual NAT Policies (Section 1)

1 (inside) to (dmz) source static Host-A Host-B

translate_hits = 26, untranslate_hits = 26

2 (inside) to (outside) source dynamic Net_192.168.75.0_24bits interface

translate_hits = 0, untranslate_hits = 0

من واجهة سطر أوامر LINA، لاحظ الإدخال الجديد:

firepower# show xlate

3 in use, 19 most used

Flags: D - DNS, e - extended, I - identity, i - dynamic, r - portmap,

s - static, T - twice, N - net-to-net

NAT from inside:192.168.75.14 to dmz:192.168.76.100

flags sT idle 1:15:14 timeout 0:00:00

NAT from dmz:0.0.0.0/0 to inside:0.0.0.0/0

flags sIT idle 1:15:14 timeout 0:00:00

NAT from outside:0.0.0.0/0 to inside:0.0.0.0/0

flags sIT idle 0:04:02 timeout 0:00:00

تمكين الالتقاط على الواجهة الداخلية والخارجية. تشغيل الالتقاط الداخلي تمكين التتبع:

firepower# capture CAPI trace interface inside match ip host 192.168.75.14 host 192.168.77.1

firepower# capture CAPO interface outside match ip any host 192.168.77.1

يتم إختبار الاتصال من المضيف-A (192.168.75.14) إلى IP 192.168.77.1 كما هو موضح في الصورة.

في LINA على قبض، أنت يستطيع رأيت ال ضرب ترجمة:

firepower# show cap CAPI

8 packets captured

1: 18:54:43.658001       192.168.75.14 > 192.168.77.1: icmp: echo request

2: 18:54:43.659099       192.168.77.1 > 192.168.75.14: icmp: echo reply

3: 18:54:44.668544       192.168.75.14 > 192.168.77.1: icmp: echo request

4: 18:54:44.669505       192.168.77.1 > 192.168.75.14: icmp: echo reply

5: 18:54:45.682368       192.168.75.14 > 192.168.77.1: icmp: echo request

6: 18:54:45.683421       192.168.77.1 > 192.168.75.14: icmp: echo reply

7: 18:54:46.696436       192.168.75.14 > 192.168.77.1: icmp: echo request

8: 18:54:46.697412       192.168.77.1 > 192.168.75.14: icmp: echo reply

firepower# show cap CAPO

8 packets captured

1: 18:54:43.658672       192.168.77.6 > 192.168.77.1: icmp: echo request

2: 18:54:43.658962       192.168.77.1 > 192.168.77.6: icmp: echo reply

3: 18:54:44.669109       192.168.77.6 > 192.168.77.1: icmp: echo request

4: 18:54:44.669337       192.168.77.1 > 192.168.77.6: icmp: echo reply

5: 18:54:45.682932       192.168.77.6 > 192.168.77.1: icmp: echo request

6: 18:54:45.683207       192.168.77.1 > 192.168.77.6: icmp: echo reply

7: 18:54:46.697031       192.168.77.6 > 192.168.77.1: icmp: echo request

8: 18:54:46.697275       192.168.77.1 > 192.168.77.6: icmp: echo reply

آثار الحزمة مع أقسام مهمة مبرزة:

firepower# show cap CAPI packet-number 1 trace

8 packets captured

1: 18:54:43.658001       192.168.75.14 > 192.168.77.1: icmp: echo request

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 192.168.77.1 using egress ifc  outside

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268434434

access-list CSM_FW_ACL_ remark rule-id 268434434: ACCESS POLICY: FTD5506-1 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268434434: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 5

Type: CONN-SETTINGS

Subtype:

Result: ALLOW

Config:

class-map class-default

match any

policy-map global_policy

class class-default

set connection advanced-options UM_STATIC_TCP_MAP

service-policy global_policy global

Additional Information:

Phase: 6

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,outside) source dynamic Net_192.168.75.0_24bits interface

Additional Information:

Dynamic translate 192.168.75.14/1 to 192.168.77.6/1

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: INSPECT

Subtype: np-inspect

Result: ALLOW

Config:

class-map inspection_default

match default-inspection-traffic

policy-map global_policy

class inspection_default

inspect icmp

service-policy global_policy global

Additional Information:

Phase: 10

Type: INSPECT

Subtype: np-inspect

Result: ALLOW

Config:

Additional Information:

Phase: 11

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,outside) source dynamic Net_192.168.75.0_24bits interface

Additional Information:

Phase: 12

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 13

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 14

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 6981, packet dispatched to next module

Phase: 15

Type: EXTERNAL-INSPECT

Subtype:

Result: ALLOW

Config:

Additional Information:

Application: 'SNORT Inspect'

Phase: 16

Type: SNORT

Subtype:

Result: ALLOW

Config:

Additional Information:

Snort Verdict: (pass-packet) allow this packet

Phase: 17

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 192.168.77.1 using egress ifc  outside

Phase: 18

Type: ADJACENCY-LOOKUP

Subtype: next-hop and adjacency

Result: ALLOW

Config:

Additional Information:

adjacency Active

next-hop mac address c84c.758d.4980 hits 140694538709114

Phase: 19

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Result:

input-interface: outside

input-status: up

input-line-status: up

output-interface: outside

output-status: up

output-line-status: up

Action: allow

1 packet shown

تم إنشاء xlate الديناميكي (لاحظ علامات RI):

firepower# show xlate

4 in use, 19 most used

Flags: D - DNS, e - extended, I - identity, i - dynamic, r - portmap,

s - static, T - twice, N - net-to-net

NAT from inside:192.168.75.14 to dmz:192.168.76.100

flags sT idle 1:16:47 timeout 0:00:00

NAT from dmz:0.0.0.0/0 to inside:0.0.0.0/0

flags sIT idle 1:16:47 timeout 0:00:00

NAT from outside:0.0.0.0/0 to inside:0.0.0.0/0

flags sIT idle 0:05:35 timeout 0:00:00

ICMP PAT from inside:192.168.75.14/1 to outside:192.168.77.6/1 flags ri idle 0:00:30 timeout 0:00:30

في سجلات LINA ترى:

firepower# show log

May 31 2016 18:54:43: %ASA-7-609001: Built local-host inside:192.168.75.14

May 31 2016 18:54:43: %ASA-6-305011: Built dynamic ICMP translation from inside:192.168.75.14/1 to outside:192.168.77.6/1

May 31 2016 18:54:43: %ASA-7-609001: Built local-host outside:192.168.77.1

May 31 2016 18:54:43: %ASA-6-302020: Built inbound ICMP connection for faddr 192.168.75.14/1 gaddr 192.168.77.1/0 laddr 192.168.77.1/0

May 31 2016 18:54:43: %ASA-6-302021: Teardown ICMP connection for faddr 192.168.75.14/1 gaddr 192.168.77.1/0 laddr 192.168.77.1/0

May 31 2016 18:54:43: %ASA-7-609002: Teardown local-host outside:192.168.77.1 duration 0:00:00

May 31 2016 18:55:17: %ASA-6-305012: Teardown dynamic ICMP translation from inside:192.168.75.14/1 to outside:192.168.77.6/1 duration 0:00:34

nat قسم:

firepower# show nat

Manual NAT Policies (Section 1)

1 (inside) to (dmz) source static Host-A Host-B

translate_hits = 26, untranslate_hits = 26

2 (inside) to (outside) source dynamic Net_192.168.75.0_24bits interface

translate_hits = 94, untranslate_hits = 138

عرض جداول ASP:

firepower# show asp table classify domain nat

Input Table

in  id=0x7ff6036a9f50, priority=6, domain=nat, deny=false

hits=0, user_data=0x7ff60314dbf0, cs_id=0x0, flags=0x0, protocol=0

src ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=inside, output_ifc=dmz

in  id=0x7ff603696860, priority=6, domain=nat, deny=false

hits=4, user_data=0x7ff602be3f80, cs_id=0x0, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=192.168.76.100, mask=255.255.255.255, port=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=inside

in  id=0x7ff602c75f00, priority=6, domain=nat, deny=false

hits=94, user_data=0x7ff6036609a0, cs_id=0x0, flags=0x0, protocol=0

src ip/id=192.168.75.0, mask=255.255.255.0, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=inside, output_ifc=outside

in  id=0x7ff603681fb0, priority=6, domain=nat, deny=false

hits=276, user_data=0x7ff60249f370, cs_id=0x0, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=192.168.77.6, mask=255.255.255.255, port=0, tag=any, dscp=0x0

input_ifc=outside, output_ifc=inside

firepower# show asp table classify domain nat-reverse

Input Table

Output Table:

out id=0x7ff603685350, priority=6, domain=nat-reverse, deny=false

hits=4, user_data=0x7ff60314dbf0, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any, dscp=0x0

input_ifc=dmz, output_ifc=inside

out id=0x7ff603638470, priority=6, domain=nat-reverse, deny=false

hits=0, user_data=0x7ff602be3f80, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=192.168.75.14, mask=255.255.255.255, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=inside, output_ifc=dmz

out id=0x7ff60361bda0, priority=6, domain=nat-reverse, deny=false

hits=138, user_data=0x7ff6036609a0, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any

dst ip/id=192.168.75.0, mask=255.255.255.0, port=0, tag=any, dscp=0x0

input_ifc=outside, output_ifc=inside

out id=0x7ff60361c180, priority=6, domain=nat-reverse, deny=false

hits=94, user_data=0x7ff60249f370, cs_id=0x0, use_real_addr, flags=0x0, protocol=0

src ip/id=192.168.75.0, mask=255.255.255.0, port=0, tag=any

dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0

input_ifc=inside, output_ifc=outside

المهمة 3. تكوين إعفاء NAT على FTD

تكوين NAT طبقا لهذه المتطلبات:

قاعدة nat

قاعدة NAT اليدوية

نوع NAT

ثابت

إدراج

في القسم 1 جميع القواعد الموجودة

واجهة المصدر

داخل*

واجهة الوجهة

خارج*

المصدر الأصلي

192.168.75.0/24

مصدر مترجم

192.168.75.0/24

الوجهة الأصلية

10.1.1.0/24

الوجهة المترجمة

10.1.1.0/24

*إستخدام مناطق الأمان لقاعدة NAT

NAT الثابت

بات

إستثناء NAT

الحل:

الخطوة 1. أضف قاعدة NAT ثالثة وقم بتكوين متطلبات كل مهمة كما هو موضح في الصورة.

الخطوة 2. قم بإجراء بحث عن المسار لتحديد واجهة مخرج.

ملاحظة: لقواعد NAT للهوية، مثل الذي أضفته، أنت يستطيع غيرت كيف المخرج قارن عينت واستعملت عادي طريق بحث كما هو موضح في الصورة.

التحقق:

firepower# show run nat

nat (inside,outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

nat (inside,dmz) source static Host-A Host-B

nat (inside,outside) source dynamic Net_192.168.75.0_24bits interface

firepower# show nat

Manual NAT Policies (Section 1)

1 (inside) to (outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits  destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

translate_hits = 0, untranslate_hits = 0

2 (inside) to (dmz) source static Host-A Host-B

translate_hits = 26, untranslate_hits = 26

3 (inside) to (outside) source dynamic Net_192.168.75.0_24bits interface

translate_hits = 96, untranslate_hits = 138

قم بتشغيل packet-tracer لحركة مرور البيانات غير الخاصة بشبكة VPN التي يتم الحصول عليها من داخل الشبكة. يتم إستخدام قاعدة PAT كما هو متوقع:

firepower# packet-tracer input inside tcp 192.168.75.14 1111 192.168.77.1 80

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 192.168.77.1 using egress ifc  outside

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268434434

access-list CSM_FW_ACL_ remark rule-id 268434434: ACCESS POLICY: FTD5506-1 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268434434: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 5

Type: CONN-SETTINGS

Subtype:

Result: ALLOW

Config:

class-map class-default

match any

policy-map global_policy

class class-default

set connection advanced-options UM_STATIC_TCP_MAP

service-policy global_policy global

Additional Information:

Phase: 6

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,outside) source dynamic Net_192.168.75.0_24bits interface

Additional Information:

Dynamic translate 192.168.75.14/1111 to 192.168.77.6/1111

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,outside) source dynamic Net_192.168.75.0_24bits interface

Additional Information:

Phase: 10

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 11

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 12

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 7227, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: outside

output-status: up

output-line-status: up

Action: allow

قم بتشغيل packet-tracer لحركة المرور التي يجب أن تمر عبر نفق VPN (قم بتشغيله مرتين منذ المحاولة الأولى التي تجلب نفق VPN لأعلى).

ملاحظة: يجب عليك إختيار قاعدة إستثناء NAT.

أول محاولة لتتبع الحزم:

firepower# packet-tracer input inside tcp 192.168.75.14 1111 10.1.1.1 80

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

Additional Information:

NAT divert to egress interface outside

Untranslate 10.1.1.1/80 to 10.1.1.1/80

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268434434

access-list CSM_FW_ACL_ remark rule-id 268434434: ACCESS POLICY: FTD5506-1 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268434434: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 5

Type: CONN-SETTINGS

Subtype:

Result: ALLOW

Config:

class-map class-default

match any

policy-map global_policy

class class-default

set connection advanced-options UM_STATIC_TCP_MAP

service-policy global_policy global

Additional Information:

Phase: 6

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

Additional Information:

Static translate 192.168.75.14/1111 to 192.168.75.14/1111

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: VPN

Subtype: encrypt

Result: DROP

Config:

Additional Information:

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: outside

output-status: up

output-line-status: up

Action: drop

Drop-reason: (acl-drop) Flow is denied by configured rule

محاولة تعقب الحزمة الثانية:

firepower# packet-tracer input inside tcp 192.168.75.14 1111 10.1.1.1 80

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

Additional Information:

NAT divert to egress interface outside

Untranslate 10.1.1.1/80 to 10.1.1.1/80

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268434434

access-list CSM_FW_ACL_ remark rule-id 268434434: ACCESS POLICY: FTD5506-1 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268434434: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 5

Type: CONN-SETTINGS

Subtype:

Result: ALLOW

Config:

class-map class-default

match any

policy-map global_policy

class class-default

set connection advanced-options UM_STATIC_TCP_MAP

service-policy global_policy global

Additional Information:

Phase: 6

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

Additional Information:

Static translate 192.168.75.14/1111 to 192.168.75.14/1111

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: VPN

Subtype: encrypt

Result: ALLOW

Config:

Additional Information:

Phase: 10

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

Additional Information:

Phase: 11

Type: VPN

Subtype: ipsec-tunnel-flow

Result: ALLOW

Config:

Additional Information:

Phase: 12

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 13

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 14

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 7226, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: outside

output-status: up

output-line-status: up

Action: allow

التحقق من عدد مرات وصول NAT:

firepower# show nat

Manual NAT Policies (Section 1)

1 (inside) to (outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits  destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

translate_hits = 9, untranslate_hits = 9

2 (inside) to (dmz) source static Host-A Host-B

translate_hits = 26, untranslate_hits = 26

3 (inside) to (outside) source dynamic Net_192.168.75.0_24bits interface

translate_hits = 98, untranslate_hits = 138

المهمة 4. تكوين كائن nat على FTD

تكوين NAT طبقا لهذه المتطلبات:

قاعدة nat

قاعدة NAT التلقائية

نوع NAT

ثابت

إدراج

في القسم 2

واجهة المصدر

داخل*

واجهة الوجهة

DMZ*

المصدر الأصلي

192.168.75.99

مصدر مترجم

192.168.76.99

ترجمة ردود DNS التي تطابق هذه القاعدة

ممكن

*إستخدام مناطق الأمان لقاعدة NAT

الحل:

الخطوة 1. قم بتكوين القاعدة وفقا لمتطلبات المهمة كما هو موضح في الصور.

الخطوة 2. النتيجة هي كما هو موضح في الصورة.

التحقق:

firepower# show run nat

nat (inside,outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

nat (inside,dmz) source static Host-A Host-B

nat (inside,outside) source dynamic Net_192.168.75.0_24bits interface

!

object network obj-192.168.75.99

nat (inside,dmz) static obj-192.168.76.99 dns

firepower# show nat

Manual NAT Policies (Section 1)

1 (inside) to (outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits  destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

translate_hits = 9, untranslate_hits = 9

2 (inside) to (dmz) source static Host-A Host-B

translate_hits = 26, untranslate_hits = 26

3 (inside) to (outside) source dynamic Net_192.168.75.0_24bits interface

translate_hits = 98, untranslate_hits = 138

Auto NAT Policies (Section 2)

1 (inside) to (dmz) source static obj-192.168.75.99 obj-192.168.76.99  dns

translate_hits = 0, untranslate_hits = 0

التحقق من خلال أداة تتبع الحزم:

firepower# packet-tracer input inside tcp 192.168.75.99 1111 192.168.76.100 80

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 192.168.76.100 using egress ifc  dmz

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268434434

access-list CSM_FW_ACL_ remark rule-id 268434434: ACCESS POLICY: FTD5506-1 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268434434: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 5

Type: CONN-SETTINGS

Subtype:

Result: ALLOW

Config:

class-map class-default

match any

policy-map global_policy

class class-default

set connection advanced-options UM_STATIC_TCP_MAP

service-policy global_policy global

Additional Information:

Phase: 6

Type: NAT

Subtype:

Result: ALLOW

Config:

object network obj-192.168.75.99

nat (inside,dmz) static obj-192.168.76.99 dns

Additional Information:

Static translate 192.168.75.99/1111 to 192.168.76.99/1111

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 10

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 11

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 7245, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: dmz

output-status: up

output-line-status: up

Action: allow

المهمة 5. تكوين تجمع PAT على FTD

تكوين NAT طبقا لهذه المتطلبات:

قاعدة nat

قاعدة NAT اليدوية

نوع NAT

دينامي

إدراج

في القسم 3

واجهة المصدر

داخل*

واجهة الوجهة

DMZ*

المصدر الأصلي

192.168.75.0/24

مصدر مترجم

192.168.76.20-22

أستخدم النطاق بأكمله (1-65535)

ممكن

*إستخدام مناطق الأمان لقاعدة NAT

الحل:

الخطوة 1. قم بتكوين القاعدة لكل متطلبات المهمة كما هو موضح في الصور.

الخطوة 2. قم بتمكين نطاق المنفذ المسطح مع تضمين منافذ ReserveVer التي تسمح باستخدام النطاق بالكامل (1-65535) كما هو موضح في الصورة.

الخطوة 3. النتيجة هي كما هو موضح في الصورة.

التحقق:

firepower# show run nat

nat (inside,outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

nat (inside,dmz) source static Host-A Host-B

nat (inside,outside) source dynamic Net_192.168.75.0_24bits interface

!

object network obj-192.168.75.99

nat (inside,dmz) static obj-192.168.76.99 dns

!

nat (inside,dmz) after-auto source dynamic Net_192.168.75.0_24bits pat-pool range-192.168.76.20-22 flat include-reserve

القاعدة موجودة في القسم 3:

firepower# show nat

Manual NAT Policies (Section 1)

1 (inside) to (outside) source static Net_192.168.75.0_24bits Net_192.168.75.0_24bits  destination static net_10.1.1.0_24bits net_10.1.1.0_24bits

translate_hits = 9, untranslate_hits = 9

2 (inside) to (dmz) source static Host-A Host-B

translate_hits = 26, untranslate_hits = 26

3 (inside) to (outside) source dynamic Net_192.168.75.0_24bits interface

translate_hits = 98, untranslate_hits = 138

Auto NAT Policies (Section 2)

1 (inside) to (dmz) source static obj-192.168.75.99 obj-192.168.76.99  dns

translate_hits = 1, untranslate_hits = 0

Manual NAT Policies (Section 3)

1 (inside) to (dmz) source dynamic Net_192.168.75.0_24bits pat-pool range-192.168.76.20-22 flat include-reserve

translate_hits = 0, untranslate_hits = 0

التحقق من Packet-tracer:

firepower# packet-tracer input inside icmp 192.168.75.15 8 0 192.168.76.5

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 192.168.76.5 using egress ifc  dmz

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268434434

access-list CSM_FW_ACL_ remark rule-id 268434434: ACCESS POLICY: FTD5506-1 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268434434: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 5

Type: CONN-SETTINGS

Subtype:

Result: ALLOW

Config:

class-map class-default

match any

policy-map global_policy

class class-default

set connection advanced-options UM_STATIC_TCP_MAP

service-policy global_policy global

Additional Information:

Phase: 6

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,dmz) after-auto source dynamic Net_192.168.75.0_24bits pat-pool range-192.168.76.20-22 flat include-reserve

Additional Information:

Dynamic translate 192.168.75.15/0 to 192.168.76.20/11654

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: INSPECT

Subtype: np-inspect

Result: ALLOW

Config:

class-map inspection_default

match default-inspection-traffic

policy-map global_policy

class inspection_default

inspect icmp

service-policy global_policy global

Additional Information:

Phase: 10

Type: INSPECT

Subtype: np-inspect

Result: ALLOW

Config:

Additional Information:

Phase: 11

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,dmz) after-auto source dynamic Net_192.168.75.0_24bits pat-pool range-192.168.76.20-22 flat include-reserve

Additional Information:

Phase: 12

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 13

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 14

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 7289, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: dmz

output-status: up

output-line-status: up

Action: allow

التحقق من الصحة

استخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.

وقد تم شرح التحقق في كل قسم من أقسام المهام.

استكشاف الأخطاء وإصلاحها

يوفر هذا القسم معلومات يمكنك إستخدامها لاستكشاف أخطاء التكوين وإصلاحها.

افتح صفحة أستكشاف الأخطاء وإصلاحها المتقدمة على FMC، ثم قم بتشغيل الحزمة-tracer، ثم قم بتشغيل الأمر show nat pool.

ملاحظة: المدخل الذي يستخدم النطاق بأكمله كما هو موضح في الصورة.

معلومات ذات صلة

- يمكن العثور على جميع إصدارات دليل تكوين Cisco Firepower Management Center هنا:

التنقل عبر وثائق الدفاع عن تهديد جدار الحماية الآمن من Cisco

- يوصي مركز المساعدة التقنية العالمي (TAC) من Cisco بشدة بهذا الدليل المرئي للمعرفة العملية المتعمقة حول تقنيات أمان الجيل التالي من Cisco Firepower، والتي تتضمن التقنيات المذكورة في هذه المقالة:

Cisco Press - الدفاع ضد تهديد الطاقة النارية

- لكافة عمليات التهيئة واستكشاف أخطاء الملاحظات الفنية المتعلقة بتقنيات FirePOWER وإصلاحها:

مركز إدارة جدار الحماية الآمن من Cisco

- الدعم التقني والمستندات - Cisco Systems