لا يتم دعم NetFlow والميزات الأخرى بسبب التحقق من محرك Lina الجزئي إذا كان FTD شفاف يعمل كزوج خطوط داخلي

المقدمة

يوضح هذا المستند ويفهم سبب عدم عمل NetFlow والميزات الأخرى في "الدفاع عن تهديد الطاقة النارية (FTD)" في وضع شفاف مع زوج خطي، وكيفية العمل حول هذا الأمر.

ساهم فيها كريستيان جي. هيرنانديز آر.، مهندس مركز المساعدة الفنية من Cisco.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• التكوين الأساسي لمركز إدارة FirePOWER (FMC) من Cisco.

• التكوين الأساسي ل Cisco FTD.
• تكوين Cisco FMC Flexconfig.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية أدناه:

• Cisco FMC v6.3.0
• Cisco FTD v6.3.0

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المشكلة: لا يتم دعم NetFlow والميزات الأخرى بسبب التحقق الجزئي من محرك Lina إذا كان FTD شفاف يعمل كزوج خط داخلي.

بمجرد تكوين NetFlow ونشره على النظام من خلال Flex Config، لا يقوم NetFlow بإنشاء تدفقات إلى مجمع (وجهة تدفق-تصدير) تم تكوينها.

flow-export destination Management 10.1.2.3 2055

class-map inspection_default
match default-inspection-traffic
!
policy-map type inspect dns preset_dns_map
parameters
  message-length maximum client auto
  message-length maximum 512
  no tcp-inspection
policy-map type inspect ip-options UM_STATIC_IP_OPTIONS_MAP
parameters
  eool action allow
  nop action allow
  router-alert action allow
policy-map global_policy
class inspection_default
  inspect dns preset_dns_map
  inspect ftp
  inspect rsh
  inspect sqlnet
  inspect sunrpc
  inspect xdmcp
  inspect sip
  inspect netbios
  inspect tftp
  inspect icmp
  inspect icmp error
  inspect ip-options UM_STATIC_IP_OPTIONS_MAP
class class-default
  flow-export event-type flow-create destination 10.1.2.3
  flow-export event-type flow-denied destination 10.1.2.3
  flow-export event-type flow-teardown destination 10.1.2.3
  flow-export event-type flow-update destination 10.1.2.3
!
service-policy global_policy global

وفقا للجدول أدناه، تم التأكد من توقع هذا السلوك في FTD بسبب عمليات التحقق المحدودة من محرك Lina لميزات معينة عند تعيين النظام في وضع زوج الصفوف. يمكنك الاطلاع على التفاصيل التالية:

وضع واجهة FTD	وضع نشر FTD	الوصف	يمكن إسقاط حركة المرور
مُوجه	مُوجه	فحوصات كاملة لمحرك LINA و Snort-engine	نعم
محول	شفاف	فحوصات كاملة لمحرك LINA و Snort-engine	نعم
زوج مضمن	موجه أو شفاف	فحص محرك LINA الجزئي ومحرك الشخر بالكامل	نعم
زوج مضمن مع TAP	موجه أو شفاف	فحص محرك LINA الجزئي ومحرك الشخر بالكامل	لا
سلبي	موجه أو شفاف	فحص محرك LINA الجزئي ومحرك الشخر بالكامل	لا
خامل (ERSPAN)	مُوجه	فحص محرك LINA الجزئي ومحرك الشخر بالكامل	لا

https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/200924-configuring-firepower-threat-defense-int.html

NetFlow هي ميزة تم تأكيدها على أنها غير مدعومة عندما يعمل FTD في وضع زوج الصفوف.

ملاحظة: لا تعرف في هذا الوقت الميزات المحددة التي لا يدعمها FTD، عندما تعمل في وضع الزوج الداخلي، ولهذا السبب، تم فتح طلب التحسين لمطالبة فريق هندسة Cisco Firepower بالمساعدة في تأكيد الميزات المعروفة غير المدعومة في هذا الوضع: CSCvo55596 DOC: قسم تحديد FMC الذي يحدد الميزات المدعومة/غير المدعومة عند FTD في مجموعة الخطوط.

الحل

إذا كان إعدادك كما هو محدد على هذا المستند، ويتطلب NetFlow، فإن الحل البديل الوحيد المعروف هو ترك FTD في الوضع الشفاف وإعداد واجهات BVI (واجهة Bridge الظاهرية) بدلا من ذلك. يعتمد هذا الحل البديل على الوظيفة المفتوحة ل ENH لتضمين وظيفة ميزة NetFlow لعمليات نشر وضع زوج الصفوف:

الأخطاء ذات الصلة

CSCvo5574     ENH: يتعذر على FTD تجميع بيانات NetFlow أثناء تكوينها في وضع زوج الصفوف.

CSCvo5585     مستند: قسم تحديد FMC لدعم NetFlow عند تكوينه في وضع زوج الخط.

CSCvo5596     مستند: قسم تحديد FMC يحدد الميزات التي يتم دعمها/غير المدعومة عند وجود FTD في مجموعة الأسطر.