NetFlow und andere Funktionen werden aufgrund der teilweise Überprüfung der Lina Engine nicht unterstützt, ob eine transparente FTD als Inline-Paar funktioniert.

Einführung

Dieses Dokument beschreibt und erläutert, warum NetFlow und andere Funktionen in einer FirePOWER Threat Defense (FTD) im transparenten Modus mit Inline-Paaren nicht funktionieren, und wie dies umgangen werden kann.

Unterstützt von Christian G. Hernandez R., Cisco TAC-Engineer

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

• Grundlegende Konfiguration des Cisco FirePOWER Management Center (FMC).

• Grundlegende Cisco FTD-Konfiguration.
• Cisco FMC flexconfig-Konfiguration.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

• Cisco FMC 6.3.0
• Cisco FTD 6.3.0

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Problem: NetFlow und andere Funktionen werden aufgrund der teilweise Überprüfung der Lina Engine nicht unterstützt, ob eine transparente FTD als Inline-Paar funktioniert.

Nach der Konfiguration und Bereitstellung von NetFlow über Flex Config auf dem System generiert NetFlow keine Datenflüsse an den Collector (Flow-Export-Ziel), der konfiguriert wurde.

flow-export destination Management 10.1.2.3 2055

class-map inspection_default
match default-inspection-traffic
!
policy-map type inspect dns preset_dns_map
parameters
  message-length maximum client auto
  message-length maximum 512
  no tcp-inspection
policy-map type inspect ip-options UM_STATIC_IP_OPTIONS_MAP
parameters
  eool action allow
  nop action allow
  router-alert action allow
policy-map global_policy
class inspection_default
  inspect dns preset_dns_map
  inspect ftp
  inspect rsh
  inspect sqlnet
  inspect sunrpc
  inspect xdmcp
  inspect sip
  inspect netbios
  inspect tftp
  inspect icmp
  inspect icmp error
  inspect ip-options UM_STATIC_IP_OPTIONS_MAP
class class-default
  flow-export event-type flow-create destination 10.1.2.3
  flow-export event-type flow-denied destination 10.1.2.3
  flow-export event-type flow-teardown destination 10.1.2.3
  flow-export event-type flow-update destination 10.1.2.3
!
service-policy global_policy global

Wie in der Tabelle unten gezeigt, wird dieses Verhalten für FTD aufgrund begrenzter Lina Engine-Prüfungen auf bestimmte Funktionen bestätigt, wenn das System im Inline-Pair-Modus eingestellt ist. Einzelheiten siehe unten:

FTD-Schnittstellenmodus	FTD-Bereitstellungsmodus	Beschreibung	Datenverkehr kann verworfen werden
Geroutet	Geroutet	Vollständige LINA-Engine- und Snort-Engine-Prüfungen	Ja
Switched	Transparent	Vollständige LINA-Engine- und Snort-Engine-Prüfungen	Ja
Inline-Paar	Geroutet oder transparent	Teilweise LINA-Engine- und vollständige Snort-Engine-Prüfungen	Ja
Inline-Paar mit Tasten	Geroutet oder transparent	Teilweise LINA-Engine- und vollständige Snort-Engine-Prüfungen	Nein
Passiv	Geroutet oder transparent	Teilweise LINA-Engine- und vollständige Snort-Engine-Prüfungen	Nein
Passiv (ERSPAN)	Geroutet	Teilweise LINA-Engine- und vollständige Snort-Engine-Prüfungen	Nein

https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/200924-configuring-firepower-threat-defense-int.html

NetFlow ist eine Funktion, die als nicht unterstützt bestätigt wurde, wenn die FTD im Inline-Pair-Modus arbeitet.

Hinweis: Die spezifischen Funktionen, die von der FTD nicht unterstützt werden, wenn sie im Inline-Pair-Modus ausgeführt werden, sind zu diesem Zeitpunkt noch nicht bekannt. Die Erweiterungsanfrage wurde deshalb geöffnet, um das Cisco FirePOWER-Technikerteam zu bitten, die bekannten nicht unterstützten Funktionen in diesem Modus zu bestätigen: CSCvo5596 DOC: FMC-Begrenzungsabschnitt mit Angabe, welche Funktionen unterstützt/nicht unterstützt werden, wenn FTD in Inline-Set eingesetzt wird.

Problemumgehung

Wenn Ihre Einrichtung wie in diesem Dokument beschrieben erfolgt und NetFlow erfordert, besteht die einzige bekannte Lösung darin, die FTD im transparenten Modus zu belassen und stattdessen BVI-Schnittstellen (Bridge Virtual Interface) einzurichten. Diese Problemumgehung basiert auf der geöffneten ENH, die die NetFlow-Funktion für Inline-Pair-Modusbereitstellungen umfasst:

Zugehörige Fehler

CSCvo 55574     ENH: FTD kann bei der Konfiguration im Inline-Pair-Modus keine NetFlow-Daten sammeln.

CSCvo5585     DOC: FMC-Begrenzungsabschnitt für NetFlow-Unterstützung bei Konfiguration im Inline-Pair-Modus.

CSCvo5596     DOC: FMC-Begrenzungsabschnitt mit Angabe, welche Funktionen unterstützt/nicht unterstützt werden, wenn FTD in Inline-Set eingesetzt wird.