SNMP auf FirePOWER FDM konfigurieren und Fehlerbehebung dafür durchführen

Einleitung

In diesem Dokument wird beschrieben, wie das Simple Network Management Protocol (SNMP) für das FirePOWER-Gerätemanagement in Version 6.7 mit der REST-API aktiviert wird.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Firepower Threat Defense (FTD) verwaltet durch Firepower Device Management (FDM) auf Version 6.7
• Kenntnisse der REST-API
• SNMP-Kenntnisse

Verwendete Komponenten

Firepower Threat Defense (FTD) verwaltet durch Firepower Device Management (FDM) auf Version 6.7.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Neuerungen bei 6.7

Die REST-API für FTD-Geräte unterstützt die Konfiguration und Verwaltung von SNMP-Servern, Benutzern, Hosts und Hostgruppen. Mit der Unterstützung der SNMP FTD Device REST API in FP 6.7:

• Ein Benutzer kann SNMP über die REST-API des FTD-Geräts konfigurieren, um das Netzwerk zu verwalten.
• SNMP-Server, Benutzer und Host-/Hostgruppen können über die REST-API für FTD-Geräte hinzugefügt, aktualisiert oder verwaltet werden.

In den im Dokument enthaltenen Beispielen werden die Konfigurationsschritte des FDM-API-Explorers beschrieben.

Hinweis: SNMP kann nur über die REST-API konfiguriert werden, wenn FTD Version 6.7 ausführt und von FDM verwaltet wird.

Funktionsübersicht - Unterstützung der REST-API für SNMP FTD-Geräte

• Mit dieser Funktion werden neue SNMP-spezifische FDM-URL-Endpunkte hinzugefügt.
• Diese neuen APIs können verwendet werden, um SNMP für Abfragen und Traps zur Überwachung von Systemen zu konfigurieren.
• Die SNMP-Konfiguration über APIs bereitstellen, stehen die Management Information Bases (MIBs) auf den FirePOWER-Geräten für Abfragen oder Trap-Benachrichtigungen auf dem NMS/SNMP-Client zur Verfügung.

SNMP-API/URL-Endpunkte

URL	Methoden	Modelle
/devicesettings/default/snmpservers	HOLEN	SNMPServer
/devicesettings/default/snmpservers/{objId}	PUT, GET	SNMPServer
/object/snmphosts	POST, LOS	SNMPHost
/object/snmphosts/{objId}	PUT, DELETE, GET	SNMPHost
/object/snmpusergroups	POST, LOS	SNMPUserGruppe
/object/snmpusergroups/{objId}	PUT, DELETE, GET	SNMPUserGruppe
/object/snmpusers	POST, LOS	SNMPUser
/object/snmpusers/{objId}	PUT, DELETE, GET	SNMPUser

Konfigurieren

• Der SNMP-Host verfügt über drei primäre Versionen

- SNMP V1

- SNMP V2C

- SNMP V3

• Jede dieser Konfigurationen hat ein spezielles Format für "securityConfiguration".
• Für V1 und V2C: Es enthält ein "Community String"- und ein "type"-Feld, das die Konfiguration als V1 oder V2C identifiziert.
• Für SNMP V3: Enthält einen gültigen SNMP V3-Benutzer und ein "Typ"-Feld, das die Konfiguration als V3 identifiziert.

SNMP v3

1. Zugriff auf den FDM API Explorer

Um über die FDM-GUI auf den FDM-REST-API-Explorer zuzugreifen, wählen Sie die drei Punkte und anschließend den API-Explorer aus. Oder navigieren Sie zur URL https://FDM_IP/#/api-explorer:

2. Konfiguration des Netzwerkobjekts

Erstellen Sie ein neues Netzwerkobjekt für den SNMP-Host: Wählen Sie im FDM-API-Explorer NetworkObject (Netzwerkobjekt) und anschließend POST/Objekt/Netzwerke aus:

Dieses Format wird für den SNMP-Host JSON verwendet. Fügen Sie diese JSON in den Textabschnitt ein, und ändern Sie die IP-Adresse auf "Wert", damit sie mit der IP-Adresse des SNMP-Hosts übereinstimmt:

{
"version": "null",
"name": "snmpHost",
"description": "SNMP Server Host",
"subType": "HOST",
"value": "192.168.203.61",
"isSystemDefined": false,
"dnsResolution": "IPV4_ONLY",
"type": "networkobject"
}

Blättern Sie nach unten, und wählen Sie die Schaltfläche TRY IT OUT! aus, um den API-Aufruf auszuführen. Bei einem erfolgreichen Aufruf wird der Antwortcode 200 zurückgegeben.

Kopieren Sie die JSON-Daten aus dem Antworttext auf ein Notizblock. Später müssen Sie die Informationen über den SNMP-Host ausfüllen.

3. Erstellen Sie einen neuen SNMPv3-Benutzer

Wählen Sie im FDM API Explorer SNMP und anschließend POST/object/snmpusers aus.

Kopieren Sie diese JSON-Daten in ein Notizblock, und ändern Sie die für Sie interessanten Abschnitte (z. B. "authenticationPassword", "encryptionPassword" oder die Algorithmen):

{
"version": null,
"name": "snmpUser",
"description": "SNMP User",
"securityLevel": "PRIV",
"authenticationAlgorithm": "SHA",
"authenticationPassword": "cisco123",
"encryptionAlgorithm": "AES128",
"encryptionPassword": "cisco123",
"id": null,
"type": "snmpuser"
}

Achtung: Die in den Beispielen verwendeten Passwörter dienen nur zu Demonstrationszwecken. Stellen Sie in einer Produktionsumgebung sicher, dass Sie sichere Kennwörter verwenden.

Kopieren Sie die geänderten JSON-Daten in den Textabschnitt:

Blättern Sie nach unten, und wählen Sie die Schaltfläche TRY IT OUT! aus, um den API-Aufruf auszuführen. Bei einem erfolgreichen Aufruf wird der Antwortcode 200 zurückgegeben. Kopieren Sie die JSON-Daten aus dem Antworttext auf ein Notizblock. Später müssen Sie die Informationen zum SNMP-Benutzer ausfüllen.

4. Schnittstelleninformationen abrufen

Wählen Sie im FDM API Explorer Interface und dann GET /devices/default/interfaces aus. Sie müssen Informationen von der Schnittstelle sammeln, die mit dem SNMP-Server verbunden ist.

Blättern Sie nach unten, und wählen Sie die Schaltfläche TRY IT OUT! aus, um den API-Aufruf auszuführen. Bei einem erfolgreichen Aufruf wird der Antwortcode 200 zurückgegeben. Kopieren Sie die JSON-Daten aus dem Antworttext auf ein Notizblock. Später müssen Sie Informationen über die Schnittstelle ausfüllen.

Notieren Sie sich die Schnittstelle "version", "name", "id" und "type" aus den JSON-Daten. Beispiel für JSON-Daten von Schnittstelle in:

 {
"version": "kkpkibjlu6qro",
"name": "inside",
"description": null,
"hardwareName": "Ethernet1/2",
"monitorInterface": true,
"ipv4": {
"ipType": "STATIC",
"defaultRouteUsingDHCP": false,
"dhcpRouteMetric": null,
"ipAddress": {
"ipAddress": "192.168.203.71",
"netmask": "255.255.255.0",
"standbyIpAddress": null,
"type": "haipv4address"
},
"dhcp": false,
"addressNull": false,
"type": "interfaceipv4"
},
"ipv6": {
"enabled": false,
"autoConfig": false,
"dhcpForManagedConfig": false,
"dhcpForOtherConfig": false,
"enableRA": false,
"dadAttempts": 1,
"linkLocalAddress": {
"ipAddress": "",
"standbyIpAddress": "",
"type": "haipv6address"
},
"ipAddresses": [
{
"ipAddress": "",
"standbyIpAddress": "",
"type": "haipv6address"
}
],
"prefixes": null,
"type": "interfaceipv6"
},
"managementOnly": false,
"managementInterface": false,
"mode": "ROUTED",
"linkState": "UP",
"mtu": 1500,
"enabled": true,
"macAddress": null,
"standbyMacAddress": null,
"pppoe": null,
"speedType": "AUTO",
"duplexType": "AUTO",
"present": true,
"tenGigabitInterface": false,
"gigabitInterface": false,
"id": "fc3d07d4-49d2-11eb-85a8-65aec636a0fc",
"type": "physicalinterface",
"links": {
"self": "https://10.62.148.231/api/fdm/v6/devices/default/interfaces/fc3d07d4-49d2-11eb-85a8-65aec636a0fc"
}
},

Aus den JSON-Daten können Sie sehen, dass die Schnittstelle "inside" diese Daten enthält, die mit dem SNMP-Server verknüpft werden müssen:

• "version": "kkpkibjlu6qro"
• "Name": "innen",
• "id": "fc3d07d4-49d2-11eb-85a8-65aec636a0fc",
• "Typ": "physische Schnittstelle",

5. Erstellen Sie einen neuen SNMPv3-Host.

Wählen Sie im FDM API Explorer SNMP und dann POST/object/snmphosts/ unter SNMP aus.

Verwenden Sie diese JSON als Vorlage. Kopieren Sie die Daten aus den vorherigen Schritten in die Vorlage, und fügen Sie sie entsprechend ein:

{
"version": null,
"name": "snmpv3-host",
"description": null,
"managerAddress": {
"version": "bsha3bhghu3vmk",
"name": "snmpHost",
"id": "1d10ce6d-49de-11eb-a432-e320cd56d5af",
"type": "networkobject"
},
"pollEnabled": true,
"trapEnabled": true,
"securityConfiguration": {
"authentication": {
"version": "bmwzw4iw7php7",
"name": "snmpUser",
"id": "65da6c50-49df-11eb-a432-e7823944dabc",
"type": "snmpuser"
},
"type": "snmpv3securityconfiguration"
},
"interface": {
"version": "kkpkibjlu6qro",
"name": "inside",
"id": "fc3d07d4-49d2-11eb-85a8-65aec636a0fc",
"type": "physicalinterface"
},
"id": null,
"type": "snmphost"
}

Anmerkung:

• Ersetzen Sie den Wert in managerAddress id, type, version und name durch die Informationen, die Sie aus Step1 erhalten haben.
• Ersetzen Sie den Wert in der Authentifizierung durch die Informationen, die Sie aus Schritt 2 erhalten haben.
• Ersetzen Sie den Wert in der Schnittstelle durch die Daten, die Sie aus Schritt 3 erhalten haben.
• Für SNMP2 gibt es keine Authentifizierung, und der Typ lautet snmpv2csecurityconfiguration anstelle von snmpv3securityconfiguration

Kopieren der geänderten JSON-Daten in den Textabschnitt

Blättern Sie nach unten, und wählen Sie die Schaltfläche TRY IT OUT! aus, um den API-Aufruf auszuführen. Bei einem erfolgreichen Aufruf wird der Antwortcode 200 zurückgegeben.

Navigieren Sie zur FDM-GUI, und stellen Sie die Änderungen bereit. Der Großteil der SNMP-Konfiguration wird angezeigt:

SNMP v2c

Für v2c müssen Sie keinen Benutzer erstellen, aber Sie müssen trotzdem:

1. Erstellen einer Netzwerkobjektkonfiguration (wie im Abschnitt SNMPv3 beschrieben)
2. Schnittstelleninformationen abrufen (wie im Abschnitt SNMPv3 beschrieben)
3. Erstellen eines neuen SNMPv2c-Hostobjekts

Dies ist ein Beispiel für eine JSON-Nutzlast, die ein SNMPv2c-Objekt erstellt:

{
"version": null,
"name": "snmpv2-Host",
"description": null,
"managerAddress": {
"version": "bsha3bhghu3vmk",
"name": "snmpv4hostgrp",
"id": "1d10ce6d-49de-11eb-a432-e320cd56d5af",
"type": "networkobject"
},
"pollEnabled": true,
"trapEnabled": true,
"securityConfiguration": {
"community": "cisco123",
"type": "snmpv2csecurityconfiguration"
},
"interface": {
"version": "kkpkibjlu6qro",
"name": "inside",
"id": "fc3d07d4-49d2-11eb-85a8-65aec636a0fc",
"type": "physicalinterface"
},
"id": null,
"type": "snmphost"
}

Verwenden Sie die POST-Methode, um die JSON-Nutzlast bereitzustellen:

Blättern Sie nach unten, und wählen Sie die Schaltfläche TRY IT OUT! aus, um den API-Aufruf auszuführen. Bei einem erfolgreichen Aufruf wird der Antwortcode 200 zurückgegeben.

Entfernen der SNMP-Konfiguration

Schritt 1:

Abrufen der SNMP-Hostinformationen (SNMP > /object/snmphosts):

Blättern Sie nach unten, und wählen Sie die Schaltfläche TRY IT OUT! aus, um den API-Aufruf auszuführen. Bei einem erfolgreichen Aufruf wird der Antwortcode 200 zurückgegeben.

Man bekommt eine Liste von Objekten. Notieren Sie sich die ID des snmphost-Objekts, das Sie entfernen möchten:

{
"items": [
{
"version": "ofaasthu26ulx",
"name": "snmpv2-Host",
"description": null,
"managerAddress": {
"version": "bsha3bhghu3vm",
"name": "snmpHost",
"id": "1d10ce6d-49de-11eb-a432-e320cd56d5af",
"type": "networkobject"
},
"udpPort": 162,
"pollEnabled": true,
"trapEnabled": true,
"securityConfiguration": {
"community": "*********",
"type": "snmpv2csecurityconfiguration"
},
"interface": {
"version": "kkpkibjlu6qro",¬
"name": "inside",
"hardwareName": "Ethernet1/2",
"id": "fc3d07d4-49d2-11eb-85a8-65aec636a0fc",
"type": "physicalinterface"
},
"id": "1bfbd1f0-4ac6-11eb-a432-e76cd376bca7",
"type": "snmphost",
"links": {
"self": "https://10.62.148.231/api/fdm/v6/object/snmphosts/1bfbd1f0-4ac6-11eb-a432-e76cd376bca7"
}
},

Schritt 2:

Wählen Sie die Option LÖSCHEN in SNMP > /object/snmphosts{objId} aus. Fügen Sie die in Schritt 1 erfasste ID ein:

Blättern Sie nach unten, und wählen Sie die Schaltfläche TRY IT OUT! aus, um den API-Aufruf auszuführen. Der Anruf gibt den Antwortcode 400 zurück.

Schritt 3:

Bereitstellen der Änderung:

Bei der Bereitstellung werden die Hostinformationen entfernt:

FP1120-1# show run snmp-server
snmp-server group AUTH v3 auth
snmp-server group PRIV v3 priv
snmp-server group NOAUTH v3 noauth
snmp-server location null
snmp-server contact null
snmp-server community *****

SNMPwalk für v2c schlägt fehl:

root@kali2:~# snmpwalk -v2c -c cisco123 -OS 192.168.203.71
Timeout: No Response from 192.168.203.71

Für v3 müssen Sie die Objekte in dieser Reihenfolge löschen.

1. SNMP-Host (der erfolgreiche Rückgabecode ist 204)
2. SNMP-Benutzer (der erfolgreiche Rückgabecode lautet 204)

Wenn Sie versuchen, die Objekte in der falschen Reihenfolge zu löschen, erhalten Sie diesen Fehler:

{
"error": {
"severity": "ERROR",
"key": "Validation",
"messages": [
{
"description": "You cannot delete the object because it contains SNMPHost: snmpv3-host2, SNMPHost: snmpv3-host. 
You must remove the object from all parts of the configuration before you can delete it.",
"code": "deleteObjWithRel",
"location": ""
}
]
}
}

Überprüfung

SNMP v3-Überprüfung

Navigieren Sie nach der Bereitstellung zu FTD CLI, um die SNMP-Konfiguration zu überprüfen. Beachten Sie, dass der engineID-Wert automatisch generiert wird.

FP1120-1# connect ftd
> system support diagnostic-cli
Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.

FP1120-1> enable
Password:
FP1120-1# show run all snmp-server
snmp-server group AUTH v3 auth
snmp-server group PRIV v3 priv
snmp-server group NOAUTH v3 noauth
snmp-server user snmpUser PRIV v3 engineID 80000009febdf0129a799ef469aba2d5fcf1bfd7e86135a1f8 encrypted auth sha ca:1b:18:f3:62:b1:63:7e:92:34:92:b3:cf:54:86:f9:8e:2a:4c:fd priv aes 128 ca:1b:18:f3:62:b1:63:7e:92:34:92:b3:cf:54:86:f9
snmp-server listen-port 161
snmp-server host inside 192.168.203.61 version 3 snmpUser udp-port 162
snmp-server location null
snmp-server contact null
snmp-server community *****
snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart
no snmp-server enable traps syslog
no snmp-server enable traps ipsec start stop
no snmp-server enable traps entity config-change fru-insert fru-remove fan-failure power-supply power-supply-presence cpu-temperature chassis-temperature power-supply-temperature chassis-fan-failure accelerator-temperature l1-bypass-status
no snmp-server enable traps memory-threshold
no snmp-server enable traps interface-threshold
no snmp-server enable traps remote-access session-threshold-exceeded
no snmp-server enable traps connection-limit-reached
no snmp-server enable traps cpu threshold rising
no snmp-server enable traps ikev2 start stop
no snmp-server enable traps nat packet-discard
no snmp-server enable traps config
no snmp-server enable traps failover-state
no snmp-server enable traps cluster-state
snmp-server enable oid mempool
snmp-server enable

Schnappversuch

root@kali2:~# snmpwalk -v3 -l authPriv -u snmpUser -a SHA -A cisco123 -x AES -X cisco123 192.168.203.71
iso.3.6.1.2.1.1.1.0 = STRING: "Cisco Firepower Threat Defense, Version 6.7.0 (Build 65), ASA Version 9.15(1)"
iso.3.6.1.2.1.1.2.0 = OID: iso.3.6.1.4.1.9.1.2663
iso.3.6.1.2.1.1.3.0 = Timeticks: (1616700) 4:29:27.00
iso.3.6.1.2.1.1.4.0 = STRING: "null"
iso.3.6.1.2.1.1.5.0 = STRING: "FP1120-1"
iso.3.6.1.2.1.1.6.0 = STRING: "null"
iso.3.6.1.2.1.1.7.0 = INTEGER: 4
...

SNMP v2c-Überprüfung

FP1120-1# show run snmp-server
snmp-server host inside 192.168.203.61 community ***** version 2c
snmp-server location null
snmp-server contact null
snmp-server community *****

SNMPwalk für v2c:

root@kali2:~# snmpwalk -v2c -c cisco123 -OS 192.168.203.71
iso.3.6.1.2.1.1.1.0 = STRING: "Cisco Firepower Threat Defense, Version 6.7.0 (Build 65), ASA Version 9.15(1)"
iso.3.6.1.2.1.1.2.0 = OID: iso.3.6.1.4.1.9.1.2663
iso.3.6.1.2.1.1.3.0 = Timeticks: (10482200) 1 day, 5:07:02.00
iso.3.6.1.2.1.1.4.0 = STRING: "null"
iso.3.6.1.2.1.1.5.0 = STRING: "FP1120-1"
iso.3.6.1.2.1.1.6.0 = STRING: "null"
iso.3.6.1.2.1.1.7.0 = INTEGER: 4

Fehlerbehebung

Erfassung mit Ablaufverfolgung auf der Firewall aktivieren:

FP1120-1# capture CAPI trace interface inside match udp any any eq snmp

Verwenden Sie das snmpwalk-Tool, und vergewissern Sie sich, dass die Pakete angezeigt werden:

FP1120-1# show capture
capture CAPI type raw-data trace interface inside [Capturing - 3137 bytes]
  match udp any any eq snmp

Inhalt der Aufzeichnung:

FP1120-1# show capture CAPI

154 packets captured

   1: 17:04:16.720131       192.168.203.61.51308 > 192.168.203.71.161:  udp 39
   2: 17:04:16.722252       192.168.203.71.161 > 192.168.203.61.51308:  udp 119
   3: 17:04:16.722679       192.168.203.61.51308 > 192.168.203.71.161:  udp 42
   4: 17:04:16.756400       192.168.203.71.161 > 192.168.203.61.51308:  udp 51
   5: 17:04:16.756918       192.168.203.61.51308 > 192.168.203.71.161:  udp 42

Stellen Sie sicher, dass die Zähler für die SNMP-Serverstatistiken SNMP Get- oder Get-next-Anfragen und -Antworten anzeigen:

FP1120-1# show snmp-server statistics
62 SNMP packets input
0 Bad SNMP version errors
0 Unknown community name
0 Illegal operation for community name supplied
0 Encoding errors
58 Number of requested variables
0 Number of altered variables
0 Get-request PDUs
58 Get-next PDUs
0 Get-bulk PDUs
0 Set-request PDUs (Not supported)
58 SNMP packets output
0 Too big errors (Maximum packet size 1500)
0 No such name errors
0 Bad values errors
0 General errors
58 Response PDUs
0 Trap PDUs

Verfolgen eines eingehenden Pakets Das Paket wird als UN-NAT an die interne NLP-Schnittstelle gesendet:

FP1120-1# show capture CAPI packet-number 1 trace

30 packets captured

1: 17:04:16.720131 192.168.203.61.51308 > 192.168.203.71.161: udp 39
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: UN-NAT
Subtype: static
Result: ALLOW
Config:
Additional Information:
NAT divert to egress interface nlp_int_tap(vrfid:0)
Untranslate 192.168.203.71/161 to 169.254.1.3/4161

Phase: 4
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:

Phase: 5
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 6
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Config:
Additional Information:

Phase: 7
Type: NAT
Subtype: rpf-check
Result: ALLOW
Config:
Additional Information:

Phase: 8
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 9
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 1078, packet dispatched to next module

Phase: 10
Type: INPUT-ROUTE-LOOKUP-FROM-OUTPUT-ROUTE-LOOKUP
Subtype: Resolve Preferred Egress interface
Result: ALLOW
Config:
Additional Information:
Found next-hop 169.254.1.3 using egress ifc nlp_int_tap(vrfid:0)

Phase: 11
Type: ADJACENCY-LOOKUP
Subtype: Resolve Nexthop IP address to MAC
Result: ALLOW
Config:
Additional Information:
Found adjacency entry for Next-hop 169.254.1.3 on interface nlp_int_tap
Adjacency :Active
MAC address 3208.e2f2.b5f9 hits 0 reference 1

Result:
input-interface: inside(vrfid:0)
input-status: up
input-line-status: up
output-interface: nlp_int_tap(vrfid:0)
output-status: up
output-line-status: up
Action: allow

Die NAT-Regel wird automatisch als Teil der SNMP-Konfiguration bereitgestellt:

FP1120-1# show nat
Manual NAT Policies (Section 1)
1 (nlp_int_tap) to (inside) source dynamic nlp_client_0_192.168.203.61_intf4 interface destination static nlp_client_0_ipv4_40 nlp_client_0_ipv4_40 service nlp_client_0_17svc162_39 nlp_client_0_17svc162_39
translate_hits = 0, untranslate_hits = 0

Auto NAT Policies (Section 2)
…
2 (nlp_int_tap) to (inside) source static nlp_server_0_snmp_intf4 interface service udp 4161 snmp
translate_hits = 0, untranslate_hits = 2

Auf dem Backend-Port überwacht das UDP 4161 den SNMP-Datenverkehr:

> expert
admin@FP1120-1:~$ sudo netstat -an | grep 4161
Password:
udp 0 0 169.254.1.3:4161 0.0.0.0:*
udp6 0 0 fd00:0:0:1::3:4161 :::*

Im Fall einer falschen/unvollständigen Konfiguration wird das eingehende SNMP-Paket verworfen, da keine UN-NAT-Phase vorhanden ist:

FP1120-1# show cap CAPI packet-number 1 trace

6 packets captured

1: 18:36:35.868485 192.168.203.61.50105 > 192.168.203.71.161: udp 42
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: ROUTE-LOOKUP
Subtype: No ECMP load balancing
Result: ALLOW
Config:
Additional Information:
Destination is locally connected. No ECMP load balancing.
Found next-hop 192.168.203.71 using egress ifc identity(vrfid:0)

Phase: 4
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 5
Type: ACCESS-LIST
Subtype:
Result: DROP
Config:
Implicit Rule
Additional Information:

Result:
input-interface: inside(vrfid:0)
input-status: up
input-line-status: up
Action: drop
Drop-reason: (acl-drop) Flow is denied by configured rule, Drop-location: frame 0x0000557415b6347d flow (NA)/NA

FTD LINA-Syslogs zeigen, dass das Eingangspaket verworfen wird:

FP1120-1# show log | include 161
Dec 30 2020 18:36:38: %FTD-7-710005: UDP request discarded from 192.168.203.61/50105 to inside:192.168.203.71/161
Dec 30 2020 18:36:39: %FTD-7-710005: UDP request discarded from 192.168.203.61/50105 to inside:192.168.203.71/161

Fragen und Antworten

Frage: Kann ich die FTD-Verwaltungsschnittstelle verwenden, um SNMP-Meldungen zu senden?

Nein, dies wird derzeit nicht unterstützt.

Zugehöriger Verbesserungsfehler: https://bst.cloudapps.cisco.com/bugsearch/bug/CSCvu48012

Zugehörige Informationen

• Cisco Firepower Threat Defense - Konfigurationsleitfaden für Firepower Device Manager, Version 6.7
• Cisco Firepower Threat Defense - REST-API-Leitfaden
• Cisco FirePOWER - Versionshinweise, Version 6.7.0