Interpretieren von FirePOWER Threat Defense TCP-Verbindungsflags (Verbindungsaufbau und -abbau)

Einleitung

Dieses Dokument beschreibt die Fehlerbehebung bei TCP-Verbindungen über die FirePOWER Threat Defense (FTD).

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Grundkenntnisse des TCP Communication Protocol
• Grundkenntnisse der FTD CLI.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle verstehen.

Fehlerbehebung bei TCP-Verbindungen

Wenn Sie TCP-Verbindungen über FTD beheben, liefern die für jede Verbindung angezeigten Verbindungsflags eine Fülle von Informationen über den Status der TCP-Verbindungen über FTD. Diese Informationen können verwendet werden, um Probleme mit FTD sowie Probleme an anderer Stelle im Netzwerk zu beheben.

Disclaimer: The information in this document was created based on FTD devices on version 7.0 in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, ensure that you understand the potential impact of any command.

Da alle FTD-Schnittstellen die Sicherheitsstufe 0 haben, wird die Schnittstellenreihenfolge im show conn Die Ausgabe basiert auf der Schnittstellennummer. Als Erstes wird die Schnittstelle mit einer höheren Virtual Platform Interface Number (VPIF) angezeigt.

Disclaimer : The show conn output can be too long, hence it is recommended to use 'terminal pager' or write into a file saved in disk0: such as 'show conn | redirect filename.txt'

firepower# show conn
3 in use, 22 most used
Inspect Snort:
preserve-connection: 3 enabled, 0 in effect, 22 most enabled, 0 most in effect

TCP ISP2 192.168.50.14:35518 Inside 192.168.45.130:22, idle 0:10:00, bytes 7164, flags UIO N1
TCP ISP2 192.168.50.14:80 Inside 192.168.45.130:54554, idle 0:00:13, bytes 0, flags U N1
TCP Inside 192.168.45.130:34070 ISP1 10.31.104.78:3128, idle 0:00:02, bytes 1187822, flags UIO N1

Der VPIF-Wert der Schnittstelle wird in der Ausgabe von show interface detailaus.

firepower# show interface detail | i Interface number is|Interface
Interface GigabitEthernet0/0 "ISP1", is up, line protocol is up
   Control Point Interface States:
 Interface number is 3
      Interface config status is active
      Interface state is active
Interface GigabitEthernet0/1 "Inside", is up, line protocol is up
   Control Point Interface States:
 Interface number is 4
      Interface config status is active
      Interface state is active
Interface GigabitEthernet0/2 "DMZ", is up, line protocol is up
   Control Point Interface States:
 Interface number is 5
      Interface config status is active
      Interface state is active
Interface GigabitEthernet0/3 "ISP2", is up, line protocol is up
   Control Point Interface States: 
 Interface number is 6
      Interface config status is active
      Interface state is active

Die Fehlermeldung show conn longund show conn detail-Befehle enthalten Details über den Initiator und den Responder der Verbindung.

firepower# show conn long
3 in use, 22 most used
Inspect Snort:
preserve-connection: 3 enabled, 0 in effect, 22 most enabled, 0 most in effect
Flags: A - awaiting responder ACK to SYN, a - awaiting initiator ACK to SYN,
B - TCP probe for server certificate,
b - TCP state-bypass or nailed,
C - CTIQBE media, c - cluster centralized,
D - DNS, d - dump, E - outside back connection, e - semi-distributed,
F - initiator FIN, f - responder FIN,
G - group, g - MGCP, H - H.323, h - H.225.0, I - initiator data,
i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
k - Skinny media, L - decap tunnel, M - SMTP data, m - SIP media
N - inspected by Snort (1 - preserve-connection enabled, 2 - preserve-connection in effect)
n - GUP, O - responder data, o - offloaded,
P - inside back connection, p - passenger flow
q - SQL*Net data, R - initiator acknowledged FIN,
R - UDP SUNRPC, r - responder acknowledged FIN,
T - SIP, t - SIP transient, U - up,
V - VPN orphan, v - M3UA W - WAAS,
w - secondary domain backup,
X - inspected by service module,
x - per session, Y - director stub flow, y - backup stub flow,
Z - Scansafe redirection, z - forwarding stub flow

TCP ISP2: 192.168.50.14/35518 (192.168.50.14/35518) Inside: 192.168.45.130/22 (192.168.45.130/22), flags UIO N1, idle 9m13s, uptime 9m17s, timeout 1h0m, bytes 7164
Initiator: 192.168.50.14, Responder: 192.168.45.130
Connection lookup keyid: 168317598

TCP ISP2: 192.168.50.14/80 (192.168.50.14/80) Inside: 192.168.45.130/54554 (192.168.45.130/54554), flags U N1, idle 0s, uptime 10s, timeout 1h0m, bytes 0
Initiator: 192.168.45.130, Responder: 192.168.50.14
Connection lookup keyid: 168367034

TCP Inside: 192.168.45.130/34070 (192.168.45.130/34070) ISP1: 10.31.104.78/3128 (10.31.104.78/3128), flags UIO N1, idle 0s, uptime 46s, timeout 1h0m, bytes 617331
Initiator: 192.168.45.130, Responder: 10.31.104.78
Connection lookup keyid: 168227654

FTD TCP-Verbindungsflags

Diese Tabelle zeigt die FTD TCP Connection-Flags in verschiedenen Phasen des TCP-Zustandssystems. In FTD sind die Verbindungsflags für ein- und ausgehende Verbindungen identisch, da die Sicherheitsstufen immer '0' sind. Diese Markierungen sind mit dem Befehl show conn auf der FTD zu sehen.

Werte für TCP-Verbindungsmarkierungen

Diese Tabelle zeigt die TCP-Verbindungsflags, die beim Empfang eines Pakets entfernt und hinzugefügt werden.

   

Um alle möglichen Flags in einer Verbindung anzuzeigen, verwenden Sie den Befehl show conn detail.

firepower# show conn detail
1 in use, 22 most used
Inspect Snort:
preserve-connection: 1 enabled, 0 in effect, 22 most enabled, 0 most in effect
Flags: A - awaiting responder ACK to SYN, a - awaiting initiator ACK to SYN,
B - TCP probe for server certificate,
b - TCP state-bypass or nailed,
C - CTIQBE media, c - cluster centralized,
D - DNS, d - dump, E - outside back connection, e - semi-distributed,
F - initiator FIN, f - responder FIN,
G - group, g - MGCP, H - H.323, h - H.225.0, I - initiator data,
i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
k - Skinny media, L - decap tunnel, M - SMTP data, m - SIP media
N - inspected by Snort (1 - preserve-connection enabled, 2 - preserve-connection in effect)
n - GUP, O - responder data, o - offloaded,
P - inside back connection, p - passenger flow
q - SQL*Net data, R - initiator acknowledged FIN,
R - UDP SUNRPC, r - responder acknowledged FIN,
T - SIP, t - SIP transient, U - up,
V - VPN orphan, v - M3UA W - WAAS,
w - secondary domain backup,
X - inspected by service module,
x - per session, Y - director stub flow, y - backup stub flow,
Z - Scansafe redirection, z - forwarding stub flow