Solución de problemas de implementaciones de políticas de Firepower Threat Defence

Introducción

Este documento describe una descripción general de alto nivel del proceso de implementación de políticas en FTD, así como técnicas básicas de solución de problemas. 

Antecedentes

Con Cisco Firepower Threat Defense (FTD), las funciones de firewall stateful tradicionales ofrecidas por Adaptive Security Appliances (ASA) y Next-Gen funciones de firewall (con tecnología Snort) ahora se combinan en un solo producto.

Debido a este cambio, Policy Deployment Infrastructure en FTD ahora gestiona los cambios de configuración tanto para el código ASA (también denominado LINA) como para Snort en un paquete. 

Prerequisites

Cisco recomienda conocer estos productos:

• Firepower Management Center (FMC)
• Firepower Threat Defense (FTD)

Componentes Utilizados

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Descripción general de implementación de políticas

Cisco FTD utiliza Policy Deployments para administrar y desplegar las configuraciones de los dispositivos registrados en el Firepower Management Center (CSP).

Dentro de la implementación, hay una serie de pasos que se dividen en "fases".

Las fases del CSP pueden resumirse en esta lista.

Fase 0	Inicialización de implementación
Fase 1	Colección de objetos de base de datos
Fase 2	Colección de políticas y objetos
Fase 3	Generación de configuración de línea de comandos de NGFW
Fase 4	Generación de paquetes de implementación de dispositivos
Fase 5	Enviar y recibir el paquete de implementación
Fase 6	Mensajes de implementación, acciones de implementación y éxito de implementación pendientes

El conocimiento de las fases y de la ubicación de los fallos en el proceso puede ayudar a solucionar los fallos que Firepower caras del sistema.

En algunas situaciones, puede ser un conflicto debido a configuraciones anteriores o causado por un Advanced Flex Configuration que carece de una palabra clave que puede causar fallas que el informe del dispositivo no aborda.

Ejemplo de descripción general

Paso 1. Haga clic en Deployment, que especifica el dispositivo que se va a seleccionar.

Paso 2. Cuando se confirma la implementación de un dispositivo, el FMC comienza a recopilar todas las configuraciones relevantes para el dispositivo. 

Paso 3. Cuando se recopilan las configuraciones, el FMC crea el paquete y lo envía al sensor a través de su mecanismo de comunicación llamado SFTunnel.

Paso 4. El FMC notifica al sensor que inicie el proceso de despliegue con la política proporcionada mientras escucha las respuestas individuales.

Paso 5. El dispositivo administrado desempaqueta el archivo y comienza a aplicar las configuraciones y los paquetes individuales.

R. La primera mitad del despliegue es el Snort configuración en la que Snort la configuración se prueba localmente para garantizar su validez.

Cuando se demuestra que es válida, la nueva configuración se traslada al directorio de producción para Snort. Si la validación falla, la implementación de la política falla en este paso.

B. La segunda mitad de la carga del paquete de implementación corresponde a la configuración LINA, donde el proceso ngfwManager la aplica directamente al proceso LINA.

Si se produce un error, los cambios se deshacen y se produce un error en la implementación de directivas.

Paso 6. Si ambos Snort y los paquetes LINA son correctos, el dispositivo administrado indica Snort para reiniciar o recargar para cargar la nueva configuración y guardar todas las configuraciones actuales.

Paso 7. Si todos los mensajes son correctos, el sensor envía un mensaje de éxito y espera a que Management Center lo confirme.

Paso 8. Una vez recibido, el FMC marca la tarea como un éxito y permite que el paquete de políticas finalice.

Resolución de problemas

Problemas encontrados durante Policy Deployment puede deberse, entre otros motivos:

1. Configuración errónea
2. Comunicación entre CSP y FTD
3. Base de datos y estado del sistema
4. Defectos y advertencias del software
5. Otras situaciones únicas

Algunos de estos problemas pueden solucionarse fácilmente, mientras que otros pueden requerir la ayuda de Cisco Technical Assistance Center (TAC).

El objetivo de esta sección es proporcionar técnicas para aislar el problema o determinar la causa raíz. 

Interfaz gráfica de usuario (GUI) de FMC 

Cisco recomienda iniciar cada sesión de solución de problemas para los fallos de implementación en el dispositivo FMC.

En la ventana de notificación de fallas, en todas las versiones posteriores a la 6.2.3, hay herramientas adicionales que pueden ayudar con otros posibles errores. 

Utilizar Las Transcripciones De Implementación

Paso 1. Tire hacia arriba del Deployments en la interfaz de usuario web de FMC.

Paso 2. Mientras que el Deployments está seleccionada, haga clic en Show History.

Paso 3. Dentro de la Deployment History , puede ver todas las implementaciones anteriores desde su FMC. Seleccione la implementación en la que desea ver más datos.

Paso 4. Una vez seleccionado un elemento de implementación, Deployment Details muestra una lista de todos los dispositivos del interior del Transaction. Estas entradas se dividen en las siguientes columnas: Device Number, Device Name, Status,y Transcript.

Paso 5. Seleccione el dispositivo en cuestión y haga clic en la opción de transcripción para ver la transcripción de la implementación individual, que puede informarle de los fallos, así como de las configuraciones que se colocan en los dispositivos administrados.

Paso 6. Esta transcripción puede designar ciertas condiciones de falla e indicar un número muy importante para el siguiente paso: Transaction ID.

Paso 7. IN A Firepower Deployment,el Transaction ID es lo que se puede utilizar para realizar un seguimiento de cada sección individual de una implementación de políticas. Con esto, en la línea de comandos del dispositivo, puede obtener una versión más detallada de estos datos para su remediación y análisis.

Sugerencia: en caso de que no pueda localizar el ID de transacción o si se encuentra en una versión anterior a la impresión, este registro puede seguir siendo útil para localizar mensajes de error individuales.

Resolución de problemas con registros FMC

Aunque resulta adecuado que el TAC de Cisco analice los registros, una búsqueda a través de los registros puede ayudar con el aislamiento inicial del problema y acelerar la resolución. Existen varios archivos de registro en FMC que revelan los detalles sobre el proceso de implementación de políticas.

Los dos registros a los que más se hace referencia son policy_deployment.log y usmsharedsvcs.log.

Todos los archivos mencionados en este documento se pueden ver con varios comandos de Linux como more, less y vi. Sin embargo, es muy importante garantizar que solo read se le realizan acciones. Todos los archivos requieren acceso raíz para poder verlos.

/var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log

Este registro marca claramente el inicio de la tarea de implementación de políticas en FMC y la finalización de cada fase, lo que ayuda a determinar la fase en la que la implementación se ha topado con un fallo, junto con el código de fallo.

transactionID El valor incluido en la parte JSON del registro se puede utilizar para buscar entradas del registro relacionadas con un intento de implementación concreto.

22-Nov-2019 01:28:52.844,[INFO],(DefenseCenterServiceImpl.java:1372)
com.cisco.nm.vms.api.dc.DefenseCenterServiceImpl, ajp-nio-127.0.0.1-9009-exec-4
** REST Request [ CSM ]
** ID : e1c84364-0966-42eb-9356-d2914be2b4a3
** URL: Broadcast message.send.deployment
{
  "body" : {
    "property" : "deployment:deployment_initiated_for_the_device",
    "argumentList" : [ {
      "key" : "PHASE",
      "value" : "Phase-0"
    } ]
  },
  "user" : "68d03c42-d9bd-11dc-89f2-b7961d42c462",
  "type" : "deployment",
  "status" : "running",
  "progress" : 5,
  "silent" : true,
  "restart" : true,
  "transactionId" : 12884916552,
  "devices" : [ "93a2089a-fa82-11e9-8219-e1abeec81dc9" ]
}

/var/log/sf/policy_deployment.log

Aunque este archivo de registro ha existido a lo largo de las versiones 6.x, que comienzan en 6.4, su cobertura se amplió.

Ahora se describen los pasos detallados que se han dado a FMC para crear los paquetes de implementación, por lo que es mejor utilizarlos para analizar los fallos de las fases 1 a 4.

El inicio de cada fase está marcado por una línea con "INFO start.. ":

Jul 18 17:20:03 firepower ActionQueueScrape.pl[17287]: INFO starting populateGlobalSnapshot - sqlite = /var/cisco/umpd/8589938337/DC_policy_deployment.db, transaction = 8589938337, time = 1563470402, running as (memory = 56.35 MB) (Framework 3950<196 <- CSMTasks 223<10 <- SF::ActionQueue 2457)
Jul 18 17:20:03 firepower ActionQueueScrape.pl[17287]: INFO deployment threading: disabled (Framework 198 <- CSMTasks 223<10 <- SF::ActionQueue 2457)
Jul 18 17:20:03 firepower ActionQueueScrape.pl[17287]: INFO -> calling SF::UMPD::Plugins::Correlation::Manager::getPluginDependencies (Plugin 298<90 <- Framework 3579<3566<216 <- CSMTasks 223)
...

Solución de problemas de dispositivos administrados

Existen fases y secciones adicionales que dependen del paquete del dispositivo, la configuración de alta disponibilidad y el resultado de las fases anteriores para cada dispositivo administrado.

Si un problema de implementación se aísla en un error en el dispositivo administrado, se puede realizar una resolución de problemas adicional en el dispositivo con dos registros en el dispositivo: policy_deployment.log y ngfwManager.log.

/ngfw/var/log/ngfwManager.log

Este archivo de registro proporciona los pasos detallados que ha realizado Config Communication Manager y Config Dispatcher para comunicarse con FMC, trabajar con el paquete de implementación y organizar la validación y la aplicación de las configuraciones de Snort y LINA.

Estos son algunos ejemplos de ngfwManager.log que representan el inicio de las fases principales:

FTD receives FMC's request for running configuration:

May 30 16:37:10 ccm[4293] Thread-10: INFO  com.cisco.ccm.ConfigCommunicationManager- Passing CD-Message-Request to Config Dispatcher...
May 30 16:37:10 ccm[4293] Thread-10: DEBUG com.cisco.ccm.ConfigCommunicationManager- <?xml version="1.0" encoding="UTF-8"?><cdMessagesList><timeStamp>1559234230012</timeStamp><cdMessage><name>LinaShowCommand</name><messageId>-753133537443151390</messageId><contentType>XML</contentType><msgContent><![CDATA[<?xml version="1.0" encoding="UTF-8"?><message><name>LinaShowCommand</name>...



FTD receives FMC's request to download the deployment package:

May 30 16:37:18 ccm[4293] Thread-9: INFO  com.cisco.ccm.ConfigCommunicationManager- Downloading database (transaction 8589938211, version 1559234236)
May 30 16:37:18 ccm[4293] Thread-9: DEBUG com.cisco.ccm.DownloadManager- handle record: 8589938211, status = PENDING
May 30 16:37:18 ccm[4293] Thread-9: DEBUG com.cisco.ccm.DownloadManager- begin downloading database



FTD begins the deployment of policy changes:

May 30 16:37:21 ccm[4293] Thread-9: INFO  com.cisco.ccm.ConfigCommunicationManager- Starting deployment
May 30 16:37:21 ccm[4293] Thread-11: INFO  com.cisco.ccm.ConfigCommunicationManager- Sending message: DEPLOYMENT_STATUS_CCM to Manager



FTD begins LINA deployment:

May 30 16:37:42 ccm[4293] Thread-19: DEBUG com.cisco.ngfw.configdispatcher.communicators.LinaCommunicatorImpl- Trying to send Start-Config-Sequencerequest to lina



FTD begins finalizing the deployment:

May 30 16:38:48 ccm[4293] Thread-19: DEBUG com.cisco.ngfw.configdispatcher.communicators.LinaCommunicatorImpl- Clustering Message sent out of ConfigDispatcher:
Name:Cluster-App-Conf-Finalize-Request

/ngfw/var/log/sf/policy_deployment.log

Este registro contiene los detalles de la política aplicada a Snort. Aunque el contenido del registro es en su mayoría avanzado y requiere análisis por parte del TAC, todavía es posible rastrear el proceso con algunas entradas clave:

Config Dispatcher begins extracting the packaged policies for validation:

Jul 18 17:20:57 firepower policy_apply.pl[25122]: INFO  -> calling SF::UMPD::Plugins::NGFWPolicy::Device::exportDeviceSnapshotToSandbox  (Plugin 230 <- Framework 611 <- Transaction 1085)
Jul 18 17:20:57 firepower policy_apply.pl[25122]: INFO  found NGFWPolicy =>   (NGFWPolicy::Util 32 <- NGFWPolicy::Device 43 <- Plugin 235)
...
Jul 18 17:20:57 firepower policy_apply.pl[25122]: INFO export FTD platform settings... (PlatformSettings::FTD::Device 29 <- Plugin 235<339 <- PlatformSettings::Device 13)



Config validation begins:

Jul 18 17:21:37 firepower policy_apply.pl[25122]: INFO  starting validateExportedFiles - sqlite = /var/cisco/deploy/sandbox/policy_deployment.db, sandbox = /var/cisco/deploy/sandbox/exported-files (memory = 229.99 MB)  (Framework 3950<687 <- Transaction 1101 <- main 194)



Validation has completed successfully:

Jul 18 17:21:49 firepower policy_apply.pl[25122]: INFO validateExportedFiles - sqlite = /var/cisco/deploy/sandbox/policy_deployment.db, sandbox = /var/cisco/deploy/sandbox/exported-files took 12 (memory = 238.50 MB, change = 8.51 MB) (Framework 3976<724 <- Transaction 1101 <- main 194) 



Config Dispatcher begins moving the validated configuration to the Snort directories in production:

Jul 18 17:21:54 firepower policy_apply.pl[26571]: INFO  -> calling SF::UMPD::Plugins::NGFWPolicy::Device::publishExportedFiles  (Plugin 230 <- Framework 822 <- Transaction 1662)



Snort processes will reload to apply the new configurations:

Jul 18 17:22:02 firepower policy_apply.pl[26571]: INFO  Reconfiguring DE a3bcd340-992f-11e9-a1f1-ac829f31a4f9...  (Snort::SnortNotifications 292<154 <- Snort::Device 343 <- Plugin 235)
Jul 18 17:22:02 firepower policy_apply.pl[26571]: INFO  sending SnortReload to a3bcd340-992f-11e9-a1f1-ac829f31a4f9  (Snort::SnortNotifications 298<154 <- Snort::Device 343 <- Plugin 235)



Snort reload has completed successfully:

Jul 18 17:22:14 firepower policy_apply.pl[26571]: INFO notifyProcesses - sandbox = /var/cisco/deploy/sandbox/exported-files took 16 (memory = 169.52 MB, change = 16.95 MB) (Framework 3976<964 <- Transaction 1680 <- main 200)



After LINA config apply finishes, Snort deployment is finalized:

Jul 18 17:23:32 firepower policy_apply.pl[26913]: INFO  starting finalizeDeviceDeployment - sandbox = /var/cisco/deploy/sandbox (memory = 101.14 MB)  (Framework 3950<980 <- Transaction 1740 <- main 206)

Ejemplo:

Paso 1. Una implementación falla

Paso 2. Obtenga el Deploy Transcript y Transaction ID.

Paso 3. SSH en su Management Center y utilizar la utilidad Linux less para leer el archivo tal y como aparece en el FMC:

Ejemplo:"sudo less /var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log" (La contraseña sudo es la contraseña de usuario para ssh)

Paso 4. Cuando se encuentre en less, utilice la barra diagonal e introduzca la ID del mensaje para buscar los registros relacionados con la ID de transacción de despliegue. 

Ejemplo:"/60129547881" (Mientras se encuentre en less, utilice n para desplazarse al siguiente resultado)

Ejemplo de mensaje en ejecución:

Ejemplo de mensaje de error:

5) Compare el fallo correcto con la tabla adjunta de mensajes de fallo común.

 Es decir, failed_to_retrieve_running_configuration se produce durante los fallos de comunicación entre los dos dispositivos. 

Mensajes de fallos comunes

Estos son mensajes de error comunes que se pueden ver en la parte frontal del Management Center Task así como el código de error que se puede ver en el backend.

Estos mensajes se pueden analizar y comparar con las razones comunes para posibles resoluciones.

En caso de que no se vean o no resuelvan su situación, póngase en contacto con el TAC para obtener asistencia. 

----------------------------------------------------------------------------------------

Póngase en contacto con TAC para obtener asistencia

En el caso de que la información anterior no permita que continúe la implementación de una política, o si el problema parece no estar relacionado con un comportamiento documentado previamente, utilice los pasos proporcionados en el siguiente enlace para generar un archivo de Troubleshooting y comunicarse con el TAC para el análisis y la creación de errores.

https://www.cisco.com/c/en/us/support/docs/security/sourcefire-defense-center/117663-technote-SourceFire-00.html