Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Productos Relacionados

Antecedentes

Configurar

Diagrama de la red

Configurar una interfaz enrutada y una subinterfaz

Paso 1. Configuración de la interfaz lógica

Paso 2. Configuración de la interfaz física

Operación de Interfaz Ruteada FTD

Descripción General de la Interfaz Ruteada FTD

Verificación

Seguimiento de un Paquete en la Interfaz Ruteada FTD

Información Relacionada

Introducción

Este documento describe la configuración, verificación y operación de una interfaz de par en línea en un dispositivo Firepower Threat Defence (FTD).

Prerequisites

Requirements

No existen requisitos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- ASA5512-X: código FTD 6.1.0.x

- Firepower Management Center (FMC), código 6.1.0.x

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Productos Relacionados

Este documento también puede utilizarse con estas versiones de software y hardware:

- ASA5506-X, ASA5506W-X, ASA5506H-X, ASA5508-X, ASA5516-X

- ASA5512-X, ASA5515-X, ASA5525-X, ASA5545-X, ASA5555-X

- FPR2100, FPR4100 y FPR9300

- VMware (ESXi), Amazon Web Services (AWS), máquina virtual basada en kernel (KVM)

- Código de software FTD 6.2.x y posterior

Antecedentes

Firepower Threat Defence (FTD) proporciona dos modos de implementación y seis modos de interfaz, tal y como se muestra en esta imagen:

Nota: Puede mezclar modos de interfaz en un único dispositivo FTD.

Descripción general de alto nivel de los diversos modos de implementación e interfaz de FTD:

interfaz FTD modo

Modo de implementación de FTD

Descripción

El tráfico se puede descartar

Enrutado

Enrutado

Comprobaciones completas del motor LINA y del motor Snort

Yes

Conmutado

Transparente

Comprobaciones completas del motor LINA y del motor Snort

Yes

Par lineal

Enrutado o transparente

Motor LINA parcial y comprobaciones completas del motor Snort

Yes

Par en línea con toque

Enrutado o transparente

Motor LINA parcial y comprobaciones completas del motor Snort

No

Pasivo

Enrutado o transparente

Motor LINA parcial y comprobaciones completas del motor Snort

No

Pasivo (ERSPAN)

Enrutado

Motor LINA parcial y comprobaciones completas del motor Snort

No

Configurar

Diagrama de la red

Configurar una interfaz enrutada y una subinterfaz

Configure la subinterfaz G0/0.201 y la interfaz G0/1 según estos requisitos:

Interfaz

G0/0,201

G0/1

Nombre

DENTRO

FUERA

Zona de seguridad

INSIDE_ZONE

OUTSIDE_ZONE

Descripción

INTERNO

EXTERNO

ID de subinterfaz

201

-

ID DE VLAN

201

-

IPv4

192.168.201.1/24

192.168.202.1/24

Dúplex/Velocidad

Auto

Auto

Solución

Paso 1. Configuración de la interfaz lógica

Vaya a Devices > Device Management, seleccione el dispositivo apropiado y seleccione el icono Edit:

Seleccione Add Interfaces > Sub Interface:

Configure las opciones de la subinterfaz según los requisitos:

Configuración de IP de interfaz:

En la interfaz física (GigabitEthernet0/0), especifique la configuración de dúplex y velocidad:

Habilite la interfaz física (G0/0 en este caso):

Paso 2. Configuración de la interfaz física

Edite la interfaz física GigabitEthernet0/1 según los requisitos:

- Para la interfaz ruteada, el modo es: Ninguno

- El nombre es equivalente al nombre de la interfaz ASA si

- En FTD, todas las interfaces tienen un nivel de seguridad = 0

- same-security-traffic no es aplicable en FTD. El tráfico entre interfaces FTD (inter) e (intra) está permitido de forma predeterminada

Seleccione Guardar e implementar.

Verificación

Desde la GUI de FMC:

Desde la CLI de FTD:

> show interface ip brief

Interface                  IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0         unassigned      YES unset  up                    up

GigabitEthernet0/0.201     192.168.201.1   YES manual up                    up

GigabitEthernet0/1         192.168.202.1   YES manual up                    up

GigabitEthernet0/2         unassigned      YES unset  administratively down down

GigabitEthernet0/3         unassigned      YES unset  administratively down down

GigabitEthernet0/4         unassigned      YES unset  administratively down down

GigabitEthernet0/5         unassigned      YES unset  administratively down down

Internal-Control0/0        127.0.1.1       YES unset  up                    up

Internal-Data0/0           unassigned      YES unset  up                    up

Internal-Data0/1           unassigned      YES unset  up                    up

Internal-Data0/2           169.254.1.1     YES unset  up                    up

Management0/0              unassigned      YES unset  up                    up

> show ip

System IP Addresses:

Interface                Name                   IP address      Subnet mask     Method

GigabitEthernet0/0.201   INSIDE                 192.168.201.1   255.255.255.0   manual

GigabitEthernet0/1       OUTSIDE                192.168.202.1   255.255.255.0   manual

Current IP Addresses:

Interface                Name                   IP address      Subnet mask     Method

GigabitEthernet0/0.201   INSIDE                 192.168.201.1   255.255.255.0   manual

GigabitEthernet0/1       OUTSIDE                192.168.202.1   255.255.255.0   manual

Correlación de FMC GUI y FTD CLI:

> show interface g0/0.201

Interface GigabitEthernet0/0.201 "INSIDE", is up, line protocol is up

Hardware is i82574L rev00, BW 1000 Mbps, DLY 10 usec

VLAN identifier 201

Description: INTERNAL

MAC address a89d.21ce.fdea, MTU 1500

IP address 192.168.201.1, subnet mask 255.255.255.0

Traffic Statistics for "INSIDE":

1 packets input, 28 bytes

1 packets output, 28 bytes

0 packets dropped

> show interface g0/1

Interface GigabitEthernet0/1 "OUTSIDE", is up, line protocol is up

Hardware is i82574L rev00, BW 1000 Mbps, DLY 10 usec

Auto-Duplex(Full-duplex), Auto-Speed(1000 Mbps)

Input flow control is unsupported, output flow control is off

Description: EXTERNAL

MAC address a89d.21ce.fde7, MTU 1500

IP address 192.168.202.1, subnet mask 255.255.255.0

0 packets input, 0 bytes, 0 no buffer

Received 0 broadcasts, 0 runts, 0 giants

0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort

0 pause input, 0 resume input

0 L2 decode drops

1 packets output, 64 bytes, 0 underruns

0 pause output, 0 resume output

0 output errors, 0 collisions, 12 interface resets

0 late collisions, 0 deferred

0 input reset drops, 0 output reset drops

input queue (blocks free curr/low): hardware (511/511)

output queue (blocks free curr/low): hardware (511/511)

Traffic Statistics for "OUTSIDE":

0 packets input, 0 bytes

0 packets output, 0 bytes

0 packets dropped

1 minute input rate 0 pkts/sec,  0 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  0 bytes/sec

5 minute output rate 0 pkts/sec,  0 bytes/sec

5 minute drop rate, 0 pkts/sec

>

Operación de Interfaz Ruteada FTD

Verifique el flujo de paquetes FTD cuando las interfaces enrutadas están en uso.

Solución

Descripción general de arquitectura de FTD

Una descripción general de alto nivel del plano de datos del FTD:

Esta imagen muestra algunas de las comprobaciones que se producen dentro de cada motor:

Puntos clave

- Las comprobaciones inferiores corresponden a la ruta de datos del motor FTD LINA

- Las comprobaciones del cuadro azul corresponden a la instancia del motor Snort de FTD

Descripción General de la Interfaz Ruteada FTD

- Disponible sólo en implementación enrutada

- Implementación tradicional de firewall de capa 3

- Una o más interfaces enrutables físicas o lógicas (VLAN)

- Permite configurar funciones como los protocolos NAT o de enrutamiento dinámico

- Los paquetes se reenvían en función de la búsqueda de ruta y el salto siguiente se resuelve en función de la búsqueda ARP

- Tráfico real se puede descartar

- Se realizan comprobaciones completas del motor LINA junto con comprobaciones completas del motor Snort

El último punto se puede visualizar de la siguiente manera:

Verificación

Seguimiento de un Paquete en la Interfaz Ruteada FTD

Diagrama de la red

Utilice packet-tracer con estos parámetros para ver las políticas aplicadas:

Interfaz de Entrada

DENTRO

Protocolo/Servicio

Puerto TCP 80

IP de origen

192.168.201.100

IP de destino

192.168.202.100

Solución

Cuando se utiliza una interfaz ruteada, el paquete se procesa de manera similar a una interfaz ruteada clásica de ASA. Las comprobaciones como la búsqueda de rutas, el marco de políticas modulares (MPF), NAT, la búsqueda ARP, etc., se realizan en la ruta de datos del motor LINA. Además, si la política de control de acceso así lo requiere, el paquete es inspeccionado por el motor Snort (una de las instancias de Snort), donde se genera un veredicto y se devuelve al motor LINA:

> packet-tracer input INSIDE tcp 192.168.201.100 11111 192.168.202.100 80

Phase: 1

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 192.168.202.100 using egress ifc  OUTSIDE

Phase: 2

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268437505

access-list CSM_FW_ACL_ remark rule-id 268437505: ACCESS POLICY: FTD5512 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268437505: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 3

Type: CONN-SETTINGS

Subtype:

Result: ALLOW

Config:

class-map class-default

match any

policy-map global_policy

class class-default

set connection advanced-options UM_STATIC_TCP_MAP

service-policy global_policy global

Additional Information:

Phase: 4

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 5

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 6

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 7

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 11336, packet dispatched to next module

Result:

input-interface: INSIDE

input-status: up

input-line-status: up

output-interface: OUTSIDE

output-status: up

output-line-status: up

Action: allow

>

Nota: En la fase 4, el paquete se compara con un mapa TCP llamado UM_STATIC_TCP_MAP. Éste es el mapa TCP predeterminado en FTD.

firepower# show run all tcp-map

!

tcp-map UM_STATIC_TCP_MAP

no check-retransmission

no checksum-verification

exceed-mss allow

queue-limit 0 timeout 4

reserved-bits allow

syn-data allow

synack-data drop

invalid-ack drop

seq-past-window drop

tcp-options range 6 7 allow

tcp-options range 9 18 allow

tcp-options range 20 255 allow

tcp-options selective-ack allow

tcp-options timestamp allow

tcp-options window-scale allow

tcp-options mss allow

tcp-options md5 clear

ttl-evasion-protection

urgent-flag allow

window-variation allow-connection

!

>

Información Relacionada

- Guía de configuración de Cisco Firepower Threat Defense para Firepower Device Manager, versión 6.1

- Instalación y actualización de Firepower Threat Defense en dispositivos ASA 55xx-X

- Cisco Secure Firewall Threat Defence

- Soporte técnico y descargas de Cisco