Configuración de interfaces FTD en modo de par en línea

Introducción

Este documento describe la configuración, verificación y operación de una interfaz de par en línea en un dispositivo Firepower Threat Defence (FTD).

Prerequisites

Requirements

No existen requisitos específicos para este documento.

  

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Firepower 4150 FTD (código 6.1.0.x y 6.3.x)
• Firepower Management Center (FMC) (código 6.1.0.x y 6.3.x)

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Productos Relacionados

Este documento también puede utilizarse con estas versiones de software y hardware:

• ASA5506-X, ASA5506W-X, ASA5506H-X, ASA5508-X, ASA5516-X
• ASA5512-X, ASA5515-X, ASA5525-X, ASA5545-X, ASA5555-X
• FPR2100, FPR4100 y FPR9300
• VMware (ESXi), Amazon Web Services (AWS), máquina virtual basada en kernel (KVM)
• Código de software FTD 6.2.x y posterior

Antecedentes

FTD es una imagen de software unificada que consta de 2 motores principales:

• Motor LINA
• Motor Snort

Esta figura muestra cómo interactúan los 2 motores:

• Un paquete ingresa a la interfaz de ingreso y es manejado por el motor LINA.
• Si lo requiere la política de FTD, el paquete es inspeccionado por el motor Snort.
• El motor Snort devuelve un veredicto para el paquete
• El motor LINA descarta o reenvía el paquete según el veredicto de Snort.

FTD proporciona dos modos de implementación y seis modos de interfaz, como se muestra en la imagen:

Nota: Puede mezclar modos de interfaz en un único dispositivo FTD.

A continuación se ofrece una descripción general de alto nivel de los diversos modos de implementación e interfaz de FTD:

modo de interfaz FTD	Modo de implementación de FTD	Descripción	El tráfico se puede descartar
Enrutado	Enrutado	Comprobaciones completas del motor LINA y del motor Snort	Yes
Conmutado	Transparente	Comprobaciones completas del motor LINA y del motor Snort	Yes
Par lineal	Enrutado o transparente	Comprobaciones parciales del motor LINA y completas del motor Snort	Yes
Par en línea con toque	Enrutado o transparente	Comprobaciones parciales del motor LINA y completas del motor Snort	No
Pasivo	Enrutado o transparente	Comprobaciones parciales del motor LINA y completas del motor Snort	No
Pasivo (ERSPAN)	Enrutado	Comprobaciones parciales del motor LINA y completas del motor Snort	No

Configuración de la interfaz de par en línea en FTD

Diagrama de la red

Requisito

Configure las interfaces físicas e1/6 y e1/8 en el modo de par en línea según estos requisitos:

Interfaz	e1/6	e1/8
Nombre	DENTRO	FUERA
Zona de seguridad	INSIDE_ZONE	OUTSIDE_ZONE
Nombre del conjunto en línea	Par en línea-1
MTU de conjunto en línea	1500
FailSafe	Habilitado
Propagar estado de link	Habilitado

Solución

Paso 1. Para configurar las interfaces individuales, vaya a Devices > Device Management seleccione el dispositivo apropiado y seleccione Edit como se muestra en la imagen.

A continuación, especifique Name y Tick Enabled para la interfaz como se muestra en la imagen.

Nota: Name es el nombre de la interfaz.

Similar para la interfaz Ethernet1/8. El resultado final es el que se muestra en la imagen.

Paso 2. Configure el par en línea.

Navegue hasta Conjuntos en línea > Agregar conjunto en línea como se muestra en la imagen.

Paso 3. Configure los parámetros generales según los requisitos que se muestran en la imagen.

Nota: Failsafe permite que el tráfico pase a través del par en línea sin inspeccionar en caso de que los búferes de la interfaz estén llenos (normalmente se observa cuando el dispositivo está sobrecargado o el motor Snort está sobrecargado). El tamaño del búfer de interfaz se asigna dinámicamente.

Paso 4. Active la opción Propagate Link State en Advanced Settings, como se muestra en la imagen.

La propagación del estado de link desactiva automáticamente la segunda interfaz en el par de interfaces en línea cuando una de las interfaces en el conjunto en línea deja de funcionar.

Paso 5. Guarde los cambios e impleméntelo.

Verificación

Utilize esta sección para confirmar que su configuración funcione correctamente.

Verifique la configuración del Par en línea desde la CLI de FTD.

Solución

Inicie sesión en la CLI de FTD y verifique la configuración del par en línea:

> show inline-set

Inline-set Inline-Pair-1
  Mtu is 1500 bytes
  Failsafe mode is on/activated
  Failsecure mode is off
  Tap mode is off
  Propagate-link-state option is on
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/6 "INSIDE"
      Current-Status: UP
    Interface: Ethernet1/8 "OUTSIDE"
      Current-Status: UP
    Bridge Group ID: 509
>

Nota: La ID del grupo de puentes es un valor diferente de 0. Si el modo de toque está activado, es 0

Información de interfaz y nombre:

> show nameif
Interface                Name                     Security
Ethernet1/6              INSIDE                     0
Ethernet1/7              diagnostic                 0
Ethernet1/8              OUTSIDE                    0
>

Verifique el estado de la interfaz:

> show interface ip brief
Interface                  IP-Address      OK? Method Status                Protocol
Internal-Data0/0           unassigned      YES unset  up                    up
Internal-Data0/1           unassigned      YES unset  up                    up
Internal-Data0/2           169.254.1.1     YES unset  up                    up
Ethernet1/6                unassigned      YES unset  up                    up
Ethernet1/7                unassigned      YES unset  up                    up
Ethernet1/8                unassigned      YES unset  up                    up

Verifique la información de la interfaz física:

> show interface e1/6
Interface Ethernet1/6 "INSIDE", is up, line protocol is up
  Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
        MAC address 5897.bdb9.770e, MTU 1500
        IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
        IP address unassigned
  Traffic Statistics for "INSIDE":
        468 packets input, 47627 bytes
        12 packets output, 4750 bytes
        1 packets dropped
      1 minute input rate 0 pkts/sec,  200 bytes/sec
      1 minute output rate 0 pkts/sec,  7 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec,  96 bytes/sec
      5 minute output rate 0 pkts/sec,  8 bytes/sec
      5 minute drop rate, 0 pkts/sec
> show interface e1/8
Interface Ethernet1/8 "OUTSIDE", is up, line protocol is up
  Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
        MAC address 5897.bdb9.774d, MTU 1500
        IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
        IP address unassigned
  Traffic Statistics for "OUTSIDE":
        12 packets input, 4486 bytes
        470 packets output, 54089 bytes
        0 packets dropped
      1 minute input rate 0 pkts/sec,  7 bytes/sec
      1 minute output rate 0 pkts/sec,  212 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec,  7 bytes/sec
      5 minute output rate 0 pkts/sec,  106 bytes/sec
      5 minute drop rate, 0 pkts/sec
>

Verificar Operación de Interfaz de Par en Línea FTD

Esta sección cubre estas verificaciones de verificación para verificar el funcionamiento del Par en Línea:

• Verificación 1. Con el uso de packet-tracer
• Verificación 2. Habilite la captura con seguimiento y envíe un paquete TCP de sincronización/confirmación (SYN/ACK) a través del par en línea
• Verificación 3. Supervise el tráfico FTD con el uso de la depuración del motor de firewall
• Verificación 4. Verificar la funcionalidad de Propagación de Estado de Link
• Verificación 5. Configuración de la traducción estática de direcciones de red (NAT)

Solución

Descripción general de arquitectura

Cuando 2 interfaces FTD funcionan en modo de par en línea, un paquete se maneja como se muestra en la imagen.

Nota: Sólo las interfaces físicas pueden ser miembros de un conjunto de pares en línea

Teoría Básica

• Al configurar un Par lineal 2, las interfaces físicas se puentean internamente
• Muy similar al clásico Sistema de prevención de intrusiones (IPS) en línea
• Disponible en los modos de implementación enrutada o transparente
• La mayoría de las funciones del motor LINA (NAT, enrutamiento, etc.) no están disponibles para flujos que pasan por un par en línea
• El tráfico de tránsito se puede descartar
• Se aplican algunas comprobaciones del motor LINA junto con comprobaciones completas del motor Snort

El último punto se puede visualizar como se muestra en la imagen:

Verificación 1. Con el uso de Packet-Tracer

El resultado del rastreador de paquetes que emula un paquete que atraviesa el par en línea con los puntos importantes resaltados:

> packet-tracer input INSIDE tcp 192.168.201.50 1111 192.168.202.50 80

Phase: 1
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 2
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services is be applied

Phase: 3
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268438528
access-list CSM_FW_ACL_ remark rule-id 268438528: ACCESS POLICY: FTD4100 - Default/1
access-list CSM_FW_ACL_ remark rule-id 268438528: L4 RULE: DEFAULT ACTION RULE
Additional Information:
 This packet is sent to snort for additional processing where a verdict is reached

Phase: 4
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
Ingress interface INSIDE is in NGIPS inline mode.
Egress interface OUTSIDE is determined by inline-set configuration

Phase: 5
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 106, packet dispatched to next module

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
Action: allow

>

Verificación 2. Enviar paquetes TCP SYN/ACK a través de un par en línea

Puede generar paquetes TCP SYN/ACK con el uso de un paquete que crea utilidades como Scapy. Esta sintaxis genera 3 paquetes con los indicadores SYN/ACK habilitados:

root@KALI:~# scapy
INFO: Can't import python gnuplot wrapper . Won't be able to plot.
WARNING: No route found for IPv6 destination :: (no default route?)
Welcome to Scapy (2.2.0)
>>> conf.iface='eth0'
>>> packet = IP(dst="192.168.201.60")/TCP(flags="SA",dport=80)
>>> syn_ack=[]
>>> for i in range(0,3): # Send 3 packets
...  syn_ack.extend(packet)
...
>>> send(syn_ack)

Habilite esta captura en FTD CLI y envíe algunos paquetes TCP SYN/ACK:

> capture CAPI interface INSIDE trace match ip host 192.168.201.60 any
> capture CAPO interface OUTSIDE match ip host 192.168.201.60 any
>

Después de enviar los paquetes a través del FTD, puede ver una conexión que se creó:

> show conn detail
1 in use, 34 most used
Flags: A - awaiting responder ACK to SYN, a - awaiting initiator ACK to SYN,
       b - TCP state-bypass or nailed,
       C - CTIQBE media, c - cluster centralized,
       D - DNS, d - dump, E - outside back connection, e - semi-distributed,
       F - initiator FIN, f - responder FIN,
       G - group, g - MGCP, H - H.323, h - H.225.0, I - initiator data,
       i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
       k - Skinny media, M - SMTP data, m - SIP media, N - inspected by Snort, n - GUP
       O - responder data, P - inside back connection,
       q - SQL*Net data, R - initiator acknowledged FIN,
       R - UDP SUNRPC, r - responder acknowledged FIN,
       T - SIP, t - SIP transient, U - up,
       V - VPN orphan, v - M3UA W - WAAS,
       w - secondary domain backup,
       X - inspected by service module,
       x - per session, Y - director stub flow, y - backup stub flow,
       Z - Scansafe redirection, z - forwarding stub flow

TCP Inline-Pair-1:OUTSIDE(OUTSIDE): 192.168.201.60/80 Inline-Pair-1:INSIDE(INSIDE): 192.168.201.50/20,
    flags b N, idle 13s, uptime 13s, timeout 1h0m, bytes 0

>

Nota: indicador b: un ASA clásico descartaría un paquete SYN/ACK no solicitado a menos que se habilitara el bypass de estado TCP. Una interfaz FTD en modo de par en línea gestiona una conexión TCP en modo de omisión de estado TCP y no descarta paquetes TCP que no pertenecen a las conexiones que ya existen.

Nota: Indicador N: el motor Snort de FTD inspecciona el paquete.

Las capturas lo demuestran, ya que puede ver los 3 paquetes que atraviesan el FTD:

> show capture CAPI

3 packets captured

   1: 15:27:54.327146       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
   2: 15:27:54.330000       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
   3: 15:27:54.332517       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
3 packets shown
>

3 paquetes sale del dispositivo FTD:

> show capture CAPO

3 packets captured

   1: 15:27:54.327299       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
   2: 15:27:54.330030       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
   3: 15:27:54.332548       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
3 packets shown
>

Con el seguimiento del primer paquete de captura se revela información adicional como el veredicto del motor de Snort:

> show capture CAPI packet-number 1 trace

3 packets captured

   1: 15:27:54.327146       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268438528
access-list CSM_FW_ACL_ remark rule-id 268438528: ACCESS POLICY: FTD4100 - Default/1
access-list CSM_FW_ACL_ remark rule-id 268438528: L4 RULE: DEFAULT ACTION RULE
Additional Information:
 This packet is sent to snort for additional processing where a verdict is reached

Phase: 5
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
Ingress interface INSIDE is in NGIPS inline mode.
Egress interface OUTSIDE is determined by inline-set configuration

Phase: 6
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 282, packet dispatched to next module

Phase: 7
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 8
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Verdict: (pass-packet) allow this packet

Phase: 9
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Result:
input-interface: OUTSIDE
input-status: up
input-line-status: up
Action: allow


1 packet shown
>

Con el Seguimiento del segundo paquete capturado muestra que el paquete coincide con una conexión actual, por lo que omite la comprobación de ACL, pero el motor Snort lo inspecciona:

> show capture CAPI packet-number 2 trace

3 packets captured

   2: 15:27:54.330000       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: FLOW-LOOKUP
Subtype:ing
Result: ALLOW
Config:
Additional Information:
Found flow with id 282, using current flow

Phase: 4
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 5
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Verdict: (pass-packet) allow this packet

Phase: 6
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Result:
input-interface: OUTSIDE
input-status: up
input-line-status: up
Action: allow


1 packet shown
>

Verificación 3. Depuración Del Motor De Firewall Para El Tráfico Permitido

La depuración del motor de firewall se ejecuta contra componentes específicos del motor Snort FTD como la política de control de acceso, como se muestra en la imagen:

Cuando envía los paquetes TCP SYN/ACK a través de Inline Pair, puede ver en la salida de depuración:

> system support firewall-engine-debug

Please specify an IP protocol: tcp
Please specify a client IP address:
Please specify a client port:
Please specify a server IP address: 192.168.201.60
Please specify a server port: 80
Monitoring firewall engine debug messages

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 New session
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 using HW or preset rule order 3, id 268438528 action Allow and prefilter rule 0
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 allow action
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 Deleting session

Verificación 4. Verificar la Propagación del Estado del Link

Habilite el registro de búfer en FTD y apague el puerto de switch conectado a la interfaz e1/6. En FTD CLI debe ver que ambas interfaces se desactivaron:

> show interface ip brief
Interface                  IP-Address      OK? Method Status                Protocol
Internal-Data0/0           unassigned      YES unset  up                    up
Internal-Data0/1           unassigned      YES unset  up                    up
Internal-Data0/2           169.254.1.1     YES unset  up                    up
Ethernet1/6                unassigned      YES unset  down                  down
Ethernet1/7                unassigned      YES unset  up                    up
Ethernet1/8                unassigned      YES unset  administratively down up
>

Los registros de FTD muestran:

> show log

Jan 03 2017 15:53:19: %ASA-4-411002: Line protocol on Interface Ethernet1/6, changed state to down
Jan 03 2017 15:53:19: %ASA-4-411004: Interface OUTSIDE, changed state to administratively down
Jan 03 2017 15:53:19: %ASA-4-411004: Interface Ethernet1/8, changed state to administratively down
Jan 03 2017 15:53:19: %ASA-4-812005: Link-State-Propagation activated on inline-pair due to failure of interface Ethernet1/6(INSIDE) bringing down pair interface Ethernet1/8(OUTSIDE)
>

El estado del conjunto en línea muestra el estado de los 2 miembros de la interfaz:

> show inline-set

Inline-set Inline-Pair-1
  Mtu is 1500 bytes
  Failsafe mode is on/activated
  Failsecure mode is off
  Tap mode is off
 Propagate-link-state option is on
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/6 "INSIDE"
      Current-Status: Down(Propagate-Link-State-Activated)
    Interface: Ethernet1/8 "OUTSIDE"
      Current-Status: Down(Down-By-Propagate-Link-State)
    Bridge Group ID: 509
>

Observe la diferencia en el estado de las 2 interfaces:

> show interface e1/6
Interface Ethernet1/6 "INSIDE", is down, line protocol is down
  Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
        MAC address 5897.bdb9.770e, MTU 1500
        IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
        Propagate-Link-State-Activated
        IP address unassigned
  Traffic Statistics for "INSIDE":
        3393 packets input, 234923 bytes
        120 packets output, 49174 bytes
        1 packets dropped
      1 minute input rate 0 pkts/sec,  0 bytes/sec
      1 minute output rate 0 pkts/sec,  0 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec,  6 bytes/sec
      5 minute output rate 0 pkts/sec,  3 bytes/sec
      5 minute drop rate, 0 pkts/sec
>

Y para la interfaz Ethernet1/8:

> show interface e1/8
Interface Ethernet1/8 "OUTSIDE", is administratively down, line protocol is up
  Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
        MAC address 5897.bdb9.774d, MTU 1500
        IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
        Down-By-Propagate-Link-State
        IP address unassigned
  Traffic Statistics for "OUTSIDE":
        120 packets input, 46664 bytes
        3391 packets output, 298455 bytes
        0 packets dropped
      1 minute input rate 0 pkts/sec,  0 bytes/sec
      1 minute output rate 0 pkts/sec,  0 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec,  3 bytes/sec
      5 minute output rate 0 pkts/sec,  8 bytes/sec
      5 minute drop rate, 0 pkts/sec
>

Después de volver a habilitar el puerto de switch, los registros de FTD muestran:

> show log
...
Jan 03 2017 15:59:35: %ASA-4-411001: Line protocol on Interface Ethernet1/6, changed state to up
Jan 03 2017 15:59:35: %ASA-4-411003: Interface Ethernet1/8, changed state to administratively up
Jan 03 2017 15:59:35: %ASA-4-411003: Interface OUTSIDE, changed state to administratively up
Jan 03 2017 15:59:35: %ASA-4-812006: Link-State-Propagation de-activated on inline-pair due to recovery of interface Ethernet1/6(INSIDE) bringing up pair interface Ethernet1/8(OUTSIDE)
>

Verificación 5. Configuración de NAT estática

Solución

NAT no es compatible con interfaces que funcionen en modo en línea, en modo tap en línea o pasivo:

https://www.cisco.com/c/en/us/td/docs/security/firepower/601/configuration/guide/fpmc-config-guide-v601/Network_Address_Translation__NAT__for_Threat_Defense.html

Bloqueo de paquetes en modo de interfaz de par en línea

Cree una regla de bloqueo, envíe el tráfico a través del par en línea FTD y observe el comportamiento como se muestra en la imagen.

Solución

Habilite la captura con seguimiento y envíe los paquetes SYN/ACK a través del par en línea FTD. El tráfico está bloqueado:

> show capture
capture CAPI type raw-data trace interface INSIDE [Capturing - 210 bytes]
  match ip host 192.168.201.60 any
capture CAPO type raw-data interface OUTSIDE [Capturing - 0 bytes]
  match ip host 192.168.201.60 any

Con el seguimiento, un paquete revela:

> show capture CAPI packet-number 1 trace

3 packets captured

   1: 16:12:55.785085       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: DROP
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1
access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1
Additional Information:

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
Action: drop
Drop-reason: (acl-drop) Flow is denied by configured rule


1 packet shown

En este seguimiento, se puede ver que el paquete fue descartado por el motor LINA de FTD y no fue reenviado al motor Snort de FTD.

Configuración Del Modo De Par En Línea Con Tap

Active el modo de toque en el par en línea.

Solución

Navegue hasta Devices > Device Management > Inline Sets > Edit Inline Set > Advanced y habilite Tap Mode como se muestra en la imagen.

Verificación

> show inline-set

Inline-set Inline-Pair-1
  Mtu is 1500 bytes
  Failsafe mode is on/activated
  Failsecure mode is off
  Tap mode is on
  Propagate-link-state option is on
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/6 "INSIDE"
      Current-Status: UP
    Interface: Ethernet1/8 "OUTSIDE"
      Current-Status: UP
    Bridge Group ID: 0
>

Verificar par en línea FTD con funcionamiento de interfaz de rosca

Teoría Básica

• Al configurar un Par lineal con Tap 2, las interfaces físicas se puentean internamente
• Está disponible en los modos de implementación enrutada o Transparente
• La mayoría de las funciones del motor LINA (NAT, enrutamiento, etc.) no están disponibles para flujos que pasan a través del par en línea
• El tráfico real no se puede descartar
• Se aplican algunas comprobaciones del motor LINA junto con comprobaciones completas del motor Snort a una copia del tráfico real

El último punto es como se muestra en la imagen:

El par en línea con modo de toque no descarta el tráfico de tránsito. Con el rastro de un paquete confirma esto:

> show capture CAPI packet-number 2 trace

3 packets captured

   2: 13:34:30.685084       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: WOULD HAVE DROPPED
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1
access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1
Additional Information:

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
Action: Access-list would have dropped, but packet forwarded due to inline-tap


1 packet shown
>

Par lineal y Etherchannel

Puede configurar un par en línea con etherchannel de 2 maneras:

1. Etherchannel terminado en FTD
2. Etherchannel pasa a través del FTD (requiere el código FXOS 2.3.1.3 y posterior)

Etherchannel terminado en FTD

Etherchannels en SW-A:

SW-A# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP      Gi3/11(P)
35     Po35(SU)        LACP      Gi2/33(P)

Etherchannels en SW-B:

SW-B# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP        Gi1/0/3(P)
55     Po55(SU)        LACP        Gi1/0/4(P)

El tráfico se reenvía a través del FTD activo en función del aprendizaje de la dirección MAC:

SW-B# show mac address-table address 0017.dfd6.ec00
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
 201    0017.dfd6.ec00    DYNAMIC     Po33
Total Mac Addresses for this criterion: 1

El conjunto en línea en FTD:

FTD# show inline-set

Inline-set SET1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is off
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Port-channel3 "INSIDE"
      Current-Status: UP
    Interface: Port-channel5 "OUTSIDE"
      Current-Status: UP
    Bridge Group ID: 775

Nota: En caso de un evento de failover FTD, la interrupción del tráfico depende principalmente del tiempo que toman los switches para aprender la dirección MAC del peer remoto.

Etherchannel a través del FTD

Etherchannels en SW-A:

SW-A# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP      Gi3/11(P)
55     Po55(SD)        LACP      Gi3/7(I)

Los paquetes LACP a través del FTD en espera se bloquean:

FTD# capture ASP type asp-drop fo-standby
FTD# show capture ASP | i 0180.c200.0002
  29: 15:28:32.658123       a0f8.4991.ba03 0180.c200.0002 0x8809 Length: 124
  70: 15:28:47.248262       f0f7.556a.11e2 0180.c200.0002 0x8809 Length: 124

Etherchannels en SW-B:

SW-B# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP        Gi1/0/3(P)
55     Po55(SD)        LACP        Gi1/0/4(s)

El tráfico se reenvía a través del FTD activo en función del aprendizaje de la dirección MAC:

SW-B# show mac address-table address 0017.dfd6.ec00
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
 201    0017.dfd6.ec00    DYNAMIC     Po33
Total Mac Addresses for this criterion: 1

El conjunto en línea en FTD:

FTD# show inline-set

Inline-set SET1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is off
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/3 "INSIDE"
      Current-Status: UP
    Interface: Ethernet1/5 "OUTSIDE"
      Current-Status: UP
    Bridge Group ID: 519

Precaución: En este escenario en caso de un evento de failover FTD, el tiempo de convergencia depende principalmente de la negociación LACP de Etherchannel y del tiempo que tarda la interrupción puede ser bastante más largo. En caso de que el modo Etherchannel esté encendido (sin LACP), el tiempo de convergencia depende del aprendizaje de la dirección MAC.

Troubleshoot

Actualmente no hay información específica disponible para esta configuración.

Comparación: Par en línea vs Par en línea con toque

	Par en línea	Par en línea con toque
show inline-set	> show inline-set Inline-set Inline-Pair-1   Mtu es de 1500 bytes   El modo a prueba de fallos está activado/activado   El modo de seguridad contra fallos está desactivado   El modo de toque está desactivado   La opción Propagate-link-state está activada   el modo de omisión de hardware está desactivado   Par de interfaces[1]:     Interfaz: Ethernet1/6 "INSIDE"       Estado actual: ACTIVO     Interfaz: Ethernet1/8 "OUTSIDE"       Estado actual: ACTIVO     ID de grupo de puentes: 509 >	> show inline-set Inline-set Inline-Pair-1   Mtu es de 1500 bytes   El modo a prueba de fallos está activado/activado   El modo de seguridad contra fallos está desactivado   El modo de toque está activado   La opción Propagate-link-state está activada   el modo de omisión de hardware está desactivado   Par de interfaces[1]:     Interfaz: Ethernet1/6 "INSIDE"       Estado actual: ACTIVO     Interfaz: Ethernet1/8 "OUTSIDE"       Estado actual: ACTIVO     ID de grupo de puentes: 0 >
show interface	> show interface e1/6 Interfaz Ethernet1/6 "INSIDE", está activa, protocolo de línea activo   El hardware es EtherSVI, ancho de banda 1000 Mbps, DLY 1000 usec         Dirección MAC 5897.bdb9.770e, MTU 1500         IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1         Dirección IP no asignada   Estadísticas de tráfico para "INSIDE":         3957 paquetes de entrada, 264913 bytes         Salida de 144 paquetes, 58664 bytes         4 paquetes perdidos       Velocidad de entrada de 1 minuto 0 paquetes/seg., 26 bytes/seg.       Velocidad de salida de 1 minuto 0 paquetes/s, 7 bytes/s       Velocidad de caída de 1 minuto, 0 paquetes/seg.       Velocidad de entrada de 5 minutos 0 paquetes/seg., 28 bytes/seg.       Velocidad de salida de 5 minutos 0 paquetes/s, 9 bytes/s       Velocidad de caída de 5 minutos, 0 paquetes/seg. > show interface e1/8 Interfaz Ethernet1/8 "OUTSIDE", está activa, protocolo de línea activo   El hardware es EtherSVI, ancho de banda 1000 Mbps, DLY 1000 usec         Dirección MAC 5897.bdb9.774d, MTU 1500         IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1         Dirección IP no asignada   Estadísticas de tráfico para "OUTSIDE":         Entrada de 144 paquetes, 55634 bytes         3954 paquetes de salida, 339987 bytes         0 paquetes perdidos       Velocidad de entrada de 1 minuto 0 paquetes/seg., 7 bytes/seg.       Velocidad de salida de 1 minuto 0 paquetes/s, 37 bytes/s       Velocidad de caída de 1 minuto, 0 paquetes/seg.       Velocidad de entrada de 5 minutos 0 paquetes/seg., 8 bytes/seg.       Velocidad de salida de 5 minutos 0 paquetes/s, 39 bytes/s       Velocidad de caída de 5 minutos, 0 paquetes/seg. >	> show interface e1/6 Interfaz Ethernet1/6 "INSIDE", está activa, protocolo de línea activo   El hardware es EtherSVI, ancho de banda 1000 Mbps, DLY 1000 usec         Dirección MAC 5897.bdb9.770e, MTU 1500         IPS Interface-Mode: inline-tap, Inline-Set: Inline-Pair-1         Dirección IP no asignada   Estadísticas de tráfico para "INSIDE":         Entrada de 24 paquetes, 1378 bytes         0 paquetes de salida, 0 bytes         24 paquetes perdidos       Velocidad de entrada de 1 minuto 0 paquetes/seg., 0 bytes/seg.       Velocidad de salida de 1 minuto 0 paquetes/s, 0 bytes/s       Velocidad de caída de 1 minuto, 0 paquetes/seg.       Velocidad de entrada de 5 minutos 0 paquetes/seg., 0 bytes/seg.       Velocidad de salida de 5 minutos 0 paquetes/seg., 0 bytes/seg.       Velocidad de caída de 5 minutos, 0 paquetes/seg. > show interface e1/8 Interfaz Ethernet1/8 "OUTSIDE", está activa, protocolo de línea activo   El hardware es EtherSVI, ancho de banda 1000 Mbps, DLY 1000 usec         Dirección MAC 5897.bdb9.774d, MTU 1500         IPS Interface-Mode: inline-tap, Inline-Set: Inline-Pair-1         Dirección IP no asignada   Estadísticas de tráfico para "OUTSIDE":         1 entrada de paquetes, 441 bytes         0 paquetes de salida, 0 bytes         1 paquetes perdidos       Velocidad de entrada de 1 minuto 0 paquetes/seg., 0 bytes/seg.       Velocidad de salida de 1 minuto 0 paquetes/s, 0 bytes/s       Velocidad de caída de 1 minuto, 0 paquetes/seg.       Velocidad de entrada de 5 minutos 0 paquetes/seg., 0 bytes/seg.       Velocidad de salida de 5 minutos 0 paquetes/seg., 0 bytes/seg.       Velocidad de caída de 5 minutos, 0 paquetes/seg. >
Para gestionar paquetes con regla de bloqueo	> show capture CAPI packet-number 1 trace 3 paquetes capturados    1: 16:12:55.785085 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 Fase: 1 Tipo: CAPTURA Subtipo: Resultado: PERMITIR Config: Información adicional: Lista de acceso MAC Fase: 2 Tipo: ACCESS-LIST Subtipo: Resultado: PERMITIR Config: Regla implícita Información adicional: Lista de acceso MAC Fase: 3 Tipo: NGIPS-MODE Subtipo: ngips-mode Resultado: PERMITIR Config: Información adicional: El flujo ingresó a una interfaz configurada para el modo NGIPS y se aplican los servicios NGIPS Fase: 4 Tipo: ACCESS-LIST Subtipo: registro Resultado: DESCARTAR Config: access-group CSM_FW_ACL_global access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start access-list CSM_FW_ACL_remark rule-id 268441600: POLÍTICA DE ACCESO: FTD4100 - Obligatorio/1 access-list CSM_FW_ACL_remark rule-id 268441600: L4 RULE: Rule 1 Información adicional: Resultado: input-interface: INSIDE input-status: up input-line-status: up Acción: descartar Drop-reason (motivo de la anulación): regla configurada ha denegado el flujo Se muestra 1 paquete >	> show capture CAPI packet-number 1 trace 3 paquetes capturados    1: 16:56:02.631437 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192 Fase: 1 Tipo: CAPTURA Subtipo: Resultado: PERMITIR Config: Información adicional: Lista de acceso MAC Fase: 2 Tipo: ACCESS-LIST Subtipo: Resultado: PERMITIR Config: Regla implícita Información adicional: Lista de acceso MAC Fase: 3 Tipo: NGIPS-MODE Subtipo: ngips-mode Resultado: PERMITIR Config: Información adicional: El flujo ingresó a una interfaz configurada para el modo NGIPS y se aplican los servicios NGIPS Fase: 4 Tipo: ACCESS-LIST Subtipo: registro Resultado: SE HABRÍA CAÍDO Config: access-group CSM_FW_ACL_global access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start access-list CSM_FW_ACL_remark rule-id 268441600: POLÍTICA DE ACCESO: FTD4100 - Obligatorio/1 access-list CSM_FW_ACL_remark rule-id 268441600: L4 RULE: Rule 1 Información adicional: Resultado: input-interface: INSIDE input-status: up input-line-status: up Acción: la lista de acceso se habría descartado, pero el paquete se ha reenviado debido a la pulsación en línea Se muestra 1 paquete >

Summary

• Cuando utiliza el modo de par en línea, el paquete pasa principalmente a través del motor FTD Snort
• Las conexiones TCP se gestionan en un modo de omisión de estado TCP
• Desde el punto de vista del motor FTD LINA, se aplica una política ACL
• Cuando el Modo de Par en Línea está en uso, los paquetes pueden bloquearse ya que se procesan en línea
• Cuando se habilita el modo de toque, se inspecciona una copia del paquete y se descarta internamente mientras el tráfico real pasa a través del FTD sin modificar

Información Relacionada

• NGFW Cisco Firepower
• Soporte Técnico y Documentación - Cisco Systems