Tráfico en línea de varios jugadores de Xbox Live (Túnel Teredo UDP 3544) bloqueado por FTD

Introducción

Este documento describe un problema visto para permitir que los usuarios accedan a la función Xbox live online multi-player desde la Xbox cuando están conectados detrás de un sensor FTD (FirePower Threat Defense). Cada vez que intenta establecer una conexión multijugador en línea desde la Xbox, no funciona a través del sensor FTD.

Este problema se observa después de migrar los servicios de firewall de un Cisco ASA (Adaptive Security Appliance) a un FirePower con FTD.

El propósito principal de este documento es explicar cómo permitir que el tráfico multijugador en línea Xbox Live (túnel Teredo UDP 3544) funcione a través del FTD.

Contribuido por Christian G. Hernández R., ingeniero del TAC de Cisco.

Prerequisites

Requirements

Cisco recomienda que conozca la configuración de las reglas de filtrado previo de Cisco FirePower.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco FMC (FirePower Management Center) v6.2.3.1
• Cisco FTD v6.2.3.1

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

La función de reproducción múltiple en línea Xbox Live para la Xbox establece un túnel Teredo que utiliza el puerto UDP 3544, tal como se confirma en el siguiente documento de Microsoft Xbox:

Puertos de red utilizados por Xbox Live en Xbox One

Problema: Tráfico de varios jugadores en línea de Xbox Live (Túnel Teredo UDP 3544) bloqueado por FTD

Se confirma que los sensores FTD bloquean el tráfico multijugador en línea de Xbox Live (túnel Teredo UDP 3544) si no utiliza las reglas de prefiltro predeterminadas de fábrica del FMC:

Política predeterminada de prefiltro vista desde la GUI de FMC (interfaz gráfica de usuario):

Política predeterminada previa al filtro vista desde una CLI del sensor de FTD (interfaz de línea de comandos):

> show access-list 
access-list cached ACL log flows: total 0, denied 0 (deny-flow-max 4096)
            alert-interval 300
access-list CSM_FW_ACL_; 8 elements; name hash: 0x4a69e3f3
access-list CSM_FW_ACL_ line 1 remark rule-id 9998: PREFILTER POLICY: Default Tunnel and Priority Policy
access-list CSM_FW_ACL_ line 2 remark rule-id 9998: RULE: DEFAULT TUNNEL ACTION RULE
access-list CSM_FW_ACL_ line 3 advanced permit ipinip any any rule-id 9998 (hitcnt=0) 0xf5b597d6 
access-list CSM_FW_ACL_ line 4 advanced permit 41 any any rule-id 9998 (hitcnt=0) 0x06095aba 
access-list CSM_FW_ACL_ line 5 advanced permit gre any any rule-id 9998 (hitcnt=0) 0x52c7a066 
access-list CSM_FW_ACL_ line 6 advanced permit udp any eq 3544 any range 1025 65535 rule-id 9998 (hitcnt=0) 0x46d7839e access-list CSM_FW_ACL_ line 7 advanced permit udp any range 1025 65535 any eq 3544 rule-id 9998 (hitcnt=0) 0xaf1d5aa5 

Nota: Las reglas anteriores al filtro de las líneas 6 y 7 anteriores son las reglas prefiltros predeterminadas diseñadas para permitir el tráfico UDP 3544 del túnel de Teredo a través del FTD.

Pero el problema es que un FTD que no utiliza la regla de prefiltro predeterminada de fábrica, bloquea o lista negra este tráfico Xbox Live UDP 3544 multijugador en línea de Xbox que viene de la Xbox, esto se confirma con la ayuda de una captura de paquetes ASP (Accelerated Security Path) aplicada en el FTD, de la siguiente manera:

firepower# capture asp type asp-drop all
firepower# show cap asp | i x.x.x.x
50243: 16:23:03.023054 x.x.x.x.3074 > y.y.y.y.3544: udp 61 Drop-reason: (session) Blocked or blacklisted by the session preprocessor
51622: 16:23:04.023253 x.x.x.x.3074 > y.y.y.y.3544: udp 61 Drop-reason: (session) Blocked or blacklisted by the session preprocessor
53990: 16:23:06.023588 x.x.x.x.3074 > y.y.y.y.3544: udp 61 Drop-reason: (session) Blocked or blacklisted by the session preprocessor
58785: 16:23:10.024367 x.x.x.x.3074 > y.y.y.y.3544: udp 61 Drop-reason: (session) Blocked or blacklisted by the session preprocessor
69006: 16:23:18.025145 x.x.x.x.3074 > y.y.y.y.3544: udp 61
89783: 16:23:34.026716 x.x.x.x.3074 > y.y.y.y.3544: udp 61

Nota: Puede intentar permitir este tráfico a través del FTD con una política de control de acceso (ACP) configurada para permitir el tráfico UDP 3544, después de esto, confirmará que se verán las mismas caídas de ASP en la CLI de FTD.

Solución

Para permitir el tráfico multijugador en línea de Xbox Live (túnel Teredo UDP 3544) a través del FTD, necesita configurar una regla de prefiltro, para esto, tiene 4 opciones para configurar la regla de prefiltro requerida:

Configurar una regla normal de prefiltro

Ejemplo 1 

Configure una regla de prefiltro normal con la acción Analizar para permitir el tráfico destinado a UDP 3544 con Any como destino:

Ejemplo 2

Configure una regla de prefiltro normal con la acción Fastpath para permitir el tráfico destinado a UDP 3544 con Any como destino:

Configurar una regla de prefiltro de túnel

Ejemplo 1 

Configure una regla de prefiltro de túnel con la acción Analizar para permitir el tráfico destinado a UDP 3544 con Any como destino:

Ejemplo 2

Configure una regla de prefiltro de túnel con acción Fastpath para permitir el tráfico destinado a UDP 3544 con Any como destino:

Nota: Las 4 opciones mencionadas anteriormente se confirman en el laboratorio del TAC para permitir que el túnel de Teredo (UDP 3544) se establezca a través del FTD. La intención principal de utilizar Any como dirección IP de destino para la configuración de regla de prefiltro se debe a las diferentes direcciones IP que Xbox puede utilizar para conectarse a los servidores multijugador en línea de Microsoft.

Información Relacionada

• Configuración y Funcionamiento de las Políticas de Prefiltro FTD

• Políticas de prefiltrado y prefiltrado

• Puertos de red utilizados por Xbox Live en Xbox One