Table des matières

Introduction

Conditions préalables

Exigences

Composants utilisés

Produits connexes

Informations générales

Configurer l'interface de paire en ligne sur FTD

Diagramme du réseau

Vérifier

Vérifier le fonctionnement de l'interface FTD Inline Pair

Théorie de base

Vérification 1. Avec l'utilisation de Packet-Tracer

Vérification 2. Envoi de paquets TCP SYN/ACK par paire en ligne

Vérification 3. Débogage du moteur de pare-feu pour le trafic autorisé

Vérification 4. Vérification de la propagation à état de liens

Vérification 5. Configuration de la NAT statique

Block Packet on Inline Pair Interface Mode

Configurer Le Mode Paire En Ligne Avec Touche

Vérification de la paire FTD Inline avec fonctionnement de l'interface Tap

Paire en ligne et Etherchannel

Etherchannel terminé sur FTD

Etherchannel via le FTD

Dépannage

Comparaison : Paire en ligne vs Paire en ligne avec robinet

Résumé

Informations connexes

Introduction

Ce document décrit la configuration, la vérification et le fonctionnement d'une interface par paire en ligne sur un appareil Firepower Threat Defense (FTD).

Conditions préalables

Exigences

Il n'y a pas de conditions spécifiques pour ce document.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- Firepower 4150 FTD (codes 6.1.0.x et 6.3.x)

- Firepower Management Center (FMC) (codes 6.1.0.x et 6.3.x)

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Produits connexes

Ce document peut également être utilisé avec les versions de matériel et de logiciel suivantes :

- ASA5506-X, ASA5506W-X, ASA5506H-X, ASA5508-X, ASA5516-X

- ASA5512-X, ASA5515-X, ASA5525-X, ASA5545-X, ASA5555-X

- FPR2100, FPR4100, FPR9300

- VMware (ESXi), Amazon Web Services (AWS), machine virtuelle à base de noyau (KVM)

- Code logiciel FTD 6.2.x et versions ultérieures

Informations générales

Cisco Firepower Threat Defense (FTD) est une image logicielle unifiée qui comprend deux moteurs principaux :

- Moteur LINA

- Moteur du renifleur

Cette figure montre comment les deux moteurs interagissent :

- Un paquet entre dans l’interface d’entrée et est géré par le moteur LINA

- Si cela est requis par la politique FTD, le paquet est inspecté par le moteur du renifleur

- Le moteur Snort renvoie un verdict pour le paquet

- Le moteur LINA abandonne ou transfère le paquet en fonction du verdict du renifleur

FTD propose deux modes de déploiement et six modes d'interface, comme illustré dans l'image :

Remarque : vous pouvez combiner les modes d'interface sur un seul appareil FTD.

Voici une présentation générale des différents modes de déploiement et d'interface FTD :

mode d'interface FTD

Mode de déploiement FTD

Description

Le trafic peut être abandonné

Routés

Routés

Contrôles LINA complets et Snort-engine

Oui

Commuté

Transparent

Contrôles LINA complets et Snort-engine

Oui

Paire en ligne

Routé ou transparent

Vérification partielle du moteur LINA et vérification complète du moteur Snort

Oui

Paire en ligne avec robinet

Routé ou transparent

Vérification partielle du moteur LINA et vérification complète du moteur Snort

Non

Passif

Routé ou transparent

Vérification partielle du moteur LINA et vérification complète du moteur Snort

Non

Passif (ERSPAN)

Routés

Vérification partielle du moteur LINA et vérification complète du moteur Snort

Non

Configurer l'interface de paire en ligne sur FTD

Diagramme du réseau

Exigence

Configurez les interfaces physiques e1/6 et e1/8 en mode Inline Pair, conformément aux exigences suivantes :

Interface

e1/6

e1/8

Nom

INTÉRIEUR

EXTÉRIEUR

Zone de sécurité

ZONE_INTERNE

ZONE_EXTERNE

Nom du jeu en ligne

Inline-Pair-1

MTU du jeu en ligne

1500

FailSafe

Activée

Propager l'état des liaisons

Activée

Solution

Étape 1. Afin de configurer les interfaces individuelles, accédez à Périphériques > Gestion des périphériques, sélectionnez le périphérique approprié et sélectionnez Modifier comme indiqué dans l'image.

Ensuite, spécifiez Name et Tick Enabled pour l'interface comme indiqué dans l'image.

Remarque : le nom est le nom de l'interface.

De même pour l’interface Ethernet1/8. Le résultat final est tel qu'illustré sur l'image.

Étape 2. Configurer la paire en ligne.

Naviguez jusqu'à Inline Sets > Add Inline Set comme indiqué dans l'image.

Étape 3. Configurez les paramètres généraux conformément aux exigences indiquées dans l'image.

Remarque : Failsafe permet au trafic de traverser la paire en ligne sans inspection au cas où les tampons d'interface seraient pleins (généralement vu quand le périphérique est surchargé ou le moteur Snort est surchargé). La taille de la mémoire tampon de l’interface est allouée dynamiquement.

Étape 4. Activez l'option Propagate Link State dans les paramètres avancés comme indiqué dans l'image.

La propagation de l’état de la liaison désactive automatiquement la deuxième interface de la paire d’interfaces en ligne lorsque l’une des interfaces de l’ensemble en ligne est désactivée.

Étape 5. Enregistrez les modifications et déployez.

Vérifier

Utilisez cette section pour confirmer que votre configuration fonctionne correctement.

Vérifiez la configuration de la paire en ligne à partir de l'ILC FTD.

Solution

Connectez-vous à FTD CLI et vérifiez la configuration de la paire en ligne :

> show inline-set

Inline-set Inline-Pair-1

Mtu is 1500 bytes

Failsafe mode is on/activated

Failsecure mode is off

Tap mode is off

Propagate-link-state option is on

hardware-bypass mode is disabled

Interface-Pair[1]:

Interface: Ethernet1/6 "INSIDE"

Current-Status: UP

Interface: Ethernet1/8 "OUTSIDE"

Current-Status: UP

Bridge Group ID: 509

>

Remarque : l'ID du groupe de ponts est une valeur différente de 0. Si le mode Effleurement est activé, il est alors 0

Interface et informations de nom :

> show nameif

Interface                Name                     Security

Ethernet1/6              INSIDE                     0

Ethernet1/7              diagnostic                 0

Ethernet1/8              OUTSIDE                    0

>

Vérifiez l’état de l’interface :

> show interface ip brief

Interface                  IP-Address      OK? Method Status                Protocol

Internal-Data0/0           unassigned      YES unset  up                    up

Internal-Data0/1           unassigned      YES unset  up                    up

Internal-Data0/2           169.254.1.1     YES unset  up                    up

Ethernet1/6                unassigned      YES unset  up                    up

Ethernet1/7                unassigned      YES unset  up                    up

Ethernet1/8                unassigned      YES unset  up                    up

Vérifiez les informations d'interface physique :

> show interface e1/6

Interface Ethernet1/6 "INSIDE", is up, line protocol is up

Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec

MAC address 5897.bdb9.770e, MTU 1500

IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1

IP address unassigned

Traffic Statistics for "INSIDE":

468 packets input, 47627 bytes

12 packets output, 4750 bytes

1 packets dropped

1 minute input rate 0 pkts/sec,  200 bytes/sec

1 minute output rate 0 pkts/sec,  7 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  96 bytes/sec

5 minute output rate 0 pkts/sec,  8 bytes/sec

5 minute drop rate, 0 pkts/sec

> show interface e1/8

Interface Ethernet1/8 "OUTSIDE", is up, line protocol is up

Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec

MAC address 5897.bdb9.774d, MTU 1500

IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1

IP address unassigned

Traffic Statistics for "OUTSIDE":

12 packets input, 4486 bytes

470 packets output, 54089 bytes

0 packets dropped

1 minute input rate 0 pkts/sec,  7 bytes/sec

1 minute output rate 0 pkts/sec,  212 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  7 bytes/sec

5 minute output rate 0 pkts/sec,  106 bytes/sec

5 minute drop rate, 0 pkts/sec

>

Vérifier le fonctionnement de l'interface FTD Inline Pair

Cette section couvre ces contrôles de vérification afin de vérifier le fonctionnement de la paire en ligne :

- Vérification 1. Avec l'utilisation de Packet Tracer

- Vérification 2. Activez la capture avec trace et envoyez un paquet de synchronisation/accusé de réception TCP (SYN/ACK) via la paire en ligne

- Vérification 3. Surveiller le trafic FTD à l'aide du débogage du moteur de pare-feu

- Vérification 4. Vérification de la fonctionnalité de propagation à état de liens

- Vérification 5. Configurer la traduction d'adresses réseau (NAT) statique

Solution

Présentation architecturale

Lorsque 2 interfaces FTD fonctionnent en mode Inline-pair, un paquet est traité comme indiqué dans l’image.

Remarque : seules les interfaces physiques peuvent être membres d'un ensemble de paires en ligne

Théorie de base

- Lorsque vous configurez une paire en ligne 2, les interfaces physiques sont pontées en interne

- Très similaire au système de prévention des intrusions (IPS) en ligne classique

- Disponible en modes de déploiement routé ou transparent

- La plupart des fonctions du moteur LINA (NAT, routage, etc.) ne sont pas disponibles pour les flux qui passent par une paire en ligne

- Le trafic de transit peut être abandonné

- Quelques vérifications du moteur LINA sont appliquées ainsi que des vérifications complètes du moteur Snort

Le dernier point peut être visualisé comme le montre l'image :

Vérification 1. Avec l'utilisation de Packet-Tracer

La sortie de packet-tracer qui émule un paquet qui traverse la paire en ligne avec les points importants mis en surbrillance :

> packet-tracer input INSIDE tcp 192.168.201.50 1111 192.168.202.50 80

Phase: 1

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 2

Type: NGIPS-MODE

Subtype: ngips-mode

Result: ALLOW

Config:

Additional Information:

The flow ingressed an interface configured for NGIPS mode and NGIPS services is be applied

Phase: 3

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268438528

access-list CSM_FW_ACL_ remark rule-id 268438528: ACCESS POLICY: FTD4100 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268438528: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet is sent to snort for additional processing where a verdict is reached

Phase: 4

Type: NGIPS-EGRESS-INTERFACE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

Ingress interface INSIDE is in NGIPS inline mode.

Egress interface OUTSIDE is determined by inline-set configuration

Phase: 5

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 106, packet dispatched to next module

Result:

input-interface: INSIDE

input-status: up

input-line-status: up

Action: allow

>

Vérification 2. Envoi de paquets TCP SYN/ACK par paire en ligne

Vous pouvez générer des paquets TCP SYN/ACK à l'aide d'un paquet conçu par un utilitaire tel que Scapy. Cette syntaxe génère 3 paquets avec des indicateurs SYN/ACK activés :

root@KALI:~# scapy

INFO: Can't import python gnuplot wrapper . Won't be able to plot.

WARNING: No route found for IPv6 destination :: (no default route?)

Welcome to Scapy (2.2.0)

>>> conf.iface='eth0'

>>> packet = IP(dst="192.168.201.60")/TCP(flags="SA",dport=80)

>>> syn_ack=[]

>>> for i in range(0,3): # Send 3 packets

...  syn_ack.extend(packet)

...

>>> send(syn_ack)

Activez cette capture sur l'interface de ligne de commande FTD et envoyez quelques paquets TCP SYN/ACK :

> capture CAPI interface INSIDE trace match ip host 192.168.201.60 any

> capture CAPO interface OUTSIDE match ip host 192.168.201.60 any

>

Après avoir envoyé les paquets via le FTD, vous pouvez voir une connexion qui a été créée :

> show conn detail

1 in use, 34 most used

Flags: A - awaiting responder ACK to SYN, a - awaiting initiator ACK to SYN,

b - TCP state-bypass or nailed,

C - CTIQBE media, c - cluster centralized,

D - DNS, d - dump, E - outside back connection, e - semi-distributed,

F - initiator FIN, f - responder FIN,

G - group, g - MGCP, H - H.323, h - H.225.0, I - initiator data,

i - incomplete, J - GTP, j - GTP data, K - GTP t3-response

k - Skinny media, M - SMTP data, m - SIP media, N - inspected by Snort, n - GUP

O - responder data, P - inside back connection,

q - SQL*Net data, R - initiator acknowledged FIN,

R - UDP SUNRPC, r - responder acknowledged FIN,

T - SIP, t - SIP transient, U - up,

V - VPN orphan, v - M3UA W - WAAS,

w - secondary domain backup,

X - inspected by service module,

x - per session, Y - director stub flow, y - backup stub flow,

Z - Scansafe redirection, z - forwarding stub flow

TCP Inline-Pair-1:OUTSIDE(OUTSIDE): 192.168.201.60/80 Inline-Pair-1:INSIDE(INSIDE): 192.168.201.50/20,

flags b N, idle 13s, uptime 13s, timeout 1h0m, bytes 0

>

Remarque : b flag - Un ASA classique abandonnerait un paquet SYN/ACK non sollicité à moins que le contournement d'état TCP soit activé. Une interface FTD en mode Inline Pair gère une connexion TCP en mode de contournement d'état TCP et ne supprime pas les paquets TCP qui n'appartiennent pas aux connexions existantes.

Remarque : indicateur N - Le paquet est inspecté par le moteur FTD Snort.

Les captures le prouvent, puisque vous pouvez voir les 3 paquets qui traversent le FTD :

> show capture CAPI

3 packets captured

1: 15:27:54.327146       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

2: 15:27:54.330000       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

3: 15:27:54.332517       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

3 packets shown

>

3 paquets quittent le périphérique FTD :

> show capture CAPO

3 packets captured

1: 15:27:54.327299       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

2: 15:27:54.330030       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

3: 15:27:54.332548       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

3 packets shown

>

Avec la trace du premier paquet de capture révèle quelques informations supplémentaires comme le verdict du moteur Snort :

> show capture CAPI packet-number 1 trace

3 packets captured

1: 15:27:54.327146       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: NGIPS-MODE

Subtype: ngips-mode

Result: ALLOW

Config:

Additional Information:

The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268438528

access-list CSM_FW_ACL_ remark rule-id 268438528: ACCESS POLICY: FTD4100 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268438528: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet is sent to snort for additional processing where a verdict is reached

Phase: 5

Type: NGIPS-EGRESS-INTERFACE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

Ingress interface INSIDE is in NGIPS inline mode.

Egress interface OUTSIDE is determined by inline-set configuration

Phase: 6

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 282, packet dispatched to next module

Phase: 7

Type: EXTERNAL-INSPECT

Subtype:

Result: ALLOW

Config:

Additional Information:

Application: 'SNORT Inspect'

Phase: 8

Type: SNORT

Subtype:

Result: ALLOW

Config:

Additional Information:

Snort Verdict: (pass-packet) allow this packet

Phase: 9

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Result:

input-interface: OUTSIDE

input-status: up

input-line-status: up

Action: allow

1 packet shown

>

Avec le suivi du deuxième paquet capturé montre que le paquet correspond à une connexion courante de sorte qu'il contourne la vérification de l'ACL, mais est toujours inspecté par le moteur Snort :

> show capture CAPI packet-number 2 trace

3 packets captured

2: 15:27:54.330000       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: FLOW-LOOKUP

Subtype:ing

Result: ALLOW

Config:

Additional Information:

Found flow with id 282, using current flow

Phase: 4

Type: EXTERNAL-INSPECT

Subtype:

Result: ALLOW

Config:

Additional Information:

Application: 'SNORT Inspect'

Phase: 5

Type: SNORT

Subtype:

Result: ALLOW

Config:

Additional Information:

Snort Verdict: (pass-packet) allow this packet

Phase: 6

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Result:

input-interface: OUTSIDE

input-status: up

input-line-status: up

Action: allow

1 packet shown

>

Vérification 3. Débogage du moteur de pare-feu pour le trafic autorisé

Le débogage du moteur de pare-feu s'exécute sur des composants spécifiques du moteur FTD Snort Engine comme la politique de contrôle d'accès, comme illustré dans l'image :

Lorsque vous envoyez les paquets TCP SYN/ACK via la paire en ligne, vous pouvez voir dans le résultat du débogage :

> system support firewall-engine-debug

Please specify an IP protocol: tcp

Please specify a client IP address:

Please specify a client port:

Please specify a server IP address: 192.168.201.60

Please specify a server port: 80

Monitoring firewall engine debug messages

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 New session

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 using HW or preset rule order 3, id 268438528 action Allow and prefilter rule 0

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 allow action

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 Deleting session

Vérification 4. Vérification de la propagation à état de liens

Activez le journal de mémoire tampon sur FTD et arrêtez le port de commutation connecté à l'interface e1/6. Sur l'interface de ligne de commande FTD, vous devez voir que les deux interfaces sont désactivées :

> show interface ip brief

Interface                  IP-Address      OK? Method Status                Protocol

Internal-Data0/0           unassigned      YES unset  up                    up

Internal-Data0/1           unassigned      YES unset  up                    up

Internal-Data0/2           169.254.1.1     YES unset  up                    up

Ethernet1/6                unassigned      YES unset  down                  down

Ethernet1/7                unassigned      YES unset  up                    up

Ethernet1/8                unassigned      YES unset  administratively down up

>

Les journaux FTD indiquent :

> show log

Jan 03 2017 15:53:19: %ASA-4-411002: Line protocol on Interface Ethernet1/6, changed state to down

Jan 03 2017 15:53:19: %ASA-4-411004: Interface OUTSIDE, changed state to administratively down

Jan 03 2017 15:53:19: %ASA-4-411004: Interface Ethernet1/8, changed state to administratively down

Jan 03 2017 15:53:19: %ASA-4-812005: Link-State-Propagation activated on inline-pair due to failure of interface Ethernet1/6(INSIDE) bringing down pair interface Ethernet1/8(OUTSIDE)

>

L'état de l'ensemble en ligne indique l'état des 2 membres d'interface :

> show inline-set

Inline-set Inline-Pair-1

Mtu is 1500 bytes

Failsafe mode is on/activated

Failsecure mode is off

Tap mode is off

Propagate-link-state option is on

hardware-bypass mode is disabled

Interface-Pair[1]:

Interface: Ethernet1/6 "INSIDE"

Current-Status: Down(Propagate-Link-State-Activated)

Interface: Ethernet1/8 "OUTSIDE"

Current-Status: Down(Down-By-Propagate-Link-State)

Bridge Group ID: 509

>

Notez la différence d’état des 2 interfaces :

> show interface e1/6

Interface Ethernet1/6 "INSIDE", is down, line protocol is down

Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec

MAC address 5897.bdb9.770e, MTU 1500

IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1

Propagate-Link-State-Activated

IP address unassigned

Traffic Statistics for "INSIDE":

3393 packets input, 234923 bytes

120 packets output, 49174 bytes

1 packets dropped

1 minute input rate 0 pkts/sec,  0 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  6 bytes/sec

5 minute output rate 0 pkts/sec,  3 bytes/sec

5 minute drop rate, 0 pkts/sec

>

Et pour l’interface Ethernet1/8 :

> show interface e1/8

Interface Ethernet1/8 "OUTSIDE", is administratively down, line protocol is up

Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec

MAC address 5897.bdb9.774d, MTU 1500

IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1

Down-By-Propagate-Link-State

IP address unassigned

Traffic Statistics for "OUTSIDE":

120 packets input, 46664 bytes

3391 packets output, 298455 bytes

0 packets dropped

1 minute input rate 0 pkts/sec,  0 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  3 bytes/sec

5 minute output rate 0 pkts/sec,  8 bytes/sec

5 minute drop rate, 0 pkts/sec

>

Après avoir réactivé le port de commutation, les journaux FTD affichent :

> show log

...

Jan 03 2017 15:59:35: %ASA-4-411001: Line protocol on Interface Ethernet1/6, changed state to up

Jan 03 2017 15:59:35: %ASA-4-411003: Interface Ethernet1/8, changed state to administratively up

Jan 03 2017 15:59:35: %ASA-4-411003: Interface OUTSIDE, changed state to administratively up

Jan 03 2017 15:59:35: %ASA-4-812006: Link-State-Propagation de-activated on inline-pair due to recovery of interface Ethernet1/6(INSIDE) bringing up pair interface Ethernet1/8(OUTSIDE)

>

Vérification 5. Configuration de la NAT statique

Solution

NAT n'est pas pris en charge pour les interfaces qui fonctionnent en mode inline, inline tap ou passive :

https://www.cisco.com/c/en/us/td/docs/security/firepower/601/configuration/guide/fpmc-config-guide-v601/Network_Address_Translation__NAT__for_Threat_Defense.html

Block Packet on Inline Pair Interface Mode

Créez une règle de blocage, envoyez du trafic via la paire FTD Inline et observez le comportement illustré dans l'image.

Solution

Activez la capture avec trace et envoyez les paquets SYN/ACK via la paire en ligne FTD. Le trafic est bloqué :

> show capture

capture CAPI type raw-data trace interface INSIDE [Capturing - 210 bytes]

match ip host 192.168.201.60 any

capture CAPO type raw-data interface OUTSIDE [Capturing - 0 bytes]

match ip host 192.168.201.60 any

Avec le suivi, un paquet révèle :

> show capture CAPI packet-number 1 trace

3 packets captured

1: 16:12:55.785085       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: NGIPS-MODE

Subtype: ngips-mode

Result: ALLOW

Config:

Additional Information:

The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: DROP

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start

access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1

access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1

Additional Information:

Result:

input-interface: INSIDE

input-status: up

input-line-status: up

Action: drop

Drop-reason: (acl-drop) Flow is denied by configured rule

1 packet shown

Dans cette trace, on peut voir que le paquet a été abandonné par le moteur FTD LINA et n'a pas été transféré au moteur FTD Snort.

Configurer Le Mode Paire En Ligne Avec Touche

Activez le mode Tap sur la paire en ligne.

Solution

Accédez à Périphériques > Gestion des périphériques > Jeux en ligne > Modifier le jeu en ligne > Avancé et activez Toucher le mode comme indiqué dans l'image.

Vérification

> show inline-set

Inline-set Inline-Pair-1

Mtu is 1500 bytes

Failsafe mode is on/activated

Failsecure mode is off

Tap mode is on

Propagate-link-state option is on

hardware-bypass mode is disabled

Interface-Pair[1]:

Interface: Ethernet1/6 "INSIDE"

Current-Status: UP

Interface: Ethernet1/8 "OUTSIDE"

Current-Status: UP

Bridge Group ID: 0

>

Vérification de la paire FTD Inline avec fonctionnement de l'interface Tap

Théorie de base

- Lorsque vous configurez une paire en ligne avec Tap 2, les interfaces physiques sont pontées en interne

- Il est disponible en mode de déploiement routé ou transparent

- La plupart des fonctions du moteur LINA (NAT, routage, etc.) ne sont pas disponibles pour les flux qui passent par la paire en ligne

- Le trafic réel ne peut pas être abandonné

- Quelques vérifications de moteur LINA sont appliquées avec des vérifications de moteur Snort complètes à une copie du trafic réel

Le dernier point est comme illustré sur l'image :

La paire en ligne avec le mode Tap ne supprime pas le trafic de transit. Avec la trace d'un paquet, il confirme ceci :

> show capture CAPI packet-number 2 trace

3 packets captured

2: 13:34:30.685084       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: NGIPS-MODE

Subtype: ngips-mode

Result: ALLOW

Config:

Additional Information:

The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: WOULD HAVE DROPPED

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start

access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1

access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1

Additional Information:

Result:

input-interface: INSIDE

input-status: up

input-line-status: up

Action: Access-list would have dropped, but packet forwarded due to inline-tap

1 packet shown

>

Paire en ligne et Etherchannel

Vous pouvez configurer la paire en ligne avec etherchannel de deux manières :

1. Etherchannel terminé sur FTD

2. Etherchannel passe par le FTD (nécessite le code FXOS 2.3.1.3 et versions ultérieures)

Etherchannel terminé sur FTD

Etherchannels sur SW-A :

SW-A# show etherchannel summary | i Po33|Po55

33     Po33(SU)        LACP      Gi3/11(P)

35     Po35(SU)        LACP      Gi2/33(P)

Etherchannels sur SW-B :

SW-B# show etherchannel summary | i Po33|Po55

33     Po33(SU)        LACP        Gi1/0/3(P)

55     Po55(SU)        LACP        Gi1/0/4(P)

Le trafic est transféré via le FTD actif en fonction de l’apprentissage des adresses MAC :

SW-B# show mac address-table address 0017.dfd6.ec00

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

201    0017.dfd6.ec00    DYNAMIC     Po33

Total Mac Addresses for this criterion: 1

Le jeu en ligne sur FTD :

FTD# show inline-set

Inline-set SET1

Mtu is 1500 bytes

Fail-open for snort down is on

Fail-open for snort busy is off

Tap mode is off

Propagate-link-state option is off

hardware-bypass mode is disabled

Interface-Pair[1]:

Interface: Port-channel3 "INSIDE"

Current-Status: UP

Interface: Port-channel5 "OUTSIDE"

Current-Status: UP

Bridge Group ID: 775

Remarque : en cas de basculement FTD, la panne du trafic dépend principalement du temps nécessaire aux commutateurs pour apprendre l'adresse MAC de l'homologue distant.

Etherchannel via le FTD

Etherchannels sur SW-A :

SW-A# show etherchannel summary | i Po33|Po55

33     Po33(SU)        LACP      Gi3/11(P)

55     Po55(SD)        LACP      Gi3/7(I)

Les paquets LACP via le FTD de secours sont bloqués :

FTD# capture ASP type asp-drop fo-standby

FTD# show capture ASP | i 0180.c200.0002

29: 15:28:32.658123       a0f8.4991.ba03 0180.c200.0002 0x8809 Length: 124

70: 15:28:47.248262       f0f7.556a.11e2 0180.c200.0002 0x8809 Length: 124

Etherchannels sur SW-B :

SW-B# show etherchannel summary | i Po33|Po55

33     Po33(SU)        LACP        Gi1/0/3(P)

55     Po55(SD)        LACP        Gi1/0/4(s)

Le trafic est transféré via le FTD actif en fonction de l’apprentissage des adresses MAC :

SW-B# show mac address-table address 0017.dfd6.ec00

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

201    0017.dfd6.ec00    DYNAMIC     Po33

Total Mac Addresses for this criterion: 1

Le jeu en ligne sur FTD :

FTD# show inline-set

Inline-set SET1

Mtu is 1500 bytes

Fail-open for snort down is on

Fail-open for snort busy is off

Tap mode is off

Propagate-link-state option is off

hardware-bypass mode is disabled

Interface-Pair[1]:

Interface: Ethernet1/3 "INSIDE"

Current-Status: UP

Interface: Ethernet1/5 "OUTSIDE"

Current-Status: UP

Bridge Group ID: 519

Attention : dans ce scénario, en cas d'événement de basculement FTD, le temps de convergence dépend principalement de la négociation Etherchannel LACP et le temps nécessaire à la panne peut être plus long. Si le mode Etherchannel est ON (pas de LACP), le temps de convergence dépend de l'apprentissage des adresses MAC.

Dépannage

Aucune information spécifique n'est actuellement disponible pour cette configuration.

Comparaison : Paire en ligne vs Paire en ligne avec robinet

Paire en ligne

Paire en ligne avec Tap

show inline-set

> show inline-set

Inline-set Inline-Pair-1

Mtu est de 1 500 octets

Le mode FailSafe est activé/activé

Le mode Failsecure est désactivé

Le mode Effleurement est désactivé

L'option Propagate-link-state est activée

le mode de contournement matériel est désactivé

Paire-Interface[1] :

Interface : Ethernet1/6 « INSIDE »

État actuel : UP

Interface : Ethernet1/8 "EXTÉRIEUR"

État actuel : UP

ID du groupe de ponts : 509

>

> show inline-set

Inline-set Inline-Pair-1

Mtu est de 1 500 octets

Le mode FailSafe est activé/activé

Le mode Failsecure est désactivé

Le mode Effleurement est activé

L'option Propagate-link-state est activée

le mode de contournement matériel est désactivé

Paire-Interface[1] :

Interface : Ethernet1/6 « INSIDE »

État actuel : UP

Interface : Ethernet1/8 "EXTÉRIEUR"

État actuel : UP

ID du groupe de ponts : 0

>

show interface

> show interface e1/6

Interface Ethernet1/6 « INSIDE », activée, protocole de ligne activé

Le matériel est EtherSVI, BW 1000 Mbits/s, DLY 1000 usec

Adresse MAC 5897.bdb9.770e, MTU 1500

Mode d'interface IPS : Inline, Inline-Set : Inline-Pair-1

Adresse IP non attribuée

Statistiques de trafic pour "INSIDE" :

3 957 paquets en entrée, 264913 octets

144 paquets en sortie, 58664 octets

4 paquets abandonnés

Débit d'entrée de 1 minute 0 pkts/sec, 26 octets/sec

Débit de sortie de 1 minute 0 pqts/sec, 7 octets/sec

Taux d'abandon de 1 minute, 0 pqts/sec

Débit d'entrée de 5 minutes 0 pkts/sec, 28 octets/sec

Débit de sortie de 5 minutes 0 pkts/sec, 9 octets/sec

Taux d'abandon de 5 minutes, 0 pqt/s

> show interface e1/8

Interface Ethernet1/8 « OUTSIDE », activée, protocole de ligne activé

Le matériel est EtherSVI, BW 1000 Mbits/s, DLY 1000 usec

Adresse MAC 5897.bdb9.774d, MTU 1500

Mode d'interface IPS : Inline, Inline-Set : Inline-Pair-1

Adresse IP non attribuée

Statistiques de trafic pour "OUTSIDE" :

144 paquets en entrée, 55634 octets

3 954 paquets en sortie, 339987 octets

0 paquet abandonné

Débit d'entrée de 1 minute 0 pqts/sec, 7 octets/sec

Débit de sortie de 1 minute 0 pkts/sec, 37 octets/sec

Taux d'abandon de 1 minute, 0 pqts/sec

Débit d'entrée de 5 minutes 0 pqts/sec, 8 octets/sec

Débit de sortie de 5 minutes 0 pkts/sec, 39 octets/sec

Taux d'abandon de 5 minutes, 0 pqt/s

>

> show interface e1/6

Interface Ethernet1/6 « INSIDE », activée, protocole de ligne activé

Le matériel est EtherSVI, BW 1000 Mbits/s, DLY 1000 usec

Adresse MAC 5897.bdb9.770e, MTU 1500

Mode d'interface IPS : inline-tap, Inline-Set : Inline-Pair-1

Adresse IP non attribuée

Statistiques de trafic pour "INSIDE" :

24 paquets en entrée, 1 378 octets

0 paquet en sortie, 0 octet

24 paquets abandonnés

Débit d'entrée de 1 minute 0 pqts/sec, 0 octets/sec

Débit de sortie de 1 minute 0 pqts/sec, 0 octets/sec

Taux d'abandon de 1 minute, 0 pqts/sec

Débit d'entrée de 5 minutes 0 pqts/sec, 0 octets/sec

Débit de sortie de 5 minutes 0 pkts/sec, 0 octets/sec

Taux d'abandon de 5 minutes, 0 pqt/s

> show interface e1/8

Interface Ethernet1/8 « OUTSIDE », activée, protocole de ligne activé

Le matériel est EtherSVI, BW 1000 Mbits/s, DLY 1000 usec

Adresse MAC 5897.bdb9.774d, MTU 1500

Mode d'interface IPS : inline-tap, Inline-Set : Inline-Pair-1

Adresse IP non attribuée

Statistiques de trafic pour "OUTSIDE" :

1 paquet en entrée, 441 octets

0 paquet en sortie, 0 octet

1 paquets abandonnés

Débit d'entrée de 1 minute 0 pqts/sec, 0 octets/sec

Débit de sortie de 1 minute 0 pqts/sec, 0 octets/sec

Taux d'abandon de 1 minute, 0 pqts/sec

Débit d'entrée de 5 minutes 0 pqts/sec, 0 octets/sec

Débit de sortie de 5 minutes 0 pkts/sec, 0 octets/sec

Taux d'abandon de 5 minutes, 0 pqt/s

>

Pour traiter un paquet avec une règle de blocage

> show capture CAPI packet-number 1 trace

3 paquets capturés

1: 16:12:55.785085 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

Phase : 1

Type : CAPTURE

Sous-type :

Résultat : ALLOW

Config :

Informations supplémentaires:

Liste d'accès MAC

Phase : 2

Type : ACCESS-LIST

Sous-type :

Résultat : ALLOW

Config :

Règle Implicite

Informations supplémentaires:

Liste d'accès MAC

Phase : 3

Type : NGIPS-MODE

Sous-type : ngips-mode

Résultat : ALLOW

Config :

Informations supplémentaires:

Le flux a pénétré dans une interface configurée pour le mode NGIPS et les services NGIPS est appliqué

Phase : 4

Type : ACCESS-LIST

Sous-type : log

Résultat : DROP

Config :

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start

access-list CSM_FW_ACL_ remark rule-id 268441600 : POLITIQUE D'ACCÈS : FTD4100 - Obligatoire/1

access-list CSM_FW_ACL_ remark rule-id 268441600 : L4 RULE : Règle 1

Informations supplémentaires:

Résultat :

input-interface : INSIDE

input-status : up

input-line-status : up

Action : abandonner

Raison de l'abandon : (acl-drop) le flux est refusé par la règle configurée

1 paquet affiché

>

> show capture CAPI packet-number 1 trace

3 paquets capturés

1: 16:56:02.631437 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192

Phase : 1

Type : CAPTURE

Sous-type :

Résultat : ALLOW

Config :

Informations supplémentaires:

Liste d'accès MAC

Phase : 2

Type : ACCESS-LIST

Sous-type :

Résultat : ALLOW

Config :

Règle Implicite

Informations supplémentaires:

Liste d'accès MAC

Phase : 3

Type : NGIPS-MODE

Sous-type : ngips-mode

Résultat : ALLOW

Config :

Informations supplémentaires:

Le flux a pénétré dans une interface configurée pour le mode NGIPS et les services NGIPS est appliqué

Phase : 4

Type : ACCESS-LIST

Sous-type : log

Résultat : AURAIT ABANDONNÉ

Config :

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start

access-list CSM_FW_ACL_ remark rule-id 268441600 : POLITIQUE D'ACCÈS : FTD4100 - Obligatoire/1

access-list CSM_FW_ACL_ remark rule-id 268441600 : L4 RULE : Règle 1

Informations supplémentaires:

Résultat :

input-interface : INSIDE

input-status : up

input-line-status : up

Action : la liste de contrôle d'accès aurait été abandonnée, mais le paquet aurait été transféré en raison de la touche en ligne

1 paquet affiché

>

Résumé

- Lorsque vous utilisez le mode Inline Pair, le paquet passe principalement par le moteur FTD Snort

- Les connexions TCP sont traitées en mode de contournement d’état TCP

- Du point de vue du moteur FTD LINA, une stratégie ACL est appliquée

- Lorsque le mode Paire en ligne est utilisé, les paquets peuvent être bloqués puisqu'ils sont traités en ligne

- Lorsque le mode Tap est activé, une copie du paquet est inspectée et abandonnée en interne pendant que le trafic réel passe par FTD sans modification

Informations connexes

- Cisco Firepower NGFW

- Assistance et documentation techniques - Cisco Systems