Interpréter les indicateurs de connexion TCP de Firepower Threat Defense (établissement et déconnexion de connexion)

Introduction

Ce document décrit comment dépanner les connexions TCP par le biais de Firepower Threat Defense (FTD).

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Connaissances de base du protocole de communication TCP.
• Connaissances de base de l'interface CLI FTD.

Components Used

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Dépannage des connexions TCP

Lorsque vous dépannez des connexions TCP via le FTD, les indicateurs de connexion affichés pour chaque connexion fournissent une mine d'informations sur l'état des connexions TCP via le FTD. Ces informations peuvent être utilisées pour résoudre des problèmes avec le FTD, ainsi que des problèmes ailleurs dans le réseau.

Disclaimer: The information in this document was created based on FTD devices on version 7.0 in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, ensure that you understand the potential impact of any command.

Étant donné que toutes les interfaces FTD ont un niveau de sécurité de 0, l'ordre des interfaces dans show conn le résultat est basé sur le numéro d'interface. Plus précisément, l'interface avec un numéro d'interface de plate-forme virtuelle (VPIF) plus élevé est affichée en premier.

Disclaimer : The show conn output can be too long, hence it is recommended to use 'terminal pager' or write into a file saved in disk0: such as 'show conn | redirect filename.txt'

firepower# show conn
3 in use, 22 most used
Inspect Snort:
preserve-connection: 3 enabled, 0 in effect, 22 most enabled, 0 most in effect

TCP ISP2 192.168.50.14:35518 Inside 192.168.45.130:22, idle 0:10:00, bytes 7164, flags UIO N1
TCP ISP2 192.168.50.14:80 Inside 192.168.45.130:54554, idle 0:00:13, bytes 0, flags U N1
TCP Inside 192.168.45.130:34070 ISP1 10.31.104.78:3128, idle 0:00:02, bytes 1187822, flags UIO N1

Vous pouvez voir la valeur VPIF de l'interface à partir du résultat de show interface detailerasecat4000_flash:.

firepower# show interface detail | i Interface number is|Interface
Interface GigabitEthernet0/0 "ISP1", is up, line protocol is up
   Control Point Interface States:
 Interface number is 3
      Interface config status is active
      Interface state is active
Interface GigabitEthernet0/1 "Inside", is up, line protocol is up
   Control Point Interface States:
 Interface number is 4
      Interface config status is active
      Interface state is active
Interface GigabitEthernet0/2 "DMZ", is up, line protocol is up
   Control Point Interface States:
 Interface number is 5
      Interface config status is active
      Interface state is active
Interface GigabitEthernet0/3 "ISP2", is up, line protocol is up
   Control Point Interface States: 
 Interface number is 6
      Interface config status is active
      Interface state is active

Les show conn longet show conn detailfournissent des détails sur l'initiateur et le répondeur de la connexion.

firepower# show conn long
3 in use, 22 most used
Inspect Snort:
preserve-connection: 3 enabled, 0 in effect, 22 most enabled, 0 most in effect
Flags: A - awaiting responder ACK to SYN, a - awaiting initiator ACK to SYN,
B - TCP probe for server certificate,
b - TCP state-bypass or nailed,
C - CTIQBE media, c - cluster centralized,
D - DNS, d - dump, E - outside back connection, e - semi-distributed,
F - initiator FIN, f - responder FIN,
G - group, g - MGCP, H - H.323, h - H.225.0, I - initiator data,
i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
k - Skinny media, L - decap tunnel, M - SMTP data, m - SIP media
N - inspected by Snort (1 - preserve-connection enabled, 2 - preserve-connection in effect)
n - GUP, O - responder data, o - offloaded,
P - inside back connection, p - passenger flow
q - SQL*Net data, R - initiator acknowledged FIN,
R - UDP SUNRPC, r - responder acknowledged FIN,
T - SIP, t - SIP transient, U - up,
V - VPN orphan, v - M3UA W - WAAS,
w - secondary domain backup,
X - inspected by service module,
x - per session, Y - director stub flow, y - backup stub flow,
Z - Scansafe redirection, z - forwarding stub flow

TCP ISP2: 192.168.50.14/35518 (192.168.50.14/35518) Inside: 192.168.45.130/22 (192.168.45.130/22), flags UIO N1, idle 9m13s, uptime 9m17s, timeout 1h0m, bytes 7164
Initiator: 192.168.50.14, Responder: 192.168.45.130
Connection lookup keyid: 168317598

TCP ISP2: 192.168.50.14/80 (192.168.50.14/80) Inside: 192.168.45.130/54554 (192.168.45.130/54554), flags U N1, idle 0s, uptime 10s, timeout 1h0m, bytes 0
Initiator: 192.168.45.130, Responder: 192.168.50.14
Connection lookup keyid: 168367034

TCP Inside: 192.168.45.130/34070 (192.168.45.130/34070) ISP1: 10.31.104.78/3128 (10.31.104.78/3128), flags UIO N1, idle 0s, uptime 46s, timeout 1h0m, bytes 617331
Initiator: 192.168.45.130, Responder: 10.31.104.78
Connection lookup keyid: 168227654

Indicateurs de connexion TCP FTD

Ce tableau présente les indicateurs de connexion TCP FTD à différentes étapes de l'ordinateur d'état TCP. Dans FTD, les indicateurs de connexion sont les mêmes pour les connexions entrantes et sortantes puisque les niveaux de sécurité sont toujours '0'. Ces indicateurs peuvent être vus avec la commande show conn sur le FTD.

Valeurs d'indicateur de connexion TCP

Ce tableau présente les indicateurs de connexion TCP qui sont supprimés et ajoutés à la réception d'un paquet.

   

Pour afficher tous les indicateurs possibles dans une connexion, utilisez la commande show conn detail.

firepower# show conn detail
1 in use, 22 most used
Inspect Snort:
preserve-connection: 1 enabled, 0 in effect, 22 most enabled, 0 most in effect
Flags: A - awaiting responder ACK to SYN, a - awaiting initiator ACK to SYN,
B - TCP probe for server certificate,
b - TCP state-bypass or nailed,
C - CTIQBE media, c - cluster centralized,
D - DNS, d - dump, E - outside back connection, e - semi-distributed,
F - initiator FIN, f - responder FIN,
G - group, g - MGCP, H - H.323, h - H.225.0, I - initiator data,
i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
k - Skinny media, L - decap tunnel, M - SMTP data, m - SIP media
N - inspected by Snort (1 - preserve-connection enabled, 2 - preserve-connection in effect)
n - GUP, O - responder data, o - offloaded,
P - inside back connection, p - passenger flow
q - SQL*Net data, R - initiator acknowledged FIN,
R - UDP SUNRPC, r - responder acknowledged FIN,
T - SIP, t - SIP transient, U - up,
V - VPN orphan, v - M3UA W - WAAS,
w - secondary domain backup,
X - inspected by service module,
x - per session, Y - director stub flow, y - backup stub flow,
Z - Scansafe redirection, z - forwarding stub flow