Sommario

Introduzione

D. Perché l'ASA invia i pacchetti al modulo IPS per l'ispezione quando non sono configurati criteri IPS?

Informazioni correlate

Introduzione

In questo documento viene descritto perché Cisco Adaptive Security Appliance (ASA) potrebbe inviare traffico a un modulo di servizio incorporato per l'ispezione quando non sono presenti criteri per i moduli IPS (Intrusion Prevention System) nella configurazione.

D. Perché l'ASA invia i pacchetti al modulo IPS per l'ispezione quando non sono configurati criteri IPS?

R.

È possibile che una connessione sia stata creata per inviare il traffico al modulo IPS per l'ispezione quando l'ASA è stata configurata e che la connessione sia ancora attiva.

Ad esempio, un cliente con ASA5515-IPS non ha configurato alcun criterio in una mappa dei criteri per inviare il traffico al modulo IPS del software; tuttavia, il traffico arriva al modulo dall'ASA.

Quando si usa la funzione di visualizzazione dei pacchetti sull'IPS, è possibile visualizzare il traffico che arriva all'IPS dall'appliance ASA:

14:34:38.341927 IP 192.168.1.2.1719 > 192.168.10.39.1888: UDP, length 128

14:34:38.341992 IP 192.168.1.2.1719 > 192.168.10.39.1888: UDP, length 128

14:34:38.345031 IP 192.168.1.2.1719 > 192.168.110.39.1888: UDP, length 34

14:34:38.345068 IP 192.168.1.2.1719 > 192.168.110.39.1888: UDP, length 34

Le statistiche sull'interfaccia di rilevamento IPS sono state cancellate e i pacchetti sono stati ricevuti:

sensor#  show interfaces portChannel

MAC statistics from interface PortChannel0/0

Interface function = Sensing interface

Description =

Media Type = backplane

Default Vlan = 0

InlineMode = Unpaired

Pair Status = N/A

Hardware Bypass Capable = No

Hardware Bypass Paired = N/A

Link Status = Up

Admin Enabled Status = Enabled

Link Speed = N/A

Link Duplex = N/A

Missed Packet Percentage = 0

Total Packets Received = 128

Total Bytes Received = 17904

Total Packets Transmitted = 128

Total Bytes Transmitted = 17904

La causa del problema è che in passato è stata aggiunta una configurazione all'appliance ASA per inviare il traffico al modulo IPS e le connessioni non sono state eliminate dopo la rimozione della configurazione IPS sull'appliance ASA. Questa condizione è comune ai protocolli non TCP che passano costantemente il traffico.

Sull'appliance ASA, immettere il comando show conn per determinare se i pacchetti visualizzati sul modulo IPS dispongono di voci di connessione. Per visualizzare i tempi di attività, immettere il comando show conn detail. Per verificare che le connessioni non vengano reindirizzate all'IPS, potrebbe essere necessario immettere il comando clear conn <indirizzo> sull'appliance ASA per cancellare le connessioni specifiche:

ASA# clear conn address 192.168.1.2

3 connection(s) deleted.

ASA#

Informazioni correlate

- Documentazione e supporto tecnico – Cisco Systems