Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Prodotti correlati

Premesse

Configurazione

Esempio di rete

Configurazione di un'interfaccia di routing e di una sottointerfaccia

Passaggio 1. Configurazione dell'interfaccia logica

Passaggio 2. Configurazione dell'interfaccia fisica

Operazione interfaccia ciclo FTD

Panoramica sull'interfaccia di routing FTD

Verifica

Traccia un pacchetto sull'interfaccia di routing FTD

Informazioni correlate

Introduzione

In questo documento viene descritta la configurazione, la verifica e il funzionamento di un'interfaccia a coppia inline su un accessorio Firepower Threat Defense (FTD).

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- ASA5512-X - codice FTD 6.1.0.x

- Firepower Management Center (FMC) - codice 6.1.0.x

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Prodotti correlati

Il presente documento può essere utilizzato anche per le seguenti versioni hardware e software:

- ASA5506-X, ASA5506W-X, ASA5506H-X, ASA5508-X, ASA5516-X

- ASA5512-X, ASA5515-X, ASA5525-X, ASA5545-X, ASA5555-X

- FPR2100, FPR4100, FPR9300

- VMware (ESXi), Amazon Web Services (AWS), Kernel-based Virtual Machine (KVM)

- Codice software FTD 6.2.x e versioni successive

Premesse

Firepower Threat Defense (FTD) fornisce due modalità di distribuzione e sei modalità di interfaccia, come mostrato in questa immagine:

Nota: è possibile utilizzare più modalità di interfaccia su un unico accessorio FTD.

Panoramica di alto livello delle diverse modalità di installazione FTD e interfaccia:

Interfaccia FTD modalità

Modalità di distribuzione FTD

Descrizione

Il traffico può essere interrotto

Stesura

Stesura

Controlli completi del motore LINA e del motore Snort

Sì

Commutato

Trasparente

Controlli completi del motore LINA e del motore Snort

Sì

Coppia inline

Routed o Transparent

Controlli parziali del motore LINA e completi del motore Snort

Sì

Coppia inline con tap

Routed o Transparent

Controlli parziali del motore LINA e completi del motore Snort

No

Passivo

Routed o Transparent

Controlli parziali del motore LINA e completi del motore Snort

No

Passivo (ERSPAN)

Stesura

Controlli parziali del motore LINA e completi del motore Snort

No

Configurazione

Esempio di rete

Configurazione di un'interfaccia di routing e di una sottointerfaccia

Configurare la sottointerfaccia G0/0.201 e l'interfaccia G0/1 in base ai seguenti requisiti:

Interfaccia

G0/0,201

G0/1

Nome

INTERNO

ESTERNO

Area di sicurezza

AREA_INTERNA

AREA_ESTERNA

Descrizione

INTERNO

ESTERNO

ID sottointerfaccia

201

-

ID VLAN

201

-

IPv4

192.168.201.1/24

192.168.202.1/24

Duplex/velocità

Auto

Auto

Soluzione

Passaggio 1. Configurazione dell'interfaccia logica

Passare a Dispositivi > Gestione dispositivi, selezionare il dispositivo appropriato e fare clic sull'icona Modifica:

Selezionare Add Interfaces > Sub Interface:

Configurare le impostazioni della sottointerfaccia in base ai requisiti:

Impostazioni IP interfaccia:

Sotto l'interfaccia fisica (Gigabit Ethernet0/0) specificare le impostazioni duplex e velocità:

Abilitare l'interfaccia fisica (G0/0 in questo caso):

Passaggio 2. Configurazione dell'interfaccia fisica

Modificare l'interfaccia fisica Gigabit Ethernet 0/1 in base ai requisiti:

- Per l'interfaccia di routing la modalità è: Nessuna

- Il nome è equivalente al nome dell'interfaccia ASA se

- Su FTD tutte le interfacce hanno il livello di protezione = 0

- same-security-traffic non è applicabile su FTD. Il traffico tra le interfacce FTD (inter) e (intra) è consentito per impostazione predefinita

Selezionare Salva e distribuisci.

Verifica

Dalla GUI del CCP:

Dalla CLI FTD:

> show interface ip brief

Interface                  IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0         unassigned      YES unset  up                    up

GigabitEthernet0/0.201     192.168.201.1   YES manual up                    up

GigabitEthernet0/1         192.168.202.1   YES manual up                    up

GigabitEthernet0/2         unassigned      YES unset  administratively down down

GigabitEthernet0/3         unassigned      YES unset  administratively down down

GigabitEthernet0/4         unassigned      YES unset  administratively down down

GigabitEthernet0/5         unassigned      YES unset  administratively down down

Internal-Control0/0        127.0.1.1       YES unset  up                    up

Internal-Data0/0           unassigned      YES unset  up                    up

Internal-Data0/1           unassigned      YES unset  up                    up

Internal-Data0/2           169.254.1.1     YES unset  up                    up

Management0/0              unassigned      YES unset  up                    up

> show ip

System IP Addresses:

Interface                Name                   IP address      Subnet mask     Method

GigabitEthernet0/0.201   INSIDE                 192.168.201.1   255.255.255.0   manual

GigabitEthernet0/1       OUTSIDE                192.168.202.1   255.255.255.0   manual

Current IP Addresses:

Interface                Name                   IP address      Subnet mask     Method

GigabitEthernet0/0.201   INSIDE                 192.168.201.1   255.255.255.0   manual

GigabitEthernet0/1       OUTSIDE                192.168.202.1   255.255.255.0   manual

Correlazione tra GUI FMC e CLI FTD:

> show interface g0/0.201

Interface GigabitEthernet0/0.201 "INSIDE", is up, line protocol is up

Hardware is i82574L rev00, BW 1000 Mbps, DLY 10 usec

VLAN identifier 201

Description: INTERNAL

MAC address a89d.21ce.fdea, MTU 1500

IP address 192.168.201.1, subnet mask 255.255.255.0

Traffic Statistics for "INSIDE":

1 packets input, 28 bytes

1 packets output, 28 bytes

0 packets dropped

> show interface g0/1

Interface GigabitEthernet0/1 "OUTSIDE", is up, line protocol is up

Hardware is i82574L rev00, BW 1000 Mbps, DLY 10 usec

Auto-Duplex(Full-duplex), Auto-Speed(1000 Mbps)

Input flow control is unsupported, output flow control is off

Description: EXTERNAL

MAC address a89d.21ce.fde7, MTU 1500

IP address 192.168.202.1, subnet mask 255.255.255.0

0 packets input, 0 bytes, 0 no buffer

Received 0 broadcasts, 0 runts, 0 giants

0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort

0 pause input, 0 resume input

0 L2 decode drops

1 packets output, 64 bytes, 0 underruns

0 pause output, 0 resume output

0 output errors, 0 collisions, 12 interface resets

0 late collisions, 0 deferred

0 input reset drops, 0 output reset drops

input queue (blocks free curr/low): hardware (511/511)

output queue (blocks free curr/low): hardware (511/511)

Traffic Statistics for "OUTSIDE":

0 packets input, 0 bytes

0 packets output, 0 bytes

0 packets dropped

1 minute input rate 0 pkts/sec,  0 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  0 bytes/sec

5 minute output rate 0 pkts/sec,  0 bytes/sec

5 minute drop rate, 0 pkts/sec

>

Operazione interfaccia ciclo FTD

Verificare il flusso del pacchetto FTD quando le interfacce di routing sono in uso.

Soluzione

Panoramica dell'architettura FTD

Panoramica generale del piano dati FTD:

L'immagine mostra alcuni dei controlli eseguiti all'interno di ciascun motore:

Punti chiave

- I controlli inferiori corrispondono al percorso dei dati del motore LINA FTD

- I controlli all'interno della casella blu corrispondono all'istanza del motore Snort FTD

Panoramica sull'interfaccia di routing FTD

- Disponibile solo in Distribuzione con routing

- Implementazione tradizionale del firewall L3

- Una o più interfacce instradabili fisiche o logiche (VLAN)

- Consente di configurare funzionalità quali i protocolli NAT o Dynamic Routing

- I pacchetti vengono inoltrati in base alla ricerca route e l'hop successivo viene risolto in base alla ricerca ARP

- Traffico effettivo può essere eliminato

- I controlli completi del motore LINA vengono applicati insieme ai controlli completi del motore Snort

L'ultimo punto può essere visualizzato nel modo seguente:

Verifica

Traccia un pacchetto sull'interfaccia di routing FTD

Esempio di rete

Utilizzare packet-tracer con i seguenti parametri per visualizzare i criteri applicati:

Interfaccia di ingresso

INTERNO

Protocollo/servizio

porta TCP 80

IP di origine

192.168.201.100

IP di destinazione

192.168.202.100

Soluzione

Quando si usa un'interfaccia di routing, il pacchetto viene elaborato in modo simile all'interfaccia ASA classica. Controlli quali Ricerca route, Modular Policy Framework (MPF), NAT, Ricerca ARP e così via vengono eseguiti nel percorso dati del motore LINA. Inoltre, se la Policy di controllo degli accessi lo richiede, il pacchetto viene ispezionato dal motore Snort (una delle istanze Snort), dove viene generato un verdetto che viene restituito al motore LINA:

> packet-tracer input INSIDE tcp 192.168.201.100 11111 192.168.202.100 80

Phase: 1

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 192.168.202.100 using egress ifc  OUTSIDE

Phase: 2

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268437505

access-list CSM_FW_ACL_ remark rule-id 268437505: ACCESS POLICY: FTD5512 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268437505: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 3

Type: CONN-SETTINGS

Subtype:

Result: ALLOW

Config:

class-map class-default

match any

policy-map global_policy

class class-default

set connection advanced-options UM_STATIC_TCP_MAP

service-policy global_policy global

Additional Information:

Phase: 4

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 5

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 6

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 7

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 11336, packet dispatched to next module

Result:

input-interface: INSIDE

input-status: up

input-line-status: up

output-interface: OUTSIDE

output-status: up

output-line-status: up

Action: allow

>

Nota: nella fase 4 il pacchetto viene confrontato con una mappa TCP chiamata UM_STATIC_TCP_MAP. Questa è la mappa TCP predefinita su FTD.

firepower# show run all tcp-map

!

tcp-map UM_STATIC_TCP_MAP

no check-retransmission

no checksum-verification

exceed-mss allow

queue-limit 0 timeout 4

reserved-bits allow

syn-data allow

synack-data drop

invalid-ack drop

seq-past-window drop

tcp-options range 6 7 allow

tcp-options range 9 18 allow

tcp-options range 20 255 allow

tcp-options selective-ack allow

tcp-options timestamp allow

tcp-options window-scale allow

tcp-options mss allow

tcp-options md5 clear

ttl-evasion-protection

urgent-flag allow

window-variation allow-connection

!

>

Informazioni correlate

- Guida alla configurazione di Cisco Firepower Threat Defense per Firepower Device Manager, versione 6.1

- Installazione e aggiornamento di Firepower Threat Defense sui dispositivi ASA 55xx-X

- Cisco Secure Firewall Threat Defense

- Supporto tecnico e download Cisco