Firepower Threat Defense(FTD)ポリシー導入のトラブルシューティング

概要

このドキュメントでは、FTDでのポリシー導入プロセスの概要と、基本的なトラブルシューティング手法について説明します。 

背景説明

さらにトラブルシューティングを行うために、 Cisco Firepower Threat Defense (FTD)、従来のステートフルファイアウォール機能 Adaptive Security Appliances (ASA)および Next-Gen ファイアウォール機能(Powered by Snort)が1つの製品に統合されました。

この変更により、 Policy Deployment Infrastructure FTDでは、ASAコード（LINAとも呼ばれる）と Snort 一つの包みにまとめて 

前提条件

次の製品に関する知識があることが推奨されます。

• Firepower Management Center (FMC)
• Firepower Threat Defense (FTD)

使用するコンポーネント

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

ポリシー導入の概要

Cisco FTDは、 Policy Deployments に登録されているデバイスの設定を管理およびプッシュする Firepower Management Center (FMC)自体。

導入環境内には、「フェーズ」に分かれた一連のステップがあります。

FMCの各フェーズの概要を次に示します。

フェーズ 0	導入の初期化
フェーズ 1	Database Objectコレクション
フェーズ 2	ポリシーとオブジェクトの収集
フェーズ 3	NGFWコマンドライン設定の生成
フェーズ 4	デバイス導入パッケージの生成
フェーズ 5	展開パッケージの送受信
フェーズ 6	保留中の展開、展開アクション、および展開成功メッセージ

プロセスの各フェーズと障害の発生場所に関する知識は、次のような障害のトラブルシューティングに役立ちます。 Firepower システム面

状況によっては、以前の設定による競合や、 Advanced Flex Configuration キーワードがないため、デバイスレポートで対処できない障害が発生する可能性があります。

概要例

ステップ1: Deploymentを選択します。

ステップ2：デバイスの導入がコミットされると、FMCはそのデバイスに関連するすべての設定の収集を開始します。 

ステップ3：設定が収集されると、FMCはパッケージを作成し、SFTunnelという通信メカニズムを介してセンサーに送信します。

ステップ4:FMCはセンサーに対して、個々の応答をリッスンしながら、指定されたポリシーで展開プロセスを開始するように通知します。

ステップ5：管理対象デバイスがアーカイブを解凍し、個々の設定とパッケージの適用を開始します。

A.導入の前半は、 Snort 設定 Snort 設定は、その有効性を確認するためにローカルでテストされます。

有効であることが確認されると、新しい設定は実稼働ディレクトリに移動され、 Snort.検証が失敗すると、このステップでポリシーの導入が失敗します。

B.展開パッケージのロードの後半は、ngfwManagerプロセスによってLINAプロセスに直接適用されるLINA設定用です。

障害が発生すると、変更がロールバックされ、ポリシーの展開が失敗します。

ステップ6：両方とも Snort LINAパッケージが成功すると、管理対象デバイスから信号が送られます Snort 新しい設定をロードし、現在のすべての設定を保存するために、再起動またはリロードします。

ステップ7：すべてのメッセージが成功すると、センサーは成功メッセージを送信し、Management Centerによって確認されるまで待機します。

ステップ8：受信されると、FMCはタスクを成功としてマークし、ポリシーバンドルの終了を許可します。

トラブルシューティング

次の間に発生した問題 Policy Deployment 以下が原因である可能性がありますが、これらに限定されません。

1. 誤設定
2. FMCとFTD間の通信
3. データベースとシステムの状態
4. ソフトウェア不具合および警告
5. その他の特殊な状況

これらの問題の中には、簡単に修正できるものもあれば、シスコの支援が必要なものもあります Technical Assistance Center (TAC).

このセクションの目的は、問題を切り分けたり、根本原因を特定したりする手法を提供することです。 

FMCグラフィカルユーザインターフェイス(GUI) 

シスコでは、FMCアプライアンスで導入の失敗が発生した場合の各トラブルシューティングセッションを開始することを推奨しています。

障害通知ウィンドウでは、6.2.3以降のすべてのバージョンに対して、他の障害の可能性に役立つ追加ツールがあります。 

導入トランスクリプトの利用

ステップ1: Deployments FMC Web UIにリストされます。

ステップ2: Deployments タブが選択されている場合は、 Show History.

ステップ3: Deployment History ボックスで、FMCから以前のすべての展開を確認できます。より多くのデータを表示する配置を選択します。

ステップ4：導入要素を選択したら、 Deployment Details 選択すると、 Transaction.これらのエントリは、次の列に分類されます。 Device Number, Device Name, Status,と Transcript.

ステップ5：問題のデバイスを選択し、トランスクリプトオプションをクリックして、個々の導入トランスクリプトを表示し、障害や管理対象デバイスに配置されている設定について通知します。

ステップ6：このトランスクリプトは、特定の障害状態を指定し、次のステップで非常に重要な番号を示すことができます。 Transaction ID.

ステップ7: Firepower Deployment,ページ Transaction ID は、ポリシー導入の各セクションを追跡するために使用できます。これにより、デバイスのコマンドラインで、修復と分析のためにこのデータのより詳細なバージョンを取得できます。

ヒント：トランザクションIDが見つからない場合、またはトランザクションIDが印刷される前のバージョンの場合は、このログを使用して個々の障害メッセージを特定できます。

FMCログによるトラブルシューティング

Cisco TACにログの分析を依頼することは適切ですが、ログを検索することで、最初の問題の切り分けと迅速な解決に役立つ場合があります。FMCには、ポリシー導入プロセスの詳細を示す複数のログファイルがあります。

最も一般的に参照される2つのログは次のとおりです policy_deployment.log と usmsharedsvcs.log.

このドキュメントで説明したすべてのファイルは、次のような複数のLinuxコマンドで表示できます。 more、 less と vi.ただし、以下を確認することが非常に重要です。 read アクションが実行されます。すべてのファイルを表示するには、ルートアクセスが必要です。

/var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log

このログには、FMCでのポリシー導入タスクの開始と各フェーズの完了が明確に記録されます。これにより、導入が失敗したフェーズと失敗コードを判別できます。

「 transactionID ログのJSON部分に含まれる値を使用して、特定のデプロイ試行に関連するログエントリを検索できます。

22-Nov-2019 01:28:52.844,[INFO],(DefenseCenterServiceImpl.java:1372)
com.cisco.nm.vms.api.dc.DefenseCenterServiceImpl, ajp-nio-127.0.0.1-9009-exec-4
** REST Request [ CSM ]
** ID : e1c84364-0966-42eb-9356-d2914be2b4a3
** URL: Broadcast message.send.deployment
{
  "body" : {
    "property" : "deployment:deployment_initiated_for_the_device",
    "argumentList" : [ {
      "key" : "PHASE",
      "value" : "Phase-0"
    } ]
  },
  "user" : "68d03c42-d9bd-11dc-89f2-b7961d42c462",
  "type" : "deployment",
  "status" : "running",
  "progress" : 5,
  "silent" : true,
  "restart" : true,
  "transactionId" : 12884916552,
  "devices" : [ "93a2089a-fa82-11e9-8219-e1abeec81dc9" ]
}

/var/log/sf/policy_deployment.log

このログファイルは6.4以降の6.xリリース全体に存在していましたが、そのカバレッジが拡張されました。

ここでは、FMCで実行される展開パッケージの構築に必要な詳細な手順について説明します。したがって、フェーズ1 ～ 4の障害の分析に最適です。

各フェーズの開始は、「INFO start.. ":

Jul 18 17:20:03 firepower ActionQueueScrape.pl[17287]: INFO starting populateGlobalSnapshot - sqlite = /var/cisco/umpd/8589938337/DC_policy_deployment.db, transaction = 8589938337, time = 1563470402, running as (memory = 56.35 MB) (Framework 3950<196 <- CSMTasks 223<10 <- SF::ActionQueue 2457)
Jul 18 17:20:03 firepower ActionQueueScrape.pl[17287]: INFO deployment threading: disabled (Framework 198 <- CSMTasks 223<10 <- SF::ActionQueue 2457)
Jul 18 17:20:03 firepower ActionQueueScrape.pl[17287]: INFO -> calling SF::UMPD::Plugins::Correlation::Manager::getPluginDependencies (Plugin 298<90 <- Framework 3579<3566<216 <- CSMTasks 223)
...

管理対象デバイスのトラブルシューティング

追加のフェーズとセクションは、デバイスパッケージ、ハイアベイラビリティ設定、および各管理対象デバイスの前のフェーズの結果に依存します。

導入の問題が管理対象デバイスの障害に切り分けられた場合は、デバイスに次の2つのログを記録して、デバイスに対してさらにトラブルシューティングを実行できます。policy_deployment.logとngfwManager.logを使用します。

/ngfw/var/log/ngfwManager.log

このログファイルには、次の作業に関する詳細な手順が記載されています。 Config Communication Manager と Config Dispatcher FMCと通信するには、導入パッケージと連携し、SnortおよびLINA設定の検証と適用を調整します。

次に、主要なフェーズの開始を表すngfwManager.logの例をいくつか示します。

FTD receives FMC's request for running configuration:

May 30 16:37:10 ccm[4293] Thread-10: INFO  com.cisco.ccm.ConfigCommunicationManager- Passing CD-Message-Request to Config Dispatcher...
May 30 16:37:10 ccm[4293] Thread-10: DEBUG com.cisco.ccm.ConfigCommunicationManager- <?xml version="1.0" encoding="UTF-8"?><cdMessagesList><timeStamp>1559234230012</timeStamp><cdMessage><name>LinaShowCommand</name><messageId>-753133537443151390</messageId><contentType>XML</contentType><msgContent><![CDATA[<?xml version="1.0" encoding="UTF-8"?><message><name>LinaShowCommand</name>...



FTD receives FMC's request to download the deployment package:

May 30 16:37:18 ccm[4293] Thread-9: INFO  com.cisco.ccm.ConfigCommunicationManager- Downloading database (transaction 8589938211, version 1559234236)
May 30 16:37:18 ccm[4293] Thread-9: DEBUG com.cisco.ccm.DownloadManager- handle record: 8589938211, status = PENDING
May 30 16:37:18 ccm[4293] Thread-9: DEBUG com.cisco.ccm.DownloadManager- begin downloading database



FTD begins the deployment of policy changes:

May 30 16:37:21 ccm[4293] Thread-9: INFO  com.cisco.ccm.ConfigCommunicationManager- Starting deployment
May 30 16:37:21 ccm[4293] Thread-11: INFO  com.cisco.ccm.ConfigCommunicationManager- Sending message: DEPLOYMENT_STATUS_CCM to Manager



FTD begins LINA deployment:

May 30 16:37:42 ccm[4293] Thread-19: DEBUG com.cisco.ngfw.configdispatcher.communicators.LinaCommunicatorImpl- Trying to send Start-Config-Sequencerequest to lina



FTD begins finalizing the deployment:

May 30 16:38:48 ccm[4293] Thread-19: DEBUG com.cisco.ngfw.configdispatcher.communicators.LinaCommunicatorImpl- Clustering Message sent out of ConfigDispatcher:
Name:Cluster-App-Conf-Finalize-Request

/ngfw/var/log/sf/policy_deployment.log

このログには、 Snort.ログの内容はほとんど高度なものであり、TACによる分析が必要ですが、いくつかの主要なエントリを使用してプロセスをトレースすることは可能です。

Config Dispatcher begins extracting the packaged policies for validation:

Jul 18 17:20:57 firepower policy_apply.pl[25122]: INFO  -> calling SF::UMPD::Plugins::NGFWPolicy::Device::exportDeviceSnapshotToSandbox  (Plugin 230 <- Framework 611 <- Transaction 1085)
Jul 18 17:20:57 firepower policy_apply.pl[25122]: INFO  found NGFWPolicy =>   (NGFWPolicy::Util 32 <- NGFWPolicy::Device 43 <- Plugin 235)
...
Jul 18 17:20:57 firepower policy_apply.pl[25122]: INFO export FTD platform settings... (PlatformSettings::FTD::Device 29 <- Plugin 235<339 <- PlatformSettings::Device 13)



Config validation begins:

Jul 18 17:21:37 firepower policy_apply.pl[25122]: INFO  starting validateExportedFiles - sqlite = /var/cisco/deploy/sandbox/policy_deployment.db, sandbox = /var/cisco/deploy/sandbox/exported-files (memory = 229.99 MB)  (Framework 3950<687 <- Transaction 1101 <- main 194)



Validation has completed successfully:

Jul 18 17:21:49 firepower policy_apply.pl[25122]: INFO validateExportedFiles - sqlite = /var/cisco/deploy/sandbox/policy_deployment.db, sandbox = /var/cisco/deploy/sandbox/exported-files took 12 (memory = 238.50 MB, change = 8.51 MB) (Framework 3976<724 <- Transaction 1101 <- main 194) 



Config Dispatcher begins moving the validated configuration to the Snort directories in production:

Jul 18 17:21:54 firepower policy_apply.pl[26571]: INFO  -> calling SF::UMPD::Plugins::NGFWPolicy::Device::publishExportedFiles  (Plugin 230 <- Framework 822 <- Transaction 1662)



Snort processes will reload to apply the new configurations:

Jul 18 17:22:02 firepower policy_apply.pl[26571]: INFO  Reconfiguring DE a3bcd340-992f-11e9-a1f1-ac829f31a4f9...  (Snort::SnortNotifications 292<154 <- Snort::Device 343 <- Plugin 235)
Jul 18 17:22:02 firepower policy_apply.pl[26571]: INFO  sending SnortReload to a3bcd340-992f-11e9-a1f1-ac829f31a4f9  (Snort::SnortNotifications 298<154 <- Snort::Device 343 <- Plugin 235)



Snort reload has completed successfully:

Jul 18 17:22:14 firepower policy_apply.pl[26571]: INFO notifyProcesses - sandbox = /var/cisco/deploy/sandbox/exported-files took 16 (memory = 169.52 MB, change = 16.95 MB) (Framework 3976<964 <- Transaction 1680 <- main 200)



After LINA config apply finishes, Snort deployment is finalized:

Jul 18 17:23:32 firepower policy_apply.pl[26913]: INFO  starting finalizeDeviceDeployment - sandbox = /var/cisco/deploy/sandbox (memory = 101.14 MB)  (Framework 3950<980 <- Transaction 1740 <- main 206)

例

ステップ1：導入が失敗する

ステップ2: Deploy Transcript と Transaction ID.

ステップ3: Management Center Linuxユーティリティを使用します less fmcに表示されるファイルを読み取るには、次の手順を実行します。

例："sudo less /var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log" （sudo passwordはsshのユーザパスワードです）

ステップ4：次の段階に進んだら、 less展開transactionIDに関連するログを検索するには、スラッシュを使用してメッセージIDを入力します。 

例："/60129547881" (While in less、nを使用して次の結果に移動)

実行メッセージの例：

失敗メッセージの例：

5)適切な障害を、「一般的な障害メッセージ」の添付テーブルと比較します。

 つまり、failed_to_retrieve_running_configurationは、2つのデバイス間の通信が失敗したときに発生します。 

一般的なエラーメッセージ

次に、一般的な障害メッセージを示します。これらのメッセージは、 Management Center Task バックエンドに表示されるエラーコードも同様です。

これらのメッセージを分析し、考えられる解決策の一般的な理由と比較することができます。

これらの情報が表示されない場合、または問題が解決しない場合は、TACにお問い合わせください。 

----------------------------------------------------------------------------------------

TACに問い合わせる

前述の情報ではポリシーの導入を続行できない場合、または問題が既存の文書化された動作と関連がないと考えられる場合は、次のリンクにある手順を使用してトラブルシューティングファイルを生成し、TACに連絡して分析とバグ作成を依頼してください。

https://www.cisco.com/c/en/us/support/docs/security/sourcefire-defense-center/117663-technote-SourceFire-00.html