FirePOWER デバイスのルールの展開について
内容
概要
このドキュメントでは、Firepower Management Center(FMC)から導入されたアクセスコントロールルールのセンサーへの変換について説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- FirePOWER の知識
- FMCでのアクセスコントロールポリシーの設定に関する知識
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- Firepower Management Centerバージョン6.0.0以降
- ソフトウェアバージョン6.0.1以降を実行するASA Firepower Defenseイメージ(ASA 5515-X、ASA 5525-X、ASA 5545-X、ASA 5585-X)
- ソフトウェアバージョン6.0.0以降を実行するASA Firepower SFRイメージ(ASA 5515-X、ASA 5525-X、ASA 5545-X、ASA 5585-X)
- Firepower 7000/8000シリーズセンサーバージョン6.0.0以降
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。
背景説明
アクセスコントロールルールは、次のパラメータの1つまたは複数の組み合わせを使用して作成されます。
- IPアドレス（送信元および宛先）
- ポート（送信元および宛先）
- URL（システム提供カテゴリおよびカスタムURL）
- アプリケーション検出器
- VLAN
- ゾーン
アクセスルールで使用されるパラメータの組み合わせに基づいて、ルール拡張はセンサーで変更されます。このドキュメントでは、FMCのルールのさまざまな組み合わせと、センサーでの対応する拡張について説明します。
ルール拡張について
IPベースのルールの拡張
図に示すように、FMCからのアクセスルールの設定を検討します。
これは、Management Centerの単一のルールです。ただし、センサーに配置した後、図に示すように4つのルールに展開されます。
268436480 allow any 1.1.1.1 32 any any 3.3.3.3 32 any any any (log dcforward flowstart)
268436480 allow any 1.1.1.1 32 any any 4.4.4.4 32 any any any (log dcforward flowstart)
268436480 allow any 2.2.2.2 32 any any 3.3.3.3 32 any any any (log dcforward flowstart)
268436480 allow any 2.2.2.2 32 any any 4.4.4.4 32 any any any (log dcforward flowstart)
268435456 allow any any any any any any any any (ipspolicy 2)
2つのサブネットが送信元として設定され、2つのホストが宛先アドレスとして設定されたルールを導入すると、このルールはセンサー上の4つのルールに拡張されます。
カスタムURLを使用したIPベースのルールの拡張
図に示すように、FMCからのアクセスルールの設定を検討します。
これは、Management Centerの単一のルールです。ただし、センサーに展開すると、図に示すように8つのルールに拡張されます。
268436480 allow any 1.1.1.1 32 any any 3.3.3.3 32 any any any (log dcforward flowstart) (url "facebook.com")
268436480 allow any 1.1.1.1 32 any any 3.3.3.3 32 any any any (log dcforward flowstart) (url "twitter.com")
268436480 allow any 1.1.1.1 32 any any 4.4.4.4 32 any any any (log dcforward flowstart) (url "facebook.com")
268436480 allow any 1.1.1.1 32 any any 4.4.4.4 32 any any any (log dcforward flowstart) (url "twitter.com")
268436480 allow any 2.2.2.2 32 any any 3.3.3.3 32 any any any (log dcforward flowstart) (url "facebook.com")
268436480 allow any 2.2.2.2 32 any any 3.3.3.3 32 any any any (log dcforward flowstart) (url "twitter.com")
268436480 allow any 2.2.2.2 32 any any 4.4.4.4 32 any any any (log dcforward flowstart) (url "facebook.com")
268436480 allow any 2.2.2.2 32 any any 4.4.4.4 32 any any any (log dcforward flowstart) (url "twitter.com")
268435456 allow any any any any any any any any (ipspolicy 2)
2つのサブネットが送信元、2つのホストが宛先アドレス、2つのカスタムURLオブジェクトがManagement Center上の1つのルールに設定されたルールを導入すると、このルールはセンサー上の8つのルールに拡張されます。つまり、カスタムURLカテゴリごとに、送信元と宛先のIP/ポート範囲が組み合わされ、設定および作成されます。
ポートを使用したIPベースルールの拡張
図に示すように、FMCからのアクセスルールの設定を検討します。
これは、Management Centerの単一のルールです。ただし、センサーに展開すると、図に示すように16のルールに拡張されます。
268436480 allow any 1.1.1.1 32 any any 3.3.3.3 32 80 any 6 (log dcforward flowstart) (url "facebook.com")
268436480 allow any 1.1.1.1 32 any any 3.3.3.3 32 80 any 6 (log dcforward flowstart) (url "twitter.com")
268436480 allow any 1.1.1.1 32 any any 3.3.3.3 32 443 any 6 (log dcforward flowstart) (url "facebook.com")
268436480 allow any 1.1.1.1 32 any any 3.3.3.3 32 443 any 6 (log dcforward flowstart) (url "twitter.com")
268436480 allow any 1.1.1.1 32 any any 4.4.4.4 32 80 any 6 (log dcforward flowstart) (url "facebook.com")
268436480 allow any 1.1.1.1 32 any any 4.4.4.4 32 80 any 6 (log dcforward flowstart) (url "twitter.com")
268436480 allow any 1.1.1.1 32 any any 4.4.4.4 32 443 any 6 (log dcforward flowstart) (url "facebook.com")
268436480 allow any 1.1.1.1 32 any any 4.4.4.4 32 443 any 6 (log dcforward flowstart) (url "twitter.com")
268436480 allow any 2.2.2.2 32 any any 3.3.3.3 32 80 any 6 (log dcforward flowstart) (url "facebook.com")
268436480 allow any 2.2.2.2 32 any any 3.3.3.3 32 80 any 6 (log dcforward flowstart) (url "twitter.com")
268436480 allow any 2.2.2.2 32 any any 3.3.3.3 32 443 any 6 (log dcforward flowstart) (url "facebook.com")
268436480 allow any 2.2.2.2 32 any any 3.3.3.3 32 443 any 6 (log dcforward flowstart) (url "twitter.com")
268436480 allow any 2.2.2.2 32 any any 4.4.4.4 32 80 any 6 (log dcforward flowstart) (url "facebook.com")
268436480 allow any 2.2.2.2 32 any any 4.4.4.4 32 80 any 6 (log dcforward flowstart) (url "twitter.com")
268436480 allow any 2.2.2.2 32 any any 4.4.4.4 32 443 any 6 (log dcforward flowstart) (url "facebook.com")
268436480 allow any 2.2.2.2 32 any any 4.4.4.4 32 443 any 6 (log dcforward flowstart) (url "twitter.com")
268435456 allow any any any any any any any any (ipspolicy 2)
2つのサブネットが送信元、2つのホストが宛先アドレス、2つのポートを宛先とする2つのカスタムURLオブジェクトを持つルールを導入すると、このルールはセンサー上の16のルールに拡張されます。
図に示すように、FMCからのアクセスルールの設定を検討します。
ポートの代わりにアプリケーションディテクタを使用すると、図に示すように、拡張ルールの数が16から8に減ります。
268436480 allow any 1.1.1.1 32 any any 3.3.3.3 32 any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url "facebook.com")
268436480 allow any 1.1.1.1 32 any any 3.3.3.3 32 any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url "twitter.com")
268436480 allow any 1.1.1.1 32 any any 4.4.4.4 32 any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url "facebook.com")
268436480 allow any 1.1.1.1 32 any any 4.4.4.4 32 any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url "twitter.com")
268436480 allow any 2.2.2.2 32 any any 3.3.3.3 32 any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url "facebook.com")
268436480 allow any 2.2.2.2 32 any any 3.3.3.3 32 any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url "twitter.com")
268436480 allow any 2.2.2.2 32 any any 4.4.4.4 32 any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url "facebook.com")
268436480 allow any 2.2.2.2 32 any any 4.4.4.4 32 any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url "twitter.com")
VLANを使用したIPベースルールの拡張
図に示すように、FMCからのアクセスルールの設定を検討します。
Rule AllowFileには、一部のアプリケーションディテクタ、侵入ポリシー、およびファイルポリシーと2つのVLAN IDに一致する1行があります。ルールAllowFileは2つのルールに拡張されます。
268436480 allow any any any any any any 1 any (log dcforward flowstart) (ipspolicy 5) (filepolicy 1 enable) (appid 535:4, 1553:4, 3791:4)
268436480 allow any any any any any any 2 any (log dcforward flowstart) (ipspolicy 5) (filepolicy 1 enable) (appid 535:4, 1553:4, 3791:4)
IPSポリシーとファイルポリシーは各アクセスコントロールルールに固有ですが、複数のアプリケーションディテクタが同じルールで参照されるため、拡張には参加しません。2つのVLAN IDと3つのアプリケーションディテクタを持つルールを検討する場合、各VLANに1つずつ、2つのルールしかありません。
URLカテゴリを使用したIPベースルールの拡張
図に示すように、FMCからのアクセスルールの設定を検討します。
ブロックルールは、アダルトおよびポルノのURLカテゴリAny Reputation and Alcoal and Tobacco Reputation 1-3.これは管理センターの単一のルールですが、センサーに展開すると、次のように2つのルールに拡張されます。
268438530 deny any any any any any any any any (log dcforward flowstart) (urlcat 11)
268438530 deny any any any any any any any any (log dcforward flowstart) (urlcat 76) (urlrep le 60)
2つのサブネットが送信元として設定され、2つのホストが宛先アドレスとして設定された1つのルールと、2つのURLカテゴリを持つ2つのポートを宛先とする2つのカスタムURLオブジェクトを展開すると、このルールはセンサー上の32のルールに展開されます。
ゾーンを使用したIPベースのルールの拡張
ゾーンには、ポリシーで参照される番号が割り当てられます。
ポリシーで参照されるゾーンが、そのゾーンがプッシュされるデバイス上のどのインターフェイスにも割り当てられていない場合、そのゾーンはanyと見なされて、anyはルールの拡張には結びつきません。
ソース・ゾーンと宛先ゾーンがルール内で同じ場合、ゾーン・ファクタはanyと見なされ、ANYはルールの拡張につながらないため、1つのルールのみが追加されます。
図に示すように、FMCからのアクセスルールの設定を検討します。
2つのルールがあります。1つのルールにゾーンが設定されていますが、送信元と宛先のゾーンが同じです。もう1つのルールには特定の設定はありません。この例では、インターフェイスのアクセスルールはルールに変換されません。
268438531 allow any any any any any any any any (log dcforward flowstart)<-----Allow Access Rule
268434432 allow any any any any any any any any (log dcforward flowstart) (ipspolicy 17)<----------Default Intrusion Prevention Rule
センサーでは、同じインターフェイスを含むゾーンベースの制御が拡張につながらないため、両方のルールが同じように表示されます。
ゾーンベースのアクセスコントロールルールアクセスのルールの拡張は、ルールで参照されているゾーンがデバイスのインターフェイスに割り当てられたときに発生します。
次に示すように、FMCからのアクセスルールの設定を検討します。
ルールInterfacesには、送信元ゾーンが内部ゾーン、宛先ゾーンが内部ゾーン、外部ゾーン、DMZであるゾーンベースルールが含まれます。このルールでは、内部およびDMZインターフェイスゾーンがインターフェイスに設定され、外部がデバイスに存在しません。これは同じ拡張です。
268436480 allow 0 any any 2 any any any any (log dcforward flowstart) <------Rule for Internal to DMZ)
268438531 allow any any any any any any any any (log dcforward flowstart)<--------Allow Access rule
268434432 allow any any any any any any any any (log dcforward flowstart) (ipspolicy 17)<--------Default Intrusion Prevention: Balanced Security over Connectivity
ルールは特定のインターフェイスペアに対して作成されます。ルールはInternal > DMZでは、クリアゾーンの指定を行い、Internal > Internalルールは作成されません。
拡張されるルールの数は、有効な関連付けられたゾーンに対して作成できるゾーンの送信元と宛先のペアの数に比例します。これには、同じ送信元と宛先のゾーンのルールが含まれます。
ルール拡張の一般式
センサーのルール数= （送信元サブネットまたはホストの数） * （宛先Sの数） * （送信元ポートの数） * （カスタムURLの数）* （VLANタグの数）* （URLカテゴリの数）*（有効な送信元および宛先ゾーンペアの数）
ルール拡張による導入エラーのトラブルシューティング
アクセスルールを追加した後に導入エラーが発生した場合は、ルールの拡張制限に達した場合に次の手順に従ってください
次のキーワードを含むメッセージが表示されたら、/var/log/action.queue.logを確認してください。
エラー – ルールが多すぎます – ルール28を書き込み、最大ルール9094
上記のメッセージは、拡張されているルールの数に問題があることを示しています。上記のシナリオに基づいてルールを最適化するために、FMCの設定を確認します。
フィードバック