Firepower Threat Defense(FMC-Managed)のFQDN機能について

ダウンロード オプション

  • PDF     (1.1 MB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (892.9 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (596.5 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2024 年 5 月 31 日
Document ID:214698

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

    はじめに

    このドキュメントでは、Firepower Management Center(FMC)およびFirepower Threat Defense(FTD)へのFQDN機能（v6.3.0以降）の設定について説明します。

    前提条件

    要件 

    次の項目に関する知識があることが推奨されます。

    • Firepower Management Center

    使用するコンポーネント

    このドキュメントの情報は、次のソフトウェアのバージョンに基づいています。

    • ソフトウェアバージョン6.3.0が稼働するCisco Firepower Threat Defense(FTD)Virtual
    • ソフトウェアバージョン6.3.0を実行するFirepower Management Center Virtual(vFMC) 

    このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

    背景説明

    このドキュメントでは、ソフトウェアバージョン6.3.0で導入されたFirepower Management Center(FMC)およびFirepower Threat Defense(FTD)の完全修飾ドメイン名(FQDN)機能の設定について説明します。

    この機能は、Cisco適応型セキュリティアプライアンス(ASA)に含まれていますが、FTDの初期ソフトウェアリリースには含まれていませんでした。

    FQDNオブジェクトを設定する前に、次の条件が満たされていることを確認してください。

    • Firepower Management Center(FMC)は、バージョン6.3.0以降を実行する必要があります。物理または仮想
    • Firepower Threat Defense(FTD)は、バージョン6.3.0以降を実行する必要があります。物理または仮想

    機能の概要

    この機能は、FQDNをIPアドレスに解決し、アクセスコントロールルールまたはプレフィルタポリシーによって参照されるトラフィックをフィルタリングするためにIPアドレスを使用します。

    6.3より前のバージョンはどうですか。

    •  6.3.0より前のバージョンを実行するFMCおよびFTDは、FQDNオブジェクトを設定できません。

    Pre and post 6.3 comparisons

    • FMCがバージョン6.3以降を実行していて、FTDが6.3よりも前のバージョンを実行している場合、ポリシーを展開すると次のエラーが表示されます。

    Errors and Warnings

    • また、FlexConfigを介してDNSオブジェクトを設定する場合、次の警告が表示されます。

    Device warning


    設定

    ネットワーク図

    Architecture


    アーキテクチャ – 重要なポイント

    • LINAでDNS解決（DNSからIP）が行われる
    • LINAはマッピングをデータベースに保存します
    • 接続ごとに、このマッピングはLINAからSnortに送信されます
    • FQDNの解決は、ハイアベイラビリティまたはクラスタの設定とは無関係に行われます

    設定手順

    ステップ 1：「DNSサーバグループオブジェクト」の設定 

    New DNS Server

     

    • DNSサーバーグループ名は63文字以内でなければなりません
    • マルチドメイン展開では、オブジェクト名はドメイン階層内で一意である必要があります。現在のドメインで表示できないオブジェクトの名前と競合が識別される場合があります
    • Default Domain（オプション）は、完全修飾されていないホスト名に追加するために使用されます
    • デフォルトの再試行とタイムアウトの値は事前に入力されています。

      • Retries：システムが応答を受信しないときに、DNSサーバのリストで再試行する回数（0 ～ 10回）。デフォルト値は 2 です。

      • Timeout：次のDNSサーバに次のDNSサーバが試行されるまでの秒数（1 ～ 30秒）。デフォルト値は 2 秒です。システムがサーバのリストを再試行するたびに、このタイムアウトは2倍になります。

    • このグループに属するDNSサーバを入力します。これは、カンマ区切り値としてIPv4形式またはIPv6形式のいずれかです
    • DNSサーバグループは、インターフェイスオブジェクトまたはプラットフォーム設定で設定されたオブジェクトを使用した解決に使用されます
    • DNSサーバグループオブジェクトCRUDのREST APIをサポート


    ステップ 2：DNSの構成（プラットフォーム設定） 

    DNS Platform Settings

    • （オプション）Expiry Entry TimerとPoll Timerの値を分単位で変更します。

    expiry entry timerオプションは、解決済みのFQDNのIPアドレスを、存続可能時間(TTL)の満了後にDNSルックアップテーブルから削除する制限時間を指定します。エントリを削除するにはテーブルを再コンパイルする必要があるため、削除を頻繁に行うとデバイスのプロセス負荷が増大する可能性があります。この設定により、TTLが実質的に拡張されます。

    poll timerオプションは、ネットワークオブジェクトグループで定義されたFQDNを解決するためにデバイスがDNSサーバに照会するまでの時間の制限を指定します。FQDNは、ポーリングタイマーの期限が切れたか、解決済みIPエントリのTTLが切れたかのどちらかが先に発生したときに、定期的に解決されます。

    • （オプション）使用可能なリストから必要なインターフェイスオブジェクトを選択し、選択したインターフェイスオブジェクトのリストにそれらを追加して、選択したインターフェイスを介してDNSサーバに到達できることを確認します。

    Firepower Threat Defense(FTD)6.3.0デバイスでは、インターフェイスが選択されておらず、診断インターフェイスでDNSルックアップが無効になっている場合、診断インターフェイスを含むすべてのインターフェイスでDNS解決が発生します（コマンドdnsdomain-lookup anyが適用されます）。

    インターフェイスを指定せず、診断インターフェイスでDNSルックアップを有効にしなかった場合、FTDはデータルーティングテーブルを使用してインターフェイスを決定します。一致するエントリがない場合は、管理ルーティングテーブルが使用されます。

    • （オプション）Enable DNS Lookup via the diagnostic interface alsoチェックボックスを選択します

    有効にすると、Firepower Threat Defense(FTD)は、選択されたデータインターフェイスと診断インターフェイスの両方を使用してDNS解決を行います。Devices > Device Management > edit device > Interfacesページで、診断インターフェイスのIPアドレスを必ず設定してください。


    ステップ 3： オブジェクトネットワークFQDNの設定 

    Objects > Object Managementに移動し、ネットワークオブジェクト内でFQDNオプションを選択します。

    FQDN

    • ユーザがFQDNオブジェクトを作成すると、32ビットの一意のIDが生成されます
    • このIDはFMCからLINAとSnortの両方にプッシュされます。
    • LINAでは、このIDはオブジェクトに関連付けられます
    • Snortでは、このIDは、そのオブジェクトを保持するアクセスコントロールルールに関連付けられます


    ステップ 4：アクセスコントロールルールの作成

    前のFQDNオブジェクトを使用してルールを作成し、ポリシーを展開します。

    Add Rule

     

    FQDN ACL -Applied

    注：FQDN解決の最初のインスタンスは、FQDNオブジェクトがアクセスコントロールポリシーに展開されるときに発生します

    確認

    ここでは、設定が正常に動作していることを確認します。

    • FQDNを展開する前のFTDの初期設定を次に示します。
    aleescob# show run dns
DNS server-group DefaultDNS
    • FQDNを展開した後の設定を次に示します。
    aleescob# show run dns
dns domain-lookup wan_1557
DNS server-group DNS_Test
    retries 3
    timeout 5
    name-server 172.31.200.100
    domain-name aleescob.cisco.com
DNS server-group DefaultDNS
dns-group DNS_Test
    • LINAでは、FQDNオブジェクトは次のように表示されます。
    object network obj-talosintelligence.com
 fqdn talosintelligence.com id 268434436
    • すでに展開されている場合、FQDNアクセスリストはLINAで次のように表示されます。
    access-list CSM_FW_ACL_ remark rule-id 268434437: ACCESS POLICY: Aleescob_ACP - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268434437: L4 RULE: FQDN-ACL
access-list CSM_FW_ACL_ advanced deny ip ifc lan_v1556 any ifc wan_1557 object obj-talosintelligence.com rule-id 268434437 event-log flow-start
    • Snort(ngfw.rules)では次のように表示されます。
    # Start of AC rule.
268434437 deny 1 any  any 2 any  any any any  (log dcforward flowstart) (dstfqdn 268434436)
# End rule 268434437

    注：このシナリオでは、FQDNオブジェクトが宛先に使用されているため、dstfqdnとしてリストされます。

    • show dnsコマンドとshow fqdnコマンドを確認すると、機能がtallosintelligenceのIPの解決を開始していることがわかります。
    aleescob# show dns
Name: talosintelligence.com
  Address: 2001:DB8::6810:1b36                          TTL 00:05:43
  Address: 2001:DB8::6810:1c36                          TTL 00:05:43
  Address: 2001:DB8::6810:1d36                          TTL 00:05:43
  Address: 2001:DB8::6810:1a36                          TTL 00:05:43
  Address: 2001:DB8::6810:1936                          TTL 00:05:43
  Address: 192.168.27.54                                  TTL 00:05:43
  Address: 192.168.29.54                                  TTL 00:05:43
  Address: 192.168.28.54                                  TTL 00:05:43
  Address: 192.168.26.54                                  TTL 00:05:43
  Address: 192.168.25.54                                  TTL 00:05:43


aleescob# show fqdn
FQDN IP Table:
ip = 2001:DB8::6810:1b36, object = obj-talosintelligence.com, domain = talosintelligence.com
        FQDN-ID = 268434436

ip = 2001:DB8::6810:1c36, object = obj-talosintelligence.com, domain = talosintelligence.com
        FQDN-ID = 268434436

ip = 2001:DB8::6810:1d36, object = obj-talosintelligence.com, domain = talosintelligence.com
        FQDN-ID = 268434436

ip = 2001:DB8::6810:1a36, object = obj-talosintelligence.com, domain = talosintelligence.com
        FQDN-ID = 268434436

ip = 2001:DB8::6810:1936, object = obj-talosintelligence.com, domain = talosintelligence.com
        FQDN-ID = 268434436

ip = 192.168.27.54, object = obj-talosintelligence.com, domain = talosintelligence.com
        FQDN-ID = 268434436

ip = 192.168.29.54, object = obj-talosintelligence.com, domain = talosintelligence.com
        FQDN-ID = 268434436

ip = 192.168.28.54, object = obj-talosintelligence.com, domain = talosintelligence.com
        FQDN-ID = 268434436

ip = 192.168.26.54, object = obj-talosintelligence.com, domain = talosintelligence.com
        FQDN-ID = 268434436

ip = 192.168.25.54, object = obj-talosintelligence.com, domain = talosintelligence.com
        FQDN-ID = 268434436

FQDN ID Detail:
FQDN-ID = 268434436, object = obj-talosintelligence.com, domain = talosintelligence.com
        ip = 2001:DB8::6810:1b36, 2001:DB8::6810:1c36, 2001:DB8::6810:1d36, 2001:DB8::6810:1a36, 2001:DB8::6810:1936, 192.168.27.54, 192.168.29.54, 192.168.28.54, 192.168.26.54, 192.168.25.54
    • LINAでshow access-listにチェックマークを入れると、解決とヒットカウントごとに展開されたエントリに気付きます。
    firepower# show access-list  
      access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 object obj-talosintelligence.com rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 fqdn talosintelligence.com (resolved) rule-id 268434437 event-log flow-start 0x1b869cf8
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 2001:DB8::6810:1b36 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 2001:DB8::6810:1c36 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 2001:DB8::6810:1d36 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 2001:DB8::6810:1a36 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 2001:DB8::6810:1936 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 192.168.27.54 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 192.168.29.54 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 192.168.28.54 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 192.168.26.54 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 192.168.25.54 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
    • 図に示すように、アクセスリスト内のFQDNと一致するため、talosintelligence.comへのpingは失敗します。ICMPパケットがFTDによってブロックされるため、DNS解決は機能しています。

    Ping host

     

    • 以前に送信されたICMPパケットのLINAからのヒットカウント：
    access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 object obj-talosintelligence.com rule-id 268434437 event-log flow-start (hitcnt=4) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 fqdn talosintelligence.com (resolved) rule-id 268434437 event-log flow-start 0x1b869cf8
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 2001:DB8::6810:1b36 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 2001:DB8::6810:1c36 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 2001:DB8::6810:1d36 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 2001:DB8::6810:1a36 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 2001:DB8::6810:1936 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 192.168.27.54 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=4) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 192.168.29.54 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 192.168.28.54 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 192.168.26.54 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
  access-list CSM_FW_ACL_ line 10 advanced deny ip ifc lan_v1556 any ifc wan_1557 host 192.168.25.54 (talosintelligence.com) rule-id 268434437 event-log flow-start (hitcnt=0) 0x51d8505f
    • ICMP要求がキャプチャされ、入力インターフェイスでドロップされていることが示されます。

    aleescob# show cap in 13 packets captured 1: 18:03:41.558915 192.168.56.132 > 172.31.200.100 icmp: 192.168.56.132 udp port 59396 unreachable 2: 18:04:12.322126 192.168.56.132 > 172.31.4.1 1 icmp:echo request 3: 18:04:12.479162 172.31.4.161 > 192.168.56.132 icmp:echo reply 4: 18:04:13.309966 192.168.56.132 > 172.31.4.161 icmp: echo request 5: 18:04:13 462149 172.31.4 61 > 192.168.56.132 icmp：エコー応答6: 18:04:14.308425 192.168.56.132 > 172.31.4.161 icmp：エコー要求7: 18:04:14.475424 172.31.4.161> 192.168.56.132 icmp：エコー応答8: 8:04:15.306823 192.168.56.132 > 172.31.4.161 icmp: echo request 9: 18:04:15.463339 172.31.4.161 > 192.168.56.132 icmp: echo reply 10: 18:04:25.713662 192.168.56.13 > 192.168.27.54 icmp: echo request 11: 18:04:30.704232 192.168.56.132 > 192.168.27.54 icmp: echo request 12: 18:04:35.711480 192.168.56.132 > 192.168.27.54 icmp echo request 1 3: 18:04:40.707528 192.168.56.132 > 192.168.27.54 icmp: echo request aleescob# sho cap asp | in 192.168.27.54 162: 18:04:25.713799 192.168.56.132 > 192.168.27.54 icmp ：エコー要求165: 18:04:30.704355 192.168.56.132 > 192.168.27.54 icmp: echo request 168: 18:04:35.711556 192.168.56.132 > 192.168.27.54 icmp: echo request 176: 18:04:4 707589 192.168.56.132 > 192.168.27.54 icmp：エコー要求

    • トレースでは、次のICMPパケットのいずれかを検索します。
    aleescob# sho cap in packet-number 10 trace
 
13 packets captured

  10: 18:04:25.713662       192.168.56.132 > 192.168.27.54 icmp: echo request
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
found next-hop 192.168.57.254 using egress ifc  wan_1557

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: DROP
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip ifc lan_v1556 any ifc wan_1557 object obj-talosintelligence.com rule-id 268434437 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268434437: ACCESS POLICY: Aleescob_ACP - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268434437: L4 RULE: FQDN-ACL
Additional Information:

    Result:
input-interface: lan_v1556
input-status: up
input-line-status: up
output-interface: wan_1557
output-status: up
output-line-status: up
Action: drop
Drop-reason: (acl-drop) Flow is denied by configured rule
    • アクセスコントロールルールのアクションが「Allow」の場合の出力の例を次に示します。「system support firewall-engine-debug
    > system support firewall-engine-debug

Please specify an IP protocol: icmp
Please specify a client IP address: 192.168.56.132
Please specify a server IP address:
Monitoring firewall engine debug messages

192.168.56.132-8 > 192.168.29.54-0 1 AS 1 I 0 new firewall session
192.168.56.132-8 > 192.168.29.54-0 1 AS 1 I 0 DAQ returned DST FQDN ID: 268434436
192.168.56.132-8 > 192.168.29.54-0 1 AS 1 I 0 Starting with minimum 2, 'FQDN-ACL', and SrcZone first with zones 1 -> 2, geo 0 -> 0, vlan 0, inline sgt tag: untagged, ISE sgt id: 0, svc 3501, payload 0, client 2000003501, misc 0, user 9999997, icmpType 8, icmpCode 0
192.168.56.132-8 > 192.168.29.54-0 1 AS 1 I 0 Match found for FQDN id: 268434436
192.168.56.132-8 > 192.168.29.54-0 1 AS 1 I 0 match rule order 2, 'FQDN-ACL', action Allow
192.168.56.132-8 > 192.168.29.54-0 1 AS 1 I 0 MidRecovery data sent for rule id: 268434437,rule_action:2, rev id:2096384604, rule_match flag:0x0
192.168.56.132-8 > 192.168.29.54-0 1 AS 1 I 0 allow action
192.168.56.132-8 > 192.168.29.54-0 1 AS 1 I 0 deleting firewall session
    • FQDNがプレフィルタ(Fastpath)の一部として展開される場合、ngfw.rulesでは次のように表示されます。
    iab_mode Off
# Start of tunnel and priority rules.
# These rules are evaluated by LINA. Only tunnel tags are used from the matched rule id.
268434439 fastpath any any  any any any  any any any  (log dcforward both) (tunnel -1)
268434438 allow any any  1025-65535 any any  3544 any 17  (tunnel -1)
268434438 allow any any  3544 any any  1025-65535 any 17  (tunnel -1)
268434438 allow any any  any any any  any any 47  (tunnel -1)
268434438 allow any any  any any any  any any 41  (tunnel -1)
268434438 allow any any  any any any  any any 4  (tunnel -1)
# End of tunnel and priority rules.
    • トレースされたパケットに関するLINAの観点から：
    Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced trust ip any object obj-talosintelligence.com rule-id 268434439 event-log both
access-list CSM_FW_ACL_ remark rule-id 268434439: PREFILTER POLICY: Prefilter-1
access-list CSM_FW_ACL_ remark rule-id 268434439: RULE: FQDN_Prefilter
Additional Information:


    トラブルシュート

    1. FMCからの設定
    • ポリシーとDNSサーバ設定が正しく設定されていることを確認します。
    • 導入が正常に行われたことを確認する
    1. FTDでの導入チェック
    • show dnsおよびshow access-listを実行して、FQDNが解決され、ACルールが展開されているかどうかを確認します
    • show run object networkを実行し、オブジェクトに関連付けられたID（たとえば、ソースの場合はX）を書き留めます。
    • show fqdn id Xを実行して、FQDNが送信元IPに正しく解決されているかどうかを確認します
    • ngfw.rulesファイルに、送信元としてFQDN ID Xを持つACルールがあるかどうかを確認します
    • system support firewall-engine-debugを実行し、Snort判定を確認します。

    FMCのトラブルシューティングファイルの収集 

    必要なログはすべてFMCのトラブルシューティングから収集されます。FMCからすべての重要なログを収集するには、FMC GUIからトラブルシューティングを実行します。それ以外の場合は、FMC Linuxプロンプトからsf_troubleshoot.plを実行します。問題が見つかった場合は、FMCトラブルシューティングをレポートとともにCisco Technical Assistance Center(TAC)に送信してください。

    FMCログ

    ログファイルの名前/場所

    目的

    		 
    /opt/CSCOpx/MDC/log/operation/vmsshareddsvcs.log

    すべてのAPIコール

    		 
    /var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log

    すべてのAPIコール

    		 
    /opt/CSCOpx/MDC/log/operation/vmsbesvcs.log

    CLI生成ログ

    		 
    /opt/CSCOpx/MDC/tomcat/logs/stdout.log

    Tomcatログ

    		 
    /var/log/mojo.log

    Mojoログ

    		 
    /var/log/CSMAgent.log

    CSMとDC間のRESTコール

    		 
    /var/log/action_queue.log

    DCのアクションキューログ

    一般的な問題とエラーメッセージ

    FQDNとDNSサーバグループオブジェクト、およびDNS設定のUIに表示されるエラー/警告は次のとおりです。

    エラー/警告

    シナリオ

    説明

    Error message

    名前に無効な文字が含まれています。名前は、アルファベットまたはアンダースコアで始まり、その後に英数字または特殊文字で始まる必要があります。(-,_,+,.)

    User

    誤った名前を設定する

    ユーザには、許可された

    文字と最大範囲。

    Invalid domain value

    既定のドメイン値が無効です

    ユーザが誤ったドメイン名を設定している

    ユーザには、許可される文字と最大範囲が通知されます。

    Deployment errors

    プラットフォーム設定'mzafeiro_Platform_Settings'のDNSに対してインターフェイスオブジェクトが選択されていません。処理が進められると、DNSドメインルックアップがすべてのインターフェイスで間もなく実行されます

    ユーザがドメインルックアップのインターフェイスを選択しない

    6.3以降のデバイス

    ユーザに対して、DNS

    サーバグループCLIは間もなく適用されます

    すべてのインターフェイスに適用されます。

    Deployment errors

    プラットフォーム設定'mzafeiro_Platform_Settings'のDNSに対してインターフェイスオブジェクトが選択されていません。続行すると、「DNS」を含むDNSサーバグループはまもなく適用されなくなります

    ユーザがドメインルックアップのインターフェイスを選択しない

    6.2.3デバイス用

    ユーザに警告が表示される

    DNSは

    サーバグループのCLIが

    生成されます。

    導入の失敗

    ACポリシー/プレフィルタポリシー以外のポリシーでFQDNを使用すると、次のエラーが発生し、FMC UIに表示される可能性があります。

    Device error

    推奨されるトラブルシューティング手順

    1)ログファイルを開きます：/var/opt/CSCOpx/MDC/log/operation/usmsharedsvcs.log

    2)次のような検証メッセージを確認します。

    “無効なネットワークが設定されています。デバイス[DeviceNames]で構成されたネットワーク[NetworksContainingFQDN]はFQDNを参照しています。 

     

    CLI output

     

    3)推奨されるアクション：

    次に示すポリシーの1つ以上が、FQDNオブジェクトを含むFQDNまたはグループで既に構成されているかどうかを確認し、これらのオブジェクトを削除した後で、同じポリシーの展開を再試行してください。

        a)アイデンティティポリシー

        b) ACポリシーに適用されるFQDNを含む変数セット

    アクティブ化されたFQDNがありません

    システムはFTD CLIを使用して次のメッセージを表示できます。

    > show dns INFO：アクティブなFQDNがありません

    定義されたfqdnのオブジェクトが適用されるまで、DNSはアクティブ化されません。オブジェクトを適用すると、この問題は解決されます。

    Q&A


    Q:FQDNを使用したパケットトレーサは、問題をトラブルシューティングするための有効なテストですか。
    A：はい。fqdnオプションをpacket-tracerで使用できます。

    Q: FQDNルールでサーバのIPアドレスが更新される頻度はどのくらいですか。
    A:DNS応答のTTL値によって異なります。TTL値が期限切れになると、FQDNは新しいDNSクエリで再度解決されます。
    これは、DNSサーバの設定で定義されているPoll Timer属性によっても異なります。FQDNルールは、Poll DNSタイマーが時間切れになった場合、または解決されたIPエントリのTTLが時間切れになった場合のうち、先に達した方の時点で、定期的に解決されます。

    Q：これはラウンドロビンDNSで機能しますか。
    A：この機能はDNSクライアントを使用するFMC/FTDで動作し、ラウンドロビンDNS設定はDNSサーバ側にあるため、ラウンドロビンDNSはシームレスに動作します。

    Q：低いTTLのDNS値に制限はありますか。
    A:DNS応答に0のTTLが含まれている場合、FTDデバイスはその応答に60秒を追加します。この場合、TTL値は最小60秒です。

    Q:FTDはデフォルトで60秒のデフォルト値を維持していますか。
    A：ユーザはDNSサーバのExpire Entry Timer設定でTTLを常に上書きできます。

    Q：エニーキャストDNS応答とどのように相互運用されますか。たとえば、DNSサーバは要求者に対して位置情報に基づいて異なるIPアドレスを提供できます。FQDNのすべてのIPアドレスを要求できますか。Unixのdigコマンドと同様ですか。
    A：はい。FQDNで複数のIPアドレスを解決できる場合は、すべてがデバイスにプッシュされ、ACルールがそれに応じて拡張されます。

    Q：導入が変更される前にコマンドがプッシュされることを示すプレビューオプションを含める予定はありますか。
    A：これは、Flex Configで利用できるPreview configオプションの一部です。プレビューはすでに存在しますが、Flex Configポリシーでは非表示になっています。この機能を外に出して、一般的なものにする計画があります。

    Q:DNSルックアップの実行に使用されるのは、FTDのどのインターフェイスですか。
    A：設定可能です。インターフェイスが設定されていない場合、FTDのすべての名前付きインターフェイスでDNSルックアップが有効になります。

    Q：同じFQDNオブジェクトを持つすべての管理対象NGFWに同じアクセスポリシーが適用されている場合でも、それぞれの管理対象NGFWが個別にDNS解決とFQDN IP変換を実行しますか。
    A：はい。

    Q:FQDN ACLのトラブルシューティングのためにDNSキャッシュをクリアできますか。
    A：はい、デバイスでclear dnsコマンドとclear dns-hosts cacheコマンドを実行できます。

    Q:FQDN解決がトリガーされるのはいつですか。
    A: FQDN解決は、FQDNオブジェクトがACポリシーに配置されている場合に発生します。

    Q：単一サイトのキャッシュのみを消去することは可能ですか。
    A：はい。ドメイン名またはIPアドレスがわかっている場合はクリアできますが、ACLの観点からそのようなコマンドはありません。たとえば、clear dns host agni.tejas.comコマンドは、dns host agni.tejas.comのようにキーワード「host」を使用して、ホストごとにキャッシュをクリアするコマンドです。

    Q: *.microsoft.comのようにワイルドカードを使用することはできますか。
    A：いいえ。FQDNの最初と最後は数字または文字にする必要があります。内部文字として使用できるのは、アルファベット、数字、ハイフンのみです。

    Q：名前解決は、最初の要求または後続の要求の時点ではなく、ACのコンパイル時に実行されるのですか。TTLが低い場合（ACコンパイル時間、ファーストフラックスなどより短い場合）、IPアドレスの一部が失われることはありますか。
    A：名前解決はACポリシーが展開されるとすぐに行われます。TTL時間の期限切れにより、更新が行われます。

    Q: Microsoft Office 365クラウドのIPアドレス(XML)リストを処理できる予定はありますか。
    A：現時点ではサポートされていません。

    Q: FQDNはSSLポリシーで使用できますか。
    A：現時点ではサポートされていません（ソフトウェアバージョン6.3.0）。 FQDNオブジェクトは、ACポリシーの送信元ネットワークと宛先ネットワークでのみサポートされます。

    Q：解決済みのFQDNに関する情報を提供できる履歴ログはありますか。たとえば、LINA syslogなどです。
    A：特定の宛先に対するFQDNのトラブルシューティングを行うには、system support traceコマンドを使用できます。トレースは、パケットのFQDN IDを示します。IDを比較してトラブルシューティングを行うことができます。また、syslogメッセージ746015、746016を有効にして、FQDN dns解決アクティビティを追跡することもできます。

    Q：デバイスログの接続テーブルに、解決されたIPのFQDNが記録されていますか。
    A：特定の宛先に対するFQDNのトラブルシューティングを行うには、system support traceコマンドを使用できます。このトレースではパケットのFQDN IDが表示されます。IDを比較してトラブルシューティングを行うことができます。将来的には、FMCのイベントビューアにFQDNログを作成する予定です。

    Q:FQDNルール機能の欠点は何ですか。

    A:IPアドレスが頻繁に変更される宛先（たとえば、TTL期限切れが0のインターネットサーバ）でFQDNルールが使用されている場合、ワークステーションはFTDのDNSキャッシュと一致しなくなった新しいIPアドレスを持つことになる可能性があります。その結果、ACPルールと一致しません。デフォルトでは、FTDはDNS応答から受信したTTLの有効期限の先頭に1分を追加し、ゼロに設定することはできません。このような状況では、この使用例に最適なURLフィルタリング機能を使用することを強くお勧めします。 

    更新履歴

    改定 発行日 コメント
    3.0
    31-May-2024
    再認定
    1.0
    04-Aug-2019
    初版
    TAC Authored

    シスコ エンジニア提供

    • アレクサンダー・ダリオ・エスコバル・サラザール
      シスコTAC
    • Mikis Zafeiroudis
      シスコTAC

    このドキュメントは役に立ちましたか?

    Feedbackフィードバック

    シスコに問い合わせ

    このドキュメントは次の製品に対応しています