内容

概要

前提条件

要件

使用するコンポーネント

背景説明

システムアーキテクチャの概要

内部スイッチの動作の概要

パケットフローとキャプチャポイント

Firepower 4100/9300の設定と確認

物理インターフェイスまたはポートチャネルインターフェイスでのパケットキャプチャ

バックプレーンインターフェイスでのパケットキャプチャ

アプリケーションおよびアプリケーションポートでのパケットキャプチャ

物理インターフェイスまたはポートチャネルインターフェイスのサブインターフェイスでのパケットキャプチャ

パケット キャプチャ フィルタ

Firepower 4100/9300内部スイッチキャプチャファイルの収集

内部スイッチパケットキャプチャのガイドライン、制限事項、およびベストプラクティス

Secure Firewall 3100の設定と検証

物理インターフェイスまたはポートチャネルインターフェイスでのパケットキャプチャ

物理インターフェイスまたはポートチャネルインターフェイスのサブインターフェイスでのパケットキャプチャ

内部インターフェイスでのパケットキャプチャ

パケット キャプチャ フィルタ

Secure Firewall 3100内部スイッチキャプチャファイルの収集

内部スイッチパケットキャプチャのガイドライン、制限事項、およびベストプラクティス

関連情報

概要

このドキュメントでは、Firepowerの設定と検証、およびセキュアファイアウォールの内部スイッチキャプチャについて説明します。

前提条件

要件

製品に関する基本的な知識、キャプチャ分析。

使用するコンポーネント

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Secure Firewall 31xx

- Firepower 41xx

- Firepower 93xx

- Cisco Secure eXtensible Operating System(FXOS)2.12.0.x

- Cisco Secure Firewall Threat Defense(FTD)7.2.0.x

- Cisco Secure Firewall Management Center(FMC)7.2.0.x

- Cisco Secure Firewall Device Manager(FDM)7.2.0.x

- 適応型セキュリティアプライアンス(ASA)9.18(1)x

- Adaptive Security Appliance Device Manager(ASDM)7.18.1.x

- Wireshark 3.6.7(https://www.wireshark.org/download.html)

背景説明

システムアーキテクチャの概要

パケットフローの観点から、Firepower 4100/9300およびSecure Firewall 3100のアーキテクチャを次の図のように視覚化できます。

シャーシには次のコンポーネントが含まれます。

- 内部スイッチ：ネットワークからアプリケーションへ、またはその逆にパケットを転送します。内部スイッチは、組み込みインターフェイスモジュールまたは外部ネットワークモジュール上にある前面インターフェイスに接続され、スイッチなどの外部デバイスに接続されます。前面インターフェイスの例としては、Ethernet 1/1、Ethernet 2/4などがあります。「正面」は強い技術的定義ではありません。このドキュメントでは、外部デバイスに接続されているインターフェイスをバックプレーンまたはアップリンクインターフェイスと区別するために使用します。

- バックプレーンまたはアップリンク：セキュリティモジュール(SM)を内部スイッチに接続する内部インターフェイス。次の表に、Firepower 4100/9300のバックプレーンインターフェイスと、セキュアファイアウォール3100のアップリンクインターフェイスを示します。

Platform

サポートされるセキュリティモジュールの数

バックプレーン/アップリンクインターフェイス

マッピングされたアプリケーションインターフェイス

Firepower 4100（Firepower 4110/4112を除く）

1

SM1:

Ethernet1/9

Ethernet1/10

Internal-Data0/0

Internal-Data0/1

Firepower 4110/4112

1

Ethernet1/9

Internal-Data0/0

FirePOWER 9300

3

SM1:

Ethernet1/9

Ethernet1/10

SM2:

Ethernet1/11

Ethernet1/12

SM3:

Ethernet1/13

Ethernet1/14

Internal-Data0/0

Internal-Data0/1

Internal-Data0/0

Internal-Data0/1

Internal-Data0/0

Internal-Data0/1

Secure Firewall 3100

1

SM1:in_data_uplink1

Internal-Data0/1

モジュールごとに2つのバックプレーンインターフェイスがある場合、内部スイッチとモジュール上のアプリケーションが2つのインターフェイス上でトラフィックロードバランシングを実行します。

- セキュリティモジュール、セキュリティエンジン、またはブレード:FTDやASAなどのアプリケーションがインストールされているモジュール。Firepower 9300は最大3つのセキュリティモジュールをサポートします。

- マッピングされたアプリケーションインターフェイス:FTDやASAなどのアプリケーションは、バックプレーンまたはアップリンクインターフェイスを内部インターフェイスにマッピングします。つまり、バックプレーンまたはアップリンクインターフェイスは、アプリケーションの内部インターフェイスとして認識されます。

内部インターフェイスを確認するには、show interface detailコマンドを使用します。

> show interface detail | grep Interface

Interface Internal-Control0/0 "ha_ctl_nlp_int_tap", is up, line protocol is up

Control Point Interface States:

Interface number is 6

Interface config status is active

Interface state is active

Interface Internal-Data0/0 "", is up, line protocol is up

Control Point Interface States:

Interface number is 2

Interface config status is active

Interface state is active

Interface Internal-Data0/1 "", is up, line protocol is up

Control Point Interface States:

Interface number is 3

Interface config status is active

Interface state is active

Interface Internal-Data0/2 "nlp_int_tap", is up, line protocol is up

Control Point Interface States:

Interface number is 4

Interface config status is active

Interface state is active

Interface Internal-Data0/3 "ccl_ha_nlp_int_tap", is up, line protocol is up

Control Point Interface States:

Interface number is 5

Interface config status is active

Interface state is active

Interface Internal-Data0/4 "cmi_mgmt_int_tap", is up, line protocol is up

Control Point Interface States:

Interface number is 7

Interface config status is active

Interface state is active

Interface Port-channel6.666 "", is up, line protocol is up

Interface Ethernet1/1 "diagnostic", is up, line protocol is up

Control Point Interface States:

Interface number is 8

Interface config status is active

Interface state is active

内部スイッチの動作の概要

Firepower 4100/9300

フォワーディング決定を行うために、内部スイッチではインターフェイスVLANタグ(ポートVLANタグ)と仮想ネットワークタグ(VN-tag)を使用します。

ポートVLANタグは、インターフェイスを識別するために内部スイッチによって使用されます。スイッチは、前面インターフェイスに到着した各入力パケットにポートVLANタグを挿入します。VLANタグはシステムによって自動的に設定され、手動で変更することはできません。  タグの値は、fxosコマンドシェルで確認できます。

firepower# connect fxos

…

firepower(fxos)# show run int e1/2

!Command: show running-config interface Ethernet1/2

!Time: Tue Jul 12 22:32:11 2022

version 5.0(3)N2(4.120)

interface Ethernet1/2

description U: Uplink

no lldp transmit

no lldp receive

no cdp enable

switchport mode dot1q-tunnel

switchport trunk native vlan 102

speed 1000

duplex full

udld disable

no shutdown

VNタグも内部スイッチによって挿入され、アプリケーションにパケットを転送するために使用されます。これはシステムによって自動的に設定され、手動で変更することはできません。

ポートVLANタグとVNタグはアプリケーションと共有されます。アプリケーションは、それぞれの出力インターフェイスVLANタグとVNタグを各パケットに挿入します。アプリケーションからのパケットがバックプレーンインターフェイス上の内部スイッチによって受信されると、スイッチは出力インターフェイスのVLANタグとVNタグを読み取り、アプリケーションと出力インターフェイスを特定し、ポートのVLANタグとVNタグを削除して、パケットをネットワークに転送します。

Secure Firewall 3100

Firepower 4100/9300と同様に、ポートVLANタグはインターフェイスを識別するために内部スイッチによって使用されます。

ポートVLANタグはアプリケーションと共有されます。アプリケーションは、それぞれの出力インターフェイスVLANタグを各パケットに挿入します。アプリケーションからのパケットがアップリンクインターフェイス上の内部スイッチで受信されると、スイッチは出力インターフェイスのVLANタグを読み取り、出力インターフェイスを特定し、ポートのVLANタグを削除して、パケットをネットワークに転送します。

パケットフローとキャプチャポイント

Firepower 4100/9300およびSecure Firewall 3100ファイアウォールは、内部スイッチのインターフェイスでのパケットキャプチャをサポートしています。

次の図に、シャーシとアプリケーション内のパケットパスに沿ったパケットキャプチャポイントを示します。

キャプチャポイントは次のとおりです。

1. 内部スイッチ前面インターフェイスの入力キャプチャポイント。前面インターフェイスは、スイッチなどのピアデバイスに接続されたインターフェイスです。

2. データプレーンインターフェイス入力キャプチャポイント

3. Snortキャプチャポイント

4. データプレーンインターフェイス出力キャプチャポイント

5. 内部スイッチバックプレーンまたはアップリンク入力キャプチャポイント。バックプレーンまたはアップリンクインターフェイスは、内部スイッチをアプリケーションに接続します。

内部スイッチは、入力インターフェイスキャプチャのみをサポートします。つまり、ネットワークまたはASA/FTDアプリケーションから受信したパケットだけをキャプチャできます。出力パケットキャプチャはサポートされていません。

の設定と検証 Firepower 4100/9300

Firepower 4100/9300内部スイッチキャプチャは、FCMの[Tools] > [Packet Capture] またはFXOS CLIの[scope packet-capture] で設定できます。パケットキャプチャオプションの説明については、『Cisco Firepower 4100/9300 FXOS Chassis Manager Configuration Guide』または『Cisco Firepower 4100/9300 FXOS CLI Configuration Guide』の「Troubleshooting」の章の「Packet Capture」の項を参照してください。

これらのシナリオは、Firepower 4100/9300内部スイッチキャプチャの一般的な使用例をカバーしています。

物理インターフェイスまたはポートチャネルインターフェイスでのパケットキャプチャ

FCMとCLIを使用して、インターフェイスEthernet1/2またはPortchannel1インターフェイスのパケットキャプチャを設定および確認します。ポートチャネルインターフェイスの場合は、すべての物理メンバーインターフェイスを選択してください。

トポロジ、パケットフロー、およびキャプチャポイント

コンフィギュレーション

FCM

インターフェイスEthernet1/2またはPortchannel1でパケットキャプチャを設定するには、FCMで次の手順を実行します。

1. [Tools] > [Packet Capture] > [Capture Session] を使用して、新しいキャプチャセッションを作成します。

2. インターフェイスEthernet1/2を選択し、セッション名を指定して[Save and Run] をクリックし、キャプチャをアクティブにします。

3. ポートチャネルインターフェイスの場合は、すべての物理メンバーインターフェイスを選択し、セッション名を指定して[Save and Run] をクリックし、キャプチャをアクティブにします。

FXOS CLI

インターフェイスEthernet1/2またはPortchannel1でパケットキャプチャを設定するには、FXOS CLIで次の手順を実行します。

1. アプリケーションのタイプと識別子を特定します。

firepower# scope ssa

firepower /ssa # show app-instance

App Name   Identifier Slot ID    Admin State Oper State       Running Version Startup Version Deploy Type Turbo Mode Profile Name Cluster State   Cluster Role

---------- ---------- ---------- ----------- ---------------- --------------- --------------- ----------- ---------- ------------ --------------- ------------

ftd        ftd1       1          Enabled     Online           7.2.0.82        7.2.0.82        Native      No                      Not Applicable  None

2. ポートチャネルインターフェイスの場合は、そのメンバーインターフェイスを特定します。

firepower# connect fxos

<output skipped>

firepower(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

1     Po1(SU)     Eth      LACP      Eth1/4(P)    Eth1/5(P)

3. キャプチャセッションを作成します。

firepower# scope packet-capture

firepower /packet-capture # create session cap1

firepower /packet-capture/session* # create phy-port Eth1/2

firepower /packet-capture/session/phy-port* # set app ftd

firepower /packet-capture/session/phy-port* # set app-identifier ftd1

firepower /packet-capture/session/phy-port* # up

firepower /packet-capture/session* # enable

firepower /packet-capture/session* # commit

firepower /packet-capture/session #

ポートチャネルインターフェイスの場合は、メンバーインターフェイスごとに個別のキャプチャが設定されます。

firepower# scope packet-capture

firepower /packet-capture # create session cap1

firepower /packet-capture/session* # create phy-port Eth1/4

firepower /packet-capture/session/phy-port* # set app ftd

firepower /packet-capture/session/phy-port* # set app-identifier ftd1

firepower /packet-capture/session/phy-port* # up

firepower /packet-capture/session* # create phy-port Eth1/5

firepower /packet-capture/session/phy-port* # set app ftd

firepower /packet-capture/session/phy-port* # set app-identifier ftd1

firepower /packet-capture/session/phy-port* # up

firepower /packet-capture/session* # enable

firepower /packet-capture/session* # commit

firepower /packet-capture/session #

確認

FCM

[Interface Name] を確認し、[Operational Status] が[up]になっており、[File Size (in bytes)] が増加していることを確認します。

メンバーインターフェイスEthernet1/4およびEthernet1/5を持つPortChannel1:

FXOS CLI

scope packet-captureでキャプチャの詳細を確認します。

firepower# scope packet-capture

firepower /packet-capture # show session cap1

Traffic Monitoring Session:

Packet Capture Session Name: cap1

Session: 1

Admin State: Enabled

Oper State: Up

Oper State Reason: Active

Config Success: Yes

Config Fail Reason:

Append Flag: Overwrite

Session Mem Usage: 256  MB

Session Pcap Snap Len: 1518  Bytes

Error Code: 0

Drop Count: 0

Physical ports involved in Packet Capture:

Slot Id: 1

Port Id: 2

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-2-0.pcap

Pcapsize: 75136  bytes

Filter:

Sub Interface: 0

Application Instance Identifier: ftd1

Application Name: ftd

メンバーインターフェイスEthernet1/4およびEthernet1/5を持つポートチャネル1:

firepower# scope packet-capture

firepower /packet-capture # show session cap1

Traffic Monitoring Session:

Packet Capture Session Name: cap1

Session: 1

Admin State: Enabled

Oper State: Up

Oper State Reason: Active

Config Success: Yes

Config Fail Reason:

Append Flag: Overwrite

Session Mem Usage: 256  MB

Session Pcap Snap Len: 1518  Bytes

Error Code: 0

Drop Count: 0

Physical ports involved in Packet Capture:

Slot Id: 1

Port Id: 4

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-4-0.pcap

Pcapsize: 310276  bytes

Filter:

Sub Interface: 0

Application Instance Identifier: ftd1

Application Name: ftd

Slot Id: 1

Port Id: 5

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-5-0.pcap

Pcapsize: 160  bytes

Filter:

Sub Interface: 0

Application Instance Identifier: ftd1

Application Name: ftd

キャプチャファイルの収集

「Firepower 4100/9300内部スイッチキャプチャファイルの収集」セクションの手順に従います。

ファイル分析のキャプチャ

パケットキャプチャファイルリーダーアプリケーションを使用して、Ethernet1/2のキャプチャファイルを開きます。最初のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、入力インターフェイスEthernet1/2を識別する追加ポートVLANタグ102を挿入します。

4. 内部スイッチは、追加のVNタグを挿入します。

2番目のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、入力インターフェイスEthernet1/2を識別する追加ポートVLANタグ102を挿入します。

Portchannel1メンバーインターフェイスのキャプチャファイルを開きます。最初のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、入力インターフェイスPortchannel1を識別する追加ポートVLANタグ1001を挿入します。

4. 内部スイッチは、追加のVNタグを挿入します。

2番目のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、入力インターフェイスPortchannel1を識別する追加ポートVLANタグ1001を挿入します。

説明

前面インターフェイスでパケットキャプチャが設定されると、スイッチは各パケットを同時に2回キャプチャします。

- ポートVLANタグの挿入後。

- VNタグの挿入後。

操作順では、VNタグはポートVLANタグの挿入よりも後の段階で挿入されます。ただし、キャプチャファイルでは、VNタグが付いたパケットがポートVLANタグが付いたパケットよりも前に表示されます。

タスクの要約を次の表に示します。

タスク

キャプチャポイント

キャプチャされたパケットの内部ポートVLAN

方向

キャプチャされたトラフィック

インターフェイスEthernet1/2でのパケットキャプチャの設定と確認

Ethernet1/2

102

入力のみ

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

メンバーインターフェイスEthernet1/4およびEthernet1/5を持つインターフェイスPortchannel1でパケットキャプチャを設定および確認します

Ethernet1/4 Ethernet1/5

1001

入力のみ

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

バックプレーンインターフェイスでのパケットキャプチャ

FCMとCLIを使用して、バックプレーンインターフェイスのパケットキャプチャを設定および確認します。

トポロジ、パケットフロー、およびキャプチャポイント

コンフィギュレーション

FCM

バックプレーンインターフェイスでパケットキャプチャを設定するには、FCMで次の手順を実行します。

1. [Tools] > [Packet Capture] > [Capture Session] を使用して、新しいキャプチャセッションを作成します。

2. すべてのバックプレーンインターフェイスでパケットをキャプチャするには、アプリケーションを選択し、ドロップダウンリストの[Capture On] から[All Backplane Ports] を選択します。または、特定のバックプレーンインターフェイスを選択します。この場合、バックプレーンインターフェイスEthernet1/9およびEthernet1/10が使用可能です。[Session Name] を入力し、[Save and Run] をクリックしてキャプチャをアクティブにします。

FXOS CLI

バックプレーンインターフェイスでパケットキャプチャを設定するには、FXOS CLIで次の手順を実行します。

1. アプリケーションのタイプと識別子を特定します。

firepower# scope ssa

firepower /ssa# show app-instance

App Name   Identifier Slot ID    Admin State Oper State       Running Version Startup Version Deploy Type Turbo Mode Profile Name Cluster State   Cluster Role

---------- ---------- ---------- ----------- ---------------- --------------- --------------- ----------- ---------- ------------ --------------- ------------

ftd        ftd1       1          Enabled     Online           7.2.0.82        7.2.0.82        Native      No                      Not Applicable  None

2. キャプチャセッションを作成します。

firepower# scope packet-capture

firepower /packet-capture # create session cap1

firepower /packet-capture/session* # create phy-port Eth1/9

firepower /packet-capture/session/phy-port* # set app ftd

firepower /packet-capture/session/phy-port* # set app-identifier ftd1

firepower /packet-capture/session/phy-port* # up

firepower /packet-capture/session* #  create phy-port Eth1/10

firepower /packet-capture/session/phy-port* # set app ftd

firepower /packet-capture/session/phy-port* # set app-identifier ftd1

firepower /packet-capture/session/phy-port* # up

firepower /packet-capture/session* # enable

firepower /packet-capture/session* # commit

firepower /packet-capture/session #

確認

FCM

[Interface Name] を確認し、[Operational Status] が[up]になっており、[File Size (in bytes)] が増加していることを確認します。

FXOS CLI

scope packet-captureでキャプチャの詳細を確認します。

firepower# scope packet-capture

firepower /packet-capture #  show session cap1

Traffic Monitoring Session:

Packet Capture Session Name: cap1

Session: 1

Admin State: Enabled

Oper State: Up

Oper State Reason: Active

Config Success: Yes

Config Fail Reason:

Append Flag: Overwrite

Session Mem Usage: 256  MB

Session Pcap Snap Len: 1518  Bytes

Error Code: 0

Drop Count: 0

Physical ports involved in Packet Capture:

Slot Id: 1

Port Id: 10

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-10-0.pcap

Pcapsize: 1017424  bytes

Filter:

Sub Interface: 0

Application Instance Identifier: ftd1

Application Name: ftd

Slot Id: 1

Port Id: 9

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-9-0.pcap

Pcapsize: 1557432  bytes

Filter:

Sub Interface: 0

Application Instance Identifier: ftd1

Application Name: ftd

キャプチャファイルの収集

「Firepower 4100/9300内部スイッチキャプチャファイルの収集」セクションの手順に従います。

ファイル分析のキャプチャ

パケットキャプチャファイルリーダーアプリケーションを使用して、キャプチャファイルを開きます。複数のバックプレーンインターフェイスがある場合は、各バックプレーンインターフェイスのすべてのキャプチャファイルを必ず開いてください。この場合、パケットはバックプレーンインターフェイスEthernet1/9でキャプチャされます。

最初と2番目のパケットを選択し、キーポイントを確認します。

1. 各ICMPエコー要求パケットがキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、出力インターフェイスEthernet1/3を識別する追加のポートVLANタグ103を挿入します。

4. 内部スイッチは、追加のVNタグを挿入します。

3番目と4番目のパケットを選択し、キーポイントを確認します。

1. 各ICMPエコー応答はキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、出力インターフェイスEthernet1/2を識別する追加のポートVLANタグ102を挿入します。

4. 内部スイッチは、追加のVNタグを挿入します。

説明

バックプレーンインターフェイスでパケットキャプチャが設定されると、スイッチは各パケットを同時に2回キャプチャします。この場合、内部スイッチは、セキュリティモジュール上のアプリケーションによってポートVLANタグとVNタグですでにタグ付けされたパケットを受信します。VLANタグは、内部シャーシがパケットをネットワークに転送するために使用する出力インターフェイスを示します。ICMPエコー要求パケットのVLANタグ103はEthernet1/3を出力インターフェイスとして識別し、ICMPエコー応答パケットのVLANタグ102はEthernet1/2を出力インターフェイスとして識別します。内部スイッチは、パケットがネットワークに転送される前に、VNタグと内部インターフェイスVLANタグを削除します。

タスクの要約を次の表に示します。

タスク

キャプチャポイント

キャプチャされたパケットの内部ポートVLAN

方向

キャプチャされたトラフィック

バックプレーンインターフェイスでのパケットキャプチャの設定と確認

バックプレーンインターフェイス

102

103

入力のみ

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

ホスト198.51.100.100からホスト192.0.2.100へのICMPエコー応答

アプリケーションおよびアプリケーションポートでのパケットキャプチャ

アプリケーションまたはアプリケーションポートのパケットキャプチャは、常にバックプレーンインターフェイスに設定され、さらにユーザがアプリケーションキャプチャの方向を指定すると、前面インターフェイスにも設定されます。

主に2つの使用例があります。

- 特定の前面インターフェイスから発信されるパケットのパケットキャプチャをバックプレーンインターフェイスで設定します。たとえば、インターフェイスEthernet1/2から発信されるパケットのパケットキャプチャをバックプレーンインターフェイスEthernet1/9に設定します。

- 特定の前面インターフェイスとバックプレーンインターフェイスで同時パケットキャプチャを設定します。たとえば、インターフェイスEthernet1/2を離れるパケットに対して、インターフェイスEthernet1/2とバックプレーンインターフェイスEthernet1/9で同時パケットキャプチャを設定します。

このセクションでは、両方の使用例について説明します。

タスク 1

FCMとCLIを使用して、バックプレーンインターフェイスでパケットキャプチャを設定および確認します。アプリケーションポートEthernet1/2が出力インターフェイスとして識別されているパケットがキャプチャされます。この場合、ICMP応答がキャプチャされます。

トポロジ、パケットフロー、およびキャプチャポイント

コンフィギュレーション

FCM

FTDアプリケーションとアプリケーションポートEthernet1/2でパケットキャプチャを設定するには、FCMで次の手順を実行します。

1. [Tools] > [Packet Capture] > [Capture Session] を使用して、新しいキャプチャセッションを作成します。

2. [Application Port] ドロップダウンリストでアプリケーションEthernet1/2を選択し、[Application Capture Direction] で[Egress Packet] を選択します。[Session Name] を入力し、[Save and Run] をクリックしてキャプチャをアクティブにします。

FXOS CLI

バックプレーンインターフェイスでパケットキャプチャを設定するには、FXOS CLIで次の手順を実行します。

1. アプリケーションのタイプと識別子を特定します。

firepower# scope ssa

firepower /ssa#  show app-instance

App Name   Identifier Slot ID    Admin State Oper State       Running Version Startup Version Deploy Type Turbo Mode Profile Name Cluster State   Cluster Role

---------- ---------- ---------- ----------- ---------------- --------------- --------------- ----------- ---------- ------------ --------------- ------------

ftd        ftd1       1          Enabled     Online           7.2.0.82        7.2.0.82        Native      No                      Not Applicable  None

2. キャプチャセッションを作成します。

firepower# scope packet-capture

firepower /packet-capture # create session cap1

firepower /packet-capture/session* # create app-port 1 l12 Ethernet1/2 ftd

firepower /packet-capture/session/app-port* # set app-identifier ftd1

firepower /packet-capture/session/app-port* # set filter ""

firepower /packet-capture/session/app-port* # set subinterface 0

firepower /packet-capture/session/app-port* # up

firepower /packet-capture/session* # commit

firepower /packet-capture/session #

確認

FCM

[Interface Name] を確認し、[Operational Status] が[up]になっており、[File Size (in bytes)] が増加していることを確認します。

FXOS CLI

scope packet-captureでキャプチャの詳細を確認します。

firepower# scope packet-capture

firepower /packet-capture #  show session cap1

Traffic Monitoring Session:

Packet Capture Session Name: cap1

Session: 1

Admin State: Enabled

Oper State: Up

Oper State Reason: Active

Config Success: Yes

Config Fail Reason:

Append Flag: Overwrite

Session Mem Usage: 256  MB

Session Pcap Snap Len: 1518  Bytes

Error Code: 0

Drop Count: 0

Application ports involved in Packet Capture:

Slot Id: 1

Link Name: l12

Port Name: Ethernet1/2

App Name: ftd

Sub Interface: 0

Application Instance Identifier: ftd1

Application ports resolved to:

Name: vnic1

Eq Slot Id: 1

Eq Port Id: 9

Pcapfile: /workspace/packet-capture/session-1/cap1-vethernet-1036.pcap

Pcapsize: 53640  bytes

Vlan: 102

Filter:

Name: vnic2

Eq Slot Id: 1

Eq Port Id: 10

Pcapfile: /workspace/packet-capture/session-1/cap1-vethernet-1175.pcap

Pcapsize: 1824  bytes

Vlan: 102

Filter:

キャプチャファイルの収集

「Firepower 4100/9300内部スイッチキャプチャファイルの収集」セクションの手順に従います。

ファイル分析のキャプチャ

パケットキャプチャファイルリーダーアプリケーションを使用して、キャプチャファイルを開きます。複数のバックプレーンインターフェイスがある場合は、各バックプレーンインターフェイスのすべてのキャプチャファイルを必ず開いてください。この場合、パケットはバックプレーンインターフェイスEthernet1/9でキャプチャされます。

最初と2番目のパケットを選択し、キーポイントを確認します。

1. 各ICMPエコー応答はキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、出力インターフェイスEthernet1/2を識別する追加のポートVLANタグ102を挿入します。

4. 内部スイッチは、追加のVNタグを挿入します。

説明

この場合、ポートVLANタグ102を持つEthernet1/2がICMPエコー応答パケットの出力インターフェイスです。

キャプチャオプションでアプリケーションキャプチャ方向がEgressに設定されている場合、イーサネットヘッダーにポートVLANタグ102が含まれるパケットは、入力方向のバックプレーンインターフェイスでキャプチャされます。

タスクの要約を次の表に示します。

タスク

キャプチャポイント

キャプチャされたパケットの内部ポートVLAN

方向

キャプチャされたトラフィック

アプリケーションおよびアプリケーションポートEthernet1/2でのキャプチャの設定と確認

バックプレーンインターフェイス

102

入力のみ

ホスト198.51.100.100からホスト192.0.2.100へのICMPエコー応答

タスク 2

FCMとCLIを使用して、バックプレーンインターフェイスと前面インターフェイスEthernet1/2のパケットキャプチャを設定および確認します。

同時パケットキャプチャは次の場所で設定されます。

- 前面インターフェイス：インターフェイスEthernet1/2上のポートVLAN 102を持つパケットがキャプチャされます。キャプチャされたパケットはICMPエコー要求です。

- バックプレーンインターフェイス：Ethernet1/2が出力インターフェイスとして識別されるパケット、またはポートVLAN 102のパケットがキャプチャされます。キャプチャされたパケットはICMPエコー応答です。

トポロジ、パケットフロー、およびキャプチャポイント

コンフィギュレーション

FCM

FTDアプリケーションとアプリケーションポートEthernet1/2でパケットキャプチャを設定するには、FCMで次の手順を実行します。

1. [Tools] > [Packet Capture] > [Capture Session] を使用して、新しいキャプチャセッションを作成します。

2. [Application Port] ドロップダウンリストでFTDアプリケーションEthernet1/2を選択し、[Application Capture Direction] で[All Packets] を選択します。[Session Name] を入力し、[Save and Run] をクリックしてキャプチャをアクティブにします。

FXOS CLI

バックプレーンインターフェイスでパケットキャプチャを設定するには、FXOS CLIで次の手順を実行します。

1. アプリケーションのタイプと識別子を特定します。

firepower# scope ssa

firepower /ssa#  show app-instance

App Name   Identifier Slot ID    Admin State Oper State       Running Version Startup Version Deploy Type Turbo Mode Profile Name Cluster State   Cluster Role

---------- ---------- ---------- ----------- ---------------- --------------- --------------- ----------- ---------- ------------ --------------- ------------

ftd        ftd1       1          Enabled     Online           7.2.0.82        7.2.0.82        Native      No                      Not Applicable  None

2. キャプチャセッションを作成します。

firepower# scope packet-capture

firepower /packet-capture # create session cap1

firepower /packet-capture/session* # create phy-port eth1/2

firepower /packet-capture/session/phy-port* # set app-identifier ftd1

firepower /packet-capture/session/phy-port* # exit

firepower /packet-capture/session* # create app-port 1 link12 Ethernet1/2 ftd

firepower /packet-capture/session/app-port* # set app-identifier ftd1

firepower /packet-capture/session* # enable

firepower /packet-capture/session* # commit

firepower /packet-capture/session # commit

確認

FCM

[Interface Name] を確認し、[Operational Status] が[up]になっており、[File Size (in bytes)] が増加していることを確認します。

FXOS CLI

scope packet-captureでキャプチャの詳細を確認します。

firepower# scope packet-capture

firepower /packet-capture #  show session cap1

Traffic Monitoring Session:

Packet Capture Session Name: cap1

Session: 1

Admin State: Enabled

Oper State: Up

Oper State Reason: Active

Config Success: Yes

Config Fail Reason:

Append Flag: Overwrite

Session Mem Usage: 256  MB

Session Pcap Snap Len: 1518  Bytes

Error Code: 0

Drop Count: 0

Physical ports involved in Packet Capture:

Slot Id: 1

Port Id: 2

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-2-0.pcap

Pcapsize: 410444  bytes

Filter:

Sub Interface: 0

Application Instance Identifier: ftd1

Application Name: ftd

Application ports involved in Packet Capture:

Slot Id: 1

Link Name: link12

Port Name: Ethernet1/2

App Name: ftd

Sub Interface: 0

Application Instance Identifier: ftd1

Application ports resolved to:

Name: vnic1

Eq Slot Id: 1

Eq Port Id: 9

Pcapfile: /workspace/packet-capture/session-1/cap1-vethernet-1036.pcap

Pcapsize: 128400  bytes

Vlan: 102

Filter:

Name: vnic2

Eq Slot Id: 1

Eq Port Id: 10

Pcapfile: /workspace/packet-capture/session-1/cap1-vethernet-1175.pcap

Pcapsize: 2656  bytes

Vlan: 102

Filter:

キャプチャファイルの収集

「Firepower 4100/9300内部スイッチキャプチャファイルの収集」セクションの手順に従います。

ファイル分析のキャプチャ

パケットキャプチャファイルリーダーアプリケーションを使用して、キャプチャファイルを開きます。複数のバックプレーンインターフェイスがある場合は、各バックプレーンインターフェイスのすべてのキャプチャファイルを必ず開いてください。  この場合、パケットはバックプレーンインターフェイスEthernet1/9でキャプチャされます。

インターフェイスEthernet1/2のキャプチャファイルを開き、最初のパケットを選択して、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、入力インターフェイスEthernet1/2を識別する追加ポートVLANタグ102を挿入します。

4. 内部スイッチは、追加のVNタグを挿入します。

2番目のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、入力インターフェイスEthernet1/2を識別する追加ポートVLANタグ102を挿入します。

インターフェイスEthernet1/9のキャプチャファイルを開き、最初と2番目のパケットを選択し、キーポイントを確認します。

1. 各ICMPエコー応答はキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、出力インターフェイスEthernet1/2を識別する追加のポートVLANタグ102を挿入します。

4. 内部スイッチは、追加のVNタグを挿入します。

説明

[Application Capture Direction] で[All Packets] オプションを選択すると、選択したアプリケーションポートEthernet1/2に関連する2つの同時パケットキャプチャが設定されます。前面インターフェイスEthernet1/2上のキャプチャと、選択したバックプレーンインターフェイス上のキャプチャ。

前面インターフェイスでパケットキャプチャが設定されると、スイッチは各パケットを同時に2回キャプチャします。

- ポートVLANタグの挿入後。

- VNタグの挿入後。

操作順では、VNタグはポートVLANタグの挿入よりも後の段階で挿入されます。ただし、キャプチャファイルでは、VNタグが付いたパケットは、ポートVLANタグが付いたパケットよりも前に表示されます。この例では、ICMPエコー要求パケットのVLANタグ102によって、Ethernet1/2が入力インターフェイスとして識別されます。

バックプレーンインターフェイスでパケットキャプチャが設定されると、スイッチは各パケットを同時に2回キャプチャします。内部スイッチは、セキュリティモジュール上のアプリケーションによってすでにタグ付けされたパケットを、ポートVLANタグとVNタグを使用して受信します。ポートVLANタグは、内部シャーシがパケットをネットワークに転送するために使用する出力インターフェイスを示します。この例では、ICMPエコー応答パケット内のVLANタグ102によって、Ethernet1/2が出力インターフェイスとして識別されます。

内部スイッチは、パケットがネットワークに転送される前に、VNタグと内部インターフェイスVLANタグを削除します。

タスクの要約を次の表に示します。

タスク

キャプチャポイント

キャプチャされたパケットの内部ポートVLAN

方向

キャプチャされたトラフィック

アプリケーションおよびアプリケーションポートEthernet1/2でのキャプチャの設定と確認

バックプレーンインターフェイス

102

入力のみ

ホスト198.51.100.100からホスト192.0.2.100へのICMPエコー応答

Interface Ethernet1/2

102

入力のみ

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

物理インターフェイスまたはポートチャネルインターフェイスのサブインターフェイスでのパケットキャプチャ

FCMおよびCLIを使用して、サブインターフェイスEthernet1/2.205またはポートチャネルサブインターフェイスPortchannel1.207でのパケットキャプチャを設定および確認します。サブインターフェイスおよびサブインターフェイスでのキャプチャは、コンテナモードのFTDアプリケーションでのみサポートされます。この場合、Ethernet1/2.205とPortchannel1.207のパケットキャプチャが設定されています。

トポロジ、パケットフロー、およびキャプチャポイント

コンフィギュレーション

FCM

FTDアプリケーションとアプリケーションポートEthernet1/2でパケットキャプチャを設定するには、FCMで次の手順を実行します。

1. [Tools] > [Packet Capture] > [Capture Session] を使用して、新しいキャプチャセッションを作成します。

2. 特定のアプリケーションインスタンスftd1、サブインターフェイスEthernet1/2.205を選択し、セッション名を指定して、[Save and Run] をクリックしてキャプチャをアクティブにします。

3.ポートチャネルサブインターフェイスの場合、Cisco Bug ID CSCvq33119により、サブインターフェイスはFCMに表示されません。FXOS CLIを使用して、ポートチャネルサブインターフェイスのキャプチャを設定します。

FXOS CLI

サブインターフェイスEthernet1/2.205およびPortchannel1.207でパケットキャプチャを設定するには、FXOS CLIで次の手順を実行します。

1. アプリケーションのタイプと識別子を特定します。

firepower# scope ssa

firepower /ssa #  show app-instance

App Name   Identifier Slot ID    Admin State Oper State       Running Version Startup Version Deploy Type Turbo Mode Profile Name Cluster State   Cluster Role

---------- ---------- ---------- ----------- ---------------- --------------- --------------- ----------- ---------- ------------ --------------- ------------

ftd        ftd1       1          Enabled     Online           7.2.0.82        7.2.0.82        Container   No         RP20         Not Applicable  None

ftd        ftd2       1          Enabled     Online           7.2.0.82        7.2.0.82        Container   No         RP20         Not Applicable  None

2. ポートチャネルインターフェイスの場合は、そのメンバーインターフェイスを特定します。

firepower# connect fxos

<output skipped>

firepower(fxos)# show port-channel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

--------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

1     Po1(SU)     Eth      LACP      Eth1/3(P)    Eth1/3(P)

3. キャプチャセッションを作成します。

firepower# scope packet-capture

firepower /packet-capture # create session cap1

firepower /packet-capture/session* # create phy-port Eth1/2

firepower /packet-capture/session/phy-port* # set app ftd

firepower /packet-capture/session/phy-port* # set app-identifier ftd1

firepower /packet-capture/session/phy-port* # set subinterface 205

firepower /packet-capture/session/phy-port* # up

firepower /packet-capture/session* # enable

firepower /packet-capture/session* # commit

firepower /packet-capture/session #

ポートチャネルサブインターフェイスの場合、各ポートチャネルメンバーインターフェイスのパケットキャプチャを作成します。

firepower#  scope packet-capture

firepower /packet-capture # create filter vlan207

firepower /packet-capture/filter* # set ovlan 207

firepower /packet-capture/filter* # up

firepower /packet-capture* # create session cap1

firepower /packet-capture/session*  create phy-port Eth1/3

firepower /packet-capture/session/phy-port* # set app ftd

firepower /packet-capture/session/phy-port* # set app-identifier ftd1

firepower /packet-capture/session/phy-port* # set subinterface 207

firepower /packet-capture/session/phy-port* # up

firepower /packet-capture/session* # create phy-port Eth1/4

firepower /packet-capture/session/phy-port* # set app ftd

firepower /packet-capture/session/phy-port* # set app-identifier ftd1

firepower /packet-capture/session/phy-port* # set subinterface 207

firepower /packet-capture/session/phy-port* # up

firepower /packet-capture/session* # enable

firepower /packet-capture/session* # commit

firepower /packet-capture/session #

確認

FCM

[Interface Name] を確認し、[Operational Status] が[up]になっており、[File Size (in bytes)] が増加していることを確認します。

FXOS CLIで設定されたポートチャネルサブインターフェイスキャプチャもFCMで表示されます。ただし、次のように編集することはできません。

FXOS CLI

scope packet-captureでキャプチャの詳細を確認します。

firepower# scope packet-capture

firepower /packet-capture # show session cap1

Traffic Monitoring Session:

Packet Capture Session Name: cap1

Session: 1

Admin State: Enabled

Oper State: Up

Oper State Reason: Active

Config Success: Yes

Config Fail Reason:

Append Flag: Overwrite

Session Mem Usage: 256  MB

Session Pcap Snap Len: 1518  Bytes

Error Code: 0

Drop Count: 0

Physical ports involved in Packet Capture:

Slot Id: 1

Port Id: 2

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-2-0.pcap

Pcapsize: 9324  bytes

Filter:

Sub Interface: 205

Application Instance Identifier: ftd1

Application Name: ftd

メンバーインターフェイスEthernet1/3およびEthernet1/4を持つポートチャネル1:

firepower# scope packet-capture

firepower /packet-capture # show session cap1

Traffic Monitoring Session:

Packet Capture Session Name: cap1

Session: 1

Admin State: Enabled

Oper State: Up

Oper State Reason: Active

Config Success: Yes

Config Fail Reason:

Append Flag: Overwrite

Session Mem Usage: 256  MB

Session Pcap Snap Len: 1518  Bytes

Error Code: 0

Drop Count: 0

Physical ports involved in Packet Capture:

Slot Id: 1

Port Id: 3

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-3-0.pcap

Pcapsize: 160  bytes

Filter:

Sub Interface: 207

Application Instance Identifier: ftd1

Application Name: ftd

Slot Id: 1

Port Id: 4

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-4-0.pcap

Pcapsize: 624160  bytes

Filter:

Sub Interface: 207

Application Instance Identifier: ftd1

Application Name: ftd

キャプチャファイルの収集

「Firepower 4100/9300内部スイッチキャプチャファイルの収集」セクションの手順に従います。

ファイル分析のキャプチャ

パケットキャプチャファイルリーダーアプリケーションを使用して、キャプチャファイルを開きます。最初のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグ205が付いています。

3. 内部スイッチは、入力インターフェイスEthernet1/2を識別する追加ポートVLANタグ102を挿入します。

4. 内部スイッチは、追加のVNタグを挿入します。

2番目のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグ205が付いています。

次に、Portchannel1.207のキャプチャファイルを開きます。最初のパケットを選択し、キーポイントを確認します

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグ207が付いています。

3. 内部スイッチは、入力インターフェイスPortchannel1を識別する追加ポートVLANタグ1001を挿入します。

4. 内部スイッチは、追加のVNタグを挿入します。

2番目のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグ207が付いています。

説明

前面インターフェイスでパケットキャプチャが設定されると、スイッチは各パケットを同時に2回キャプチャします。

- ポートVLANタグの挿入後。

- VNタグの挿入後。

操作順では、VNタグはポートVLANタグの挿入よりも後の段階で挿入されます。ただし、キャプチャファイルでは、VNタグが付いたパケットは、ポートVLANタグが付いたパケットよりも前に表示されます。また、サブインターフェイスの場合は、キャプチャファイル内の各2番目のパケットにポートVLANタグが含まれていません。

タスクの要約を次の表に示します。

タスク

キャプチャポイント

キャプチャされたパケットの内部ポートVLAN

方向

キャプチャされたトラフィック

サブインターフェイスEthernet1/2.205でのパケットキャプチャの設定と確認

Ethernet1/2.205

102

入力のみ

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

メンバーインターフェイスEthernet1/3およびEthernet1/4を使用して、Portchannel1サブインターフェイスでパケットキャプチャを設定および確認します

Ethernet1/3

Ethernet1/4

1001

入力のみ

192.168.207.100からホスト192.168.207.102へのICMPエコー要求

パケット キャプチャ フィルタ

FCMとCLIを使用して、インターフェイスEthernet1/2のパケットキャプチャをフィルタを使用して設定および確認します。

トポロジ、パケットフロー、およびキャプチャポイント

コンフィギュレーション

FCM

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求パケットのキャプチャフィルタを設定し、インターフェイスEthernet1/2のパケットキャプチャに適用するには、FCMで次の手順を実行します。

1. [Tools] > [Packet Capture] > [Filter List] > [Add Filter] を使用して、キャプチャフィルタを作成します。

2. [Filter Name]、[Protocol]、[Source IPv4]、[Destination IPv4] を指定し、[Save] をクリックします。

3. [Tools] > [Packet Capture] > [Capture Session] を使用して、新しいキャプチャセッションを作成します。

4. [Ethernet1/2]を選択し、[Session Name] を指定してキャプチャフィルタを適用し、[Save and Run] をクリックしてキャプチャをアクティブにします。

FXOS CLI

バックプレーンインターフェイスでパケットキャプチャを設定するには、FXOS CLIで次の手順を実行します。

1. アプリケーションのタイプと識別子を特定します。

firepower# scope ssa

firepower /ssa#  show app-instance

App Name   Identifier Slot ID    Admin State Oper State       Running Version Startup Version Deploy Type Turbo Mode Profile Name Cluster State   Cluster Role

---------- ---------- ---------- ----------- ---------------- --------------- --------------- ----------- ---------- ------------ --------------- ------------

ftd        ftd1       1          Enabled     Online           7.2.0.82        7.2.0.82        Native      No                      Not Applicable  None

2. https://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtmlでIPプロトコル番号を特定します。この場合、ICMPプロトコル番号は1です。

3.キャプチャセッションを作成します。

2. firepower# scope packet-capture

firepower /packet-capture # create filter filter_icmp

firepower /packet-capture/filter* # set destip 198.51.100.100

firepower /packet-capture/filter* # set protocol 1

firepower /packet-capture/filter* # set srcip 192.0.2.100

firepower /packet-capture/filter* # exit

firepower /packet-capture* # create session cap1

firepower /packet-capture/session* # create phy-port Ethernet1/2

firepower /packet-capture/session/phy-port* # set app ftd

firepower /packet-capture/session/phy-port* # set app-identifier ftd1

firepower /packet-capture/session/phy-port* # set filter filter_icmp

firepower /packet-capture/session/phy-port* # exit

firepower /packet-capture/session* # enable

firepower /packet-capture/session* # commit

firepower /packet-capture/session #

確認

FCM

[Interface Name] を確認し、[Operational Status] が[up]になっており、[File Size (in bytes)] が増加していることを確認します。

[Tools] > [Packet Capture] > [Capture Session] で、インターフェイス名、フィルタ、Operational Statusがupになっていることを確認し、ファイルサイズ（バイト単位）を増やします。

FXOS CLI

scope packet-captureでキャプチャの詳細を確認します。

firepower# scope packet-capture

firepower /packet-capture # show filter detail

Configure a filter for packet capture:

Name: filter_icmp

Protocol: 1

Ivlan: 0

Ovlan: 0

Src Ip: 192.0.2.100

Dest Ip: 198.51.100.100

Src MAC: 00:00:00:00:00:00

Dest MAC: 00:00:00:00:00:00

Src Port: 0

Dest Port: 0

Ethertype: 0

Src Ipv6: ::

Dest Ipv6: ::

firepower /packet-capture # show session cap1

Traffic Monitoring Session:

Packet Capture Session Name: cap1

Session: 1

Admin State: Enabled

Oper State: Up

Oper State Reason: Active

Config Success: Yes

Config Fail Reason:

Append Flag: Overwrite

Session Mem Usage: 256  MB

Session Pcap Snap Len: 1518  Bytes

Error Code: 0

Drop Count: 0

Physical ports involved in Packet Capture:

Slot Id: 1

Port Id: 2

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-2-0.pcap

Pcapsize: 213784  bytes

Filter: filter_icmp

Sub Interface: 0

Application Instance Identifier: ftd1

Application Name: ftd

キャプチャファイルの収集

「Firepower 4100/9300内部スイッチキャプチャファイルの収集」セクションの手順に従います。

ファイル分析のキャプチャ

パケットキャプチャファイルリーダーアプリケーションを使用して、キャプチャファイルを開きます。最初のパケットを選択し、キーポイントを確認します

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、入力インターフェイスEthernet1/2を識別する追加ポートVLANタグ102を挿入します。

4. 内部スイッチは、追加のVNタグを挿入します。

2番目のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。各パケットはキャプチャされ、2回表示されます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

3. 内部スイッチは、入力インターフェイスEthernet1/2を識別する追加ポートVLANタグ102を挿入します。

説明

前面インターフェイスでパケットキャプチャが設定されると、スイッチは各パケットを同時に2回キャプチャします。

- ポートVLANタグの挿入後。

- VNタグの挿入後。

操作順では、VNタグはポートVLANタグの挿入よりも後の段階で挿入されます。ただし、キャプチャファイルでは、VNタグが付いたパケットは、ポートVLANタグが付いたパケットよりも前に表示されます。

キャプチャフィルタが適用されると、入力方向のフィルタに一致するパケットだけがキャプチャされます。

タスクの要約を次の表に示します。

タスク

キャプチャポイント

キャプチャされたパケットの内部ポートVLAN

方向

ユーザフィルタ

キャプチャされたトラフィック

前面インターフェイスEthernet1/2のフィルタを使用してパケットキャプチャを設定および確認します

Ethernet1/2

102

入力のみ

プロトコル:ICMP

Source:192.0.2.100

送信先:198.51.100.100

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

Firepower 4100/9300内部スイッチキャプチャファイルの収集

FCM

内部スイッチキャプチャファイルを収集するには、FCMで次の手順を実行します。

1. [Disable Session] ボタンをクリックして、アクティブなキャプチャを停止します。

2. 動作状態がDOWN - Session_Admin_Shut:

3. Downloadをクリックして、キャプチャファイルをダウンロードします。

ポートチャネルインターフェイスの場合は、メンバーインターフェイスごとにこの手順を繰り返します。

FXOS CLI

キャプチャファイルを収集するには、FXOS CLIで次の手順を実行します。

1. アクティブなキャプチャを停止します。

firepower# scope packet-capture

firepower /packet-capture # scope session cap1

firepower /packet-capture/session # disable

firepower /packet-capture/session* # commit

firepower /packet-capture/session # up

firepower /packet-capture # show session cap1 detail

Traffic Monitoring Session:

Packet Capture Session Name: cap1

Session: 1

Admin State: Disabled

Oper State: Down

Oper State Reason: Admin Disable

Config Success: Yes

Config Fail Reason:

Append Flag: Overwrite

Session Mem Usage: 256  MB

Session Pcap Snap Len: 1518  Bytes

Error Code: 0

Drop Count: 0

Physical ports involved in Packet Capture:

Slot Id: 1

Port Id: 2

Pcapfile: /workspace/packet-capture/session-1/cap1-ethernet-1-2-0.pcap

Pcapsize: 115744  bytes

Filter:

Sub Interface: 0

Application Instance Identifier: ftd1

Application Name: ftd

2. local-mgmtコマンドスコープからキャプチャファイルをアップロードします。

firepower# connect local-mgmt

firepower(local-mgmt)# copy /packet-capture/session-1/cap1-ethernet-1-2-0.pcap ?

ftp:        Dest File URI

http:       Dest File URI

https:      Dest File URI

scp:        Dest File URI

sftp:       Dest File URI

tftp:       Dest File URI

usbdrive:   Dest File URI

volatile:   Dest File URI

workspace:  Dest File URI

firepower(local-mgmt)# copy /packet-capture/session-1/cap1-ethernet-1-2-0.pcap ftp://ftpuser@10.10.10.1/cap1-ethernet-1-2-0.pcap

Password:

ポートチャネルインターフェイスの場合は、各メンバーインターフェイスのキャプチャファイルをコピーします。

のガイドライン、制限事項、およびベストプラクティス 内部スイッチ パケット キャプチャ

Firepower 4100/9300の内部スイッチキャプチャに関連するガイドラインと制限事項については、『Cisco Firepower 4100/9300 FXOS Chassis Manager Configuration Guide』または『Cisco Firepower 4100/9300 FXOS CLI Configuration Guide』の第トラブルシューティング章の「Packet Capture」を参照してください。

TACケースでのパケットキャプチャの使用に基づくベストプラクティスのリストを次に示します。

- ガイドラインと制限事項に注意してください。

- すべてのポートチャネルメンバーインターフェイスでパケットをキャプチャし、すべてのキャプチャファイルを分析します。

- キャプチャフィルタを使用します。

- キャプチャフィルタの設定時に、パケットIPアドレスに対するNATの影響を考慮してください。

- デフォルト値の1518バイトと異なる場合に、フレームサイズを指定するスナップ長を増減します。サイズが小さいほど、キャプチャされたパケットの数が増え、その逆も同様です。

- 必要に応じて[Buffer Size] を調整します。

- FCMまたはFXOS CLIのDrop Countに注意してください。バッファサイズの制限に達すると、廃棄カウントカウンタが増加します。

- Wiresharkでフィルタ!vntagを使用して、VNタグのないパケットだけを表示します。これは、前面インターフェイスのパケットキャプチャファイルでVNタグ付きパケットを非表示にする場合に便利です。

- Wiresharkでフィルタframe.number&1 を使用して、奇数フレームだけを表示します。これは、バックプレーンインターフェイスのパケットキャプチャファイル内の重複パケットを非表示にする場合に便利です。

- TCPなどのプロトコルの場合、Wiresharkはデフォルトで、特定の条件を持つパケットを異なる色で表示する色付けルールを適用します。キャプチャファイル内の重複パケットが原因で内部スイッチキャプチャが発生した場合、パケットに色付けをして誤検出でマーキングすることができます。パケットキャプチャファイルを分析してフィルタを適用した場合、表示されたパケットを新しいファイルにエクスポートし、代わりに新しいファイルを開きます。

の設定と検証 Secure Firewall 3100

Firepower 4100/9300とは異なり、Secure Firewall 3100の内部スイッチキャプチャは、capture <name> switchコマンドを使用してアプリケーションコマンドラインインターフェイス(CLI)で設定されます。ここで、switchオプションは、キャプチャが内部スイッチで設定されていることを指定します。

次に、switchオプションを指定したcaptureコマンドを示します。

> capture cap_sw switch ?

buffer         Configure size of capture buffer, default is 256MB

ethernet-type  Capture Ethernet packets of a particular type, default is IP

interface      Capture packets on a specific interface

ivlan          Inner Vlan

match          Capture packets based on match criteria

ovlan          Outer Vlan

packet-length  Configure maximum length to save from each packet, default is

64 bytes

real-time      Display captured packets in real-time. Warning: using this

option with a slow console connection may result in an

excessive amount of non-displayed packets due to performance

limitations.

stop           Stop packet capture

trace          Trace the captured packets

type           Capture packets based on a particular type

<cr>

パケットキャプチャ設定の一般的な手順は次のとおりです。

1. 入力インターフェイスを指定します。

スイッチのキャプチャ設定は、入力インターフェイスnameifを受け入れます。ユーザは、データインターフェイス名、内部アップリンク、または管理インターフェイスを指定できます。

> capture capsw switch interface ?

Available interfaces to listen:

in_data_uplink1  Capture packets on internal data uplink1 interface

in_mgmt_uplink1  Capture packets on internal mgmt uplink1 interface

inside           Name of interface Ethernet1/1.205

management       Name of interface Management1/1

2. イーサネットフレームのEtherTypeを指定します。デフォルトのEtherTypeはIPです。ethernet-typeオプションの値は、EtherTypeを指定します。

> capture capsw switch interface inside ethernet-type ?

802.1Q

<0-65535>  Ethernet type

arp

ip

ip6

pppoed

pppoes

rarp

sgt

vlan

3. 一致条件を指定します。capture matchオプションは、一致基準を指定します。

> capture capsw switch interface inside match ?

<0-255>  Enter protocol number (0 - 255)

ah

eigrp

esp

gre

icmp

icmp6

igmp

igrp

ip

ipinip

ipsec

mac      Mac-address filter

nos

ospf

pcp

pim

pptp

sctp

snp

spi      SPI value

tcp

udp

<cr>

4. バッファサイズ、パケット長など、他のオプションパラメータを指定します。

5. キャプチャを有効にします。コマンドno capture <name> switch stop は、キャプチャをアクティブにします。

> capture capsw switch interface inside match ip

> no capture capsw switch stop

6. キャプチャの詳細を確認します。

- 管理ステータスはenabledで、動作ステータスはupでactiveです。

- パケットキャプチャファイルサイズ：Pcapsize。

- show capture <cap_name>の出力に表示されるキャプチャされたパケットの数は0以外です。

- キャプチャパスPcapfile。キャプチャされたパケットは/mnt/disk0/packet-capture/フォルダに自動的に保存されます。

- 条件をキャプチャします。キャプチャ条件に基づいて、キャプチャフィルタが自動的に作成されます。

> show capture capsw

27 packet captured on disk using switch capture

Reading of capture file from disk is not supported

> show capture capsw  detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       enabled

Oper State:        up

Oper State Reason: Active

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           1

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap

Pcapsize:          18838

Filter:            capsw-1-1

Packet Capture Filter Info

Name:              capsw-1-1

Protocol:          0

Ivlan:             0

Ovlan:             205

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

0 packet captured on disk using switch capture

Reading of capture file from disk is not supported

7. 必要に応じてキャプチャを停止します。

> capture capsw switch stop

> show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       disabled

Oper State:        down

Oper State Reason: Session_Admin_Shut

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           1

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap

Pcapsize:          24

Filter:            capsw-1-1

Packet Capture Filter Info

Name:              capsw-1-1

Protocol:          0

Ivlan:             0

Ovlan:             205

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

0 packet captured on disk using switch capture

Reading of capture file from disk is not supported

8.キャプチャファイルを収集します。「Secure Firewall 3100内部スイッチキャプチャファイルの収集」セクションの手順に従ってください。

バージョン7.2では、内部スイッチのキャプチャ設定はFMCまたはFDMではサポートされていません。ASAソフトウェアバージョン9.18(1)以降の場合、内部スイッチキャプチャはASDMバージョン7.18.1.x以降で設定できます。

これらのシナリオは、Secure Firewall 3100内部スイッチキャプチャの一般的な使用例をカバーしています。

物理インターフェイスまたはポートチャネルインターフェイスでのパケットキャプチャ

FTDまたはASA CLIを使用して、インターフェイスEthernet1/1またはPortchannel1インターフェイスのパケットキャプチャを設定および確認します。両方のインターフェイスの名前はinsideです。

トポロジ、パケットフロー、およびキャプチャポイント

コンフィギュレーション

インターフェイスEthernet1/1またはPort-channel1でパケットキャプチャを設定するには、ASAまたはFTD CLIで次の手順を実行します。

1. nameifを確認します。

> show nameif

Interface                Name                     Security

Ethernet1/1              inside                     0

Ethernet1/2              outside                    0

Management1/1            diagnostic                 0

> show nameif

Interface                Name                     Security

Port-channel1            inside                    0

Ethernet1/2              outside                    0

Management1/1            diagnostic                 0

2. キャプチャセッションを作成します。

> capture capsw switch interface inside

3. キャプチャセッションを有効にします。

> no capture capsw switch stop

確認

キャプチャセッション名、管理および動作の状態、インターフェイススロット、およびIDを確認します。Pcapsizeの値（バイト単位）が増加し、キャプチャされたパケットの数が0以外であることを確認します。

> show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       enabled

Oper State:        up

Oper State Reason: Active

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           1

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap

Pcapsize:          12653

Filter:            capsw-1-1

Packet Capture Filter Info

Name:              capsw-1-1

Protocol:          0

Ivlan:             0

Ovlan:             0

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

79 packets captured on disk using switch capture

Reading of capture file from disk is not supported

ポートチャネル1の場合、キャプチャはすべてのメンバーインターフェイスで設定されます。

> show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       enabled

Oper State:        up

Oper State Reason: Active

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 2

Physical port:

Slot Id:           1

Port Id:           4

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-4-0.pcap

Pcapsize:          28824

Filter:            capsw-1-4

Packet Capture Filter Info

Name:              capsw-1-4

Protocol:          0

Ivlan:             0

Ovlan:             0

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Physical port:

Slot Id:           1

Port Id:           3

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-3-0.pcap

Pcapsize:          18399

Filter:            capsw-1-3

Packet Capture Filter Info

Name:              capsw-1-3

Protocol:          0

Ivlan:             0

Ovlan:             0

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

56 packet captured on disk using switch capture

Reading of capture file from disk is not supported

ポートチャネルメンバーインターフェイスは、FXOSのlocal-mgmtコマンドシェルでshow portchannel summary コマンドを使用して確認できます。

> connect fxos

…

KSEC-FPR3100-1 connect local-mgmt

KSEC-FPR3100-1(local-mgmt) show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

-------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

1     Po1(U)      Eth      LACP      Eth1/3(P)    Eth1/4(P)

LACP KeepAlive Timer:

--------------------------------------------------------------------------------

Channel  PeerKeepAliveTimerFast

--------------------------------------------------------------------------------

1     Po1(U)      False

Cluster LACP Status:

--------------------------------------------------------------------------------

Channel  ClusterSpanned  ClusterDetach  ClusterUnitID  ClusterSysID

--------------------------------------------------------------------------------

1     Po1(U)      False          False          0            clust

ASAのFXOSにアクセスするには、connect fxos adminコマンドを実行します。マルチコンテキストの場合は、管理コンテキストでコマンドを実行します。

キャプチャファイルの収集

「Secure Firewall 3100内部スイッチキャプチャファイルの収集」セクションの手順に従ってください。

ファイル分析のキャプチャ

パケットキャプチャファイルリーダーアプリケーションを使用して、Ethernet1/1のキャプチャファイルを開きます。最初のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

Portchannel1メンバーインターフェイスのキャプチャファイルを開きます。最初のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。

2. 元のパケットヘッダーにはVLANタグが付いていません。

説明

スイッチキャプチャは、インターフェイスEthernet1/1またはPortchannel1で設定されます。

タスクの要約を次の表に示します。

タスク

キャプチャポイント

内部フィルタ

方向

キャプチャされたトラフィック

インターフェイスEthernet1/1でのパケットキャプチャの設定と確認

Ethernet1/1

なし

入力のみ

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

メンバーインターフェイスEthernet1/3およびEthernet1/4を持つインターフェイスPortchannel1でパケットキャプチャを設定および確認します

Ethernet1/3

Ethernet1/4

なし

入力のみ

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

物理インターフェイスまたはポートチャネルインターフェイスのサブインターフェイスでのパケットキャプチャ

FTDまたはASA CLIを使用して、サブインターフェイスEthernet1/1.205またはPortchannel1.205上のパケットキャプチャを設定および確認します。両方のサブインターフェイスの名前はinsideです。

トポロジ、パケットフロー、およびキャプチャポイント

コンフィギュレーション

インターフェイスEthernet1/1またはPort-channel1でパケットキャプチャを設定するには、ASAまたはFTD CLIで次の手順を実行します。

1. nameifを確認します。

> show nameif

Interface                Name                     Security

Ethernet1/1.205          inside                     0

Ethernet1/2              outside                    0

Management1/1            diagnostic                 0

> show nameif

Interface                Name                     Security

Port-channel1.205        inside                     0

Ethernet1/2              outside                    0

Management1/1            diagnostic                 0

2. キャプチャセッションを作成します。

> capture capsw switch interface inside

3. キャプチャセッションを有効にします。

> no capture capsw switch stop

確認

キャプチャセッション名、管理および動作の状態、インターフェイススロット、およびIDを確認します。Pcapsize値（バイト単位）が増加し、キャプチャされたパケットの数がゼロ以外であることを確認します。

> show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       enabled

Oper State:        up

Oper State Reason: Active

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           1

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap

Pcapsize:          6360

Filter:            capsw-1-1

Packet Capture Filter Info

Name:              capsw-1-1

Protocol:          0

Ivlan:             0

Ovlan:             205

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

46 packets captured on disk using switch capture

Reading of capture file from disk is not supported

この場合、外部VLAN Ovlan=205のフィルタが作成され、インターフェイスに適用されます。

Port-channel1の場合、フィルタOvlan=205を使用したキャプチャがすべてのメンバーインターフェイスで設定されます。

> show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       enabled

Oper State:        up

Oper State Reason: Active

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 2

Physical port:

Slot Id:           1

Port Id:           4

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-4-0.pcap

Pcapsize:          23442

Filter:            capsw-1-4

Packet Capture Filter Info

Name:              capsw-1-4

Protocol:          0

Ivlan:             0

Ovlan:             205

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Physical port:

Slot Id:           1

Port Id:           3

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-3-0.pcap

Pcapsize:          5600

Filter:            capsw-1-3

Packet Capture Filter Info

Name:              capsw-1-3

Protocol:          0

Ivlan:             0

Ovlan:             205

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

49 packet captured on disk using switch capture

Reading of capture file from disk is not supported

ポートチャネルメンバーインターフェイスは、FXOSのlocal-mgmtコマンドシェルでshow portchannel summary コマンドを使用して確認できます。

> connect fxos

…

KSEC-FPR3100-1 connect local-mgmt

KSEC-FPR3100-1(local-mgmt) show portchannel summary

Flags:  D - Down        P - Up in port-channel (members)

I - Individual  H - Hot-standby (LACP only)

s - Suspended   r - Module-removed

S - Switched    R - Routed

U - Up (port-channel)

M - Not in use. Min-links not met

-------------------------------------------------------------------------------

Group Port-       Type     Protocol  Member Ports

Channel

--------------------------------------------------------------------------------

1     Po1(U)      Eth      LACP      Eth1/3(P)    Eth1/4(P)

LACP KeepAlive Timer:

--------------------------------------------------------------------------------

Channel  PeerKeepAliveTimerFast

--------------------------------------------------------------------------------

1     Po1(U)      False

Cluster LACP Status:

--------------------------------------------------------------------------------

Channel  ClusterSpanned  ClusterDetach  ClusterUnitID  ClusterSysID

--------------------------------------------------------------------------------

1     Po1(U)      False          False          0            clust

ASAのFXOSにアクセスするには、connect fxos adminコマンドを実行します。マルチコンテキストの場合は、管理コンテキストでこのコマンドを実行します。

キャプチャファイルの収集

「Secure Firewall 3100内部スイッチキャプチャファイルの収集」セクションの手順に従ってください。

ファイル分析のキャプチャ

パケットキャプチャファイルリーダーアプリケーションを使用して、Ethernet1/1.205のキャプチャファイルを開きます。最初のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。

2. 元のパケットヘッダーにはVLANタグ205が付いています。

Portchannel1メンバーインターフェイスのキャプチャファイルを開きます。最初のパケットを選択し、キーポイントを確認します。

1. ICMPエコー要求パケットだけがキャプチャされます。

2. 元のパケットヘッダーにはVLANタグ205が付いています。

説明

スイッチキャプチャは、外部VLAN 205に一致するフィルタを使用して、サブインターフェイスEthernet1/1.205またはPortchannel1.205で設定されます。

タスクの要約を次の表に示します。

タスク

キャプチャポイント

内部フィルタ

方向

キャプチャされたトラフィック

サブインターフェイスEthernet1/1.205でのパケットキャプチャの設定と確認

Ethernet1/1

外部VLAN 205

入力のみ

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

サブインターフェイスPortchannel1.205で、メンバーインターフェイスEthernet1/3およびEthernet1/4を使用してパケットキャプチャを設定および確認します

Ethernet1/3

Ethernet1/4

外部VLAN 205

入力のみ

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

内部インターフェイスでのパケットキャプチャ

セキュアファイアウォールには、2つの内部インターフェイスがあります。

- in_data_uplink1：アプリケーションを内部スイッチに接続します。

- in_mgmt_uplink1：管理インターフェイスへのSSHなど、管理接続用の専用パケットパス、またはFMCとFTD間の管理接続（sftunnelとも呼ばれる）を提供します。

タスク 1

FTDまたはASA CLIを使用して、アップリンクインターフェイスin_data_uplink1でパケットキャプチャを設定および確認します。

トポロジ、パケットフロー、およびキャプチャポイント

コンフィギュレーション

インターフェイスin_data_uplink1でパケットキャプチャを設定するには、ASAまたはFTD CLIで次の手順を実行します。

1. キャプチャセッションを作成します。

> capture capsw switch interface in_data_uplink1

2. キャプチャセッションを有効にします。

> no capture capsw switch stop

確認

キャプチャセッション名、管理および動作の状態、インターフェイススロット、およびIDを確認します。Pcapsize値（バイト単位）が増加し、キャプチャされたパケットの数がゼロ以外であることを確認します。

>  show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       enabled

Oper State:        up

Oper State Reason: Active

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           18

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-data-uplink1.pcap

Pcapsize:          7704

Filter:            capsw-1-18

Packet Capture Filter Info

Name:              capsw-1-18

Protocol:          0

Ivlan:             0

Ovlan:             0

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

66 packets captured on disk using switch capture

Reading of capture file from disk is not supported

この場合、キャプチャは内部ID 18（セキュアファイアウォール3130のin_data_uplink1インターフェイス）を持つインターフェイスで作成されます。FXOS local-mgmtコマンドシェルのshow portmanager switch statusコマンドは、インターフェイスIDを示します。

> connect fxos

…

KSEC-FPR3100-1 connect local-mgmt

KSEC-FPR3100-1(local-mgmt) show portmanager switch status

Dev/Port         Mode        Link   Speed  Duplex  Loopback Mode  Port Manager

---------  ----------------  -----  -----  ------  -------------  ------------

0/1             SGMII         Up     1G     Full    None           Link-Up

0/2             SGMII         Up     1G     Full    None           Link-Up

0/3             SGMII         Up     1G     Full    None           Link-Up

0/4             SGMII         Up     1G     Full    None           Link-Up

0/5             SGMII        Down    1G     Half    None           Mac-Link-Down

0/6             SGMII        Down    1G     Half    None           Mac-Link-Down

0/7             SGMII        Down    1G     Half    None           Mac-Link-Down

0/8             SGMII        Down    1G     Half    None           Mac-Link-Down

0/9           1000_BaseX     Down    1G     Full    None           Link-Down

0/10          1000_BaseX     Down    1G     Full    None           Link-Down

0/11          1000_BaseX     Down    1G     Full    None           Link-Down

0/12          1000_BaseX     Down    1G     Full    None           Link-Down

0/13          1000_BaseX     Down    1G     Full    None           Link-Down

0/14          1000_BaseX     Down    1G     Full    None           Link-Down

0/15          1000_BaseX     Down    1G     Full    None           Link-Down

0/16          1000_BaseX     Down    1G     Full    None           Link-Down

0/17          1000_BaseX      Up     1G     Full    None           Link-Up

0/18             KR2          Up     50G    Full    None           Link-Up

0/19              KR          Up     25G    Full    None           Link-Up

0/20              KR          Up     25G    Full    None           Link-Up

0/21             KR4         Down    40G    Full    None           Link-Down

0/22             n/a         Down    n/a    Full    N/A            Reset

0/23             n/a         Down    n/a    Full    N/A            Reset

0/24             n/a         Down    n/a    Full    N/A            Reset

0/25          1000_BaseX     Down    1G     Full    None           Link-Down

0/26             n/a         Down    n/a    Full    N/A            Reset

0/27             n/a         Down    n/a    Full    N/A            Reset

0/28             n/a         Down    n/a    Full    N/A            Reset

0/29          1000_BaseX     Down    1G     Full    None           Link-Down

0/30             n/a         Down    n/a    Full    N/A            Reset

0/31             n/a         Down    n/a    Full    N/A            Reset

0/32             n/a         Down    n/a    Full    N/A            Reset

0/33          1000_BaseX     Down    1G     Full    None           Link-Down

0/34             n/a         Down    n/a    Full    N/A            Reset

0/35             n/a         Down    n/a    Full    N/A            Reset

0/36             n/a         Down    n/a    Full    N/A            Reset

ASAのFXOSにアクセスするには、connect fxos adminコマンドを実行します。マルチコンテキストの場合は、管理コンテキストでこのコマンドを実行します。

キャプチャファイルの収集

「Secure Firewall 3100内部スイッチキャプチャファイルの収集」セクションの手順に従ってください。

ファイル分析のキャプチャ

パケットキャプチャファイルリーダーアプリケーションを使用して、インターフェイスin_data_uplink1のキャプチャファイルを開きます。キーポイントを確認します。この場合、ICMPエコー要求パケットとエコー応答パケットがキャプチャされます。これらは、アプリケーションから内部スイッチに送信されるパケットです。

説明

アップリンクインターフェイスでスイッチキャプチャが設定されると、アプリケーションから内部スイッチに送信されるパケットだけがキャプチャされます。アプリケーションに送信されたパケットはキャプチャされません。

タスクの要約を次の表に示します。

タスク

キャプチャポイント

内部フィルタ

方向

キャプチャされたトラフィック

アップリンクインターフェイスin_data_uplink1でパケットキャプチャを設定および確認する

in_data_uplink1

なし

入力のみ

ホスト192.0.2.100からホスト198.51.100.100へのICMPエコー要求

ホスト198.51.100.100からホスト192.0.2.100へのICMPエコー応答

タスク 2

FTDまたはASA CLIを使用して、アップリンクインターフェイスin_mgmt_uplink1でパケットキャプチャを設定および確認します。管理プレーン接続のパケットのみがキャプチャされます。

トポロジ、パケットフロー、およびキャプチャポイント

コンフィギュレーション

インターフェイスin_mgmt_uplink1でパケットキャプチャを設定するには、ASAまたはFTD CLIで次の手順を実行します。

1. キャプチャセッションを作成します。

> capture capsw switch interface in_mgmt_uplink1

2. キャプチャセッションを有効にします。

> no capture capsw switch stop

確認

キャプチャセッション名、管理および動作の状態、インターフェイススロット、およびIDを確認します。Pcapsize値（バイト単位）が増加し、キャプチャされたパケットの数がゼロ以外であることを確認します。

> show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       enabled

Oper State:        up

Oper State Reason: Active

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           19

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-mgmt-uplink1.pcap

Pcapsize:          137248

Filter:            capsw-1-19

Packet Capture Filter Info

Name:              capsw-1-19

Protocol:          0

Ivlan:             0

Ovlan:             0

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

281 packets captured on disk using switch capture

Reading of capture file from disk is not supported

この場合、キャプチャは内部ID 19を持つインターフェイス上で作成されます。この内部ID 19は、セキュアファイアウォール3130上のin_mgmt_uplink1インターフェイスです。FXOS local-mgmtコマンドシェルのshow portmanager switch statusコマンドは、インターフェイスIDを表示します。

> connect fxos

…

KSEC-FPR3100-1 connect local-mgmt

KSEC-FPR3100-1(local-mgmt) show portmanager switch status

Dev/Port         Mode        Link   Speed  Duplex  Loopback Mode  Port Manager

---------  ----------------  -----  -----  ------  -------------  ------------

0/1             SGMII         Up     1G     Full    None           Link-Up

0/2             SGMII         Up     1G     Full    None           Link-Up

0/3             SGMII         Up     1G     Full    None           Link-Up

0/4             SGMII         Up     1G     Full    None           Link-Up

0/5             SGMII        Down    1G     Half    None           Mac-Link-Down

0/6             SGMII        Down    1G     Half    None           Mac-Link-Down

0/7             SGMII        Down    1G     Half    None           Mac-Link-Down

0/8             SGMII        Down    1G     Half    None           Mac-Link-Down

0/9           1000_BaseX     Down    1G     Full    None           Link-Down

0/10          1000_BaseX     Down    1G     Full    None           Link-Down

0/11          1000_BaseX     Down    1G     Full    None           Link-Down

0/12          1000_BaseX     Down    1G     Full    None           Link-Down

0/13          1000_BaseX     Down    1G     Full    None           Link-Down

0/14          1000_BaseX     Down    1G     Full    None           Link-Down

0/15          1000_BaseX     Down    1G     Full    None           Link-Down

0/16          1000_BaseX     Down    1G     Full    None           Link-Down

0/17          1000_BaseX      Up     1G     Full    None           Link-Up

0/18             KR2          Up     50G    Full    None           Link-Up

0/19              KR          Up     25G    Full    None           Link-Up

0/20              KR          Up     25G    Full    None           Link-Up

0/21             KR4         Down    40G    Full    None           Link-Down

0/22             n/a         Down    n/a    Full    N/A            Reset

0/23             n/a         Down    n/a    Full    N/A            Reset

0/24             n/a         Down    n/a    Full    N/A            Reset

0/25          1000_BaseX     Down    1G     Full    None           Link-Down

0/26             n/a         Down    n/a    Full    N/A            Reset

0/27             n/a         Down    n/a    Full    N/A            Reset

0/28             n/a         Down    n/a    Full    N/A            Reset

0/29          1000_BaseX     Down    1G     Full    None           Link-Down

0/30             n/a         Down    n/a    Full    N/A            Reset

0/31             n/a         Down    n/a    Full    N/A            Reset

0/32             n/a         Down    n/a    Full    N/A            Reset

0/33          1000_BaseX     Down    1G     Full    None           Link-Down

0/34             n/a         Down    n/a    Full    N/A            Reset

0/35             n/a         Down    n/a    Full    N/A            Reset

0/36             n/a         Down    n/a    Full    N/A            Reset

ASAのFXOSにアクセスするには、connect fxos adminコマンドを実行します。マルチコンテキストの場合は、管理コンテキストでこのコマンドを実行します。

キャプチャファイルの収集

「Secure Firewall 3100内部スイッチキャプチャファイルの収集」セクションの手順に従ってください。

ファイル分析のキャプチャ

パケットキャプチャファイルリーダーアプリケーションを使用して、インターフェイスin_mgmt_uplink1のキャプチャファイルを開きます。キーポイントを確認します。この場合、管理IPアドレス192.0.2.200からのパケットのみが表示されます。例としては、SSH、Sftunnel、ICMPエコー応答パケットなどがあります。これらは、アプリケーション管理インターフェイスから内部スイッチ経由でネットワークに送信されるパケットです。

説明

管理アップリンクインターフェイスでスイッチキャプチャが設定されると、アプリケーション管理インターフェイスから送信された入力パケットだけがキャプチャされます。アプリケーション管理インターフェイス宛てのパケットはキャプチャされません。

タスクの要約を次の表に示します。

タスク

キャプチャポイント

内部フィルタ

方向

キャプチャされたトラフィック

管理アップリンクインターフェイスでのパケットキャプチャの設定と確認

in_mgmt_uplink1

なし

入力のみ

（管理インターフェイスから内部スイッチを介してネットワークへ）

FTD管理IPアドレス192.0.2.200からホスト192.0.2.100へのICMPエコー応答

Ftd管理IPアドレス192.0.2.200からFMC IPアドレス192.0.2.101へのSFTUNNEL

FTD管理IPアドレス192.0.2.200からホスト192.0.2.100へのSSH

パケット キャプチャ フィルタ

内部スイッチのパケットキャプチャフィルタは、データプレーンのキャプチャと同じように設定されます。フィルタを設定するには、ethernet-typeおよびmatchオプションを使用します。

コンフィギュレーション

ASAまたはFTD CLIで次の手順に従って、インターフェイスEthernet1/1のホスト198.51.100.100からのARPフレームまたはICMPパケットと一致するフィルタを使用してパケットキャプチャを設定します。

1. nameifを確認します。

> show nameif

Interface                Name                     Security

Ethernet1/1              inside                     0

Ethernet1/2              outside                    0

Management1/1            diagnostic                 0

2. ARPまたはICMPのキャプチャセッションを作成します。

> capture capsw switch interface inside ethernet-type arp

> capture capsw switch interface inside match icmp 198.51.100.100

確認

キャプチャセッション名とフィルタを確認します。Ethertype値は、10進数では2054、16進数では0x0806です。

> show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       disabled

Oper State:        down

Oper State Reason: Session_Admin_Shut

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           1

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap

Pcapsize:          0

Filter:            capsw-1-1

Packet Capture Filter Info

Name:              capsw-1-1

Protocol:          0

Ivlan:             0

Ovlan:             0

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         2054

Total Physical breakout ports involved in Packet Capture: 0

0 packet captured on disk using switch capture

Reading of capture file from disk is not supported

これは、ICMPのフィルタの検証です。IPプロトコル1はICMPです。

> show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       disabled

Oper State:        down

Oper State Reason: Session_Admin_Shut

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           1

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap

Pcapsize:          0

Filter:            capsw-1-1

Packet Capture Filter Info

Name:              capsw-1-1

Protocol:          1

Ivlan:             0

Ovlan:             0

Src Ip:            198.51.100.100

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

0 packets captured on disk using switch capture

Reading of capture file from disk is not supported

Secure Firewall 3100内部スイッチキャプチャファイルの収集

ASAまたはFTD CLIを使用して、内部スイッチキャプチャファイルを収集します。FTDでは、キャプチャファイルは、CLIのcopyコマンドを使用して、データインターフェイスまたは診断インターフェイス経由で到達可能な宛先にエクスポートすることもできます。

あるいは、エキスパートモードで/ngfw/var/commonにファイルをコピーし、File Downloadオプションを使用してFMCからダウンロードすることもできます。

ポートチャネルインターフェイスの場合は、すべてのメンバーインターフェイスからパケットキャプチャファイルを収集してください。

平均応答時間

ASA CLIで内部スイッチキャプチャファイルを収集するには、次の手順に従います。

1. キャプチャを停止します。

asa# capture capsw switch stop

2. キャプチャセッションが停止していることを確認し、キャプチャファイル名をメモします。

asa# show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       disabled

Oper State:        down

Oper State Reason: Session_Admin_Shut

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           1

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap

Pcapsize:          139826

Filter:            capsw-1-1

Packet Capture Filter Info

Name:              capsw-1-1

Protocol:          0

Ivlan:             0

Ovlan:             0

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

886 packets captured on disk using switch capture

Reading of capture file from disk is not supported

3. CLIのcopyコマンドを使用して、リモート接続先にファイルをエクスポートします。

asa# copy flash:/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap ?

cluster:        Copy to cluster: file system

disk0:          Copy to disk0: file system

disk1:          Copy to disk1: file system

flash:          Copy to flash: file system

ftp:            Copy to ftp: file system

running-config  Update (merge with) current system configuration

scp:            Copy to scp: file system

smb:            Copy to smb: file system

startup-config  Copy to startup configuration

system:         Copy to system: file system

tftp:           Copy to tftp: file system

asa# copy flash:/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap tftp://198.51.100.10/

Source filename [/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap]?

Destination filename [sess-1-capsw-ethernet-1-1-0.pcap]?

Copy in progress...C

139826 bytes copied in 0.532 secs

FTD

次の手順に従って、FTD CLIで内部スイッチキャプチャファイルを収集し、データまたは診断インターフェイス経由で到達可能なサーバにコピーします。

1. 診断CLIに移動します。

> system support diagnostic-cli

Attaching to Diagnostic CLI ... Click 'Ctrl+a then d' to detach.

Type help or '?' for a list of available commands.

firepower> enable

Password: <-- Enter

firepower#

2. キャプチャを停止します。

firepower# capture capi switch stop

3. キャプチャセッションが停止していることを確認し、キャプチャファイル名をメモします。

firepower# show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       disabled

Oper State:        down

Oper State Reason: Session_Admin_Shut

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           1

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap

Pcapsize:          139826

Filter:            capsw-1-1

Packet Capture Filter Info

Name:              capsw-1-1

Protocol:          0

Ivlan:             0

Ovlan:             0

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

886 packets captured on disk using switch capture

Reading of capture file from disk is not supported

4. CLIのcopyコマンドを使用して、リモート接続先にファイルをエクスポートします。

firepower# copy flash:/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap ?

cluster:        Copy to cluster: file system

disk0:          Copy to disk0: file system

disk1:          Copy to disk1: file system

flash:          Copy to flash: file system

ftp:            Copy to ftp: file system

running-config  Update (merge with) current system configuration

scp:            Copy to scp: file system

smb:            Copy to smb: file system

startup-config  Copy to startup configuration

system:         Copy to system: file system

tftp:           Copy to tftp: file system

firepower# copy flash:/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap tftp://198.51.100.10/

Source filename [/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap]?

Destination filename [sess-1-capsw-ethernet-1-1-0.pcap]?

Copy in progress...C

139826 bytes copied in 0.532 secs

File Downloadオプションを使用してFMCからキャプチャファイルを収集するには、次の手順に従います。

1. キャプチャを停止します。

> capture capsw switch stop

2. キャプチャセッションが停止していることを確認し、ファイル名と完全なキャプチャファイルパスをメモします。

> show capture capsw detail

Packet Capture info

Name:              capsw

Session:           1

Admin State:       disabled

Oper State:        down

Oper State Reason: Session_Admin_Shut

Config Success:    yes

Config Fail Reason:

Append Flag:       overwrite

Session Mem Usage: 256

Session Pcap Snap Len: 1518

Error Code:        0

Drop Count:        0

Total Physical ports involved in Packet Capture: 1

Physical port:

Slot Id:           1

Port Id:           1

Pcapfile:          /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap

Pcapsize:          139826

Filter:            capsw-1-1

Packet Capture Filter Info

Name:              capsw-1-1

Protocol:          0

Ivlan:             0

Ovlan:             0

Src Ip:            0.0.0.0

Dest Ip:           0.0.0.0

Src Ipv6:          ::

Dest Ipv6:         ::

Src MAC:           00:00:00:00:00:00

Dest MAC:          00:00:00:00:00:00

Src Port:          0

Dest Port:         0

Ethertype:         0

Total Physical breakout ports involved in Packet Capture: 0

886 packets captured on disk using switch capture

Reading of capture file from disk is not supported

3. エキスパートモードに移行し、ルートモードに切り替えます。

> expert

admin@firepower:~$ sudo su

root@firepower:/home/admin

4. キャプチャファイルを/ngfw/var/common/:

root@KSEC-FPR3100-1:/home/admin cp /mnt/disk0/packet-capture/sess-1-capsw-ethernet-1-1-0.pcap /ngfw/var/common/

root@KSEC-FPR3100-1:/home/admin ls -l /ngfw/var/common/sess*

-rwxr-xr-x 1 root admin 139826 Aug  7 20:14 /ngfw/var/common/sess-1-capsw-ethernet-1-1-0.pcap

-rwxr-xr-x 1 root admin     24 Aug  6 21:58 /ngfw/var/common/sess-1-capsw-ethernet-1-3-0.pcap

5. FMCで、[Devices] > [File Download] を選択します。

6. FTDを選択し、キャプチャファイル名を指定して、Downloadをクリックします。

内部スイッチパケットキャプチャのガイドライン、制限事項、およびベストプラクティス

ガイドラインと制限事項:

- 複数のスイッチキャプチャ設定セッションがサポートされますが、一度にアクティブにできるスイッチキャプチャセッションは1つだけです。2つ以上のキャプチャセッションを有効にしようとすると、エラー「ERROR:Failed to enable session, as limit of maximum 1 active packet capture sessions reached」が表示されます。

- アクティブなスイッチキャプチャは削除できません。

- アプリケーションでスイッチキャプチャを読み取ることができません。ユーザはファイルをエクスポートする必要があります。

- dump、decode、packet-number、traceなどの特定のデータプレーンキャプチャオプションは、スイッチキャプチャではサポートされていません。

- マルチコンテキストASAの場合、データインターフェイスのスイッチキャプチャはユーザコンテキストで設定されます。in_data_uplink1およびin_mgmt_uplink1インターフェイスでのスイッチキャプチャは、管理コンテキストでのみサポートされます。

TACケースでのパケットキャプチャの使用に基づくベストプラクティスのリストを次に示します。

- ガイドラインと制限事項に注意してください。

- キャプチャフィルタを使用します。

- キャプチャフィルタの設定時に、パケットIPアドレスに対するNATの影響を考慮してください。

- フレームサイズを指定するpacket-lengthを増減します。デフォルト値の1518バイトと異なる場合に使用します。サイズが小さいほど、キャプチャされたパケットの数が増え、その逆も同様です。

- 必要に応じてバッファサイズを調整します。

- show cap <cap_name> detailコマンドの出力のDrop Countに注意してください。バッファサイズの制限に達すると、廃棄カウントカウンタが増加します。

関連情報

- Firepower 4100/9300シャーシマネージャおよびFXOS CLIコンフィギュレーションガイド

- Cisco Secure Firewall 3100スタートアップガイド

- Cisco Firepower 4100/9300 FXOSコマンドリファレンス