인라인 쌍 모드에서 FTD 인터페이스 구성
목차
소개
이 문서에서는 FTD(Firepower Threat Defense) 어플라이언스에서 Inline Pair Interface의 컨피그레이션, 확인 및 작동에 대해 설명합니다.
사전 요구 사항
요구 사항
이 문서에 대한 특정 요구 사항은 없습니다.
사용되는 구성 요소
이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.
- Firepower 4150 FTD(코드 6.1.0.x 및 6.3.x)
- FMC(firepower 관리 센터)(코드 6.1.0.x 및 6.3.x)
이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.
관련 제품
이 문서는 다음과 같은 하드웨어 및 소프트웨어 버전에서도 사용할 수 있습니다.
- ASA5506-X, ASA5506W-X, ASA5506H-X, ASA5508-X, ASA5516-X
- ASA5512-X, ASA5515-X, ASA5525-X, ASA5545-X, ASA5555-X
- FPR2100, FPR4100, FPR9300
- VMware(ESXi), Amazon Web Services(AWS), Kernel-based Virtual Machine(KVM)
- FTD 소프트웨어 코드 6.2.x 이상
배경 정보
FTD는 2개의 주 엔진으로 구성된 통합 소프트웨어 이미지입니다.
- LINA 엔진
- Snort 엔진
이 그림은 2개의 엔진이 상호 작용하는 방식을 보여줍니다.
- 패킷이 인그레스 인터페이스로 들어가고 LINA 엔진에 의해 처리됩니다.
- FTD 정책에 필요한 경우 Snort 엔진에서 패킷을 검사합니다.
- Snort 엔진이 패킷에 대한 판정을 반환합니다
- LINA 엔진은 Snort의 판정에 따라 패킷을 삭제 또는 포워딩합니다.
FTD는 그림과 같이 2가지 구축 모드와 6가지 인터페이스 모드를 제공합니다.
다음은 다양한 FTD 구축 및 인터페이스 모드에 대한 개괄적인 개요입니다.
| FTD 인터페이스 모드 |
FTD 구축 모드 |
설명 |
트래픽 삭제 가능 |
| 라우팅됨 |
라우팅됨 |
전체 LINA 엔진 및 Snort 엔진 검사 |
예 |
| 전환됨 |
투명 |
전체 LINA 엔진 및 Snort 엔진 검사 |
예 |
| 인라인 쌍 |
라우팅 또는 투명 |
부분 LINA 엔진 및 전체 Snort 엔진 검사 |
예 |
| Tap가 있는 인라인 쌍 |
라우팅 또는 투명 |
부분 LINA 엔진 및 전체 Snort 엔진 검사 |
아니요 |
| 수동 |
라우팅 또는 투명 |
부분 LINA 엔진 및 전체 Snort 엔진 검사 |
아니요 |
| 수동(ERSPAN) |
라우팅됨 |
부분 LINA 엔진 및 전체 Snort 엔진 검사 |
아니요 |
FTD에서 인라인 쌍 인터페이스 구성
네트워크 다이어그램
요건
다음 요구 사항에 따라 인라인 쌍 모드에서 물리적 인터페이스 e1/6 및 e1/8을 구성합니다.
| 인터페이스 | e1/6 | e1/8 |
| 이름 | 내부 | 외부 |
| 보안 영역 | 내부 영역(_Z) | 외부 영역(_Z) |
| 인라인 집합 이름 | 인라인 쌍 1 | |
| 인라인 집합 MTU | 1500 | |
| 고장 안전 | 사용 | |
| 링크 상태 전파 | 사용 |
솔루션
1단계. 개별 인터페이스에 대해 구성하려면 Devices(디바이스) > Device Management(디바이스 관리)로 이동하여 적절한 디바이스를 선택하고 이미지에 표시된 대로 Edit(수정)를 선택합니다.
그런 다음 이미지에 표시된 대로 인터페이스에 대해 Name(이름) 및 Tick Enabled(틱 활성화)를 지정합니다.
인터페이스 Ethernet1/8도 마찬가지입니다. 최종 결과는 그림과 같습니다.
2단계. 인라인 쌍을 구성합니다.
이미지에 표시된 대로 Inline Sets(인라인 세트) > Add Inline Set(인라인 세트 추가)로 이동합니다.
3단계. 이미지에 표시된 요구 사항에 따라 일반 설정을 구성합니다.
4단계. 이미지에 표시된 것처럼 Advanced Settings(고급 설정)에서 Propagate Link State(링크 상태 전파) 옵션을 활성화합니다.
링크 상태 전파는 인라인 집합의 인터페이스 중 하나가 다운될 때 인라인 인터페이스 쌍에서 두 번째 인터페이스를 자동으로 다운시킵니다.
5단계. 변경 사항을 저장하고 구축합니다.
다음을 확인합니다.
구성이 올바르게 작동하는지 확인하려면 이 섹션을 활용하십시오.
FTD CLI에서 인라인 쌍 컨피그레이션을 확인합니다.
솔루션
FTD CLI에 로그인하고 인라인 쌍 컨피그레이션을 확인합니다.
> show inline-set
Inline-set Inline-Pair-1
Mtu is 1500 bytes
Failsafe mode is on/activated
Failsecure mode is off
Tap mode is off
Propagate-link-state option is on
hardware-bypass mode is disabled
Interface-Pair[1]:
Interface: Ethernet1/6 "INSIDE"
Current-Status: UP
Interface: Ethernet1/8 "OUTSIDE"
Current-Status: UP
Bridge Group ID: 509
>
인터페이스 및 이름 정보:
> show nameif
Interface Name Security
Ethernet1/6 INSIDE 0
Ethernet1/7 diagnostic 0
Ethernet1/8 OUTSIDE 0
>
인터페이스 상태를 확인합니다.
> show interface ip brief
Interface IP-Address OK? Method Status Protocol
Internal-Data0/0 unassigned YES unset up up
Internal-Data0/1 unassigned YES unset up up
Internal-Data0/2 169.254.1.1 YES unset up up
Ethernet1/6 unassigned YES unset up up
Ethernet1/7 unassigned YES unset up up
Ethernet1/8 unassigned YES unset up up
물리적 인터페이스 정보를 확인합니다.
> show interface e1/6
Interface Ethernet1/6 "INSIDE", is up, line protocol is up
Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
MAC address 5897.bdb9.770e, MTU 1500
IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
IP address unassigned
Traffic Statistics for "INSIDE":
468 packets input, 47627 bytes
12 packets output, 4750 bytes
1 packets dropped
1 minute input rate 0 pkts/sec, 200 bytes/sec
1 minute output rate 0 pkts/sec, 7 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 96 bytes/sec
5 minute output rate 0 pkts/sec, 8 bytes/sec
5 minute drop rate, 0 pkts/sec
> show interface e1/8
Interface Ethernet1/8 "OUTSIDE", is up, line protocol is up
Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
MAC address 5897.bdb9.774d, MTU 1500
IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
IP address unassigned
Traffic Statistics for "OUTSIDE":
12 packets input, 4486 bytes
470 packets output, 54089 bytes
0 packets dropped
1 minute input rate 0 pkts/sec, 7 bytes/sec
1 minute output rate 0 pkts/sec, 212 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 7 bytes/sec
5 minute output rate 0 pkts/sec, 106 bytes/sec
5 minute drop rate, 0 pkts/sec
>
FTD 인라인 쌍 인터페이스 작업 확인
이 섹션에서는 인라인 쌍 작업을 확인하기 위한 다음 확인 검사에 대해 설명합니다.
- 확인 1. Packet-tracer를 사용하여
- 확인 2. 추적을 사용하여 캡처를 활성화하고 인라인 쌍을 통해 TCP 동기화/승인(SYN/ACK) 패킷을 보냅니다.
- 확인 3. 방화벽 엔진 디버그를 사용하여 FTD 트래픽 모니터링
- 확인 4. 링크 상태 전파 기능 확인
- 확인 5. 고정 NAT(네트워크 주소 변환) 구성
솔루션
아키텍처 개요
FTD 인터페이스 2개가 인라인 쌍 모드에서 작동하는 경우 이미지에 표시된 대로 패킷이 처리됩니다.
기본 이론
- 인라인 쌍을 구성할 때 2 물리적 인터페이스는 내부적으로 브리지됩니다
- 기존 인라인 IPS(Intrusion Prevention System)와 매우 유사함
- 라우팅 또는 투명 구축 모드에서 사용 가능
- LINA 엔진 기능(NAT, 라우팅 등)의 대부분은 인라인 쌍을 통과하는 흐름에 사용할 수 없습니다
- 통과 트래픽을 삭제할 수 있음
- 전체 Snort 엔진 검사와 함께 몇 가지 LINA 엔진 검사가 적용됩니다
마지막 점은 그림과 같이 시각화할 수 있습니다.
확인 1. Packet-Tracer 사용 시
중요 포인트가 강조 표시된 상태로 인라인 쌍을 통과하는 패킷을 에뮬레이트하는 패킷 추적기 출력입니다.
> packet-tracer input INSIDE tcp 192.168.201.50 1111 192.168.202.50 80
Phase: 1
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list
Phase: 2
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services is be applied
Phase: 3
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268438528
access-list CSM_FW_ACL_ remark rule-id 268438528: ACCESS POLICY: FTD4100 - Default/1
access-list CSM_FW_ACL_ remark rule-id 268438528: L4 RULE: DEFAULT ACTION RULE
Additional Information:
This packet is sent to snort for additional processing where a verdict is reached
Phase: 4
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
Ingress interface INSIDE is in NGIPS inline mode.
Egress interface OUTSIDE is determined by inline-set configuration
Phase: 5
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 106, packet dispatched to next module
Result:
input-interface: INSIDE
input-status: up
input-line-status: up
Action: allow
>
확인 2. 인라인 쌍을 통해 TCP SYN/ACK 패킷 전송
Scapy와 같은 유틸리티를 제공하는 패킷을 사용하여 TCP SYN/ACK 패킷을 생성할 수 있습니다. 이 구문은 SYN/ACK 플래그가 활성화된 3개의 패킷을 생성합니다.
root@KALI:~# scapy INFO: Can't import python gnuplot wrapper . Won't be able to plot. WARNING: No route found for IPv6 destination :: (no default route?) Welcome to Scapy (2.2.0) >>> conf.iface='eth0' >>> packet = IP(dst="192.168.201.60")/TCP(flags="SA",dport=80) >>> syn_ack=[] >>> for i in range(0,3): # Send 3 packets ... syn_ack.extend(packet) ... >>> send(syn_ack)
FTD CLI에서 이 캡처를 활성화하고 몇 가지 TCP SYN/ACK 패킷을 전송합니다.
> capture CAPI interface INSIDE trace match ip host 192.168.201.60 any
> capture CAPO interface OUTSIDE match ip host 192.168.201.60 any
>
FTD를 통해 패킷을 전송한 후 생성된 연결을 볼 수 있습니다.
> show conn detail
1 in use, 34 most used
Flags: A - awaiting responder ACK to SYN, a - awaiting initiator ACK to SYN,
b - TCP state-bypass or nailed,
C - CTIQBE media, c - cluster centralized,
D - DNS, d - dump, E - outside back connection, e - semi-distributed,
F - initiator FIN, f - responder FIN,
G - group, g - MGCP, H - H.323, h - H.225.0, I - initiator data,
i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
k - Skinny media, M - SMTP data, m - SIP media, N - inspected by Snort, n - GUP
O - responder data, P - inside back connection,
q - SQL*Net data, R - initiator acknowledged FIN,
R - UDP SUNRPC, r - responder acknowledged FIN,
T - SIP, t - SIP transient, U - up,
V - VPN orphan, v - M3UA W - WAAS,
w - secondary domain backup,
X - inspected by service module,
x - per session, Y - director stub flow, y - backup stub flow,
Z - Scansafe redirection, z - forwarding stub flow
TCP Inline-Pair-1:OUTSIDE(OUTSIDE): 192.168.201.60/80 Inline-Pair-1:INSIDE(INSIDE): 192.168.201.50/20,
flags b N, idle 13s, uptime 13s, timeout 1h0m, bytes 0
>
에서는 FTD를 통과하는 3개의 패킷을 확인할 수 있으므로 이를 입증합니다.
> show capture CAPI
3 packets captured
1: 15:27:54.327146 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
2: 15:27:54.330000 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
3: 15:27:54.332517 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
3 packets shown
>
3 패킷은 FTD 디바이스를 종료합니다.
> show capture CAPO
3 packets captured
1: 15:27:54.327299 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
2: 15:27:54.330030 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
3: 15:27:54.332548 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
3 packets shown
>
첫 번째 캡처 패킷의 Trace(추적)를 사용하면 Snort 엔진 판정과 같은 몇 가지 추가 정보가 표시됩니다.
> show capture CAPI packet-number 1 trace 3 packets captured 1: 15:27:54.327146 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 Phase: 1 Type: CAPTURE Subtype: Result: ALLOW Config: Additional Information: MAC Access list Phase: 2 Type: ACCESS-LIST Subtype: Result: ALLOW Config: Implicit Rule Additional Information: MAC Access list Phase: 3 Type: NGIPS-MODE Subtype: ngips-mode Result: ALLOW Config: Additional Information: The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied Phase: 4 Type: ACCESS-LIST Subtype: log Result: ALLOW Config: access-group CSM_FW_ACL_ global access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268438528 access-list CSM_FW_ACL_ remark rule-id 268438528: ACCESS POLICY: FTD4100 - Default/1 access-list CSM_FW_ACL_ remark rule-id 268438528: L4 RULE: DEFAULT ACTION RULE Additional Information: This packet is sent to snort for additional processing where a verdict is reached Phase: 5 Type: NGIPS-EGRESS-INTERFACE-LOOKUP Subtype: Resolve Egress Interface Result: ALLOW Config: Additional Information: Ingress interface INSIDE is in NGIPS inline mode. Egress interface OUTSIDE is determined by inline-set configuration Phase: 6 Type: FLOW-CREATION Subtype: Result: ALLOW Config: Additional Information: New flow created with id 282, packet dispatched to next module Phase: 7 Type: EXTERNAL-INSPECT Subtype: Result: ALLOW Config: Additional Information: Application: 'SNORT Inspect' Phase: 8 Type: SNORT Subtype: Result: ALLOW Config: Additional Information: Snort Verdict: (pass-packet) allow this packet Phase: 9 Type: CAPTURE Subtype: Result: ALLOW Config: Additional Information: MAC Access list Result: input-interface: OUTSIDE input-status: up input-line-status: up Action: allow 1 packet shown >
두 번째 캡처된 패킷의 Trace(추적)를 사용하면 패킷이 현재 연결과 일치하므로 ACL 검사를 우회하지만 Snort 엔진에서 계속 검사됨을 알 수 있습니다.
> show capture CAPI packet-number 2 trace 3 packets captured 2: 15:27:54.330000 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 Phase: 1 Type: CAPTURE Subtype: Result: ALLOW Config: Additional Information: MAC Access list Phase: 2 Type: ACCESS-LIST Subtype: Result: ALLOW Config: Implicit Rule Additional Information: MAC Access list Phase: 3 Type: FLOW-LOOKUP Subtype:ing Result: ALLOW Config: Additional Information: Found flow with id 282, using current flow Phase: 4 Type: EXTERNAL-INSPECT Subtype: Result: ALLOW Config: Additional Information: Application: 'SNORT Inspect' Phase: 5 Type: SNORT Subtype: Result: ALLOW Config: Additional Information: Snort Verdict: (pass-packet) allow this packet Phase: 6 Type: CAPTURE Subtype: Result: ALLOW Config: Additional Information: MAC Access list Result: input-interface: OUTSIDE input-status: up input-line-status: up Action: allow 1 packet shown >
확인 3. 허용되는 트래픽에 대한 방화벽 엔진 디버그
방화벽 엔진 디버그는 그림에 표시된 액세스 제어 정책과 같은 FTD Snort 엔진의 특정 구성 요소에 대해 실행됩니다.
Inline Pair를 통해 TCP SYN/ACK 패킷을 전송할 때 디버그 출력에서 확인할 수 있습니다.
> system support firewall-engine-debug
Please specify an IP protocol: tcp
Please specify a client IP address:
Please specify a client port:
Please specify a server IP address: 192.168.201.60
Please specify a server port: 80
Monitoring firewall engine debug messages
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 New session
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 using HW or preset rule order 3, id 268438528 action Allow and prefilter rule 0
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 allow action
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 Deleting session
확인 4. 링크 상태 전파 확인
FTD에서 버퍼 로그를 활성화하고 e1/6 인터페이스에 연결된 switchport를 종료합니다. FTD CLI에서 두 인터페이스가 모두 다운되었음을 확인해야 합니다.
> show interface ip brief
Interface IP-Address OK? Method Status Protocol
Internal-Data0/0 unassigned YES unset up up
Internal-Data0/1 unassigned YES unset up up
Internal-Data0/2 169.254.1.1 YES unset up up
Ethernet1/6 unassigned YES unset down down
Ethernet1/7 unassigned YES unset up up
Ethernet1/8 unassigned YES unset administratively down up
>
FTD 로그에는 다음이 표시됩니다.
> show log
Jan 03 2017 15:53:19: %ASA-4-411002: Line protocol on Interface Ethernet1/6, changed state to down
Jan 03 2017 15:53:19: %ASA-4-411004: Interface OUTSIDE, changed state to administratively down
Jan 03 2017 15:53:19: %ASA-4-411004: Interface Ethernet1/8, changed state to administratively down
Jan 03 2017 15:53:19: %ASA-4-812005: Link-State-Propagation activated on inline-pair due to failure of interface Ethernet1/6(INSIDE) bringing down pair interface Ethernet1/8(OUTSIDE)
>
inline-set 상태는 2개 인터페이스 멤버의 상태를 표시합니다.
> show inline-set
Inline-set Inline-Pair-1
Mtu is 1500 bytes
Failsafe mode is on/activated
Failsecure mode is off
Tap mode is off
Propagate-link-state option is on
hardware-bypass mode is disabled
Interface-Pair[1]:
Interface: Ethernet1/6 "INSIDE"
Current-Status: Down(Propagate-Link-State-Activated)
Interface: Ethernet1/8 "OUTSIDE"
Current-Status: Down(Down-By-Propagate-Link-State)
Bridge Group ID: 509
>
2개 인터페이스의 상태 차이를 확인합니다.
> show interface e1/6
Interface Ethernet1/6 "INSIDE", is down, line protocol is down
Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
MAC address 5897.bdb9.770e, MTU 1500
IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
Propagate-Link-State-Activated
IP address unassigned
Traffic Statistics for "INSIDE":
3393 packets input, 234923 bytes
120 packets output, 49174 bytes
1 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 6 bytes/sec
5 minute output rate 0 pkts/sec, 3 bytes/sec
5 minute drop rate, 0 pkts/sec
>
Ethernet1/8 인터페이스의 경우:
> show interface e1/8
Interface Ethernet1/8 "OUTSIDE", is administratively down, line protocol is up
Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec
MAC address 5897.bdb9.774d, MTU 1500
IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
Down-By-Propagate-Link-State
IP address unassigned
Traffic Statistics for "OUTSIDE":
120 packets input, 46664 bytes
3391 packets output, 298455 bytes
0 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 3 bytes/sec
5 minute output rate 0 pkts/sec, 8 bytes/sec
5 minute drop rate, 0 pkts/sec
>
switchport를 다시 활성화하면 FTD 로그에 다음이 표시됩니다.
> show log
...
Jan 03 2017 15:59:35: %ASA-4-411001: Line protocol on Interface Ethernet1/6, changed state to up
Jan 03 2017 15:59:35: %ASA-4-411003: Interface Ethernet1/8, changed state to administratively up
Jan 03 2017 15:59:35: %ASA-4-411003: Interface OUTSIDE, changed state to administratively up
Jan 03 2017 15:59:35: %ASA-4-812006: Link-State-Propagation de-activated on inline-pair due to recovery of interface Ethernet1/6(INSIDE) bringing up pair interface Ethernet1/8(OUTSIDE)
>
확인 5. 고정 NAT 구성
솔루션
인라인, 인라인 탭 또는 패시브 모드에서 작동하는 인터페이스에는 NAT가 지원되지 않습니다.
인라인 쌍 인터페이스 모드에서 패킷 차단
Block 규칙을 생성하고, FTD 인라인 쌍을 통해 트래픽을 전송하고, 이미지에 표시된 것처럼 동작을 관찰합니다.
솔루션
추적을 통한 캡처를 활성화하고 FTD 인라인 쌍을 통해 SYN/ACK 패킷을 전송합니다. 트래픽이 차단됩니다.
> show capture capture CAPI type raw-data trace interface INSIDE [Capturing - 210 bytes] match ip host 192.168.201.60 any capture CAPO type raw-data interface OUTSIDE [Capturing - 0 bytes] match ip host 192.168.201.60 any
추적하면 패킷이 다음과 같이 표시됩니다.
> show capture CAPI packet-number 1 trace
3 packets captured
1: 16:12:55.785085 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list
Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list
Phase: 3
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied
Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: DROP
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1
access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1
Additional Information:
Result:
input-interface: INSIDE
input-status: up
input-line-status: up
Action: drop
Drop-reason: (acl-drop) Flow is denied by configured rule
1 packet shown
이 추적에서는 패킷이 FTD LINA 엔진에 의해 삭제되었고 FTD Snort 엔진에 전달되지 않았음을 알 수 있습니다.
Tap를 사용하여 인라인 쌍 모드 구성
인라인 쌍에서 탭 모드를 활성화합니다.
솔루션
이미지에 표시된 대로 Devices > Device Management > Inline Sets > Edit Inline Set > Advanced로 이동하여 Tap Mode를 활성화합니다.
확인
> show inline-set
Inline-set Inline-Pair-1
Mtu is 1500 bytes
Failsafe mode is on/activated
Failsecure mode is off
Tap mode is on
Propagate-link-state option is on
hardware-bypass mode is disabled
Interface-Pair[1]:
Interface: Ethernet1/6 "INSIDE"
Current-Status: UP
Interface: Ethernet1/8 "OUTSIDE"
Current-Status: UP
Bridge Group ID: 0
>
탭 인터페이스 작업으로 FTD 인라인 쌍 확인
기본 이론
- Inline Pair with Tap 2를 구성하면 물리적 인터페이스가 내부적으로 브리징됩니다
- 라우팅 또는 투명 구축 모드에서 사용할 수 있습니다
- LINA 엔진 기능(NAT, 라우팅 등)의 대부분은 인라인 쌍을 통과하는 흐름에 사용할 수 없습니다
- 실제 트래픽은 삭제할 수 없습니다.
- 실제 트래픽의 복사본에 대한 전체 Snort 엔진 검사와 함께 몇 가지 LINA 엔진 검사가 적용됩니다
마지막 점은 그림과 같습니다.
Inline Pair with Tap Mode(탭 모드의 인라인 쌍)는 트랜짓 트래픽을 삭제하지 않습니다. 패킷 추적을 통해 다음을 확인합니다.
> show capture CAPI packet-number 2 trace 3 packets captured 2: 13:34:30.685084 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192 Phase: 1 Type: CAPTURE Subtype: Result: ALLOW Config: Additional Information: MAC Access list Phase: 2 Type: ACCESS-LIST Subtype: Result: ALLOW Config: Implicit Rule Additional Information: MAC Access list Phase: 3 Type: NGIPS-MODE Subtype: ngips-mode Result: ALLOW Config: Additional Information: The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied Phase: 4 Type: ACCESS-LIST Subtype: log Result: WOULD HAVE DROPPED Config: access-group CSM_FW_ACL_ global access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1 access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1 Additional Information: Result: input-interface: INSIDE input-status: up input-line-status: up Action: Access-list would have dropped, but packet forwarded due to inline-tap 1 packet shown
>
인라인 쌍 및 Etherchannel
다음 2가지 방법으로 etherchannel과 인라인 쌍을 구성할 수 있습니다.
- Etherchannel이 FTD에서 종료됨
- Etherchannel은 FTD를 거칩니다(FXOS 코드 2.3.1.3 이상 필요).
Etherchannel이 FTD에서 종료됨
SW-A의 Etherchannel:
SW-A# show etherchannel summary | i Po33|Po55 33 Po33(SU) LACP Gi3/11(P) 35 Po35(SU) LACP Gi2/33(P)
SW-B의 Etherchannel:
SW-B# show etherchannel summary | i Po33|Po55 33 Po33(SU) LACP Gi1/0/3(P) 55 Po55(SU) LACP Gi1/0/4(P)
트래픽은 MAC 주소 학습을 기반으로 활성 FTD를 통해 전달됩니다.
SW-B# show mac address-table address 0017.dfd6.ec00
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
201 0017.dfd6.ec00 DYNAMIC Po33
Total Mac Addresses for this criterion: 1
FTD의 인라인 집합:
FTD# show inline-set
Inline-set SET1
Mtu is 1500 bytes
Fail-open for snort down is on
Fail-open for snort busy is off
Tap mode is off
Propagate-link-state option is off
hardware-bypass mode is disabled
Interface-Pair[1]:
Interface: Port-channel3 "INSIDE"
Current-Status: UP
Interface: Port-channel5 "OUTSIDE"
Current-Status: UP
Bridge Group ID: 775
FTD를 통한 Etherchannel
SW-A의 Etherchannel:
SW-A# show etherchannel summary | i Po33|Po55
33 Po33(SU) LACP Gi3/11(P)
55 Po55(SD) LACP Gi3/7(I)
대기 FTD를 통한 LACP 패킷은 차단됩니다.
FTD# capture ASP type asp-drop fo-standby FTD# show capture ASP | i 0180.c200.0002 29: 15:28:32.658123 a0f8.4991.ba03 0180.c200.0002 0x8809 Length: 124 70: 15:28:47.248262 f0f7.556a.11e2 0180.c200.0002 0x8809 Length: 124
SW-B의 Etherchannel:
SW-B# show etherchannel summary | i Po33|Po55
33 Po33(SU) LACP Gi1/0/3(P)
55 Po55(SD) LACP Gi1/0/4(s)
트래픽은 MAC 주소 학습을 기반으로 활성 FTD를 통해 전달됩니다.
SW-B# show mac address-table address 0017.dfd6.ec00
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
201 0017.dfd6.ec00 DYNAMIC Po33
Total Mac Addresses for this criterion: 1
FTD의 인라인 집합:
FTD# show inline-set
Inline-set SET1
Mtu is 1500 bytes
Fail-open for snort down is on
Fail-open for snort busy is off
Tap mode is off
Propagate-link-state option is off
hardware-bypass mode is disabled
Interface-Pair[1]:
Interface: Ethernet1/3 "INSIDE"
Current-Status: UP
Interface: Ethernet1/5 "OUTSIDE"
Current-Status: UP
Bridge Group ID: 519
문제 해결
현재 이 구성에 사용할 수 있는 특정 정보가 없습니다.
비교: Inline Pair vs Inline Pair with Tap
| 인라인 쌍 |
Tap가 있는 인라인 쌍 |
|
| 인라인 집합 표시 |
> 인라인 집합 표시 |
> 인라인 집합 표시 > |
| 인터페이스 표시 |
> show interface e1/6 |
> show interface e1/6 |
| 블록 규칙으로 패킷 처리하기 |
> show capture CAPI packet-number 1 trace |
> show capture CAPI packet-number 1 trace |
요약
- Inline Pair 모드를 사용할 경우 패킷은 주로 FTD Snort 엔진을 거칩니다
- TCP 연결은 TCP 상태 바이패스 모드에서 처리됩니다
- FTD LINA 엔진 관점에서 ACL 정책이 적용됩니다
- Inline Pair Mode(인라인 쌍 모드)가 사용 중인 경우 패킷이 인라인으로 처리되므로 패킷을 차단할 수 있습니다
- Tap Mode(탭 모드)가 활성화되면 실제 트래픽이 수정되지 않은 FTD를 통과하는 동안 패킷의 사본이 검사되고 내부에 삭제됩니다
관련 정보
개정 이력
| 개정 | 게시 날짜 | 의견 |
|---|---|---|
2.0 |
28-Apr-2023 |
재인증 |
1.0 |
18-Oct-2017 |
최초 릴리스 |
피드백