FTD-interfaces configureren in inline-paarmodus

Inleiding

Dit document beschrijft de configuratie, verificatie en werking van een Inline Pair Interface op een Firepower Threat Defense (FTD) -apparaat. 

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

  

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Firepower 4112 FTD (code 7.x)
• Firepower Management Center (FMC) (code 7.x)

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Verwante producten

Dit document kan ook worden gebruikt voor de volgende hardware- en softwareversies:

• FPR1000, FPR2100, FPR4100, FPR9300
• Secure Firewall 3100- en 4200-reeks
• vFTD
• FTD-softwarecode 6.2.x en hoger

Achtergrondinformatie

FTD is een unified software-image die bestaat uit twee hoofd-engines:

1. LINA-engine
2. Snort-engine

Deze afbeelding toont de interactie tussen de twee engines:

• Een pakket komt binnen via de inkomende interface en wordt verwerkt door de LINA-engine.
• Als het vereist is door het FTD-beleid, wordt het pakket geïnspecteerd door de Snort-engine.
• De Snort-engine geeft een oordeel voor het pakket.
• De LINA-engine wijst het pakket af of stuurt het door op basis van het Snort-oordeel.

FTD biedt twee implementatiemodi en zes interfacemodi, zoals weergegeven in de afbeelding:

 Opmerking: u kunt interfacemodi op één FTD-apparaat mengen.

Hier is een overzicht op hoog niveau van de verschillende FTD-implementatie- en interfacemodi:

FTD-interfacemodus	FTD-implementatiemodus	Beschrijving	Verkeer kan worden weggelaten
gerouteerd	gerouteerd	Volledige LINA-motor en Snort-motor controles.	Ja
omgeschakeld	doorzichtig	Volledige LINA-motor en Snort-motor controles.	Ja
inline paar	Routed of transparant	Gedeeltelijke LINA-motor en volledige Snort-motor controles.	Ja
Inline Pair met Tap	Routed of transparant	Gedeeltelijke LINA-motor en volledige Snort-motor controles.	Nee
passief	Routed of transparant	Gedeeltelijke LINA-motor en volledige Snort-motor controles.	Nee
Passief (ERSPAN)	gerouteerd	Gedeeltelijke LINA-motor en volledige Snort-motor controles.	Nee

Inline Pair Interface op FTD configureren

Netwerkdiagram

eis

Configureer fysieke interfaces e1/3 en e1/4 in de Inline Pair-modus volgens deze vereisten:

Interface	e1/3	e1/4
Naam	BINNENKANT	BUITEN
veiligheidszone	INSIDE_ZONE	BUITEN_ZONE
Inline-instelnaam	inline-paar-1
Inline set MTU	1500
Propagate Link-status	Ingeschakeld

Oplossing

Stap 1. Om de afzonderlijke interfaces te configureren, bladert u naar Apparaten > Apparaatbeheer, selecteert u het juiste apparaat en selecteert u Bewerken:

Vervolgens specificeert u Naam en vinkt u Ingeschakeld voor de interface aan, zoals weergegeven in de afbeelding.

Opmerking: De naam is de naam van de interface.

Hetzelfde geldt voor Ethernet 1/4. Het eindresultaat wordt getoond:

Stap 2. Configureer het inline paar.

Navigeer naar Inline Sets > Inline Set toevoegen zoals weergegeven in de afbeelding.

Stap 3. Configureer de Algemene instellingen volgens de vereisten zoals weergegeven in de afbeelding.

Stap 4. Schakel de optie Propagate Link State in in de Geavanceerde instellingen zoals weergegeven in de afbeelding.

Verspreiding van de verbindingsstatus verlaagt automatisch de tweede interface in het inline-interfacepaar wanneer een van de interfaces in de inline-set naar beneden gaat.

Stap 5. Sla de wijzigingen op en implementeer deze.

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.

Controleer de configuratie van het inline paar vanuit de FTD CLI.

Oplossing

Meld u aan bij FTD CLI en controleer de configuratie van het inline-paar:

firepower# show inline-set

Inline-set Inline-Pair-1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is on
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/4 "OUTSIDE"
      Current-Status: UP
    Interface: Ethernet1/3 "INSIDE"
      Current-Status: UP
    Bridge Group ID: 507

 Opmerking: de Bridge Group ID heeft een andere waarde dan 0. Als de tikmodus is ingeschakeld, is deze 0.

Interface- en naaminformatie:

firepower# show nameif
Interface       Name             Security
Ethernet1/1     management        0
Ethernet1/3     INSIDE            0
Ethernet1/4     OUTSIDE           0

Controleer de interfacestatus:

firepower# show interface ip brief
Interface             IP-Address    OK? Method Status Protocol
Internal-Control0/0   unassigned    YES unset  up     up 
Internal-Data0/0      unassigned    YES unset  up     up 
Internal-Data0/1      unassigned    YES unset  up     up 
Internal-Data0/2      169.254.1.1   YES unset  up     up 
Internal-Data0/3      unassigned    YES unset  up     up 
Internal-Data0/4      unassigned    YES unset  down   up 
Ethernet1/1           203.0.113.130 YES unset  up     up 
Ethernet1/3           unassigned    YES unset  up     up 
Ethernet1/4           unassigned    YES unset  up     up 

Verifieer fysieke interface-informatie:

firepower# show interface e1/3
Interface Ethernet1/3 "INSIDE", is up, line protocol is up
  Hardware is EtherSVI, BW 1000 Mbps, DLY 10 usec
           MAC address ac4a.670e.641e, MTU 1500
           IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
           IP address unassigned
  Traffic Statistics for "INSIDE":
           170 packets input, 12241 bytes
            41 packets output, 7881 bytes
             9 packets dropped
      1 minute input rate 0 pkts/sec, 37 bytes/sec
      1 minute output rate 0 pkts/sec, 19 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec, 34 bytes/sec
      5 minute output rate 0 pkts/sec, 23 bytes/sec
      5 minute drop rate, 0 pkts/sec

FTD Inline Pair Interface Operation verifiëren

Dit gedeelte heeft betrekking op deze verificatiecontroles om de werking van het inline-paar te verifiëren:

• Verificatie 1. Het gebruik van packet-tracer.
• Verificatie 2. Schakel opname met trace in en verstuur een TCP synchronize/acknowledged (SYN/ACK)-pakket via het inline-paar.
• Verificatie 3. FTD-verkeer bewaken met behulp van firewall-engine debug
• Verificatie 4. Verifieer de Link-State Propagation-functionaliteit.
• Verificatie 5. Statische netwerkadresvertaling (NAT) configureren.

Oplossing

architectonisch overzicht

Wanneer 2 FTD-interfaces in de inline-paarmodus werken, wordt een pakket afgehandeld, zoals in de afbeelding wordt weergegeven.

 Opmerking: alleen fysieke interfaces kunnen lid zijn van een Inline-paarset.

basistheorie

• Wanneer u een Inline Pair 2-interface configureert, worden fysieke interfaces intern overbrugd.
• Het is een onderdeel van het Inline Intrusion Prevention System (IPS).
• Beschikbaar in de modi Routed of Transparent Deployment.
• De meeste LINA-motorfuncties (NAT, Routing, enzovoort) zijn niet beschikbaar voor stromen die door een inline paar gaan.
• Het transitoverkeer kan worden stilgelegd.
• Een paar LINA-motorcontroles worden toegepast, samen met volledige Snort-motorcontroles.

Het laatste punt kan worden gevisualiseerd zoals weergegeven in de afbeelding:

Verificatie 1. Gebruik van Packet-Tracer

De packet-tracer-uitgang die een pakket emuleert dat het inline-paar doorkruist met de belangrijke gemarkeerde punten:

firepower# packet-tracer input INSIDE tcp 192.168.201.50 1111 192.168.202.50 80

Phase: 1
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Elapsed time: 11834 ns
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services will be applied

Phase: 2
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Elapsed time: 11834 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.201.50 host 192.168.202.50 rule-id 268451044 
access-list CSM_FW_ACL_ remark rule-id 268451044: ACCESS POLICY: mzafeiro_2m - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268451044: L7 RULE: New-Rule-#1303-ALLOW
Additional Information:
This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 3
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 2440 ns
Config:
Additional Information:
Ingress interface INSIDE is in NGIPS inline mode.
Egress interface OUTSIDE is determined by inline-set configuration

Phase: 4
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Elapsed time: 68320 ns
Config:
Additional Information:
New flow created with id 1801, packet dispatched to next module

Phase: 5
Type: EXTERNAL-INSPECT
Subtype: 
Result: ALLOW
Elapsed time: 18056 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 6
Type: SNORT
Subtype: identity
Result: ALLOW
Elapsed time: 13668 ns
Config:
Additional Information:
user id: no auth, realm id: 0, device type: 0, auth type: invalid, auth proto: basic, username: none, AD domain: none,
src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, abp src: none, abp dst: none, location: none

Phase: 7
Type: SNORT
Subtype: firewall
Result: ALLOW
Elapsed time: 67770 ns
Config:
Network 0, Inspection 0, Detection 0, Rule ID 268451044
Additional Information:
Starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url or host, no xff
Matched rule ids 268451044 - Allow

Phase: 8
Type: SNORT 
Subtype: appid
Result: ALLOW
Elapsed time: 11002 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 204924 ns

Verificatie 2. TCP SYN/ACK-pakketten verzenden via inline paar

U kunt TCP SYN / ACK-pakketten genereren met behulp van een pakket dat hulpprogramma zoals Scapy maakt. Deze syntaxis genereert 3 pakketten met SYN / ACK-vlaggen ingeschakeld:

root@KALI:~# scapy
INFO: Can't import python gnuplot wrapper . Won't be able to plot.
WARNING: No route found for IPv6 destination :: (no default route?)
Welcome to Scapy (2.2.0)
>>> conf.iface='eth0'
>>> packet = IP(dst="192.168.201.60")/TCP(flags="SA",dport=80)
>>> syn_ack=[]
>>> for i in range(0,3): # Send 3 packets
...  syn_ack.extend(packet)
...
>>> send(syn_ack)

Schakel deze opname in op FTD CLI en stuur een paar TCP SYN/ACK-pakketten:

firepower# capture CAPI interface INSIDE trace match ip host 192.168.201.60 any
firepower# capture CAPO interface OUTSIDE match ip host 192.168.201.60 any

De opnames laten zien dat de 3 SYN/ACK-pakketten de FTD doorkruisen:

firepower# show capture CAPI

3 packets captured

1: 09:20:18.206440 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
2: 09:20:18.208180 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
3: 09:20:18.210026 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
3 packets shown
firepower# show capture CAPO

3 packets captured

1: 09:20:18.206684 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
2: 09:20:18.208210 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
3: 09:20:18.210056 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
3 packets shown

Het Trace van het eerste capture-pakket onthult enkele aanvullende informatie, zoals het vonnis van de Snort-engine:

firepower# show capture CAPI packet-number 1 trace

3 packets captured

1: 09:20:18.206440 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
Phase: 1
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Elapsed time: 5978 ns
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services will be applied

Phase: 2
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Elapsed time: 5978 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.201.50 object-group FMC_INLINE_dst_rule_268451044 rule-id 268451044 
access-list CSM_FW_ACL_ remark rule-id 268451044: ACCESS POLICY: mzafeiro_2m - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268451044: L7 RULE: New-Rule-#1303-ALLOW
object-group network FMC_INLINE_dst_rule_268451044
network-object 192.168.202.50 255.255.255.255
network-object 192.168.201.60 255.255.255.255
Additional Information:
This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 3
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 1952 ns
Config:
Additional Information:
Ingress interface INSIDE is in NGIPS inline mode.
Egress interface OUTSIDE is determined by inline-set configuration

Phase: 4
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Elapsed time: 45872 ns
Config:
Additional Information:
New flow created with id 1953, packet dispatched to next module

Phase: 5
Type: EXTERNAL-INSPECT
Subtype: 
Result: ALLOW
Elapsed time: 18544 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 6
Type: SNORT
Subtype: identity
Result: ALLOW
Elapsed time: 25182 ns
Config:
Additional Information:
user id: no auth, realm id: 0, device type: 0, auth type: invalid, auth proto: basic, username: none, AD domain: none,
src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, abp src: none, abp dst: none, location: none

Phase: 7
Type: SNORT
Subtype: firewall
Result: ALLOW
Elapsed time: 50924 ns
Config:
Network 0, Inspection 0, Detection 0, Rule ID 268451044
Additional Information:
Starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url or host, no xff
Matched rule ids 268451044 - Allow

Phase: 8
Type: SNORT
Subtype: appid
Result: ALLOW
Elapsed time: 17722 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 172152 ns


1 packet shown

Het spoor van het tweede vastgelegde pakket laat zien dat het pakket overeenkomt met een huidige verbinding, zodat het de ACL-controle omzeilt, maar nog steeds wordt geïnspecteerd door de Snort-engine:

firepower# show capture CAPI packet-number 2 trace

3 packets captured

2: 09:20:18.208180 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
Phase: 1
Type: FLOW-LOOKUP
Subtype: 
Result: ALLOW
Elapsed time: 1952 ns
Config:
Additional Information:
Found flow with id 1953, using existing flow

Phase: 2
Type: EXTERNAL-INSPECT
Subtype: 
Result: ALLOW
Elapsed time: 7320 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 3
Type: SNORT
Subtype: appid
Result: ALLOW 
Elapsed time: 1860 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
Action: allow
Time Taken: 11132 ns


1 packet shown

Verificatie 3. Firewall-engine-foutopsporing voor toegestaan verkeer

Firewall engine debug werkt tegen specifieke componenten van de FTD Snoort Engine zoals het toegangscontrolebeleid, zoals weergegeven in de afbeelding:

Wanneer u de TCP SYN/ACK-pakketten via Inline Pair verzendt, ziet u in de debug-uitvoer:

> system support firewall-engine-debug

Please specify an IP protocol: tcp
Please specify a client IP address:
Please specify a client port:
Please specify a server IP address: 192.168.201.60
Please specify a server port: 80
Monitoring firewall engine debug messages

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 New session
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 using HW or preset rule order 3, id 268438528 action Allow and prefilter rule 0
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 allow action
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 Deleting session

Verificatie 4. Propagatie van verbindingstoestand verifiëren

Schakel de bufferaanmelding bij FTD in en sluit de switchpoort die is aangesloten op de e1/4-interface af. Op FTD CLI moet u zien dat beide interfaces zijn uitgeschakeld:

firepower# show interface ip brief
Interface               IP-Address    OK? Method Status     Protocol
Internal-Control0/0     unassigned    YES unset  up         up 
Internal-Data0/0        unassigned    YES unset  up         up 
Internal-Data0/1        unassigned    YES unset  up         up 
Internal-Data0/2        169.254.1.1   YES unset  up         up 
Internal-Data0/3        unassigned    YES unset  up         up 
Internal-Data0/4        unassigned    YES unset  down       up 
Ethernet1/1             203.0.113.130 YES unset  up         up 
Ethernet1/3             unassigned    YES unset  admin down down
Ethernet1/4             unassigned    YES unset  down       down

De FTD-logboeken tonen:

firepower# show log
...
May 28 2024 07:35:10: %FTD-4-411002: Line protocol on Interface Ethernet1/4, changed state to down
May 28 2024 07:35:10: %FTD-4-411004: Interface INSIDE, changed state to administratively down
May 28 2024 07:35:10: %FTD-4-411004: Interface Ethernet1/3, changed state to administratively down
May 28 2024 07:35:10: %FTD-4-812005: Link-State-Propagation activated on inline-pair due to failure of interface Ethernet1/4(OUTSIDE) bringing down pair interface Ethernet1/3(INSIDE)
May 28 2024 07:35:10: %FTD-4-411002: Line protocol on Interface Ethernet1/3, changed state to down

De inline-set status toont de status van de 2 interface leden:

firepower# show inline-set

Inline-set Inline-Pair-1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is on
  hardware-bypass mode is disabled
    Interface-Pair[1]:
    Interface: Ethernet1/4 "OUTSIDE"
      Current-Status: Down(Propagate-Link-State-Activated)
    Interface: Ethernet1/3 "INSIDE"
      Current-Status: Down(Administrative-Down-By-Propagate-Link-State)
Bridge Group ID: 507

Let op het verschil in de status van de 2 interfaces:

firepower# show interface e1/3
Interface Ethernet1/3 "INSIDE", is admin down, line protocol is down
  Hardware is EtherSVI, BW 1000 Mbps, DLY 10 usec
        MAC address ac4a.670e.641e, MTU 1500
        IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
        Administrative-Down-By-Propagate-Link-State
        IP address unassigned
  Traffic Statistics for "INSIDE":
        2400 packets input, 165873 bytes
        1822 packets output, 178850 bytes
        17 packets dropped
      1 minute input rate 0 pkts/sec,  0 bytes/sec
      1 minute output rate 0 pkts/sec,  0 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec,  32 bytes/sec
      5 minute output rate 0 pkts/sec,  57 bytes/sec
      5 minute drop rate, 0 pkts/sec
firepower# show interface e1/4
Interface Ethernet1/4 "OUTSIDE", is down, line protocol is down
  Hardware is EtherSVI, BW 1000 Mbps, DLY 10 usec
        MAC address ac4a.670e.640e, MTU 1500
        IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
        Propagate-Link-State-Activated
        IP address unassigned
  Traffic Statistics for "OUTSIDE":
        1893 packets input, 158046 bytes
        2386 packets output, 213997 bytes
        67 packets dropped
      1 minute input rate 0 pkts/sec,  0 bytes/sec
      1 minute output rate 0 pkts/sec,  0 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec,  51 bytes/sec
      5 minute output rate 0 pkts/sec,  39 bytes/sec
      5 minute drop rate, 0 pkts/sec

Nadat u de switchpoort opnieuw hebt ingeschakeld, worden in de FTD-logboeken de volgende gegevens weergegeven:

May 28 2024 07:38:04: %FTD-4-411001: Line protocol on Interface Ethernet1/4, changed state to up
May 28 2024 07:38:04: %FTD-4-411003: Interface Ethernet1/3, changed state to administratively up
May 28 2024 07:38:04: %FTD-4-411003: Interface INSIDE, changed state to administratively up
May 28 2024 07:38:04: %FTD-4-812006: Link-State-Propagation de-activated on inline-pair due to recovery of interface Ethernet1/4(OUTSIDE) bringing up pair interface Ethernet1/3(INSIDE)
May 28 2024 07:38:05: %FTD-4-411002: Line protocol on Interface Ethernet1/4, changed state to down

Verificatie 5. Statische NAT configureren

Oplossing

NAT wordt niet ondersteund voor interfaces die werken in de inline-, inline- of passieve modus:

Configuratiehandleiding van Firepower Management Center, versie 6.0.1

Casestudy - Asymmetrisch verkeer door inline sets

Waarschuwing: Bij inline-set (IPS-modus)-interfaces is TCP State Bypass standaard ingeschakeld. Als TSID of een TLS-decoderingsbeleid is geconfigureerd in ACP Advanced Settings, wordt dit standaard TCP State Bypass-gedrag stilletjes overschreven/uitgeschakeld, zodat TCP-statuscontroles worden afgedwongen in plaats van te worden omzeild.
Waarneembaar symptoom: Voor verkeer dat in aanmerking komt voor de TCP-status dat een inline-set doorkruist (bijv. asymmetrische verkeersscenario's waarbij het verkeer uitloopt en verschillende inline-sets binnendringt), kunnen pakketten worden gedropt met ASP drop tcp-not-syn (syslog 106015).

Denk aan dit scenario:

De twee firewalls draaien in standalone modus (ze draaien zelfs verschillende softwareversies), maar verwerken verkeer vanuit dezelfde poort-kanaal interfaces.

In dit geval kunt u asymmetrisch verkeer hebben als gevolg van het laadbalansalgoritme van het poortkanaal:

1. Host-1 (10.0.200.85) stuurt een TCP SYN naar Host-2 (10.0.200.89). Dit pakket doorkruist de firewall1.
2. Host-2 (10.0.200.89) stuurt een TCP SYN/ACK naar Host-2 (10.0.200.85). Dit pakket doorkruist firewall2.
3. De TCP 3-weg handshake is voltooid met Host-1 het verzenden van een TCP ACK naar Host-2. Dit pakket doorkruist de firewall1.

Vanuit het oogpunt van Host-1 is de verbinding succesvol tot stand gebracht:

root@kali:/ # wget -O - http://10.0.200.89/10K
--2025-05-06 08:20:28--  http://10.0.200.89/10K
Connecting to 10.0.200.89:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 10240 (10K)
Saving to: ‘STDOUT’
-                                         100%[==================================================================================>]  10.00K  --.-KB/s    in 0s
2025-05-06 08:20:28 (99.8 MB/s) - written to stdout [10240/10240]

Packet capture op firewall1 toont alleen verkeer van host1 naar host2:

firepower# show capture

capture CAPI type raw-data trace interface NET200 [Capturing - 875 bytes]
  match ip host 10.0.200.85 host 10.0.200.89
capture CAPO type raw-data trace interface NET201 [Capturing - 875 bytes]
  match ip host 10.0.200.85 host 10.0.200.89

De opnameinhoud:

firepower# show capture CAPI

9 packets captured

   1: 12:21:14.161689       10.0.200.85.44806 > 10.0.200.89.80: S 1877376557:1877376557(0) win 64240 <mss 1460,sackOK,timestamp 2133104674 0,nop,wscale 7>
   2: 12:21:14.162924       10.0.200.85.44806 > 10.0.200.89.80: . ack 3274105192 win 502 <nop,nop,timestamp 2133104676 1658009126>
   3: 12:21:14.163077       10.0.200.85.44806 > 10.0.200.89.80: P 1877376558:1877376687(129) ack 3274105192 win 502 <nop,nop,timestamp 2133104676 1658009126>
   4: 12:21:14.164801       10.0.200.85.44806 > 10.0.200.89.80: . ack 3274106640 win 501 <nop,nop,timestamp 2133104677 1658009128>
   5: 12:21:14.164908       10.0.200.85.44806 > 10.0.200.89.80: . ack 3274108088 win 494
...

Packet capture op firewall2 toont alleen verkeer van host2 naar host1:

FTD1010-12# show capture CAPI

11 packets captured

   1: 12:21:14.198949       10.0.200.89.80 > 10.0.200.85.44806: S 3274105191:3274105191(0) ack 1877376558 win 65160 <mss 1460,sackOK,timestamp 1658009126 2133104674,nop,wscale 7>
   2: 12:21:14.200001       10.0.200.89.80 > 10.0.200.85.44806: . ack 1877376687 win 509 <nop,nop,timestamp 1658009128 2133104676>
   3: 12:21:14.200825       10.0.200.89.80 > 10.0.200.85.44806: . 3274105192:3274106640(1448) ack 1877376687 win 509 <nop,nop,timestamp 1658009128 2133104676>
   4: 12:21:14.200947       10.0.200.89.80 > 10.0.200.85.44806: . 3274106640:3274108088(1448) ack 1877376687 win 509 <nop,nop,timestamp 1658009128 2133104676>
   5: 12:21:14.200963       10.0.200.89.80 > 10.0.200.85.44806: . 3274108088:3274109536(1448) ack 1877376687 win 509 <nop,nop,timestamp 1658009128 2133104676>
   6: 12:21:14.200978       10.0.200.89.80 > 10.0.200.85.44806: . 3274109536:3274110984(1448) ack 1877376687 win 509 <nop,nop,timestamp 1658009128 2133104676>
   7: 12:21:14.200993       10.0.200.89.80 > 10.0.200.85.44806: P 3274110984:3274112432(1448) ack
...

Syslogs op firewall1 laten zien dat het TCP SYN-pakket een TCP-statusbypassverbinding heeft gemaakt:

firepower# show logging
...
May 06 2025 12:21:14: %FTD-6-302303: Built TCP state-bypass connection 106977 from NET200:10.0.200.85/44806 (10.0.200.85/44806) to NET201:10.0.200.89/80 (10.0.200.89/80)

Op firewall2 heeft het TCP SYN/ACK-pakket ook een TCP-statusbypassverbinding gemaakt:

FTD1010-12# show logging
...
May 06 2025 12:21:14: %FTD-6-302303: Built TCP state-bypass connection 325 from NET201:10.0.200.89/80 (10.0.200.89/80) to NET200:10.0.200.85/44806 (10.0.200.85/44806)

Hoofdpunten

• Asymmetrisch verkeer werkt via een inline set van verschillende firewall-apparaten, omdat beide apparaten de TCP-verbinding verwerken in de TCP-statusbypassmodus.
• TCP state-bypass is niet handmatig geconfigureerd op de firewalls, maar is het resultaat van de inline-set interface operatie.

Pakket blokkeren in de modus Inline Pair Interface

Maak een blokregel, stuur verkeer via het FTD Inline Pair en observeer het gedrag, zoals weergegeven in de afbeelding.

Oplossing

Schakel opname met trace in en verstuur de SYN/ACK-pakketten via het FTD Inline Pair. Het verkeer is geblokkeerd:

firepower# show capture
capture CAPI type raw-data trace interface INSIDE [Capturing - 270 bytes] 
  match ip host 192.168.201.60 any 
capture CAPO type raw-data interface OUTSIDE [Capturing - 0 bytes] 
  match ip host 192.168.201.60 any 

In het spoor is te zien dat het pakket werd gedropt door de FTD LINA-engine en niet werd doorgestuurd naar de FTD Snort-engine.

firepower# show capture CAPI packet-number 1 trace

4 packets captured

   1: 09:41:54.562547       192.168.201.50.59144 > 192.168.201.60.80: S 3817586151:3817586151(0) win 64240 <mss 1460,sackOK,timestamp 2568467664 0,nop,wscale 7>
Phase: 1
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Elapsed time: 10126 ns
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services will be applied

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: DROP
Elapsed time: 10126 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip any host 192.168.201.60 rule-id 268451045 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268451045: ACCESS POLICY: mzafeiro_2m - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268451045: L4 RULE: block_192.168.201.60
Additional Information:

Result:      
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
Action: drop

Time Taken: 20252 ns

1 packet shown

Configureer de inline-paarmodus met de tik

Schakel de tikmodus in op het inline paar.

Oplossing

Navigeer naar Apparaten > Apparaatbeheer > Inline-sets > Inline-set bewerken > Geavanceerd en schakel de Tap-modus in, zoals in de afbeelding wordt weergegeven.

Verificatie

firepower# show inline-set

Inline-set Inline-Pair-1
  Mtu is 1500 bytes
  Fail-open for snort down is off
  Fail-open for snort busy is off
  Tap mode is on
  Propagate-link-state option is on
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/4 "OUTSIDE"
      Current-Status: UP
    Interface: Ethernet1/3 "INSIDE"
      Current-Status: UP
    Bridge Group ID: 0

FTD-inline-paar verifiëren met werking van tapinterface

basistheorie

• Wanneer u een Inline Pair met Tap configureert, worden fysieke interfaces intern overbrugd.
• Het is beschikbaar in de modi Routed of Transparent Deployment.
• De meeste LINA-motorfuncties (NAT, Routing, enzovoort) zijn niet beschikbaar voor stromen die door het inline-paar gaan.
• Het werkelijke verkeer kan niet worden weggelaten.
• Een paar LINA-motorcontroles worden samen met volledige Snort-motorcontroles toegepast op een kopie van het werkelijke verkeer.

Inline Pair met Tap Mode laat het transitoverkeer niet vallen. Met het spoor van een pakje bevestigt het dit:

> show capture CAPI packet-number 2 trace

3 packets captured

   2: 13:34:30.685084       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: WOULD HAVE DROPPED
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1
access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1
Additional Information:

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
Action: Access-list would have dropped, but packet forwarded due to inline-tap


1 packet shown
>

Inline Pair en Etherchannel

U kunt op twee manieren een inline pair met etherchannel configureren:

1. Etherchannel wordt afgesloten op FTD.
2. Etherchannel gaat door de FTD (vereist FXOS-code 2.3.1.3 en hoger).

Etherchannel afgesloten op FTD

Etherkanalen op SW-A:

SW-A# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP      Gi3/11(P)
35     Po55(SU)        LACP      Gi2/33(P)

Etherkanalen op SW-B:

SW-B# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP        Gi1/0/3(P)
55     Po55(SU)        LACP        Gi1/0/4(P)

Het verkeer wordt doorgestuurd via de actieve FTD op basis van MAC-adresleren:

SW-B# show mac address-table address 0017.dfd6.ec00
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
 201    0017.dfd6.ec00    DYNAMIC     Po33
Total Mac Addresses for this criterion: 1

De inline-set op FTD:

FTD# show inline-set

Inline-set SET1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is off
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Port-channel3 "INSIDE"
      Current-Status: UP
    Interface: Port-channel5 "OUTSIDE"
      Current-Status: UP
    Bridge Group ID: 775

Opmerking: In het geval van een FTD-failover-gebeurtenis hangt de verkeersuitval voornamelijk af van de tijd die de switches nodig hebben om het MAC-adres van de externe peer te leren.

Etherchannel via de FTD

Etherkanalen op SW-A:

SW-A# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP      Gi3/11(P)
55     Po55(SD)        LACP      Gi3/7(I)

De LACP-pakketten via de Standby FTD zijn geblokkeerd:

FTD# capture ASP type asp-drop fo-standby
FTD# show capture ASP | i 0180.c200.0002
  29: 15:28:32.658123       a0f8.4991.ba03 0180.c200.0002 0x8809 Length: 124
  70: 15:28:47.248262       f0f7.556a.11e2 0180.c200.0002 0x8809 Length: 124

Etherkanalen op SW-B:

SW-B# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP        Gi1/0/3(P)
55     Po55(SD)        LACP        Gi1/0/4(s)

Het verkeer wordt doorgestuurd via de actieve FTD op basis van MAC-adresleren:

SW-B# show mac address-table address 0017.dfd6.ec00
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
 201    0017.dfd6.ec00    DYNAMIC     Po33
Total Mac Addresses for this criterion: 1

De inline-set op FTD:

FTD# show inline-set

Inline-set SET1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is off
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/3 "INSIDE"
      Current-Status: UP
    Interface: Ethernet1/5 "OUTSIDE"
      Current-Status: UP
    Bridge Group ID: 519

Let op: in dit scenario, in het geval van een FTD failover gebeurtenis, de convergentie tijd hangt voornamelijk af van de Etherchannel LACP onderhandelingen, en van de tijd die het duurt de storing, die vrij langer kan zijn. Als de Etherchannel-modus aan staat (geen LACP), is de convergentietijd afhankelijk van het leren van MAC-adressen.

Problemen oplossen

Er is momenteel geen specifieke informatie beschikbaar voor deze configuratie.

Vergelijking: Inline Pair vs Inline Pair met Tap

	inline paar	Inline Pair met Tap
Inline-set weergeven	> Inline-set weergeven Inline-set Inline-Pair-1   Mtu staat voor 1500 bytes   Faalveilige modus is ingeschakeld/geactiveerd   Faalveilige modus is uitgeschakeld   Tikmodus is uitgeschakeld   De optie Propagate-link-state is ingeschakeld   Hardware-bypass-modus is uitgeschakeld   Interface-Pair[1]:     Interface: Ethernet1/6 "INSIDE"       Huidige status: UP     Interface: Ethernet1/8 "BUITEN"       Huidige status: UP     Bridge Group-ID: 509 >	> Inline-set weergeven Inline-set Inline-Pair-1   Mtu staat voor 1500 bytes   Faalveilige modus is ingeschakeld/geactiveerd   Faalveilige modus is uitgeschakeld   Tikmodus is ingeschakeld   De optie Propagate-link-state is ingeschakeld   Hardware-bypass-modus is uitgeschakeld   Interface-Pair[1]:     Interface: Ethernet1/6 "INSIDE"       Huidige status: UP     Interface: Ethernet1/8 "BUITEN"       Huidige status: UP     ID bruggroep: 0 >
show interface	> Interface tonen E1/6 Interface Ethernet1/6 "INSIDE", is up, line protocol is up   Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec         MAC-adres 5897.bdb9.770e, MTU 1500         IPS-interfacemodus: inline, inline-set: inline-paar-1         IP-adres niet toegewezen   Verkeersstatistieken voor "INSIDE":         3957 pakketinvoer, 264913 bytes         144 pakketuitvoer, 58664 bytes         4 pakjes laten vallen       1 minuut invoersnelheid 0 pkts/sec, 26 bytes/sec       1 minuut uitvoersnelheid 0 pkts/sec, 7 bytes/sec       1 minuut valsnelheid, 0 pkts/sec       Invoersnelheid van 5 minuten 0 pkts/sec, 28 bytes/sec       5 minuten uitvoersnelheid 0 pkts/sec, 9 bytes/sec       5 minuten valsnelheid, 0 pkts/sec > Interface tonen E1/8 Interface Ethernet1/8 "OUTSIDE", is up, line protocol is up   Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec         MAC-adres 5897.bdb9.774d, MTU 1500         IPS-interfacemodus: inline, inline-set: inline-paar-1         IP-adres niet toegewezen   Verkeersstatistieken voor "BUITEN":         144 invoerpakketten, 55634 bytes         Uitvoer van 3954 pakketten, 339987 bytes         0 pakketten laten vallen       1 minuut invoersnelheid 0 pkts/sec, 7 bytes/sec       1 minuut uitvoersnelheid 0 pkts/sec, 37 bytes/sec       1 minuut valsnelheid, 0 pkts/sec       Invoersnelheid van 5 minuten 0 pkts/sec, 8 bytes/sec       5 minuten uitvoersnelheid 0 pkts/sec, 39 bytes/sec       5 minuten valsnelheid, 0 pkts/sec >	> Interface tonen E1/6 Interface Ethernet1/6 "INSIDE", is up, line protocol is up   Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec         MAC-adres 5897.bdb9.770e, MTU 1500         IPS-interfacemodus: inline-tap, inline-set: inline-paar-1         IP-adres niet toegewezen   Verkeersstatistieken voor "INSIDE":         24 invoerpakketten, 1.378 bytes         0 pakketuitvoer, 0 bytes         24 pakketten afgevoerd       1 minuut invoersnelheid 0 pkts/sec, 0 bytes/sec       1 minuut uitvoersnelheid 0 pkts/sec, 0 bytes/sec       1 minuut valsnelheid, 0 pkts/sec       Invoersnelheid van 5 minuten 0 pkts/sec, 0 bytes/sec       5 minuten uitvoersnelheid 0 pkts/sec, 0 bytes/sec       5 minuten valsnelheid, 0 pkts/sec > Interface tonen E1/8 Interface Ethernet1/8 "OUTSIDE", is up, line protocol is up   Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec         MAC-adres 5897.bdb9.774d, MTU 1500         IPS-interfacemodus: inline-tap, inline-set: inline-paar-1         IP-adres niet toegewezen   Verkeersstatistieken voor "BUITEN":         1 invoerpakketten, 441 bytes         0 pakketuitvoer, 0 bytes         1 pakketje gevallen       1 minuut invoersnelheid 0 pkts/sec, 0 bytes/sec       1 minuut uitvoersnelheid 0 pkts/sec, 0 bytes/sec       1 minuut valsnelheid, 0 pkts/sec       Invoersnelheid van 5 minuten 0 pkts/sec, 0 bytes/sec       5 minuten uitvoersnelheid 0 pkts/sec, 0 bytes/sec       5 minuten valsnelheid, 0 pkts/sec >
Pakket verwerken met blokregel	> Capture CAPI-pakketnummer 1-spoor tonen 3 pakketten vastgelegd    1: 16:12:55.785085 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 Fase: 1 Type: VASTLEGGEN Subtype: Resultaat: TOESTAAN Config: Aanvullende informatie: MAC Access-lijst Fase: 2 Type: TOEGANGSLIJST Subtype: Resultaat: TOESTAAN Config: impliciete regel Aanvullende informatie: MAC Access-lijst Fase: 3 Type: NGIPS-MODUS Subtype: ngips-mode Resultaat: TOESTAAN Config: Aanvullende informatie: De flow omvat een interface die is geconfigureerd voor NGIPS-modus en NGIPS-services wordt toegepast Fase: 4 Type: TOEGANGSLIJST Subtype: log Resultaat: DROP Config: toegangsgroep CSM_FW_ACL_ globaal access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start toegangslijst CSM_FW_ACL_ opmerking regel-id 268441600: TOEGANGSBELEID: FTD4100 - Verplicht/1 toegangslijst CSM_FW_ACL_ opmerking regel-id 268441600: L4 REGEL: regel 1 Aanvullende informatie: Resultaat: ingang-interface: BINNEN Invoerstatus: omhoog Invoerlijnstatus: omhoog Actie: neerzetten Reden voor neerzetten: (acl-drop) Stroom wordt geweigerd door geconfigureerde regel 1 getoonde verpakking >	> Capture CAPI-pakketnummer 1-spoor tonen 3 pakketten vastgelegd    1: 16:56:02.631437 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) Win 8192 Fase: 1 Type: VASTLEGGEN Subtype: Resultaat: TOESTAAN Config: Aanvullende informatie: MAC Access-lijst Fase: 2 Type: TOEGANGSLIJST Subtype: Resultaat: TOESTAAN Config: impliciete regel Aanvullende informatie: MAC Access-lijst Fase: 3 Type: NGIPS-MODUS Subtype: ngips-mode Resultaat: TOESTAAN Config: Aanvullende informatie: De flow omvat een interface die is geconfigureerd voor NGIPS-modus en NGIPS-services wordt toegepast Fase: 4 Type: TOEGANGSLIJST Subtype: log Resultaat: ZOU ZIJN GEDAALD Config: toegangsgroep CSM_FW_ACL_ globaal access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start toegangslijst CSM_FW_ACL_ opmerking regel-id 268441600: TOEGANGSBELEID: FTD4100 - Verplicht/1 toegangslijst CSM_FW_ACL_ opmerking regel-id 268441600: L4 REGEL: regel 1 Aanvullende informatie: Resultaat: ingang-interface: BINNEN Invoerstatus: omhoog Invoerlijnstatus: omhoog Actie: Access-lijst zou zijn gedaald, maar pakket doorgestuurd vanwege inline-tap 1 getoonde verpakking >

Samenvatting

• Wanneer u de Inline Pair-modus gebruikt, gaat het pakket voornamelijk door de FTD Snort-engine.
• TCP-verbindingen worden afgehandeld in een TCP-statusbypassmodus.
• Vanuit het oogpunt van de FTD LINA-engine wordt een ACL-beleid toegepast.
• Wanneer de Inline Pair-modus in gebruik is, kunnen pakketten worden geblokkeerd omdat ze inline worden verwerkt.
• Wanneer Tikmodus is ingeschakeld, wordt een kopie van het pakket intern geïnspecteerd en gedropt terwijl het werkelijke verkeer ongewijzigd door FTD gaat.

Gerelateerde informatie

• Cisco Firepower NGFW
• Technische ondersteuning en documentatie – Cisco Systems

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
5.0	25-Oct-2026	Een waarschuwing toegevoegd over de wederzijdse uitsluiting van Inline-sets en TSID-functie.
4.0	08-May-2025	hercertificering
3.0	18-Nov-2024	Cisco Internal Information Box verwijderd omdat de link niet gevonden kon worden. Bijgewerkte introductie, alt-tekst en opmaak.
1.0	18-Oct-2017	Eerste vrijgave