FTD-interfaces configureren in Inline-Pair-modus
Inhoud
Inleiding
Dit document beschrijft de configuratie, verificatie en werking van een Inline Pair Interface op een Firepower Threat Defense (FTD) toestel.
Voorwaarden
Vereisten
Er zijn geen specifieke vereisten van toepassing op dit document.
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
- Firepower 4112 FTD (code 7.x)
- Firepower Management Center (FMC) (code 7.x)
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Verwante producten
Dit document kan ook worden gebruikt voor de volgende hardware- en softwareversies:
- FPR1000, FPR2100, FPR4100, FPR9300
- Secure Firewall 3100- en 4200-reeks
- vFTD
- FTD-softwarecode 6.2.x en hoger
Achtergrondinformatie
FTD is een unified software-image die bestaat uit twee hoofd-engines:
- LINA-engine
- Snort-engine
Deze afbeelding toont de interactie tussen de twee engines:
- Een pakket komt binnen via de inkomende interface en wordt verwerkt door de LINA-engine.
- Als dit vereist is door het FTD-beleid, wordt het pakket geïnspecteerd door de Snort-engine.
- De Snort-engine geeft een oordeel voor het pakket.
- De LINA-engine wijst het pakket af of stuurt het door op basis van het Snort-oordeel.
FTD biedt twee implementatiemodi en zes interfacemodi, zoals in de afbeelding wordt weergegeven:
Hier is een overzicht op hoog niveau van de verschillende FTD-implementatie- en interfacemodi:
|
FTD-interfacemodus |
FTD Deployment Mode |
Beschrijving |
Verkeer kan worden weggehaald |
|
gerouteerd |
gerouteerd |
Volledige LINA-motor en snort-motor controles. |
Ja |
|
omgeschakeld |
doorzichtig |
Volledige LINA-motor en snort-motor controles. |
Ja |
|
inline-paar |
Gerouteerd of transparant |
Gedeeltelijke LINA-motor en volledige Snort-motor controles. |
Ja |
|
Inline koppelen met tik |
Gerouteerd of transparant |
Gedeeltelijke LINA-motor en volledige Snort-motor controles. |
Nee |
|
passief |
Gerouteerd of transparant |
Gedeeltelijke LINA-motor en volledige Snort-motor controles. |
Nee |
|
Passief (ERSPAN) |
gerouteerd |
Gedeeltelijke LINA-motor en volledige Snort-motor controles. |
Nee |
Inline Pair-interface configureren op FTD
Netwerkdiagram
eis
Configureer de fysieke interfaces e1/3 en e1/4 in de Inline Pair-modus volgens deze vereisten:
| Interface | e1/3 | e1/4 |
| Naam | BINNENKANT | BUITENZIJDE |
| veiligheidszone | INSIDE_ZONE | OUTSIDE_ZONE |
| Inline Set naam | inline-pair-1 | |
| Inline Set MTU | 1500 | |
| Verbindingsstatus propageren | Ingeschakeld |
Oplossing
Stap 1. Om te configureren voor de afzonderlijke interfaces, navigeert u naar Apparaten > Apparaatbeheer, selecteert u het juiste apparaat en selecteert u Bewerken:
Geef vervolgens Naam op en vink Ingeschakeld aan voor de interface zoals weergegeven in de afbeelding.
Hetzelfde geldt voor de Ethernet-interface 1/4. Het eindresultaat wordt getoond:
Stap 2. Configureer het inline-paar.
Navigeer naar Inline Sets > Inline Set toevoegen zoals weergegeven in de afbeelding.
Stap 3. Configureer de algemene instellingen volgens de vereisten zoals weergegeven in de afbeelding.
Stap 4. Schakel de optie Koppelingsstatus propageren in bij de Geavanceerde instellingen zoals weergegeven in de afbeelding.
Verbindingsstatuspropagatie verlaagt automatisch de tweede interface in het inline interfacepaar wanneer een van de interfaces in de inline set uitvalt.
Stap 5. De wijzigingen opslaan en implementeren.
Verifiëren
Gebruik deze sectie om te controleren of uw configuratie goed werkt.
Controleer de Inline Pair-configuratie vanuit de FTD CLI.
Oplossing
Meld u aan bij FTD CLI en controleer de configuratie van het inline paar:
firepower# show inline-set
Inline-set Inline-Pair-1
Mtu is 1500 bytes
Fail-open for snort down is on
Fail-open for snort busy is off
Tap mode is off
Propagate-link-state option is on
hardware-bypass mode is disabled
Interface-Pair[1]:
Interface: Ethernet1/4 "OUTSIDE"
Current-Status: UP
Interface: Ethernet1/3 "INSIDE"
Current-Status: UP
Bridge Group ID: 507
Interface- en naaminformatie:
firepower# show nameif
Interface Name Security
Ethernet1/1 management 0
Ethernet1/3 INSIDE 0
Ethernet1/4 OUTSIDE 0
Controleer de status van de interface:
firepower# show interface ip brief
Interface IP-Address OK? Method Status Protocol
Internal-Control0/0 unassigned YES unset up up
Internal-Data0/0 unassigned YES unset up up
Internal-Data0/1 unassigned YES unset up up
Internal-Data0/2 169.254.1.1 YES unset up up
Internal-Data0/3 unassigned YES unset up up
Internal-Data0/4 unassigned YES unset down up
Ethernet1/1 203.0.113.130 YES unset up up
Ethernet1/3 unassigned YES unset up up
Ethernet1/4 unassigned YES unset up up
Fysieke interfacegegevens controleren:
firepower# show interface e1/3
Interface Ethernet1/3 "INSIDE", is up, line protocol is up
Hardware is EtherSVI, BW 1000 Mbps, DLY 10 usec
MAC address ac4a.670e.641e, MTU 1500
IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
IP address unassigned
Traffic Statistics for "INSIDE":
170 packets input, 12241 bytes
41 packets output, 7881 bytes
9 packets dropped
1 minute input rate 0 pkts/sec, 37 bytes/sec
1 minute output rate 0 pkts/sec, 19 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 34 bytes/sec
5 minute output rate 0 pkts/sec, 23 bytes/sec
5 minute drop rate, 0 pkts/sec
Verifieer de werking van de FTD Inline Pair-interface
In dit gedeelte worden deze verificatiecontroles behandeld om de werking van het inline pair te verifiëren:
- Verificatie 1. Met het gebruik van packet-tracer.
- Verificatie 2. Opname met trace inschakelen en een TCP-pakket synchroniseren/bevestigen (SYN/ACK) verzenden via het inline-paar.
- Verificatie 3. FTD-verkeer bewaken met behulp van foutopsporing in firewall-engine
- Verificatie 4. Controleer de functie Link-State Propagation.
- Verificatie 5. Statische netwerkadresvertaling (NAT) configureren.
Oplossing
Architecturaal overzicht
Wanneer 2 FTD-interfaces in de Inline-pair-modus werken, wordt een pakket verwerkt, zoals weergegeven in de afbeelding.
basistheorie
- Wanneer u een Inline Pair 2 configureert, worden fysieke interfaces intern overbrugd.
- Het is vergelijkbaar met het Inline Intrusion Prevention System (IPS).
- Beschikbaar in de modus Routed of Transparent Deployment.
- De meeste LINA-motorfuncties (NAT, Routing, enzovoort) zijn niet beschikbaar voor stromen die door een Inline Pair gaan.
- Het transitoverkeer kan wegvallen.
- Een paar LINA-motorcontroles worden toegepast, samen met volledige Snort-motorcontroles.
Het laatste punt kan worden gevisualiseerd zoals weergegeven in de afbeelding:
Verificatie 1. Met het gebruik van Packet-Tracer
De packet-tracer uitgang die een pakket dat het inline paar doorkruist met de belangrijke punten gemarkeerd emuleert:
firepower# packet-tracer input INSIDE tcp 192.168.201.50 1111 192.168.202.50 80
Phase: 1
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Elapsed time: 11834 ns
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services will be applied
Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 11834 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.201.50 host 192.168.202.50 rule-id 268451044
access-list CSM_FW_ACL_ remark rule-id 268451044: ACCESS POLICY: mzafeiro_2m - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268451044: L7 RULE: New-Rule-#1303-ALLOW
Additional Information:
This packet will be sent to snort for additional processing where a verdict will be reached
Phase: 3
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 2440 ns
Config:
Additional Information:
Ingress interface INSIDE is in NGIPS inline mode.
Egress interface OUTSIDE is determined by inline-set configuration
Phase: 4
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 68320 ns
Config:
Additional Information:
New flow created with id 1801, packet dispatched to next module
Phase: 5
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Elapsed time: 18056 ns
Config:
Additional Information:
Application: 'SNORT Inspect'
Phase: 6
Type: SNORT
Subtype: identity
Result: ALLOW
Elapsed time: 13668 ns
Config:
Additional Information:
user id: no auth, realm id: 0, device type: 0, auth type: invalid, auth proto: basic, username: none, AD domain: none,
src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, abp src: none, abp dst: none, location: none
Phase: 7
Type: SNORT
Subtype: firewall
Result: ALLOW
Elapsed time: 67770 ns
Config:
Network 0, Inspection 0, Detection 0, Rule ID 268451044
Additional Information:
Starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url or host, no xff
Matched rule ids 268451044 - Allow
Phase: 8
Type: SNORT
Subtype: appid
Result: ALLOW
Elapsed time: 11002 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)
Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 204924 ns
Verificatie 2. TCP SYN/ACK-pakketten verzenden via inline-paar
U kunt TCP SYN / ACK-pakketten genereren met behulp van een pakket dat hulpprogramma's zoals Scapy maakt. Deze syntaxis genereert 3 pakketten met SYN/ACK-vlaggen ingeschakeld:
root@KALI:~# scapy INFO: Can't import python gnuplot wrapper . Won't be able to plot. WARNING: No route found for IPv6 destination :: (no default route?) Welcome to Scapy (2.2.0) >>> conf.iface='eth0' >>> packet = IP(dst="192.168.201.60")/TCP(flags="SA",dport=80) >>> syn_ack=[] >>> for i in range(0,3): # Send 3 packets ... syn_ack.extend(packet) ... >>> send(syn_ack)
Schakel deze opname in op FTD CLI en verzend een paar TCP SYN/ACK-pakketten:
firepower# capture CAPI interface INSIDE trace match ip host 192.168.201.60 any
firepower# capture CAPO interface OUTSIDE match ip host 192.168.201.60 any
De opnames laten zien dat de 3 SYN/ACK-pakketten de FTD doorkruisen:
firepower# show capture CAPI
3 packets captured
1: 09:20:18.206440 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
2: 09:20:18.208180 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
3: 09:20:18.210026 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
3 packets shown
firepower# show capture CAPO
3 packets captured
1: 09:20:18.206684 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
2: 09:20:18.208210 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
3: 09:20:18.210056 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
3 packets shown
De Trace van het eerste capture-pakket onthult enkele aanvullende informatie zoals het Snort-motorvonnis:
firepower# show capture CAPI packet-number 1 trace
3 packets captured
1: 09:20:18.206440 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
Phase: 1
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Elapsed time: 5978 ns
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services will be applied
Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 5978 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.201.50 object-group FMC_INLINE_dst_rule_268451044 rule-id 268451044
access-list CSM_FW_ACL_ remark rule-id 268451044: ACCESS POLICY: mzafeiro_2m - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268451044: L7 RULE: New-Rule-#1303-ALLOW
object-group network FMC_INLINE_dst_rule_268451044
network-object 192.168.202.50 255.255.255.255
network-object 192.168.201.60 255.255.255.255
Additional Information:
This packet will be sent to snort for additional processing where a verdict will be reached
Phase: 3
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 1952 ns
Config:
Additional Information:
Ingress interface INSIDE is in NGIPS inline mode.
Egress interface OUTSIDE is determined by inline-set configuration
Phase: 4
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 45872 ns
Config:
Additional Information:
New flow created with id 1953, packet dispatched to next module
Phase: 5
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Elapsed time: 18544 ns
Config:
Additional Information:
Application: 'SNORT Inspect'
Phase: 6
Type: SNORT
Subtype: identity
Result: ALLOW
Elapsed time: 25182 ns
Config:
Additional Information:
user id: no auth, realm id: 0, device type: 0, auth type: invalid, auth proto: basic, username: none, AD domain: none,
src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, abp src: none, abp dst: none, location: none
Phase: 7
Type: SNORT
Subtype: firewall
Result: ALLOW
Elapsed time: 50924 ns
Config:
Network 0, Inspection 0, Detection 0, Rule ID 268451044
Additional Information:
Starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url or host, no xff
Matched rule ids 268451044 - Allow
Phase: 8
Type: SNORT
Subtype: appid
Result: ALLOW
Elapsed time: 17722 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)
Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 172152 ns
1 packet shown
Het spoor van het tweede vastgelegde pakket laat zien dat het pakket overeenkomt met een huidige verbinding, zodat het de ACL-controle omzeilt, maar nog steeds wordt geïnspecteerd door de Snort-engine:
firepower# show capture CAPI packet-number 2 trace
3 packets captured
2: 09:20:18.208180 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192
Phase: 1
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Elapsed time: 1952 ns
Config:
Additional Information:
Found flow with id 1953, using existing flow
Phase: 2
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Elapsed time: 7320 ns
Config:
Additional Information:
Application: 'SNORT Inspect'
Phase: 3
Type: SNORT
Subtype: appid
Result: ALLOW
Elapsed time: 1860 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)
Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
Action: allow
Time Taken: 11132 ns
1 packet shown
Verificatie 3. Foutopsporing van firewall-engine voor toegestaan verkeer
Foutopsporing van de firewall-engine wordt uitgevoerd tegen specifieke onderdelen van de FTD Snort Engine, zoals het toegangscontrolebeleid, zoals weergegeven in de afbeelding:
Wanneer u de TCP SYN/ACK-pakketten verzendt via Inline Pair, ziet u in de foutopsporingsuitvoer:
> system support firewall-engine-debug
Please specify an IP protocol: tcp
Please specify a client IP address:
Please specify a client port:
Please specify a server IP address: 192.168.201.60
Please specify a server port: 80
Monitoring firewall engine debug messages
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 New session
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 using HW or preset rule order 3, id 268438528 action Allow and prefilter rule 0
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 allow action
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 Deleting session
Verificatie 4. Koppelingsstatuspropagatie controleren
Schakel de bufferlog in FTD in en sluit de switchport af die is aangesloten op de e1/4-interface. Op FTD CLI moet u zien dat beide interfaces zijn gedegradeerd:
firepower# show interface ip brief
Interface IP-Address OK? Method Status Protocol
Internal-Control0/0 unassigned YES unset up up
Internal-Data0/0 unassigned YES unset up up
Internal-Data0/1 unassigned YES unset up up
Internal-Data0/2 169.254.1.1 YES unset up up
Internal-Data0/3 unassigned YES unset up up
Internal-Data0/4 unassigned YES unset down up
Ethernet1/1 203.0.113.130 YES unset up up
Ethernet1/3 unassigned YES unset admin down down
Ethernet1/4 unassigned YES unset down down
De FTD-logboeken tonen:
firepower# show log
...
May 28 2024 07:35:10: %FTD-4-411002: Line protocol on Interface Ethernet1/4, changed state to down
May 28 2024 07:35:10: %FTD-4-411004: Interface INSIDE, changed state to administratively down
May 28 2024 07:35:10: %FTD-4-411004: Interface Ethernet1/3, changed state to administratively down
May 28 2024 07:35:10: %FTD-4-812005: Link-State-Propagation activated on inline-pair due to failure of interface Ethernet1/4(OUTSIDE) bringing down pair interface Ethernet1/3(INSIDE)
May 28 2024 07:35:10: %FTD-4-411002: Line protocol on Interface Ethernet1/3, changed state to down
De inline-setstatus geeft de status van de 2 interfaceleden weer:
firepower# show inline-set
Inline-set Inline-Pair-1
Mtu is 1500 bytes
Fail-open for snort down is on
Fail-open for snort busy is off
Tap mode is off
Propagate-link-state option is on
hardware-bypass mode is disabled
Interface-Pair[1]:
Interface: Ethernet1/4 "OUTSIDE"
Current-Status: Down(Propagate-Link-State-Activated)
Interface: Ethernet1/3 "INSIDE"
Current-Status: Down(Administrative-Down-By-Propagate-Link-State)
Bridge Group ID: 507
Let op het verschil in de status van de 2 interfaces:
firepower# show interface e1/3
Interface Ethernet1/3 "INSIDE", is admin down, line protocol is down
Hardware is EtherSVI, BW 1000 Mbps, DLY 10 usec
MAC address ac4a.670e.641e, MTU 1500
IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
Administrative-Down-By-Propagate-Link-State
IP address unassigned
Traffic Statistics for "INSIDE":
2400 packets input, 165873 bytes
1822 packets output, 178850 bytes
17 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 32 bytes/sec
5 minute output rate 0 pkts/sec, 57 bytes/sec
5 minute drop rate, 0 pkts/sec
firepower# show interface e1/4
Interface Ethernet1/4 "OUTSIDE", is down, line protocol is down
Hardware is EtherSVI, BW 1000 Mbps, DLY 10 usec
MAC address ac4a.670e.640e, MTU 1500
IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
Propagate-Link-State-Activated
IP address unassigned
Traffic Statistics for "OUTSIDE":
1893 packets input, 158046 bytes
2386 packets output, 213997 bytes
67 packets dropped
1 minute input rate 0 pkts/sec, 0 bytes/sec
1 minute output rate 0 pkts/sec, 0 bytes/sec
1 minute drop rate, 0 pkts/sec
5 minute input rate 0 pkts/sec, 51 bytes/sec
5 minute output rate 0 pkts/sec, 39 bytes/sec
5 minute drop rate, 0 pkts/sec
Nadat u de switchport opnieuw hebt ingeschakeld, worden in de FTD-logs het volgende weergegeven:
May 28 2024 07:38:04: %FTD-4-411001: Line protocol on Interface Ethernet1/4, changed state to up
May 28 2024 07:38:04: %FTD-4-411003: Interface Ethernet1/3, changed state to administratively up
May 28 2024 07:38:04: %FTD-4-411003: Interface INSIDE, changed state to administratively up
May 28 2024 07:38:04: %FTD-4-812006: Link-State-Propagation de-activated on inline-pair due to recovery of interface Ethernet1/4(OUTSIDE) bringing up pair interface Ethernet1/3(INSIDE)
May 28 2024 07:38:05: %FTD-4-411002: Line protocol on Interface Ethernet1/4, changed state to down
Verificatie 5. Statische NAT configureren
Oplossing
NAT wordt niet ondersteund voor interfaces die werken in de inline-, inline-tap- of passieve modus:
Configuratiehandleiding van Firepower Management Center, versie 6.0.1
Casestudy - Asymmetrisch verkeer door inline-sets
Bekijk dit scenario:
De twee firewalls draaien in standalone modus (ze draaien zelfs verschillende softwareversies), maar verwerken verkeer van dezelfde poort-kanaal interfaces.
In dit geval kunt u asymmetrisch verkeer hebben als gevolg van het algoritme voor load-balancing van het poortkanaal:
- Host-1 (10.0.200.85) stuurt een TCP SYN naar Host-2 (10.0.200.89). Dit pakket doorloopt firewall1.
- Host-2 (10.0.200.89) stuurt een TCP SYN/ACK naar Host-2 (10.0.200.85). Dit pakket doorloopt firewall2.
- De TCP 3-weg handshake wordt voltooid met Host-1 het verzenden van een TCP ACK naar Host-2. Dit pakket doorloopt firewall1.
Vanuit het oogpunt van Host-1 is de verbinding tot stand gebracht:
root@kali:/ # wget -O - http://10.0.200.89/10K
--2025-05-06 08:20:28-- http://10.0.200.89/10K
Connecting to 10.0.200.89:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 10240 (10K)
Saving to: ‘STDOUT’
- 100%[==================================================================================>] 10.00K --.-KB/s in 0s
2025-05-06 08:20:28 (99.8 MB/s) - written to stdout [10240/10240]
Packet capture op firewall1 toont alleen verkeer van host1 naar host2:
firepower# show capture
capture CAPI type raw-data trace interface NET200 [Capturing - 875 bytes]
match ip host 10.0.200.85 host 10.0.200.89
capture CAPO type raw-data trace interface NET201 [Capturing - 875 bytes]
match ip host 10.0.200.85 host 10.0.200.89
De inhoud van de opname:
firepower# show capture CAPI
9 packets captured
1: 12:21:14.161689 10.0.200.85.44806 > 10.0.200.89.80: S 1877376557:1877376557(0) win 64240 <mss 1460,sackOK,timestamp 2133104674 0,nop,wscale 7>
2: 12:21:14.162924 10.0.200.85.44806 > 10.0.200.89.80: . ack 3274105192 win 502 <nop,nop,timestamp 2133104676 1658009126>
3: 12:21:14.163077 10.0.200.85.44806 > 10.0.200.89.80: P 1877376558:1877376687(129) ack 3274105192 win 502 <nop,nop,timestamp 2133104676 1658009126>
4: 12:21:14.164801 10.0.200.85.44806 > 10.0.200.89.80: . ack 3274106640 win 501 <nop,nop,timestamp 2133104677 1658009128>
5: 12:21:14.164908 10.0.200.85.44806 > 10.0.200.89.80: . ack 3274108088 win 494
...
Packet capture op firewall2 toont alleen verkeer van host2 naar host1:
FTD1010-12# show capture CAPI
11 packets captured
1: 12:21:14.198949 10.0.200.89.80 > 10.0.200.85.44806: S 3274105191:3274105191(0) ack 1877376558 win 65160 <mss 1460,sackOK,timestamp 1658009126 2133104674,nop,wscale 7>
2: 12:21:14.200001 10.0.200.89.80 > 10.0.200.85.44806: . ack 1877376687 win 509 <nop,nop,timestamp 1658009128 2133104676>
3: 12:21:14.200825 10.0.200.89.80 > 10.0.200.85.44806: . 3274105192:3274106640(1448) ack 1877376687 win 509 <nop,nop,timestamp 1658009128 2133104676>
4: 12:21:14.200947 10.0.200.89.80 > 10.0.200.85.44806: . 3274106640:3274108088(1448) ack 1877376687 win 509 <nop,nop,timestamp 1658009128 2133104676>
5: 12:21:14.200963 10.0.200.89.80 > 10.0.200.85.44806: . 3274108088:3274109536(1448) ack 1877376687 win 509 <nop,nop,timestamp 1658009128 2133104676>
6: 12:21:14.200978 10.0.200.89.80 > 10.0.200.85.44806: . 3274109536:3274110984(1448) ack 1877376687 win 509 <nop,nop,timestamp 1658009128 2133104676>
7: 12:21:14.200993 10.0.200.89.80 > 10.0.200.85.44806: P 3274110984:3274112432(1448) ack
...
Syslogs op firewall1 laten zien dat het TCP SYN-pakket een TCP-statusbypassverbinding heeft gemaakt:
firepower# show logging
...
May 06 2025 12:21:14: %FTD-6-302303: Built TCP state-bypass connection 106977 from NET200:10.0.200.85/44806 (10.0.200.85/44806) to NET201:10.0.200.89/80 (10.0.200.89/80)
In firewall 2 heeft het TCP SYN/ACK-pakket ook een TCP-statusbypassverbinding gemaakt:
FTD1010-12# show logging
...
May 06 2025 12:21:14: %FTD-6-302303: Built TCP state-bypass connection 325 from NET201:10.0.200.89/80 (10.0.200.89/80) to NET200:10.0.200.85/44806 (10.0.200.85/44806)
Hoofdpunten
- Asymmetrisch verkeer werkt via een inline set van verschillende firewall-apparaten, omdat beide apparaten de TCP-verbinding in de TCP-statusbypassmodus afhandelen.
- Merk op dat TCP state-bypass niet handmatig wordt geconfigureerd op de firewalls, maar het is het resultaat van de inline-set interface operatie.
Pakket blokkeren in Inline Pair Interface-modus
Maak een blokregel, stuur verkeer door het FTD Inline Pair en observeer het gedrag, zoals weergegeven in de afbeelding.
Oplossing
Schakel vastleggen met trace in en verzend de SYN/ACK-pakketten via het FTD Inline Pair. Het verkeer is geblokkeerd:
firepower# show capture
capture CAPI type raw-data trace interface INSIDE [Capturing - 270 bytes]
match ip host 192.168.201.60 any
capture CAPO type raw-data interface OUTSIDE [Capturing - 0 bytes]
match ip host 192.168.201.60 any
In het spoor is te zien dat het pakketje door de FTD LINA-motor is gedropt en niet is doorgestuurd naar de FTD Snort-motor.
firepower# show capture CAPI packet-number 1 trace
4 packets captured
1: 09:41:54.562547 192.168.201.50.59144 > 192.168.201.60.80: S 3817586151:3817586151(0) win 64240 <mss 1460,sackOK,timestamp 2568467664 0,nop,wscale 7>
Phase: 1
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Elapsed time: 10126 ns
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services will be applied
Phase: 2
Type: ACCESS-LIST
Subtype:
Result: DROP
Elapsed time: 10126 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip any host 192.168.201.60 rule-id 268451045 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268451045: ACCESS POLICY: mzafeiro_2m - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268451045: L4 RULE: block_192.168.201.60
Additional Information:
Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
Action: drop
Time Taken: 20252 ns
1 packet shown
Inline Pair Mode configureren met TAP
Schakel de Tap-modus in op het inline paar.
Oplossing
Navigeer naar Apparaten > Apparaatbeheer > Inline-sets > Inline-set bewerken > Geavanceerd en schakel de tikmodus in, zoals in de afbeelding wordt weergegeven.
Verificatie
firepower# show inline-set
Inline-set Inline-Pair-1
Mtu is 1500 bytes
Fail-open for snort down is off
Fail-open for snort busy is off
Tap mode is on
Propagate-link-state option is on
hardware-bypass mode is disabled
Interface-Pair[1]:
Interface: Ethernet1/4 "OUTSIDE"
Current-Status: UP
Interface: Ethernet1/3 "INSIDE"
Current-Status: UP
Bridge Group ID: 0
Verifieer het inline FTD-paar met de werking van de tap-interface
basistheorie
- Wanneer u een Inline Pair met Tap configureert, worden fysieke interfaces intern overbrugd.
- Het is beschikbaar in de modi Routed en Transparent Deployment.
- De meeste LINA-motorfuncties (NAT, Routing, enzovoort) zijn niet beschikbaar voor stromen die door het Inline Pair gaan.
- Het werkelijke verkeer kan niet worden weggehaald.
- Een paar LINA-motorcontroles worden samen met volledige Snort-motorcontroles toegepast op een kopie van het werkelijke verkeer.
Inline Pair met Tap-modus laat het transitverkeer niet vallen. Met het spoor van een pakje bevestigt het dit:
> show capture CAPI packet-number 2 trace 3 packets captured 2: 13:34:30.685084 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192 Phase: 1 Type: CAPTURE Subtype: Result: ALLOW Config: Additional Information: MAC Access list Phase: 2 Type: ACCESS-LIST Subtype: Result: ALLOW Config: Implicit Rule Additional Information: MAC Access list Phase: 3 Type: NGIPS-MODE Subtype: ngips-mode Result: ALLOW Config: Additional Information: The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied Phase: 4 Type: ACCESS-LIST Subtype: log Result: WOULD HAVE DROPPED Config: access-group CSM_FW_ACL_ global access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1 access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1 Additional Information: Result: input-interface: INSIDE input-status: up input-line-status: up Action: Access-list would have dropped, but packet forwarded due to inline-tap 1 packet shown
>
Inline Pair en Etherchannel
U kunt inline pair configureren met etherchannel op 2 manieren:
- Etherchannel wordt beëindigd op FTD.
- Etherchannel gaat via de FTD (vereist FXOS-code 2.3.1.3 en hoger).
Etherchannel beëindigd op FTD
Etherkanalen op SW-A:
SW-A# show etherchannel summary | i Po33|Po55 33 Po33(SU) LACP Gi3/11(P) 35 Po55(SU) LACP Gi2/33(P)
Etherkanalen op SW-B:
SW-B# show etherchannel summary | i Po33|Po55 33 Po33(SU) LACP Gi1/0/3(P) 55 Po55(SU) LACP Gi1/0/4(P)
Het verkeer wordt doorgestuurd via de Active FTD op basis van MAC-adresleren:
SW-B# show mac address-table address 0017.dfd6.ec00
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
201 0017.dfd6.ec00 DYNAMIC Po33
Total Mac Addresses for this criterion: 1
De inline-set op FTD:
FTD# show inline-set
Inline-set SET1
Mtu is 1500 bytes
Fail-open for snort down is on
Fail-open for snort busy is off
Tap mode is off
Propagate-link-state option is off
hardware-bypass mode is disabled
Interface-Pair[1]:
Interface: Port-channel3 "INSIDE"
Current-Status: UP
Interface: Port-channel5 "OUTSIDE"
Current-Status: UP
Bridge Group ID: 775
Etherchannel via de FTD
Etherkanalen op SW-A:
SW-A# show etherchannel summary | i Po33|Po55
33 Po33(SU) LACP Gi3/11(P)
55 Po55(SD) LACP Gi3/7(I)
De LACP-pakketten via de standby-FTD worden geblokkeerd:
FTD# capture ASP type asp-drop fo-standby FTD# show capture ASP | i 0180.c200.0002 29: 15:28:32.658123 a0f8.4991.ba03 0180.c200.0002 0x8809 Length: 124 70: 15:28:47.248262 f0f7.556a.11e2 0180.c200.0002 0x8809 Length: 124
Etherkanalen op SW-B:
SW-B# show etherchannel summary | i Po33|Po55
33 Po33(SU) LACP Gi1/0/3(P)
55 Po55(SD) LACP Gi1/0/4(s)
Het verkeer wordt doorgestuurd via de Active FTD op basis van MAC-adresleren:
SW-B# show mac address-table address 0017.dfd6.ec00
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
201 0017.dfd6.ec00 DYNAMIC Po33
Total Mac Addresses for this criterion: 1
De inline-set op FTD:
FTD# show inline-set
Inline-set SET1
Mtu is 1500 bytes
Fail-open for snort down is on
Fail-open for snort busy is off
Tap mode is off
Propagate-link-state option is off
hardware-bypass mode is disabled
Interface-Pair[1]:
Interface: Ethernet1/3 "INSIDE"
Current-Status: UP
Interface: Ethernet1/5 "OUTSIDE"
Current-Status: UP
Bridge Group ID: 519
Problemen oplossen
Er is momenteel geen specifieke informatie beschikbaar voor deze configuratie.
Vergelijking: Inline Pair vs Inline Pair met Tap
|
inline-paar |
Inline koppelen met tik |
|
|
Inline-set weergeven |
> Inline-set tonen |
> Inline-set tonen > |
|
show interface |
> Toon interface E1/6 |
> Toon interface E1/6 |
|
Pakket met blokregel afhandelen |
> Capi-pakketnummer 1-trace vastleggen weergeven |
> Capi-pakketnummer 1-trace vastleggen weergeven |
Samenvatting
- Wanneer u de Inline Pair-modus gebruikt, gaat het pakket voornamelijk via de FTD Snort-engine.
- TCP-verbindingen worden afgehandeld in een TCP-statusbypassmodus.
- Vanuit het oogpunt van de FTD LINA-engine wordt een ACL-beleid toegepast.
- Wanneer de Inline Pair-modus in gebruik is, kunnen pakketten worden geblokkeerd omdat ze inline worden verwerkt.
- Wanneer de Tikmodus is ingeschakeld, wordt een kopie van het pakket geïnspecteerd en intern gedropt terwijl het werkelijke verkeer ongewijzigd door FTD gaat.
Gerelateerde informatie
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
4.0 |
08-May-2025
|
hercertificering |
3.0 |
18-Nov-2024
|
Interne informatiebox van Cisco verwijderd omdat de koppeling niet kon worden gevonden.
Bijgewerkte inleiding, Alt-tekst en opmaak. |
1.0 |
18-Oct-2017
|
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)