NetFlow en andere functies worden niet ondersteund door de controle van de Partial Lina Engine als een Transparent FTD werkt als inline-paar

Inleiding

Dit document beschrijft en helpt te begrijpen waarom NetFlow en andere functies niet zullen werken in een Firepower Threat Defense (FTD) in Transparent-modus met inline-paar en hoe u hieraan kunt werken.

Bijgedragen door Christian G. Hernandez R., Cisco TAC Engineer.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco Firepower Management Center (FMC) basisconfiguratie.

• Cisco FTD basisconfiguratie.
• Cisco FMC-configuratie.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardwareversies:

• Cisco FMC v6.3.0
• Cisco FTD v6.3.0

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg er dan voor dat u de mogelijke impact van om het even welke opdracht begrijpt.

Probleem: NetFlow en andere functies worden niet ondersteund door de controle van de partiële LAN-motor als een Transparent FTD als inline-paar werkt.

Wanneer NetFlow via Flex Config op het systeem is geconfigureerd en wordt ingezet, genereert NetFlow geen stromen naar de geconfigureerde Collector (flow-export bestemming).

flow-export destination Management 10.1.2.3 2055

class-map inspection_default
match default-inspection-traffic
!
policy-map type inspect dns preset_dns_map
parameters
  message-length maximum client auto
  message-length maximum 512
  no tcp-inspection
policy-map type inspect ip-options UM_STATIC_IP_OPTIONS_MAP
parameters
  eool action allow
  nop action allow
  router-alert action allow
policy-map global_policy
class inspection_default
  inspect dns preset_dns_map
  inspect ftp
  inspect rsh
  inspect sqlnet
  inspect sunrpc
  inspect xdmcp
  inspect sip
  inspect netbios
  inspect tftp
  inspect icmp
  inspect icmp error
  inspect ip-options UM_STATIC_IP_OPTIONS_MAP
class class-default
  flow-export event-type flow-create destination 10.1.2.3
  flow-export event-type flow-denied destination 10.1.2.3
  flow-export event-type flow-teardown destination 10.1.2.3
  flow-export event-type flow-update destination 10.1.2.3
!
service-policy global_policy global

Volgens de onderstaande tabel wordt bevestigd dat dit gedrag op de FTD te verwachten is als gevolg van beperkte LAN-motorcontroles op bepaalde functies wanneer het systeem in inline-paarmodus is ingesteld. Zie voor meer informatie hieronder:

FTD-interfacemodus	FTD-implementatiemodus	Beschrijving	Verkeer kan worden verlaagd
Routed	Routed	Controle van de volledige LINA-motor en de snijmotor	Ja
switched	Doorzichtig	Controle van de volledige LINA-motor en de snijmotor	Ja
Inline paar	Routed of Transparent	Gedeeltelijke LINA-motor- en volledige motorcontroles	Ja
Inline paar met tap	Routed of Transparent	Gedeeltelijke LINA-motor- en volledige motorcontroles	Nee
passief	Routed of Transparent	Gedeeltelijke LINA-motor- en volledige motorcontroles	Nee
Passief (ERSPAN)	Routed	Gedeeltelijke LINA-motor- en volledige motorcontroles	Nee

https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/200924-configuring-firepower-threat-defense-int.html

NetFlow is een optie die niet ondersteund is wanneer de FTD in inline-paarmodus werkt.

Opmerking: De specifieke functies die niet door de FTD worden ondersteund wanneer deze in de modus "inline-paar" werkt, zijn op dit moment niet bekend. Daarom is het verbeteringsverzoek geopend om het Cisco Firepower engineering-team te vragen om te helpen de bekende niet-ondersteunde functies in deze modus te bevestigen: CSCvo5596 DOC: De sectie van de FMC-beperking die aangeeft welke functies worden ondersteund/niet ondersteund wanneer FTD in inline-set wordt geïnstalleerd.

Werken

Als uw instelling op de in dit document gespecificeerde manier is en NetFlow vereist, is de enige bekende tijdelijke oplossing om de FTD in Transparent-modus te verlaten en in plaats daarvan BVI (Bridge Virtual Interface)-interfaces in te stellen. Deze workround is gebaseerd op de ENH die is geopend om de NetFlow-functie in te sluiten voor inline-paarmodi:

Verwante bellen

CSCvo5574     ENH: FTD kan geen netflow-gegevens verzamelen terwijl deze in inline-paarmodus zijn geconfigureerd.

CSCvo5585     DOC: De sectie van de FMC van de beperking voor netflow wanneer gevormd in de modus van het inline paar.

CSCvo5596     DOC: De sectie van de FMC-beperking die aangeeft welke functies worden ondersteund/niet ondersteund wanneer FTD in inline-set wordt geïnstalleerd.