Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Probleem: NetFlow en andere functies worden niet ondersteund door de controle van de partiële LAN-motor als een Transparent FTD als inline-paar werkt.

Werken

Verwante bellen

Inleiding

Dit document beschrijft en helpt te begrijpen waarom NetFlow en andere functies niet zullen werken in een Firepower Threat Defense (FTD) in Transparent-modus met inline-paar en hoe u hieraan kunt werken.

Bijgedragen door Christian G. Hernandez R., Cisco TAC Engineer.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Cisco Firepower Management Center (FMC) basisconfiguratie.

- Cisco FTD basisconfiguratie.

- Cisco FMC-configuratie.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardwareversies:

- Cisco FMC v6.3.0

- Cisco FTD v6.3.0

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg er dan voor dat u de mogelijke impact van om het even welke opdracht begrijpt.

Probleem: NetFlow en andere functies worden niet ondersteund door de controle van de partiële LAN-motor als een Transparent FTD als inline-paar werkt.

Wanneer NetFlow via Flex Config op het systeem is geconfigureerd en wordt ingezet, genereert NetFlow geen stromen naar de geconfigureerde Collector (flow-export bestemming).

flow-export destination Management 10.1.2.3 2055

class-map inspection_default

match default-inspection-traffic

!

policy-map type inspect dns preset_dns_map

parameters

message-length maximum client auto

message-length maximum 512

no tcp-inspection

policy-map type inspect ip-options UM_STATIC_IP_OPTIONS_MAP

parameters

eool action allow

nop action allow

router-alert action allow

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

inspect rsh

inspect sqlnet

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

inspect icmp

inspect icmp error

inspect ip-options UM_STATIC_IP_OPTIONS_MAP

class class-default

flow-export event-type flow-create destination 10.1.2.3

flow-export event-type flow-denied destination 10.1.2.3

flow-export event-type flow-teardown destination 10.1.2.3

flow-export event-type flow-update destination 10.1.2.3

!

service-policy global_policy global

Volgens de onderstaande tabel wordt bevestigd dat dit gedrag op de FTD te verwachten is als gevolg van beperkte LAN-motorcontroles op bepaalde functies wanneer het systeem in inline-paarmodus is ingesteld. Zie voor meer informatie hieronder:

FTD-interfacemodus

FTD-implementatiemodus

Beschrijving

Verkeer kan worden verlaagd

Routed

Routed

Controle van de volledige LINA-motor en de snijmotor

Ja

switched

Doorzichtig

Controle van de volledige LINA-motor en de snijmotor

Ja

Inline paar

Routed of Transparent

Gedeeltelijke LINA-motor- en volledige motorcontroles

Ja

Inline paar met tap

Routed of Transparent

Gedeeltelijke LINA-motor- en volledige motorcontroles

Nee

passief

Routed of Transparent

Gedeeltelijke LINA-motor- en volledige motorcontroles

Nee

Passief (ERSPAN)

Routed

Gedeeltelijke LINA-motor- en volledige motorcontroles

Nee

https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/200924-configuring-firepower-threat-defense-int.html

NetFlow is een optie die niet ondersteund is wanneer de FTD in inline-paarmodus werkt.

Opmerking: De specifieke functies die niet door de FTD worden ondersteund wanneer deze in de modus "inline-paar" werkt, zijn op dit moment niet bekend. Daarom is het verbeteringsverzoek geopend om het Cisco Firepower engineering-team te vragen om te helpen de bekende niet-ondersteunde functies in deze modus te bevestigen: CSCvo5596 DOC: De sectie van de FMC-beperking die aangeeft welke functies worden ondersteund/niet ondersteund wanneer FTD in inline-set wordt geïnstalleerd.

Werken

Als uw instelling op de in dit document gespecificeerde manier is en NetFlow vereist, is de enige bekende tijdelijke oplossing om de FTD in Transparent-modus te verlaten en in plaats daarvan BVI (Bridge Virtual Interface)-interfaces in te stellen. Deze workround is gebaseerd op de ENH die is geopend om de NetFlow-functie in te sluiten voor inline-paarmodi:

CSCvo5574      ENH: FTD kan geen netflow-gegevens verzamelen terwijl deze in inline-paarmodus zijn geconfigureerd.

Verwante bellen

CSCvo5574     ENH: FTD kan geen netflow-gegevens verzamelen terwijl deze in inline-paarmodus zijn geconfigureerd.

CSCvo5585     DOC: De sectie van de FMC van de beperking voor netflow wanneer gevormd in de modus van het inline paar.

CSCvo5596     DOC: De sectie van de FMC-beperking die aangeeft welke functies worden ondersteund/niet ondersteund wanneer FTD in inline-set wordt geïnstalleerd.