Modulair beleidskader voor firewallbeveiliging configureren

Downloadopties

  • PDF     (1.5 MB)
    Met Adobe Reader op diverse apparaten bekijken
Bijgewerkt:22 mei 2026
Document-id:225969

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inleiding

 

Dit document beschrijft het Modular Policy Framework (MPF) van Firewall Threat Defense (FTD)

  

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten voor dit document.

Gebruikte componenten

 

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

  • Cisco Secure Firewall 3130 Threat Defense versie 10.0.0 (build 140)
  • Firewall Management Center (FMC) versie 10.0.0 (build 140)

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Overzicht FTD-gegevensvlak

FTD is een unified software-image die bestaat uit twee hoofd-engines:

  • Datapath (ook bekend als LINA)
  • Snort-engine

3

Het LINA Datapath en de Snort Engine zijn de belangrijkste onderdelen van het FTD Data Plane.

MPF Ingrediënten

MPF gebruikt deze componenten:

  • Klasse-kaart komt overeen met het interessante verkeer.
  • Policy-map past acties toe op het interessante verkeer dat overeenkomt met de class-map.
  • Service-Policy past de policy-map wereldwijd (op alle interfaces) of op een specifieke interface toe.

functierichting

Raadpleeg de ASA-configuratiegids voor informatie over de richting van de functies:

https://www.cisco.com/c/en/us/td/docs/security/asa/asa924/configuration/firewall/asa-924-firewall-config/inspect-service-policy.html

De kenmerken met betrekking tot de FTD worden benadrukt:

Feature_Directionality

Configureren

Topologie

MPF2

De standaard MPF-configuratie (10.0.0):

firewall# show run policy-map
!
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum client auto
  message-length maximum 512
  no tcp-inspection
policy-map type inspect ip-options UM_STATIC_IP_OPTIONS_MAP
 parameters
  eool action allow
  nop action allow
  router-alert action allow
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect rsh 
  inspect rtsp 
  inspect sqlnet 
  inspect skinny 
  inspect sunrpc 
  inspect sip 
  inspect netbios 
  inspect tftp 
  inspect icmp 
  inspect icmp error 
  inspect ip-options UM_STATIC_IP_OPTIONS_MAP 
 class class_snmp
  inspect snmp 
 class class-default
  set connection advanced-options UM_STATIC_TCP_MAP

firewall# show run class-map
!
class-map inspection_default
 match default-inspection-traffic
class-map class_snmp
 match port udp eq 4161
!
firewall# show run service-policy
service-policy global_policy global



Taak 1. SIP-inspectie wereldwijd uitschakelen op FTD

De vereiste in deze taak is om SIP-inspectie in de FTD LINA-motor uit te schakelen. Een van de redenen kan een beleidsvereiste of een softwaredefect met betrekking tot SIP zijn dat van invloed is op het transitoverkeer.

Oplossing

Voordat u SIP-inspectie uitschakelt, moet u eerst bevestigen dat deze wordt toegepast op transitoverkeer:

firewall# packet-tracer input INSIDE udp 172.16.1.1 5060 172.16.3.1 5060
...
Phase: 8
Type: INSPECT
Subtype: inspect-sip
Result: ALLOW
Elapsed time: 34788 ns
Config:
class-map inspection_default
 match default-inspection-traffic
policy-map global_policy
 class inspection_default
  inspect sip 
service-policy global_policy global
Additional Information:
...
Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE1(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 326018 ns

Er zijn 2 manieren om SIP-inspectie wereldwijd uit te schakelen:

Oplossing 1: SIP uitschakelen van FTD CLISH CLI

> configure inspection sip disable
Building configuration...
Cryptochecksum: ef7528dc 7338986d 6714a3a2 4770528e

7818 bytes copied in 0.250 secs
[OK]


Verificatie

> show running-config policy-map | include sip

>



Oplossing 2: SIP uitschakelen met FlexConfig

Op FMC navigeert u naar Apparaten > FlexConfig en maakt u een FlexConfig-object:

Disable_SIP



policy-map global_policy
 class inspection_default
  no inspect sip


toepassen Selecteer het FlexConfig-beleid en selecteer Preview Config om het voorbeeld te bekijken:

Disable_SIP_preview

Tot slot: implementeer het beleid.

Verificatie

firewall# show run policy-map | include sip
firewall#

Opmerking – U moet de bestaande SIP-verbinding wissen van de LINA-verbindingstabel, zodat de verbindingen opnieuw worden ingesteld zonder SIP-inspectie. U kunt deze opdracht gebruiken om de bestaande SIP-verbindingen te verifiëren:

firewall# show conn port 5060



Taak 2. SIP-inspectie voor specifieke hosts uitschakelen

In deze taak is de vereiste om SIP-inspectie uit te schakelen voor verkeer tussen deze netwerken:

  • SRC: 172.16.1.0/24
  • DST: 172.16.3.0/24

Een reden om dit te doen, kan een softwaredefect zijn dat verband houdt met SIP en dat van invloed is op het transitoverkeer

Oplossing

FlexConfig gebruiken.

Stap 1

Navigeer naar Objecten > Toegangslijst > Uitgebreid en maak een uitgebreide toegangslijst die overeenkomt met het interessante verkeer. U moet de Blokactie gebruiken omdat het doel is om het specifieke verkeer uit te sluiten. Voeg bovendien een regel Toestaan toe die overeenkomt met de rest van het verkeer:

ACL_SIP_flows

Opmerking: Zorg ervoor dat u in de regel 'Toestaan' alleen SIP-verkeer opgeeft (TCP/UDP 5060). Na het oplossen van Cisco-bug CSCvw35444 Het nieuwe gedrag is om niet-SIP-verkeer te laten vallen:
Oud gedrag:

Soort beleidskaart Inspecteer SIP_PMAP_TEST
 parameters
  traffic-non-sip ----> Standaard is toegestaan.

Nieuw gedrag: standaard wordt het niet-SIP-verkeer verwijderd:
Soort beleidskaart Inspecteer SIP_PMAP_TEST
  parameters
    geen verkeer-niet-sip ----> Standaard wordt weergegeven.

ciscosa
SIP::SIP Parameter: Geannuleerde SIP Reactie ONGELDIG van binnenuit:192.0.2.1.230/1025 naar buiten:192.0.2.230/5060; geen verkeer-niet-sip: Niet-SIP verkeer geweigerd

Stap 2

Maak een FlexConfig-object met een klassenkaart die overeenkomt met de SIP-toegangscontrolelijst (ACL) en pas deze toe op global_policy:

FlexConfig_Networkspng

Het geconfigureerde FlexConfig-object:

class-map SIP_CMAP
 match access-list $SIP_flows
policy-map global_policy
 class inspection_default
  no inspect sip
 class SIP_CMAP
  inspect sip

Opmerking

Probeer bij het configureren van de vergunning ACL zo specifiek mogelijk te zijn (bijvoorbeeld protocolpoorten plaatsen) om mogelijke CPU-impact te voorkomen. Het voorbeeld in deze taak specificeert geen protocolpoorten en kan tijdens de productie worden vermeden.

Verificatie 1

firewall# show run policy-map | begin global
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect rsh 
  inspect rtsp 
  inspect sqlnet 
  inspect skinny 
  inspect sunrpc 
  inspect netbios 
  inspect tftp 
  inspect icmp 
  inspect icmp error 
  inspect ip-options UM_STATIC_IP_OPTIONS_MAP 
 class class_snmp
  inspect snmp 
 class SIP_CMAP
  inspect sip 
 class class-default
  set connection advanced-options UM_STATIC_TCP_MAP

firewall# show run class-map
!
class-map SIP_CMAP
 match access-list SIP_flows
class-map inspection_default
 match default-inspection-traffic
class-map class_snmp
 match port udp eq 4161

firepower# show run access-list SIP_flows
access-list SIP_flows extended deny object-group ProxySG_ExtendedACL_150323855735 172.16.1.0 255.255.255.0 172.16.3.0 255.255.255.0 
access-list SIP_flows extended permit object-group ProxySG_ExtendedACL_150323855739 any any

firepower# show access-list SIP_flows 
access-list SIP_flows; 4 elements; name hash: 0xb2b7de4d
access-list SIP_flows line 1 extended deny object-group ProxySG_ExtendedACL_150323855735 172.16.1.0 255.255.255.0 172.16.3.0 255.255.255.0 (hitcnt=0) 0x7202f94c 
access-list SIP_flows line 1 extended deny tcp 172.16.1.0 255.255.255.0 172.16.3.0 255.255.255.0 eq sip (hitcnt=0) 0xbe390e61 
access-list SIP_flows line 1 extended deny udp 172.16.1.0 255.255.255.0 172.16.3.0 255.255.255.0 eq sip (hitcnt=0) 0x107eddd0 
access-list SIP_flows line 2 extended permit object-group ProxySG_ExtendedACL_150323855739 any any (hitcnt=0) 0x2075af04 
access-list SIP_flows line 2 extended permit tcp any any eq sip (hitcnt=0) 0x60e34fab 
access-list SIP_flows line 2 extended permit udp any any eq sip (hitcnt=0) 0xdae62994


Verificatie 2

Verkeer dat niet wordt geïnspecteerd door SIP-inspectie heeft deny=true:

firewall# packet-tracer input INSIDE udp 172.16.1.1 5060 172.16.3.1 5060 detail | begin INSPECT
Type: INSPECT
Subtype: inspect-sip
Result: ALLOW
Elapsed time: 37910 ns
Config:
class-map SIP_CMAP
 match access-list SIP_flows
policy-map global_policy
 class SIP_CMAP
  inspect sip 
service-policy global_policy global
Additional Information:
 Forward Flow based lookup yields rule:
 in id=0x14af42cfa810, priority=70, domain=inspect-sip, deny=true
       hits=1, user_data=0x000014af4570bea0, cs_id=0x0, use_real_addr, flags=0x0, protocol=0
       src ip/id=172.16.1.0, mask=255.255.255.0, port=0, tag=any
       dst ip/id=172.16.3.0, mask=255.255.255.0, port=5060, tag=any, 
       dscp=0x0, input_ifc=INSIDE(vrfid:0), output_ifc=any
...


Verkeer dat wordt geïnspecteerd door SIP-inspectie heeft ontkennen=vals:

firewall# packet-tracer input INSIDE udp 172.16.2.1 5060 172.16.3.1 5060 detail | begin INSPECT
Type: INSPECT
Subtype: inspect-sip
Result: ALLOW
Elapsed time: 34788 ns
Config:
class-map SIP_CMAP
 match access-list SIP_flows
policy-map global_policy
 class SIP_CMAP
  inspect sip 
service-policy global_policy global
Additional Information:
 Forward Flow based lookup yields rule:
 in id=0x14af459099d0, priority=70, domain=inspect-sip, deny=false
       hits=1, user_data=0x000014af4570bea0, cs_id=0x0, use_real_addr, flags=0x0, protocol=0
       src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
       dst ip/id=0.0.0.0, mask=0.0.0.0, port=5060, tag=any, 
...


Verificatie 3

De "sip" inspect teller neemt toe wanneer een pakket wordt geïnspecteerd door de firewall:

firewall# show service-policy inspect sip

Global policy: 
  Service-policy: global_policy
    Class-map: inspection_default
    Class-map: class_snmp
    Class-map: SIP_CMAP
      Inspect: sip , packet 2, lock fail 0, drop 0, reset-drop 0, 5-min-pkt-rate 0 pkts/sec, v6-fail-close 0 sctp-drop-override 0
               tcp-proxy: bytes in buffer 0, bytes dropped 0
...
firewall# packet-tracer input INSIDE udp 172.16.2.1 5060 172.16.3.1 5060

firewall#show service-policy inspect sip

Global policy: 
  Service-policy: global_policy
    Class-map: inspection_default
    Class-map: class_snmp
    Class-map: SIP_CMAP
      Inspect: sip , packet 3, lock fail 0, drop 0, reset-drop 0, 5-min-pkt-rate 0 pkts/sec, v6-fail-close 0 sctp-drop-override 0
               tcp-proxy: bytes in buffer 0, bytes dropped 0
...



Taak 3. TCP State Bypass voor specifieke hosts configureren

In deze taak is de vereiste om TCP-statusbypass in te schakelen voor verkeer tussen deze netwerken:

  • SRC: 172.16.2.0/24
  • DST: 172.16.3.0/24

Over het algemeen wordt het niet aanbevolen om TCP-statusbypass te gebruiken, maar het kan worden gebruikt als een tijdelijke oplossing voor het omgaan met asymmetrische stromen.



Oplossing 1

Stap 1

Maak een uitgebreide ACL die overeenkomt met het interessante verkeer:

TCP_Bypass_ACL

Stap 2

Bewerk het toegangscontrolebeleid (Access Control Policy, ACP) dat aan de FTD is toegewezen, selecteer het tabblad Geavanceerde instellingen en bewerk het servicebeleid voor dreigingsverdediging.  Selecteer Regel toevoegen en Volgende.

Stap 3

Selecteer de uitgebreide ACL:

Threat_Defense1

Stap 4

Enable_TCP_State_Bypass


Stap 5

Selecteer Voltooien, OK, Opslaan en Implementeren.

Het resultaat:

firewall# show run policy-map global_policy
!
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect rsh 
  inspect rtsp 
  inspect sqlnet 
  inspect skinny 
  inspect sunrpc 
  inspect netbios 
  inspect tftp 
  inspect icmp 
  inspect icmp error 
  inspect ip-options UM_STATIC_IP_OPTIONS_MAP 
 class class_map_TCP_Bypass
  set connection random-sequence-number disable
  set connection advanced-options tcp-state-bypass
 class class_snmp
  inspect snmp 
 class class-default
  set connection advanced-options UM_STATIC_TCP_MAP


Opmerking: In eerdere FMC-releases zoals 6.x kunt u FlexConfig gebruiken om TCP-statusbypass te configureren. In nieuwere versies wordt dit niet ondersteund:

FlexConfig_Unsupported_CLI

Verificatie

firewall# packet-tracer input INSIDE tcp 172.16.2.1 1111 172.16.3.1 80 detail | begin CONN
Type: CONN-SETTINGS
Subtype: 
Result: ALLOW
Elapsed time: 334 ns
Config:
class-map class_map_TCP_Bypass
 match access-list TCP_Bypass
policy-map global_policy
 class class_map_TCP_Bypass
  set connection conn-max 0 embryonic-conn-max 0 random-sequence-number disable syn-cookie-mss 1380
  set connection advanced-options tcp-state-bypass
service-policy global_policy global
Additional Information:
 Forward Flow based lookup yields rule:
 in id=0x14af45906b70, priority=7, domain=conn-set, deny=false
       hits=1, user_data=0x000014af45906df0, cs_id=0x0, use_real_addr, flags=0x0, protocol=0
       src ip/id=172.16.2.0, mask=255.255.255.0, port=0, tag=any
       dst ip/id=172.16.3.0, mask=255.255.255.0, port=0, tag=any, 
       dscp=0x0, input_ifc=INSIDE(vrfid:0), output_ifc=any
...



Taak 4. Traceroute-uitvoerwijziging

Voorwaarde

Configureer statische NAT op FTD zodat IP 172.16.1.1 achter INSIDE-interface wordt weergegeven als 198.51.100.200 op OUTSIDE1-hosts:

NAT4

Voer vervolgens een traceroute uit van ISP1 naar 198.51.100.200 (host 172.16.1.1):

NAT3

router1# traceroute vrf VRF-201 198.51.100.200
Type escape sequence to abort.
Tracing the route to 198.51.100.200
VRF info: (vrf in name/id, vrf out name/id)
  1 192.0.2.99 1 msec 1 msec * 


eis

Wijzig de FTD-configuratie zodat de traceroute overeenkomt met deze uitvoer:

router1# traceroute vrf VRF-201 198.51.100.200
Type escape sequence to abort.
Tracing the route to 198.51.100.200
VRF info: (vrf in name/id, vrf out name/id)
  1 198.51.100.129 1 msec 1 msec * 
  2 198.51.100.200 1 msec 2 msec * 


Oplossing

De oplossing omvat twee configuratiestappen:
1. De TTL bepalen:

Decrement_TTL

Na deze verandering onthult de traceroute de firewallhop:

router1# traceroute vrf VRF-201 198.51.100.200
Type escape sequence to abort.
Tracing the route to 198.51.100.200
VRF info: (vrf in name/id, vrf out name/id)
 1 198.51.100.129 1 msec 1 msec * 
  2 192.0.2.99 1 msec 1 msec *


2. Schakel de ICMP-foutinspectie uit:

Disable_ICMP_Error

policy-map global_policy
 class inspection_default
   no inspect icmp error


Verificatie

De traceroute toont het vertaalde NAT IP-adres van de externe host en het IP-adres van de FTD-interface:

router1# traceroute vrf VRF-201 198.51.100.200
Type escape sequence to abort.
Tracing the route to 198.51.100.200
VRF info: (vrf in name/id, vrf out name/id)
  1 198.51.100.129 1 msec 1 msec * 
  2 198.51.100.200 1 msec 2 msec * 



Taak 5. Verbindingstijden instellen

eis

Verander de time-out naar 1 week voor deze stroom:

  • Protocol: TCP
  • SRC: 172.16.1.1
  • DST: 172.16.5.1

Oplossing

 

Om de time-out per flow in te stellen, moet u het servicebeleid gebruiken.

Stap 1

Navigeer naar Objecten > Toegangslijst en maak een uitgebreide ACL die overeenkomt met het interessante verkeer:

TCP_conn_ACL

Stap 2

Configureer een MPF-beleid dat de ACL gebruikt die in stap 1 is gemaakt:

Threat_Policy_match_ACL

Stel de time-out voor de inactieve verbinding in:

Threat_Policy_set_timeout

Verwijder de regel uit de vorige taak omdat deze overlapt met de nieuwe vereiste:

Threat_Policy_rules

Verificatie

De geïmplementeerde configuratie van de beleidskaart:

policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect rsh 
  inspect rtsp 
  inspect sqlnet 
  inspect skinny 
  inspect sunrpc 
  inspect netbios 
  inspect tftp 
  inspect icmp 
  inspect ip-options UM_STATIC_IP_OPTIONS_MAP 
  inspect sip 
 class class_map_TCP_conn_timeout_ACL
  set connection timeout idle 168:00:00 
 class class_snmp
  inspect snmp 
 class class-default
  set connection advanced-options UM_STATIC_TCP_MAP

Start een nieuwe TCP-verbinding van 172.16.1.1 tot 172.16.5.1 en controleer de aansluitingstabel van de FTD:

firewall# show conn long address 172.16.5.1 
...
TCP OUTSIDE2: 172.16.5.1/23 (172.16.5.1/23) INSIDE: 172.16.1.1/29389 (172.16.1.1/29389), flags UIoN1N7, idle 5s, uptime 7s, timeout 7D0h, bytes 349, flow id 72, Snort id 6, rule id 268439559, Rx-RingNum 27, Internal-Data0/1
Initiator: 172.16.1.1, Responder: 172.16.5.1
Connection lookup keyid: 890



Taak 6. BGP-verificatie via FTD

Voorwaarde

Configureer een BGP-sessie via de FTD. De BGP-sessie moet verificatie gebruiken.

BGP2

Verificatie

Met de standaard FTD-configuratie is de BGP-sessie niet ingesteld. Op de router zie je:

router1# 
*May 21 07:51:23.595: %TCP-6-BADAUTH: Invalid MD5 digest from 192.0.2.99(24591) to 198.51.100.250(179) tableid - 3
*May 21 07:51:25.595: %TCP-6-BADAUTH: Invalid MD5 digest from 192.0.2.99(24591) to 198.51.100.250(179) tableid - 3
*May 21 07:51:29.595: %TCP-6-BADAUTH: Invalid MD5 digest from 192.0.2.99(24591) to 198.51.100.250(179) tableid - 3


Op de FTD zie je dat beide zijden er niet in slagen om de BGP TCP-verbinding tot stand te brengen (de verbindingsvlaggen geven aan dat alleen TCP SYN-pakketten worden ontvangen):

firewall# show conn port 179
3 in use, 16 most used
Inspect Snort:
        preserve-connection: 2 enabled, 0 in effect, 15 most enabled, 0 most in effect

TCP OUTSIDE1 198.51.100.250:41090 INSIDE 192.0.2.99:179, idle 0:00:00, bytes 0, flags aA N1
TCP OUTSIDE1 198.51.100.250:179 INSIDE 192.0.2.99:53629, idle 0:00:02, bytes 0, flags aA N1



Oplossing

 

Om een geverifieerde BGP-sessie via de FTD toe te staan, moet aan deze 2 voorwaarden worden voldaan:

  1. TCP MD5 (optie 19) moet worden toegestaan via de FTD.
  2. De randomisatie van het TCP-volgnummer moet worden uitgeschakeld.

TCP MD5-optie is standaard toegestaan:

19

firewall# show run all tcp-map
!
tcp-map UM_STATIC_TCP_MAP
  no check-retransmission 
  no checksum-verification 
  exceed-mss allow
  queue-limit 0 timeout 4
  reserved-bits allow
  syn-data allow
  synack-data drop
  invalid-ack drop
  seq-past-window drop
  tcp-options range 6 7 allow
  tcp-options range 9 18 allow
  tcp-options range 20 255 allow
  tcp-options selective-ack allow
  tcp-options timestamp allow
  tcp-options window-scale allow
  tcp-options mss allow
  tcp-options md5 allow
  ttl-evasion-protection 
  urgent-flag allow
  window-variation allow-connection


Randomisatie van het initiële volgnummer (ISN) van TCP wereldwijd uitschakelen:

> configure tcp-randomization disable
Building configuration...
Cryptochecksum: f8ac5587 7ccc635e bff886a1 bcab820c

8284 bytes copied in 0.260 secs
[OK]
>

of (de voorkeursmethode) maakt u een uitgebreide toegangslijst die overeenkomt met de BGP-verbinding:

BGP_ACL2

en schakel de randomisatie van het TCP-volgnummer uit met behulp van het Threat Defense Service Policy:

Do_not_randomize



Verificatie

De geïmplementeerde configuratie van de beleidskaart:

policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect rsh 
  inspect rtsp 
  inspect sqlnet 
  inspect skinny 
  inspect sunrpc 
  inspect netbios 
  inspect tftp 
  inspect icmp 
  inspect ip-options UM_STATIC_IP_OPTIONS_MAP 
  inspect sip 
 class class_map_BGP_ACL
  set connection random-sequence-number disable
 class class_snmp
  inspect snmp 
 class class-default
  set connection advanced-options UM_STATIC_TCP_MAP

De BGP-sessie wordt tot stand gebracht via FTD:

firewall# show conn long port 179
...
TCP OUTSIDE1: 198.51.100.250/49863 (198.51.100.250/49863) INSIDE: 192.0.2.99/179 (192.0.2.99/179), flags UIO N1N7, idle 44s, uptime 1m40s, timeout 1h0m, bytes 274, flow id 111, Snort id 3, rule id 268439559, Rx-RingNum 29, Internal-Data0/1
  Initiator: 198.51.100.250, Responder: 192.0.2.99
  Connection lookup keyid: 83487134

Tip: U kunt een voorfilterregel voor het snelpad voor het BGP-verkeer configureren om snortcontrole te voorkomen.


Taak 7. Detectie van dode verbindingen (DCD)

eis

Configureer DCD op FTD voor TCP-verkeer bestemd voor host 172.16.3.1.

Oplossing

DCD is te vinden op:

https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/management-center/device-config/100/management-center-device-config-10-0/advanced-access-service-policies.html#id_71048

1. Navigeer naar Objecten > Access-List en maak een toegangslijst die overeenkomt met het interessante verkeer.

2. Bewerk de ACP die aan uw firewall is toegewezen, blader naar Geavanceerde opties en selecteer Threat Defense Service Policy om DCD in te schakelen:

DCD_policy

De geïmplementeerde configuratie:

access-list DCD_ACL extended permit object-group ProxySG_ExtendedACL_81604390279 any host 172.16.3.1 
!
class-map class_map_DCD_ACL
 match access-list DCD_ACL
policy-map global_policy
 class class_map_DCD_ACL
  set connection timeout dcd 


Hoe het werkt

FTD-opnamen configureren om de back-endbewerking te zien:

firewall# capture CAPI interface INSIDE match tcp host 172.16.3.1 any
firewall# capture CAPO interface OUTSIDE1 match tcp host 172.16.3.1 any


Maak een TCP-verbinding via de firewall:

firewall# show conn long address 172.16.3.1 | begin 172.16.3.1
TCP OUTSIDE1: 172.16.3.1/23 (172.16.3.1/23) INSIDE: 192.0.2.99/23241 (192.0.2.99/23241), flags UIO N1N7, idle 1m18s, uptime 1m22s, timeout 5m0s, bytes 129, flow id 127, Snort id 4, rule id 268439559, Rx-RingNum 13, Internal-Data0/1
  Initiator: 192.0.2.99, Responder: 172.16.3.1
  DCD probes sent: Initiator 0, Responder 0 Connection lookup keyid: 76292550


In eerste instantie worden er geen DCD-pakketten weergegeven in de firewallopnamen:

firewall# show capture
capture CAPI type raw-data interface INSIDE [Capturing - 0 bytes] 
  match tcp host 172.16.3.1 any 
capture CAPO type raw-data interface OUTSIDE1 [Capturing - 0 bytes] 
  match tcp host 172.16.3.1 any


Wanneer een inactieve verbinding de inactieve time-out bereikt, verzendt de FTD vervalste TCP ACK-berichten naar de bron en bestemming:

firewall# show conn long address 172.16.3.1 | begin 172.16.3.1
TCP OUTSIDE1: 172.16.3.1/23 (172.16.3.1/23) INSIDE: 192.0.2.99/23241 (192.0.2.99/23241), flags UIO N1N7, idle 4m59s, uptime 5m3s, timeout 5m0s, bytes 129, flow id 127, Snort id 4, rule id 268439559, Rx-RingNum 13, Internal-Data0/1
  Initiator: 192.0.2.99, Responder: 172.16.3.1
  DCD probes sent: Initiator 0, Responder 0 Connection lookup keyid: 76292550

firewall# show conn long address 172.16.3.1 | begin 172.16.3.1
TCP OUTSIDE1: 172.16.3.1/23 (172.16.3.1/23) INSIDE: 192.0.2.99/23241 (192.0.2.99/23241), flags UIO N1N7, idle 0s, uptime 5m3s, timeout 15s, bytes 129, flow id 127, Snort id 4, rule id 268439559, Rx-RingNum 13, Internal-Data0/1
  Initiator: 192.0.2.99, Responder: 172.16.3.1
  DCD probes sent: Initiator 1, Responder 0 Connection lookup keyid: 76292550

firewall# show conn long address 172.16.3.1 | begin 172.16.3.1
TCP OUTSIDE1: 172.16.3.1/23 (172.16.3.1/23) INSIDE: 192.0.2.99/23241 (192.0.2.99/23241), flags UIO N1N7, idle 0s, uptime 5m4s, timeout 5m0s, bytes 129, flow id 127, Snort id 4, rule id 268439559, Rx-RingNum 13, Internal-Data0/1
  Initiator: 192.0.2.99, Responder: 172.16.3.1
  DCD probes sent: Initiator 1, Responder 1 Connection lookup keyid: 76292550


 Als beide antwoorden, wordt de inactieve timer opnieuw ingesteld:

firewall# show capture CAPI

3 packets captured

1: 09:01:30.433952 802.1Q vlan#101 P0 172.16.3.1.23 > 192.0.2.99.23241: . ack 3271882019 win 32757 
2: 09:01:30.434334 802.1Q vlan#101 P0 192.0.2.99.23241 > 172.16.3.1.23: . ack 1746306341 win 32746 
3: 09:01:30.955654 802.1Q vlan#101 P0 172.16.3.1.23 > 192.0.2.99.23241: . ack 3271882019 win 32757 
3 packets shown
firewall# show capture CAPO

3 packets captured

1: 09:01:30.434364 802.1Q vlan#201 P0 192.0.2.99.23241 > 172.16.3.1.23: . ack 111661490 win 32746 
2: 09:01:30.955288 802.1Q vlan#201 P0 192.0.2.99.23241 > 172.16.3.1.23: . ack 111661490 win 32746 
3: 09:01:30.955639 802.1Q vlan#201 P0 172.16.3.1.23 > 192.0.2.99.23241: . ack 3875469573 win 32757 
3 packets shown

firewall# show conn long address 172.16.3.1 | begin 172.16.3.1
TCP OUTSIDE1: 172.16.3.1/23 (172.16.3.1/23) INSIDE: 192.0.2.99/23241 (192.0.2.99/23241), flags UIO N1N7, idle 1m29s, uptime 6m33s, timeout 5m0s, bytes 129, flow id 127, Snort id 4, rule id 268439559, Rx-RingNum 13, Internal-Data0/1
  Initiator: 192.0.2.99, Responder: 172.16.3.1
  DCD probes sent: Initiator 1, Responder 1 Connection lookup keyid: 76292550
mzafeiro_1-1779353824119

Opmerking: DCD werkt niet op geoffloade verbindingen ('o'-vlag).

Gerelateerde informatie

https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/management-center/device-config/100/management-center-device-config-10-0/advanced-access-service-policies.html#id_71048 

Revisiegeschiedenis

Revisie Publicatiedatum Opmerkingen
1.0
22-May-2026
Eerste vrijgave
TAC Authored

Bijgedragen door Cisco-engineers

  • Mikis Zafeiroudis
    Cisco TAC Engineer
  • Ilkin Gasimov
    Cisco TAC Engineer

Was dit document nuttig?

FeedbackFeedback

Contact Cisco

Dit document is van toepassing op deze producten