Explore a Cisco
Como comprar

Já tem uma conta?

  •   Conteúdo personalizado
  •   Produtos e suporte

Ainda não tem uma conta?

Criar conta

Exemplo de captura de pacote ASA com CLI e configuração ASDM

Opções de download

  • PDF     (1.8 MB)
    Ver no Adobe Reader em vários dispositivos
  • ePub     (2.0 MB)
    Ver em vários aplicativos no iPhone, iPad, Android, Sony Reader ou Windows Phone
  • Mobi (Kindle)     (1.0 MB)
    Ver no dispositivo Kindle ou no aplicativo Kindle em vários dispositivos
Atualizado:18 de Agosto de 2015
ID do documento:118097

Linguagem livre de preconceitos

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

Introduction

Este documento descreve como configurar o firewall de próxima geração Cisco Adaptive Security Appliance (ASA) para capturar os pacotes desejados com o Cisco Adaptive Security Device Manager (ASDM) ou o CLI.

Prerequisites

Requirements

Este documento pressupõe que o ASA está totalmente operacional e configurado para permitir que o Cisco ASDM ou a CLI façam alterações na configuração.

Componentes Utilizados

Este documento não está restrito a versões específicas de hardware ou software.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Produtos Relacionados

Essa configuração também pode ser usada com estes produtos da Cisco:

  • Cisco ASA versão 9.1(5) e posterior

  • Cisco ASDM versão 7.2.1

Informações de Apoio

O processo de captura de pacotes é útil quando você soluciona problemas de conectividade ou monitora atividades suspeitas. Além disso, você pode criar várias capturas para analisar diferentes tipos de tráfego em várias interfaces.

Configurar

Esta seção fornece informações que você pode usar para configurar os recursos de captura de pacotes descritos neste documento.

Note: Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Diagrama de Rede

Este documento utiliza a seguinte configuração de rede:

Configurações

Note: Os esquemas de endereçamento IP usados nessa configuração não são legalmente roteáveis na Internet. São endereços RFC 1918 usados em um ambiente de laboratório.

Configurar a captura de pacotes com o ASDM

Note: Este exemplo de configuração é usado para capturar os pacotes que são transmitidos durante um ping de User1 (rede interna) para Router1 (rede externa).

Conclua estes passos para configurar o recurso de captura de pacote no ASA com o ASDM:

  1. Navegue até Assistentes > Assistente de Captura de Pacotes para iniciar a configuração de captura de pacotes, como mostrado:



  2. O Assistente de captura é aberto. Clique em Next.



  3. Na nova janela, forneça os parâmetros usados para capturar o tráfego INGRESS. Selecione o interior para a Interface de entrada e forneça os endereços IP origem e destino dos pacotes a serem capturados, juntamente com sua máscara de sub-rede, no respectivo espaço fornecido. Além disso, escolha o tipo de pacote a ser capturado pelo ASA (o IP é o tipo de pacote escolhido aqui), como mostrado:



    Clique em Next.

  4. Selecione fora para a Interface de saída e forneça os endereços IP origem e destino, juntamente com sua máscara de sub-rede, nos respectivos espaços fornecidos. Se a Conversão de Endereço de Rede (NAT - Network Address Translation) for executada no Firewall, leve isso em consideração também.



    Clique em Next.

  5. Insira o tamanho do pacote apropriado e o tamanho do buffer no espaço apropriado fornecido, pois esses dados são necessários para que a captura ocorra. Lembre-se também de marcar a caixa de seleção Usar buffer circular se quiser usar a opção de buffer circular. Buffers circulares nunca se enchem. À medida que o buffer atinge seu tamanho máximo, dados mais antigos são descartados e a captura continua. Neste exemplo, o buffer circular não é usado, portanto, a caixa de seleção não está marcada.



    Clique em Next.

  6. Esta janela mostra as listas de acesso que devem ser configuradas no ASA para que os pacotes desejados sejam capturados e mostra o tipo de pacotes a serem capturados (os pacotes IP são capturados neste exemplo). Clique em Next.



  7. Clique em Iniciar para iniciar a captura de pacotes, como mostrado aqui:



  8. À medida que a captura de pacotes é iniciada, tente fazer ping na rede externa da rede interna para que os pacotes que fluem entre os endereços IP origem e destino sejam capturados pelo buffer de captura ASA.

  9. Clique em Get Capture Buffer para visualizar os pacotes capturados pelo buffer de captura ASA.



  10. Os pacotes capturados são mostrados nesta janela para o tráfego de entrada e saída. Clique em Salvar capturas para salvar as informações de captura.



  11. Na janela Salvar Capturas, escolha o formato necessário no qual o buffer de captura deve ser salvo. Isto é ASCII ou PCAP. Clique no botão de opção ao lado dos nomes dos formatos. Em seguida, clique em Salvar captura de entrada ou Salvar captura de saída conforme necessário. Os arquivos PCAP podem ser abertos com analisadores de captura, como o Wireshark, e é o método preferido.



  12. Na janela Salvar arquivo de captura, forneça o nome do arquivo e o local onde o arquivo de captura deve ser salvo. Click Save.



  13. Clique em Finish.



    Isso conclui o procedimento de captura de pacotes.

Configurar a captura de pacotes com a CLI

Conclua estes passos para configurar o recurso de captura de pacote no ASA com a CLI:

  1. Configure as interfaces internas e externas conforme ilustrado no diagrama de rede, com o endereço IP e os níveis de segurança corretos.

  2. Inicie o processo de captura de pacotes com o comando capture no modo EXEC privilegiado. Neste exemplo de configuração, a captura chamada capin é definida. Vincule-o à interface interna e especifique com a palavra-chave match que somente os pacotes que correspondem ao tráfego de interesse são capturados:

    ASA# capture capin interface inside match ip 192.168.10.10 255.255.255.255
     203.0.113.3 255.255.255.255
  3. Da mesma forma, a captura nomeada capout é definida. Vincule-o à interface externa e especifique com a palavra-chave match que somente os pacotes que correspondem ao tráfego de interesse são capturados:

    ASA# capture capout interface outside match ip 192.168.10.10 255.255.255.255
     203.0.113.3 255.255.255.255

    O ASA agora começa a capturar o fluxo de tráfego entre as interfaces. Para interromper a captura a qualquer momento, insira o comando no capture seguido do nome da captura.

    Aqui está um exemplo:

    no capture capin interface inside
    no capture capout interface outside

Tipos de captura disponíveis no ASA

Esta seção descreve os diferentes tipos de capturas disponíveis no ASA.

  • asa_dataplane - Captura pacotes no painel traseiro do ASA que passam entre o ASA e um módulo que usa o painel traseiro, como o ASA CX ou o módulo IPS.

    ASA# cap asa_dataplace interface asa_dataplane
    ASA# show capture
    capture asa_dataplace type raw-data interface asa_dataplane [Capturing - 0 bytes]
  • asp-drop -code - Captura pacotes que são descartados pelo caminho de segurança acelerado. O código de queda especifica o tipo de tráfego que é descartado pelo caminho de segurança acelerado.

    ASA# capture asp-drop type asp-drop acl-drop
    ASA# show cap
    ASA# show capture asp-drop
     
     2 packets captured
     
     1: 04:12:10.428093       192.168.10.10.34327 > 10.94.0.51.15868: S
        2669456341:2669456341(0) win 4128 <mss 536> Drop-reason: (acl-drop)
        Flow is denied by configured rule
     2: 04:12:12.427330       192.168.10.10.34327 > 10.94.0.51.15868: S
        2669456341:2669456341(0) win 4128 <mss 536> Drop-reason: (acl-drop)
        Flow is denied by configured rule
     2 packets shown

    ASA# show capture asp-drop
     
     2 packets captured
     
     1: 04:12:10.428093       192.168.10.10.34327 > 10.94.0.51.15868: S
        2669456341:2669456341(0) win 4128 <mss 536> Drop-reason: (acl-drop)
        Flow is denied by configured rule
     2: 04:12:12.427330       192.168.10.10.34327 > 10.94.0.51.15868: S
        2669456341:2669456341(0) win 4128 <mss 536> Drop-reason: (acl-drop)
        Flow is denied by configured rule
     2 packets shown
  • ethernet-type type - Seleciona um tipo de Ethernet para capturar. Os tipos Ethernet suportados incluem 8021Q, ARP, IP, IP6, IPX, LACP, PPPOED, PPPOES, RARP e VLAN.

    Este exemplo mostra como capturar o tráfego ARP:

    ASA# cap arp ethernet-type ?

    exec mode commands/options:
      802.1Q
      <0-65535>  Ethernet type
      arp
      ip
      ip6
      ipx
      pppoed
      pppoes
      rarp
      vlan

    cap arp ethernet-type arp interface inside


    ASA# show cap arp

    22 packets captured

       1: 05:32:52.119485       arp who-has 10.10.3.13 tell 10.10.3.12
       2: 05:32:52.481862       arp who-has 192.168.10.123 tell 192.168.100.100
       3: 05:32:52.481878       arp who-has 192.168.10.50 tell 192.168.100.10
       4: 05:32:53.409723       arp who-has 10.106.44.135 tell 10.106.44.244
       5: 05:32:53.772085       arp who-has 10.106.44.108 tell 10.106.44.248
       6: 05:32:54.782429       arp who-has 10.106.44.135 tell 10.106.44.244
       7: 05:32:54.784695       arp who-has 10.106.44.1 tell 11.11.11.112:
  • real-time - Exibe os pacotes capturados continuamente em tempo real. Para terminar uma captura de pacote em tempo real, pressione Ctrl-C. Para remover permanentemente a captura, use a forma no desse comando. Esta opção não é suportada quando você usa o comando exec capture do cluster.

    ASA# cap capin interface inside real-time

    Warning: using this option with a slow console connection may
             result in an excessive amount of non-displayed packets
             due to performance limitations.

    Use ctrl-c to terminate real-time capture
  • Rastreamento - Rastreia os pacotes capturados de forma semelhante ao recurso do packet tracer do ASA.

    ASA#cap in interface Webserver trace match tcp any any eq 80

    // Initiate Traffic

     1: 07:11:54.670299   192.168.10.10.49498 > 198.51.100.88.80: S
        2322784363:2322784363(0) win 8192
        <mss 1460,nop,wscale 2,nop,nop,sackOK>

     Phase: 1
     Type: CAPTURE
     Subtype:
     Result: ALLOW
     Config:
     Additional Information:
     MAC Access list
     
     Phase: 2
     Type: ACCESS-LIST
     Subtype:
     Result: ALLOW
     Config:
     Implicit Rule
     Additional Information:
     MAC Access list
     
     Phase: 3
     Type: ROUTE-LOOKUP
     Subtype: input
     Result: ALLOW
     Config:
     Additional Information:
     in   0.0.0.0         0.0.0.0         outside
     
     Phase: 4
     Type: ACCESS-LIST
     Subtype: log
     Result: ALLOW
     Config:
     access-group any in interface inside
     access-list any extended permit ip any4 any4 log
     Additional Information:
     
     Phase: 5
     Type: NAT
     Subtype:
     Result: ALLOW
     Config:
     object network obj-10.0.0.0
     nat (inside,outside) dynamic interface
     Additional Information:
     Dynamic translate 192.168.10.10/49498 to 203.0.113.2/49498
     
     Phase: 6
     Type: NAT
     Subtype: per-session
     Result: ALLOW
     Config:
     Additional Information:
     
     Phase: 7
     Type: IP-OPTIONS
     Subtype:
     Result: ALLOW
     Config:
     Additional Information:
     
     Phase: 8
     Type:
     Subtype:
     Result: ALLOW
     Config:
     Additional Information:
     
     Phase: 9
     Type: ESTABLISHED
     Subtype:
     Result: ALLOW
     Config:
     Additional Information:
     
     Phase: 10
     Type:
     Subtype:
     Result: ALLOW
     Config:
     Additional Information:
     
     Phase: 11
     Type: NAT
     Subtype: per-session
     Result: ALLOW
     Config:
     Additional Information:
     
     Phase: 12
     Type: IP-OPTIONS
     Subtype:
     Result: ALLOW
     Config:
     Additional Information:
     
     Phase: 13
     Type: FLOW-CREATION
     Subtype:
     Result: ALLOW
     Config:
     Additional Information:
     New flow created with id 41134, packet dispatched to next module
     
     Phase: 14
     Type: ROUTE-LOOKUP
     Subtype: output and adjacency
     Result: ALLOW
     Config:
     Additional Information:
     found next-hop 203.0.113.1 using egress ifc outside
     adjacency Active
     next-hop mac address 0007.7d54.1300 hits 3170
     
     Result:
     output-interface: outside
     output-status: up
     output-line-status: up
     Action: allow
  • ikev1/ikev2 - Captura somente as informações do protocolo IKEv1 (Internet Key Exchange Version 1) ou IKEv2.

  • isakmp - Captura o tráfego de Internet Security Association and Key Management Protocol (ISAKMP) para conexões VPN. O subsistema ISAKMP não tem acesso aos protocolos da camada superior. A captura é uma pseudocaptura, com as camadas física, IP e UDP combinadas para satisfazer um analisador PCAP. Os endereços de peer são obtidos do intercâmbio SA e armazenados na camada IP.

  • lacp - Captura o tráfego LACP (Link Aggregation Control Protocol). Se configurado, o nome da interface é o nome da interface física. Isso pode ser útil quando você trabalha com Etherchannels para identificar o comportamento atual do LACP.

  • tls-proxy - Captura dados de entrada e saída descriptografados do proxy TLS (Transport Layer Security) em uma ou mais interfaces.

  • webvpn - Captura dados WebVPN para uma conexão WebVPN específica.

    Caution: Quando você habilita a captura de WebVPN, ela afeta o desempenho do Security Appliance. Certifique-se de desabilitar a captura depois de gerar os arquivos de captura necessários para solucionar problemas.

Defaults

Estes são os valores padrão do sistema ASA:

  • O tipo padrão é dados brutos.
  • O tamanho do buffer padrão é 512 KB.
  • O tipo Ethernet padrão é pacotes IP.
  • O comprimento do pacote padrão é 1.518 bytes.

Exibir os pacotes capturados

No ASA

Para visualizar os pacotes capturados, insira o comando show capture seguido do nome da captura. Esta seção fornece as saídas do comando show do conteúdo do buffer de captura. O comando show capture capin mostra o conteúdo do buffer de captura chamado capin:

ASA# show cap capin
 
 8 packets captured
 
 1: 03:24:35.526812       192.168.10.10 > 203.0.113.3: icmp: echo request
 2: 03:24:35.527224       203.0.113.3 > 192.168.10.10: icmp: echo reply
 3: 03:24:35.528247       192.168.10.10 > 203.0.113.3: icmp: echo request
 4: 03:24:35.528582       203.0.113.3 > 192.168.10.10: icmp: echo reply
 5: 03:24:35.529345       192.168.10.10 > 203.0.113.3: icmp: echo request
 6: 03:24:35.529681       203.0.113.3 > 192.168.10.10: icmp: echo reply
 7: 03:24:57.440162       192.168.10.10 > 203.0.113.3: icmp: echo request
 8: 03:24:57.440757       203.0.113.3 > 192.168.10.10: icmp: echo reply

O comando show capture capout mostra o conteúdo do buffer de captura chamado capout:

ASA# show cap capout
 
 8 packets captured
 
 1: 03:24:35.526843       192.168.10.10 > 203.0.113.3: icmp: echo request
 2: 03:24:35.527179       203.0.113.3 > 192.168.10.10: icmp: echo reply
 3: 03:24:35.528262       192.168.10.10 > 203.0.113.3: icmp: echo request
 4: 03:24:35.528567       203.0.113.3 > 192.168.10.10: icmp: echo reply
 5: 03:24:35.529361       192.168.10.10 > 203.0.113.3: icmp: echo request
 6: 03:24:35.529666       203.0.113.3 > 192.168.10.10: icmp: echo reply
 7: 03:24:47.014098       203.0.113.3 > 203.0.113.2: icmp: echo request
 8: 03:24:47.014510       203.0.113.2 > 203.0.113.3: icmp: echo reply

Faça o download do ASA para análise off-line

Há algumas maneiras de baixar as capturas de pacote para análise off-line:

  1. Navegue até https://<ip_of_asa>/admin/capture/<capture_name>/pcap em qualquer navegador.

    Tip: Se você deixar de fora a palavra-chave pcap, somente o equivalente da saída do comando show capture <cap_name> será fornecido.

  2. Insira o comando copy capture e o protocolo de transferência de arquivos preferidos para fazer o download da captura:

    copy /pcap capture:<capture-name> tftp://<server-ip-address>

Tip: Ao solucionar um problema com o uso de capturas de pacotes, a Cisco recomenda que você faça o download das capturas para análise offline.

Limpar uma captura

Para limpar o buffer de captura, insira o comando clear capture <capture-name>:

ASA# show capture
 capture capin type raw-data interface inside [Capturing - 8190 bytes]
 match icmp any any
 capture capout type raw-data interface outside [Capturing - 11440 bytes]
 match icmp any any
 
 ASA# clear cap capin
 ASA# clear cap capout

 ASA# show capture
 capture capin type raw-data interface inside [Capturing - 0 bytes]
 match icmp any any
 capture capout type raw-data interface outside [Capturing - 0 bytes]
 match icmp any any

Insira o comando clear capture /all para limpar o buffer para todas as capturas:

ASA# clear capture /all

Parar uma captura

A única maneira de parar uma captura no ASA é desativá-la completamente com este comando:

no capture <capture-name>

O bug da Cisco ID CSCuv74549 foi arquivado para adicionar a capacidade de parar uma captura sem desativá-la completamente e controlar quando uma captura começa a capturar o tráfego.

Verificar

No momento, não há procedimento de verificação disponível para esta configuração.

Troubleshoot

Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.

Histórico de revisões

Revisão Data de publicação Comentários
1.0
18-Aug-2015
Versão inicial
TAC Authored

Colaborado por engenheiros da Cisco

  • Cisco TAC Engineers

Este documento lhe foi útil?

FeedbackFeedback

Contate a Cisco

Este documento se refere a estes produtos