Clarificar Ações de Regra de Política de Controle de Acesso de FTD

Opções de download

  • PDF     (3.9 MB)
    Ver no Adobe Reader em vários dispositivos
  • ePub     (3.8 MB)
    Ver em vários aplicativos no iPhone, iPad, Android, Sony Reader ou Windows Phone
  • Mobi (Kindle)     (2.9 MB)
    Ver no dispositivo Kindle ou no aplicativo Kindle em vários dispositivos
Atualizado:5 de junho de 2026
ID do documento:212321

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

Contents

Introdução
Pré-requisitos
Requisitos
Componentes Utilizados
Produtos Relacionados
Informações de Apoio
Como a ACP é implantada
Configurar
Ações disponíveis da ACP
Como a ACP e a política de pré-filtro interagem
Ação de bloqueio da ACP
Cenário 1. Queda antecipada de LINA
Cenário 2. Queda Devido ao Veredito de Snort
Ação de bloqueio da ACP com reinicialização
Ação de permissão da ACP
Cenário 1. Ação de Permissão do ACP (Condições L3/L4)
Cenário 2. Ação de Permissão do ACP (Condições L3-7)
Cenário 3. Veredito de Encaminhamento Rápido de Snort com Permitir
Ação de confiança da ACP
Cenário 1. Ação fiduciária ACP
Cenário 2. Ação Confiável do ACP (sem SI, QoS e Política de Identidade)
Ação de bloqueio da política de pré-filtro
Ação de fastpath da política de pré-filtro
Ação de fastpath da política de pré-filtro (conjunto em linha)
Ação de fastpath da política de pré-filtro (conjunto em linha com toque)
Ação de análise da política de pré-filtro
Cenário 1. Análise de Pré-Filtro com Regra de Bloqueio do ACP
Cenário 2. Análise de Pré-Filtro com Regra de Permissão de ACP
Cenário 3. Análise de Pré-Filtro com Regra de Confiança do ACP
Cenário 4. Análise de Pré-Filtro com Regra de Confiança do ACP
Ação de monitoramento da ACP
Ação de bloqueio interativo da ACP
Ação de bloqueio interativo da ACP com reinicialização
Conexões e orifícios secundários do FTD
Diretrizes e regras do FTD
Summary
Informações Relacionadas

Introdução

Este documento descreve as várias ações disponíveis no Firepower Threat Defense (FTD), na Access Control Policy (ACP) e na política de pré-filtro. 

  

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

  • Transferência de fluxo
  • Capturas de pacotes nos dispositivos Firepower Threat Defense
  • Packet Tracer e Captura com Opções de Rastreamento em Dispositivos FTD

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

  • Cisco Firepower 4110 Threat Defense versão 6.4.0 (build 113) e 6.6.0 (build 90)
  • Firepower Management Center (FMC) versão 6.4.0 (build 113) e 6.6.0 (build 90)

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Produtos Relacionados

Este documento pode ser usado com estas versões de hardware e software:

  • ASA5506-X, ASA5506W-X, ASA5506H-X, ASA5508-X, ASA5516-X
  • ASA5512-X, ASA5515-X, ASA5525-X, ASA5545-X, ASA5555-X
  • FPR1000, FPR2100, FPR4100, FPR9300
  • VMware (ESXi), Amazon Web Services (AWS), Kernel-based Virtual Machine (KVM)
  • Módulos de roteador de serviços integrados (ISR)
  • FTD versão de software 6.1.x e posteriores

Note: A transferência de fluxo é permitida somente nas instâncias nativas das aplicações do ASA e do FTD e nas plataformas FPR4100 e FPR9300. As instâncias de contêiner do FTD não permitem a transferência de fluxo.

Informações de Apoio

A operação em segundo plano de cada ação é examinada juntamente com suas interações com outros recursos, como o Flow Offload e protocolos que abrem conexões secundárias.

O FTD é uma imagem de software unificada que consiste em dois mecanismos principais:

  • Mecanismo LINA
  • Mecanismo Snort

Esta figura mostra como os dois mecanismos interagem:

How LINA and Snort Engines Interact

  • Um pacote é inserido na interface de entrada e tratado pelo mecanismo LINA.
  • Se for exigido pela política de FTD, o pacote será inspecionado pelo mecanismo Snort.
  • O mecanismo Snort retorna um veredito (lista de permissão ou de bloqueio) para o pacote.
  • O mecanismo LINA descarta ou encaminha o pacote de acordo com a conclusão do Snort.

Como a ACP é implantada

A política de FTD é configurada no FMC quando o gerenciamento externo (remoto) é usado ou quando o Firepower Device Manager (FDM) local é usado. Em ambos os cenários, a ACP é implantada como:

  • Uma Lista de Controle de Acesso (ACL - Access Control List) global chamada CSM_FW_ACL_ para o mecanismo LINA do FTD.
  • Regras de controle de acesso (AC) no arquivo /ngfw/var/sf/detection_engines/<UUID>/ngfw.rules para o mecanismo Snort do FTD.

Configurar

Ações disponíveis da ACP

O ACP do FTD contém uma ou mais regras e cada regra pode ter uma destas ações:

  • Permissão
  • Confiança
  • Monitor
  • Bloqueio
  • Bloqueio com reinicialização
  • Bloqueio interativo
  • Bloqueio interativo com reinicialização

ACP Available Actions

Da mesma forma, uma Política de pré-filtro pode conter uma ou mais regras e as ações possíveis:

Add Prefilter Rule

Como a ACP e a política de pré-filtro interagem

A política de pré-filtro foi introduzida na versão 6.1 e tem duas finalidades principais:

Permite a inspeção do tráfego em túnel, em que o mecanismo LINA do FTD verifica o cabeçalho IP externo, enquanto o mecanismo Snort verifica o cabeçalho IP interno. Mais especificamente, no caso do tráfego em túnel (por exemplo, GRE), as regras na Política de pré-filtro sempre atuam nos cabeçalhos externos. Enquanto as regras no ACP são sempre aplicáveis às sessões internas (cabeçalhos internos).

O tráfego em túnel se refere a estes protocolos:

  • GRE
  • IP em IP
  • IPv6 em IP
  • Porta 3544 Teredo

O Early Access Control (EAC) permite que o fluxo ignore completamente o mecanismo Snort:

Bypass the Snort Engine

As Regras de Pré-Filtro são implantadas no FTD como Elementos de Controle de Acesso (ACEs - Access Control Elements) L3/L4 e precedem as ACEs L3/L4 configuradas:

Prefilter Rules are Deployed on FTD

Note: Regras de ACP do v/s do pré-filtro = a primeira correspondência aplicada.

Ação de bloqueio da ACP

Considere a topologia:

Topology

Cenário 1. Queda antecipada de LINA

O ACP contém uma regra de bloqueio que usa uma condição L4 (Porta de Destino TCP 80):

The ACP Contains a Block Rule that Uses an L4 Condition

A política implantada no Snort:

268435461 deny any 192.168.1.40 32 any any 192.168.2.40 32 80 any 6

A política implantada no LINA. Observe que a regra é enviada por push como uma ação de negação:

firepower# show access-list
…
access-list CSM_FW_ACL_ line 9 remark rule-id 268435461: L4 RULE: Rule1
access-list CSM_FW_ACL_ line 10 advanced deny tcp host 192.168.1.40 host 192.168.2.40 eq www rule-id 268435461 event-log flow-start (hitcnt=0) 0x6149c43c

Verifique o comportamento:

Quando o host-A (192.168.1.40) tenta abrir uma sessão HTTP para o host-B (192.168.2.40), os pacotes de sincronização TCP (SYN) são descartados pelo mecanismo LINA FTD e não alcançam o mecanismo Snort ou o destino:

firepower# show capture
capture CAPI type raw-data buffer 33554432 trace trace-count 100 interface INSIDE [Capturing - 430 bytes]
  match ip host 192.168.1.40 any
capture CAPO type raw-data buffer 33554432 trace trace-count 100 interface OUTSIDE [Capturing - 0 bytes]
  match ip host 192.168.1.40 any

firepower# show capture CAPI
   1: 11:08:09.672801  192.168.1.40.32789 > 192.168.2.40.80: S 3249160620:3249160620(0) win 2920 <mss 1460,sackOK,timestamp 4060517 0>
   2: 11:08:12.672435  192.168.1.40.32789 > 192.168.2.40.80: S 3249160620:3249160620(0) win 2920 <mss 1460,sackOK,timestamp 4063517 0>
   3: 11:08:18.672847  192.168.1.40.32789 > 192.168.2.40.80: S 3249160620:3249160620(0) win 2920 <mss 1460,sackOK,timestamp 4069517 0>
   4: 11:08:30.673610  192.168.1.40.32789 > 192.168.2.40.80: S 3249160620:3249160620(0) win 2920 <mss 1460,sackOK,timestamp 4081517 0>

firepower# show capture CAPI packet-number 1 trace
   1: 11:08:09.672801  192.168.1.40.32789 > 192.168.2.40.80: S 3249160620:3249160620(0) win 2920 <mss 1460,sackOK,timestamp 4060517 0>
...

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: DROP
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny tcp host 192.168.1.40 host 192.168.2.40 eq www rule-id 268435461 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268435461: ACCESS POLICY: ACP1 - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268435461: L4 RULE: Rule1
Additional Information:   
                             <- No Additional Information = No Snort Inspection

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
output-interface: OUTSIDE
output-status: up
output-line-status: up
Action: drop
Drop-reason: (acl-drop) Flow is denied by configured rule

Cenário 2. Queda Devido ao Veredito de Snort

O ACP contém uma regra de bloqueio que usa uma condição L7 (Aplicativo HTTP):

The ACP Contains a Block Rule that Uses an L7 Condition

A política implantada no Snort:

268435461 deny any 192.168.1.40 32 any any 192.168.2.40 32 any any any  (appid 676:1)

Appid 676:1 = HTTP

A política implantada no LINA:

Note: A regra é enviada por push como uma ação de permissão porque o mecanismo LINA não pode determinar que a sessão usa HTTP. No FTD, o mecanismo Application Detection está no mecanismo Snort.

firepower# show access-list
…
access-list CSM_FW_ACL_ line 9 remark rule-id 268435461: L7 RULE: Rule1
access-list CSM_FW_ACL_ line 10 advanced permit ip host 192.168.1.40 host 192.168.2.40 rule-id 268435461 (hitcnt=0) 0xb788b786

Para uma regra de bloqueio que usa Application como uma condição, o rastreamento de um pacote real mostra que a sessão é descartada pelo mecanismo LINA devido ao veredito do mecanismo Snort.

Note: Para que o mecanismo Snort determine o aplicativo, ele deve inspecionar alguns pacotes (geralmente de 3 a 10, que depende do decodificador do aplicativo). Assim, alguns pacotes são permitidos pelo FTD e são transmitidos ao seu destino. Os pacotes permitidos ainda estão sujeitos à verificação da política de intrusão com base na opção Access Policy > Advanced > Intrusion Policy used before Access Control rule is determine.

Verifique o comportamento:

Quando o host-A (192.168.1.40) tenta estabelecer uma sessão HTTP com o host-B (192.168.2.40), a captura de ingresso LINA mostra:

firepower# show capture CAPI

8 packets captured

   1: 11:31:19.825564  192.168.1.40.32790 > 192.168.2.40.80: S 357753151:357753151(0) win 2920 <mss 1460,sackOK,timestamp 5450579 0>
   2: 11:31:19.826403  192.168.2.40.80 > 192.168.1.40.32790: S 1283931030:1283931030(0) ack 357753152 win 2896 <mss 1380,sackOK,timestamp 5449236 5450579>
   3: 11:31:19.826556  192.168.1.40.32790 > 192.168.2.40.80: P 357753152:357753351(199) ack 1283931031 win 2920 <nop,nop,timestamp 5450580 5449236>
   4: 11:31:20.026899  192.168.1.40.32790 > 192.168.2.40.80: P 357753152:357753351(199) ack 1283931031 win 2920 <nop,nop,timestamp 5450781 5449236>
   5: 11:31:20.428887  192.168.1.40.32790 > 192.168.2.40.80: P 357753152:357753351(199) ack 1283931031 win 2920 <nop,nop,timestamp 5451183 5449236>
 ...

A captura de saída:

firepower# show capture CAPO

5 packets captured

   1: 11:31:19.825869  192.168.1.40.32790 > 192.168.2.40.80: S 1163713179:1163713179(0) win 2920 <mss 1380,sackOK,timestamp 5450579 0>
   2: 11:31:19.826312  192.168.2.40.80 > 192.168.1.40.32790: S 354801457:354801457(0) ack 1163713180 win 2896 <mss 1460,sackOK,timestamp 5449236 5450579>
   3: 11:31:23.426049  192.168.2.40.80 > 192.168.1.40.32790: S 354801457:354801457(0) ack 1163713180 win 2896 <mss 1460,sackOK,timestamp 5452836 5450579>
   4: 11:31:29.426430  192.168.2.40.80 > 192.168.1.40.32790: S 354801457:354801457(0) ack 1163713180 win 2896 <mss 1460,sackOK,timestamp 5458836 5450579>
   5: 11:31:41.427208  192.168.2.40.80 > 192.168.1.40.32790: S 354801457:354801457(0) ack 1163713180 win 2896 <mss 1460,sackOK,timestamp 5470836 5450579>

O rastreamento mostra que o primeiro pacote (TCP SYN) é permitido pelo mecanismo Snort, já que o veredito de Detecção de Aplicativos ainda não foi alcançado:

firepower# show capture CAPI packet-number 1 trace
   1: 11:31:19.825564  192.168.1.40.32790 > 192.168.2.40.80: S 357753151:357753151(0) win 2920 <mss 1460,sackOK,timestamp 5450579 0>
...

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.1.40 host 192.168.2.40 rule-id 268435461
access-list CSM_FW_ACL_ remark rule-id 268435461: ACCESS POLICY: ACP1 - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268435461: L7 RULE: Rule1
Additional Information:
 This packet will be sent to snort for additional processing where a verdict will be reached
...
Phase: 10
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 23194, packet dispatched to next module
…
Phase: 12
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Trace:
Packet: TCP, SYN, seq 357753151
AppID: service unknown (0), application unknown (0)
Firewall: starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, sgt 65535, user 9999997, icmpType 0, icmpCode 0
Firewall: pending rule-matching, id 268435461, pending AppID
NAP id 1, IPS id 0, Verdict PASS
Snort Verdict: (pass-packet) allow this packet

Result:
input-interface: OUTSIDE
input-status: up
input-line-status: up
output-interface: OUTSIDE
output-status: up
output-line-status: up
Action: allow

O mesmo se aplica ao pacote TCP SYN/ACK:

firepower# show capture CAPO packet-number 2 trace
   2: 11:31:19.826312 192.168.2.40.80 > 192.168.1.40.32790: S 354801457:354801457(0) ack 1163713180 win 2896 <mss 1460,sackOK,timestamp 5449236 5450579>
…

Phase: 3
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Config:
Additional Information:
Found flow with id 23194, using existing flow
…

Phase: 5
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Trace:
Packet: TCP, SYN, ACK, seq 1283931030, ack 357753152
AppID: service unknown (0), application unknown (0)
Firewall: starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, sgt 65535, user 9999997, icmpType 0, icmpCode 0
Firewall: pending rule-matching, id 268435461, pending AppID
NAP id 1, IPS id 0, Verdict PASS
Snort Verdict: (pass-packet) allow this packet

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
output-interface: INSIDE
output-status: up
output-line-status: up
Action: allow

O Snort retorna um veredito DROP quando uma inspeção do terceiro pacote é concluída:

firepower# show capture CAPI packet-number 3 trace
   3: 11:31:19.826556  192.168.1.40.32790 > 192.168.2.40.80: P 357753152:357753351(199) ack 1283931031 win 2920 <nop,nop,timestamp 5450580 5449236>

Phase: 3
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Config:
Additional Information:
Found flow with id 23194, using existing flow

Phase: 5
Type: SNORT
Subtype:
Result: DROP
Config:
Additional Information:
Snort Trace:
Packet: TCP, ACK, seq 357753152, ack 1283931031
AppID: service HTTP (676), application unknown (0)
Firewall: starting rule matching, zone -1 -> -1, geo 0(0) -> 0, vlan 0, sgt 65535, user 9999997, url http://192.168.2.40/128k.html
Firewall: block rule, id 268435461, drop
Snort: processed decoder alerts or actions queue, drop
NAP id 1, IPS id 0, Verdict BLOCKLIST, Blocked by Firewall
Snort Verdict: (block-list) block list this flow

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
Action: drop
Drop-reason: (firewall) Blocked by the firewall preprocessor

Você também pode executar o comando system support trace no modo FTD CLISH. Essa ferramenta fornece duas funções:

  • Ele mostra o veredito do Snort para cada pacote quando ele é enviado para a biblioteca de Aquisição de Dados (DAQ) e visto no LINA. O DAQ é um componente localizado entre o mecanismo LINA e o mecanismo Snort do FTD.
  • Ele permite que você execute o suporte do sistema firewall-engine-debug ao mesmo tempo para ver o que acontece dentro do próprio mecanismo Snort.

Caution: Você deve usar os comandos de suporte do sistema sob a direção do suporte da Cisco, com exceção dos comandos documentados no guia de comandos ssl-client-hello-de suporte do sistema, que é para uso geral.

Além disso, sempre use os filtros apropriados e não deixe o comando em execução indefinidamente, pois isso pode afetar o desempenho do dispositivo.

Veja um exemplo de saída:

> system support trace

Please specify an IP protocol: tcp
Please specify a client IP address: 192.168.1.40
Please specify a client port:
Please specify a server IP address: 192.168.2.40
Please specify a server port:
Enable firewall-engine-debug too? [n]: y
Monitoring packet tracer debug messages

Tracing enabled by Lina
192.168.2.40-80 - 192.168.1.40-32791 6 Packet: TCP, SYN, seq 2620409313
192.168.2.40-80 - 192.168.1.40-32791 6 AppID: service unknown (0), application unknown (0)
192.168.1.40-32791 > 192.168.2.40-80 6 AS 1 I 0 New session
192.168.1.40-32791 > 192.168.2.40-80 6 AS 1 I 0 Starting with minimum 2, 'Rule1', and SrcZone first with zones -1 -> -1, geo 0 -> 0, vlan 0, inline sgt tag: untagged, ISE sgt id: 0, svc 0, payload 0, client 0, misc 0, user 9999997, icmpType 0, icmpCode 0
192.168.1.40-32791 > 192.168.2.40-80 6 Firewall: starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, sgt 65535, user 9999997, icmpType 0, icmpCode 0
192.168.1.40-32791 > 192.168.2.40-80 6 AS 1 I 0 pending rule order 2, 'Rule1', AppID
192.168.1.40-32791 > 192.168.2.40-80 6 Firewall: pending rule-matching, 'Rule1', pending AppID
192.168.1.40-32791 > 192.168.2.40-80 6 NAP id 1, IPS id 0, Verdict PASS
Trace buffer and verdict reason are sent to DAQ's PDTS

Tracing enabled by Lina
192.168.2.40-80 - 192.168.1.40-32791 6 Packet: TCP, SYN, ACK, seq 3700371680, ack 2620409314
192.168.2.40-80 - 192.168.1.40-32791 6 AppID: service unknown (0), application unknown (0)
192.168.1.40-32791 > 192.168.2.40-80 6 AS 1 I 0 Starting with minimum 2, 'Rule1', and SrcZone first with zones -1 -> -1, geo 0 -> 0, vlan 0, inline sgt tag: untagged, ISE sgt id: 0, svc 0, payload 0, client 0, misc 0, user 9999997, icmpType 0, icmpCode 0
192.168.1.40-32791 > 192.168.2.40-80 6 Firewall: starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, sgt 65535, user 9999997, icmpType 0, icmpCode 0
192.168.1.40-32791 > 192.168.2.40-80 6 AS 1 I 0 pending rule order 2, 'Rule1', AppID
192.168.1.40-32791 > 192.168.2.40-80 6 Firewall: pending rule-matching, 'Rule1', pending AppID
192.168.1.40-32791 > 192.168.2.40-80 6 NAP id 1, IPS id 0, Verdict PASS
Trace buffer and verdict reason are sent to DAQ's PDTS

Tracing enabled by Lina
192.168.2.40-80 - 192.168.1.40-32791 6 Packet: TCP, ACK, seq 2620409314, ack 3700371681
192.168.2.40-80 - 192.168.1.40-32791 6 AppID: service HTTP (676), application unknown (0)
192.168.1.40-32791 > 192.168.2.40-80 6 AS 1 I 0 Starting with minimum 2, 'Rule1', and SrcZone first with zones -1 -> -1, geo 0(0) -> 0, vlan 0, inline sgt tag: untagged, ISE sgt id: 0, svc 676, payload 0, client 686, misc 0, user 9999997, url http://192.168.2.40/128k.html, xff
192.168.1.40-32791 > 192.168.2.40-80 6 Firewall: starting rule matching, zone -1 -> -1, geo 0(0) -> 0, vlan 0, sgt 65535, user 9999997, url http://192.168.2.40/128k.html
192.168.1.40-32791 > 192.168.2.40-80 6 AS 1 I 0 match rule order 2, 'Rule1', action Block
192.168.1.40-32791 > 192.168.2.40-80 6 AS 1 I 0 deny action
192.168.1.40-32791 > 192.168.2.40-80 6 Firewall: block rule, 'Rule1', drop
192.168.1.40-32791 > 192.168.2.40-80 6 Snort: processed decoder alerts or actions queue, drop
192.168.1.40-32791 > 192.168.2.40-80 6 AS 1 I 0 Deleting session
192.168.1.40-32791 > 192.168.2.40-80 6 NAP id 1, IPS id 0, Verdict BLOCKLIST
192.168.1.40-32791 > 192.168.2.40-80 6 ===> Blocked by Firewall

Resumo:

  • A Ação de bloqueio de ACP é implantada como uma regra de permissão ou de negação no mecanismo LINA, que depende das condições da regra.
  • Se as condições forem L3/L4, o mecanismo LINA bloqueará o pacote. No caso do TCP, o primeiro pacote (TCP SYN) é bloqueado.
  • Se as condições forem L7, o pacote será encaminhado ao mecanismo Snort para inspeção adicional. No caso do TCP, alguns pacotes são permitidos por meio do FTD até que o Snort chegue a uma conclusão. Os pacotes permitidos ainda estão sujeitos à verificação da política de intrusão com base na opção Access Policy > Advanced > Intrusion Policy usada antes da regra de controle de acesso ser determinada.

Ação de bloqueio da ACP com reinicialização

Uma regra de bloqueio com reinicialização configurada na interface do usuário do FMC:

A Block with Rest Rule Configured on FMC UI

O bloco com regra de reinicialização é implantado no mecanismo LINA do FTD como uma permissão e no mecanismo Snort como uma regra de reinicialização:

firepower# show access-list
…
access-list CSM_FW_ACL_ line 10 advanced permit tcp 192.168.10.0 255.255.255.0 host 192.168.11.50 eq www rule-id 268438864 (hitcnt=0) 0xba785fc0
access-list CSM_FW_ACL_ line 11 remark rule-id 268438865: ACCESS POLICY: ACP1 - Mandatory
access-list CSM_FW_ACL_ line 12 remark rule-id 268438865: L7 RULE: Block-RST_Rule2
access-list CSM_FW_ACL_ line 13 advanced permit ip 192.168.10.0 255.255.255.0 host 192.168.11.51 rule-id 268438865 (hitcnt=0) 0x622350d0

Mecanismo Snort:

admin@firepower:~$ cat /var/sf/detection_engines/9e080e5c-adc3-11ea-9d37-44884cf7e9ba/ngfw.rules
…
# Start of AC rule.
268438864 reset any 192.168.10.0 24 any any 192.168.11.50 32 80 any 6
# End rule 268438864
268438865 reset any 192.168.10.0 24 any any 192.168.11.51 32 any any any (appid 676:1) (ip_protos 6, 17)
# End rule 268438865

Quando um pacote corresponde a um bloco com regra de redefinição, o FTD envia um pacote TCP Reset ou uma mensagem ICMP Type 3 Code 13 Destination Unreachable (Administrativamente filtrado):

root@kali:~/tests# wget 192.168.11.50/file1.zip
--2020-06-20 22:48:10--  http://192.168.11.50/file1.zip
Connecting to 192.168.11.50:80... failed: Connection refused.

Consulte a captura realizada na interface de ingresso do FTD:

firepower# show capture CAPI
2 packets captured 
1: 21:01:00.977259 802.1Q vlan#202 P0 192.168.10.50.41986 > 192.168.11.50.80: S 3120295488:3120295488(0) win 29200 <mss 1460,sackOK,timestamp 3740873275 0,nop,wscale 7> 
2: 21:01:00.978114 802.1Q vlan#202 P0 192.168.11.50.80 > 192.168.10.50.41986: R 0:0(0) ack 3120295489 win 0 2 packets shown

A saída do rastreamento de suporte do sistema, neste caso, mostra que o pacote foi descartado devido ao veredito do Snort:

> system support trace

Enable firewall-engine-debug too? [n]: y
Please specify an IP protocol: tcp
Please specify a client IP address: 192.168.10.50
Please specify a client port:
Please specify a server IP address: 192.168.11.50
Please specify a server port:
Monitoring packet tracer and firewall debug messages


192.168.10.50-41984 - 192.168.11.50-80 6 AS 1-1 CID 0 Packet: TCP, SYN, seq 3387496622
192.168.10.50-41984 - 192.168.11.50-80 6 AS 1-1 CID 0 Session: new snort session
192.168.10.50-41984 - 192.168.11.50-80 6 AS 1-1 CID 0 AppID: service unknown (0), application unknown (0)
192.168.10.50-41984 > 192.168.11.50-80 6 AS 1-1 I 9 new firewall session
192.168.10.50-41984 > 192.168.11.50-80 6 AS 1-1 I 9 using HW or preset rule order 2, 'Block-RST-Rule1', action Reset and prefilter rule 0
192.168.10.50-41984 > 192.168.11.50-80 6 AS 1-1 I 9 HitCount data sent for rule id: 268438864,
192.168.10.50-41984 > 192.168.11.50-80 6 AS 1-1 I 9 reset action
192.168.10.50-41984 > 192.168.11.50-80 6 AS 1-1 I 9 deleting firewall session flags = 0x0, fwFlags = 0x0
192.168.10.50-41984 - 192.168.11.50-80 6 AS 1-1 CID 0 Firewall: block w/ reset rule, 'Block-RST-Rule1', drop
192.168.10.50-41984 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort: processed decoder alerts or actions queue, drop
192.168.10.50-41984 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort id 9, NAP id 1, IPS id 0, Verdict BLOCKLIST
192.168.10.50-41984 - 192.168.11.50-80 6 AS 1-1 CID 0 ===> Blocked by Firewall
Verdict reason is sent to DAQ

Casos de uso 

O mesmo que a ação Block, no entanto, ela encerra a conexão imediatamente.

Caution: Você deve usar os comandos de suporte do sistema sob a direção do suporte da Cisco, com exceção dos comandos documentados no guia de comandos ssl-client-hello-de suporte do sistema, que é para uso geral.

Além disso, sempre use os filtros apropriados e não deixe o comando em execução indefinidamente, pois isso pode afetar o desempenho do dispositivo.

Ação de permissão da ACP

Cenário 1. Ação de Permissão do ACP (Condições L3/L4)

Normalmente, você está configurando uma regra de Permitir para especificar inspeções adicionais como uma Política de intrusão e/ou uma Política de arquivo. Este primeiro cenário demonstra a operação de uma regra Allow quando uma condição L3/L4 é aplicada.

Considere esta topologia:

Topology

Esta política é aplicada:

Operation on an Allow Rule when an L3/L4 Condition is Applied.

A política implantada no Snort. Observe que a regra é implantada como ação de permissão:

# Start of AC rule.
268435461 allow any 192.168.1.40 32 any any 192.168.2.40 32 80 any 6

A política no mecanismo LINA: 

Note: A regra é implantada como uma ação de permissão, o que significa que é um redirecionamento para o Snort para inspeção adicional.

firepower# show access-list
…
access-list CSM_FW_ACL_ line 9 remark rule-id 268435461: L7 RULE: Rule1
access-list CSM_FW_ACL_ line 10 advanced permit tcp host 192.168.1.40 host 192.168.2.40 eq www rule-id 268435461 (hitcnt=1) 0x641a20c3

Para exibir como o FTD trata um fluxo que corresponde a uma regra de Permissão, há algumas maneiras:

  • Verifique as estatísticas do Snort
  • Usar a ferramenta CLISH de rastreamento de suporte do sistema
  • Com o uso da captura e da opção de rastreamento no mecanismo LINA, você pode, opcionalmente, usar o tráfego de captura no mecanismo Snort

Captura do LINA versus capture-traffic do Snort:

LINA Capture vs Snort Capture Traffic

Verifique o comportamento

Limpe as estatísticas do Snort e ative o rastreamento de suporte do sistema do CLISH e inicie o fluxo HTTP do host-A (192.168.1.40) para o host-B (192.168.2.40). Todos os pacotes são encaminhados para o mecanismo Snort e recebem um veredito PASS pelo mecanismo Snort:

firepower# clear snort statistics

Caution: Você deve usar os comandos de suporte do sistema sob a direção do suporte da Cisco, com exceção dos comandos documentados no guia de comandos ssl-client-hello-de suporte do sistema, que é para uso geral.

Além disso, sempre use os filtros apropriados e não deixe o comando em execução indefinidamente, pois isso pode afetar o desempenho do dispositivo.

> system support trace

Please specify an IP protocol:
Please specify a client IP address: 192.168.1.40
Please specify a client port:
Please specify a server IP address: 192.168.2.40
Please specify a server port:
Enable firewall-engine-debug too? [n]:
Monitoring packet tracer debug messages

Tracing enabled by Lina
192.168.2.40-80 - 192.168.1.40-32797 6 Packet: TCP, SYN, seq 361134402
192.168.2.40-80 - 192.168.1.40-32797 6 AppID: service unknown (0), application unknown (0)
192.168.1.40-32797 > 192.168.2.40-80 6 Firewall: allow rule, 'Rule1', allow
192.168.1.40-32797 > 192.168.2.40-80 6 NAP id 1, IPS id 0, Verdict PASS
Trace buffer and verdict reason are sent to DAQ's PDTS

Tracing enabled by Lina
192.168.2.40-80 - 192.168.1.40-32797 6 Packet: TCP, SYN, ACK, seq 1591434735, ack 361134403
192.168.2.40-80 - 192.168.1.40-32797 6 AppID: service unknown (0), application unknown (0)
192.168.1.40-32797 > 192.168.2.40-80 6 Firewall: allow rule, 'Rule1', allow
192.168.1.40-32797 > 192.168.2.40-80 6 NAP id 1, IPS id 0, Verdict PASS
Trace buffer and verdict reason are sent to DAQ's PDTS

Tracing enabled by Lina
192.168.2.40-80 - 192.168.1.40-32797 6 Packet: TCP, ACK, seq 361134403, ack 1591434736
192.168.2.40-80 - 192.168.1.40-32797 6 AppID: service HTTP (676), application unknown (0)
192.168.1.40-32797 > 192.168.2.40-80 6 Firewall: allow rule, 'Rule1', allow
192.168.1.40-32797 > 192.168.2.40-80 6 NAP id 1, IPS id 0, Verdict PASS

Os contadores Passar pacotes aumentam:

> show snort statistics

Packet Counters:
  Passed Packets                                           54
  Blocked Packets                                           0
  Injected Packets                                          0
  Packets bypassed (Snort Down)                             0
  Packets bypassed (Snort Busy)                             0

Flow Counters:
  Fast-Forwarded Flows                                      0
  Blocklisted Flows                                         0
...

Pacotes aprovados = inspecionados pelo mecanismo Snort

Cenário 2. Ação de Permissão do ACP (Condições L3-7)

Um comportamento semelhante é visto quando a regra Permitir é implantada.

Somente uma condição L3/L4:

An L3/L4 Condition

Uma condição L7 (por exemplo, uma Política de intrusão, Política de arquivo, Aplicativo):

An L7 Condition

Summary

Para resumir, é assim que um fluxo é tratado por um FTD implantado em um FP4100/9300 quando uma regra de permissão é correspondida:

How a Flow is Handled by an FTD Deployed on an FP4100/9300 when an Allow Rule is Matched

Note: O Management Input Output (MIO) é o mecanismo de supervisão do chassi Firepower.

Cenário 3. Veredito de Encaminhamento Rápido de Snort com Permitir

Há cenários específicos em que o mecanismo Snort do FTD fornece um veredito PERMITLIST (fast-forward) e o fluxo restante é descarregado no mecanismo LINA (em alguns casos, ele é descarregado no Acelerador de HW - SmartNIC). Estas são:

  • Tráfego SSL sem uma política SSL configurada
  • Intelligent Application Bypass (IAB)

Consulte a representação visual do caminho do pacote:

Visual Representation of the Packet Path

Ou, em alguns casos:

Another Visual Representation of the Packet Path

Pontos principais

  • A regra de permissão é implantada como permitir no Snort e permitir no mecanismo LINA.
  • Na maioria dos casos, todos os pacotes de uma sessão são encaminhados para o mecanismo Snort para inspeção adicional.

Casos de uso  

Você só configura uma regra Allow quando exige uma inspeção L7 pelo Snort Engine, como:

  • Política de invasão
  • Política de arquivos

Ação de confiança da ACP

Cenário 1. Ação fiduciária ACP

Se você não quiser aplicar uma inspeção L7 avançada no nível Snort (por exemplo, Política de intrusão, Política de arquivo, Descoberta de rede), mas quiser usar recursos como Inteligência de segurança (SI), Política de identidade, QoS, então é recomendável usar a Ação de confiança em sua regra.

Topologia:

Topology

A política configurada:

The Configured Policy

Consulte a regra de Confiança à medida que ela é implantada no mecanismo Snort do FTD:

# Start of AC rule.
268438858 fastpath any 192.168.10.50 31 any any 192.168.11.50 31 80 any 6 (log dcforward flowend)

Note: O número 6 é o protocolo (TCP).

A regra no LINA do FTD:

firepower# show access-list | i 268438858
access-list CSM_FW_ACL_ line 17 remark rule-id 268438858: ACCESS POLICY: ACP1 - Mandatory
access-list CSM_FW_ACL_ line 18 remark rule-id 268438858: L7 RULE: trust_L3-L4
access-list CSM_FW_ACL_ line 19 advanced permit tcp object-group FMC_INLINE_src_rule_268438858 object-group FMC_INLINE_dst_rule_268438858 eq www rule-id 268438858 (hitcnt=19) 0x29588b4f
  access-list CSM_FW_ACL_ line 19 advanced permit tcp host 192.168.10.50 host 192.168.11.50 eq www rule-id 268438858 (hitcnt=19) 0x9d442895
  access-list CSM_FW_ACL_ line 19 advanced permit tcp host 192.168.10.50 host 192.168.11.51 eq www rule-id 268438858 (hitcnt=0) 0xd026252b
  access-list CSM_FW_ACL_ line 19 advanced permit tcp host 192.168.10.51 host 192.168.11.50 eq www rule-id 268438858 (hitcnt=0) 0x0d785cc4
  access-list CSM_FW_ACL_ line 19 advanced permit tcp host 192.168.10.51 host 192.168.11.51 eq www rule-id 268438858 (hitcnt=0) 0x3b3234f1

  

Verificação:

Ative o system support trace e inicie uma sessão HTTP do host-A (192.168.10.50) para o host-B (192.168.11.50).

Caution: Você deve usar os comandos de suporte do sistema sob a direção do suporte da Cisco, com exceção dos comandos documentados no guia de comandos ssl-client-hello-de suporte do sistema, que é para uso geral.

Além disso, sempre use os filtros apropriados e não deixe o comando em execução indefinidamente, pois isso pode afetar o desempenho do dispositivo.

Há três pacotes encaminhados para o mecanismo Snort. O mecanismo Snort envia para LINA e o veredito PERMITLIST descarrega o fluxo restante para o mecanismo LINA:

> system support trace

Enable firewall-engine-debug too? [n]: y
Please specify an IP protocol: tcp
Please specify a client IP address: 192.168.10.50
Please specify a client port:
Please specify a server IP address: 192.168.11.50
Please specify a server port: 80
Monitoring packet tracer and firewall debug messages

192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 Packet: TCP, SYN, seq 453426648
192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 Session: new snort session
192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 AppID: service unknown (0), application unknown (0)
192.168.10.50-42126 > 192.168.11.50-80 6 AS 1-1 I 2 new firewall session
192.168.10.50-42126 > 192.168.11.50-80 6 AS 1-1 I 2 using HW or preset rule order 5, 'trust_L3-L4', action Trust and prefilter rule 0
192.168.10.50-42126 > 192.168.11.50-80 6 AS 1-1 I 2 HitCount data sent for rule id: 268438858,
192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 Firewall: trust/fastpath rule, 'trust_L3-L4', allow
192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort id 2, NAP id 2, IPS id 0, Verdict PASS

192.168.11.50-80 - 192.168.10.50-42126 6 AS 1-1 CID 0 Packet: TCP, SYN, ACK, seq 2820426532, ack 453426649
192.168.11.50-80 - 192.168.10.50-42126 6 AS 1-1 CID 0 AppID: service unknown (0), application unknown (0)
192.168.11.50-80 - 192.168.10.50-42126 6 AS 1-1 CID 0 Firewall: trust/fastpath rule, 'trust_L3-L4', allow
192.168.11.50-80 - 192.168.10.50-42126 6 AS 1-1 CID 0 Snort id 2, NAP id 2, IPS id 0, Verdict PASS

192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 Packet: TCP, ACK, seq 453426649, ack 2820426533
192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 AppID: service unknown (0), application unknown (0)
192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 Firewall: trust/fastpath rule, 'trust_L3-L4', allow
192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort id 2, NAP id 2, IPS id 0, Verdict PERMITLIST

Quando a conexão é encerrada, o mecanismo Snort recebe as informações de metadados do mecanismo LINA e exclui a sessão:

192.168.10.50-42126 > 192.168.11.50-80 6 AS 1-1 I 2 Got end of flow event from hardware with flags 00010001. Rule Match Data: rule_id 0, rule_action 0 rev_id 0, rule_flags 3
192.168.10.50-42126 > 192.168.11.50-80 6 AS 1-1 I 2 Logging EOF for event from hardware with rule_id = 268438858 ruleAction = 3 ruleReason = 0
192.168.10.50-42126 > 192.168.11.50-80 6 AS 1-1 I 2 : Received EOF, deleting the snort session.

192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 Session: deleting snort session, reason: timeout
192.168.10.50-42126 > 192.168.11.50-80 6 AS 1-1 I 2 deleting firewall session flags = 0x10003, fwFlags = 0x1115
192.168.10.50-42126 - 192.168.11.50-80 6 AS 1-1 CID 0 Session: deleted snort session using 0 bytes; protocol id:(-1) : LWstate 0xf LWFlags 0x6007

A captura do mecanismo Snort mostra os três pacotes que vão para o mecanismo Snort:

> capture-traffic

Please choose domain to capture traffic from:
  0 - management0
  1 - management1
  2 - Global

Selection? 2

Please specify tcpdump options desired.
(or enter '?' for a list of supported options)
Options: -n vlan and (host 192.168.10.50 and host 192.168.11.50)
10:26:16.525928 IP 192.168.10.50.42144 > 192.168.11.50.80: Flags [S], seq 3065553465, win 29200, options [mss 1380,sackOK,TS val 3789188468 ecr 0,nop,wscale 7], length 0
10:26:16.525928 IP 192.168.11.50.80 > 192.168.10.50.42144: Flags [S.], seq 3581351172, ack 3065553466, win 8192, options [mss 1380,nop,wscale 8,sackOK,TS val 57650410 ecr 3789188468], length 0
10:26:16.525928 IP 192.168.10.50.42144 > 192.168.11.50.80: Flags [.], ack 1, win 229, options [nop,nop,TS val 3789188470 ecr 57650410], length 0

A captura do mecanismo LINA mostra o fluxo que passa por ela:

firepower# show capture CAPI

437 packets captured

   1: 09:51:19.431007  802.1Q vlan#202 P0 192.168.10.50.42118 > 192.168.11.50.80: S 2459891187:2459891187(0) win 29200 <mss 1460,sackOK,timestamp 3787091387 0,nop,wscale 7>
   2: 09:51:19.431648  802.1Q vlan#202 P0 192.168.11.50.80 > 192.168.10.50.42118: S 2860907367:2860907367(0) ack 2459891188 win 8192 <mss 1380,nop,wscale 8,sackOK,timestamp 57440579 3787091387>
   3: 09:51:19.431847  802.1Q vlan#202 P0 192.168.10.50.42118 > 192.168.11.50.80: . ack 2860907368 win 229 <nop,nop,timestamp 3787091388 57440579>
   4: 09:51:19.431953  802.1Q vlan#202 P0 192.168.10.50.42118 > 192.168.11.50.80: P 2459891188:2459891337(149) ack 2860907368 win 229 <nop,nop,timestamp 3787091388 57440579>
   5: 09:51:19.444816  802.1Q vlan#202 P0 192.168.11.50.80 > 192.168.10.50.42118: . 2860907368:2860908736(1368) ack 2459891337 win 256 <nop,nop,timestamp 57440580 3787091388>
   6: 09:51:19.444831  802.1Q vlan#202 P0 192.168.11.50.80 > 192.168.10.50.42118: . 2860908736:2860910104(1368) ack 2459891337 win 256 <nop,nop,timestamp 57440580 3787091388>

…

O rastreamento dos pacotes de LINA é outra maneira de ver os veredictos do Snort. O primeiro pacote recebeu o veredito PASS:

firepower# show capture CAPI packet-number 1 trace | i Type|Verdict
Type: CAPTURE
Type: ACCESS-LIST
Type: ROUTE-LOOKUP
Type: ACCESS-LIST
Type: CONN-SETTINGS
Type: NAT
Type: NAT
Type: IP-OPTIONS
Type: CAPTURE
Type: CAPTURE
Type: NAT
Type: CAPTURE
Type: NAT
Type: IP-OPTIONS
Type: CAPTURE
Type: FLOW-CREATION
Type: EXTERNAL-INSPECT
Type: SNORT
Snort id 22, NAP id 2, IPS id 0, Verdict PASS
Snort Verdict: (pass-packet) allow this packet
Type: INPUT-ROUTE-LOOKUP-FROM-OUTPUT-ROUTE-LOOKUP
Type: ADJACENCY-LOOKUP
Type: CAPTURE

O rastreamento do pacote TCP SYN/ACK na interface EXTERNA:

firepower# show capture CAPO packet-number 2 trace | i Type|Verdict
Type: CAPTURE
Type: ACCESS-LIST
Type: FLOW-LOOKUP
Type: EXTERNAL-INSPECT
Type: SNORT
Snort id 22, NAP id 2, IPS id 0, Verdict PASS
Snort Verdict: (pass-packet) allow this packet
Type: INPUT-ROUTE-LOOKUP-FROM-OUTPUT-ROUTE-LOOKUP
Type: ADJACENCY-LOOKUP
Type: CAPTURE

O TCP ACK recebe o veredito PERMITLIST:

firepower# show capture CAPI packet-number 3 trace | i Type|Verdict
Type: CAPTURE
Type: ACCESS-LIST
Type: FLOW-LOOKUP
Type: EXTERNAL-INSPECT
Type: SNORT
Snort id 22, NAP id 2, IPS id 0, Verdict PERMITLIST
Snort Verdict: (fast-forward) fast forward this flow
Type: CAPTURE

Consulte a saída completa do Snort Verdict (#3 de pacotes):

firepower# show capture CAPI packet-number 3 trace | b Type: SNORT
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Trace:
Packet: TCP, ACK, seq 687485179, ack 1029625865
AppID: service unknown (0), application unknown (0)
Firewall: trust/fastpath rule, id 268438858, allow
Snort id 31, NAP id 2, IPS id 0, Verdict PERMITLIST
Snort Verdict: (fast-forward) fast forward this flow

O quarto pacote não é encaminhado para o mecanismo Snort, pois o veredito é armazenado em cache pelo mecanismo LINA:

firepower# show capture CAPI packet-number 4 trace

441 packets captured

   4: 10:34:02.741523       802.1Q vlan#202 P0 192.168.10.50.42158 > 192.168.11.50.80: P 164375589:164375738(149) ack 3008397532 win 229 <nop,nop,timestamp 3789654678 57697031>
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Config:
Additional Information:
Found flow with id 1254, using existing flow

Phase: 4
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Verdict: (fast-forward) fast forward this flow

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
Action: allow


1 packet shown

As estatísticas do Snort confirmam isso:

firepower# show snort statistics

Packet Counters:
  Passed Packets                                                      2
  Blocked Packets                                                     0
  Injected Packets                                                    0
  Packets bypassed (Snort Down)                                       0
  Packets bypassed (Snort Busy)                                       0

Flow Counters:
  Fast-Forwarded Flows                                                1
  Blacklisted Flows                                                   0

Miscellaneous Counters:
  Start-of-Flow events                                                0
  End-of-Flow events                                                  1
  Denied flow events                                                  0
  Frames forwarded to Snort before drop                               0
  Inject packets dropped                                              0

Consulte o fluxo de pacotes com a regra de Confiança. Alguns pacotes são inspecionados pelo mecanismo Snort e os restantes são inspecionados pela LINA:

Visual Representation of the Packet Path

Cenário 2. Ação Confiável do ACP (sem SI, QoS e Política de Identidade)

Se você quiser que o FTD aplique verificações de Inteligência de Segurança (SI) a todos os fluxos, o SI já estará ativado no nível do ACP e você poderá especificar as origens de SI (TALOS, feeds, listas). Por outro lado, se desejar desabilitá-lo, você poderá desabilitar globalmente o SI para Redes por ACP, o SI para URL e o SI para DNS. O SI para redes e o URL estão desabilitados:

The SI for Networks and URL is Disabled

Nesse caso, a regra de confiança é implantada no LINA como confiança:

> show access-list
...
access-list CSM_FW_ACL_ line 9 remark rule-id 268435461: L4 RULE: Rule1
access-list CSM_FW_ACL_ line 10 advanced trust ip host 192.168.1.40 host 192.168.2.40 rule-id 268435461 event-log flow-end (hitcnt=0) 0x5c1346d6

Note: A partir do 6.2.2, o FTD suporta o TID. O TID funciona como o SI, mas se o SI estiver desativado, ele não "força" os pacotes a serem redirecionados para o mecanismo Snort para inspeção do TID.

Verifique o comportamento

Inicie uma sessão HTTP do host-A (192.168.1.40) para o host-B (192.168.2.40). Como este é um FP4100 e oferece suporte a descarregamento de fluxo em hardware, lembre-se destas ocorrências: 

  • Alguns pacotes são encaminhados pelo mecanismo LINA do FTD e o fluxo restante é descarregado no SmartNIC (acelerador HW).
  • Nenhum pacote é encaminhado para o mecanismo Snort.

A tabela de conexão LINA do FTD mostra o sinalizador"o",, o que significa que o fluxo foi descarregado no HW. Além disso, observe a ausência do sinalizador "N". Isso significa 'sem redirecionamento de Snort':

firepower# show conn
1 in use, 15 most used

TCP OUTSIDE  192.168.2.40:80 INSIDE  192.168.1.40:32809, idle 0:00:00, bytes 949584, flags UIOo

As estatísticas de Snort só mostram eventos de registro no início e no fim da sessão:

firepower# show snort statistics

Packet Counters:
  Passed Packets                                            0
  Blocked Packets                                           0
  Injected Packets                                          0
  Packets bypassed (Snort Down)                             0
  Packets bypassed (Snort Busy)                             0

Flow Counters:
  Fast-Forwarded Flows                                      0
  Blacklisted Flows                                         0

Miscellaneous Counters:
  Start-of-Flow events                                      1
  End-of-Flow events                                        1

Os registros LINA de FTD mostram que, para cada sessão, havia dois fluxos (um para cada direção) descarregados no HW:

Sep 27 2017 20:16:05: %ASA-7-609001: Built local-host INSIDE:192.168.1.40
Sep 27 2017 20:16:05: %ASA-6-302013: Built inbound TCP connection 25384 for INSIDE:192.168.1.40/32809 (192.168.1.40/32809) to OUTSIDE:192.168.2.40/80 (192.168.2.40/80)
Sep 27 2017 20:16:05: %ASA-6-805001: Offloaded TCP Flow for connection 25384 from INSIDE:192.168.1.40/32809 (192.168.1.40/32809) to OUTSIDE:192.168.2.40/80 (192.168.2.40/80)
Sep 27 2017 20:16:05: %ASA-6-805001: Offloaded TCP Flow for connection 25384 from OUTSIDE:192.168.2.40/80 (192.168.2.40/80) to INSIDE:192.168.1.40/32809 (192.168.1.40/32809)
Sep 27 2017 20:16:05: %ASA-6-805002: TCP Flow is no longer offloaded for connection 25384 from OUTSIDE:192.168.2.40/80 (192.168.2.40/80) to INSIDE:192.168.1.40/32809 (192.168.1.40/32809)
Sep 27 2017 20:16:05: %ASA-6-805002: TCP Flow is no longer offloaded for connection 25384 from INSIDE:192.168.1.40/32809 (192.168.1.40/32809) to OUTSIDE:192.168.2.40/80 (192.168.2.40/80)
Sep 27 2017 20:16:05: %ASA-6-302014: Teardown TCP connection 25384 for INSIDE:192.168.1.40/32809 to OUTSIDE:192.168.2.40/80 duration 0:00:00 bytes 1055048 TCP FINs
Sep 27 2017 20:16:05: %ASA-7-609002: Teardown local-host INSIDE:192.168.1.40 duration 0:00:00

Fluxo de pacotes com a regra Trust implantada como a ação trust no LINA. Alguns pacotes são inspecionados pelo LINA e o restante é transferido para o SmartNIC (FP4100/FP9300):

Packet Flow with Trust Rule

Casos de uso 

  • Você deve usar a ação Trust quando quiser apenas alguns pacotes verificados pelo mecanismo Snort (por exemplo, Detecção de aplicativos, verificação de SI) e o fluxo restante é descarregado no mecanismo LINA.
  • Se você usar o FTD em FP4100/9300 e quiser que o fluxo ignore completamente a inspeção Snort. considere a regra Prefilter com a ação Fastpath (consulte a seção relacionada neste documento).

Ação de bloqueio da política de pré-filtro

Considere a topologia:

Topology 2

Consulte a Política de Pré-Filtro de FTD:

Policy

A política implantada no mecanismo Snort do FTD (arquivo ngfw.rules):

# Start of tunnel and priority rules.
# These rules are evaluated by LINA. Only tunnel tags are used from the matched rule id.
268437506 deny any 192.168.1.40 32 any any 192.168.2.40 32 any any any  (tunnel -1

No LINA:

access-list CSM_FW_ACL_ line 1 remark rule-id 268437506: PREFILTER POLICY: FTD_Prefilter
access-list CSM_FW_ACL_ line 2 remark rule-id 268437506: RULE: Prefilter1
access-list CSM_FW_ACL_ line 3 advanced deny ip host 192.168.1.40 host 192.168.2.40 rule-id 268437506 event-log flow-start (hitcnt=0) 0x76476240

Quando você rastreia um pacote virtual, ele mostra que o pacote foi descartado por LINA e nunca encaminhado para o Snort:

firepower# packet-tracer input INSIDE icmp 192.168.1.40 8 0 192.168.2.40
…
Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: DROP
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip host 192.168.1.40 host 192.168.2.40 rule-id 268437506 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268437506: PREFILTER POLICY: FTD_Prefilter
access-list CSM_FW_ACL_ remark rule-id 268437506: RULE: Prefilter1
Additional Information:

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
output-interface: OUTSIDE
output-status: up
output-line-status: up
Action: drop
Drop-reason: (acl-drop) Flow is denied by configured rule


As estatísticas do Snort mostram:

firepower# show snort statistics

Packet Counters:
  Passed Packets                                            0
  Blocked Packets                                           0
  Injected Packets                                          0
  Packets bypassed (Snort Down)                             0
  Packets bypassed (Snort Busy)                             0

Flow Counters:
  Fast-Forwarded Flows                                      0
  Blacklisted Flows                                         0

Miscellaneous Counters:
  Start-of-Flow events                                      0
  End-of-Flow events                                        0
  Denied flow events                                        1

Os descartes da ASP do LINA mostram:

firepower# show asp drop

Frame drop:
  Flow is denied by configured rule (acl-drop)                1

Casos de uso 

Você pode usar uma regra de Bloqueio de pré-filtro quando quiser bloquear o tráfego com base nas condições L3/L4 e sem inspeções Snort adicionais do tráfego.

Ação de fastpath da política de pré-filtro

Considere a regra da Política de Pré-filtro:

Prefilter Policy

A política implantada no mecanismo Snort do FTD:

268437506 fastpath any any any any any any any any (log dcforward flowend) (tunnel -1)

No LINA do FTD:

access-list CSM_FW_ACL_ line 1 remark rule-id 268437506: PREFILTER POLICY: FTD_Prefilter
access-list CSM_FW_ACL_ line 2 remark rule-id 268437506: RULE: Prefilter1
access-list CSM_FW_ACL_ line 3 advanced trust tcp host 192.168.1.40 host 192.168.2.40 eq www rule-id 268437506 event-log flow-end (hitcnt=0) 0xf3410b6f


Verifique o comportamento

Quando o host A (192.168.1.40) tenta abrir uma sessão HTTP para o host B (192.168.2.40), alguns pacotes passam por LINA e os restantes são descarregados para SmartNIC. Nesse caso, o rastreamento de suporte do sistema com firewall-engine-debug habilitado mostra:

> system support trace

Please specify an IP protocol: tcp
Please specify a client IP address: 192.168.1.40
Please specify a client port:
Please specify a server IP address: 192.168.2.40
Please specify a server port:
Enable firewall-engine-debug too? [n]: y
Monitoring packet tracer debug messages

192.168.1.40-32840 > 192.168.2.40-80 6 AS 1 I 8 Got end of flow event from hardware with flags 04000000

Caution: Você deve usar os comandos de suporte do sistema sob a direção do suporte da Cisco, com exceção dos comandos documentados no guia de comandos ssl-client-hello de suporte do sistema, que são para uso geral.

Além disso, sempre use os filtros apropriados e não deixe o comando em execução indefinidamente, pois isso pode afetar o desempenho do dispositivo.


Os registros LINA mostram o fluxo descarregado:

Oct 01 2017 14:36:51: %ASA-7-609001: Built local-host INSIDE:192.168.1.40
Oct 01 2017 14:36:51: %ASA-7-609001: Built local-host OUTSIDE:192.168.2.40
Oct 01 2017 14:36:51: %ASA-6-302013: Built inbound TCP connection 966 for INSIDE:192.168.1.40/32840 (192.168.1.40/32840) to OUTSIDE:192.168.2.40/80 (192.168.2.40/80)
Oct 01 2017 14:36:51: %ASA-6-805001: Offloaded TCP Flow for connection 966 from INSIDE:192.168.1.40/32840 (192.168.1.40/32840) to OUTSIDE:192.168.2.40/80 (192.168.2.40/80)
Oct 01 2017 14:36:51: %ASA-6-805001: Offloaded TCP Flow for connection 966 from OUTSIDE:192.168.2.40/80 (192.168.2.40/80) to INSIDE:192.168.1.40/32840 (192.168.1.40/32840)


As capturas LINA mostram oito pacotes sendo processados através de:

firepower# show capture
capture CAPI type raw-data buffer 33554432 trace trace-count 100 interface INSIDE [Capturing - 3908 bytes]
  match ip host 192.168.1.40 host 192.168.2.40
capture CAPO type raw-data buffer 33554432 trace trace-count 100 interface OUTSIDE [Capturing - 3908 bytes]
  match ip host 192.168.1.40 host 192.168.2.40

firepower# show capture CAPI

8 packets captured

   1: 14:45:32.700021  192.168.1.40.32842 > 192.168.2.40.80: S 3195173118:3195173118(0) win 2920 <mss 1460,sackOK,timestamp 332569060 0>
   2: 14:45:32.700372  192.168.2.40.80 > 192.168.1.40.32842: S 184794124:184794124(0) ack 3195173119 win 2896 <mss 1380,sackOK,timestamp 332567732 332569060>
   3: 14:45:32.700540  192.168.1.40.32842 > 192.168.2.40.80: P 3195173119:3195173317(198) ack 184794125 win 2920 <nop,nop,timestamp 332569060 332567732>
   4: 14:45:32.700876  192.168.2.40.80 > 192.168.1.40.32842: . 184794125:184795493(1368) ack 3195173317 win 2698 <nop,nop,timestamp 332567733 332569060>
   5: 14:45:32.700922  192.168.2.40.80 > 192.168.1.40.32842: P 184795493:184796861(1368) ack 3195173317 win 2698 <nop,nop,timestamp 332567733 332569060>
   6: 14:45:32.701425  192.168.2.40.80 > 192.168.1.40.32842: FP 184810541:184810851(310) ack 3195173317 win 2698 <nop,nop,timestamp 332567733 332569061>
   7: 14:45:32.701532  192.168.1.40.32842 > 192.168.2.40.80: F 3195173317:3195173317(0) ack 184810852 win 2736 <nop,nop,timestamp 332569061 332567733>
   8: 14:45:32.701639  192.168.2.40.80 > 192.168.1.40.32842: . ack 3195173318 win 2697 <nop,nop,timestamp 332567734 332569061>


As estatísticas de flow-offload do FTD mostram 22 pacotes transferidos para o HW:

firepower# show flow-offload statistics
 Packet stats of port : 0
        Tx Packet count                  :               22
        Rx Packet count                  :               22
        Dropped Packet count             :                0
        VNIC transmitted packet          :               22
        VNIC transmitted bytes           :            15308
        VNIC Dropped packets             :                0
        VNIC erroneous received          :                0
        VNIC CRC errors                  :                0
        VNIC transmit failed             :                0
        VNIC multicast received          :                0

Você pode usar o comando show flow-offload flow para exibir informações adicionais relacionadas aos fluxos descarregados.

firepower# show flow-offload flow
Total offloaded flow stats: 2 in use, 4 most used, 20% offloaded, 0 collisions
TCP intfc 103 src 192.168.1.40:39301 dest 192.168.2.40:20, static, timestamp 616063741, packets 33240, bytes 2326800
TCP intfc 104 src 192.168.2.40:20 dest 192.168.1.40:39301, static, timestamp 616063760, packets 249140, bytes 358263320
firepower# show conn
5 in use, 5 most used
Inspect Snort:
        preserve-connection: 1 enabled, 0 in effect, 4 most enabled, 0 most in effect

TCP OUTSIDE  192.168.2.40:21 INSIDE  192.168.1.40:40988, idle 0:00:00, bytes 723, flags UIO
TCP OUTSIDE  192.168.2.40:21 INSIDE  192.168.1.40:40980, idle 0:02:40, bytes 1086, flags UIO
TCP OUTSIDE  192.168.2.40:80 INSIDE  192.168.1.40:49442, idle 0:00:00, bytes 86348310, flags UIO N1
TCP OUTSIDE  192.168.2.40:20 INSIDE  192.168.1.40:39301, idle 0:00:00, bytes 485268628, flags Uo <- offloaded flow
TCP OUTSIDE  192.168.2.40:20 INSIDE  192.168.1.40:34713, idle 0:02:40, bytes 821799360, flags UFRIO
  • A porcentagem é baseada na saída "show conn". Por exemplo, se 5 conexões no processo total pelo mecanismo LINA do FTD e uma delas for descarregada, 20% será relatado como descarregado.
  • O limite máximo de sessões descarregadas depende da versão do software (por exemplo, o ASA 9.8.3 e o FTD 6.2.3 suportam 4 milhões de fluxos descarregados bidirecionais ou 8 milhões de fluxos descarregados unidirecionais).
  • Se o número de fluxos descarregados atingir o limite (por exemplo, 4 milhões de fluxos bidirecionais), nenhuma nova conexão será descarregada até que as conexões atuais sejam removidas da tabela descarregada.


Para visualizar todos os pacotes no FP4100/9300 que são processados por FTD (descarregado + LINA), você deve habilitar a captura no nível do chassi:

Enable Capture at Chassis Level

A captura do painel traseiro do chassi mostra as duas direções. Devido à arquitetura de captura FXOS (dois pontos de captura por direção), cada pacote é mostrado duas vezes:

Estatísticas do pacote:

  • Total de pacotes que passam pelo FTD: 30
  • Pacotes que passam pelo LINA do FTD: 8
  • Pacotes transferidos para o acelerador de HW do SmartNIC: 22

Se a plataforma for diferente de FP4100/FP9300 e todos os pacotes forem processados pelo mecanismo LINA, já que o descarregamento de fluxo não é suportado (observe a ausência do sinalizador o):

FP2100-6# show conn addr 192.168.1.40
33 in use, 123 most used
Inspect Snort:
        preserve-connection: 0 enabled, 0 in effect, 2 most enabled, 0 most in effect

TCP OUTSIDE  192.168.2.40:80 INSIDE  192.168.1.40:50890, idle 0:00:09, bytes 175, flags UxIO

Os syslogs LINA mostram apenas os eventos de configuração e encerramento da conexão:

FP2100-6# show log | i 192.168.2.40
Jun 21 2020 14:29:44: %FTD-6-302013: Built inbound TCP connection 6914 for INSIDE:192.168.1.40/50900 (192.168.11.101/50900) to OUTSIDE:192.168.2.40/80 (192.168.2.40/80)
Jun 21 2020 14:30:30: %FTD-6-302014: Teardown TCP connection 6914 for INSIDE:192.168.1.40/50900 to OUTSIDE:192.168.2.40/80 duration 0:00:46 bytes 565 TCP FINs from OUTSIDE

Casos de uso  

  • Use a ação Prefilter Fastpath quando quiser ignorar completamente a inspeção Snort. Você normalmente deseja fazer isso para grandes fluxos de gordura em que confia, como backups ou transferências de bancos de dados.
  • Em dispositivos FP4100/9300, a ação Fastpath aciona descarregamentos de fluxo e apenas alguns pacotes são processados pelo mecanismo LINA do FTD. O restante é tratado pelo SmartNIC, o que diminui a latência

Ação de fastpath da política de pré-filtro (conjunto em linha)

Se uma ação Prefilter Policy Fastpath for aplicada ao tráfego que passa por um conjunto em linha (interfaces NGIPS), estes pontos devem ser levados em consideração:

  • A regra é aplicada ao mecanismo LINA como uma ação de confiança.
  • O fluxo não é inspecionado pelo mecanismo Snort.
  • O descarregamento de fluxo (aceleração de HW) não ocorre, pois o descarregamento de fluxo não é aplicável às interfaces NGIPS.

Consulte o rastreamento de pacotes no caso da ação Prefilter Fastpath que foi aplicada a um conjunto em linha:

firepower# packet-tracer input inside tcp 192.168.1.40 12345 192.168.1.50 80 detailed

Phase: 1
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services will be applied
Forward Flow based lookup yields rule:
in id=0x2ad7ac48b330, priority=501, domain=ips-mode, deny=false
hits=2, user_data=0x2ad80d54abd0, cs_id=0x0, flags=0x0, protocol=0
src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0
input_ifc=inside, output_ifc=any

Phase: 2
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced trust ip object 192.168.1.0 object 192.168.1.0 rule-id 268438531 event-log flow-end
access-list CSM_FW_ACL_ remark rule-id 268438531: PREFILTER POLICY: PF1
access-list CSM_FW_ACL_ remark rule-id 268438531: RULE: 1
Additional Information:
Forward Flow based lookup yields rule:
in id=0x2ad9f9f8a7f0, priority=12, domain=permit, trust
hits=1, user_data=0x2ad9b23c5d40, cs_id=0x0, use_real_addr, flags=0x0, protocol=0
src ip/id=192.168.1.0, mask=255.255.255.0, port=0, tag=any, ifc=any
dst ip/id=192.168.1.0, mask=255.255.255.0, port=0, tag=any, ifc=any, vlan=0, dscp=0x0
input_ifc=any, output_ifc=any

Phase: 3
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
Ingress interface inside is in NGIPS inline mode.
Egress interface outside is determined by inline-set configuration

Phase: 4
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 7, packet dispatched to next module
Module information for forward flow ...
snp_fp_ips_tcp_state_track_lite
snp_fp_ips_mode_adj
snp_fp_tracer_drop
snp_ifc_stat

Module information for reverse flow ...
snp_fp_ips_tcp_state_track_lite
snp_fp_ips_mode_adj
snp_fp_tracer_drop
snp_ifc_stat

Result:
input-interface: inside
input-status: up
input-line-status: up
Action: allow

Imagem da representação visual do caminho do pacote:

Visual Representation of the Packet Path

Ação de fastpath da política de pré-filtro (conjunto em linha com toque)

Esse é o mesmo caso do Inline-Set.

Ação de análise da política de pré-filtro

Cenário 1. Análise de Pré-Filtro com Regra de Bloqueio do ACP

Revise a Política de Pré-filtro que contém a regra Analisar:

Prefilter Policy that Contains an Analyze Rule

O ACP contém somente a regra padrão definida como Bloquear Todo o Tráfego:

The ACP Contains only the Default Rule Set to Block All Traffic

A política implantada no mecanismo Snort do FTD (arquivo ngfw.rules):

# Start of tunnel and priority rules.
# These rules are evaluated by LINA. Only tunnel tags are used from the matched rule id.
268435460 allow any 192.168.1.40 32 any any 192.168.2.40 32 any any any  (tunnel -1)
268435459 allow any any  1025-65535 any any  3544 any 17  (tunnel -1)
268435459 allow any any  3544 any any  1025-65535 any 17  (tunnel -1)
268435459 allow any any  any any any  any any 47  (tunnel -1)
268435459 allow any any  any any any  any any 41  (tunnel -1)
268435459 allow any any  any any any  any any 4  (tunnel -1)
# End of tunnel and priority rules.
# Start of AC rule.
268435458 deny any any  any any any  any any any  (log dcforward flowstart)
# End of AC rule.

A política implantada no mecanismo LINA do FTD:

access-list CSM_FW_ACL_ line 3 advanced permit ip host 192.168.1.40 host 192.168.2.40 rule-id 268435460 (hitcnt=0) 0xb788b786

Verifique o comportamento

O packet-tracer exibe que o pacote é permitido por LINA, ele é encaminhado para o mecanismo Snort (devido à ação permit) e o mecanismo Snort retorna um veredito de bloco quando a ação padrão do AC é correspondida.

Note: O Snort não avalia o tráfego com base nas regras de túnel.

Quando você rastreia um pacote, ele revela o mesmo resultado:

firepower# packet-tracer input INSIDE icmp 192.168.1.40 8 0 192.168.2.40
...
Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.1.40 host 192.168.2.40 rule-id 268435460
access-list CSM_FW_ACL_ remark rule-id 268435460: PREFILTER POLICY: Prefilter_Policy1
access-list CSM_FW_ACL_ remark rule-id 268435460: RULE: Prefilter_Rule1
Additional Information:
 This packet will be sent to snort for additional processing where a verdict will be reached

…
Phase: 14
Type: SNORT
Subtype:
Result: DROP
Config:
Additional Information:
Snort Trace:
Packet: ICMP
AppID: service ICMP (3501), application unknown (0)
Firewall: starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, sgt 65535, user 9999997, icmpType 8, icmpCode 0
Firewall: block rule, id 268435458, drop
Snort: processed decoder alerts or actions queue, drop
NAP id 1, IPS id 0, Verdict BLOCKLIST, Blocked by Firewall
Snort Verdict: (block-list) block list this flow

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
output-interface: OUTSIDE
output-status: up
output-line-status: up
Action: drop
Drop-reason: (firewall) Blocked by the firewall preprocessor

Cenário 2. Análise de Pré-Filtro com Regra de Permissão de ACP

Se o objetivo for permitir que o pacote passe pelo FTD, você deverá adicionar uma regra no ACP. A Ação pode ser Permitir ou Confiar, que depende do objetivo (por exemplo, se você quiser aplicar uma inspeção L7, deverá usar a ação Permitir):

Add a Rule in ACP

A política implantada no mecanismo Snort do FTD:

# Start of AC rule.
268435461 allow any 192.168.1.40 32 any any 192.168.2.40 32 any any any
268435458 deny any any  any any any  any any any  (log dcforward flowstart)
# End of AC rule.

No mecanismo LINA:

access-list CSM_FW_ACL_ line 3 advanced permit ip host 192.168.1.40 host 192.168.2.40 rule-id 268435460 (hitcnt=1) 0xb788b786

Verifique o comportamento

O packet-tracer mostra a regra de correspondência de pacotes 268435460 em LINA e 268435461 no mecanismo Snort:

firepower# packet-tracer input INSIDE icmp 192.168.1.40 8 0 192.168.2.40
...
Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.1.40 host 192.168.2.40 rule-id 268435460
access-list CSM_FW_ACL_ remark rule-id 268435460: PREFILTER POLICY: Prefilter_Policy1
access-list CSM_FW_ACL_ remark rule-id 268435460: RULE: Prefilter_Rule1
Additional Information:
 This packet will be sent to snort for additional processing where a verdict will be reached
…
Phase: 14
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Trace:
Packet: ICMP
AppID: service ICMP (3501), application unknown (0)
Firewall: starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, sgt 65535, user 9999997, icmpType 8, icmpCode 0
Firewall: allow rule, id 268435461, allow
NAP id 1, IPS id 0, Verdict PASS
Snort Verdict: (pass-packet) allow this packet
…
Result:
input-interface: INSIDE
input-status: up
input-line-status: up
output-interface: OUTSIDE
output-status: up
output-line-status: up
Action: allow

Cenário 3. Análise de Pré-Filtro com Regra de Confiança do ACP

Consulte a imagem da Política de Pré-Filtro se o ACP contiver uma regra de Confiança: 

ACP Contains a Trust Rule

Snort:

# Start of AC rule.
268435461 fastpath any 192.168.1.40 32 any any 192.168.2.40 32 any any any
268435458 deny any any  any any any  any any any  (log dcforward flowstart)
# End of AC rule.

LINA:

access-list CSM_FW_ACL_ line 3 advanced permit ip host 192.168.1.40 host 192.168.2.40 rule-id 268435460 (hitcnt=2) 0xb788b786

Lembre-se de que, como o SI está habilitado por padrão, a regra Trust é implantada como uma ação permit no LINA; assim, alguns pacotes são redirecionados para o mecanismo Snort para inspeção.

Verifique o comportamento

O packet-tracer mostra que o mecanismo Snort Permit lista o pacote e descarrega o fluxo restante para LINA:

firepower# packet-tracer input INSIDE icmp 192.168.1.40 8 0 192.168.2.40
...
Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.1.40 host 192.168.2.40 rule-id 268435460
access-list CSM_FW_ACL_ remark rule-id 268435460: PREFILTER POLICY: Prefilter_Policy1
access-list CSM_FW_ACL_ remark rule-id 268435460: RULE: Prefilter_Rule1
Additional Information:
 This packet will be sent to snort for additional processing where a verdict will be reached
…
Phase: 14
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Trace:
Packet: ICMP
AppID: service ICMP (3501), application unknown (0)
Firewall: starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, sgt 65535, user 9999997, icmpType 8, icmpCode 0
Firewall: trust/fastpath rule, id 268435461, allow
NAP id 1, IPS id 0, Verdict PERMITLIST
Snort Verdict: (fast-forward) fast forward this flow
…
Result:
input-interface: INSIDE
input-status: up
input-line-status: up
output-interface: OUTSIDE
output-status: up
output-line-status: up
Action: allow

Cenário 4. Análise de Pré-Filtro com Regra de Confiança do ACP

Nesse cenário, a SI foi desativada manualmente.

A regra é implantada no Snort:

# Start of AC rule.
268435461 fastpath any 192.168.1.40 32 any any 192.168.2.40 32 any any any
268435458 deny any any  any any any  any any any  (log dcforward flowstart)
# End of AC rule.

No LINA, a regra é implantada como Confiança. Um pacote corresponde à regra de permissão (verifique as contagens de ocorrências de ACE) que é implantada devido à regra Analisar pré-filtro e o pacote é inspecionado pelo mecanismo Snort:

access-list CSM_FW_ACL_ line 3 advanced permit ip host 192.168.1.40 host 192.168.2.40 rule-id 268435460 (hitcnt=3) 0xb788b786
...
access-list CSM_FW_ACL_ line 13 advanced trust ip host 192.168.1.40 host 192.168.2.40 rule-id 268435461 event-log flow-end (hitcnt=0) 0x5c1346d6
...
access-list CSM_FW_ACL_ line 16 advanced deny ip any any rule-id 268435458 event-log flow-start (hitcnt=0) 0x97aa021a

Verifique o comportamento

firepower# packet-tracer input INSIDE icmp 192.168.1.40 8 0 192.168.2.40
...
Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.1.40 host 192.168.2.40 rule-id 268435460
access-list CSM_FW_ACL_ remark rule-id 268435460: PREFILTER POLICY: Prefilter_Policy1
access-list CSM_FW_ACL_ remark rule-id 268435460: RULE: Prefilter_Rule1
Additional Information:
 This packet will be sent to snort for additional processing where a verdict will be reached
...
Phase: 14
Type: SNORT
Subtype:
Result: ALLOW
Config:
Additional Information:
Snort Trace:
Packet: ICMP
AppID: service ICMP (3501), application unknown (0)
Firewall: starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, sgt 65535, user 9999997, icmpType 8, icmpCode 0
Firewall: trust/fastpath rule, id 268435461, allow
NAP id 1, IPS id 0, Verdict PERMITLIST
Snort Verdict: (fast-forward) fast forward this flow
…
Result:
input-interface: INSIDE
input-status: up
input-line-status: up
output-interface: OUTSIDE
output-status: up
output-line-status: up
Action: allow


Pontos principais

  • A ação Analisar é implantada como uma regra de permissão no mecanismo LINA. Isso afeta o pacote a ser encaminhado ao mecanismo Snort para inspeção.
  • A Ação Analisar não implanta nenhuma regra no mecanismo Snort. Você deve garantir a configuração de uma regra no ACP que corresponda ao Snort.
  • Dependendo da regra de ACP implantada no Snort (block vs allow vs fastpath), nenhum, todos ou alguns pacotes são permitidos pelo Snort.

Casos de uso 

  • Um caso de uso de Analisar Ação é quando você tem uma regra Fastpath ampla na política de Pré-filtro e deseja colocar algumas exceções para fluxos específicos para que eles sejam inspecionados pelo Snort.

Ação de monitoramento da ACP

Uma regra de monitoramento configurada na interface do usuário do FMC:

A Monitor Rule Configured on FMC UI

A regra de monitoramento é implantada no mecanismo LINA do FTD como uma ação de permissão e no mecanismo Snort como uma ação de auditoria:

firepower# show access-list
…
access-list CSM_FW_ACL_ line 10 advanced permit ip 192.168.10.0 255.255.255.0 192.168.11.0 255.255.255.0 rule-id 268438863 (hitcnt=0) 0x61bbaf0c

A regra do Snort:

admin@firepower:~$ cat /var/sf/detection_engines/9e080e5c-adc3-11ea-9d37-44884cf7e9ba/ngfw.rules
…
# Start of AC rule.
268438863 audit any 192.168.10.0 24 any any 192.168.11.0 24 any any any (log dcforward flowend)
# End rule 268438863

Pontos principais

  • A Regra de monitor não descarta nem permite o tráfego, no entanto, ela gera um Evento de conexão. O pacote é verificado em relação às regras subsequentes e é permitido ou descartado.
  • Os eventos de conexão do FMC mostram que o pacote correspondeu a duas regras:

FMC Connection Events

A saída do rastreamento de suporte do sistema mostra que os pacotes correspondem às duas regras:

> system support trace

Enable firewall-engine-debug too? [n]: y
Please specify an IP protocol: tcp
Please specify a client IP address: 192.168.10.50
Please specify a client port:
Please specify a server IP address: 192.168.11.50
Please specify a server port:
Monitoring packet tracer and firewall debug messages


192.168.10.50-41922 - 192.168.11.50-80 6 AS 1-1 CID 0 Packet: TCP, SYN, seq 419031630
192.168.10.50-41922 - 192.168.11.50-80 6 AS 1-1 CID 0 Session: new snort session
192.168.10.50-41922 - 192.168.11.50-80 6 AS 1-1 CID 0 AppID: service unknown (0), application unknown (0)
192.168.10.50-41922 > 192.168.11.50-80 6 AS 1-1 I 19 new firewall session
192.168.10.50-41922 > 192.168.11.50-80 6 AS 1-1 I 19 Starting AC with minimum 2, 'Monitor_Rule', and IPProto first with zone           s -1 -> -1, geo 0 -> 0, vlan 0, source sgt type: 0, source sgt tag: 0, ISE sgt id: 0, dest sgt type: 0, ISE dest sgt tag: 0,            svc 0, payload 0, client 0, misc 0, user 9999997, icmpType 0, icmpCode 0
192.168.10.50-41922 > 192.168.11.50-80 6 AS 1-1 I 19 match rule order 2, 'Monitor_Rule', action Audit
192.168.10.50-41922 > 192.168.11.50-80 6 AS 1-1 I 19 match rule order 3, 'trust_L3-L4', action Trust
192.168.10.50-41922 > 192.168.11.50-80 6 AS 1-1 I 19 MidRecovery data sent for rule id: 268438858,rule_action:3, rev id:1078           02206, rule_match flag:0x2

Caution: Você deve usar os comandos de suporte do sistema sob a direção do suporte da Cisco, com exceção dos comandos documentados no guia de comandos ssl-client-hello de suporte do sistema, que são para uso geral.

Além disso, sempre use os filtros apropriados e não deixe o comando em execução indefinidamente, pois isso pode afetar o desempenho do dispositivo.

Casos de uso 

Usado para monitorar a atividade de rede e gerar um evento de conexão.

Ação de bloqueio interativo da ACP

Uma regra de bloqueio interativo configurada na interface do usuário do FMC:

An Interactive Block Rule Configured on FMC UI

A regra Bloco Interativo é implantada no mecanismo LINA do FTD como uma ação de permissão e no mecanismo Snort como uma regra de desvio:

firepower# show access-list
…
access-list CSM_FW_ACL_ line 9 remark rule-id 268438864: L7 RULE: Inter-Block-Rule1
access-list CSM_FW_ACL_ line 10 advanced permit tcp 192.168.10.0 255.255.255.0 host 192.168.11.50 eq www rule-id 268438864 (hitcnt=3) 0xba785fc0
access-list CSM_FW_ACL_ line 11 remark rule-id 268438865: ACCESS POLICY: ACP1 - Mandatory
access-list CSM_FW_ACL_ line 12 remark rule-id 268438865: L7 RULE: Inter-Block_Rule2
access-list CSM_FW_ACL_ line 13 advanced permit ip 192.168.10.0 255.255.255.0 host 192.168.11.51 rule-id 268438865 (hitcnt=0) 0x622350d0

Mecanismo Snort:

admin@firepower:~$ cat /var/sf/detection_engines/9e080e5c-adc3-11ea-9d37-44884cf7e9ba/ngfw.rules
…
# Start of AC rule.
268438864 bypass any 192.168.10.0 24 any any 192.168.11.50 32 80 any 6
# End rule 268438864
268438865 bypass any 192.168.10.0 24 any any 192.168.11.51 32 any any any (appid 676:1) (ip_protos 6, 17)
# End rule 268438865

A regra de bloqueio interativo informa ao usuário que o destino é proibido:

Interactive Block Rule Prompts the User that the Destination is Forbidden

Por padrão, o firewall permite que você ignore o bloco por 600 segundos:

The Firewall Allows to Bypass the Block for 600 Seconds

Na saída do rastreamento de suporte do sistema, você pode ver que inicialmente o firewall bloqueia o tráfego e mostra a página de bloqueio:

> system support trace
…
192.168.10.52-58717 - 192.168.11.50-80 6 AS 1-1 CID 0 Packet: TCP, ACK, seq 983273680, ack 2014879580
192.168.10.52-58717 - 192.168.11.50-80 6 AS 1-1 CID 0 AppID: service HTTP (676), application unknown (0)
192.168.10.52-58717 > 192.168.11.50-80 6 AS 1-1 I 22 Starting AC with minimum 2, 'Inter-Block-Rule1', and IPProto first with zones -1 -> -1, geo 0(0) -> 0, vlan 0, source sgt type: 0, sgt tag: 0, ISE sgt id: 0, dest sgt type: 0, ISE dest_sgt_tag: 0, svc 676, payload 0, client 589, misc 0, user 9999997, min url-cat-list 0-0-0, url http://192.168.11.50/, xff
192.168.10.52-58717 > 192.168.11.50-80 6 AS 1-1 I 22 match rule order 2, 'Inter-Block-Rule1', action Interactive
192.168.10.52-58717 > 192.168.11.50-80 6 AS 1-1 I 22 bypass action sending HTTP interactive response of 1093 bytes
192.168.10.52-58717 - 192.168.11.50-80 6 AS 1-1 CID 0 Firewall: interactive block rule, 'Inter-Block-Rule1', drop
192.168.10.52-58717 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort: processed decoder alerts or actions queue, drop
192.168.10.52-58717 > 192.168.11.50-80 6 AS 1-1 I 22 deleting firewall session flags = 0x800, fwFlags = 0x1002
192.168.10.52-58717 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort id 22, NAP id 1, IPS id 0, Verdict BLACKLIST
192.168.10.52-58717 - 192.168.11.50-80 6 AS 1-1 CID 0 ===> Blocked by Firewall
Verdict reason is sent to DAQ

Depois que o usuário seleciona Continue (ou atualiza a página do navegador), a depuração mostra que os pacotes são permitidos pela mesma regra, que simula uma ação Allow:

192.168.10.52-58718 - 192.168.11.50-80 6 AS 1-1 CID 0 Packet: TCP, ACK, seq 1357413630, ack 2607625293
192.168.10.52-58718 - 192.168.11.50-80 6 AS 1-1 CID 0 AppID: service HTTP (676), application unknown (0)
192.168.10.52-58718 > 192.168.11.50-80 6 AS 1-1 I 8 Starting AC with minimum 2, 'Inter-Block-Rule1', and IPProto first with zones -1 -> -1, geo 0(0) -> 0, vlan 0, source sgt type: 0, sgt tag: 0, ISE sgt id: 0, dest sgt type: 0, ISE dest_sgt_tag: 0, svc 676, payload 0, client 589, misc 0, user 9999997, min url-cat-list 0-0-0, url http://192.168.11.50/, xff
192.168.10.52-58718 > 192.168.11.50-80 6 AS 1-1 I 8 match rule order 2, 'Inter-Block-Rule1', action Interactive
192.168.10.52-58718 > 192.168.11.50-80 6 AS 1-1 I 8 bypass action interactive bypass
192.168.10.52-58718 > 192.168.11.50-80 6 AS 1-1 I 8 allow action
192.168.10.52-58718 - 192.168.11.50-80 6 AS 1-1 CID 0 Firewall: allow rule, 'Inter-Block-Rule1', allow
192.168.10.52-58718 - 192.168.11.50-80 6 AS 1-1 CID 0 Firewall: interactive bypass rule, 'Inter-Block-Rule1', allow
192.168.10.52-58718 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort id 8, NAP id 1, IPS id 0, Verdict PASS

Caution: Você deve usar os comandos de suporte do sistema sob a direção do suporte da Cisco, com exceção dos comandos documentados no guia de comandos ssl-client-hello-support do sistema, que é para uso geral.

Além disso, sempre use os filtros apropriados e não deixe o comando em execução indefinidamente, pois isso pode afetar o desempenho do dispositivo.


Casos de uso 

Mostre uma página de aviso aos usuários da Web e forneça a eles a opção de continuar.

Ação de bloqueio interativo da ACP com reinicialização

Uma regra de bloqueio interativo com reinicialização configurada na interface do usuário do FMC:

An Interactive Block with Rest Rule Configured on FMC UI

O Bloco Interativo com uma regra de redefinição é implantado no mecanismo LINA do FTD como uma ação de permissão e no mecanismo Snort como uma regra de redefinição:

firepower# show access-list
…
access-list CSM_FW_ACL_ line 9 remark rule-id 268438864: L7 RULE: Inter-Block-Rule1
access-list CSM_FW_ACL_ line 10 advanced permit tcp 192.168.10.0 255.255.255.0 host 192.168.11.50 eq www rule-id 268438864 (hitcnt=13) 0xba785fc0
access-list CSM_FW_ACL_ line 11 remark rule-id 268438865: ACCESS POLICY: ACP1 - Mandatory
access-list CSM_FW_ACL_ line 12 remark rule-id 268438865: L7 RULE: Inter-Block_Rule2
access-list CSM_FW_ACL_ line 13 advanced permit ip 192.168.10.0 255.255.255.0 host 192.168.11.51 rule-id 268438865 (hitcnt=0) 0x622350d0

Mecanismo Snort:

# Start of AC rule.
268438864 intreset any 192.168.10.0 24 any any 192.168.11.50 32 80 any 6
# End rule 268438864
268438865 intreset any 192.168.10.0 24 any any 192.168.11.51 32 any any any (appid 676:1) (ip_protos 6, 17)
# End rule 268438865

Como no Bloquear com Redefinição, o usuário pode selecionar a opção Continuar:

Select the Continue Option

Na depuração do Snort, a ação mostrada em Reinicialização Interativa.

Caution: Você deve usar os comandos de suporte do sistema sob a direção do suporte da Cisco, com exceção dos comandos documentados no guia de comandos ssl-client-hello-de suporte do sistema, que é para uso geral.

Além disso, sempre use os filtros apropriados e não deixe o comando em execução indefinidamente, pois isso pode afetar o desempenho do dispositivo.

> system support trace

Enable firewall-engine-debug too? [n]: y
Please specify an IP protocol: tcp
Please specify a client IP address: 192.168.10.52
Please specify a client port:
Please specify a server IP address: 192.168.11.50
Please specify a server port:
Monitoring packet tracer and firewall debug messages


192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 Packet: TCP, SYN, seq 3232128039
192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 Session: new snort session
192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 AppID: service unknown (0), application unknown (0)
192.168.10.52-58958 > 192.168.11.50-80 6 AS 1-1 I 24 new firewall session
192.168.10.52-58958 > 192.168.11.50-80 6 AS 1-1 I 24 Starting AC with minimum 2, 'Inter-Block-Rule1', and IPProto first with zones -1 -> -1, geo 0 -> 0, vlan 0, source sgt type: 0, source sgt tag: 0, ISE sgt id: 0, dest sgt type: 0, ISE dest sgt tag: 0, svc 0, payload 0, client 0, misc 0, user 9999997, icmpType 0, icmpCode 0
192.168.10.52-58958 > 192.168.11.50-80 6 AS 1-1 I 24 match rule order 2, 'Inter-Block-Rule1', action Interactive Reset
192.168.10.52-58958 > 192.168.11.50-80 6 AS 1-1 I 24 MidRecovery data sent for rule id: 268438864,rule_action:8, rev id:1099034206, rule_match flag:0x0
192.168.10.52-58958 > 192.168.11.50-80 6 AS 1-1 I 24 HitCount data sent for rule id: 268438864,
192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort id 24, NAP id 1, IPS id 0, Verdict PASS

192.168.11.50-80 - 192.168.10.52-58958 6 AS 1-1 CID 0 Packet: TCP, SYN, ACK, seq 2228213518, ack 3232128040
192.168.11.50-80 - 192.168.10.52-58958 6 AS 1-1 CID 0 AppID: service unknown (0), application unknown (0)
192.168.11.50-80 - 192.168.10.52-58958 6 AS 1-1 CID 0 Snort id 24, NAP id 1, IPS id 0, Verdict PASS

192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 Packet: TCP, ACK, seq 3232128040, ack 2228213519
192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 AppID: service unknown (0), application unknown (0)
192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort id 24, NAP id 1, IPS id 0, Verdict PASS

192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 Packet: TCP, ACK, seq 3232128040, ack 2228213519
192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 AppID: service HTTP (676), application unknown (0)
192.168.10.52-58958 > 192.168.11.50-80 6 AS 1-1 I 24 Starting AC with minimum 2, 'Inter-Block-Rule1', and IPProto first with zones -1 -> -1, geo 0(0) -> 0, vlan 0, source sgt type: 0, sgt tag: 0, ISE sgt id: 0, dest sgt type: 0, ISE dest_sgt_tag: 0, svc 676, payload 0, client 589, misc 0, user 9999997, min url-cat-list 0-0-0, url http://192.168.11.50/, xff
192.168.10.52-58958 > 192.168.11.50-80 6 AS 1-1 I 24 match rule order 2, 'Inter-Block-Rule1', action Interactive Reset
192.168.10.52-58958 > 192.168.11.50-80 6 AS 1-1 I 24 bypass action sending HTTP interactive response of 1093 bytes
192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 Firewall: interactive block rule, 'Inter-Block-Rule1', drop
192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort: processed decoder alerts or actions queue, drop
192.168.10.52-58958 > 192.168.11.50-80 6 AS 1-1 I 24 deleting firewall session flags = 0x800, fwFlags = 0x1002
192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort id 24, NAP id 1, IPS id 0, Verdict BLACKLIST
192.168.10.52-58958 - 192.168.11.50-80 6 AS 1-1 CID 0 ===> Blocked by Firewall
Verdict reason is sent to DAQ

A página de bloqueio é mostrada para o usuário final. Se o usuário selecionar Continuar (ou atualizar a página da Web), a mesma regra será correspondente, o que permitirá que o tráfego passe por:

192.168.10.52-58962 - 192.168.11.50-80 6 AS 1-1 CID 0 Packet: TCP, ACK, seq 1593478294, ack 3135589307
192.168.10.52-58962 - 192.168.11.50-80 6 AS 1-1 CID 0 AppID: service HTTP (676), application unknown (0)
192.168.10.52-58962 > 192.168.11.50-80 6 AS 1-1 I 14 Starting AC with minimum 2, 'Inter-Block-Rule1', and IPProto first with zones -1 -> -1, geo 0(0) -> 0, vlan 0, source sgt type: 0, sgt tag: 0, ISE sgt id: 0, dest sgt type: 0, ISE dest_sgt_tag: 0, svc 676, payload 0, client 589, misc 0, user 9999997, min url-cat-list 0-0-0, url http://192.168.11.50/, xff
192.168.10.52-58962 > 192.168.11.50-80 6 AS 1-1 I 14 match rule order 2, 'Inter-Block-Rule1', action Interactive Reset
192.168.10.52-58962 > 192.168.11.50-80 6 AS 1-1 I 14 bypass action interactive bypass
192.168.10.52-58962 > 192.168.11.50-80 6 AS 1-1 I 14 allow action
192.168.10.52-58962 - 192.168.11.50-80 6 AS 1-1 CID 0 Firewall: allow rule, 'Inter-Block-Rule1', allow
192.168.10.52-58962 - 192.168.11.50-80 6 AS 1-1 CID 0 Firewall: interactive bypass rule, 'Inter-Block-Rule1', allow
192.168.10.52-58962 - 192.168.11.50-80 6 AS 1-1 CID 0 Snort id 14, NAP id 1, IPS id 0, Verdict PASS

192.168.11.50-80 - 192.168.10.52-58962 6 AS 1-1 CID 0 Packet: TCP, ACK, seq 3135589307, ack 1593478786
192.168.11.50-80 - 192.168.10.52-58962 6 AS 1-1 CID 0 AppID: service HTTP (676), application unknown (0)
192.168.11.50-80 - 192.168.10.52-58962 6 AS 1-1 CID 0 Firewall: allow rule, 'Inter-Block-Rule1', allow
192.168.11.50-80 - 192.168.10.52-58962 6 AS 1-1 CID 0 Firewall: interactive bypass rule, 'Inter-Block-Rule1', allow
192.168.11.50-80 - 192.168.10.52-58962 6 AS 1-1 CID 0 Snort id 14, NAP id 1, IPS id 0, Verdict PASS

A regra de bloqueio interativo com reinicialização envia um TCP RST para o tráfego fora da Web:

firepower# show cap CAPI | i 11.50
   2: 22:13:33.112954       802.1Q vlan#202 P0 192.168.10.50.40010 > 192.168.11.50.21: S 3109534920:3109534920(0) win 29200 <mss 1460,sackOK,timestamp 3745225378 0,nop,wscale 7>
   3: 22:13:33.113626       802.1Q vlan#202 P0 192.168.11.50.21 > 192.168.10.50.40010: S 3422362500:3422362500(0) ack 3109534921 win 8192 <mss 1380,nop,wscale 8,sackOK,timestamp 53252448 3745225378>
   4: 22:13:33.113824       802.1Q vlan#202 P0 192.168.10.50.40010 > 192.168.11.50.21: . ack 3422362501 win 229 <nop,nop,timestamp 3745225379 53252448>
   5: 22:13:33.114953       802.1Q vlan#202 P0 192.168.11.50.21 > 192.168.10.50.40010: P 3422362501:3422362543(42) ack 3109534921 win 256 <nop,nop,timestamp 53252448 3745225379>
   6: 22:13:33.114984       802.1Q vlan#202 P0 192.168.11.50.21 > 192.168.10.50.40010: P 3422362543:3422362549(6) ack 3109534921 win 256 <nop,nop,timestamp 53252448 3745225379>
   7: 22:13:33.114984       802.1Q vlan#202 P0 192.168.11.50.21 > 192.168.10.50.40010: P 3422362549:3422362570(21) ack 3109534921 win 256 <nop,nop,timestamp 53252448 3745225379>
   8: 22:13:33.115182       802.1Q vlan#202 P0 192.168.10.50.40010 > 192.168.11.50.21: . ack 3422362543 win 229 <nop,nop,timestamp 3745225381 53252448>
   9: 22:13:33.115411       802.1Q vlan#202 P0 192.168.10.50.40010 > 192.168.11.50.21: . ack 3422362549 win 229 <nop,nop,timestamp 3745225381 53252448>
  10: 22:13:33.115426       802.1Q vlan#202 P0 192.168.10.50.40010 > 192.168.11.50.21: . ack 3422362570 win 229 <nop,nop,timestamp 3745225381 53252448>
  12: 22:13:34.803699       802.1Q vlan#202 P0 192.168.10.50.40010 > 192.168.11.50.21: P 3109534921:3109534931(10) ack 3422362570 win 229 <nop,nop,timestamp 3745227069 53252448>
  13: 22:13:34.804523       802.1Q vlan#202 P0 192.168.11.50.21 > 192.168.10.50.40010: R 3422362570:3422362570(0) ack 3109534931 win 0

Conexões secundárias de FTD e Pinholes

Em versões mais antigas (por exemplo, 6.2.2, 6.2.3), o mecanismo Snort não abre pinholes para conexões secundárias (por exemplo, dados de FTD) ou ao usar a ação Confiar. Em versões recentes, esse comportamento mudou e o mecanismo Snort abre os buracos mesmo com a ação Trust.

Diretrizes e regras do FTD

  • Use as regras do Prefilter Policy Fastpath para grandes fluxos de gordura e para diminuir a latência através da caixa.
  • Use as regras de bloqueio de pré-filtro para o tráfego que deve ser bloqueado de acordo com as condições L3/L4.
  • Use as regras de Confiança do ACP para ignorar muitas verificações do Snort, mas ainda aproveite recursos como Política de Identidade, QoS, SI, Detecção de Aplicativo, Filtro(s) de URL.
  • Coloque as regras que afetam menos desempenho de firewall no topo da Política de controle de acesso com o uso destas diretrizes:
    • Regras de bloqueio (Camadas 1 a 4) - Bloco pré-filtro
    • Permitir Regras (Camadas 1-4) - Fastpath de Pré-Filtro
    • Regras de bloqueio ACP (Camadas 1-4)
    • Regras de confiança (camadas 1 a 4)
    • Regras de bloqueio (Camadas 5 a 7 - Detecção de aplicativos, filtragem de URL)
    • Permitir regras (camadas de 1 a 7 - Detecção de aplicativos, filtragem de URL, política de intrusão/política de arquivos)
    • Regra de bloqueio (regra padrão)
  • Evitar o registro excessivo (log no início ou no final; e evitar ambos ao mesmo tempo)
  • Não se esqueça da expansão da regra para verificar o número de regras no LINA
firepower# show access-list | include elements
access-list CSM_FW_ACL_; 7 elements; name hash: 0x4a69e3f3

   

Summary

Ações de pré-filtro

Prefilter Actions


Ações da ACP

ACP Actions

Note: Com o código de software 6.3 FTD, o descarregamento dinâmico de fluxo pode descarregar conexões que atendam a critérios adicionais; por exemplo, pacotes confiáveis que exigem inspeção Snort. Verifique a seção Descarga de conexões grandes (fluxos) do Guia de configuração do Firepower Management Center para obter mais detalhes.

Informações Relacionadas

Histórico de revisões

Revisão Data de publicação Comentários
5.0
05-Jun-2026
Texto alternativo atualizado, ortografia, gramática, estrutura de frases, espaçamento.
4.0
24-Mar-2025
Adicionada uma observação de cuidado sobre o uso de 'rastreamento de suporte do sistema'
3.0
16-Aug-2024
Formatação atualizada, requisitos de estilo e gramática.
2.0
29-Sep-2022
Atualizado para tradução automática, requisitos de estilo, gerunds, SEO, linguagem tendenciosa e gramática.
1.0
19-Oct-2017
Versão inicial
TAC Authored

Colaborado por engenheiros da Cisco

  • Mikis Zafeiroudis
    Líder técnico de engenharia de entrega ao cliente
  • Veronika Klauzova
    Engenheiro do Cisco TAC
  • Ilkin Gasimov
    Líder técnico de engenharia de entrega ao cliente

Este documento lhe foi útil?

FeedbackFeedback

Contate a Cisco

Este documento se refere a estes produtos