在路由模式下配置Firepower威胁防御接口

简介

本文档介绍Firepower威胁防御(FTD)设备上的内联对接口的配置、验证和操作。

先决条件

要求

本文档没有特定要求。

使用的组件

本文档中的信息基于以下软件和硬件版本：

• ASA5512-X - FTD代码6.1.0.x
• Firepower管理中心(FMC) — 代码6.1.0.x

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

相关产品

本文档也可用于以下硬件和软件版本：

• ASA5506-X、ASA5506W-X、ASA5506H-X、ASA5508-X、ASA5516-X
• ASA5512-X、ASA5515-X、ASA5525-X、ASA5545-X、ASA5555-X
• FPR2100、FPR4100、FPR9300
• VMware (ESXi)、Amazon Web Services (AWS)、基于内核的虚拟机 (KVM)
• FTD软件代码6.2.x及更高版本

背景信息

Firepower威胁防御(FTD)提供两种部署模式和六种接口模式，如下图所示：

注意：您可以在单个FTD设备上混合接口模式。

各种FTD部署和接口模式的高级概述：

FTD接口 模式	FTD部署模式	描述	可以丢弃流量
已路由	已路由	完整的LINA引擎和Snort引擎检查	Yes
交换	透明	完整的LINA引擎和Snort引擎检查	Yes
内联对	路由或透明	部分LINA引擎和完整Snort引擎检查	Yes
带分路器的内联对	路由或透明	部分LINA引擎和完整Snort引擎检查	无
被动	路由或透明	部分LINA引擎和完整Snort引擎检查	无
被动(ERSPAN)	已路由	部分LINA引擎和完整Snort引擎检查	无

配置

网络图

配置路由接口和子接口

按照以下要求配置子接口G0/0.201和接口G0/1:

接口	G 0/0.201	G 0/1
名称	内部	外部
安全区域	INSIDE_ZONE	OUTSIDE_ZONE
描述	内部	外部
子接口Id	201	-
VLAN ID	201	-
IPv4	192.168.201.1/24	192.168.202.1/24
双工/速度	自动	自动

解决方案

步骤1:配置逻辑接口

导航到Devices > Device Management，选择适当的设备，然后选择Edit图标：

选择Add Interfaces > Sub Interface:

根据要求配置子接口设置：

接口IP设置：

在物理接口(GigabitEthernet0/0)下指定Duplex（双工）和Speed（速度）设置：

启用物理接口（本例中为G0/0）：

第二步：配置物理接口

根据需要编辑GigabitEthernet0/1物理接口：

• 对于路由接口，模式为：None
• Name等同于ASA接口名称
• 在FTD上，所有接口的安全级别均为0
• same-security-traffic不适用于FTD。默认情况下，允许FTD接口（内部）之间的流量

选择Save和Deploy。

确认

在FMC GUI中：

从FTD CLI:

> show interface ip brief
Interface                  IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0         unassigned      YES unset  up                    up
GigabitEthernet0/0.201     192.168.201.1   YES manual up                    up
GigabitEthernet0/1         192.168.202.1   YES manual up                    up
GigabitEthernet0/2         unassigned      YES unset  administratively down down
GigabitEthernet0/3         unassigned      YES unset  administratively down down
GigabitEthernet0/4         unassigned      YES unset  administratively down down
GigabitEthernet0/5         unassigned      YES unset  administratively down down
Internal-Control0/0        127.0.1.1       YES unset  up                    up
Internal-Data0/0           unassigned      YES unset  up                    up
Internal-Data0/1           unassigned      YES unset  up                    up
Internal-Data0/2           169.254.1.1     YES unset  up                    up
Management0/0              unassigned      YES unset  up                    up

> show ip
System IP Addresses:
Interface                Name                   IP address      Subnet mask     Method
GigabitEthernet0/0.201   INSIDE                 192.168.201.1   255.255.255.0   manual
GigabitEthernet0/1       OUTSIDE                192.168.202.1   255.255.255.0   manual
Current IP Addresses:
Interface                Name                   IP address      Subnet mask     Method
GigabitEthernet0/0.201   INSIDE                 192.168.201.1   255.255.255.0   manual
GigabitEthernet0/1       OUTSIDE                192.168.202.1   255.255.255.0   manual

FMC GUI和FTD CLI关联：

> show interface g0/0.201
Interface GigabitEthernet0/0.201 "INSIDE", is up, line protocol is up
  Hardware is i82574L rev00, BW 1000 Mbps, DLY 10 usec
        VLAN identifier 201
        Description: INTERNAL
        MAC address a89d.21ce.fdea, MTU 1500
        IP address 192.168.201.1, subnet mask 255.255.255.0
  Traffic Statistics for "INSIDE":
        1 packets input, 28 bytes
        1 packets output, 28 bytes
        0 packets dropped
> show interface g0/1
Interface GigabitEthernet0/1 "OUTSIDE", is up, line protocol is up
  Hardware is i82574L rev00, BW 1000 Mbps, DLY 10 usec
        Auto-Duplex(Full-duplex), Auto-Speed(1000 Mbps)
        Input flow control is unsupported, output flow control is off
        Description: EXTERNAL
        MAC address a89d.21ce.fde7, MTU 1500
        IP address 192.168.202.1, subnet mask 255.255.255.0
        0 packets input, 0 bytes, 0 no buffer
        Received 0 broadcasts, 0 runts, 0 giants
        0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
        0 pause input, 0 resume input
        0 L2 decode drops
        1 packets output, 64 bytes, 0 underruns
        0 pause output, 0 resume output
        0 output errors, 0 collisions, 12 interface resets
        0 late collisions, 0 deferred
        0 input reset drops, 0 output reset drops
        input queue (blocks free curr/low): hardware (511/511)
        output queue (blocks free curr/low): hardware (511/511)
  Traffic Statistics for "OUTSIDE":
        0 packets input, 0 bytes
        0 packets output, 0 bytes
        0 packets dropped
      1 minute input rate 0 pkts/sec,  0 bytes/sec
      1 minute output rate 0 pkts/sec,  0 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec,  0 bytes/sec
      5 minute output rate 0 pkts/sec,  0 bytes/sec
      5 minute drop rate, 0 pkts/sec
>

FTD路由接口操作

使用路由接口时，检验FTD数据包流。

解决方案

FTD架构概述

FTD数据平面的简要概述：

此图显示了每个引擎内发生的一些检查：

要点

• 底部检查与FTD LINA引擎数据路径相对应
• 蓝色方框内的检查与FTD Snort引擎实例相对应

FTD路由接口概述

• 仅在路由部署中可用
• 传统L3防火墙部署
• 一个或多个物理或逻辑(VLAN)可路由接口
• 允许配置NAT或动态路由协议等功能
• 根据路由查找转发数据包，并根据ARP查找解决下一跳
• 实际流量 可以丢弃
  
• 完整的LINA引擎检查与完整的Snort引擎检查一起应用
  

最后一点可以直观地显示为：

验证

跟踪FTD路由接口上的数据包

网络图

使用以下参数使用Packet Tracer查看应用的策略：

输入界面	内部
协议/服务	TCP端口80
源 IP	192.168.201.100
目的 IP	192.168.202.100

解决方案

当使用路由接口时，数据包的处理方式类似于传统ASA路由接口。在LINA引擎数据路径中执行路由查找、模块化策略框架(MPF)、NAT、ARP查找等检查。此外，如果访问控制策略有此要求，数据包将由Snort引擎（Snort实例之一）进行检查，并在其中生成判定并返回到LINA引擎：

> packet-tracer input INSIDE tcp 192.168.201.100 11111 192.168.202.100 80

Phase: 1
Type: ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
found next-hop 192.168.202.100 using egress ifc  OUTSIDE

Phase: 2
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268437505
access-list CSM_FW_ACL_ remark rule-id 268437505: ACCESS POLICY: FTD5512 - Default/1
access-list CSM_FW_ACL_ remark rule-id 268437505: L4 RULE: DEFAULT ACTION RULE
Additional Information:
 This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 3
Type: CONN-SETTINGS
Subtype:
Result: ALLOW
Config:
class-map class-default
 match any
policy-map global_policy
 class class-default
  set connection advanced-options UM_STATIC_TCP_MAP
service-policy global_policy global
Additional Information:

Phase: 4
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 5
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Config:
Additional Information:

Phase: 6
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 7
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Config:
Additional Information:

Phase: 8
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 11336, packet dispatched to next module

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
output-interface: OUTSIDE
output-status: up
output-line-status: up
Action: allow

>

注：在第4阶段，将根据UM_STATIC_TCP_MAP的TCP映射检查数据包。这是FTD上的默认TCP映射。

firepower# show run all tcp-map
!
tcp-map UM_STATIC_TCP_MAP
  no check-retransmission
  no checksum-verification
  exceed-mss allow
  queue-limit 0 timeout 4
  reserved-bits allow
  syn-data allow
  synack-data drop
  invalid-ack drop
  seq-past-window drop
  tcp-options range 6 7 allow
  tcp-options range 9 18 allow
  tcp-options range 20 255 allow
  tcp-options selective-ack allow
  tcp-options timestamp allow
  tcp-options window-scale allow
  tcp-options mss allow
  tcp-options md5 clear
  ttl-evasion-protection
  urgent-flag allow
  window-variation allow-connection
!
> 

相关信息

• 适用于Firepower设备管理器的思科Firepower威胁防御配置指南，版本6.1
• 在ASA 55xx-X设备上安装和升级Firepower威胁防御
• 思科安全防火墙威胁防御
• 思科技术支持和下载