在使用Rest API的FDM上配置基于时间的访问控制规则

下载选项

  • PDF     (1.8 MB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (1.7 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (1.1 MB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2023 年 7 月 31 日
文档 ID:220637

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

    简介

    本文档介绍如何在FDM使用Rest API管理的FTD上配置和验证基于时间的访问控制规则。

    先决条件

    要求

    Cisco 建议您了解以下主题：

    • 安全防火墙威胁防御(FTD)
    • Firepower设备管理(FDM)
    • 具象状态传输应用编程接口(REST API)知识
    • 访问控制列表(ACL)

    使用的组件

    本文档中的信息基于FTD 7.1.0版。

    本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

    背景信息

    FTD API版本6.6.0及更高版本支持基于时间限制的访问控制规则。

    使用FTD API，您可以创建时间范围对象，指定一次性或循环时间范围，并将这些对象应用于访问控制规则。使用时间范围，您可以将访问控制规则应用于一天中的特定时间或特定时间段的流量，以便灵活使用网络。不能使用FDM创建或应用时间范围，如果访问控制规则应用了时间范围，FDM也不会显示您。

    配置

    步骤1:单击高级选项（“kebab”菜单）以打开FDM API资源管理器。 

    FDM Web User Interface图 1.FDM Web用户界面。

    第二步：选择类别AccessPolicy以显示不同的API调用。

    API Explorer Web User Interface图 2.API Explorer Web用户界面。

    第三步：运行GET调用以获取访问策略ID。

    Access Policy Category图 3.访问策略类别。

    第四步：您必须点击TRY IT OUT!才能检索API响应。

    TRY IT OUT! Button which Runs the API Call图 4.TRY IT OUT！运行API调用的按钮。

    第五步：将数据从JSON响应正文复制到记事本。之后，您必须使用访问控制策略ID。

    GET Response from Access Policy图 5.访问策略的GET响应。

    第六步：在API资源管理器上查找并打开TimeRange类别以显示不同的API调用。

    Time Range Category图 6.时间范围类别。

    步骤 7.使用POST API调用，创建任意多个TimeRange对象。

    Time Range POST Call图 7.POST呼叫的时间范围。

    在此处找到几个格式示JSON例，以创建两个不同的TimeRange对象。

    对象1:

    {
  
  "name": "range-obj-1",
  "recurrenceList": [
    {
      "days": [
        "MON",
        "TUE",
        "WED",
        "THU",
        "FRI"
      ],
      "recurrenceType": "DAILY_INTERVAL",
      "dailyStartTime": "00:00",
      "dailyEndTime": "23:50",
      "type": "recurrence"
    }
  ],
  "type": "timerangeobject"
}

    对象2:

    {
  
  "name": "range-obj-2",
  "recurrenceList": [
    {
      "days": [
        "MON"
      ],
      "recurrenceType": "DAILY_INTERVAL",
      "dailyStartTime": "12:00",
      "dailyEndTime": "13:00",
      "type": "recurrence"
    }
  ],
  "type": "timerangeobject",
}

    注：请记住，TRY IT OUT! 要执行API调用，请点击。

    步骤 8运行调用GET ，以获取TimeRange对象ID。

    GET Response from Time Range图 8.从时间范围获取GET响应。

    步骤 9单击Deploy按钮以验证和应用更改。

    Deploy Button Available from API Explorer图 9.可从API资源管理器中使用部署按钮。

    步骤 10验证您刚刚创建的配置，然后单击 DEPLOY NOW.

    FDM Pending Changes Window图 10.FDM挂起更改窗口。

    步骤 11查找类别AccessPolicy，然后打开POST呼叫，以便创建基于时间的访问控制规则。

    Access Policy POST Call图 11.访问策略POST呼叫。

    在此找到一JSON个格式示例，用于创建基于时间的ACL，允许流量从内部区域流向外部区域。

    确保使用正确的时间范围对象ID。

    {
  "name": "test_time_range_2",
  "sourceZones": [
    {
          "name": "inside_zone",
          "id": "90c377e0-b3e5-11e5-8db8-651556da7898",
          "type": "securityzone"
    }
  ],
  "destinationZones": [
    {
      "name": "outside_zone",
      "id": "b1af33e1-b3e5-11e5-8db8-afdc0be5453e",
      "type": "securityzone"
    }
  ],  
  "ruleAction": "PERMIT",
  "eventLogAction": "LOG_FLOW_END", 
  "timeRangeObjects": [
    {
    "id": "718e6b5c-2697-11ee-a5a7-57e37203b186",
    "type": "timerangeobject",
    "name": "Time-test2"
    }
  ],
  "type": "accessrule"
}

    注意eventLogAction：必LOG_FlOW_END须在流程结束时记录事件，否则会出错。

    步骤 12部署更改以应用新的基于时间的ACL。Pending Changes提示必须显示步骤10中所用的时间范围对象。

    FDM Pending Changes Window Displays the New Rule图 12.“FDM挂起更改”窗口将显示新规则。

    第 13 步（可选）：如果要编辑ACL，可以使用呼叫并PUT编辑时间范围ID。

    Access Policy PUT Call图 13.访问策略PUT呼叫。

    在此找到格JSON式示例以编辑时间范围，这些时间范围ID可以通过使用调用进行收集GET。

    {
"version": "flya3jw7wvqg7",
"name": "test_time_range",
"ruleId": 268435460,
"sourceZones": [
{
"version": "lypkhscmwq4bq",
"name": "inside_zone",
"id": "90c377e0-b3e5-11e5-8db8-651556da7898",
"type": "securityzone"
}
],
"destinationZones": [
{
"version": "pytctz6vvfb3i",
"name": "outside_zone",
"id": "b1af33e1-b3e5-11e5-8db8-afdc0be5453e",
"type": "securityzone"
}
],
"sourceNetworks": [],
"destinationNetworks": [],
"sourcePorts": [],
"destinationPorts": [],
"ruleAction": "PERMIT",
"eventLogAction": "LOG_FLOW_END",
"identitySources": [],
"users": [],
"embeddedAppFilter": null,
"urlFilter": null,
"intrusionPolicy": null,
"filePolicy": null,
"logFiles": false,
"syslogServer": null,
"destinationDynamicObjects": [],
"sourceDynamicObjects": [],
"timeRangeObjects": [
{
"version": "i3iohbd5iufol",
"name": "range-obj-1",
"id": "718e6b5c-2697-11ee-a5a7-57e37203b186",
"type": "timerangeobject"
}
],
"id": "0f2e8f56-269b-11ee-a5a7-6f90451d6efd",
"type": "accessrule"
}

    步骤 14部署和验证更改。

    FDM Pending Changes Window Displays the Change of the Object图 14.“FDM挂起更改”(FDM Pending Changes)窗口显示对象的更改。

    验证

    1.运行命令show time-range，以验证时间范围对象的状态。

    > show time-range

time-range entry: range-obj-1 (active)
   periodic weekdays 0:00 to 23:50
time-range entry: range-obj-2 (inactive)
   periodic Monday 12:00 to 13:00

    2.使用show access-control-config命令验证访问控制规则配置。

    > show access-control-config

===============[ NGFW-Access-Policy ]===============
Description :
=================[ Default Action ]=================
Default Action : Block
Logging Configuration
DC : Enabled
Beginning : Disabled
End : Disabled
Rule Hits : 0
Variable Set : Object missing: 76fa83ea-c972-11e2-8be8-8e45bb1343c0

===[ Security Intelligence - Network Whitelist ]====
===[ Security Intelligence - Network Blacklist ]====
Logging Configuration : Disabled
DC : Disabled

=====[ Security Intelligence - URL Whitelist ]======
=====[ Security Intelligence - URL Blacklist ]======
Logging Configuration : Disabled
DC : Disabled


======[ Rule Set: admin_category (Built-in) ]=======

=====[ Rule Set: standard_category (Built-in) ]=====

-------------[ Rule: test_time_range ]--------------
Action : Allow
Source ISE Metadata :


Source Zones : inside_zone
Destination Zones : outside_zone
Users
URLs
Logging Configuration
DC : Enabled
Beginning : Disabled
End : Enabled
Files : Disabled
Safe Search : No
Rule Hits : 0
Variable Set : Object missing: 76fa83ea-c972-11e2-8be8-8e45bb1343c0
Time Range : range-obj-1
Daily Interval
StartTime : 00:00
EndTime : 23:50
Days : Monday,Tuesday,Wednesday,Thursday,Friday

    3.运行调试System Support Trace，以确认流量符合正确的规则。

    > system support trace

Enable firewall-engine-debug too? [n]: y
Please specify an IP protocol: tcp
Please specify a client IP address:
Please specify a client port:
Please specify a server IP address:
Please specify a server port: 443
Monitoring packet tracer and firewall debug messages


10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 New firewall session
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 app event with app id no change, url no change, tls host no change, bits 0x1
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 Starting with minimum 1, 'test_time_range', and SrcZone first with zones 2 -> 1, geo 0 -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, svc 0, payload 0, client 0, misc 0, user 9999997
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 match rule order 1, 'test_time_range', action Allow
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 MidRecovery data sent for rule id: 268435460, rule_action:2, rev id:2116550259, rule_match flag:0x1
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 allow action

10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 Packet 1930048: TCP ******S*, 07/20-18:05:06.790013, seq 4109528346, dsize 0
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 Session: new snort session
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 AppID: service: (0), client: (0), payload: (0), misc: (0)
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 Firewall: starting rule matching, zone 2 -> 1, geo 0(0) -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url or host, no xff
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 Firewall: allow rule, 'test_time_range', allow
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 Policies: Network 0, Inspection 0, Detection 0
10.10.10.3 62360 -> Destination IP 443 6 AS=0 ID=3 GR=1-1 Verdict: pass

    修订历史记录

    版本 发布日期 备注
    2.0
    31-Jul-2023
    首次公开发布
    1.0
    26-Jul-2023
    初始版本
    TAC Authored

    由思科工程师提供

    • 莱昂内尔·马图斯·克里马科
      思科TAC工程师

    此文档是否有帮助?

    Feedback反馈

    联系我们

    本文档适用于以下产品