目錄

簡介

背景資訊

必要條件

需求

採用元件

架構

使用者通過ASDM連線到ASA時的後台操作

第1步 — 使用者發起ASDM連線

第2步 — ASDM發現ASA配置和FirePOWER模組IP地址

第3步 — ASDM啟動與FirePOWER模組的通訊

第4步 — ASDM檢索FirePOWER選單項

疑難排解

相關資訊

簡介

本文檔介紹ASDM軟體如何與自適應安全裝置(ASA)和安裝在其上的FirePOWER軟體模組通訊。

背景資訊

ASA上安裝的FirePOWER模組可通過以下任一方式進行管理：

- Firepower管理中心(FMC) — 這是開箱即用的管理解決方案。

- 自適應安全裝置管理器(ASDM) — 這是機上管理解決方案。

必要條件

需求

用於啟用ASDM管理的ASA配置：

ASA5525(config)# interface GigabitEthernet0/0

ASA5525(config-if)# nameif INSIDE

ASA5525(config-if)# security-level 100

ASA5525(config-if)# ip address 192.168.75.23 255.255.255.0

ASA5525(config-if)# no shutdown

ASA5525(config)#

ASA5525(config)# http server enable

ASA5525(config)# http 192.168.75.0 255.255.255.0 INSIDE

ASA5525(config)# asdm image disk0:/asdm-762150.bin

ASA5525(config)#

ASA5525(config)# aaa authentication http console LOCAL

ASA5525(config)# username cisco password cisco

檢查ASA/SFR模組之間的相容性，否則無法看到FirePOWER頁籤。

此外，在ASA上，必須啟用3DES/AES許可證：

ASA5525# show version | in 3DES

Encryption-3DES-AES               : Enabled        perpetual

確保ASDM客戶端系統運行支援的Java JRE版本。

採用元件

- Microsoft Windows 7主機

- 執行ASA 9.6(2.3)版的ASA5525-X

- ASDM版本7.6.2.150

- FirePOWER軟體模組6.1.0-330

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

架構

ASA有三個內部介面：

- asa_dataPlane — 用於將資料包從ASA資料路徑重定向到FirePOWER軟體模組。

- asa_mgmt_plane — 用於允許FirePOWER管理介面與網路通訊。

- cplane — 控制平面介面，用於在ASA和FirePOWER模組之間傳輸keepalive。

您可以在所有內部介面中捕獲流量：

ASA5525# capture CAP interface ?

asa_dataplane   Capture packets on dataplane interface

asa_mgmt_plane  Capture packets on managementplane interface

cplane          Capture packets on controlplane interface

視覺化的方式如下：

使用者通過ASDM連線到ASA時的後台操作

請考慮使用此拓樸：

當使用者啟動與ASA的ASDM連線時，會發生以下事件：

第1步 — 使用者發起ASDM連線

使用者指定用於HTTP管理的ASA IP地址，輸入憑證，並啟動與ASA的連線：

在後台，在ASDM和ASA之間建立SSL隧道：

視覺化的方式如下：

第2步 — ASDM發現ASA配置和FirePOWER模組IP地址

在ASA上輸入debug http 255命令，以顯示ASDM連線到ASA時在後台執行的所有檢查：

ASA5525# debug http 255

…

HTTP: processing ASDM request [/admin/exec/show+module] with cookie-based authentication

HTTP: processing GET URL '/admin/exec/show+module' from host 192.168.75.22

HTTP: processing ASDM request [/admin/exec/show+cluster+interface-mode] with cookie-based authentication

HTTP: processing GET URL '/admin/exec/show+cluster+interface-mode' from host 192.168.75.22

HTTP: processing ASDM request [/admin/exec/show+cluster+info] with cookie-based authentication

HTTP: processing GET URL '/admin/exec/show+cluster+info' from host 192.168.75.22

HTTP: processing ASDM request [/admin/exec/show+module+sfr+details] with cookie-based authentication

HTTP: processing GET URL '/admin/exec/show+module+sfr+details' from host 192.168.75.22

- show module - ASDM發現ASA模組。

- show module sfr details - ASDM發現模組詳細資訊，包括FirePOWER管理IP地址。

在後台可以看到從PC到ASA IP地址的一系列的SSL連線：

第3步 — ASDM啟動與FirePOWER模組的通訊

由於ASDM知道FirePOWER管理IP地址，因此它會向模組發起SSL會話：

在後台將這視為從ASDM主機到FirePOWER管理IP地址的SSL連線：

視覺化的方式如下：

ASDM對FirePOWER進行身份驗證，並顯示FirePOWER證書自簽名後的安全警告：

第4步 — ASDM檢索FirePOWER選單項

身份驗證成功後，ASDM從FirePOWER裝置檢索選單項：

檢索到的頁籤如下例所示：

它還檢索ASA FirePOWER配置選單項：

疑難排解

如果ASDM無法使用FirePOWER管理IP地址建立SSL隧道，則僅載入此FirePOWER選單項：

ASA FirePOWER配置項也丟失：

驗證 1

確保ASA管理介面為UP狀態，並且與其連線的switchport位於正確的VLAN中：

ASA5525# show interface  ip brief | include Interface|Management0/0

Interface                  IP-Address      OK? Method Status                Protocol

Management0/0              unassigned      YES unset  up                    up

建議的疑難排解

- 設定正確的VLAN。

- 使埠開啟(檢查電纜，檢查交換機埠配置（速度/雙工/關閉）)。

驗證 2

確保FirePOWER模組完全初始化、UP並正在運行：

ASA5525# show module sfr details

Getting details from the Service Module, please wait...

Card Type:          FirePOWER Services Software Module

Model:              ASA5525

Hardware version:   N/A

Serial Number:      FCH1719J54R

Firmware version:   N/A

Software version:   6.1.0-330

MAC Address Range:  6c41.6aa1.2bf2 to 6c41.6aa1.2bf2

App. name:          ASA FirePOWER

App. Status:        Up

App. Status Desc:   Normal Operation

App. version:       6.1.0-330

Data Plane Status:  Up

Console session:    Ready

Status:             Up

DC addr:            No DC Configured

Mgmt IP addr:       192.168.75.123

Mgmt Network mask:  255.255.255.0

Mgmt Gateway:       192.168.75.23

Mgmt web ports:     443

Mgmt TLS enabled:   true

A5525# session sfr console

Opening console session with module sfr.

Connected to module sfr. Escape character sequence is 'CTRL-^X'.

> show version

--------------------[ FP5525-3 ]--------------------

Model                     : ASA5525 (72) Version 6.1.0 (Build 330)

UUID                      : 71fd1be4-7641-11e6-87e4-d6ca846264e3

Rules update version      : 2016-03-28-001-vrt

VDB version               : 270

----------------------------------------------------

>

建議的疑難排解

- 檢查show module sfr log console命令的輸出中是否存在錯誤或故障。

驗證 3

使用ping和tracert/traceroute等命令檢查ASDM主機和FirePOWER模組管理IP之間的基本連通性：

建議的疑難排解

- 檢查路徑沿途的路由。

- 驗證路徑中是否有裝置阻止流量。

驗證 4

如果ASDM主機和FirePOWER管理IP地址位於同一第3層網路中，請檢查ASDM主機上的地址解析協定(ARP)表：

建議的疑難排解

- 如果沒有ARP條目，請使用Wireshark檢查ARP通訊。確保資料包的MAC地址正確。

- 如果有ARP條目，請確保它們正確。

驗證 5

當您通過ASDM連線時，在ASDM裝置上啟用捕獲，以檢視主機和FirePOWER模組之間是否存在正確的TCP通訊。您至少會看到：

- ASDM主機和ASA之間的TCP三次握手。

- 在ASDM主機和ASA之間建立SSL隧道。

- ASDM主機和FirePOWER模組管理IP地址之間的TCP三次握手。

- 在ASDM主機和FirePOWER模組管理IP地址之間建立SSL隧道。

建議的疑難排解

- 如果TCP三次握手失敗，請確保路徑中不存在阻塞TCP資料包的非對稱流量或裝置。

- 如果SSL失敗，請檢查路徑中是否沒有任何裝置進行中間人(MITM)（伺服器證書頒發機構會對此給出提示）。

驗證 6

為了檢查往返於FirePOWER模組的流量，請在asa_mgmt_plane介面上啟用捕獲。在捕獲中，您可以看到：

- 來自ASDM主機的ARP請求（資料包42）。

- FirePOWER模組的ARP應答（資料包43）。

- ASDM主機和FirePOWER模組之間的TCP三次握手（資料包44-46）。

ASA5525# capture FP_MGMT interface asa_mgmt_plane

ASA5525# show capture FP_MGMT | i 192.168.75.123

…

42: 20:27:28.532076 arp who-has 192.168.75.123 tell 192.168.75.22

43: 20:27:28.532153 arp reply 192.168.75.123 is-at 6c:41:6a:a1:2b:f2

44: 20:27:28.532473 192.168.75.22.48391 > 192.168.75.123.443: S 2861923942:2861923942(0) win 8192

45: 20:27:28.532549 192.168.75.123.443 > 192.168.75.22.48391:

S 1324352332:1324352332(0)

ack 2861923943 win 14600

46: 20:27:28.532839 192.168.75.22.48391 > 192.168.75.123.443: .

ack 1324352333 win 16695

建議的疑難排解

- 與驗證5中的相同。

驗證 7

驗證ASDM使用者的許可權級別為15。確認此情況的方法之一是在它透過ASDM連線時輸入debug http 255命令：

ASA5525# debug http 255

debug http enabled at level 255.

HTTP: processing ASDM request [/admin/asdm_banner] with cookie-based authentication (aware_webvpn_conf.re2c:444)

HTTP: check admin session. Cookie index [2][c8a06c50]

HTTP: Admin session cookie [A27614B@20480@78CF@58989AACB80CE5159544A1B3EE62661F99D475DC]

HTTP: Admin session idle-timeout reset

HTTP: admin session verified =  [1]

HTTP: username = [user1], privilege = [14]

建議的疑難排解

- 如果許可權級別不是15，請嘗試使用級別為15的使用者。

驗證 8

如果在ASDM主機和FirePOWER模組之間存在FirePOWER管理IP地址的網路地址轉換(NAT)，則需要指定NATed IP地址：

建議的疑難排解

- 在終端（ASA/SFR和終端主機）捕獲可確認這一點。

驗證 9

確保FirePOWER模組尚未由FMC管理，因為在這種情況下，ASDM中缺少FirePOWER頁籤：

ASA5525# session sfr console

Opening console session with module sfr.

Connected to module sfr. Escape character sequence is 'CTRL-^X'.

> show managers

Managed locally.

>

另一種方法是使用show module sfr details命令：

ASA5525# show module sfr details

Getting details from the Service Module, please wait...

Card Type:          FirePOWER Services Software Module

Model:              ASA5525

Hardware version:   N/A

Serial Number:      FCH1719J54R

Firmware version:   N/A

Software version:   6.1.0-330

MAC Address Range:  6c41.6aa1.2bf2 to 6c41.6aa1.2bf2

App. name:          ASA FirePOWER

App. Status:        Up

App. Status Desc:   Normal Operation

App. version:       6.1.0-330

Data Plane Status:  Up

Console session:    Ready

Status:             Up

DC addr:            No DC Configured

Mgmt IP addr:       192.168.75.123

Mgmt Network mask:  255.255.255.0

Mgmt Gateway:       192.168.75.23

Mgmt web ports:     443

Mgmt TLS enabled:   true

建議的疑難排解

- 如果裝置已經受管，您需要先將其註銷，然後才能從ASDM對其進行管理。請參閱Firepower管理中心配置指南。

驗證 10

檢查wireshark捕獲以確保ASDM客戶端使用正確的TLS版本（例如TLSv1.2）連線。

建議的疑難排解

- 調整瀏覽器SSL設定。

- 嘗試使用其他瀏覽器。

- 從另一個終端主機嘗試。

驗證 11

在Cisco ASA相容性指南中驗證ASA/ASDM映像是否相容。

建議的疑難排解

- 使用相容的ASDM映像。

驗證 12

在Cisco ASA相容性指南中驗證FirePOWER裝置是否與ASDM版本相容。

建議的疑難排解

- 使用相容的ASDM映像。

相關資訊

- Cisco ASA FirePOWER模組快速入門手冊

- 具備FirePOWER服務的ASA本地管理配置指南6.1.0版

- 適用於ASA5506-X、ASA5506H-X、ASA5506W-X、ASA5508-X和ASA5516-X版本5.4.1的ASA FirePOWER模組使用手冊

- 技術支援與文件 - Cisco Systems