設定和操作FTD預過濾器原則

簡介

本檔案介紹Firepower威脅防禦(FTD)預過濾器策略的設定和操作。

必要條件

需求

本文件沒有特定需求。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

• 執行FTD代碼6.1.0-195的ASA5506X
• 兩台運行15.2映像的3925 Cisco IOS®路由器
• 運行6.1.0-195的FireSIGHT管理中心(FMC)

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

預過濾器策略是6.1版中引入的一項功能，主要有三個用途：

1. 根據內部報頭和外部報頭匹配流量。
2. 提供早期訪問控制，允許流量完全繞過Snort引擎。
3. 充當從自適應安全裝置(ASA)遷移工具遷移的訪問控制項目(ACE)的佔位符。

設定

預過濾器策略使用案例1

預過濾器策略可以使用允許FTD根據內部和/或外部IP標頭通道流量的通道規則型別。在撰寫本文時，隧道流量是指：

• IP-in-IP
• IPv6-in-IP
• Teredo 連接埠 3544
• 通用路由封裝(GRE)

請考慮GRE通道，如圖所示：

使用GRE通道從R1 ping R2時，流量會通過防火牆：

如果防火牆是ASA裝置，則會檢查外部IP報頭：

ASA# show conn
GRE OUTSIDE 192.168.76.39:0 INSIDE  192.168.75.39:0, idle 0:00:17, bytes 520, flags

如果防火牆是FirePOWER裝置，則會檢查內部IP報頭：

使用預過濾器策略，FTD裝置可以基於內部標頭和外部標頭來匹配流量。

要點

預過濾器策略使用案例2

預過濾器策略可以使用預過濾器規則型別，該規則型別可以提供早期訪問控制並允許流量完全繞過Snort引擎：

任務1:驗證預設預過濾器策略

任務要求

驗證預設預過濾器策略。

解決方案

1.定位至策略>訪問控制>預篩選。在此示例中，預設預過濾器策略已存在：

2.選擇編輯以檢視策略設定：

3.預過濾器策略已附加到訪問控制策略：

CLI(LINA)驗證

預過濾器規則新增到ACL的頂部：

firepower# show access-list
access-list cached ACL log flows: total 0, denied 0 (deny-flow-max 4096)
            alert-interval 300
access-list CSM_FW_ACL_; 5 elements; name hash: 0x4a69e3f3
access-list CSM_FW_ACL_ line 1 remark rule-id 9998: PREFILTER POLICY: Default Tunnel and Priority Policy
access-list CSM_FW_ACL_ line 2 remark rule-id 9998: RULE: DEFAULT TUNNEL ACTION RULE
access-list CSM_FW_ACL_ line 3 advanced permit ipinip any any rule-id 9998 (hitcnt=0) 0xf5b597d6
access-list CSM_FW_ACL_ line 4 advanced permit 41 any any rule-id 9998 (hitcnt=0) 0x06095aba
access-list CSM_FW_ACL_ line 5 advanced permit gre any any rule-id 9998 (hitcnt=5) 0x52c7a066
access-list CSM_FW_ACL_ line 6 advanced permit udp any any eq 3544 rule-id 9998 (hitcnt=0) 0xcf6309bc

任務2:使用標籤阻止隧道流量

任務要求

封鎖在GRE通道中通道傳輸的ICMP流量。

解決方案

1.如果套用這些ACP，您可以看到網際網路控制訊息通訊協定(ICMP)流量遭封鎖，即使它是否通過GRE通道也是如此：

R1# ping 192.168.76.39
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.76.39, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

R1# ping 10.0.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.0.0.2, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

在此示例中，您可以使用預過濾器策略來滿足任務要求。其邏輯如下：

• 標籤封裝在GRE中的所有資料包。
• 建立與標籤的資料包匹配並阻止ICMP的訪問控制策略。 

從架構的角度來看，會根據LInux Native(LINA)預過濾器規則檢查封包，然後Snort預過濾器規則和ACP，最後Snort會指示LINA捨棄。第一個封包會通過FTD裝置。

1.定義隧道流量的標籤。

2.定位至策略>訪問控制>預過濾器，然後建立新的預過濾器策略。請記住，預設預過濾器策略無法編輯：

在預過濾器策略中，定義兩種型別的規則：

• 通道規則
• 預過濾器規則

可以將這兩個功能視為可在預過濾器策略中配置的完全不同的功能。對於此任務，必須定義隧道規則：。

此表定義了操作，並提供了每個操作的簡短說明：

2.定義已標籤流量的訪問控制策略

• 雖然一開始並不十分直觀，但隧道標籤可由訪問控制策略規則用作源區域。導覽至Policies > Access Control，然後建立用於封鎖已標籤流量的ICMP的規則：

附註：新的預過濾器策略附加到訪問控制策略。

驗證

在LINA和CLISH上啟用擷取：

firepower# show capture
capture CAPI type raw-data trace interface inside [Capturing - 152 bytes]
capture CAPO type raw-data trace interface outside [Capturing - 152 bytes]

> capture-traffic
Please choose domain to capture traffic from:
  0 - br1
  1 - Router

Selection? 1

Please specify tcpdump options desired.
(or enter '?' for a list of supported options)
Options: -n

從R1，嘗試ping遠端GRE隧道端點；ping失敗：

R1# ping 10.0.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.0.0.2, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

CLISH擷取顯示第一個回應要求已通過FTD，且回覆已封鎖：

Options: -n
18:21:07.759939 IP 192.168.75.39 > 192.168.76.39: GREv0, length 104: IP 10.0.0.1 > 10.0.0.2: ICMP echo request, id 65, seq 0, length 80
18:21:07.759939 IP 192.168.76.39 > 192.168.75.39: GREv0, length 104: IP 10.0.0.2 > 10.0.0.1: ICMP echo reply, id 65, seq 0, length 80
18:21:09.759939 IP 192.168.75.39 > 192.168.76.39: GREv0, length 104: IP 10.0.0.1 > 10.0.0.2: ICMP echo request, id 65, seq 1, length 80
18:21:11.759939 IP 192.168.75.39 > 192.168.76.39: GREv0, length 104: IP 10.0.0.1 > 10.0.0.2: ICMP echo request, id 65, seq 2, length 80
18:21:13.759939 IP 192.168.75.39 > 192.168.76.39: GREv0, length 104: IP 10.0.0.1 > 10.0.0.2: ICMP echo request, id 65, seq 3, length 80
18:21:15.759939 IP 192.168.75.39 > 192.168.76.39: GREv0, length 104: IP 10.0.0.1 > 10.0.0.2: ICMP echo request, id 65, seq 4, length 80

LINA擷取會確認這點：

> show capture CAPI | include ip-proto-47
 102: 18:21:07.767523  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
 107: 18:21:09.763739  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
 111: 18:21:11.763769  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
 115: 18:21:13.763784  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
 120: 18:21:15.763830  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
>
> show capture CAPO | include ip-proto-47
  93: 18:21:07.768133  192.168.75.39 > 192.168.76.39:  ip-proto-47, length 104
  94: 18:21:07.768438  192.168.76.39 > 192.168.75.39:  ip-proto-47, length 104

啟用CLISH firewall-engine-debug，清除LINA ASP丟棄計數器並完成相同測試。CLISH調試顯示，對於Echo-Request，您匹配了預過濾器規則，對於Echo-Reply，則顯示ACP規則：

10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 New session
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 uses prefilter rule 268434441 with tunnel zone 1
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 Starting with minimum 0, id 0 and SrcZone first with zones 1 -> -1, geo 0 -> 0, vlan 0, sgt tag: 65535, svc 0, payload 0, client 0, misc 0, user 9999997, icmpType 8, icmpCode 0
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 pending rule order 3, 'Block ICMP', AppId
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 uses prefilter rule 268434441 with tunnel zone 1
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 Starting with minimum 0, id 0 and SrcZone first with zones 1 -> -1, geo 0 -> 0, vlan 0, sgt tag: 65535, svc 3501, payload 0, client 2000003501, misc 0, user 9999997, icmpType 0, icmpCode 0
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 match rule order 3, 'Block ICMP', action Block
10.0.0.1-8 > 10.0.0.2-0 1 AS 1 I 0 deny action

ASP丟棄顯示Snort丟棄了資料包：

> show asp drop

Frame drop:
  No route to host (no-route)                                     366
  Reverse-path verify failed (rpf-violated)                         2
  Flow is denied by configured rule (acl-drop)                      2
  Snort requested to drop the frame (snort-drop)                    5

在連線事件中，您可以看到您匹配的Prefilter Policy and Rule:

任務3:含Fastpath預過濾器規則的旁路Snort引擎

網路圖表

任務要求

1. 刪除當前的訪問控制策略規則並新增阻止所有流量的訪問控制策略規則。
2. 為源自192.168.75.0/24網路的流量配置繞過Snort引擎的預過濾器策略規則。

解決方案

1.阻止所有流量的訪問控制策略：

2.為源網路192.168.75.0/24新增一個預過濾器規則，並以Fastpath作為操作：

3.結果顯示在下一幅影象中：

4.儲存和部署。

在兩個FTD介面上啟用含有追蹤軌跡的擷取：

firepower# capture CAPI int inside trace match icmp any any
firepower# capture CAPO int outsid trace match icmp any any

嘗試通過FTD從R1(192.168.75.39)對R2(192.168.76.39)執行ping;ping失敗：

R1# ping 192.168.76.39
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.76.39, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

內部介面上的捕獲顯示：

firepower# show capture CAPI

5 packets captured

   1: 23:35:07.281738   192.168.75.39 > 192.168.76.39: icmp: echo request
   2: 23:35:09.278641   192.168.75.39 > 192.168.76.39: icmp: echo request
   3: 23:35:11.279251   192.168.75.39 > 192.168.76.39: icmp: echo request
   4: 23:35:13.278778   192.168.75.39 > 192.168.76.39: icmp: echo request
   5: 23:35:15.279282   192.168.75.39 > 192.168.76.39: icmp: echo request
5 packets shown

第一個封包(echo-request)的追蹤軌跡顯示（重要點突出顯示）：

外部介面上的捕獲顯示：

firepower# show capture CAPO

10 packets captured

   1: 23:35:07.282044   192.168.75.39 > 192.168.76.39: icmp: echo request
   2: 23:35:07.282227   192.168.76.39 > 192.168.75.39: icmp: echo reply
   3: 23:35:09.278717   192.168.75.39 > 192.168.76.39: icmp: echo request
   4: 23:35:09.278962   192.168.76.39 > 192.168.75.39: icmp: echo reply
   5: 23:35:11.279343   192.168.75.39 > 192.168.76.39: icmp: echo request
   6: 23:35:11.279541   192.168.76.39 > 192.168.75.39: icmp: echo reply
   7: 23:35:13.278870   192.168.75.39 > 192.168.76.39: icmp: echo request
   8: 23:35:13.279023   192.168.76.39 > 192.168.75.39: icmp: echo reply
   9: 23:35:15.279373   192.168.75.39 > 192.168.76.39: icmp: echo request
  10: 23:35:15.279541   192.168.76.39 > 192.168.75.39: icmp: echo reply
10 packets shown

返回封包的追蹤軌跡顯示它與目前流量(52)相符，但被ACL封鎖：

firepower# show capture CAPO packet-number 2 trace

10 packets captured

   2: 23:35:07.282227       192.168.76.39 > 192.168.75.39: icmp: echo reply
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Config:
Additional Information:
Found flow with id 52, uses current flow

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: DROP
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip any any rule-id 268434432 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268434432: ACCESS POLICY: ACP_5506-1 - Default/1
access-list CSM_FW_ACL_ remark rule-id 268434432: L4 RULE: DEFAULT ACTION RULE
Additional Information:

Result:
input-interface: outside
input-status: up
input-line-status: up
Action: drop
Drop-reason: (acl-drop) Flow is denied by configured rule

5.為返回流量再新增一個預過濾器規則，下一圖顯示結果

現在跟蹤您看到的返回資料包（重要點突出顯示）：

驗證

使用本節內容，確認您的組態是否正常運作。驗證已在各工作階段中說明。

疑難排解

目前尚無特定資訊可用於排解此組態的疑難問題。

相關資訊

• 所有版本的Cisco Firepower管理中心配置指南都可以在Navigating the Cisco Secure Firewall Threat Defense Documentation中找到

• 思科全球技術協助中心(TAC)強烈建議使用本視覺指南，以深入瞭解Cisco Firepower下一代安全技術，包括本文中提及的思科Firepower威脅防禦(Cisco Firepower Threat Defense，FTD)下的技術

• 有關所有配置和故障排除技術說明，請參閱Cisco Secure Firewall Management Center

• 技術支援與文件 - Cisco Systems