أستكشاف أخطاء توجيه الحماية ضد تهديد FirePOWER وإصلاحها

خيارات التنزيل

PDF (4.2 MB)
عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
ePub (4.0 MB)
العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
Mobi (Kindle) (3.1 MB)
عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة

تم التحديث:٣٠ يوليو ٢٠٢٤

معرّف المستند:217802

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

آليات إعادة توجيه حزم FTD

نقطة رئيسية

سلوك توجيه مستوى البيانات (LINA)

النقاط الرئيسية

ترتيب عمليات FTD

التكوين

الحالة 1 - إعادة التوجيه استنادا إلى البحث عن الاتصال

مهلة التعويم

مهلة Conn-holddown

الحالة 2 - إعادة التوجيه استنادا إلى بحث NAT

الحالة 3 - إعادة التوجيه استنادا إلى التوجيه القائم على السياسة (PBR)

المتطلبات

الحل

إختبار مع حركة مرور حقيقية

تصحيح أخطاء PBR

ملخص أوامر PBR

الحالة 4 - إعادة التوجيه استنادا إلى البحث عن التوجيه العام

واجهة Null0

المتطلبات

الحل

مسارات متعددة متساوية التكلفة (ECMP)

مستوى إدارة FTD

النقطة الرئيسية

توجيه واجهة FTD LINA التشخيصية

المقدمة

يصف هذا المستند كيفية قيام "الدفاع ضد تهديد الطاقة النارية (FTD)" بإعادة توجيه الحزم وتنفيذ مفاهيم توجيه مختلفة.

المتطلبات الأساسية

المتطلبات

معرفة التوجيه الأساسية

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

الدفاع ضد التهديد Cisco Firepower 41xx، الإصدار 7.1.x
مركز إدارة Firepower (FMC)، الإصدار 7.1.x

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

آليات إعادة توجيه حزم FTD

FTD عبارة عن صورة برنامج موحّد تتكون من محركين رئيسيين:

محرك بيانات (LINA)
محرك Snort

تلتقي واجهة إدارة FTD بواجهة بيانات FTD من خلال إدارة FirePOWER.

DataPath و Snort Engine هما الجزءان الرئيسيان لمستوى بيانات FTD.

تعتمد آلية إعادة توجيه مستوى البيانات ل FTD على وضع الواجهة. تلخص الصورة التالية أوضاع الواجهة المختلفة مع أوضاع نشر "برنامج الإرسال فائق السرعة (FTD)":

نشر برنامج FTD وأوضاع الواجهة

يلخص الجدول كيف يقوم FTD بإعادة توجيه الحزم في مستوى البيانات استنادا إلى وضع الواجهة. تسرد آليات إعادة التوجيه حسب الأفضلية:

جدول وضع نشر FTD ووضع الواجهة وآلية إعادة التوجيه.

* يقوم FTD في الوضع الشفاف بالبحث عن المسار في بعض الحالات:

وصف عنوان MAC مقابل عمليات بحث المسار.

راجع دليل FMC للحصول على مزيد من التفاصيل.

وكما هو الحال مع إصدار 6.2.x، يدعم برنامج الإرسال فائق السرعة (FTD) التوجيه المتكامل والربط (IRB):

مخطط التوجيه والربط المدمج ل FTD (IRB).

أوامر التحقق من BVI:

أوامر التحقق، وتكوين توجيه L3، واسم العضو إذا تم إستخدامه في السياسات

نقطة رئيسية

بالنسبة للواجهات الموجهة أو BVIs (IRB)، تستند إعادة توجيه الحزمة إلى هذا الأمر:

البحث عن الاتصال
بحث NAT (غاية NAT، يعرف أيضا ب UN-NAT)
التوجيه القائم على السياسة (PBR)
بحث جدول التوجيه العمومي

ماذا عن مصدر NAT؟

يتم التحقق من NAT المصدر بعد بحث التوجيه العام.

تركز بقية هذا المستند على وضع الواجهة الموجهة.

سلوك توجيه مستوى البيانات (LINA)

في وضع الواجهة الموجهة يقوم FTD LINA بإعادة توجيه الحزم في مرحلتين:

المرحلة 1 - تحديد واجهة الخروج

المرحلة 2 - تحديد الخطوة التالية

خذ بعين الاعتبار هذا الهيكل:

مخطط FPR41xx لسلوك توجيه مستوى البيانات.

وتصميم التوجيه هذا:

مخطط تصميم التوجيه

تكوين توجيه FTD:

firepower# show run router
router ospf 1
network 192.168.0.0 255.255.255.0 area 0
log-adj-changes
!
router bgp 65000
bgp log-neighbor-changes
bgp router-id vrf auto-assign
address-family ipv4 unicast
neighbor 203.0.113.99 remote-as 65001
neighbor 203.0.113.99 ebgp-multihop 255
neighbor 203.0.113.99 transport path-mtu-discovery disable
neighbor 203.0.113.99 activate
no auto-summary
no synchronization
exit-address-family
!
router eigrp 1
no default-information in
no default-information out
no eigrp log-neighbor-warnings
no eigrp log-neighbor-changes
network 192.0.2.0 255.255.255.0
!
firepower# show run route
route OUTSIDE2 198.51.100.0 255.255.255.248 192.0.2.99 1

قاعدة معلومات توجيه FTD (RIB) - مستوى التحكم:

firepower# show route | begin Gate
Gateway of last resort is not set

C 192.0.2.0 255.255.255.0 is directly connected, OUTSIDE2
L 192.0.2.1 255.255.255.255 is directly connected, OUTSIDE2
C 192.168.0.0 255.255.255.0 is directly connected, INSIDE
L 192.168.0.1 255.255.255.255 is directly connected, INSIDE
O 192.168.1.1 255.255.255.255
[110/11] via 192.168.0.99, 01:11:25, INSIDE
O 192.168.2.1 255.255.255.255
[110/11] via 192.168.0.99, 01:11:15, INSIDE
S 198.51.100.0 255.255.255.248 [1/0] via 192.0.2.99, OUTSIDE2
D 198.51.100.8 255.255.255.248
[90/130816] via 192.0.2.99, 01:08:11, OUTSIDE2
D 198.51.100.16 255.255.255.248
[90/130816] via 192.0.2.99, 01:08:04, OUTSIDE2
B 198.51.100.24 255.255.255.248 [20/0] via 203.0.113.99, 00:28:29
B 198.51.100.32 255.255.255.248 [20/0] via 203.0.113.99, 00:28:16
C 203.0.113.0 255.255.255.0 is directly connected, OUTSIDE1
L 203.0.113.1 255.255.255.255 is directly connected, OUTSIDE1

جدول توجيه مسار الأمان السريع ل FTD (ASP) المتوافق - مستوى البيانات:

firepower# show asp table routing
route table timestamp: 91
in 169.254.1.1 255.255.255.255 identity
in 192.168.0.1 255.255.255.255 identity
in 192.0.2.1 255.255.255.255 identity
in 192.168.1.1 255.255.255.255 via 192.168.0.99, INSIDE
in 192.168.2.1 255.255.255.255 via 192.168.0.99, INSIDE
in 203.0.113.1 255.255.255.255 identity
in 169.254.1.0 255.255.255.248 nlp_int_tap
in 198.51.100.0 255.255.255.248 via 192.0.2.99, OUTSIDE2
in 198.51.100.8 255.255.255.248 via 192.0.2.99, OUTSIDE2
in 198.51.100.16 255.255.255.248 via 192.0.2.99, OUTSIDE2
in 198.51.100.24 255.255.255.248 via 203.0.113.99 (unresolved, timestamp: 89)
in 198.51.100.32 255.255.255.248 via 203.0.113.99 (unresolved, timestamp: 90)
in 192.168.0.0 255.255.255.0 INSIDE
in 192.0.2.0 255.255.255.0 OUTSIDE2
in 203.0.113.0 255.255.255.0 OUTSIDE1
in ff02::1 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff identity
in ff02::1:ff01:3 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff identity
in ff02::1:ff00:1 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff identity
in fe80::200:ff:fe01:3 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff identity
in fd00:0:0:1::1 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff identity
in fd00:0:0:1:: ffff:ffff:ffff:ffff:: nlp_int_tap
out 255.255.255.255 255.255.255.255 OUTSIDE1
out 203.0.113.1 255.255.255.255 OUTSIDE1
out 203.0.113.0 255.255.255.0 OUTSIDE1
out 224.0.0.0 240.0.0.0 OUTSIDE1
out 255.255.255.255 255.255.255.255 OUTSIDE2
out 192.0.2.1 255.255.255.255 OUTSIDE2
out 198.51.100.0 255.255.255.248 via 192.0.2.99, OUTSIDE2
out 198.51.100.8 255.255.255.248 via 192.0.2.99, OUTSIDE2
out 198.51.100.16 255.255.255.248 via 192.0.2.99, OUTSIDE2
out 192.0.2.0 255.255.255.0 OUTSIDE2
out 224.0.0.0 240.0.0.0 OUTSIDE2
out 255.255.255.255 255.255.255.255 INSIDE
out 192.168.0.1 255.255.255.255 INSIDE
out 192.168.1.1 255.255.255.255 via 192.168.0.99, INSIDE
out 192.168.2.1 255.255.255.255 via 192.168.0.99, INSIDE
out 192.168.0.0 255.255.255.0 INSIDE
out 224.0.0.0 240.0.0.0 INSIDE
out 255.255.255.255 255.255.255.255 cmi_mgmt_int_tap
out 224.0.0.0 240.0.0.0 cmi_mgmt_int_tap
out 255.255.255.255 255.255.255.255 ha_ctl_nlp_int_tap
out 224.0.0.0 240.0.0.0 ha_ctl_nlp_int_tap
out 255.255.255.255 255.255.255.255 ccl_ha_nlp_int_tap
out 224.0.0.0 240.0.0.0 ccl_ha_nlp_int_tap
out 255.255.255.255 255.255.255.255 nlp_int_tap
out 169.254.1.1 255.255.255.255 nlp_int_tap
out 169.254.1.0 255.255.255.248 nlp_int_tap
out 224.0.0.0 240.0.0.0 nlp_int_tap
out fd00:0:0:1::1 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff nlp_int_tap
out fd00:0:0:1:: ffff:ffff:ffff:ffff:: nlp_int_tap
out fe80:: ffc0:: nlp_int_tap
out ff00:: ff00:: nlp_int_tap
out 0.0.0.0 0.0.0.0 via 0.0.0.0, identity
out :: :: via 0.0.0.0, identity

النقاط الرئيسية

يحدد FTD (بطريقة مشابهة لجهاز الأمان القابل للتكيف - ASA) واجهة الخروج (الخروج) للحزمة (لذلك، فإنه ينظر إلى الإدخالات 'in' لجدول توجيه ASP). ثم للقارن المحدد، يحاول العثور على الخطوة التالية (لذلك، فإنه ينظر إلى الإدخالات 'out' لجدول توجيه ASP). على سبيل المثال:

firepower# show asp table routing | include in.*198.51.100.0
in 198.51.100.0 255.255.255.248 via 192.0.2.99, OUTSIDE2
firepower#
firepower# show asp table routing | include out.*OUTSIDE2
out 255.255.255.255 255.255.255.255 OUTSIDE2
out 192.0.2.1 255.255.255.255 OUTSIDE2
out 198.51.100.0 255.255.255.248 via 192.0.2.99, OUTSIDE2
out 198.51.100.8 255.255.255.248 via 192.0.2.99, OUTSIDE2
out 198.51.100.16 255.255.255.248 via 192.0.2.99, OUTSIDE2
out 192.0.2.0 255.255.255.0 OUTSIDE2
out 224.0.0.0 240.0.0.0 OUTSIDE2

وأخيرا، بالنسبة للخطوة التالية التي تم حلها، يتحقق LINA من ذاكرة تخزين ARP المؤقت لتجاور صالح.

تؤكد أداة FTD لتتبع الحزم هذه العملية:

firepower# packet-tracer input INSIDE icmp 192.168.1.1 8 0 198.51.100.1

Phase: 1
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 7582 ns
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 2
Type: INPUT-ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 8474 ns
Config:
Additional Information:
Found next-hop 192.0.2.99 using egress ifc OUTSIDE2(vrfid:0)

Phase: 3
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Elapsed time: 5017 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268434433
access-list CSM_FW_ACL_ remark rule-id 268434433: ACCESS POLICY: mzafeiro_empty - Default
access-list CSM_FW_ACL_ remark rule-id 268434433: L4 RULE: DEFAULT ACTION RULE
Additional Information:
This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 4
Type: CONN-SETTINGS
Subtype:
Result: ALLOW
Elapsed time: 5017 ns
Config:
class-map class-default
match any
policy-map global_policy
class class-default
set connection advanced-options UM_STATIC_TCP_MAP
service-policy global_policy global
Additional Information:

Phase: 5
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 5017 ns
Config:
Additional Information:

Phase: 6
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 5017 ns
Config:
Additional Information:

Phase: 7
Type: INSPECT
Subtype: np-inspect
Result: ALLOW
Elapsed time: 57534 ns
Config:
class-map inspection_default
match default-inspection-traffic
policy-map global_policy
class inspection_default
inspect icmp
service-policy global_policy global
Additional Information:

Phase: 8
Type: INSPECT
Subtype: np-inspect
Result: ALLOW
Elapsed time: 3122 ns
Config:
Additional Information:

Phase: 9
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 29882 ns
Config:
Additional Information:

Phase: 10
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 446 ns
Config:
Additional Information:

Phase: 11
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 20962 ns
Config:
Additional Information:
New flow created with id 178, packet dispatched to next module

Phase: 12
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Elapsed time: 20070 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 13
Type: SNORT
Subtype:
Result: ALLOW
Elapsed time: 870592 ns
Config:
Additional Information:
Snort Trace:
Packet: ICMP
Session: new snort session
Snort id 1, NAP id 1, IPS id 0, Verdict PASS
Snort Verdict: (pass-packet) allow this packet

Phase: 14
Type: INPUT-ROUTE-LOOKUP-FROM-OUTPUT-ROUTE-LOOKUP
Subtype: Resolve Preferred Egress interface
Result: ALLOW
Elapsed time: 6244 ns
Config:
Additional Information:
Found next-hop 192.0.2.99 using egress ifc OUTSIDE2(vrfid:0)

Phase: 15
Type: ADJACENCY-LOOKUP
Subtype: Resolve Nexthop IP address to MAC
Result: ALLOW
Elapsed time: 1784 ns
Config:
Additional Information:
Found adjacency entry for Next-hop 192.0.2.99 on interface OUTSIDE2
Adjacency :Active
MAC address 4c4e.35fc.fcd8 hits 5 reference 1

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE2(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 1046760 ns

جدول FTD ARP كما يظهر في مستوى التحكم:

firepower# show arp
OUTSIDE1 203.0.113.99 4c4e.35fc.fcd8 3051
OUTSIDE2 192.0.2.99 4c4e.35fc.fcd8 5171

لفرض قرار ARP:

firepower# ping 192.168.0.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.0.99, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
firepower# show arp
INSIDE 192.168.0.99 4c4e.35fc.fcd8 45
OUTSIDE1 203.0.113.99 4c4e.35fc.fcd8 32
OUTSIDE2 192.0.2.99 4c4e.35fc.fcd8 1

جدول FTD ARP كما يظهر في مستوى البيانات:

firepower# show asp table arp

Context: single_vf, Interface: OUTSIDE1
203.0.113.99 Active 4c4e.35fc.fcd8 hits 2 reference 1

Context: single_vf, Interface: OUTSIDE2
192.0.2.99 Active 4c4e.35fc.fcd8 hits 5 reference 0

Context: single_vf, Interface: INSIDE
192.168.0.99 Active 4c4e.35fc.fcd8 hits 5 reference 0

Context: single_vf, Interface: identity
:: Active 0000.0000.0000 hits 0 reference 0
0.0.0.0 Active 0000.0000.0000 hits 848 reference 0

Last clearing of hits counters: Never

ترتيب عمليات FTD

تعرض الصورة ترتيب العمليات ومكان إجراء فحوصات توجيه ASP للإدخال والإخراج:

ترتيب عمليات FTD مسار سريع وحكم في الشخر.

التكوين

الحالة 1 - إعادة التوجيه استنادا إلى البحث عن الاتصال

إعادة التوجيه استنادا إلى مخطط البحث عن الاتصال.

وكما تمت الإشارة مسبقا، فإن المكون الرئيسي لمحرك FTD LINA هو عملية DataPath (مثيلات متعددة استنادا إلى عدد نوى الجهاز). علاوة على ذلك، يتكون DataPath (المعروف أيضا باسم مسار الأمان السريع - ASP) من مسارين:

مسار بطيء = مسؤول عن إنشاء اتصال جديد (يقوم بملء المسار السريع).
المسار السريع = يعالج الحزم التي تنتمي إلى الاتصالات المنشأة.

مسار سريع، مسار بطيء، ومدخل مرحلة التحكم للخروج

تعرض أوامر مثل show route و show arp محتويات مستوى التحكم.
من ناحية أخرى، تعرض أوامر مثل show asp table routing و show asp table arp محتويات ASP (Datapath) وهو ما يتم تطبيقه بالفعل.

تمكين الالتقاط باستخدام التتبع على واجهة FTD Inside:

firepower# capture CAPI trace detail interface INSIDE match ip host 192.168.1.1 host 198.51.100.1

فتح جلسة عمل Telnet من خلال FTD:

Router1# telnet 198.51.100.1 /vrf VRF-101 /source-interface lo1
Trying 198.51.100.1 ... Open

تظهر صور FTD الحزم من بداية الاتصال (يتم التقاط مصافحة TCP ثلاثية الإتجاه):

firepower# show capture CAPI

26 packets captured

1: 10:50:38.407190 802.1Q vlan#101 P0 192.168.1.1.57734 > 198.51.100.1.23: S 1306692135:1306692135(0) win 4128 <mss 536>
2: 10:50:38.408929 802.1Q vlan#101 P0 198.51.100.1.23 > 192.168.1.1.57734: S 1412677784:1412677784(0) ack 1306692136 win 4128 <mss 536>
3: 10:50:38.409265 802.1Q vlan#101 P0 192.168.1.1.57734 > 198.51.100.1.23: . ack 1412677785 win 4128
4: 10:50:38.409433 802.1Q vlan#101 P0 192.168.1.1.57734 > 198.51.100.1.23: P 1306692136:1306692154(18) ack 1412677785 win 4128
5: 10:50:38.409845 802.1Q vlan#101 P0 192.168.1.1.57734 > 198.51.100.1.23: . ack 1412677785 win 4128
6: 10:50:38.410135 802.1Q vlan#101 P0 198.51.100.1.23 > 192.168.1.1.57734: . ack 1306692154 win 4110
7: 10:50:38.411355 802.1Q vlan#101 P0 198.51.100.1.23 > 192.168.1.1.57734: P 1412677785:1412677797(12) ack 1306692154 win 4110
8: 10:50:38.413049 802.1Q vlan#101 P0 192.168.1.1.57734 > 198.51.100.1.23: P 1306692154:1306692157(3) ack 1412677797 win 4116
9: 10:50:38.413140 802.1Q vlan#101 P0 192.168.1.1.57734 > 198.51.100.1.23: P 1306692157:1306692166(9) ack 1412677797 win 4116
10: 10:50:38.414071 802.1Q vlan#101 P0 198.51.100.1.23 > 192.168.1.1.57734: . 1412677797:1412678322(525) ack 1306692154 win 4110
...

تتبع الحزمة الأولى (TCP SYN). يمر هذا ربط من خلال ال FTD LINA بطيء ممر، وفحص شامل تحشد يتم في هذه الحالة:

firepower# show capture CAPI packet-number 1 trace

26 packets captured

   1: 10:50:38.407190 802.1Q vlan#101 P0 192.168.1.1.57734 > 198.51.100.1.23: S 1306692135:1306692135(0) win 4128 <mss 536>
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Elapsed time: 4683 ns
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0x1505f1d17940, priority=13, domain=capture, deny=false
hits=1783, user_data=0x1505f2096910, cs_id=0x0, l3_type=0x0
src mac=0000.0000.0000, mask=0000.0000.0000
dst mac=0000.0000.0000, mask=0000.0000.0000
input_ifc=INSIDE, output_ifc=any

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 4683 ns
Config:
Implicit Rule
Additional Information:
Forward Flow based lookup yields rule:
in id=0x1502a7ba4d40, priority=1, domain=permit, deny=false
hits=28, user_data=0x0, cs_id=0x0, l3_type=0x8
src mac=0000.0000.0000, mask=0000.0000.0000
dst mac=0000.0000.0000, mask=0100.0000.0000
input_ifc=INSIDE, output_ifc=any

Phase: 3
Type: INPUT-ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 5798 ns
Config:
Additional Information:
Found next-hop 192.0.2.99 using egress ifc OUTSIDE2(vrfid:0)

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Elapsed time: 3010 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268434433
access-list CSM_FW_ACL_ remark rule-id 268434433: ACCESS POLICY: mzafeiro_empty - Default
access-list CSM_FW_ACL_ remark rule-id 268434433: L4 RULE: DEFAULT ACTION RULE
Additional Information:
This packet will be sent to snort for additional processing where a verdict will be reached
Forward Flow based lookup yields rule:
in id=0x1505f1e2e980, priority=12, domain=permit, deny=false
hits=4, user_data=0x15024a56b940, cs_id=0x0, use_real_addr, flags=0x0, protocol=0
src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, ifc=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, ifc=any,, dscp=0x0, nsg_id=none
input_ifc=any, output_ifc=any

Phase: 5
Type: CONN-SETTINGS
Subtype:
Result: ALLOW
Elapsed time: 3010 ns
Config:
class-map class-default
match any
policy-map global_policy
class class-default
set connection advanced-options UM_STATIC_TCP_MAP
service-policy global_policy global
Additional Information:
Forward Flow based lookup yields rule:
in id=0x1505f1f18bc0, priority=7, domain=conn-set, deny=false
hits=4, user_data=0x1505f1f13f70, cs_id=0x0, use_real_addr, flags=0x0, protocol=0
src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0, nsg_id=none
input_ifc=INSIDE(vrfid:0), output_ifc=any

Phase: 6
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 3010 ns
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0x15052e96b150, priority=0, domain=nat-per-session, deny=false
hits=125, user_data=0x0, cs_id=0x0, reverse, use_real_addr, flags=0x0, protocol=6
src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0, nsg_id=none
input_ifc=any, output_ifc=any

Phase: 7
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 3010 ns
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0x1502a7bacde0, priority=0, domain=inspect-ip-options, deny=true
hits=19, user_data=0x0, cs_id=0x0, reverse, flags=0x0, protocol=0
src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0, nsg_id=none
input_ifc=INSIDE(vrfid:0), output_ifc=any

Phase: 8
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 52182 ns
Config:
Additional Information:
Reverse Flow based lookup yields rule:
in id=0x15052e96b150, priority=0, domain=nat-per-session, deny=false
hits=127, user_data=0x0, cs_id=0x0, reverse, use_real_addr, flags=0x0, protocol=6
src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0, nsg_id=none
input_ifc=any, output_ifc=any

Phase: 9
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 892 ns
Config:
Additional Information:
Reverse Flow based lookup yields rule:
in id=0x1502a7f9b460, priority=0, domain=inspect-ip-options, deny=true
hits=38, user_data=0x0, cs_id=0x0, reverse, flags=0x0, protocol=0
src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0, nsg_id=none
input_ifc=OUTSIDE2(vrfid:0), output_ifc=any

Phase: 10
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 25422 ns
Config:
Additional Information:
New flow created with id 244, packet dispatched to next module
Module information for forward flow ...
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_tcp_proxy
snp_fp_snort
snp_fp_tcp_proxy
snp_fp_translate
snp_fp_tcp_normalizer
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Module information for reverse flow ...
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_translate
snp_fp_tcp_proxy
snp_fp_snort
snp_fp_tcp_proxy
snp_fp_tcp_normalizer
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Phase: 11
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Elapsed time: 36126 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 12
Type: SNORT
Subtype:
Result: ALLOW
Elapsed time: 564636 ns
Config:
Additional Information:
Snort Trace:
Packet: TCP, SYN, seq 182318660
Session: new snort session
AppID: service unknown (0), application unknown (0)
Snort id 28, NAP id 1, IPS id 0, Verdict PASS
Snort Verdict: (pass-packet) allow this packet

Phase: 13
Type: INPUT-ROUTE-LOOKUP-FROM-OUTPUT-ROUTE-LOOKUP
Subtype: Resolve Preferred Egress interface
Result: ALLOW
Elapsed time: 7136 ns
Config:
Additional Information:
Found next-hop 192.0.2.99 using egress ifc OUTSIDE2(vrfid:0)

Phase: 14
Type: ADJACENCY-LOOKUP
Subtype: Resolve Nexthop IP address to MAC
Result: ALLOW
Elapsed time: 2230 ns
Config:
Additional Information:
Found adjacency entry for Next-hop 192.0.2.99 on interface OUTSIDE2
Adjacency :Active
MAC address 4c4e.35fc.fcd8 hits 10 reference 1

Phase: 15
Type: CAPTURE
Subtype:
Result: ALLOW
Elapsed time: 5352 ns
Config:
Additional Information:
Forward Flow based lookup yields rule:
out id=0x150521389870, priority=13, domain=capture, deny=false
hits=1788, user_data=0x1505f1d2b630, cs_id=0x0, l3_type=0x0
src mac=0000.0000.0000, mask=0000.0000.0000
dst mac=0000.0000.0000, mask=0000.0000.0000
input_ifc=OUTSIDE2, output_ifc=any

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE2(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 721180 ns

1 packet shown
firepower#

تتبع حزمة مدخل أخرى من نفس التدفق. الحزمة التي تطابق اتصال نشط:

firepower# show capture CAPI packet-number 3 trace

33 packets captured

3: 10:50:38.409265 802.1Q vlan#101 P0 192.168.1.1.57734 > 198.51.100.1.23: . ack 1412677785 win 4128
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Elapsed time: 2676 ns
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0x1505f1d17940, priority=13, domain=capture, deny=false
hits=105083, user_data=0x1505f2096910, cs_id=0x0, l3_type=0x0
src mac=0000.0000.0000, mask=0000.0000.0000
dst mac=0000.0000.0000, mask=0000.0000.0000
input_ifc=INSIDE, output_ifc=any

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 2676 ns
Config:
Implicit Rule
Additional Information:
Forward Flow based lookup yields rule:
in id=0x1502a7ba4d40, priority=1, domain=permit, deny=false
hits=45, user_data=0x0, cs_id=0x0, l3_type=0x8
src mac=0000.0000.0000, mask=0000.0000.0000
dst mac=0000.0000.0000, mask=0100.0000.0000
input_ifc=INSIDE, output_ifc=any

Phase: 3
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Elapsed time: 1338 ns
Config:
Additional Information:
Found flow with id 2552, using existing flow
Module information for forward flow ...
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_snort
snp_fp_translate
snp_fp_tcp_normalizer
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Module information for reverse flow ...
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_translate
snp_fp_snort
snp_fp_tcp_normalizer
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Phase: 4
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Elapsed time: 16502 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 5
Type: SNORT
Subtype:
Result: ALLOW
Elapsed time: 12934 ns
Config:
Additional Information:
Snort Trace:
Packet: TCP, ACK, seq 1306692136, ack 1412677785
AppID: service unknown (0), application unknown (0)
Snort id 19, NAP id 1, IPS id 0, Verdict PASS
Snort Verdict: (pass-packet) allow this packet

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
Action: allow
Time Taken: 36126 ns

1 packet shown
firepower#

مهلة التعويم

المشكلة

يمكن أن يؤدي عدم إستقرار المسار المؤقت إلى إنشاء إتصالات UDP طويلة الأجل (خاصة بالفيلة) من خلال FTD من خلال واجهات FTD مختلفة أكثر من المطلوب.

الحل

لإصلاح ذلك، قم بتعيين الفاصل الزمني للمهلة إلى قيمة مختلفة عن القيمة الافتراضية المعطلة:

حل ومشكلة انتهاء المهلة العائمة

من مرجع الأوامر:

مرجع الأمر للمهلة العائمة

للحصول على مزيد من التفاصيل، راجع دراسة الحالة: فشل إتصالات UDP بعد إعادة التحميل من جلسة CiscoLive BRKSEC-3020:

إرشادات انتهاء مهلة الاتصال العائم

مهلة Conn-holddown

المشكلة

يهبط المسار (تتم إزالته)، ولكن حركة المرور تطابق اتصال ثابت.

الحل

تمت إضافة ميزة المهلة conn-holddown على ASA 9.6.2. يتم تمكين الميزة بشكل افتراضي، ولكن حاليا (7.1.x) غير مدعوم من قبل واجهة مستخدم FMC أو FlexConfig. التحسينات ذات الصلة: ENH: لا تتوفر ميزة إلغاء التحميل في المهلة للتكوين في وحدة التحكم في إدارة اللوحة الأساسية (FMC)

من دليل ASA CLI:

التقاط الشاشة من دليل ASA CLI الذي يشير إلى conn-holddown

firepower# show run all timeout
timeout xlate 3:00:00
timeout pat-xlate 0:00:30
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:00:30
timeout floating-conn 0:00:00
timeout conn-holddown 0:00:15
timeout igp stale-route 0:01:10

الحالة 2 - إعادة التوجيه استنادا إلى بحث NAT

المتطلبات

شكلت هذا nat قاعدة:

النوع: ثابت
واجهة المصدر: من الداخل
الواجهة الوجهة: خارج1
المصدر الأصلي: 192-168-1-1
الوجهة الأصلية: 198.51.100.1
المصدر المترجم: 192.168.1.1
الوجهة المترجمة: 198.51.100.1

الحل

حل ل ساكن إستاتيكي NAT_ FTD4100-1

قاعدة NAT المنشورة على واجهة سطر الأوامر (CLI) الخاصة ب FTD:

firepower# show run nat
nat (INSIDE,OUTSIDE1) source static host_192.168.1.1 host_192.168.1.1 destination static host_198.51.100.1 host_198.51.100.1
firepower# show nat
Manual NAT Policies (Section 1)
1 (INSIDE) to (OUTSIDE1) source static host_192.168.1.1 host_192.168.1.1 destination static host_198.51.100.1 host_198.51.100.1
translate_hits = 0, untranslate_hits = 0

تكوين 3 لقطات:

firepower# capture CAPI trace detail interface INSIDE match ip host 192.168.1.1 host 198.51.100.1
firepower# capture CAPO1 interface OUTSIDE1 match ip host 192.168.1.1 any
firepower# capture CAPO2 interface OUTSIDE2 match ip host 192.168.1.1 any
firepower# show capture
capture CAPI type raw-data trace detail interface INSIDE [Capturing - 0 bytes]
match ip host 192.168.1.1 host 198.51.100.1
capture CAPO1 type raw-data interface OUTSIDE1 [Capturing - 0 bytes]
match ip host 192.168.1.1 any
capture CAPO2 type raw-data interface OUTSIDE2 [Capturing - 0 bytes]
match ip host 192.168.1.1 any

ابدأ جلسة عمل على برنامج Telnet من 192.168.1.1 إلى 198.51.100.1:

Router1# telnet 198.51.100.1 /vrf VRF-101 /source-interface lo1
Trying 198.51.100.1 ...
% Connection timed out; remote host not responding

تصل الحزم إلى FTD، ولكن لا شيء يترك خارج 1 أو خارج 2 قارن:

firepower# show capture
capture CAPI type raw-data trace detail interface INSIDE [Capturing - 156 bytes]
match ip host 192.168.1.1 host 198.51.100.1
capture CAPO1 type raw-data interface OUTSIDE1 [Capturing - 0 bytes]
match ip host 192.168.1.1 any
capture CAPO2 type raw-data interface OUTSIDE2 [Capturing - 0 bytes]
match ip host 192.168.1.1 any

تتبع حزمة نظام TCP. توضح المرحلة 3 (UN-NAT) أن NAT (UN-NAT بشكل خاص) حول الحزمة إلى الواجهة Outside1 للبحث عن الخطوة التالية:

firepower# show capture CAPI
2 packets captured
1: 11:22:59.179678 802.1Q vlan#101 P0 192.168.1.1.38790 > 198.51.100.1.23: S 1174675193:1174675193(0) win 4128 <mss 536>
2: 11:23:01.179632 802.1Q vlan#101 P0 192.168.1.1.38790 > 198.51.100.1.23: S 1174675193:1174675193(0) win 4128 <mss 536>
2 packets shown
firepower#

firepower# show capture CAPI packet-number 1 trace detail

2 packets captured

1: 11:22:59.179678 4c4e.35fc.fcd8 00be.75f6.1dae 0x8100 Length: 62
802.1Q vlan#101 P0 192.168.1.1.38790 > 198.51.100.1.23: S [tcp sum ok] 1174675193:1174675193(0) win 4128 <mss 536> [tos 0xc0] (ttl 255, id 60126)
...

Phase: 3
Type: UN-NAT
Subtype: static
Result: ALLOW
Elapsed time: 6244 ns
Config:
nat (INSIDE,OUTSIDE1) source static host_192.168.1.1 host_192.168.1.1 destination static host_198.51.100.1 host_198.51.100.1
Additional Information:
NAT divert to egress interface OUTSIDE1(vrfid:0)
Untranslate 198.51.100.1/23 to 198.51.100.1/23

...
Phase: 12
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 25422 ns
Config:
Additional Information:
New flow created with id 2614, packet dispatched to next module
Module information for forward flow ...
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_tcp_proxy
snp_fp_snort
snp_fp_tcp_proxy
snp_fp_translate
snp_fp_tcp_normalizer
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat


Phase: 15
Type: INPUT-ROUTE-LOOKUP-FROM-OUTPUT-ROUTE-LOOKUP
Subtype: Resolve Preferred Egress interface
Result: ALLOW
Elapsed time: 8028 ns
Config:
Additional Information:
Found next-hop 192.0.2.99 using egress ifc OUTSIDE2(vrfid:0)

Phase: 16
Type: SUBOPTIMAL-LOOKUP
Subtype: suboptimal next-hop
Result: ALLOW
Elapsed time: 446 ns
Config:
Additional Information:
Input route lookup returned ifc OUTSIDE2 is not same as existing ifc OUTSIDE1

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE1(vrfid:0)
output-status: up
output-line-status: up
Action: drop
Time Taken: 777375 ns
Drop-reason: (no-adjacency) No valid adjacency, Drop-location: frame 0x00005577204a7287 flow (NA)/NA


1 packet shown

في هذه الحالة، يعني البحث دون الأمثل أن واجهة الخروج التي تم تحديدها بواسطة عملية NAT (خارج1) تختلف عن واجهة الخروج المحددة في جدول إدخال ASP:

firepower# show asp table routing | include 198.51.100.0
in 198.51.100.0 255.255.255.248 via 192.0.2.99, OUTSIDE2
out 198.51.100.0 255.255.255.248 via 192.0.2.99, OUTSIDE2

الحل البديل المحتمل هو إضافة مسار ساكن إستاتيكي عائم على الواجهة الخارجية1:

firepower# show run route
route OUTSIDE2 198.51.100.0 255.255.255.248 192.0.2.99 1
route OUTSIDE1 198.51.100.0 255.255.255.248 203.0.113.99 200

ملاحظة: إذا حاولت إضافة مسار ثابت بنفس المقياس الموجود بالفعل، يظهر هذا الخطأ:

خطأ في تكوين الجهاز

ملاحظة: لم يتم تثبيت المسار العائم بمقياس مسافة 255 في جدول التوجيه.

حاولت أن telnet أن هناك ربط أرسلت من خلال ال FTD:

Router1# telnet 198.51.100.1 /vrf VRF-101 /source-interface lo1
Trying 198.51.100.1 ...
% Connection timed out; remote host not responding

firepower# show capture
capture CAPI type raw-data trace detail interface INSIDE [Capturing - 156 bytes]
match ip host 192.168.1.1 host 198.51.100.1
capture CAPO1 type raw-data interface OUTSIDE1 [Capturing - 312 bytes]
match ip host 192.168.1.1 any
capture CAPO2 type raw-data interface OUTSIDE2 [Capturing - 386 bytes]
match ip host 192.168.1.1 any

يوضح تتبع الحزمة أن الحزم تتم إعادة توجيهها إلى واجهة ISP1 (خارج1) بدلا من ISP2 بسبب البحث عن NAT:

nat خطوة 1

firepower# show capture CAPI packet-number 1 trace

2 packets captured

1: 09:03:02.773962 802.1Q vlan#101 P0 192.168.1.1.16774 > 198.51.100.1.23: S 2910053251:2910053251(0) win 4128 <mss 536>
...

Phase: 3
Type: UN-NAT
Subtype: static
Result: ALLOW
Elapsed time: 4460 ns
Config:
nat (INSIDE,OUTSIDE1) source static host_192.168.1.1 host_192.168.1.1 destination static host_198.51.100.1 host_198.51.100.1
Additional Information:
NAT divert to egress interface OUTSIDE1(vrfid:0)
Untranslate 198.51.100.1/23 to 198.51.100.1/23

...

Phase: 12
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 29436 ns
Config:
Additional Information:
New flow created with id 2658, packet dispatched to next module
Module information for forward flow ...
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_snort
snp_fp_translate
snp_fp_tcp_normalizer
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Phase: 15
Type: INPUT-ROUTE-LOOKUP-FROM-OUTPUT-ROUTE-LOOKUP
Subtype: Resolve Preferred Egress interface
Result: ALLOW
Elapsed time: 5798 ns
Config:
Additional Information:
Found next-hop 192.0.2.99 using egress ifc OUTSIDE2(vrfid:0)

Phase: 16
Type: SUBOPTIMAL-LOOKUP
Subtype: suboptimal next-hop
Result: ALLOW
Elapsed time: 446 ns
Config:
Additional Information:
Input route lookup returned ifc OUTSIDE2 is not same as existing ifc OUTSIDE1

Phase: 17
Type: NEXTHOP-LOOKUP-FROM-OUTPUT-ROUTE-LOOKUP
Subtype: Lookup Nexthop on interface
Result: ALLOW
Elapsed time: 1784 ns
Config:
Additional Information:
Found next-hop 203.0.113.99 using egress ifc OUTSIDE1(vrfid:0)

Phase: 18
Type: ADJACENCY-LOOKUP
Subtype: Resolve Nexthop IP address to MAC
Result: ALLOW
Elapsed time: 1338 ns
Config:
Additional Information:
Found adjacency entry for Next-hop 203.0.113.99 on interface OUTSIDE1
Adjacency :Active
MAC address 4c4e.35fc.fcd8 hits 106 reference 2
...

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE1(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 723409 ns


1 packet shown
firepower#

ومن المثير للاهتمام، في هذه الحالة، أن هناك حزم موضحة على الداخل وكلا واجهات الخروج:

firepower# show capture CAPI

2 packets captured

1: 09:03:02.773962 802.1Q vlan#101 P0 192.168.1.1.32134 > 198.51.100.1.23: S 3031010184:3031010184(0) win 4128 <mss 536>
2: 09:03:05.176565 802.1Q vlan#101 P0 192.168.1.1.32134 > 198.51.100.1.23: S 3031010184:3031010184(0) win 4128 <mss 536>
2 packets shown
firepower# show capture CAPO1

4 packets captured

1: 09:03:02.774358 802.1Q vlan#203 P0 192.168.1.1.32134 > 198.51.100.1.23: S 3249840142:3249840142(0) win 4128 <mss 536>
2: 09:03:02.774557 802.1Q vlan#203 P0 192.168.1.1.32134 > 198.51.100.1.23: S 3249840142:3249840142(0) win 4128 <mss 536>
3: 09:03:05.176702 802.1Q vlan#203 P0 192.168.1.1.32134 > 198.51.100.1.23: S 3249840142:3249840142(0) win 4128 <mss 536>
4: 09:03:05.176870 802.1Q vlan#203 P0 192.168.1.1.32134 > 198.51.100.1.23: S 3249840142:3249840142(0) win 4128 <mss 536>
4 packets shown
firepower# show capture CAPO2

5 packets captured

1: 09:03:02.774679 802.1Q vlan#202 P0 192.168.1.1.32134 > 198.51.100.1.23: S 194652172:194652172(0) win 4128 <mss 536>
2: 09:03:02.775457 802.1Q vlan#202 P0 198.51.100.1.23 > 192.168.1.1.32134: S 4075003210:4075003210(0) ack 194652173 win 4128 <mss 536>
3: 09:03:05.176931 802.1Q vlan#202 P0 192.168.1.1.32134 > 198.51.100.1.23: S 194652172:194652172(0) win 4128 <mss 536>
4: 09:03:05.177282 802.1Q vlan#202 P0 198.51.100.1.23 > 192.168.1.1.32134: . ack 194652173 win 4128
5: 09:03:05.180517 802.1Q vlan#202 P0 198.51.100.1.23 > 192.168.1.1.32134: S 4075003210:4075003210(0) ack 194652173 win 4128 <mss 536>

تتضمن تفاصيل الحزمة معلومات عنوان MAC، ويكشف تتبع للحزم على واجهات OUTSIDE1 و OUTSIDE2 مسار الحزم:

firepower# show capture CAPO1 detail

4 packets captured

1: 09:03:02.774358 00be.75f6.1dae 4c4e.35fc.fcd8 0x8100 Length: 62
802.1Q vlan#203 P0 192.168.1.1.32134 > 198.51.100.1.23: S [tcp sum ok] 3249840142:3249840142(0) win 4128 <mss 536> [tos 0xc0] (ttl 255, id 14509)
2: 09:03:02.774557 4c4e.35fc.fcd8 00be.75f6.1dae 0x8100 Length: 62
802.1Q vlan#203 P0 192.168.1.1.32134 > 198.51.100.1.23: S [tcp sum ok] 3249840142:3249840142(0) win 4128 <mss 536> [tos 0xc0] (ttl 254, id 14509)
3: 09:03:05.176702 00be.75f6.1dae 4c4e.35fc.fcd8 0x8100 Length: 62
802.1Q vlan#203 P0 192.168.1.1.32134 > 198.51.100.1.23: S [tcp sum ok] 3249840142:3249840142(0) win 4128 <mss 536> [tos 0xc0] (ttl 255, id 14509)
4: 09:03:05.176870 4c4e.35fc.fcd8 00be.75f6.1dae 0x8100 Length: 62
802.1Q vlan#203 P0 192.168.1.1.32134 > 198.51.100.1.23: S [tcp sum ok] 3249840142:3249840142(0) win 4128 <mss 536> [tos 0xc0] (ttl 254, id 14509)
4 packets shown

nat خطوة 2

يظهر تتبع الحزمة التي ترجع إعادة التوجيه إلى واجهة OUTSIDE2 بسبب البحث عن جدول التوجيه العام:

nat الخطوة 4

firepower# show capture CAPO1 packet-number 2 trace

4 packets captured

2: 09:03:02.774557 802.1Q vlan#203 P0 192.168.1.1.32134 > 198.51.100.1.23: S 3249840142:3249840142(0) win 4128 <mss 536>
...

Phase: 3
Type: INPUT-ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 7136 ns
Config:
Additional Information:
Found next-hop 192.0.2.99 using egress ifc OUTSIDE2(vrfid:0)

...

Phase: 10
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 12488 ns
Config:
Additional Information:
New flow created with id 13156, packet dispatched to next module

...

Phase: 13
Type: INPUT-ROUTE-LOOKUP-FROM-OUTPUT-ROUTE-LOOKUP
Subtype: Resolve Preferred Egress interface
Result: ALLOW
Elapsed time: 3568 ns
Config:
Additional Information:
Found next-hop 192.0.2.99 using egress ifc OUTSIDE2(vrfid:0)

Phase: 14
Type: ADJACENCY-LOOKUP
Subtype: Resolve Nexthop IP address to MAC
Result: ALLOW
Elapsed time: 1338 ns
Config:
Additional Information:
Found adjacency entry for Next-hop 192.0.2.99 on interface OUTSIDE2
Adjacency :Active
MAC address 4c4e.35fc.fcd8 hits 0 reference 1

...

Result:
input-interface: OUTSIDE1(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE2(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 111946 ns


1 packet shown
firepower#

يرسل موجه ISP2 الرد (SYN/ACK)، ولكن تتم إعادة توجيه هذه الحزمة إلى ISP1 لأنها تطابق الاتصال المنشأ. يتم إسقاط الحزمة بواسطة FTD نظرا لعدم وجود تجاور من المستوى الثاني في جدول خروج ASP:

المشكلة الرئيسية مع موجه ISP2

firepower# show capture CAPO2 packet-number 2 trace

5 packets captured

2: 09:03:02.775457 802.1Q vlan#202 P0 198.51.100.1.23 > 192.168.1.1.32134: S 4075003210:4075003210(0) ack 194652173 win 4128 <mss 536>
...

Phase: 3
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Elapsed time: 2230 ns
Config:
Additional Information:
Found flow with id 13156, using existing flow

...

Phase: 7
Type: SUBOPTIMAL-LOOKUP
Subtype: suboptimal next-hop
Result: ALLOW
Elapsed time: 0 ns
Config:
Additional Information:
Input route lookup returned ifc INSIDE is not same as existing ifc OUTSIDE1

Result:
input-interface: OUTSIDE2(vrfid:0)
input-status: up
input-line-status: up
output-interface: INSIDE(vrfid:0)
output-status: up
output-line-status: up
Action: drop
Time Taken: 52628 ns
Drop-reason: (no-adjacency) No valid adjacency, Drop-location: frame 0x00005577204a7287 flow (NA)/NA

الحالة 3 - إعادة التوجيه استنادا إلى التوجيه القائم على السياسة (PBR)

بعد بحث تدفق الاتصال وبحث NAT الوجهة، يكون PBR هو العنصر التالي الذي يمكن أن يؤثر على تحديد واجهة المخرج. يتم توثيق PBR في: التوجيه المستند إلى السياسة

بالنسبة لتكوين PBR على FMC، من المهم أن تكون على دراية بهذا التوجيه:
تم إستخدام FlexConfig لتكوين PBR في FMC لإصدارات FTD قبل 7.1. أنت يستطيع بعد استعملت FlexConfig أن يشكل PBR في كل صيغة. ومع ذلك، بالنسبة لواجهة الدخول، لا يمكنك تكوين PBR باستخدام كل من صفحة التوجيه المستندة إلى سياسة FMC و FlexConfig.

في دراسة الحالة هذه، فإن FTD لديه طريق نحو 198.51.100.0/24 يشير إلى ISP2:

firepower# show route | begin Gate
Gateway of last resort is not set

C 192.0.2.0 255.255.255.0 is directly connected, OUTSIDE2
L 192.0.2.1 255.255.255.255 is directly connected, OUTSIDE2
C 192.168.0.0 255.255.255.0 is directly connected, INSIDE
L 192.168.0.1 255.255.255.255 is directly connected, INSIDE
O 192.168.1.1 255.255.255.255 [110/11] via 192.168.0.99, 5d01h, INSIDE
O 192.168.2.1 255.255.255.255 [110/11] via 192.168.0.99, 5d01h, INSIDE
S 198.51.100.0 255.255.255.248 [1/0] via 192.0.2.99, OUTSIDE2
D 198.51.100.8 255.255.255.248
[90/130816] via 192.0.2.99, 5d01h, OUTSIDE2
D 198.51.100.16 255.255.255.248
[90/130816] via 192.0.2.99, 5d01h, OUTSIDE2
B 198.51.100.24 255.255.255.248 [20/0] via 203.0.113.99, 5d00h
B 198.51.100.32 255.255.255.248 [20/0] via 203.0.113.99, 5d00h
C 203.0.113.0 255.255.255.0 is directly connected, OUTSIDE1
L 203.0.113.1 255.255.255.255 is directly connected, OUTSIDE1

المتطلبات

تكوين سياسة PBR باستخدام هذه الخصائص:

يجب إرسال حركة المرور من IP 192.168.2.0/24 الموجهة إلى 198.51.100.5 إلى ISP1 (الخطوة التالية 203.0.113.99) بينما يجب أن تستخدم المصادر الأخرى واجهة Outside2.

الخطوة 1 ل PBR

الحل

في إصدارات ما قبل 7.1، لتكوين PBR:
1. قم بإنشاء قائمة تحكم في الوصول (ACL) موسعة تطابق حركة المرور المثيرة (على سبيل المثال، PBR_ACL).
2. قم بإنشاء خريطة مسار تطابق قائمة التحكم في الوصول (ACL) التي تم إنشاؤها في الخطوة 1، وتعيين الخطوة التالية المطلوبة.
3. قم بإنشاء كائن FlexConfig الذي يمكن PBR على واجهة الدخول باستخدام خريطة المسار التي تم إنشاؤها في الخطوة 2.

في إصدارات ما بعد 7.1، يمكنك تكوين PBR باستخدام طريقة ما قبل 7.1، أو يمكنك إستخدام خيار التوجيه القائم على السياسة الجديد ضمن الجهاز > قسم التوجيه:
1. قم بإنشاء قائمة تحكم في الوصول (ACL) موسعة تطابق حركة المرور المثيرة (على سبيل المثال، PBR_ACL).
2. أضف سياسة PBR وحدد:
أ - حركة المرور المطابقة
ب. واجهة الدخول
ج - الخطوة التالية

تكوين PBR (طريقة جديدة)

الخطوة 1 - تحديد قائمة وصول لحركة المرور المطابقة.

PBR الخطوة 1 القديمة

الخطوة 2 - إضافة سياسة PBR

انتقل إلى الأجهزة > إدارة الأجهزة وحرر جهاز FTD. أختر توجيه > توجيه مستند إلى السياسة، وعلى صفحة التوجيه المستند إلى السياسة، حدد إضافة.

الخطوة 2 ل PBR

عينت المدخل قارن:

الخطوة الجديدة 2 ل PBR

تحديد إجراءات إعادة التوجيه:

PBR الخطوة الجديدة 3

حفظ ونشر.

ملاحظة: إذا كنت تريد تكوين واجهات مخرج متعددة، يجب عليك تعيينها في الحقل 'إرسال إلى' على خيار 'واجهات مخرج' (متوفر اعتبارا من الإصدار 7.0+). لمزيد من التفاصيل، تحقق من مثال التكوين للتوجيه المستند إلى السياسة

تكوين PBR (الطريقة القديمة)

الخطوة 1 - تحديد قائمة وصول لحركة المرور المطابقة.

PBR الخطوة 1 القديمة

الخطوة 2 - تحديد خريطة مسار تطابق قائمة التحكم في الوصول (ACL) وتعيين الخطوة التالية.

أولا، قم بتعريف عبارة المطابقة:

PBR الخطوة 2 القديمة

PBR الخطوة 3 القديمة

تعريف عبارة المجموعة:

PBR الخطوة 4 القديمة

إضافة وحفظ.

الخطوة 3. قم بتكوين كائن FlexConfig PBR.

أولا، نسخ (مضاعفة) كائن PBR الموجود:

PBR الخطوة 5 القديمة

حدد اسم الكائن وقم بإزالة كائن مخطط المسار المحدد مسبقا:

الخطوة 6 من PBR Legacy

تحديد خريطة المسار الجديدة:

PBR الخطوة 7 القديمة

PBR الخطوة 8 القديمة

هذه هي النتيجة النهائية:

الخطوة 9 ل PBR Legacy

الخطوة 4. إضافة كائن PBR إلى نهج FTD FlexConfig.

PBR الخطوة 10 القديمة

حفظ تكوين المعاينة وتحديده:

PBR الخطوة 11 القديمة

PBR الخطوة 12 القديمة

أخيرا، قم بنشر النهج.

ملاحظة: لا يمكن تكوين PBR باستخدام واجهة مستخدم FlexConfig و FMC لنفس واجهة الدخول.

بالنسبة لتكوين PBR SLA، تحقق من هذا المستند: تكوين PBR باستخدام IP SLAs ل ISP المزدوج على FTD الذي تتم إدارته بواسطة FMC

التحقق من PBR

التحقق من واجهة الدخول:

firepower# show run interface Po1.101
!
interface Port-channel1.101
vlan 101
nameif INSIDE
cts manual
propagate sgt preserve-untag
policy static sgt disabled trusted
security-level 0
ip address 192.168.0.1 255.255.255.0
policy-route route-map FMC_GENERATED_PBR_1649228271478
ospf authentication null

التحقق من خريطة المسار:

firepower# show run route-map
!
route-map FMC_GENERATED_PBR_1649228271478 permit 5
 match ip address ACL_PBR
 set ip next-hop 203.0.113.99

firepower# show route-map
route-map FMC_GENERATED_PBR_1649228271478, permit, sequence 5
Match clauses:
ip address (access-lists): ACL_PBR

Set clauses:
adaptive-interface cost OUTSIDE1 (0)

التحقق من مسار السياسة:

firepower# show policy-route
Interface Route map
Port-channel1.101 FMC_GENERATED_PBR_1649228271478

Packet-Tracer قبل وبعد التغيير:

بدون PBR

مع PBR

firepower# packet-tracer input INSIDE tcp 192.168.2.100 1111 198.51.100.5 23


....



Phase: 3
Type: INPUT-ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 11596 ns
Config:
Additional Information:
Found next-hop 192.0.2.99 using egress ifc OUTSIDE2(vrfid:0)

...




Phase: 13
Type: INPUT-ROUTE-LOOKUP-FROM-OUTPUT-ROUTE-LOOKUP
Subtype: Resolve Preferred Egress interface
Result: ALLOW
Elapsed time: 6244 ns
Config:
Additional Information:
Found next-hop 192.0.2.99 using egress ifc OUTSIDE2(vrfid:0)


Phase: 14
Type: ADJACENCY-LOOKUP
Subtype: Resolve Nexthop IP address to MAC
Result: ALLOW
Elapsed time: 2230 ns
Config:
Additional Information:
Found adjacency entry for Next-hop 192.0.2.99 on interface OUTSIDE2
Adjacency :Active
MAC address 4c4e.35fc.fcd8 hits 0 reference 1


Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE2(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 272058 ns

firepower# packet-tracer input INSIDE tcp 192.168.2.100 1111 198.51.100.5 23

...
Phase: 3
Type: SUBOPTIMAL-LOOKUP
Subtype: suboptimal next-hop
Result: ALLOW
Elapsed time: 39694 ns
Config:
Additional Information:
Input route lookup returned ifc OUTSIDE2 is not same as existing ifc OUTSIDE1

Phase: 4
Type: ECMP load balancing
Subtype:
Result: ALLOW
Elapsed time: 2230 ns
Config:
Additional Information:
ECMP load balancing
Found next-hop 203.0.113.99 using egress ifc OUTSIDE1(vrfid:0)

Phase: 5
Type: PBR-LOOKUP
Subtype: policy-route
Result: ALLOW
Elapsed time: 446 ns
Config:
route-map FMC_GENERATED_PBR_1649228271478 permit 5
match ip address ACL_PBR
set adaptive-interface cost OUTSIDE1
Additional Information:
Matched route-map FMC_GENERATED_PBR_1649228271478, sequence 5, permit
Found next-hop 203.0.113.99 using egress ifc OUTSIDE1

...

Phase: 15
Type: ADJACENCY-LOOKUP
Subtype: Resolve Nexthop IP address to MAC
Result: ALLOW
Elapsed time: 5352 ns
Config:
Additional Information:
Found adjacency entry for Next-hop 203.0.113.99 on interface OUTSIDE1
Adjacency :Active
MAC address 4c4e.35fc.fcd8 hits 284 reference 2

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE1(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 825100 ns

إختبار مع حركة مرور حقيقية

تكوين التقاط الحزمة باستخدام تتبع:

firepower# capture CAPI trace interface INSIDE match ip host 192.168.2.1 host 198.51.100.5
firepower# capture CAPO1 trace interface OUTSIDE1 match ip host 192.168.2.1 host 198.51.100.5
firepower# capture CAPO2 trace interface OUTSIDE2 match ip host 192.168.2.1 host 198.51.100.5

Router1# telnet 198.51.100.5 /vrf VRF-101 /source-interface lo2
Trying 198.51.100.5 ... Open

يظهر الالتقاط:

firepower# show capture
capture CAPI type raw-data trace interface INSIDE [Capturing - 4389 bytes]
match ip host 192.168.2.1 host 198.51.100.5
capture CAPO1 type raw-data trace interface OUTSIDE1 [Capturing - 4389 bytes]
match ip host 192.168.2.1 host 198.51.100.5
capture CAPO2 type raw-data trace interface OUTSIDE2 [Capturing - 0 bytes]
match ip host 192.168.2.1 host 198.51.100.5

تتبع حزمة نظام TCP:

firepower# show capture CAPI packet-number 1 trace

44 packets captured

1: 13:26:38.485585 802.1Q vlan#101 P0 192.168.2.1.49032 > 198.51.100.5.23: S 571152066:571152066(0) win 4128 <mss 536>
...

Phase: 3
Type: SUBOPTIMAL-LOOKUP
Subtype: suboptimal next-hop
Result: ALLOW
Elapsed time: 13826 ns
Config:
Additional Information:
Input route lookup returned ifc OUTSIDE2 is not same as existing ifc OUTSIDE1

Phase: 4
Type: ECMP load balancing
Subtype:
Result: ALLOW
Elapsed time: 1784 ns
Config:
Additional Information:
ECMP load balancing
Found next-hop 203.0.113.99 using egress ifc OUTSIDE1(vrfid:0)

Phase: 5
Type: PBR-LOOKUP
Subtype: policy-route
Result: ALLOW
Elapsed time: 446 ns
Config:
route-map FMC_GENERATED_PBR_1649228271478 permit 5
match ip address ACL_PBR
set adaptive-interface cost OUTSIDE1
Additional Information:
Matched route-map FMC_GENERATED_PBR_1649228271478, sequence 5, permit
Found next-hop 203.0.113.99 using egress ifc OUTSIDE1

...

Phase: 15
Type: ADJACENCY-LOOKUP
Subtype: Resolve Nexthop IP address to MAC
Result: ALLOW
Elapsed time: 4906 ns
Config:
Additional Information:
Found adjacency entry for Next-hop 203.0.113.99 on interface OUTSIDE1
Adjacency :Active
MAC address 4c4e.35fc.fcd8 hits 348 reference 2

...

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE1(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 222106 ns

يعرض جدول ASP PBR أرقام ضربات السياسة:

firepower# show asp table classify domain pbr

Input Table
in id=0x1505f26d3420, priority=2147483642, domain=pbr, deny=false
hits=7, user_data=0x1505f26e7590, cs_id=0x0, use_real_addr, flags=0x0, protocol=0
src ip/id=192.168.2.0, mask=255.255.255.0, port=0, tag=any
dst ip/id=198.51.100.5, mask=255.255.255.255, port=0, tag=any, dscp=0x0, nsg_id=none
input_ifc=INSIDE(vrfid:0), output_ifc=any

Output Table:

L2 - Output Table:

L2 - Input Table:

Last clearing of hits counters: Never

ملاحظة: يزيد ال packet-tracer أيضا عداد الدخول.

تصحيح أخطاء PBR

تحذير: في بيئة الإنتاج، يمكن أن ينتج تصحيح الأخطاء الكثير من الرسائل.

تمكين تصحيح الأخطاء هذا:

firepower# debug policy-route
debug policy-route enabled at level 1

إرسال حركة مرور حقيقية:

Router1# telnet 198.51.100.5 /vrf VRF-101 /source-interface lo2
Trying 198.51.100.5 ... Open

يظهر تصحيح الأخطاء:

firepower# 

pbr: policy based route lookup called for 192.168.2.1/37256 to 198.51.100.5/23 proto 6 sub_proto 0 received on interface INSIDE, NSGs, nsg_id=none
pbr: First matching rule from ACL(2)
pbr: route map FMC_GENERATED_PBR_1649228271478, sequence 5, permit; proceed with policy routing
pbr: policy based routing applied; egress_ifc = OUTSIDE1 : next_hop = 203.0.113.99

ملاحظة: يقوم Packet-tracer أيضا بإنشاء إخراج تصحيح الأخطاء.

يمكن إستخدام هذا المخطط الانسيابي لاستكشاف أخطاء PBR وإصلاحها:

مخطط تدفق أستكشاف أخطاء PBR وإصلاحها

ملخص أوامر PBR

للتحقق من التكوين:

show run route-map
show run interface

في حالة إستخدام شاشة SLA أيضا مع PBR:

show run sla monitor 
show run track

للتحقق من العملية:

show route-map
packet-tracer
capture w/trace (for example, capture CAPI interface INSIDE trace match ip host 192.168.0.1 host 203.0.113.50)
ASP drop capture (for example, capture ASP type asp-drop all)
show asp table classify domain pbr
show log
show arp

في حالة إستخدام شاشة SLA أيضا مع PBR:

show sla monitor operational-state
show sla monitor configuration
show track

لتصحيح أخطاء PBR:

debug policy-route
show asp drop

الحالة 4 - إعادة التوجيه استنادا إلى البحث عن التوجيه العام

بعد البحث عن الاتصال، بحث NAT، و PBR، يكون آخر عنصر يتم فحصه لتحديد واجهة المخرج هو جدول التوجيه العام.

التحقق من جدول التوجيه

دعنا نفحص إخراج جدول توجيه FTD:

إخراج جدول توجيه FTD

الهدف الرئيسي لعملية التوجيه هو العثور على الخطوة التالية. تحديد المسار بهذا الترتيب:

أطول مباراة تفوز
AD الأدنى (بين مصادر بروتوكول التوجيه المختلفة)
المقياس الأدنى (في حالة التعلم من المصدر نفسه - بروتوكول التوجيه)

كيفية ملء جدول التوجيه:

- IGP (R و D و EX و O و IA و N1 و N2 و E1 و E2 و I و SU و L1 و L2 و IA و O)

- BGP (B)

- BGP InterVRF (BI)

- ساكن إستاتيكي

- بروتوكول InterVRF الثابت (SI)

- متصل (C)

- عناوين IP المحلية (L)

- الشبكة الخاصة الظاهرية (V)

-إعادة التوزيع

- الافتراضي

لعرض ملخص جدول التوجيه، أستخدم هذا الأمر:

firepower# show route summary

IP routing table maximum-paths is 8
Route Source   Networks Subnets Replicates Overhead Memory (bytes)
connected      0        8       0          704      2368
static         0        1       0          88       296
ospf 1         0        2       0          176      600
Intra-area: 2 Inter-area: 0 External-1: 0 External-2: 0
NSSA External-1: 0 NSSA External-2: 0
bgp 65000      0        2       0          176      592
External: 2 Internal: 0 Local: 0
eigrp 1        0        2       0          216      592
internal       7                                    3112
Total          7        15      0          1360     7560

يمكنك تعقب تحديثات جدول التوجيه باستخدام هذا الأمر:

firepower# debug ip routing
IP routing debugging is on

على سبيل المثال، هذا ما يظهره تصحيح الأخطاء عند إزالة مسار OSPF 192.168.1.0/24 من جدول التوجيه العام:

firepower#
RT: ip_route_delete 192.168.1.0 255.255.255.0 via 192.0.2.99, INSIDE
ha_cluster_synced 0 routetype 0
RT: del 192.168.1.0 via 192.0.2.99, ospf metric [110/11]NP-route: Delete-Output 192.168.1.0/24 hop_count:1 , via 0.0.0.0, INSIDE
RT: delete network route to 192.168.1.0 255.255.255.0NP-route: Delete-Output 192.168.1.0/24 hop_count:1 , via 0.0.0.0, INSIDE
NP-route: Delete-Input 192.168.1.0/24 hop_count:1 Distance:110 Flags:0X0 , via 0.0.0.0, INSIDE

عندما تتم إضافته مرة أخرى:

firepower#
RT: NP-route: Add-Output 192.168.1.0/24 hop_count:1 , via 192.0.2.99, INSIDE
NP-route: Add-Input 192.168.1.0/24 hop_count:1 Distance:110 Flags:0X0 , via 192.0.2.99, INSIDE

واجهة Null0

يمكن إستخدام الواجهة null0 لإسقاط حركة المرور غير المرغوب فيها. يكون لهذا الإسقاط تأثير على الأداء أقل من الإسقاط في حركة المرور باستخدام قاعدة سياسة التحكم في الوصول (ACL).

المتطلبات

تكوين مسار Null0 لمضيف 198.51.100.4/32.

الحل

المسار FTD4100-1 Null0

حفظ ونشر.

التحقق:

firepower# show run route
route OUTSIDE2 198.51.100.0 255.255.255.248 192.0.2.99 1
route OUTSIDE1 198.51.100.0 255.255.255.248 203.0.113.99 200
route Null0 198.51.100.4 255.255.255.255 1

firepower# show route | include 198.51.100.4
S 198.51.100.4 255.255.255.255 [1/0] is directly connected, Null0

حاول الوصول إلى المضيف البعيد:

Router1# ping vrf VRF-101 198.51.100.4
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 198.51.100.4, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

تظهر سجلات FTD:

firepower# show log | include 198.51.100.4
Apr 12 2022 12:35:28: %FTD-6-110002: Failed to locate egress interface for ICMP from INSIDE:192.168.0.99/0 to 198.51.100.4/0

عرض عمليات إسقاط ASP:

firepower# show asp drop

Frame drop:
No route to host (no-route)                1920

مسارات متعددة متساوية التكلفة (ECMP)

مناطق المرور

تسمح منطقة حركة مرور ECMP للمستخدم بتجميع الواجهات معا (يشار إليها باسم منطقة ECMP).
وهذا يسمح بتوجيه ECMP وكذلك موازنة حمل حركة المرور عبر الواجهات المتعددة.
عند اقتران الواجهات بمنطقة حركة مرور ECMP، يمكن للمستخدم إنشاء مسارات ثابتة متساوية التكلفة عبر الواجهات. المسارات الثابتة متساوية التكلفة هي مسارات إلى شبكة الوجهة نفسها لها نفس القيمة المترية.

قبل الإصدار 7.1، يدعم الدفاع عن تهديد FirePOWER توجيه ECMP من خلال سياسات FlexConfig. بدءا من إصدار 7.1، يمكنك تجميع الواجهات في مناطق حركة المرور وتكوين توجيه ECMP في مركز إدارة Firepower.

يتم توثيق EMCP في: ECMP

في هذا المثال، هناك توجيه غير متماثل، وتم إسقاط حركة مرور الإرجاع:

firepower# show log
Apr 13 2022 07:20:48: %FTD-6-302013: Built inbound TCP connection 4046 for INSIDE:192.168.1.1/23943 (192.168.1.1/23943) to OUTSIDE1:198.51.100.100/23 (198.51.100.100/23)
Apr 13 2022 07:20:48: %FTD-6-106015: Deny TCP (no connection) from 198.51.100.100/23 to 192.168.1.1/23943 flags SYN ACK on interface OUTSIDE2

مخطط التوجيه غير المتماثل

تكوين ECMP من واجهة مستخدم FMC:

تكوين واجهة مستخدم ECMP FMC

إضافة الواجهات 2 في مجموعة ECMP:

إضافة واجهة ECMP

النتيجة:

واجهة التوجيه متعدد المسارات متساوية التكلفة ل ECMP

حفظ ونشر.

التحقق من منطقة ECMP:

firepower# show run zone
zone ECMP_OUTSIDE ecmp

firepower# show zone
Zone: ECMP_OUTSIDE ecmp
Security-level: 0
Zone member(s): 2
OUTSIDE1 Port-channel1.203
OUTSIDE2 Port-channel1.202

التحقق من الواجهة:

firepower# show run int po1.202
!
interface Port-channel1.202
vlan 202
nameif OUTSIDE2
cts manual
propagate sgt preserve-untag
policy static sgt disabled trusted
security-level 0
zone-member ECMP_OUTSIDE
ip address 192.0.2.1 255.255.255.0

firepower# show run int po1.203
!
interface Port-channel1.203
vlan 203
nameif OUTSIDE1
cts manual
propagate sgt preserve-untag
policy static sgt disabled trusted
security-level 0
zone-member ECMP_OUTSIDE
ip address 203.0.113.1 255.255.255.0

يتم الآن السماح بحركة المرور العائدة، ويتم تشغيل الاتصال:

Router1# telnet 198.51.100.100 /vrf VRF-101 /source-interface lo1
Trying 198.51.100.100 ... Open

يبدي على قبض على ISP1 قارن المخرج حركة مرور:

firepower# show capture CAP1

5 packets captured

1: 10:03:52.620115 802.1Q vlan#203 P0 192.168.1.1.56199 > 198.51.100.100.23: S 1782458734:1782458734(0) win 4128 <mss 536>
2: 10:03:52.621992 802.1Q vlan#203 P0 192.168.1.1.56199 > 198.51.100.100.23: . ack 2000807246 win 4128
3: 10:03:52.622114 802.1Q vlan#203 P0 192.168.1.1.56199 > 198.51.100.100.23: . ack 2000807246 win 4128
4: 10:03:52.622465 802.1Q vlan#203 P0 192.168.1.1.56199 > 198.51.100.100.23: P 1782458735:1782458753(18) ack 2000807246 win 4128
5: 10:03:52.622556 802.1Q vlan#203 P0 192.168.1.1.56199 > 198.51.100.100.23: . ack 2000807246 win 4128

يظهر الالتقاط على واجهة ISP2 حركة مرور الإرجاع:

firepower# show capture CAP2

6 packets captured

1: 10:03:52.621305 802.1Q vlan#202 P0 198.51.100.100.23 > 192.168.1.1.56199: S 2000807245:2000807245(0) ack 1782458735 win 64240 <mss 1460>
3: 10:03:52.623808 802.1Q vlan#202 P0 198.51.100.100.23 > 192.168.1.1.56199: . ack 1782458753 win 64222

مستوى إدارة FTD

يحتوي FTD على مستويين للإدارة:

الواجهة Management0 - توفر الوصول إلى النظام الفرعي Firepower
واجهة LINA التشخيصية - توفير الوصول إلى النظام الفرعي FTD LINA

لتكوين واجهة Management0 والتحقق منها، أستخدم أوامر تكوين الشبكة وإظهار الشبكة على التوالي.

ومن ناحية أخرى، توفر واجهات LINA إمكانية الوصول إلى LINA نفسها. يمكن إعتبار إدخالات واجهة "برنامج الإرسال فائق السرعة (FTD)" في "بروتوكول معلومات التوجيه (RIB)" (بروتوكول معلومات التوجيه (FTD)" كمسارات محلية:

firepower# show route | include L
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
L 192.0.2.1 255.255.255.255 is directly connected, OUTSIDE2
L 192.168.0.1 255.255.255.255 is directly connected, INSIDE
L 203.0.113.1 255.255.255.255 is directly connected, OUTSIDE1

وبالمثل، يمكن رؤيتها كإدخالات هوية في جدول توجيه ASP:

firepower# show asp table routing | include identity
in 169.254.1.1 255.255.255.255 identity
in 192.0.2.1 255.255.255.255 identity
in 203.0.113.1 255.255.255.255 identity
in 192.168.0.1 255.255.255.255 identity
in ff02::1 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff identity
in ff02::1:ff01:3 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff identity
in ff02::1:ff00:1 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff identity
in fe80::200:ff:fe01:3 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff identity
in fd00:0:0:1::1 ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff identity
out 0.0.0.0 0.0.0.0 via 0.0.0.0, identity
out :: :: via 0.0.0.0, identity

النقطة الرئيسية

عندما تصل حزمة إلى FTD، ويطابق عنوان IP للوجهة أحد عناوين IP للهوية، يعرف FTD أن عليه إستهلاك الحزمة.

توجيه واجهة FTD LINA التشخيصية

يحتفظ FTD (مثل ASA الذي يشغل رمز ما بعد 9.5) بجدول توجيه يشبه VRF لأي واجهة تم تكوينها كإدارة فقط. ومن أمثلة هذه الواجهة الواجهة الواجهة التشخيصية.

بينما لا تسمح لك وحدة التحكم في الإدارة الأساسية (FMC) (دون ECMP) بتكوين موجهين افتراضيين على واجهات مختلفة باستخدام نفس المقياس، يمكنك تكوين مسار افتراضي واحد على واجهة بيانات FTD وموجه افتراضي آخر على الواجهة التشخيصية:

مسارات بروتوكول ECMP للإصدار الرابع من بروتوكول الإنترنت (IP)

تستخدم حركة مرور مستوى البيانات العبارة الافتراضية للجدول العام، بينما تستخدم حركة مرور مستوى الإدارة GW الافتراضي التشخيصي:

firepower# show route management-only

Routing Table: mgmt-only
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, V - VPN
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, + - replicated route
SI - Static InterVRF, BI - BGP InterVRF
Gateway of last resort is 10.62.148.1 to network 0.0.0.0

S* 0.0.0.0 0.0.0.0 [1/0] via 10.62.148.1, diagnostic

بوابة جدول التوجيه العام:

firepower# show route | include S\*|Gateway
Gateway of last resort is 203.0.113.99 to network 0.0.0.0
S* 0.0.0.0 0.0.0.0 [1/0] via 203.0.113.99, OUTSIDE1

عندما يرسل أنت حركة مرور من ال FTD (من المربع حركة مرور)، المخرج قارن ينتقي على أساس:

جدول التوجيه العام
جدول التوجيه الخاص بالإدارة فقط

أنت يستطيع استبدلت المخرج قارن تحديد إن أنت تعين يدويا المخرج قارن.

حاول إختبار اتصال بوابة الواجهة التشخيصية. إذا لم تحدد واجهة المصدر، يفشل إختبار الاتصال لأن FTD يستخدم أولا جدول التوجيه العام، والذي يحتوي في هذه الحالة على مسار افتراضي. إذا لم يكن هناك مسار في الجدول العام، يقوم FTD ببحث المسار على جدول التوجيه الخاص بالإدارة فقط:

firepower# ping 10.62.148.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.62.148.1, timeout is 2 seconds:
?????
Success rate is 0 percent (0/5)
firepower# show capture CAP1 | include 10.62.148.1
1: 10:31:22.970607 802.1Q vlan#203 P0 203.0.113.1 > 10.62.148.1 icmp: echo request
2: 10:31:22.971431 802.1Q vlan#203 P0 10.1.1.2 > 203.0.113.1 icmp: host 10.62.148.1 unreachable

firepower# ping diagnostic 10.62.148.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.62.148.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

يطبق نفسه إذا حاولت أن تنسخ ملف من CLI LINA باستخدام الأمر copy.

اكتشاف إعادة التوجيه ثنائي الإتجاه (BFD)

تمت إضافة دعم BFD على ASA التقليدي الإصدار 9.6 وفقط لبروتوكول BGP: توجيه اكتشاف إعادة التوجيه ثنائي الإتجاه

في FTD:

بروتوكولات IPv4 و BGP IPv6 مدعومة (البرنامج 6. 4).
بروتوكولات OSPFv2 و OSPFv3 و EIGRP غير مدعومة.
BFD للمسارات الثابتة غير مدعوم.

الموجهات الظاهرية (VRF)

تمت إضافة دعم التردد اللاسلكي (VRF) في الإصدار 6.6. لمزيد من التفاصيل، تحقق من هذا المستند: أمثلة التكوين للموجهات الظاهرية.

معلومات ذات صلة

الموجهات الثابتة والافتراضية ل FTD

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
3.0	30-Jul-2024	تمت إزالة أخطاء الترجمة الآلية الارتباطات المراجعة وحالة العنوان والنص البديل متطلبات الأنماط المحدثة
2.0	07-Jun-2023	إزالة PII نص بديل مضاف متطلبات النمط المحدثة وتنسيق SEO
1.0	14-Apr-2022	الإصدار الأولي

تمت المساهمة بواسطة مهندسو Cisco

Ilkin Gasimov
Customer Delivery Engineering Technical Leader
Mikis Zafeiroudis
Customer Delivery Engineering Technical Leader

أستكشاف أخطاء توجيه الحماية ضد تهديد FirePOWER وإصلاحها

خيارات التنزيل

لغة خالية من التحيز

حول هذه الترجمة

المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

آليات إعادة توجيه حزم FTD

نقطة رئيسية

سلوك توجيه مستوى البيانات (LINA)

النقاط الرئيسية

ترتيب عمليات FTD

التكوين

الحالة 1 - إعادة التوجيه استنادا إلى البحث عن الاتصال

مهلة التعويم

مهلة Conn-holddown

الحالة 2 - إعادة التوجيه استنادا إلى بحث NAT

الحالة 3 - إعادة التوجيه استنادا إلى التوجيه القائم على السياسة (PBR)

المتطلبات

الحل

إختبار مع حركة مرور حقيقية

تصحيح أخطاء PBR

ملخص أوامر PBR

الحالة 4 - إعادة التوجيه استنادا إلى البحث عن التوجيه العام

واجهة Null0

المتطلبات

الحل

مسارات متعددة متساوية التكلفة (ECMP)

مستوى إدارة FTD

النقطة الرئيسية

توجيه واجهة FTD LINA التشخيصية

اكتشاف إعادة التوجيه ثنائي الإتجاه (BFD)

الموجهات الظاهرية (VRF)

معلومات ذات صلة

محفوظات المراجعة

تمت المساهمة بواسطة مهندسو Cisco

هل كان هذا المستند مفيدًا؟

اتصل بنا

ينطبق هذا المستند على هذه المنتجات