Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Prodotti correlati

Premesse

Configura interfaccia a coppia inline su FTD

Esempio di rete

Verifica

Verifica funzionamento interfaccia a coppia inline FTD

Teoria base

Verifica 1. Con l'uso di Packet-Tracer

Verifica 2. Invia pacchetti TCP SYN/ACK tramite coppia inline

Verifica 3. Debug Del Motore Firewall Per Il Traffico Consentito

Verifica 4. Verifica della propagazione dello stato del collegamento

Verifica 5. Configurazione NAT statico

Blocca pacchetto in modalità interfaccia a coppia inline

Configura La Modalità Inline Pair Con Tap

Verifica coppia inline FTD con funzionamento interfaccia tap

Coppia inline ed Etherchannel

Etherchannel terminato su FTD

Etherchannel tramite FTD

Risoluzione dei problemi

Confronto: coppia inline e coppia inline con tap

Riepilogo

Informazioni correlate

Introduzione

In questo documento viene descritta la configurazione, la verifica e il funzionamento di un'interfaccia a coppia inline su un accessorio Firepower Threat Defense (FTD).

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Firepower 4150 FTD (codice 6.1.0.x e 6.3.x)

- Firepower Management Center (FMC) (codice 6.1.0.x e 6.3.x)

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Prodotti correlati

Il presente documento può essere utilizzato anche per le seguenti versioni hardware e software:

- ASA5506-X, ASA5506W-X, ASA5506H-X, ASA5508-X, ASA5516-X

- ASA5512-X, ASA5515-X, ASA5525-X, ASA5545-X, ASA5555-X

- FPR2100, FPR4100, FPR9300

- VMware (ESXi), Amazon Web Services (AWS), Kernel-based Virtual Machine (KVM)

- Codice software FTD 6.2.x e versioni successive

Premesse

FTD è un'immagine software unificata costituita da 2 motori principali:

- Motore LINA

- Motore Snort

Questa figura mostra il rapporto tra i 2 motori:

- Il pacchetto entra dall'interfaccia di ingresso e viene gestito dal motore LINA

- Se richiesto dalla policy FTD, il pacchetto viene ispezionato dal motore Snort

- Il motore Snort restituisce un verdetto per il pacchetto

- In base a questo verdetto, il motore LINA elimina il pacchetto o lo inoltra

FTD fornisce due modalità di distribuzione e sei modalità di interfaccia, come mostrato nell'immagine:

Nota: è possibile utilizzare più modalità di interfaccia su un unico accessorio FTD.

Di seguito è riportata una panoramica di alto livello delle diverse modalità di distribuzione FTD e interfaccia:

Modalità interfaccia FTD

Modalità di distribuzione FTD

Descrizione

Il traffico può essere interrotto

Stesura

Stesura

Controlli completi del motore LINA e del motore Snort

Sì

Commutato

Trasparente

Controlli completi del motore LINA e del motore Snort

Sì

Coppia inline

Routed o Transparent

Controlli parziali del motore LINA e completi del motore Snort

Sì

Coppia inline con tap

Routed o Transparent

Controlli parziali del motore LINA e completi del motore Snort

No

Passivo

Routed o Transparent

Controlli parziali del motore LINA e completi del motore Snort

No

Passivo (ERSPAN)

Stesura

Controlli parziali del motore LINA e completi del motore Snort

No

Configura interfaccia a coppia inline su FTD

Esempio di rete

Requisito

Configurare le interfacce fisiche e1/6 e e1/8 in modalità Inline Pair come indicato nei seguenti requisiti:

Interfaccia

e1/6

e1/8

Nome

INTERNO

ESTERNO

Area di sicurezza

AREA_INTERNA

AREA_ESTERNA

Nome set inline

Inline-Pair-1

MTU impostata inline

1500

FailSafe

Attivato

Propaga stato collegamento

Attivato

Soluzione

Passaggio 1. Per configurare le singole interfacce, selezionare Dispositivi > Gestione dispositivi, selezionare il dispositivo appropriato e selezionare Modifica, come mostrato nell'immagine.

Quindi, specificare Name e Tick Enabled (Nome e Tick attivati) per l'interfaccia, come mostrato nell'immagine.

Nota: Name è il nome dell'interfaccia.

Analogamente, all'interfaccia Ethernet1/8. Il risultato finale è quello mostrato nell'immagine.

Passaggio 2. Configurare la coppia inline.

Passate a Insiemi in linea (Inline Sets) > Aggiungi insieme in linea (Add Inline Set) come mostrato nell'immagine.

Passaggio 3. Configurare le impostazioni generali in base ai requisiti, come mostrato nell'immagine.

Nota: Failsafe consente il passaggio del traffico attraverso la coppia inline senza essere ispezionata nel caso in cui i buffer dell'interfaccia siano pieni (in genere rilevati quando il dispositivo è sovraccarico o il motore Snort è sovraccarico). Le dimensioni del buffer dell'interfaccia vengono allocate dinamicamente.

Passaggio 4. Abilitare l'opzione Propagate Link State (Propaga stato collegamento) nelle Impostazioni avanzate, come mostrato nell'immagine.

La propagazione dello stato del collegamento riduce automaticamente la seconda interfaccia nella coppia di interfacce inline quando una delle interfacce nel set inline diventa inattiva.

Passaggio 5. Salvare le modifiche e distribuire.

Verifica

Fare riferimento a questa sezione per verificare che la configurazione funzioni correttamente.

Verificare la configurazione della coppia inline dalla CLI FTD.

Soluzione

Accedere alla CLI FTD e verificare la configurazione della coppia inline:

> show inline-set

Inline-set Inline-Pair-1

Mtu is 1500 bytes

Failsafe mode is on/activated

Failsecure mode is off

Tap mode is off

Propagate-link-state option is on

hardware-bypass mode is disabled

Interface-Pair[1]:

Interface: Ethernet1/6 "INSIDE"

Current-Status: UP

Interface: Ethernet1/8 "OUTSIDE"

Current-Status: UP

Bridge Group ID: 509

>

Nota: l'ID del gruppo di bridge è un valore diverso da 0. Se la modalità maschiatura è attiva, è 0

Informazioni sull'interfaccia e sul nome:

> show nameif

Interface                Name                     Security

Ethernet1/6              INSIDE                     0

Ethernet1/7              diagnostic                 0

Ethernet1/8              OUTSIDE                    0

>

Verificare lo stato dell'interfaccia:

> show interface ip brief

Interface                  IP-Address      OK? Method Status                Protocol

Internal-Data0/0           unassigned      YES unset  up                    up

Internal-Data0/1           unassigned      YES unset  up                    up

Internal-Data0/2           169.254.1.1     YES unset  up                    up

Ethernet1/6                unassigned      YES unset  up                    up

Ethernet1/7                unassigned      YES unset  up                    up

Ethernet1/8                unassigned      YES unset  up                    up

Verificare le informazioni sull'interfaccia fisica:

> show interface e1/6

Interface Ethernet1/6 "INSIDE", is up, line protocol is up

Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec

MAC address 5897.bdb9.770e, MTU 1500

IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1

IP address unassigned

Traffic Statistics for "INSIDE":

468 packets input, 47627 bytes

12 packets output, 4750 bytes

1 packets dropped

1 minute input rate 0 pkts/sec,  200 bytes/sec

1 minute output rate 0 pkts/sec,  7 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  96 bytes/sec

5 minute output rate 0 pkts/sec,  8 bytes/sec

5 minute drop rate, 0 pkts/sec

> show interface e1/8

Interface Ethernet1/8 "OUTSIDE", is up, line protocol is up

Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec

MAC address 5897.bdb9.774d, MTU 1500

IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1

IP address unassigned

Traffic Statistics for "OUTSIDE":

12 packets input, 4486 bytes

470 packets output, 54089 bytes

0 packets dropped

1 minute input rate 0 pkts/sec,  7 bytes/sec

1 minute output rate 0 pkts/sec,  212 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  7 bytes/sec

5 minute output rate 0 pkts/sec,  106 bytes/sec

5 minute drop rate, 0 pkts/sec

>

Verifica funzionamento interfaccia a coppia inline FTD

In questa sezione vengono illustrati i controlli di verifica per verificare il funzionamento di Inline Pair:

- Verifica 1. Con l'uso del packet-tracer

- Verifica 2. Abilita l'acquisizione con traccia e invia un pacchetto di sincronizzazione/riconoscimento TCP (SYN/ACK) tramite la coppia inline

- Verifica 3. Monitoraggio del traffico FTD con l'utilizzo del debug del motore del firewall

- Verifica 4. Verifica della funzionalità di propagazione dello stato del collegamento

- Verifica 5. Configurazione di NAT (Static Network Address Translation)

Soluzione

Panoramica dell'architettura

Quando due interfacce FTD operano in modalità Inline-pair, un pacchetto viene gestito come mostrato nell'immagine.

Nota: solo le interfacce fisiche possono essere membri di un set di coppie inline

Teoria base

- Quando si configura una coppia inline 2, le interfacce fisiche vengono collegate internamente

- Molto simile al classico IPS (Intrusion Prevention System) in linea

- Disponibile in modalità di distribuzione instradata o trasparente

- La maggior parte delle funzionalità del motore LINA (NAT, Routing e così via) non è disponibile per i flussi che passano attraverso una coppia inline

- Il traffico di transito può essere scartato

- Alcuni controlli del motore LINA vengono applicati insieme ai controlli completi del motore Snort

L'ultimo punto può essere visualizzato come mostrato nell'immagine:

Verifica 1. Con l'uso di Packet-Tracer

L'output packet-tracer che emula un pacchetto che attraversa la coppia inline con i punti importanti evidenziati:

> packet-tracer input INSIDE tcp 192.168.201.50 1111 192.168.202.50 80

Phase: 1

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 2

Type: NGIPS-MODE

Subtype: ngips-mode

Result: ALLOW

Config:

Additional Information:

The flow ingressed an interface configured for NGIPS mode and NGIPS services is be applied

Phase: 3

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268438528

access-list CSM_FW_ACL_ remark rule-id 268438528: ACCESS POLICY: FTD4100 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268438528: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet is sent to snort for additional processing where a verdict is reached

Phase: 4

Type: NGIPS-EGRESS-INTERFACE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

Ingress interface INSIDE is in NGIPS inline mode.

Egress interface OUTSIDE is determined by inline-set configuration

Phase: 5

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 106, packet dispatched to next module

Result:

input-interface: INSIDE

input-status: up

input-line-status: up

Action: allow

>

Verifica 2. Invia pacchetti TCP SYN/ACK tramite coppia inline

È possibile generare pacchetti TCP SYN/ACK con l'uso di un pacchetto che crea un'utilità come Scapy. Questa sintassi genera 3 pacchetti con flag SYN/ACK abilitati:

root@KALI:~# scapy

INFO: Can't import python gnuplot wrapper . Won't be able to plot.

WARNING: No route found for IPv6 destination :: (no default route?)

Welcome to Scapy (2.2.0)

>>> conf.iface='eth0'

>>> packet = IP(dst="192.168.201.60")/TCP(flags="SA",dport=80)

>>> syn_ack=[]

>>> for i in range(0,3): # Send 3 packets

...  syn_ack.extend(packet)

...

>>> send(syn_ack)

Abilitare questa acquisizione sulla CLI FTD e inviare alcuni pacchetti TCP SYN/ACK:

> capture CAPI interface INSIDE trace match ip host 192.168.201.60 any

> capture CAPO interface OUTSIDE match ip host 192.168.201.60 any

>

Dopo aver inviato i pacchetti tramite l'FTD, è possibile vedere una connessione che è stata creata:

> show conn detail

1 in use, 34 most used

Flags: A - awaiting responder ACK to SYN, a - awaiting initiator ACK to SYN,

b - TCP state-bypass or nailed,

C - CTIQBE media, c - cluster centralized,

D - DNS, d - dump, E - outside back connection, e - semi-distributed,

F - initiator FIN, f - responder FIN,

G - group, g - MGCP, H - H.323, h - H.225.0, I - initiator data,

i - incomplete, J - GTP, j - GTP data, K - GTP t3-response

k - Skinny media, M - SMTP data, m - SIP media, N - inspected by Snort, n - GUP

O - responder data, P - inside back connection,

q - SQL*Net data, R - initiator acknowledged FIN,

R - UDP SUNRPC, r - responder acknowledged FIN,

T - SIP, t - SIP transient, U - up,

V - VPN orphan, v - M3UA W - WAAS,

w - secondary domain backup,

X - inspected by service module,

x - per session, Y - director stub flow, y - backup stub flow,

Z - Scansafe redirection, z - forwarding stub flow

TCP Inline-Pair-1:OUTSIDE(OUTSIDE): 192.168.201.60/80 Inline-Pair-1:INSIDE(INSIDE): 192.168.201.50/20,

flags b N, idle 13s, uptime 13s, timeout 1h0m, bytes 0

>

Nota: b flag: un'appliance ASA classica rifiuta un pacchetto SYN/ACK non richiesto a meno che non sia stato abilitato il bypass dello stato TCP. Un'interfaccia FTD in modalità Inline Pair gestisce una connessione TCP in modalità di bypass dello stato TCP e non elimina i pacchetti TCP che non appartengono alle connessioni già esistenti.

Nota: flag N - Il pacchetto viene ispezionato dal motore Snort FTD.

Le clip lo provano, dal momento che si possono vedere i 3 pacchetti che attraversano l'FTD:

> show capture CAPI

3 packets captured

1: 15:27:54.327146       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

2: 15:27:54.330000       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

3: 15:27:54.332517       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

3 packets shown

>

3 pacchetti escono dal dispositivo FTD:

> show capture CAPO

3 packets captured

1: 15:27:54.327299       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

2: 15:27:54.330030       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

3: 15:27:54.332548       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

3 packets shown

>

Con la traccia del primo pacchetto di acquisizione rivelano alcune informazioni aggiuntive come il verdetto del motore Snort:

> show capture CAPI packet-number 1 trace

3 packets captured

1: 15:27:54.327146       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: NGIPS-MODE

Subtype: ngips-mode

Result: ALLOW

Config:

Additional Information:

The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced permit ip any any rule-id 268438528

access-list CSM_FW_ACL_ remark rule-id 268438528: ACCESS POLICY: FTD4100 - Default/1

access-list CSM_FW_ACL_ remark rule-id 268438528: L4 RULE: DEFAULT ACTION RULE

Additional Information:

This packet is sent to snort for additional processing where a verdict is reached

Phase: 5

Type: NGIPS-EGRESS-INTERFACE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

Ingress interface INSIDE is in NGIPS inline mode.

Egress interface OUTSIDE is determined by inline-set configuration

Phase: 6

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 282, packet dispatched to next module

Phase: 7

Type: EXTERNAL-INSPECT

Subtype:

Result: ALLOW

Config:

Additional Information:

Application: 'SNORT Inspect'

Phase: 8

Type: SNORT

Subtype:

Result: ALLOW

Config:

Additional Information:

Snort Verdict: (pass-packet) allow this packet

Phase: 9

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Result:

input-interface: OUTSIDE

input-status: up

input-line-status: up

Action: allow

1 packet shown

>

Quando la traccia del secondo pacchetto acquisito mostra che il pacchetto corrisponde a una connessione corrente, quindi ignora il controllo ACL, ma viene comunque ispezionato dal motore Snort:

> show capture CAPI packet-number 2 trace

3 packets captured

2: 15:27:54.330000       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: FLOW-LOOKUP

Subtype:ing

Result: ALLOW

Config:

Additional Information:

Found flow with id 282, using current flow

Phase: 4

Type: EXTERNAL-INSPECT

Subtype:

Result: ALLOW

Config:

Additional Information:

Application: 'SNORT Inspect'

Phase: 5

Type: SNORT

Subtype:

Result: ALLOW

Config:

Additional Information:

Snort Verdict: (pass-packet) allow this packet

Phase: 6

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Result:

input-interface: OUTSIDE

input-status: up

input-line-status: up

Action: allow

1 packet shown

>

Verifica 3. Debug Del Motore Firewall Per Il Traffico Consentito

Il debug del motore del firewall viene eseguito su componenti specifici del motore dello snort FTD come i criteri di controllo dell'accesso, come mostrato nell'immagine:

Quando si inviano i pacchetti TCP SYN/ACK tramite Inline Pair, è possibile vedere nell'output del comando debug:

> system support firewall-engine-debug

Please specify an IP protocol: tcp

Please specify a client IP address:

Please specify a client port:

Please specify a server IP address: 192.168.201.60

Please specify a server port: 80

Monitoring firewall engine debug messages

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 New session

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 using HW or preset rule order 3, id 268438528 action Allow and prefilter rule 0

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 allow action

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 Deleting session

Verifica 4. Verifica della propagazione dello stato del collegamento

Abilitare il buffer log su FTD e chiudere la porta dello switch collegata all'interfaccia e1/6. Dalla CLI del FTD è necessario notare che entrambe le interfacce sono disabilitate:

> show interface ip brief

Interface                  IP-Address      OK? Method Status                Protocol

Internal-Data0/0           unassigned      YES unset  up                    up

Internal-Data0/1           unassigned      YES unset  up                    up

Internal-Data0/2           169.254.1.1     YES unset  up                    up

Ethernet1/6                unassigned      YES unset  down                  down

Ethernet1/7                unassigned      YES unset  up                    up

Ethernet1/8                unassigned      YES unset  administratively down up

>

I log FTD mostrano:

> show log

Jan 03 2017 15:53:19: %ASA-4-411002: Line protocol on Interface Ethernet1/6, changed state to down

Jan 03 2017 15:53:19: %ASA-4-411004: Interface OUTSIDE, changed state to administratively down

Jan 03 2017 15:53:19: %ASA-4-411004: Interface Ethernet1/8, changed state to administratively down

Jan 03 2017 15:53:19: %ASA-4-812005: Link-State-Propagation activated on inline-pair due to failure of interface Ethernet1/6(INSIDE) bringing down pair interface Ethernet1/8(OUTSIDE)

>

Lo stato inline-set mostra lo stato dei due membri dell'interfaccia:

> show inline-set

Inline-set Inline-Pair-1

Mtu is 1500 bytes

Failsafe mode is on/activated

Failsecure mode is off

Tap mode is off

Propagate-link-state option is on

hardware-bypass mode is disabled

Interface-Pair[1]:

Interface: Ethernet1/6 "INSIDE"

Current-Status: Down(Propagate-Link-State-Activated)

Interface: Ethernet1/8 "OUTSIDE"

Current-Status: Down(Down-By-Propagate-Link-State)

Bridge Group ID: 509

>

Si noti la differenza nello stato delle due interfacce:

> show interface e1/6

Interface Ethernet1/6 "INSIDE", is down, line protocol is down

Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec

MAC address 5897.bdb9.770e, MTU 1500

IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1

Propagate-Link-State-Activated

IP address unassigned

Traffic Statistics for "INSIDE":

3393 packets input, 234923 bytes

120 packets output, 49174 bytes

1 packets dropped

1 minute input rate 0 pkts/sec,  0 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  6 bytes/sec

5 minute output rate 0 pkts/sec,  3 bytes/sec

5 minute drop rate, 0 pkts/sec

>

E per l'interfaccia Ethernet1/8:

> show interface e1/8

Interface Ethernet1/8 "OUTSIDE", is administratively down, line protocol is up

Hardware is EtherSVI, BW 1000 Mbps, DLY 1000 usec

MAC address 5897.bdb9.774d, MTU 1500

IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1

Down-By-Propagate-Link-State

IP address unassigned

Traffic Statistics for "OUTSIDE":

120 packets input, 46664 bytes

3391 packets output, 298455 bytes

0 packets dropped

1 minute input rate 0 pkts/sec,  0 bytes/sec

1 minute output rate 0 pkts/sec,  0 bytes/sec

1 minute drop rate, 0 pkts/sec

5 minute input rate 0 pkts/sec,  3 bytes/sec

5 minute output rate 0 pkts/sec,  8 bytes/sec

5 minute drop rate, 0 pkts/sec

>

Dopo aver riattivato switchport, i log FTD mostrano:

> show log

...

Jan 03 2017 15:59:35: %ASA-4-411001: Line protocol on Interface Ethernet1/6, changed state to up

Jan 03 2017 15:59:35: %ASA-4-411003: Interface Ethernet1/8, changed state to administratively up

Jan 03 2017 15:59:35: %ASA-4-411003: Interface OUTSIDE, changed state to administratively up

Jan 03 2017 15:59:35: %ASA-4-812006: Link-State-Propagation de-activated on inline-pair due to recovery of interface Ethernet1/6(INSIDE) bringing up pair interface Ethernet1/8(OUTSIDE)

>

Verifica 5. Configurazione NAT statico

Soluzione

NAT non è supportato per le interfacce che operano in modalità inline, inline tap o passive:

https://www.cisco.com/c/en/us/td/docs/security/firepower/601/configuration/guide/fpmc-config-guide-v601/Network_Address_Translation__NAT__for_Threat_Defense.html

Blocca pacchetto in modalità interfaccia a coppia inline

Creare una regola di blocco, inviare il traffico attraverso la coppia inline FTD e osservare il comportamento come mostrato nell'immagine.

Soluzione

Abilita l'acquisizione con trace e invia i pacchetti SYN/ACK tramite la coppia inline FTD. Il traffico è bloccato:

> show capture

capture CAPI type raw-data trace interface INSIDE [Capturing - 210 bytes]

match ip host 192.168.201.60 any

capture CAPO type raw-data interface OUTSIDE [Capturing - 0 bytes]

match ip host 192.168.201.60 any

Con la traccia, un pacchetto rivela:

> show capture CAPI packet-number 1 trace

3 packets captured

1: 16:12:55.785085       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: NGIPS-MODE

Subtype: ngips-mode

Result: ALLOW

Config:

Additional Information:

The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: DROP

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start

access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1

access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1

Additional Information:

Result:

input-interface: INSIDE

input-status: up

input-line-status: up

Action: drop

Drop-reason: (acl-drop) Flow is denied by configured rule

1 packet shown

In questa traccia, si può vedere che il pacchetto è stato scartato dal motore LINA FTD e non è stato inoltrato al motore Snort FTD.

Configura La Modalità Inline Pair Con Tap

Abilitare la modalità Tap sulla coppia inline.

Soluzione

Passare a Dispositivi > Gestione periferiche > Insiemi in linea > Modifica insieme in linea > Avanzate e attivare la modalità maschiatura come mostrato nell'immagine.

Verifica

> show inline-set

Inline-set Inline-Pair-1

Mtu is 1500 bytes

Failsafe mode is on/activated

Failsecure mode is off

Tap mode is on

Propagate-link-state option is on

hardware-bypass mode is disabled

Interface-Pair[1]:

Interface: Ethernet1/6 "INSIDE"

Current-Status: UP

Interface: Ethernet1/8 "OUTSIDE"

Current-Status: UP

Bridge Group ID: 0

>

Verifica coppia inline FTD con funzionamento interfaccia tap

Teoria base

- Quando si configura una coppia inline con il tap 2, le interfacce fisiche vengono collegate internamente

- È disponibile in modalità di distribuzione instradata o trasparente

- La maggior parte delle funzionalità del motore LINA (NAT, Routing e così via) non è disponibile per i flussi che passano attraverso la coppia inline

- Impossibile eliminare il traffico effettivo

- Alcuni controlli del motore LINA vengono applicati insieme ai controlli completi del motore Snort su una copia del traffico effettivo

L'ultimo punto è come mostrato nell'immagine:

L'opzione Inline Pair with Tap Mode (Accoppia inline con modalità tap) non elimina il traffico di transito. Con la traccia di un pacchetto conferma questo:

> show capture CAPI packet-number 2 trace

3 packets captured

2: 13:34:30.685084       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: NGIPS-MODE

Subtype: ngips-mode

Result: ALLOW

Config:

Additional Information:

The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: WOULD HAVE DROPPED

Config:

access-group CSM_FW_ACL_ global

access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start

access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1

access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1

Additional Information:

Result:

input-interface: INSIDE

input-status: up

input-line-status: up

Action: Access-list would have dropped, but packet forwarded due to inline-tap

1 packet shown

>

Coppia inline ed Etherchannel

È possibile configurare una coppia inline con etherchannel in 2 modi:

1. Etherchannel terminato su FTD

2. Etherchannel passa attraverso il FTD (richiede il codice FXOS 2.3.1.3 e versioni successive)

Etherchannel terminato su FTD

Etherchannel su SW-A:

SW-A# show etherchannel summary | i Po33|Po55

33     Po33(SU)        LACP      Gi3/11(P)

35     Po35(SU)        LACP      Gi2/33(P)

Etherchannel su SW-B:

SW-B# show etherchannel summary | i Po33|Po55

33     Po33(SU)        LACP        Gi1/0/3(P)

55     Po55(SU)        LACP        Gi1/0/4(P)

Il traffico viene inoltrato tramite l'FTD attivo in base all'apprendimento dell'indirizzo MAC:

SW-B# show mac address-table address 0017.dfd6.ec00

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

201    0017.dfd6.ec00    DYNAMIC     Po33

Total Mac Addresses for this criterion: 1

Il set in linea su FTD:

FTD# show inline-set

Inline-set SET1

Mtu is 1500 bytes

Fail-open for snort down is on

Fail-open for snort busy is off

Tap mode is off

Propagate-link-state option is off

hardware-bypass mode is disabled

Interface-Pair[1]:

Interface: Port-channel3 "INSIDE"

Current-Status: UP

Interface: Port-channel5 "OUTSIDE"

Current-Status: UP

Bridge Group ID: 775

Nota: in caso di evento di failover FTD, l'interruzione del traffico dipende principalmente dal tempo necessario sugli switch per conoscere l'indirizzo MAC del peer remoto.

Etherchannel tramite FTD

Etherchannel su SW-A:

SW-A# show etherchannel summary | i Po33|Po55

33     Po33(SU)        LACP      Gi3/11(P)

55     Po55(SD)        LACP      Gi3/7(I)

I pacchetti LACP attraverso l'FTD standby sono bloccati:

FTD# capture ASP type asp-drop fo-standby

FTD# show capture ASP | i 0180.c200.0002

29: 15:28:32.658123       a0f8.4991.ba03 0180.c200.0002 0x8809 Length: 124

70: 15:28:47.248262       f0f7.556a.11e2 0180.c200.0002 0x8809 Length: 124

Etherchannel su SW-B:

SW-B# show etherchannel summary | i Po33|Po55

33     Po33(SU)        LACP        Gi1/0/3(P)

55     Po55(SD)        LACP        Gi1/0/4(s)

Il traffico viene inoltrato tramite l'FTD attivo in base all'apprendimento dell'indirizzo MAC:

SW-B# show mac address-table address 0017.dfd6.ec00

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

201    0017.dfd6.ec00    DYNAMIC     Po33

Total Mac Addresses for this criterion: 1

Il set in linea su FTD:

FTD# show inline-set

Inline-set SET1

Mtu is 1500 bytes

Fail-open for snort down is on

Fail-open for snort busy is off

Tap mode is off

Propagate-link-state option is off

hardware-bypass mode is disabled

Interface-Pair[1]:

Interface: Ethernet1/3 "INSIDE"

Current-Status: UP

Interface: Ethernet1/5 "OUTSIDE"

Current-Status: UP

Bridge Group ID: 519

Attenzione: in questo scenario, nel caso di un evento di failover FTD, il tempo di convergenza dipende principalmente dalla negoziazione LACP Etherchannel e il tempo necessario per l'interruzione può essere più lungo. Se la modalità Etherchannel è impostata su ON (senza LACP), il tempo di convergenza dipende dall'apprendimento dell'indirizzo MAC.

Risoluzione dei problemi

Nessuna informazione specifica disponibile per questa configurazione.

Confronto: coppia inline e coppia inline con tap

Coppia inline

Coppia inline con tap

show inline-set

> show inline-set

Inline-set Inline-Pair-1

Mtu è 1500 byte

La modalità Failsafe è attivata/attivata

La modalità di protezione da errori è disattivata

Modalità maschiatura disattivata

Opzione Propagate-link-state attivata

la modalità di bypass dell'hardware è disabilitata

Interface-Pair[1]:

Interfaccia: Ethernet1/6 "INSIDE"

Current-Status: SU

Interfaccia: Ethernet 1/8 "OUTSIDE"

Current-Status: SU

ID gruppo bridge: 509

>

> show inline-set

Inline-set Inline-Pair-1

Mtu è 1500 byte

La modalità Failsafe è attivata/attivata

La modalità di protezione da errori è disattivata

Modalità tocco attivata

Opzione Propagate-link-state attivata

la modalità di bypass dell'hardware è disabilitata

Interface-Pair[1]:

Interfaccia: Ethernet1/6 "INSIDE"

Current-Status: SU

Interfaccia: Ethernet 1/8 "OUTSIDE"

Current-Status: SU

ID gruppo bridge: 0

>

show interface

> show interface e1/6

Interfaccia Ethernet1/6 "INSIDE", attiva, protocollo di linea attivo

L'hardware è EtherSVI, BW 1000 Mbps, DLY 1000 usec

Indirizzo MAC 5897.bdb9.770e, MTU 1500

Modalità interfaccia IPS: inline, Inline-Set: Inline-Pair-1

Indirizzo IP non assegnato

Statistiche sul traffico per "INSIDE":

Ingresso pacchetti 3957, 264913 byte

144 pacchetti in uscita, 5864 byte

4 pacchetti ignorati

Velocità di ingresso di 1 minuto 0 pkt/sec, 26 byte/sec

Velocità di uscita di 1 minuto 0 pkt/sec, 7 byte/sec

cadute di 1 minuto, 0 pkt/sec

Velocità di ingresso di 5 minuti 0 pkt/sec, 28 byte/sec

Velocità di uscita di 5 minuti 0 pkt/sec, 9 byte/sec

cadute di 5 minuti, 0 pkt/sec

> show interface e1/8

Interface Ethernet1/8 "OUTSIDE", è attivo, il protocollo di linea è attivo

L'hardware è EtherSVI, BW 1000 Mbps, DLY 1000 usec

Indirizzo MAC 5897.bdb9.774d, MTU 1500

Modalità interfaccia IPS: inline, Inline-Set: Inline-Pair-1

Indirizzo IP non assegnato

Statistiche traffico per "ALL'ESTERNO":

144 pacchetti in ingresso, 55634 byte

3954 pacchetti in uscita, 39987 byte

0 pacchetti ignorati

Velocità di ingresso di 1 minuto 0 pkt/sec, 7 byte/sec

Velocità di uscita di 1 minuto 0 pkt/sec, 37 byte/sec

cadute di 1 minuto, 0 pkt/sec

Velocità di ingresso di 5 minuti 0 pkt/sec, 8 byte/sec

Velocità di uscita di 5 minuti 0 pkt/sec, 39 byte/sec

cadute di 5 minuti, 0 pkt/sec

>

> show interface e1/6

Interfaccia Ethernet1/6 "INSIDE", attiva, protocollo di linea attivo

L'hardware è EtherSVI, BW 1000 Mbps, DLY 1000 usec

Indirizzo MAC 5897.bdb9.770e, MTU 1500

Modalità interfaccia IPS: inline-tap, Inline-set: Inline-Pair-1

Indirizzo IP non assegnato

Statistiche sul traffico per "INSIDE":

24 pacchetti di input, 1378 byte

0 pacchetti di output, 0 byte

24 pacchetti ignorati

Velocità di input di 1 minuto: 0 pkt/sec, 0 byte/sec

Velocità di uscita di 1 minuto 0 pkt/sec, 0 byte/sec

cadute di 1 minuto, 0 pkt/sec

Velocità di ingresso di 5 minuti 0 pkt/sec, 0 byte/sec

Velocità di uscita di 5 minuti 0 pkt/sec, 0 byte/sec

cadute di 5 minuti, 0 pkt/sec

> show interface e1/8

Interface Ethernet1/8 "OUTSIDE", è attivo, il protocollo di linea è attivo

L'hardware è EtherSVI, BW 1000 Mbps, DLY 1000 usec

Indirizzo MAC 5897.bdb9.774d, MTU 1500

Modalità interfaccia IPS: inline-tap, Inline-set: Inline-Pair-1

Indirizzo IP non assegnato

Statistiche traffico per "ALL'ESTERNO":

1 pacchetto di input, 441 byte

0 pacchetti di output, 0 byte

1 pacchetto scartato

Velocità di input di 1 minuto: 0 pkt/sec, 0 byte/sec

Velocità di uscita di 1 minuto 0 pkt/sec, 0 byte/sec

cadute di 1 minuto, 0 pkt/sec

Velocità di ingresso di 5 minuti 0 pkt/sec, 0 byte/sec

Velocità di uscita di 5 minuti 0 pkt/sec, 0 byte/sec

cadute di 5 minuti, 0 pkt/sec

>

Per gestire il pacchetto con la regola di blocco

> show capture CAPI packet-number 1 trace

3 pacchetti acquisiti

1: 16:12:55.785085 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192

Fase 1

Tipo: ACQUISIZIONE

Sottotipo:

Risultato: ALLOW

Config:

Ulteriori informazioni:

Elenco accessi MAC

Fase: 2

Tipo: ACCESS-LIST

Sottotipo:

Risultato: ALLOW

Config:

Regola implicita

Ulteriori informazioni:

Elenco accessi MAC

Fase: 3

Tipo: MODALITÀ NGIPS

Sottotipo: modalità ngips

Risultato: ALLOW

Config:

Ulteriori informazioni:

Il flusso in ingresso è un'interfaccia configurata per la modalità NGIPS e vengono applicati i servizi NGIPS

Fase: 4

Tipo: ACCESS-LIST

Sottotipo: log

Risultato: DROP

Config:

access-group CSM_FW_ACL_ globale

access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start

access-list CSM_FW_ACL_ note rule-id 268441600: ACCESS POLICY: FTD4100 - Obbligatorio/1

access-list CSM_FW_ACL_ note rule-id 268441600: L4 RULE: Rule 1

Ulteriori informazioni:

Risultato:

interfaccia di ingresso: INSIDE

input-status: attivo

stato della linea di ingresso: su

Azione: eliminare

Motivo dell'eliminazione: flusso (acl-drop) negato dalla regola configurata

1 pacchetto visualizzato

>

> show capture CAPI packet-number 1 trace

3 pacchetti acquisiti

1: 16:56:02.631437 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192

Fase 1

Tipo: ACQUISIZIONE

Sottotipo:

Risultato: ALLOW

Config:

Ulteriori informazioni:

Elenco accessi MAC

Fase: 2

Tipo: ACCESS-LIST

Sottotipo:

Risultato: ALLOW

Config:

Regola implicita

Ulteriori informazioni:

Elenco accessi MAC

Fase: 3

Tipo: MODALITÀ NGIPS

Sottotipo: modalità ngips

Risultato: ALLOW

Config:

Ulteriori informazioni:

Il flusso in ingresso è un'interfaccia configurata per la modalità NGIPS e vengono applicati i servizi NGIPS

Fase: 4

Tipo: ACCESS-LIST

Sottotipo: log

Risultato: ELIMINATO

Config:

access-group CSM_FW_ACL_ globale

access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start

access-list CSM_FW_ACL_ note rule-id 268441600: ACCESS POLICY: FTD4100 - Obbligatorio/1

access-list CSM_FW_ACL_ note rule-id 268441600: L4 RULE: Rule 1

Ulteriori informazioni:

Risultato:

interfaccia di ingresso: INSIDE

input-status: attivo

stato della linea di ingresso: su

Azione: l'elenco degli accessi sarebbe stato ignorato, ma il pacchetto sarebbe stato inoltrato a causa di un tocco in linea

1 pacchetto visualizzato

>

Riepilogo

- Quando si usa la modalità Inline Pair, il pacchetto passa principalmente attraverso il motore Snort FTD

- Le connessioni TCP vengono gestite in modalità TCP state-bypass

- Dal punto di vista di un motore LINA FTD, viene applicato un criterio ACL

- Quando è in uso la modalità Inline Pair, i pacchetti possono essere bloccati perché vengono elaborati in linea

- Quando la modalità tap è abilitata, una copia del pacchetto viene ispezionata e scartata internamente mentre il traffico effettivo attraversa l'FTD senza modifiche

Informazioni correlate

- Cisco Firepower NGFW

- Documentazione e supporto tecnico – Cisco Systems