Contenu

Introduction

Q. Pourquoi l'ASA envoie-t-il des paquets au module IPS pour inspection alors qu'aucune stratégie IPS n'est configurée ?

Informations connexes

Introduction

Ce document explique pourquoi l'appliance de sécurité adaptative (ASA) de Cisco peut envoyer du trafic à un module de service intégré pour inspection lorsqu'il n'existe aucune stratégie de module IPS (Intrusion Prevention System) dans la configuration.

Q. Pourquoi l'ASA envoie-t-il des paquets au module IPS pour inspection alors qu'aucune stratégie IPS n'est configurée ?

A.

Il est possible qu'une connexion ait été créée pour envoyer le trafic au module IPS pour inspection lorsque l'ASA a été configuré, et que cette connexion soit toujours active.

Par exemple, un client doté d'un ASA5515-IPS n'a pas de stratégie configurée dans une carte de stratégie pour envoyer le trafic au module IPS logiciel ; cependant, le trafic arrive au module à partir de l'ASA.

Lorsque vous utilisez la fonction d'affichage des paquets sur l'IPS, vous pouvez voir le trafic qui arrive à l'IPS depuis l'ASA :

14:34:38.341927 IP 192.168.1.2.1719 > 192.168.10.39.1888: UDP, length 128

14:34:38.341992 IP 192.168.1.2.1719 > 192.168.10.39.1888: UDP, length 128

14:34:38.345031 IP 192.168.1.2.1719 > 192.168.110.39.1888: UDP, length 34

14:34:38.345068 IP 192.168.1.2.1719 > 192.168.110.39.1888: UDP, length 34

Les statistiques d'interface sur l'interface de détection IPS ont été effacées et des paquets ont été reçus :

sensor#  show interfaces portChannel

MAC statistics from interface PortChannel0/0

Interface function = Sensing interface

Description =

Media Type = backplane

Default Vlan = 0

InlineMode = Unpaired

Pair Status = N/A

Hardware Bypass Capable = No

Hardware Bypass Paired = N/A

Link Status = Up

Admin Enabled Status = Enabled

Link Speed = N/A

Link Duplex = N/A

Missed Packet Percentage = 0

Total Packets Received = 128

Total Bytes Received = 17904

Total Packets Transmitted = 128

Total Bytes Transmitted = 17904

La cause du problème est que parfois dans le passé une configuration a été ajoutée à l'ASA pour envoyer le trafic au module IPS, et les connexions n'ont pas été supprimées après la suppression de la configuration IPS sur l'ASA. C’est courant avec les protocoles non TCP qui transmettent constamment le trafic.

Sur l'ASA, entrez la commande show conn pour déterminer si les paquets que vous voyez sur le module IPS ont des entrées de connexion. Pour afficher les temps de fonctionnement, entrez la commande show conn detail. Afin de vous assurer que les connexions ne sont pas redirigées vers le système IPS, vous devrez peut-être entrer la commande clear conn <address> sur l'ASA pour effacer ces connexions spécifiques :

ASA# clear conn address 192.168.1.2

3 connection(s) deleted.

ASA#

Informations connexes

- Support et documentation techniques - Cisco Systems