Configurar interfaces FTD no modo de par em linha

Introdução

Este documento descreve a configuração, a verificação e a operação de uma interface de par em linha em um dispositivo Firepower Threat Defense (FTD).

Pré-requisitos

Requisitos

Não existem requisitos específicos para este documento.

  

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• FTD Firepower 4112 (código 7.x)
• Firepower Management Center (FMC) (código 7.x)

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Produtos Relacionados

Este documento também pode ser usado com as seguintes versões de hardware e software:

• FPR1000, FPR2100, FPR4100, FPR9300
• Secure Firewall séries 3100 e 4200
• vFTD
• Código de software FTD 6.2.x ou posterior

Informações de Apoio

O FTD é uma imagem de software unificada que consiste em dois mecanismos principais:

1. Mecanismo LINA
2. Mecanismo Snort

Esta figura mostra como os dois mecanismos interagem:

• Um pacote é inserido na interface de entrada e tratado pelo mecanismo LINA.
• Se for exigido pela política de FTD, o pacote será inspecionado pelo mecanismo Snort.
• O mecanismo Snort retorna um veredito para o pacote.
• O mecanismo LINA descarta ou encaminha o pacote de acordo com a conclusão do Snort.

O FTD fornece dois modos de implantação e seis modos de interface, como mostrado na imagem:

 Note: Você pode combinar modos de interface em um único dispositivo FTD.

Aqui está uma visão geral de alto nível dos vários modos de implantação e interface do FTD:

Modo de Interface FTD	Modo de Implantação do FTD	Descrição	O tráfego pode ser descartado
Roteado	Roteado	Verificações completas dos motores LINA e Snort.	Yes
Comutado	Transparente	Verificações completas dos motores LINA e Snort.	Yes
Par em linha	Roteado ou transparente	Verificações parcial do motor LINA e completo do motor Snort.	Yes
Par em linha com torneira	Roteado ou transparente	Verificações parcial do motor LINA e completo do motor Snort.	No
Passivo	Roteado ou transparente	Verificações parcial do motor LINA e completo do motor Snort.	No
Passivo (ERSPAN)	Roteado	Verificações parcial do motor LINA e completo do motor Snort.	No

Configurar a interface de par em linha no FTD

Diagrama de Rede

Requisitos

Configure as interfaces físicas e1/3 e e1/4 no modo de par em linha conforme estes requisitos:

Interface	e1/3	e1/4
Nome	INTERNA	EXTERNA
Zona de segurança	INSIDE_ZONE	OUTSIDE_ZONE
Nome do Conjunto Embutido	Par em linha-1
MTU de configuração in-line	1500
Propagar Estado do Link	Habilitado

Solução

Etapa 1. Para configurar as interfaces individuais, navegue até Devices > Device Management, selecione o dispositivo apropriado e selecione Edit:

Em seguida, especifique Name e marque Enabled para a interface como mostrado na imagem.

Note: O Nome é o nome da interface.

Da mesma forma, para a interface Ethernet1/4. O resultado final é mostrado:

Etapa 2. Configurar o par em linha.

Navegue até Conjuntos embutidos > Adicionar conjunto embutido conforme mostrado na imagem.

Etapa 3. Configurar as configurações gerais de acordo com os requisitos, conforme mostrado na imagem.

Etapa 4. Ative a opção Propagate Link State nas Advanced Settings conforme mostrado na imagem.

A propagação de estado de link desativa automaticamente a segunda interface no par de interface embutida quando uma das interfaces no conjunto embutido é desativada.

Etapa 5. Salve as alterações e Implante.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

Verifique a configuração de Par em linha a partir da CLI do FTD.

Solução

Inicie a sessão na CLI do FTD e verifique a configuração do par em linha:

firepower# show inline-set

Inline-set Inline-Pair-1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is on
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/4 "OUTSIDE"
      Current-Status: UP
    Interface: Ethernet1/3 "INSIDE"
      Current-Status: UP
    Bridge Group ID: 507

 Note: O ID do Grupo de Bridge é um valor diferente de 0. Se o Modo de Toque estiver ativado, será 0.

Informações de interface e nome:

firepower# show nameif
Interface       Name             Security
Ethernet1/1     management        0
Ethernet1/3     INSIDE            0
Ethernet1/4     OUTSIDE           0

Verifique o status da interface:

firepower# show interface ip brief
Interface             IP-Address    OK? Method Status Protocol
Internal-Control0/0   unassigned    YES unset  up     up 
Internal-Data0/0      unassigned    YES unset  up     up 
Internal-Data0/1      unassigned    YES unset  up     up 
Internal-Data0/2      169.254.1.1   YES unset  up     up 
Internal-Data0/3      unassigned    YES unset  up     up 
Internal-Data0/4      unassigned    YES unset  down   up 
Ethernet1/1           203.0.113.130 YES unset  up     up 
Ethernet1/3           unassigned    YES unset  up     up 
Ethernet1/4           unassigned    YES unset  up     up 

Verifique as informações da interface física:

firepower# show interface e1/3
Interface Ethernet1/3 "INSIDE", is up, line protocol is up
  Hardware is EtherSVI, BW 1000 Mbps, DLY 10 usec
           MAC address ac4a.670e.641e, MTU 1500
           IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
           IP address unassigned
  Traffic Statistics for "INSIDE":
           170 packets input, 12241 bytes
            41 packets output, 7881 bytes
             9 packets dropped
      1 minute input rate 0 pkts/sec, 37 bytes/sec
      1 minute output rate 0 pkts/sec, 19 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec, 34 bytes/sec
      5 minute output rate 0 pkts/sec, 23 bytes/sec
      5 minute drop rate, 0 pkts/sec

Verificar a Operação da Interface de Par em Linha FTD

Esta seção aborda estas verificações para verificar a operação de Par em Linha:

• Verificação 1. Com o uso do packet-tracer.
• Verificação 2. Habilite a captura com rastreamento e envie um pacote de sincronização/confirmação (SYN/ACK) TCP através do Par em Linha.
• Verificação 3. Monitorar o tráfego de FTD com o uso da depuração do mecanismo de firewall
• Verificação 4. Verificar a funcionalidade da Propagação de Link-State.
• Verificação 5. Configurar a conversão estática de endereço de rede (NAT).

Solução

Visão geral da arquitetura

Quando 2 interfaces FTD operam no modo de par em linha, um pacote é tratado, como mostrado na imagem.

 Note: Somente interfaces físicas podem ser membros de um conjunto de pares em linha.

Teoria básica

• Quando você configura um par em linha 2 físico, as interfaces são interligadas internamente.
• Muito semelhante ao IPS (Intrusion Prevention System, sistema de prevenção de intrusão) em linha clássico.
• Disponível nos modos de implantação roteada ou transparente.
• A maioria dos recursos do mecanismo LINA (NAT, roteamento e assim por diante) não está disponível para fluxos que passam por um par em linha.
• O tráfego de trânsito pode ser descartado.
• Algumas verificações de mecanismo LINA são aplicadas junto com verificações completas do mecanismo Snort.

O último ponto pode ser visualizado como mostrado na imagem:

Verificação 1. Com o uso do Packet Tracer

A saída do packet-tracer que emula um pacote que atravessa o par em linha com os pontos importantes destacados:

firepower# packet-tracer input INSIDE tcp 192.168.201.50 1111 192.168.202.50 80

Phase: 1
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Elapsed time: 11834 ns
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services will be applied

Phase: 2
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Elapsed time: 11834 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.201.50 host 192.168.202.50 rule-id 268451044 
access-list CSM_FW_ACL_ remark rule-id 268451044: ACCESS POLICY: mzafeiro_2m - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268451044: L7 RULE: New-Rule-#1303-ALLOW
Additional Information:
This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 3
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 2440 ns
Config:
Additional Information:
Ingress interface INSIDE is in NGIPS inline mode.
Egress interface OUTSIDE is determined by inline-set configuration

Phase: 4
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Elapsed time: 68320 ns
Config:
Additional Information:
New flow created with id 1801, packet dispatched to next module

Phase: 5
Type: EXTERNAL-INSPECT
Subtype: 
Result: ALLOW
Elapsed time: 18056 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 6
Type: SNORT
Subtype: identity
Result: ALLOW
Elapsed time: 13668 ns
Config:
Additional Information:
user id: no auth, realm id: 0, device type: 0, auth type: invalid, auth proto: basic, username: none, AD domain: none,
src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, abp src: none, abp dst: none, location: none

Phase: 7
Type: SNORT
Subtype: firewall
Result: ALLOW
Elapsed time: 67770 ns
Config:
Network 0, Inspection 0, Detection 0, Rule ID 268451044
Additional Information:
Starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url or host, no xff
Matched rule ids 268451044 - Allow

Phase: 8
Type: SNORT 
Subtype: appid
Result: ALLOW
Elapsed time: 11002 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 204924 ns

Verificação 2. Enviar pacotes TCP SYN/ACK através do par em linha

Você pode gerar pacotes TCP SYN/ACK com o uso de um pacote que cria utilitários como o Scapy. Esta sintaxe gera 3 pacotes com sinalizadores SYN/ACK ativados:

root@KALI:~# scapy
INFO: Can't import python gnuplot wrapper . Won't be able to plot.
WARNING: No route found for IPv6 destination :: (no default route?)
Welcome to Scapy (2.2.0)
>>> conf.iface='eth0'
>>> packet = IP(dst="192.168.201.60")/TCP(flags="SA",dport=80)
>>> syn_ack=[]
>>> for i in range(0,3): # Send 3 packets
...  syn_ack.extend(packet)
...
>>> send(syn_ack)

Habilite esta captura na CLI FTD e envie alguns pacotes TCP SYN/ACK:

firepower# capture CAPI interface INSIDE trace match ip host 192.168.201.60 any
firepower# capture CAPO interface OUTSIDE match ip host 192.168.201.60 any

A captura mostra que os 3 pacotes SYN/ACK passam pelo FTD:

firepower# show capture CAPI

3 packets captured

1: 09:20:18.206440 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
2: 09:20:18.208180 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
3: 09:20:18.210026 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
3 packets shown
firepower# show capture CAPO

3 packets captured

1: 09:20:18.206684 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
2: 09:20:18.208210 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
3: 09:20:18.210056 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
3 packets shown

O Rastreamento do primeiro pacote de captura revela algumas informações adicionais, como o veredito do mecanismo Snort:

firepower# show capture CAPI packet-number 1 trace

3 packets captured

1: 09:20:18.206440 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
Phase: 1
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Elapsed time: 5978 ns
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services will be applied

Phase: 2
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Elapsed time: 5978 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip host 192.168.201.50 object-group FMC_INLINE_dst_rule_268451044 rule-id 268451044 
access-list CSM_FW_ACL_ remark rule-id 268451044: ACCESS POLICY: mzafeiro_2m - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268451044: L7 RULE: New-Rule-#1303-ALLOW
object-group network FMC_INLINE_dst_rule_268451044
network-object 192.168.202.50 255.255.255.255
network-object 192.168.201.60 255.255.255.255
Additional Information:
This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 3
Type: NGIPS-EGRESS-INTERFACE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 1952 ns
Config:
Additional Information:
Ingress interface INSIDE is in NGIPS inline mode.
Egress interface OUTSIDE is determined by inline-set configuration

Phase: 4
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Elapsed time: 45872 ns
Config:
Additional Information:
New flow created with id 1953, packet dispatched to next module

Phase: 5
Type: EXTERNAL-INSPECT
Subtype: 
Result: ALLOW
Elapsed time: 18544 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 6
Type: SNORT
Subtype: identity
Result: ALLOW
Elapsed time: 25182 ns
Config:
Additional Information:
user id: no auth, realm id: 0, device type: 0, auth type: invalid, auth proto: basic, username: none, AD domain: none,
src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, abp src: none, abp dst: none, location: none

Phase: 7
Type: SNORT
Subtype: firewall
Result: ALLOW
Elapsed time: 50924 ns
Config:
Network 0, Inspection 0, Detection 0, Rule ID 268451044
Additional Information:
Starting rule matching, zone -1 -> -1, geo 0 -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url or host, no xff
Matched rule ids 268451044 - Allow

Phase: 8
Type: SNORT
Subtype: appid
Result: ALLOW
Elapsed time: 17722 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
output-interface: OUTSIDE(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 172152 ns


1 packet shown

O rastreamento do segundo pacote capturado mostra que o pacote corresponde a uma conexão atual, de modo que ele ignora a verificação da ACL, mas ainda é inspecionado pelo mecanismo Snort:

firepower# show capture CAPI packet-number 2 trace

3 packets captured

2: 09:20:18.208180 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 
Phase: 1
Type: FLOW-LOOKUP
Subtype: 
Result: ALLOW
Elapsed time: 1952 ns
Config:
Additional Information:
Found flow with id 1953, using existing flow

Phase: 2
Type: EXTERNAL-INSPECT
Subtype: 
Result: ALLOW
Elapsed time: 7320 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 3
Type: SNORT
Subtype: appid
Result: ALLOW 
Elapsed time: 1860 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)

Result:
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
Action: allow
Time Taken: 11132 ns


1 packet shown

Verificação 3. Depuração Do Mecanismo De Firewall Para Tráfego Permitido

A depuração do mecanismo de firewall é executada em componentes específicos do Mecanismo de Snort do FTD, como a Política de Controle de Acesso, conforme mostrado na imagem:

Quando você envia os pacotes TCP SYN/ACK através do par em linha, você pode ver na saída de depuração:

> system support firewall-engine-debug

Please specify an IP protocol: tcp
Please specify a client IP address:
Please specify a client port:
Please specify a server IP address: 192.168.201.60
Please specify a server port: 80
Monitoring firewall engine debug messages

192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 New session
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 using HW or preset rule order 3, id 268438528 action Allow and prefilter rule 0
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 allow action
192.168.201.60-80 > 192.168.201.50-20 6 AS 4 I 12 Deleting session

Verificação 4. Verificar a Propagação de Link-State

Ative o log de buffer no FTD e desligue a porta do switch conectada à interface e1/4. Na CLI do FTD, você deve ver que ambas as interfaces ficaram inoperantes:

firepower# show interface ip brief
Interface               IP-Address    OK? Method Status     Protocol
Internal-Control0/0     unassigned    YES unset  up         up 
Internal-Data0/0        unassigned    YES unset  up         up 
Internal-Data0/1        unassigned    YES unset  up         up 
Internal-Data0/2        169.254.1.1   YES unset  up         up 
Internal-Data0/3        unassigned    YES unset  up         up 
Internal-Data0/4        unassigned    YES unset  down       up 
Ethernet1/1             203.0.113.130 YES unset  up         up 
Ethernet1/3             unassigned    YES unset  admin down down
Ethernet1/4             unassigned    YES unset  down       down

Os registros de FTD mostram:

firepower# show log
...
May 28 2024 07:35:10: %FTD-4-411002: Line protocol on Interface Ethernet1/4, changed state to down
May 28 2024 07:35:10: %FTD-4-411004: Interface INSIDE, changed state to administratively down
May 28 2024 07:35:10: %FTD-4-411004: Interface Ethernet1/3, changed state to administratively down
May 28 2024 07:35:10: %FTD-4-812005: Link-State-Propagation activated on inline-pair due to failure of interface Ethernet1/4(OUTSIDE) bringing down pair interface Ethernet1/3(INSIDE)
May 28 2024 07:35:10: %FTD-4-411002: Line protocol on Interface Ethernet1/3, changed state to down

O status do conjunto em linha mostra o estado dos 2 membros da interface:

firepower# show inline-set

Inline-set Inline-Pair-1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is on
  hardware-bypass mode is disabled
    Interface-Pair[1]:
    Interface: Ethernet1/4 "OUTSIDE"
      Current-Status: Down(Propagate-Link-State-Activated)
    Interface: Ethernet1/3 "INSIDE"
      Current-Status: Down(Administrative-Down-By-Propagate-Link-State)
Bridge Group ID: 507

Observe a diferença no status das 2 interfaces:

firepower# show interface e1/3
Interface Ethernet1/3 "INSIDE", is admin down, line protocol is down
  Hardware is EtherSVI, BW 1000 Mbps, DLY 10 usec
        MAC address ac4a.670e.641e, MTU 1500
        IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
        Administrative-Down-By-Propagate-Link-State
        IP address unassigned
  Traffic Statistics for "INSIDE":
        2400 packets input, 165873 bytes
        1822 packets output, 178850 bytes
        17 packets dropped
      1 minute input rate 0 pkts/sec,  0 bytes/sec
      1 minute output rate 0 pkts/sec,  0 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec,  32 bytes/sec
      5 minute output rate 0 pkts/sec,  57 bytes/sec
      5 minute drop rate, 0 pkts/sec
firepower# show interface e1/4
Interface Ethernet1/4 "OUTSIDE", is down, line protocol is down
  Hardware is EtherSVI, BW 1000 Mbps, DLY 10 usec
        MAC address ac4a.670e.640e, MTU 1500
        IPS Interface-Mode: inline, Inline-Set: Inline-Pair-1
        Propagate-Link-State-Activated
        IP address unassigned
  Traffic Statistics for "OUTSIDE":
        1893 packets input, 158046 bytes
        2386 packets output, 213997 bytes
        67 packets dropped
      1 minute input rate 0 pkts/sec,  0 bytes/sec
      1 minute output rate 0 pkts/sec,  0 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec,  51 bytes/sec
      5 minute output rate 0 pkts/sec,  39 bytes/sec
      5 minute drop rate, 0 pkts/sec

Depois de reativar a porta do switch, os registros de FTD mostram:

May 28 2024 07:38:04: %FTD-4-411001: Line protocol on Interface Ethernet1/4, changed state to up
May 28 2024 07:38:04: %FTD-4-411003: Interface Ethernet1/3, changed state to administratively up
May 28 2024 07:38:04: %FTD-4-411003: Interface INSIDE, changed state to administratively up
May 28 2024 07:38:04: %FTD-4-812006: Link-State-Propagation de-activated on inline-pair due to recovery of interface Ethernet1/4(OUTSIDE) bringing up pair interface Ethernet1/3(INSIDE)
May 28 2024 07:38:05: %FTD-4-411002: Line protocol on Interface Ethernet1/4, changed state to down

Verificação 5. Configurar o NAT estático

Solução

O NAT não é suportado para interfaces que operam nos modos inline, inline tap ou passivo:

Guia de configuração do Firepower Management Center, Versão 6.0.1

Bloquear pacote no modo de interface de par em linha

Crie uma regra de bloqueio, envie o tráfego pelo par em linha FTD e observe o comportamento, como mostrado na imagem.

Solução

Ative a captura com trace e envie os pacotes SYN/ACK através do par em linha FTD. O tráfego está bloqueado:

firepower# show capture
capture CAPI type raw-data trace interface INSIDE [Capturing - 270 bytes] 
  match ip host 192.168.201.60 any 
capture CAPO type raw-data interface OUTSIDE [Capturing - 0 bytes] 
  match ip host 192.168.201.60 any 

No rastreamento, pode ser visto que o pacote foi descartado pelo mecanismo LINA do FTD e não foi encaminhado para o mecanismo Snort do FTD.

firepower# show capture CAPI packet-number 1 trace

4 packets captured

   1: 09:41:54.562547       192.168.201.50.59144 > 192.168.201.60.80: S 3817586151:3817586151(0) win 64240 <mss 1460,sackOK,timestamp 2568467664 0,nop,wscale 7>
Phase: 1
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Elapsed time: 10126 ns
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services will be applied

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: DROP
Elapsed time: 10126 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip any host 192.168.201.60 rule-id 268451045 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268451045: ACCESS POLICY: mzafeiro_2m - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268451045: L4 RULE: block_192.168.201.60
Additional Information:

Result:      
input-interface: INSIDE(vrfid:0)
input-status: up
input-line-status: up
Action: drop

Time Taken: 20252 ns

1 packet shown

Configurar O Modo De Par Em Linha Com Toque

Ative o modo Tap no Par em linha.

Solução

Navegue até Devices > Device Management > Inline Sets > Edit Inline Set > Advanced e habilite Tap Mode, como mostrado na imagem.

Verificação

firepower# show inline-set

Inline-set Inline-Pair-1
  Mtu is 1500 bytes
  Fail-open for snort down is off
  Fail-open for snort busy is off
  Tap mode is on
  Propagate-link-state option is on
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/4 "OUTSIDE"
      Current-Status: UP
    Interface: Ethernet1/3 "INSIDE"
      Current-Status: UP
   Bridge Group ID: 0

Verificar o par em linha FTD com a operação da interface de torneira

Teoria básica

• Quando você configura um par em linha com toque, as interfaces físicas são interligadas internamente.
• Ele está disponível nos modos de implantação roteada ou transparente.
• A maioria dos recursos do mecanismo LINA (NAT, roteamento e assim por diante) não está disponível para fluxos que passam pelo par em linha.
• O tráfego real não pode ser descartado.
• Algumas verificações do mecanismo LINA são aplicadas junto com verificações completas do mecanismo Snort para uma cópia do tráfego real.

O par em linha com modo de toque não descarta o tráfego de trânsito. Com o rastreamento de um pacote, ele confirma isso:

> show capture CAPI packet-number 2 trace

3 packets captured

   2: 13:34:30.685084       192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192
Phase: 1
Type: CAPTURE
Subtype:
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: NGIPS-MODE
Subtype: ngips-mode
Result: ALLOW
Config:
Additional Information:
The flow ingressed an interface configured for NGIPS mode and NGIPS services is applied

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: WOULD HAVE DROPPED
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start
access-list CSM_FW_ACL_ remark rule-id 268441600: ACCESS POLICY: FTD4100 - Mandatory/1
access-list CSM_FW_ACL_ remark rule-id 268441600: L4 RULE: Rule 1
Additional Information:

Result:
input-interface: INSIDE
input-status: up
input-line-status: up
Action: Access-list would have dropped, but packet forwarded due to inline-tap


1 packet shown
>

Par em linha e Etherchannel

Você pode configurar o par em linha com o etherchannel de duas maneiras:

1. Etherchannel terminou no FTD.
2. O Etherchannel passa pelo FTD (requer o código FXOS 2.3.1.3 e posterior).

Etherchannel Terminado no FTD

Etherchannels no SW-A:

SW-A# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP      Gi3/11(P)
35     Po35(SU)        LACP      Gi2/33(P)

Etherchannels no SW-B:

SW-B# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP        Gi1/0/3(P)
55     Po55(SU)        LACP        Gi1/0/4(P)

O tráfego é encaminhado por meio do FTD Ativo com base no aprendizado do endereço MAC:

SW-B# show mac address-table address 0017.dfd6.ec00
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
 201    0017.dfd6.ec00    DYNAMIC     Po33
Total Mac Addresses for this criterion: 1

O conjunto em linha no FTD:

FTD# show inline-set

Inline-set SET1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is off
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Port-channel3 "INSIDE"
      Current-Status: UP
    Interface: Port-channel5 "OUTSIDE"
      Current-Status: UP
    Bridge Group ID: 775

Note: No caso de um evento de failover de FTD, a interrupção de tráfego depende principalmente do tempo que os switches levam para aprender o endereço MAC do peer remoto.

Etherchannel através do FTD

Etherchannels no SW-A:

SW-A# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP      Gi3/11(P)
55     Po55(SD)        LACP      Gi3/7(I)

Os pacotes de LACP através do FTD de Standby são bloqueados:

FTD# capture ASP type asp-drop fo-standby
FTD# show capture ASP | i 0180.c200.0002
  29: 15:28:32.658123       a0f8.4991.ba03 0180.c200.0002 0x8809 Length: 124
  70: 15:28:47.248262       f0f7.556a.11e2 0180.c200.0002 0x8809 Length: 124

Etherchannels no SW-B:

SW-B# show etherchannel summary | i Po33|Po55
33     Po33(SU)        LACP        Gi1/0/3(P)
55     Po55(SD)        LACP        Gi1/0/4(s)

O tráfego é encaminhado por meio do FTD Ativo com base no aprendizado do endereço MAC:

SW-B# show mac address-table address 0017.dfd6.ec00
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
 201    0017.dfd6.ec00    DYNAMIC     Po33
Total Mac Addresses for this criterion: 1

O conjunto em linha no FTD:

FTD# show inline-set

Inline-set SET1
  Mtu is 1500 bytes
  Fail-open for snort down is on
  Fail-open for snort busy is off
  Tap mode is off
  Propagate-link-state option is off
  hardware-bypass mode is disabled
  Interface-Pair[1]:
    Interface: Ethernet1/3 "INSIDE"
      Current-Status: UP
    Interface: Ethernet1/5 "OUTSIDE"
      Current-Status: UP
    Bridge Group ID: 519

Caution: Neste cenário, no caso de um evento de failover de FTD, o tempo de convergência depende principalmente da negociação de LACP do Etherchannel e do tempo que leva a interrupção, que pode ser bem maior. Caso o modo Etherchannel seja ON (sem LACP), o tempo de convergência depende da aprendizagem do endereço MAC.

Troubleshooting

No momento, não há informações específicas disponíveis para esta configuração.

Comparação: Par em linha vs Par em linha com torneira

	Par em linha	Par em linha com torneira
show inline-set	> show inline-set Par em linha de conjunto interno-1   Mtu tem 1500 bytes   O modo à prova de falhas está ativado/ativado   O modo Failsecure está desativado   O modo de toque está desativado   A opção Propagate-link-state está ativada   o modo de desvio de hardware está desativado   Par de interfaces[1]:     Interface: Ethernet1/6 "INTERNO"       Status atual: PARA CIMA     Interface: Ethernet1/8 "EXTERNA"       Status atual: PARA CIMA     ID do grupo de bridge: 509 >	> show inline-set Par em linha de conjunto interno-1   Mtu tem 1500 bytes   O modo à prova de falhas está ativado/ativado   O modo Failsecure está desativado   O modo de toque está ativado   A opção Propagate-link-state está ativada   o modo de desvio de hardware está desativado   Par de interfaces[1]:     Interface: Ethernet1/6 "INTERNO"       Status atual: PARA CIMA     Interface: Ethernet1/8 "EXTERNA"       Status atual: PARA CIMA     ID do grupo de bridge: 0 >
show interface	> show interface e1/6 A interface Ethernet1/6 "INSIDE" está ativa, o protocolo de linha está ativo   O hardware é EtherSVI, BW 1000 Mbps, DLY 1000 usec         Endereço MAC 5897.bdb9.770e, MTU 1500         Modo de interface IPS: Em linha, Conjunto em Linha: Par em linha-1         Endereço IP não atribuído   Estatísticas de tráfego para "INSIDE":         Entrada de 3957 pacotes, 264913 bytes         Saída de 144 pacotes, 58664 bytes         4 pacotes descartados       Taxa de entrada de 1 minuto 0 pacotes/s, 26 bytes/s       Taxa de saída de 1 minuto 0 pacotes/s, 7 bytes/s       Taxa de queda de 1 minuto, 0 pacotes/s       Taxa de entrada de 5 minutos: 0 pacotes/s, 28 bytes/s       Taxa de saída de 5 minutos 0 pacotes/s, 9 bytes/s       Taxa de queda de 5 minutos, 0 pacotes/s > show interface e1/8 A interface Ethernet1/8 "EXTERNA", está ativa, o protocolo de linha está ativo   O hardware é EtherSVI, BW 1000 Mbps, DLY 1000 usec         Endereço MAC 5897.bdb9.774d, MTU 1500         Modo de interface IPS: Em linha, Conjunto em Linha: Par em linha-1         Endereço IP não atribuído   Estatísticas de tráfego para "EXTERNO":         Entrada de 144 pacotes, 55634 bytes         Saída de 3954 pacotes, 339987 bytes         0 pacotes descartados       Taxa de entrada de 1 minuto 0 pacotes/s, 7 bytes/s       Taxa de saída de 1 minuto 0 pacotes/s, 37 bytes/s       Taxa de queda de 1 minuto, 0 pacotes/s       Taxa de entrada de 5 minutos 0 pacotes/s, 8 bytes/s       Taxa de saída de 5 minutos 0 pacotes/s, 39 bytes/s       Taxa de queda de 5 minutos, 0 pacotes/s >	> show interface e1/6 A interface Ethernet1/6 "INSIDE" está ativa, o protocolo de linha está ativo   O hardware é EtherSVI, BW 1000 Mbps, DLY 1000 usec         Endereço MAC 5897.bdb9.770e, MTU 1500         Modo de interface IPS: Toque em linha, Conjunto em linha: Par em linha-1         Endereço IP não atribuído   Estatísticas de tráfego para "INSIDE":         entrada de 24 pacotes, 1378 bytes         0 saída de pacotes, 0 bytes         24 pacotes descartados       Taxa de entrada de 1 minuto 0 pacotes/s, 0 bytes/s       Taxa de saída de 1 minuto 0 pacotes/s, 0 bytes/s       Taxa de queda de 1 minuto, 0 pacotes/s       Taxa de entrada de 5 minutos 0 pacotes/s, 0 bytes/s       Taxa de saída de 5 minutos 0 pacotes/s, 0 bytes/s       Taxa de queda de 5 minutos, 0 pacotes/s > show interface e1/8 A interface Ethernet1/8 "EXTERNA", está ativa, o protocolo de linha está ativo   O hardware é EtherSVI, BW 1000 Mbps, DLY 1000 usec         Endereço MAC 5897.bdb9.774d, MTU 1500         Modo de interface IPS: Toque em linha, Conjunto em linha: Par em linha-1         Endereço IP não atribuído   Estatísticas de tráfego para "EXTERNO":         1 entrada de pacotes, 441 bytes         0 saída de pacotes, 0 bytes         1 pacote descartado       Taxa de entrada de 1 minuto 0 pacotes/s, 0 bytes/s       Taxa de saída de 1 minuto 0 pacotes/s, 0 bytes/s       Taxa de queda de 1 minuto, 0 pacotes/s       Taxa de entrada de 5 minutos 0 pacotes/s, 0 bytes/s       Taxa de saída de 5 minutos 0 pacotes/s, 0 bytes/s       Taxa de queda de 5 minutos, 0 pacotes/s >
Para lidar com pacotes com regra de bloqueio	> show capture CAPI packet-number 1 trace 3 pacotes capturados    1: 16:12:55.785085 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) ack 0 win 8192 Fase: 1 Digite: CAPTURA Subtipo: Resultado: PERMISSÃO Config: Informações adicionais: Lista de Acesso MAC Fase: 2 Digite: ACCESS-LIST Subtipo: Resultado: PERMISSÃO Config: Regra Implícita Informações adicionais: Lista de Acesso MAC Fase: 3 Digite: MODO NGIPS Subtipo: ngips-mode Resultado: PERMISSÃO Config: Informações adicionais: O fluxo entrou em uma interface configurada para o modo NGIPS e os serviços NGIPS são aplicados Fase: 4 Digite: ACCESS-LIST Subtipo: registro Resultado: SOLTAR Config: access-group CSM_FW_ACL_ global access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start access-list CSM_FW_ACL_ remark rule-id 268441600: POLÍTICA DE ACESSO: FTD4100 - Obrigatório/1 access-list CSM_FW_ACL_ remark rule-id 268441600: REGRA L4: Regra 1 Informações adicionais: Resultado: interface de entrada: INTERNA status de entrada: up input-line-status: up Ação: queda Motivo do descarte: (acl-drop) Fluxo negado pela regra configurada 1 pacote mostrado >	> show capture CAPI packet-number 1 trace 3 pacotes capturados    1: 16:56:02.631437 192.168.201.50.20 > 192.168.201.60.80: S 0:0(0) win 8192 Fase: 1 Digite: CAPTURA Subtipo: Resultado: PERMISSÃO Config: Informações adicionais: Lista de Acesso MAC Fase: 2 Digite: ACCESS-LIST Subtipo: Resultado: PERMISSÃO Config: Regra Implícita Informações adicionais: Lista de Acesso MAC Fase: 3 Digite: MODO NGIPS Subtipo: ngips-mode Resultado: PERMISSÃO Config: Informações adicionais: O fluxo entrou em uma interface configurada para o modo NGIPS e os serviços NGIPS são aplicados Fase: 4 Digite: ACCESS-LIST Subtipo: registro Resultado: TERIA CAÍDO Config: access-group CSM_FW_ACL_ global access-list CSM_FW_ACL_ advanced deny ip 192.168.201.0 255.255.255.0 any rule-id 268441600 event-log flow-start access-list CSM_FW_ACL_ remark rule-id 268441600: POLÍTICA DE ACESSO: FTD4100 - Obrigatório/1 access-list CSM_FW_ACL_ remark rule-id 268441600: REGRA L4: Regra 1 Informações adicionais: Resultado: interface de entrada: INTERNA status de entrada: up input-line-status: up Ação: A lista de acesso teria sido descartada, mas o pacote foi encaminhado devido ao toque em linha 1 pacote mostrado >

Summary

• Quando você usa o modo Par em linha, o pacote passa principalmente pelo mecanismo Snort do FTD.
• As conexões TCP são tratadas em um modo de desvio de estado TCP.
• Do ponto de vista do mecanismo LINA do FTD, uma política de ACL é aplicada.
• Quando o modo de par em linha estiver em uso, os pacotes podem ser bloqueados, já que são processados em linha.
• Quando o modo de toque está ativado, uma cópia do pacote é inspecionada e descartada internamente enquanto o tráfego real passa pelo FTD sem modificações.

Informações Relacionadas

• Cisco Firepower NGFW
• Suporte Técnico e Documentação - Cisco Systems