O NetFlow e outros recursos não são suportados devido à verificação parcial do Mecanismo de Lina se um FTD transparente funciona como par em linha

Introduction

Este documento descreve e ajuda a entender por que o NetFlow e outros recursos não funcionarão em um Firepower Threat Defense (FTD) no modo Transparente com par em linha e como contornar isso.

Contribuído por Christian G. Hernandez R., Engenheiro do TAC da Cisco.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Configuração básica do Cisco Firepower Management Center (FMC).

• Configuração básica do Cisco FTD.
• Configuração do Cisco FMC flexconfig.

Componentes Utilizados

As informações neste documento são baseadas nas versões de software e hardware abaixo:

• Cisco FMC v6.3.0
• Cisco FTD v6.3.0

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Problema: O NetFlow e outros recursos não são suportados devido à verificação parcial do Mecanismo de Lina se um FTD transparente funciona como par em linha.

Depois que o NetFlow é configurado e implantado no sistema por meio do Flex Config, o NetFlow não gera fluxos para o coletor (destino de exportação de fluxo) configurado.

flow-export destination Management 10.1.2.3 2055

class-map inspection_default
match default-inspection-traffic
!
policy-map type inspect dns preset_dns_map
parameters
  message-length maximum client auto
  message-length maximum 512
  no tcp-inspection
policy-map type inspect ip-options UM_STATIC_IP_OPTIONS_MAP
parameters
  eool action allow
  nop action allow
  router-alert action allow
policy-map global_policy
class inspection_default
  inspect dns preset_dns_map
  inspect ftp
  inspect rsh
  inspect sqlnet
  inspect sunrpc
  inspect xdmcp
  inspect sip
  inspect netbios
  inspect tftp
  inspect icmp
  inspect icmp error
  inspect ip-options UM_STATIC_IP_OPTIONS_MAP
class class-default
  flow-export event-type flow-create destination 10.1.2.3
  flow-export event-type flow-denied destination 10.1.2.3
  flow-export event-type flow-teardown destination 10.1.2.3
  flow-export event-type flow-update destination 10.1.2.3
!
service-policy global_policy global

De acordo com a tabela abaixo, esse comportamento é esperado no FTD devido a verificações limitadas do Lina Engine para determinados recursos quando o sistema é definido no modo de par em linha. Veja os detalhes abaixo:

modo de interface FTD	modo de Implantação FTD	Descrição	O tráfego pode ser descartado
Roteado	Roteado	Verificações completas do mecanismo LINA e do mecanismo Snort	Yes
Comutado	Transparente	Verificações completas do mecanismo LINA e do mecanismo Snort	Yes
Par em linha	Roteado ou Transparente	Verificações parciais do mecanismo LINA e do mecanismo Snort completo	Yes
Par em linha com torneira	Roteado ou Transparente	Verificações parciais do mecanismo LINA e do mecanismo Snort completo	No
Passivo	Roteado ou Transparente	Verificações parciais do mecanismo LINA e do mecanismo Snort completo	No
Passivo (ERSPAN)	Roteado	Verificações parciais do mecanismo LINA e do mecanismo Snort completo	No

https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/200924-configuring-firepower-threat-defense-int.html

O NetFlow é um recurso que foi confirmado como não suportado quando o FTD funciona no modo de par em linha.

Note: Os recursos específicos não suportados pelo FTD, quando ele funciona no modo de par em linha, são desconhecidos no momento. Por isso, a solicitação de aprimoramento foi aberta para solicitar à equipe de engenharia do Cisco Firepower ajuda a confirmar os recursos não suportados conhecidos neste modo: CSCvo5596 DOC: Seção de limitação do FMC indicando quais recursos são suportados/não suportados quando o FTD está em linha definida.

Solução

Se sua configuração for especificada neste documento e exigir o NetFlow, a única solução conhecida é deixar o FTD no modo Transparente e configurar as interfaces BVI (Bridge Virtual Interface). Essa solução alternativa é baseada no ENH aberto para incluir a funcionalidade do recurso NetFlow para implantações de modo de par em linha:

Erros relacionados

CSCvo5574     ENH: O FTD não consegue coletar dados do netflow enquanto está configurado no modo de par em linha.

CSCvo55585     DOC: Seção de limitação de FMC para suporte a netflow quando configurado no modo de par em linha.

CSCvo5596     DOC: Seção de limitação do FMC indicando quais recursos são suportados/não suportados quando o FTD está em linha definida.