通过 FTD 的跟踪路线

[Translator]

我试图通过 FMC 运行 6.2.3 代码的 FTD2110 获得从内部网络到互联网的跟踪工作路线

我创建了一个访问策略，允许 ICMP 类型 3 和 11 从外部到内部。我在设备的平台设置中添加了 ICMP 许可语句（外部界面上的 3 和 11 添加到任何 ipv4）。

我还添加了 Flex 配置声明， 以减损 Ttl

但这仍然不起作用。这是虫子吗？支持？

[Translator]

检查链接

https://www.cisco.com/c/en/us/td/docs/security/firepower/630/configuration/guide/fpmc-config-guide-v63/threat_defense_service_policies.html#id_71096

[Translator]

不幸的是，这也不起作用

GUI 没有正确解释规则 - 当您尝试将 OSPF （89） 添加为端口时，它只会默认为"任何"

但这不是根本问题。我的问题是， Ftd 不会通过跟踪路线交通周期 — — 它正在将 ICMP 放在外部接口上。我甚至不明白 Ttl 问题

（希望我们仍然使用 Asa...）

[Translator]

你看过 packetu.com 的指示吗？保罗 · 斯图尔特在通过必要的配置方面做得很好：

https://packetu.com/2018/08/12/traceroute-through-firepower-threat-defense/

我有它这样的工作， 在几个 Ftd 部署。

[Translator]

是的， 我做到了， 并验证了 Cli 中的配置。一切看起来都是正确的。

[Translator · Accepted solution]

以下是 FTD 运行配置中的相关位应该是什么样子：

icmp 允许任何超过时间的<你的外部接口名称>
icmp 允许任何无法到达的<你的外部接口名称
>！
策略图 global_policy
<狙击>
  检查 
  icmp 错误 
 类默认
 <狙击>
 集连接减损 - ttl

你能确认你有吗？

如果是这样，您是否尝试过数据包跟踪器诊断，它显示了什么？

[Translator]

事实证明， 访问策略中有另一个规则是更高的， 并导致问题。

[Translator]

你好

这是否支持 FTD 6.5 FDM， 使 Fw 成为追踪路线上的跳动？

谢谢。

[Translator · Accepted solution]

是的。我刚在我的实验室里确认了

Fdm 缩放 Ttl

[Translator]

icmp permit any time-exceeded <your outside interface name>
icmp permit any unreachable <your outside interface name>

 您如何在FDM中启用此功能？找不到？

[Translator]

在FDM中，可以使用Flexconfig对象和策略执行此操作：

[Translator]

我注意到您可以通过FMC在“平台设置”下为FTD设置ICMP策略。无论如何，我尝试为外部接口创建拒绝ICMP any的策略，但该策略不起作用。创建flex配置是否是拒绝ICMP的最佳方式，例如Outside接口？

[Translator]

@CiscoPurpleBelt您仅在配置控制平面ACL时才使用flexconfig。ICMP“to*”到FTD通过平台设置单独控制。通过ACP规则控制FTD的“通过”流量。

[Translator]

再次感谢。这是我最初尝试的，但在出现错误时从未应用过 — 只需选择IPv4网络作为源。

[Translator]

如果我仍要能ping通接口，您仍需要执行允许，因为隐式拒绝应用于这些平台策略是否正确？如果我阻止代码0（甚至尝试了8），然后在其后添加permit any icmp，它不会禁用ping应答，但允许ping输出。