FMC: FTD: LINA(ASA)エンジンCLIの GUIからの確認や パケットキャプチャ方法

[Taisuke Nakamura]

• はじめに
• LINA(ASA)エンジンの CLI確認方法
• LINA(ASA)エンジンの パケットキャプチャ実施方法
• Advanced Troubleshootingのその他利用方法
• パケットトレーサ
• FTD内部ファイルのダウンロード
• 参考情報

はじめに

FMCでFTDを管理時、FTD内部で稼働するLINA(ASA)エンジンの動作状況を確認するためのCLIを GUIから確認することができます。LINA(ASA)エンジンは主にL2-L4のBasicなFirewallやルーティング、NAT、リモートアクセスVPNなどの処理を担当し、従来にCisco Adaptive Security Appliance (ASA)製品とほぼ同じCLIを利用可能です。

LINA(ASA)エンジンの CLI確認方法

1. System > Health > Monitor から、対象デバイスをクリック
(各デバイスは NormalやCriticalなど何れかのステータスに属しているため、任意ステータスをクリックしデバイスを確認)

2. 対象デバイスのHealth Monitorページに遷移するため、Advanced Troubleshootingボタンをクリック

3. 以下のような画面に遷移するため、「Thret Defense CLI」タブをクリックします。Commandは "show","ping","traceroute"から選ぶことができる
以下は、FTDや 内部LINA(ASA)エンジンのバージョンなどを確認するための"show version"コマンドの実行例です。FTDバージョンが 6.4.0.7、LINA(ASA)エンジンバージョンが 9.12(2)151 であること、稼働時間が48日17時間であることを確認できる

以下は、コネクション処理状態を確認するための"show perfmon"コマンドの実行例です。通信が流れていないため 0 cpsである事を確認できる

以下は、Failover設定や動作状況を確認するための"show failover"コマンドの実行例です。FTD HAのFailover設定がされていないため、Failover Offであることを確認できる

以下は、"show tech"コマンドの実行例です。包括的なLINA(ASA)エンジンのトラブルシューティングを行うときに非常に便利なコマンド

LINA(ASA)エンジンの パケットキャプチャ実施方法

1. Advanced Troubleshootingの「Capture w/Trace」タブにアクセスし、画面右上のAdd Captureボタンをクリック

 
2. Capture設定欄のポップアップがあるため、任意のキャプチャ設定を実施。以下例の場合、Diagnosticインターフェイス(=LINAの管理インターフェイス)のIP Any Anyのキャプチャを有効化し、バッファーサイズは512KB(=524288bytes)のデフォルト値

 
3. 自動でキャプチャが開始され、キャプチャパケットの詳細処理状況が画面下欄に出力。以下例の場合、送信元IP 1.100.0.24からのDHCP(=UDP67)のブロードキャストのキャプチャ

4. キャプチャ設定の画面右"Save"アイコンをクリックすれば、PCAPもしくはASCIIでキャプチャファイルをローカルPCに保存可能。以下例の場合、PCAP形式でダウンロードしたファイルを Wiresharkで開いた場合となり、1行目にDHCPパケットがキャプチャされている事をPCAPファイルからも確認可能

5. キャプチャ作業が終了したら 必ずキャプチャ設定は削除ボタンをクリックし削除すること (キャプチャ設定が有効なままだと パケットの分別処理が有効なままでLINA(ASA)エンジンに負荷が発生し続けるため)

Advanced Troubleshootingのその他利用方法

パケットトレーサ

「Packet Tracer」タブから 従来のASAのパケットトレーサーと同様の試験を実施できます。通信が想定のNATルールやRouting、ACL、SNORT処理にマッチしてるかの確認に非常に便利です。

FTD内部ファイルのダウンロード

「File Download」タブから FTDの/ngfw/var/common/に保存されたファイルの取り出しが可能です。クラッシュ時のコアファイルの取り出しなどのトラブルシューティングに利用することがあります。

参考情報

Work with Firepower Threat Defense Captures and Packet Tracer
https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/212474-working-with-firepower-threat-defense-f.html

Firepower System and FTDトラブルシューティング
https://community.cisco.com/t5/-/-/ta-p/3161733

Firepower System: FTD利用時の設定例 (FMC管理 or FDM管理)
https://community.cisco.com/t5/-/-/ta-p/3953191