em
01-11-2021
10:30 AM
- última edição em
01-12-2021
08:10 AM
por
Jimena Saez
Aqui é possível publicar novas perguntas sobre o tema em questão até sexta-feira, 22 de Janeiro de 2021
Seja bem-vindo ao fórum de “Perguntas e Respostas”!
Este evento é uma oportunidade para discutir o Cisco Adaptive Security Appliance (ASA) e o Firepower Threat Defense (FTD) sobre produtos, gerenciamento, instalação, configuração, implementação, uso e integração com outros dispositivos em sua rede. Aprenda as práticas recomendadas para aproveitar ao máximo as configurações avançadas de firewall, bem como as práticas recomendadas para solucionar seus problemas comuns.
Este evento do fórum funciona bem como uma introdução para aqueles que não estão familiarizados com as ferramentas de segurança e começaram a usá-las recentemente.
**Incentivamos a participação com votos úteis**
**Certifique-se de avaliar as respostas às perguntas!**
em 01-26-2021 05:38 AM
Olá, atualmente o FDM não oferece suporte à especificação de atributos de usuário, como filtro vpn para usuários locais. Os usuários locais usados na VPN de acesso remoto são detectados como parte da identidade passiva e podem ser usados na política de controle de acesso para controlar o acesso do usuário VPN.
Na verdade, é melhor do que a opção ASA, pois podemos especificar aplicativos também na regra da Política de Controle de Acesso. Para que isso funcione, precisamos habilitar a Política de Identidade no FDM e não há necessidade de criar uma regra de Identidade.
Acabei de testar isso no FDM e funciona. Você pode verificar novamente as configurações e me informar (você pode confirmar o que está vendo os eventos de conexão na guia de monitoramento FDM).
Obrigado,
Namit
em 02-04-2021 06:31 AM
Oi. Você está certo quanto a uma configuração global aplicável a todos os tipos de conexões VPN (Site a Site e VPN de acesso remoto). É o mesmo comportamento do ASA onde habilitar / desabilitar esse comando teve impacto no acesso remoto e nas conexões VPN local a local. Eu entendo que isso pode ser confuso, pois está disponível como uma configuração no Assistente de VPN de acesso remoto. Eu anotei isso e irei trabalhar internamente para obter algumas mensagens aprimoradas sobre isso.
Obrigado,
Namit
em 01-26-2021 05:41 AM
No FTD, o 'show capture cap_inside packet-number 4 trace' para o pacote # 4 contém a seguinte saída:
Fase 1
Tipo: CAPTURE
Subtipo:
Resultado: ALLOW
Config:
Informação adicional:
Lista de acesso MAC
Fase 2
Tipo: ACCESS-LIST
Subtipo:
Resultado: ALLOW
Config:
Regra implícita
Informação adicional:
Lista de acesso MAC
Fase: 3
Tipo: FLOW-LOOKUP
Subtipo:
Resultado: ALLOW
Config:
Informação adicional:
Fluxo encontrado com id 1254, usando fluxo existente
Fase: 4
Tipo: SNORT
Subtipo:
Resultado: ALLOW
Config:
Informação adicional:
Veredicto do Snort: (fast-forward) fast forward este fluxo
Resultado:
interface de entrada: dentro (vrfid: 0)
input-status: up
status da linha de entrada: up
Ação: permitir
O que significa o veredicto 'fast-forward' e como esse pacote é tratado no FTD?
Nota: Esta pergunta é a tradução de uma postagem originalmente criada em russo por alsokolov. Ele foi traduzido pela Cisco Community para compartilhar a consulta e sua solução em diferentes idiomas.
em 01-26-2021 05:47 AM
O veredito 'fast-forward' significa que os pacotes NÃO são enviados para o mecanismo Snort e são inspecionados apenas pelo mecanismo LINA.
Referência:
em 01-26-2021 05:42 AM
Se uma conexão for permitida pela política de segurança, quais operações e / ou recursos afetam a determinação da interface de saída para uma conexão no modo de interface roteada? Se possível, classifique-os na ordem de preferência.
Jackson
Nota: Esta pergunta é a tradução de uma postagem originalmente criada em ingles por Jackson Braddock. Ele foi traduzido pela Cisco Community para compartilhar a consulta e sua solução em diferentes idiomas.
em 01-26-2021 05:48 AM
Com base nas seguintes operações e / ou recursos, o ASA / FTD identifica a interface de saída de uma conexão no modo de interface roteada:
Pesquisa de conexão existente, pesquisa de NAT (destino NAT ou UN-NAT), roteamento baseado em política (PBR), pesquisa de tabela de roteamento global.
A ordem correta também é a mostrada acima.
em 01-26-2021 05:43 AM
Oi,
Eu tenho uma pergunta: no FTD, o 'show capture cap_inside packet-number 1 trace' para o pacote # 1 contém a seguinte saída parcial:
Fase 1
Tipo: NGIPS-MODE
Subtipo: modo ngips
Resultado: ALLOW
Config:
Informação adicional:
O fluxo ingressou em uma interface configurada para o modo NGIPS e os serviços NGIPS serão aplicados
Fase 2
Tipo: ACCESS-LIST
Subtipo: log
Resultado: ALLOW
Config:
grupo de acesso CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced trust ip object 192.0.2.0 object 198.51.100.0 rule-id 268438531 event-log flow-end
...
Resultado:
interface de entrada: dentro
input-status: up
status da linha de entrada: up
Ação: permitir
Que veredicto o motor Snort dará para este pacote?
Nota: Esta pergunta é a tradução de uma postagem originalmente criada em espanhol por Fernando Mondragón. Ele foi traduzido pela Cisco Community para compartilhar a consulta e sua solução em diferentes idiomas.
em 01-26-2021 05:48 AM
Nenhum, pois a regra de controle de acesso tem a palavra-chave 'trust' que indica uma configuração de política pré-filtrada. Este pacote NÃO será enviado para o motor Snort.
Referência:
https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/212321-clarify-the-firepower-threat-defense-acc.html#anc23
em 01-26-2021 05:44 AM
Olá equipe Cisco
Tenho uma situação que precisa de sua ajuda.
Ao criar um usuário para RAVPN no ASA e bloquear a um determinado perfil de conexão, você precisa inserir os comandos como este:
nome de usuário senha BATMAN R0b! N
Atributos BATMAN de nome de usuário
valor de bloqueio de grupo BATCAVE
No entanto, no FDM, não conseguimos encontrar um lugar onde possamos manipular os atributos do usuário da mesma maneira ou uma forma de limitar os aliases que aparecem por usuário.
Você tem alguma ideia ou solução para isso?
obrigado
Nota: Esta pergunta é a tradução de uma postagem originalmente criada em ingles por rrodriguezr. Ele foi traduzido pela Cisco Community para compartilhar a consulta e sua solução em diferentes idiomas.
em 01-26-2021 05:45 AM
Oi,
No FTD, a tabela de conexão tem a seguinte entrada de conexão estabelecida:
poder de fogo # show conn
TCP dentro de 192.0.2.1:50088 fora de 198.51.100.1:443, ocioso 0:00:00, bytes 5274, sinalizadores UIOoN1
Se a captura de pacotes para esta conexão específica estiver configurada nos motores Lina e Snort e a conexão não estiver inativa, qual dessas capturas terá bytes diferentes de zero?
Obrigado
Noemi
Nota: Esta pergunta é a tradução de uma postagem originalmente criada em ingles por Nono82. Ele foi traduzido pela Cisco Community para compartilhar a consulta e sua solução em diferentes idiomas.
em 01-26-2021 05:49 AM
Oi Noemi,
A resposta é nenhuma, porque a conexão foi descarregada para o hardware, o que significa que os pacotes não chegarão aos motores Lina / Snort.
O status de descarregamento é indicado pelo sinalizador "o" na saída acima.
Ilkin
Descubra e salve suas ideias favoritas. Volte para ver respostas de especialistas, passo a passo, tópicos recentes e muito mais.
Novo por aqui? Comece com estas dicas. Como usar a Comunidade Guia do novo membro
Navegue pelos links rápidos da Comunidade e usufrua de um conteúdo personalizado e em seu idioma nativo: