Compreenda a expansão da regra em dispositivos de FirePOWER

Transcrição

1 Compreenda a expansão da regra em dispositivos de FirePOWER Índice Introdução Pré-requisitos Requisitos Componentes Utilizados Informações de Apoio Compreendendo a expansão da regra A expansão de um IP baseou a regra A expansão de um IP baseou a regra usando o costume URL A expansão de um IP baseou a regra usando portas A expansão de um IP baseou a regra usando VLAN A expansão de um IP baseou a regra com categorias URL A expansão de um IP baseou a regra com zonas Fórmula geral para a expansão da regra Pesquisando defeitos o desenvolvimento falha devido para ordenar a expansão Informações Relacionadas Introdução Este documento descreve a tradução de regras do controle de acesso ao sensor quando distribuído do centro de gerenciamento de FirePOWER (FMC). Pré-requisitos Requisitos A Cisco recomenda que você tenha conhecimento destes tópicos: Conhecimento da tecnologia de FirePOWER Conhecimento em configurar políticas do controle de acesso em FMC Componentes Utilizados As informações neste documento são baseadas nestas versões de software e hardware: Versão e mais recente do centro de gerenciamento de FirePOWER Versão de software running da imagem da defesa ASA FirePOWER (ASA 5515-X, ASA 5525-X, ASA 5545-X, ASA 5555-X, ASA 5585-X) e acima

2 Versão de software running da imagem ASA FirePOWER SFR (ASA 5515-X, ASA 5525-X, ASA 5545-X, ASA 5555-X, ASA 5585-X) e acima Versão do sensor do 7000/8000 Series de FirePOWER e acima As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando. Informações de Apoio Uma regra do controle de acesso é criada com o uso de um ou as combinações múltiplas destes parâmetros: Endereço IP de Um ou Mais Servidores Cisco ICM NT (fonte e destino) Portas (fonte e destino) URL (categorias e costume fornecidos sistema URL) Detectores do aplicativo VLANs Zonas Baseado na combinação de parâmetros usados na regra do acesso, as mudanças da expansão da regra no sensor. Este documento destaca várias combinações de regras no FMC e de suas expansões associadas respectivas nos sensores. Compreendendo a expansão da regra A expansão de um IP baseou a regra Considere a configuração de uma regra do acesso do FMC, segundo as indicações da imagem: Esta é uma única regra no centro de gerenciamento. Contudo, após ter distribuído a ao sensor, expande em quatro regras segundo as indicações da imagem: allow any any any any any any (log dcforward flowstart) allow any any any any any any (log dcforward flowstart) allow any any any any any any (log dcforward flowstart) allow any any any any any any (log dcforward flowstart) allow any any any any any any any any (ipspolicy 2)

3 Quando você distribui uma regra com as duas sub-redes configuradas como a fonte e os dois anfitriões configurados como endereços de destino, esta regra está expandida a quatro regras no sensor. Note: Se a exigência é obstruir o acesso baseado em redes de destino, uma maneira melhor de executar isto é usar a característica das listas negras sob a inteligência de Segurança. A expansão de um IP baseou a regra usando o costume URL Esta é uma única regra no centro de gerenciamento. Contudo, após ter distribuído a ao sensor, é expandida em oito regras segundo as indicações da imagem: allow any any any any any any (log dcforward flowstart) (url allow any any any any any any (log dcforward flowstart) (url allow any any any any any any (log dcforward flowstart) (url allow any any any any any any (log dcforward flowstart) (url allow any any any any any any (log dcforward flowstart) (url allow any any any any any any (log dcforward flowstart) (url allow any any any any any any (log dcforward flowstart) (url allow any any any any any any (log dcforward flowstart) (url allow any any any any any any any any (ipspolicy 2) Quando você distribui uma regra com as duas sub-redes configuradas como a fonte, dois anfitriões configurados como endereços de destino e dois objetos feitos sob encomenda URL em uma única regra no centro de gerenciamento, esta regra estão expandidos a oito regras no sensor. Isto significa que para cada categoria do costume URL há uma combinação de origem e as escalas do destino IP/port, que são configuradas e criadas. A expansão de um IP baseou a regra usando portas

4 Esta é uma única regra no centro de gerenciamento. Contudo, após ter distribuído a ao sensor, é expandida em dezesseis regras segundo as indicações da imagem: allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any 6 (log dcforward flowstart) (url allow any any any any any any any any (ipspolicy 2) Quando você distribuir uma regra com as duas sub-redes configuradas como a fonte, dois anfitriões configurados como os endereços de destino e dois objetos feitos sob encomenda URL destinados a duas portas, esta regra expandem a dezesseis regras no sensor. Note: Se há uma exigência se usar as portas no acesso ordenam, usam os detectores do aplicativo que estam presente para aplicativos padrões. Isto ajuda a expansão da regra a acontecer em uma maneira eficiente.

5 Quando você usa detectores do aplicativo em vez das portas, o número de regras expandidas reduz dezesseis a oito segundo as indicações da imagem: allow any any any any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url allow any any any any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url allow any any any any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url allow any any any any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url allow any any any any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url allow any any any any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url allow any any any any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url allow any any any any any any (log dcforward flowstart) (appid 676:1, 1122:1) (url A expansão de um IP baseou a regra usando VLAN A regra AllowFile tem uma linha única que combina dois ids VLAN com alguns detectores do aplicativo, políticas da intrusão e políticas do arquivo. A regra AllowFile expandirá a duas regras allow any any any any any any 1 any (log dcforward flowstart) (ipspolicy 5) (filepolicy 1 enable) (appid 535:4, 1553:4, 3791:4) allow any any any any any any 2 any (log dcforward flowstart) (ipspolicy 5) (filepolicy 1 enable) (appid 535:4, 1553:4, 3791:4) As políticas IPS e as políticas do arquivo são originais para cada regra do controle de acesso mas

6 os detectores dos aplicativos múltiplos são consultados na mesma regra e daqui não participam na expansão. Quando você considera uma regra com os dois ids VLAN e os três detectores do aplicativo, há somente duas regras, uma para cada VLAN. A expansão de um IP baseou a regra com categorias URL A regra de bloqueio obstrui categorias URL para o adulto e a pornografia toda a reputação e reputações do álcool e do cigarro 1-3. Esta é uma única regra no centro de gerenciamento mas quando você o distribui ao sensor ele é expandida em duas regras segundo as indicações desta: deny any any any any any any any any (log dcforward flowstart) (urlcat 11) deny any any any any any any any any (log dcforward flowstart) (urlcat 76) (urlrep le 60) Quando você distribui uma única regra com as duas sub-redes configuradas como a fonte e os dois anfitriões configurados como endereços de destino, junto com dois objetos feitos sob encomenda URL destinados a duas portas com duas categorias URL, esta regra expande a trinta e duas regras no sensor. A expansão de um IP baseou a regra com zonas As zonas são os assigned number que são providos nas políticas. Se uma zona está provida em uma política mas essa zona não está atribuída a nenhuma relação no dispositivo para que a política está sendo empurrada, a zona é considerada como um algum e não conduz a nenhuma expansão das regras. Se a zona de origem e a zona de destino são a mesma na regra, o fator da zona está considerado como alguns e somente uma regra é adicionada desde que ALGUMA não conduz a nenhuma expansão das regras.

7 Há duas regras. Uma regra tem as zonas configuradas mas a fonte e a zona de destino são a mesma. A outra regra não tem nenhuma configuração específica. Neste exemplo, a regra do acesso das relações não traduz a uma regra allow any any any any any any any any (log dcforward flowstart)<-----allow Access Rule allow any any any any any any any any (log dcforward flowstart) (ipspolicy 17)< Default Intrusion Prevention Rule No sensor ambas as regras aparecem como o mesmos porque o controle baseado zona que envolve as mesmas relações não conduz a uma expansão. A expansão das regras para o acesso baseado zona da regra do controle de acesso ocorre quando a zona provida na regra é atribuída a uma relação no dispositivo. Considere a configuração de uma regra do acesso do FMC como mostrado abaixo: As relações da regra envolvem regras baseadas zona com a zona de origem como interno e zonas de destino como internas, externos e DMZ. Nesta relação de Internaland DMZ da regra as zonas são configuradas nas relações e externo não existe no dispositivo. Esta é a expansão do mesmos: allow 0 any any 2 any any any any (log dcforward flowstart) <------Rule for Internal to DMZ) allow any any any any any any any any (log dcforward flowstart)< allow Access rule allow any any any any any any any any (log dcforward flowstart) (ipspolicy 17)< Default Intrusion Prevention: Balanced Security over Connectivity Uma regra é criada para o par específico da relação que é interno > DMZ com especificação da zona clara e uma regra interna > interna não é criada. O número de regras expandidas é proporcional ao número de fonte da zona e os pares do destino que podem ser criados para zonas associadas válidas e este incluem as mesmas regras da fonte

8 e da zona de destino. Note: As regras deficientes do FMC não são propagadas e não são expandidas ao sensor durante a distribuição de política. Fórmula geral para a expansão da regra Número de regras no sensor = (número de sub-redes de origem ou de anfitriões) * (número do destino S) * (número de portas de origem) * (número de portas do destino) * (número do costume URL) * (número de etiquetas VLAN) * (número de categorias URL) * (número de pares do origem válida e da zona de destino) Note: Para os cálculos, todo o valor no campo é substituído pelo valor 1.The na combinação da regra é considerado como 1 e não aumenta nem expande a regra. Pesquisando defeitos o desenvolvimento falha devido para ordenar a expansão Quando há uma falha do desenvolvimento após ter feito a adição à regra do acesso, siga as etapas mencionadas abaixo para os casos onde o limite da expansão da regra foi alcançado Verifique /var/log/action.queue.log para ver se há mensagens com as seguintes palavras-chaves: Erro - regras demais - gravação de estatísticas de regras 28, regras máximas 9094 A mensagem acima indica que há um problema com o número de regras que estão sendo expandidas. Verifique a configuração no FMC para aperfeiçoar as regras baseadas na encenação discutida acima. Informações Relacionadas Manual de configuração do centro de gerenciamento de FirePOWER, versão 6.0 Suporte Técnico e Documentação - Cisco Systems