ASA IPS-Problem: Routing- und Verwaltungsschnittstelle

Wir haben ein Verwaltungsnetzwerk (192.168.25.0/24), in dem wir die Verwaltungs-IP von ASA 5525-X IPS Bundle (.250) und IPS (.37) haben. Das IPS verfügt über ein Standard-Gateway unseres Layer 3 (.1) -Switches, das sich hinter dem ASA befindet (gemäß den Dokumenten von Cisco ).

Um den Datenverkehr an das IPS zurückzuleiten, habe ich eine Route für 192.168.25.0/24 erstellt, die auf den L3-Switch verweist.

Wenn ich #sh routeauf dem ASA tippe:

C    192.168.30.0 255.255.255.0 is directly connected, inside
C    192.168.25.0 255.255.255.0 is directly connected, management
C    192.168.35.0 255.255.255.0 is directly connected, outside
S*   0.0.0.0 0.0.0.0 [1/0] via 192.168.35.1, outside

zur gleichen Zeit #sh running-config route:

route outside 0.0.0.0 0.0.0.0 192.168.35.1 1
route inside 192.168.25.0 255.255.255.0 192.168.30.2 1

In der Routing-Tabelle habe ich also Informationen darüber, dass das Subnetz direkt verbunden ist und dass der Datenverkehr der Verwaltungsschnittstelle nicht an IPS weitergeleitet wird. Das IPS kann jedoch auf das Internet zugreifen und der Datenverkehr erfolgt über den L3-Switch (ich habe den Zähler überprüft).

Kann jemand erklären, wie das Routing für die IPS-Funktion funktionieren soll?

Ich bin bereits auf dieses Problem gestoßen, und in diesem Szenario passieren einige Dinge.

Erstens spielt die Verwaltungsschnittstelle nicht nach denselben Regeln wie andere Schnittstellen in der FW. Standardmäßig wird aufgrund der Einstellung "Nur Verwaltung" kein Datenverkehr von einer anderen Schnittstelle auf dem Gerät weitergeleitet oder empfangen.

Zweitens verursacht die Art und Weise, wie Cisco die Verwaltungsschnittstelle implementiert, eine Routing-Schleife mit dem ASA. Sie möchten den gesamten Datenverkehr über den L3-Switch auf der Innenseite an das Verwaltungsnetzwerk weiterleiten, aber der ASA sieht das Verwaltungsnetzwerk als direkt über die Verwaltungsschnittstelle verbunden an

Sie möchten, dass der Verkehr den folgenden Pfad nimmt:

IPS> L3-Switch> ASA-Innen> Internet> ASA-Außen> L3-Switch> IPS

Leider sieht der Weg tatsächlich so aus:

IPS> L3-Switch> ASA Inside> Internet> ASA Outside> Bit Bucket

Jedes vom IPS an das Internet gesendete Paket wird an die ASA-externe Schnittstelle zurückgegeben. Zu diesem Zeitpunkt wird die Routing-Tabelle überprüft und es wird festgestellt, dass das Verwaltungsnetzwerk direkt über die Verwaltungsschnittstelle verbunden ist. Da die Verwaltungsschnittstelle standardmäßig keinen Datenverkehr von einer anderen Schnittstelle empfängt, treffen die Bits den Boden.

Leider besteht die beste Möglichkeit, dieses Problem zu beheben, darin, die Verwendung der Verwaltungsschnittstelle zum Verwalten der Firewall aufzugeben und stattdessen die interne Schnittstelle zu verwenden. Wenn Sie die IP-Adresse der Verwaltungsschnittstelle entfernen (aber den Port für das IPS-Modul weiterhin aktiviert lassen), wird das Verwaltungsnetzwerk aus der ASA-Routing-Tabelle entfernt. Auf diese Weise kann der Datenverkehr den richtigen Pfad zurück zum L3-Switch auf der Innenseite nehmen, wenn er aus dem Internet zurückkehrt.

ich hoffe das hilft

Leider wird die mgmt0 / 0-Schnittstelle auf einem ASA häufig missbraucht. Es sollte nur für die Verwaltung des Administrator- / Systemkontexts eines ASA im Multi-Kontext-Modus oder für ein dediziertes Verwaltungssubnetz verwendet werden, das den ASA als Standardgateway verwendet.

Was Sie tun müssen, ist die IP-Adresse von der mgmt0 / 0-Schnittstelle auf dem ASA selbst zu entfernen (NICHT DAS IPS !!) und alles sollte wie erwartet funktionieren, solange das Management-Subnetz über die richtige Schnittstelle auf dem ASA geleitet wird.

Was passiert, wenn der ASA eine Schnittstelle zum Verwaltungssubnetz hat (in diesem Fall 192.168.25.0/24), sind alle Pakete aus diesem Subnetz, die ein internes Gateway (L3-Switch) verwenden und dann versuchen, Pakete über die insideSchnittstelle weiterzuleiten RPF-Prüfung (Reverse-Path-Forwarding) und Löschen als gefälschter Datenverkehr.

Der tatsächliche Verkehrsfluss, den Sie sehen, ist IPS> L3-Switch> ASA> Bit-Bucket (RPF-Fehler), bis Sie das IPS erneut adressieren, die RPF-Überprüfung deaktivieren (nicht empfohlen) oder die IP von der Management0 / 0-Schnittstelle des ASA entfernen wird dieses Verhalten weiterhin sehen.