تكوين واجهات FDM في وضع زوج الخط

المقدمة

يصف هذا المستند المجموعات المضمنة ل FDM الذي تمت إضافته في Cisco Secure Firewall 7.4.1.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• مفاهيم FDM وتكوينها
• يطبق على FTDs في الأنظمة الأساسية من السلاسل 1000 و 2100 و 3100 التي تتم إدارتها بواسطة FDM

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى FDM 7.4.2.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

توفر مجموعة الأسطر الداخلية واجهة IPS فقط. يمكنك تنفيذ واجهات IPS فقط إذا كان لديك جدار حماية منفصل يحمي هذه الواجهات ولا ترغب في زيادة تكاليف وظائف جدار الحماية.

تعمل مجموعة الأسطر الداخلية مثل التضاريس على السلك، وتربط واجهتين معا لفتح شبكة موجودة. تسمح هذه الوظيفة بتثبيت الجهاز في بيئة الشبكة دون تكوين أجهزة الشبكة المجاورة. تتلقى الواجهات الداخلية جميع حركة المرور دون قيد أو شرط، ولكن تتم إعادة إرسال جميع حركات المرور المستلمة على هذه الواجهات من مجموعة داخلية ما لم يتم إسقاطها بشكل صريح.

المبادئ التوجيهية والقيود

• يمكنك تكوين المجموعات المضمنة على طرز الأجهزة هذه فقط: Firepower 1000 Series، Firepower 2100، Secure Firewall 3100.

• أنواع الواجهة المسموح بها في مجموعة أسطر داخلية: physical، EtherChannel.

• لا يمكنك تضمين واجهة الإدارة في مجموعة أسطر.

• لا يمكنك تغيير سمات الواجهات المستخدمة في مجموعة أسطر داخلية: الاسم، الوضع، معرف الواجهة، وحدة الحد الأقصى للنقل (MTU)، عنوان IP.

• في حالة تمكين وضع الضغط، يتم تعطيل فتح فشل Snort.

• غير مسموح بحزم الارتداد لاكتشاف إعادة التوجيه ثنائي الإتجاه (BFD) من خلال الجهاز عند إستخدام المجموعات داخل السطر. إذا كان هناك إثنان من الجيران على أي من جانبي الجهاز الذي يشغل BFD، عندئذ يقوم الجهاز بإسقاط حزم صدى BFD لأن لديهم نفس عنوان IP المصدر والوجهة وتظهر أنها جزء من هجوم LAND.

• للمجموعات الداخلية والواجهات الخاملة، يدعم الجهاز ما يصل إلى رأسين 802.1Q في الحزمة (تعرف أيضا بدعم Q-in-Q).

  ملاحظة: لا تدعم واجهات نوع جدار الحماية Q-in-Q، ولا تدعم إلا رأس 802.1Q واحد.

• لا تدعم الواجهات في مجموعة أسطر داخلية التوجيه أو NAT أو DHCP (الخادم أو العميل أو الترحيل) أو شبكة خاصة ظاهرية (VPN) أو اعتراض بروتوكول TCP أو فحص التطبيق أو NetFlow.

قبل البدء

• يوصى بتعيين منفذ STP PortFast للمحولات التي تدعم بروتوكول الشجرة المتفرعة (STP) التي تتصل بواجهات زوج خطوط الدفاع عن التهديد.

• شكلت الفعلي أو EtherChannel قارن أن يستطيع كنت عضو من المجموعة داخل. يمكنك تكوين هذه القيم فقط: الاسم والإرسال ثنائي الإتجاه والسرعة والوضع الموجه (لا تحدد الخامل). لا تقم بتكوين أي نوع من العنونة، أي عناوين IP اليدوية أو DHCP أو PPoE.

تفاصيل الوضع المضمن

• تتيح لك هذه الميزة إستخدام مجموعات في السطر. وهذا يمكن فحص حركة المرور بدون تخصيص IP.

• الوضع المضمن متاح للواجهات المادية، EtherChannels، ومناطق الأمان. 
• يتم تعيين الوضع الداخلي تلقائيا للواجهات وقنوات EtherChannels عند إستخدامها في زوج خطي.
• يمنع الوضع الداخلي التغييرات من أن يتم عملها على الواجهات المعنية و EtherChannels حتى يتم إزالتها من الزوج الداخلي. 
• يمكن إقران الواجهات الموجودة في الوضع الداخلي بمناطق الأمان المعينة على الوضع الداخلي.

الرسم التخطيطي لشبكة المجموعة المضمنة

تتدفق حركة المرور من الموجه 1 إلى الموجه 2 من خلال الواجهات A و B باستخدام اتصال فعلي فقط.

الرسم التخطيطي للشبكة

تكوين مجموعة الأسطر الداخلية

• من لوحة معلومات إدارة fdm، انتقل إلى بطاقة الواجهات.

علامة تبويب الواجهات

• لتمكين الواجهات، انقر فوق رمز الحالة للواجهة.

أيقونة الحالة

تمكين الواجهة

• لتحرير الواجهات، انقر أيقونة تحرير (قلم رصاص) للواجهة.

تحرير الواجهة

• أدخل اسم الواجهة وحدد الوضع كموجه. لا تقم بتكوين أي عنوان IP.

تحرير الواجهة

• لإنشاء مجموعة في السطر، انتقل إلى علامة التبويب مجموعات في السطر.

إنشاء مجموعة في السطر

لإضافة مجموعة في السطر، انقر فوق إضافة (+ أيقونة).

إضافة مجموعة في السطر

• قم بتعيين اسم لمجموعة الأسطر الداخلية.
• قم بتعيين وحدة الحد الأقصى للنقل (MTU) المطلوبة (إختياري) . الإعداد الافتراضي هو 1500، وهو الحد الأدنى المدعوم لوحدة الحد الأقصى للنقل (MTU).
• في قسم القارن أزواج، حدد القارن. إذا كان هناك المزيد من الأزواج مطلوب، انقر فوق إضافة إرتباط زوج آخر.

أزواج الواجهة

• لتكوين الإعدادات المتقدمة للمجموعة المضمنة، انتقل إلى علامة التبويب خيارات متقدمة.

إعدادات متقدمة

• قم بتحديد الوضع على هيئة مضمنة. في حالة تمكين وضع الضغط، يتم تعطيل فتح فشل Snort.

الوضع مضمنا

• يسمح فتح Snort Fail لحركة المرور الجديدة والحالية بالمرور دون تفتيش (ممكن) أو إسقاط (معطل) عندما تكون عملية الشخير مشغولة أو متوقفة.

• أختر إعدادات فتح الفشل المطلوب.
• لا يمكن تعيين أي من خياري مشغول ولأسفل .

فشل فتح الشخير

• يقوم خيار نشر حالة الارتباط تلقائيا بإسقاط الواجهة الثانية في الزوج الداخلي عند تعطل إحدى الواجهات. عندما تظهر الواجهة التي تم إسقاطها مرة أخرى، فإن الواجهة الثانية أيضا يتم إعادتها بشكل تلقائي.
• بمجرد تعيين كل شيء، انقر فوق موافق لحفظ التكوين.

نشر حالة الارتباط

• لإضافة هذه المجموعة في السطر إلى منطقة أمان، انتقل إلى كائنات > مناطق الأمان.

• انقر فوق إضافة لإنشاء منطقة أمان جديدة.
  

إضافة منطقة أمان

• قم بتعيين اسم، حدد الوضع على هيئة داخل السطر وأضف الواجهات من المجموعة داخل السطر. ثم انقر فوق موافق للحفظ.

إضافة واجهات

• انتقل إلى علامة التبويب نشر ونشر التغييرات.

تعديل أو حذف مجموعة أسطر داخلية

تكون إجراءات التحرير والحذف متاحة للمجموعات المضمنة.

إجراءات المجموعة المضمنة