Firepower 管理中心：显示访问控制策略点击计数器
简介
先决条件
本文档介绍在 Firepower 管理中心 (FMC) 上创建自定义工作流程的说明，通过 Firepower 管理中心 (FMC)，系统能够全局显示和按规则显示访问控制策略 (ACP) 点击计数器。这对于排除流量是否与正确规则匹配的故障非常有用。获取有关访问控制规则的一般用法的信息也很有帮助，例如，在较长的时间内没有命中的访问控制规则可能是 表示不再需要该规则，并且可能安全地从系统中删除。
要求
本文档没有任何特定的要求。
使用的组件
- 虚拟 Firepower 管理中心 (FMC) - 软件版本 6.1.0.1（内置版本 53）
- Firepower 威胁防御 (FTD) 4150 - 软件版本 6.1.0.1（内置版本 53）
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。
相关产品
本文档也可用于以下硬件和软件版本：
- Firepower 管理中心 (FMC) - 软件版本 6.0.x 及更高版本
- Firepower 托管设备 - 软件版本 6.1.x 及更高版本
配置
第 1 步
要创建自定义工作流程，请依次导航至分析 > 自定义 > 自定义工作流程 > 创建自定义工作流程：
步骤 2
定义自定义工作流程名称，例如 ACP 规则点击计数器，并在表格字段中选择连接事件。然后，保存新的工作流程。
步骤 3
通过编辑/铅笔按钮自定义新建的工作流程。
步骤 4
使用添加页面选项添加新的工作流程页面，定义其名称并按访问控制策略、访问控制规则以及按计数、启动程序 IP 和响应程序 IP 字段对列字段进行排序。
步骤 5
使用添加表视图选项添加第二页。
步骤 6
表视图不可配置，因此只需继续保存您的工作流程。
步骤 7
依次导航至分析 > 连接事件，并选择切换工作流程，然后选择名为 ACP 规则点击计数器的新建工作流程，并等待页面重新加载。
加载页面后，各 ACP 规则的规则点击计数器均会显示出来，只需在您希望获得最近的 AC 规则点击计数器时刷新此视图即可。
验证
通过 FTD CLISH (CLI SHELL) show access-control-config 命令，可以根据规则确认所有流量（全局）的访问控制规则点击计数器，如下所示：
> show access-control-config
===================[ allow-all ]====================
Description :
Default Action : Allow
Default Policy : Balanced Security and Connectivity
Logging Configuration
DC : Disabled
Beginning : Disabled
End : Disabled
Rule Hits : 0
Variable Set : Default-Set
…(output omitted)
-----------------[ Rule: log all ]------------------
Action : Allow
Intrusion Policy : Balanced Security and Connectivity
ISE Metadata :
Source Networks : 10.10.10.0/24
Destination Networks : 192.168.0.0/24
URLs
Logging Configuration
DC : Enabled
Beginning : Enabled
End : Enabled
Files : Disabled
Rule Hits : 3
Variable Set : Default-Set
… (output omitted)
故障排除
使用 firewall-engine-debug 命令，您可以确认是否根据正确的访问控制规则评估流量：
> system support firewall-engine-debug
Please specify an IP protocol: icmp
Please specify a client IP address: 10.10.10.122
Please specify a server IP address: 192.168.0.14
Monitoring firewall engine debug messages
10.10.10.122-8 > 192.168.0.14-0 1 AS 2 I 0 New session
10.10.10.122-8 > 192.168.0.14-0 1 AS 2 I 0 Starting with minimum 0, id 0 and IPProto first with zones 1 -> 2, geo 0 -> 0, vlan 0, sgt tag: untagged, svc 3501, payload 0, client 2000003501, misc 0, user 9999997, icmpType 8, icmpCode 0
10.10.10.122-8 > 192.168.0.14-0 1 AS 2 I 0 no match rule order 1, id 2017150 dst network and GEO
10.10.10.122-8 > 192.168.0.14-0 1 AS 2 I 0 match rule order 3, 'log all', action Allow
10.10.10.122-8 > 192.168.0.14-0 1 AS 2 I 0 allow action
比较名为 log all 的 ACP 规则点击计数器时，您会发现，命令行 (CLI) 和 GUI 输出不匹配。原因是 CLI 点击计数器在每次访问控制策略部署后均会被清除，并应用于全局的所有流量而不是特定 IP 地址。另一方面，FMC GUI 将计数器保留在数据库中，因此可以根据选定的时间段显示历史数据。
相关信息
反馈