使用具有高可用性的安全防火墙配置安全访问

下载选项

PDF (4.6 MB)
在各种设备上使用 Adobe Reader 查看
ePub (4.5 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (3.5 MB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2024 年 11 月 28 日

文档 ID:222648

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍如何通过高可用性安全防火墙配置安全访问。

先决条件

要求

Cisco 建议您了解以下主题：

Firepower管理中心7.2
Firepower威胁防御7.2
安全访问
思科安全客户端 — VPN
思科安全客户端 — ZTNA
无客户端ZTNA

使用的组件

本文档中的信息基于：

Firepower管理中心7.2
Firepower威胁防御7.2
安全访问
思科安全客户端 — VPN
思科安全客户端 — ZTNA

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

jmorenoc_1-1710373936109

思科设计了安全访问(Secure Access)，用于保护和提供对内部和基于云的私有应用的访问。它还可以保护从网络到Internet的连接。这是通过实施多种安全方法和层来实现的，所有这些方法均旨在保护通过云访问信息时的安全。

网络图

jmorenoc_0-1710442869809

配置

在安全访问中配置VPN

导航至的管理面板安全访问.

jmorenoc_0-1710321631136

点击 Connect > Network Connections

在Network Tunnel Groups下，单击 + Add

jmorenoc_6-1710322569082

配置Tunnel Group Name,Region和Device Type
点击 Next

jmorenoc_1-1710321783423

配置Tunnel ID Format和 Passphrase
点击Next

jmorenoc_2-1710321873118

配置网络上已配置且希望通过安全访问传递流量的IP地址范围或主机
点击Save

jmorenoc_3-1710321981914

单击显示的Save“通道信息”后，请保存下一步的信息。 Configure the tunnel on Secure Firewall.

用于隧道设置的数据

jmorenoc_4-1710322390558

在安全防火墙上配置隧道

配置隧道接口

对于此场景，您使用安全防火墙上的虚拟隧道接口(VTI)配置来实现此目标；请记住，在本例中，您有两个ISP，如果其中一个ISP发生故障，我们希望有HA。

接口	角色
主WAN	主要互联网WAN
辅助WAN	辅助互联网WAN
主VTI	链接以将流量通过发送到`Principal Internet WAN`安全访问
辅助VTI	链接以将流量通过发送到`Secondary Internet WAN`安全访问

注意：1.需要向添加或分配静态路由 Primary or Secondary Datacenter IP，才能启用两个隧道。

注意：2.如果在接口之间配置了ECMP，则无需创建到的任何静态路由即可启用两个隧道Primary or Secondary Datacenter IP。

根据场景，我们有PrimaryWAN和，SecondaryWAN必须使用这些来创建VTI接口。

导航到您的Firepower Management Center > Devices。

选择您的FTD
选择 Interfaces

jmorenoc_1-1710331533035

点击 Add Interfaces > Virtual Tunnel Interface

jmorenoc_2-1710332288336

根据下一信息配置接口

jmorenoc_3-1710333029083

Name :配置引用 PrimaryWAN interface
Security Zone :您可以重复使用另一Security Zone个地址，但最好为安全访问流量创建一个新地址
Tunnel ID :为隧道ID添加一个数字
Tunnel Source :选择PrimaryWAN interface并选择接口的私有IP或公共IP
IPsec Tunnel Mode :选择IPv4并配置网络中带有掩码30的不可路由IP

注意：对于VTI接口，必须使用不可路由的IP;例如，如果您有两个VTI接口，则可以将169.254.2.1/30用PrimaryVTI于，将169.254.3.1/30用SecondaryVTI于。

之后，您需要对执行相同的操作，并且已对VTI高可用性进行了所有设置，因此，您将得到下一个结SecondaryWAN interface果：

jmorenoc_0-1710335500784

在本场景中，使用的IP是：

VTI IP配置
逻辑名称	IP	范围
主VTI	169.254.2.1/30	169.254.2.1-169.254.2.2
辅助VTI	169.254.3.1/30	169.254.3.1-169.254.3.2

配置辅助接口的静态路由

要允许的流量到达SecondaryWAN interface 的流量Secondary Datacenter IP Address，您需要配置到数据中心IP的静态路由。可以使用度量一(1)配置它，使其位于路由表的顶部；此外，指定IP作为主机。

警告：仅在广域网信道之间没有ECMP设置时才需要此项；如果已配置ECMP，则可以跳至下一步。

导航至 Device > Device Management

点击FTD设备
点击 Routing
选择 Static Route > + Add Route

jmorenoc_0-1710344406118

Interface:选择辅助WAN接口
Gateway:选择辅助WAN网关
Selected Network:添加辅助数据中心IP作为主机；您可以在安全访问步骤中配置隧道时找到相关信息，Data for Tunnel Setup
Metric:使用一(1)
OK点击Save并保存信息，然后部署。

jmorenoc_1-1710345052160

在VTI模式下将VPN配置为安全访问

要配置VPN，请导航到您的防火墙：

点击 Devices > Site to Site
点击 + Site to Site VPN

端点配置

要配置Endpoints步骤，您需要使用步骤Data for Tunnel Setup下提供的信息。

jmorenoc_5-1710349052707

拓扑名称：创建与安全访问集成相关的名称
选择 Routed Based (VTI)
选择 Point to Point
IKE Version:选择IKEv2

注意：IKEv1不支持与安全访问集成。

在下Node A面，您需要配置以下参数：

jmorenoc_0-1710347225588

Device:选择您的FTD设备
Virtual Tunnel Interface:选择与相关的PrimaryWAN InterfaceVTI。
选中复选框 Send Local Identity to Peers
Local Identity Configuration:选择Email ID（电子邮件ID），然后根据在步骤Primary Tunnel IDData for Tunnel Setup（隧道设置的数据）中提供的配置填写信息

配置上的信息后，PrimaryVTI请点+ Add Backup VTI击：

jmorenoc_1-1710347472483

Virtual Tunnel Interface:选择与相关的PrimaryWAN InterfaceVTI。
选中复选框 Send Local Identity to Peers
Local Identity Configuration:选择Email ID（电子邮件ID），然后根据在步骤Secondary Tunnel IDData for Tunnel Setup（隧道设置的数据）中提供的配置填写信息

在下Node B面，您需要配置以下参数：

jmorenoc_2-1710348351705

Device:外联网
Device Name:选择Name以将Secure Access识别为目标。
Endpoint IP Address:主要和辅助的配置必须为主要，Datacenter IP,Secondary Datacenter IP您可以在步骤Data for Tunnel Setup中找到该信息

之后，配置完Endpoints成，现在您可以转到步骤IKE Configuration。

IKE 配置

要配置IKE参数，请点击IKE。

jmorenoc_4-1710349009677

在IKE, 下，您需要配置以下参数：

jmorenoc_6-1710349280415

Policies:您可以使用默认的Umbrella配Umbrella-AES-GCM-256置，也可以根据 Supported IKEv2 and IPSEC Parameters

Authentication Type:预共享手动密钥
Key和:Confirm Key您可以在步Passphrase骤Data for Tunnel Setup中找到信息

之后，配置完IKE成，现在您可以转到步骤IPSEC配置。

IPSec 配置

要配置IPSEC参数，请点击IPSEC。

jmorenoc_7-1710349996344

在IPSEC, 下，您需要配置以下参数：

jmorenoc_8-1710350126956

Policies:您可以使用默认的Umbrella配Umbrella-AES-GCM-256置，也可以根据 Supported IKEv2 and IPSEC Parameters

注意：IPSEC不需要其他任何内容。

之后，您的配置IPSEC完成，现在您可以转到步骤“高级配置”。

高级配置

要配置高级参数，请点击Advanced。

jmorenoc_10-1710350505205

在Advanced, 下，您需要配置以下参数：

jmorenoc_11-1710350585588

IKE Keepalive:enable
Threshold:10
Retry Interval:2
Identity Sent to Peers:autoOrDN
Peer Identity Validation:不检查

之后，您可以点击SaveDeploy和。

注意：几分钟后，您会看到两个节点都建立了VPN。

jmorenoc_1-1710355484532

之后，配置完VPN to Secure Access in VTI Mode成，现在您可以转到第步Configure Policy Base Routing。

警告：当两个隧道都建立时，安全访问的流量仅转发到主隧道；如果主隧道关闭，安全访问允许通过辅助隧道转发流量。

注意：安全访问站点上的故障切换基于用户指南中记录的DPD值以获取支持的IPsec值。

访问策略配置场景

定义的访问策略规则基于：

jmorenoc_0-1710412305248

接口	区域
主VTI	SIG
辅助VTI	SIG
局域网	局域网

Internet访问场景

要为您在策略基础路由上配置的所有资源提供对Internet的访问，您需要配置一些访问规则以及安全访问中的某些策略，让我解释一下在此场景下如何实现这一目标：

jmorenoc_2-1710414588706

此规则提供对InternetLAN的访问，在本例中，Internet是SIG的。

RA-VPN环境

要提供来自RA-VPN用户的访问，您需要根据在RA-VPN池上分配的范围对其进行配置。

注意：要配置RA-VPNaaS策略，可以通过管理虚拟专用网络

如何验证VPNaaS的IP池？

导航到您的安全访问控制面板

点击 Connect > End User Connectivity
点击 Virtual Private Network
在Manage IP Pools下，点击 Manage

jmorenoc_7-1710416216206

你可以看到你的池子下面 Endpoint IP Pools

jmorenoc_8-1710416326105

您需要在SIG下允许此范围，但还必须将其添加到在PBR中配置的ACL下。

访问规则配置

如果您仅配置安全访问，使其具有访问专用应用程序资源的功能，则您的访问规则可能如下所示：

jmorenoc_9-1710417080231

该规则允许从RA-VPN池192.168.50.0/24到您的LAN的流量；如果需要，可以指定更多。

ACL 配置

要允许从SIG到LAN的路由流量，您必须将其添加到ACL下，使其在PBR下工作。

jmorenoc_10-1710417349925

CLAP-BAP ZTNA Escenario

您必须根据CGNAT范围100.64.0.0/10配置您的网络，以便从客户端基础ZTA或浏览器基础ZTA用户访问您的网络。

访问规则配置

如果您仅配置安全访问，使其具有访问专用应用程序资源的功能，则您的访问规则可能如下所示：

jmorenoc_0-1710418874715

该规则允许从ZTNA CGNAT范围100.64.0.0/10到您的LAN的流量。

ACL 配置

要允许使用CGNAT从SIG到LAN的路由流量，您必须将其添加到ACL下，使其在PBR下工作。

jmorenoc_1-1710419402932

配置策略基础路由

要通过安全访问提供对内部资源和互联网的访问，您必须通过策略基础路由(PBR)创建路由，以便于将流量从源路由到目标。

导航至 Devices > Device Management
选择创建路由的FTD设备

jmorenoc_0-1710368362780

点击 Routing
选择 Policy Base Routing
点击 Add

jmorenoc_1-1710368420968

在此场景中，选择所有用作源以路由流量到安全访问的接口，或使用RA-VPN或基于客户端或基于浏览器的ZTA访问对网络内部资源进行安全访问的用户身份验证：

在Ingress Interface下，选择通过Secure Access发送流量的所有接口：

jmorenoc_2-1710368749697

在“匹配条件和出口接口”(Match Criteria and Egress Interface)下，点击后定义以下参数Add:

jmorenoc_3-1710368909939

jmorenoc_4-1710369724518

Match ACL:对于此ACL，您需要配置要路由到安全访问的所有内容：

jmorenoc_0-1732816411773

Send To:选择IP地址
IPv4 Addresses:您必须使用两个VTI上配置的掩码30下的下一个IP;您可以在此步骤中检查VTI Interface Config

接口	IP	网关
主VTI	169.254.2.1/30	169.254.2.2
辅助VTI	169.254.3.1/30	169.254.3.2

jmorenoc_7-1710371373540

这样配置后，您将得到下一个结果，您可以继续点击Save:

jmorenoc_0-1710371610887

之后，您需要重新配置它Save，然后按照以下方式对其进行配置：

jmorenoc_1-1710372024409

之后，您可以部署，并且您会看到在ACL上配置的计算机的流量将流量路由到安全访问：

在FMCConexion Events中：

jmorenoc_2-1710372546839

从Activity SearchSecure Access:

jmorenoc_3-1710372708104

注意：默认情况下，默认安全访问策略允许流量到达互联网。要提供对专用应用的访问，您需要创建专用资源并将其添加到专用资源访问的访问策略。

在安全访问中配置互联网访问策略

要配置互联网访问的访问权限，您需要在Secure Access Dashboard上创建策略：

点击 Secure > Access Policy

jmorenoc_7-1710441032234

点击 Add Rule > Internet Access

jmorenoc_1-1710438582002

您可以在此处指定源作为隧道，对于目标，您可以选择任意，具体取决于要在策略上配置的内容。请查看Secure Access用户指南。

配置ZTNA和RA-VPN的私有资源访问

要配置专用资源的访问，您需要首先在安全访问控制面板下创建资源：

点击 Resources > Private Resources

jmorenoc_2-1710439421176

？？然后单击 ADD

在配置下，您可以找到以下要配置的部分：General, Communication with Secure Access Cloud and Endpoint Connection Methods.

常规

jmorenoc_4-1710439664367

Private Resource Name :为通过“安全访问”访问您的网络提供的资源创建一个名称

终端连接方法

jmorenoc_5-1710439911825

Zero Trust Connections:选中复选框。
Client-based connection:如果启用，可以使用安全客户端 — 零信任模块启用通过基于客户端模式的访问。
Remote Reachable Address (FQDN, Wildcard FQDN, IP Address) :配置资源IP或FQDN;如果配置FQDN，则需要添加DNS以解析名称。
Browser-based connection：如果启用，您可以通过浏览器访问资源（请仅使用HTTP或HTTPS通信添加资源）
Public URL for this resource:通过浏览器配置使用的公共URL;Secure Access可保护此资源。
Protocol:选择协议（HTTP或HTTPS）

jmorenoc_6-1710440600788

VPN Connection:选中此复选框可启用通过RA-VPNaaS的访问。

之后，点击Save即可将该资源添加到Access Policy。

配置访问策略

创建资源时，需要将其分配到安全访问策略之一：

点击 Secure > Access Policy

jmorenoc_7-1710441032234

点击 Add > Private Resource

jmorenoc_8-1710441153907

对于此专用访问规则，可以配置默认值以提供对资源的访问。要了解有关策略配置的更多信息，请查看用户指南。

jmorenoc_9-1710441259082

Action :选择Allow以提供对资源的访问。
From :指定可用于登录资源的用户。
To :选择要通过Secure Access访问的资源。

jmorenoc_0-1710441979420

Zero-Trust Client-based Posture Profile:选择客户端基本访问的默认配置文件
Zero-Trust Browser-based Posture Profile：选择默认配置文件浏览器基本访问权限

注意：要了解有关安全评估策略的更多信息，请查看安全访问用户指南。

然后，点击Next和Save 和您的配置，您可以尝试通过RA-VPN和客户端基础ZTNA或浏览器基础ZTNA访问您的资源。

故障排除

要根据安全防火墙和安全访问之间的通信进行故障排除，您可以验证设备之间是否已顺利建立第1阶段(IKEv2)和第2阶段(IPSEC)。

检验第1阶段(IKEv2)

要验证Phase1，您需要在FTD的CLI上运行下一命令：

show crypto isakmp sa

在这种情况下，所需的输出是建立到数IKEv2 SAs据中心IP的安全访问和所需的状态中的两个READY输出：

There are no IKEv1 SAs

IKEv2 SAs:

Session-id:3, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                                               Remote                                     fvrf/ivrf     Status         Role
 52346451 192.168.0.202/4500                                  3.120.45.23/4500                        Global/Global      READY    RESPONDER
      Encr: AES-GCM, keysize: 256, Hash: N/A, DH Grp:20, Auth sign: PSK, Auth verify: PSK
      Life/Active Time: 86400/4009 sec
Child sa: local selector  0.0.0.0/0 - 255.255.255.255/65535
          remote selector 0.0.0.0/0 - 255.255.255.255/65535
          ESP spi in/out: 0xfb34754c/0xc27fd2ba

IKEv2 SAs:

Session-id:2, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local                                               Remote                                     fvrf/ivrf     Status         Role
 52442403 192.168.30.5/4500                                   18.156.145.74/4500                      Global/Global      READY    RESPONDER
      Encr: AES-GCM, keysize: 256, Hash: N/A, DH Grp:20, Auth sign: PSK, Auth verify: PSK
      Life/Active Time: 86400/3891 sec
Child sa: local selector  0.0.0.0/0 - 255.255.255.255/65535
          remote selector 0.0.0.0/0 - 255.255.255.255/65535
          ESP spi in/out: 0x4af761fd/0xfbca3343

检验第2阶段(IPSEC)

要验证Phase2，您需要在FTD的CLI上运行下一命令：

interface: PrimaryVTI
    Crypto map tag: __vti-crypto-map-Tunnel1-0-1, seq num: 65280, local addr: 192.168.30.5

      Protected vrf (ivrf): Global
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      current_peer: 18.156.145.74


      #pkts encaps: 71965, #pkts encrypt: 71965, #pkts digest: 71965
      #pkts decaps: 91325, #pkts decrypt: 91325, #pkts verify: 91325
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 71965, #pkts comp failed: 0, #pkts decomp failed: 0
      #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      #TFC rcvd: 0, #TFC sent: 0
      #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
      #send errors: 0, #recv errors: 0

      local crypto endpt.: 192.168.30.5/4500, remote crypto endpt.: 18.156.145.74/4500
      path mtu 1500, ipsec overhead 63(44), media mtu 1500
      PMTU time remaining (sec): 0, DF policy: copy-df
      ICMP error validation: disabled, TFC packets: disabled
      current outbound spi: FBCA3343
      current inbound spi : 4AF761FD

    inbound esp sas:
      spi: 0x4AF761FD (1257726461)
         SA State: active
         transform: esp-aes-gcm-256 esp-null-hmac no compression
         in use settings ={L2L, Tunnel,  NAT-T-Encaps, IKEv2, VTI, }
         slot: 0, conn_id: 2, crypto-map: __vti-crypto-map-Tunnel1-0-1
         sa timing: remaining key lifetime (kB/sec): (3916242/27571)
         IV size: 8 bytes
         replay detection support: Y
         Anti replay bitmap:
          0xFFFFFFFF 0xFFFFFFFF
    outbound esp sas:
      spi: 0xFBCA3343 (4224332611)
         SA State: active
         transform: esp-aes-gcm-256 esp-null-hmac no compression
         in use settings ={L2L, Tunnel,  NAT-T-Encaps, IKEv2, VTI, }
         slot: 0, conn_id: 2, crypto-map: __vti-crypto-map-Tunnel1-0-1
         sa timing: remaining key lifetime (kB/sec): (4239174/27571)
         IV size: 8 bytes
         replay detection support: Y
         Anti replay bitmap:
          0x00000000 0x00000001

interface: SecondaryVTI
    Crypto map tag: __vti-crypto-map-Tunnel2-0-2, seq num: 65280, local addr: 192.168.0.202

      Protected vrf (ivrf): Global
      local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
      current_peer: 3.120.45.23


      #pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
      #pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0
      #pkts compressed: 0, #pkts decompressed: 0
      #pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
      #pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
      #PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
      #TFC rcvd: 0, #TFC sent: 0
      #Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
      #send errors: 0, #recv errors: 0

      local crypto endpt.: 192.168.0.202/4500, remote crypto endpt.: 3.120.45.23/4500
      path mtu 1500, ipsec overhead 63(44), media mtu 1500
      PMTU time remaining (sec): 0, DF policy: copy-df
      ICMP error validation: disabled, TFC packets: disabled
      current outbound spi: C27FD2BA
      current inbound spi : FB34754C

    inbound esp sas:
      spi: 0xFB34754C (4214519116)
         SA State: active
         transform: esp-aes-gcm-256 esp-null-hmac no compression
         in use settings ={L2L, Tunnel,  NAT-T-Encaps, IKEv2, VTI, }
         slot: 0, conn_id: 20, crypto-map: __vti-crypto-map-Tunnel2-0-2
         sa timing: remaining key lifetime (kB/sec): (4101120/27412)
         IV size: 8 bytes
         replay detection support: Y
         Anti replay bitmap:
          0x00000000 0x00000001
    outbound esp sas:
      spi: 0xC27FD2BA (3263156922)
         SA State: active
         transform: esp-aes-gcm-256 esp-null-hmac no compression
         in use settings ={L2L, Tunnel,  NAT-T-Encaps, IKEv2, VTI, }
         slot: 0, conn_id: 20, crypto-map: __vti-crypto-map-Tunnel2-0-2
         sa timing: remaining key lifetime (kB/sec): (4239360/27412)
         IV size: 8 bytes
         replay detection support: Y
         Anti replay bitmap:
          0x00000000 0x00000001

在最后一个输出中，您可以看到两个隧道均已建立；不需要的只是数据包和数据包下的下一个输出encapsdecaps。

jmorenoc_0-1710457225552

如果您有此场景，请通过TAC提交案例。

高可用性功能

具有安全访问功能的隧道与云中的数据中心通信是主动/被动的，这意味着只有DC 1的门才会打开以接收流量；dc 2的门一直关闭，直到1号隧道关闭。

jmorenoc_0-1732815926764

jmorenoc_1-1732815946374

检验流量路由以实现安全访问

在本示例中，我们将源用作防火墙网络上的计算机：

来源：192.168.10.40
目的：146.112.255.40（安全访问监控IP）

示例：

jmorenoc_1-1710458025361

命令:

 packet-tracer input LAN tcp 192.168.10.40 3422 146.112.255.40 80

输出:

Phase: 1
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 14010 ns
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 2
Type: PBR-LOOKUP
Subtype: policy-route
Result: ALLOW
Elapsed time: 21482 ns
Config:
route-map FMC_GENERATED_PBR_1707686032813 permit 5
 match ip address ACL
 set ip next-hop 169.254.2.2 169.254.3.2
Additional Information:
 Matched route-map FMC_GENERATED_PBR_1707686032813, sequence 5, permit
 Found next-hop 169.254.2.2 using egress ifc PrimaryVTI

Phase: 3
Type: OBJECT_GROUP_SEARCH
Subtype:
Result: ALLOW
Elapsed time: 0 ns
Config:
Additional Information:
 Source Object Group Match Count:       0
 Destination Object Group Match Count:  0
 Object Group Search:                   0

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Elapsed time: 233 ns
Config:
access-group CSM_FW_ACL_ global
access-list CSM_FW_ACL_ advanced permit ip any ifc PrimaryVTI any rule-id 268434435
access-list CSM_FW_ACL_ remark rule-id 268434435: ACCESS POLICY: HOUSE - Mandatory
access-list CSM_FW_ACL_ remark rule-id 268434435: L7 RULE: New-Rule-#3-ALLOW
Additional Information:
 This packet will be sent to snort for additional processing where a verdict will be reached

Phase: 5
Type: CONN-SETTINGS
Subtype:
Result: ALLOW
Elapsed time: 233 ns
Config:
class-map class_map_Any
 match access-list Any
policy-map policy_map_LAN
 class class_map_Any
  set connection decrement-ttl
service-policy policy_map_LAN interface LAN
Additional Information:

Phase: 6
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 233 ns
Config:
Additional Information:

Phase: 7
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 233 ns
Config:
Additional Information:

Phase: 8
Type: VPN
Subtype: encrypt
Result: ALLOW
Elapsed time: 18680 ns
Config:
Additional Information:

Phase: 9
Type: VPN
Subtype: ipsec-tunnel-flow
Result: ALLOW
Elapsed time: 25218 ns
Config:
Additional Information:

Phase: 10
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 14944 ns
Config:
Additional Information:

Phase: 11
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 0 ns
Config:
Additional Information:

Phase: 12
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 19614 ns
Config:
Additional Information:
New flow created with id 23811, packet dispatched to next module

Phase: 13
Type: EXTERNAL-INSPECT
Subtype:
Result: ALLOW
Elapsed time: 27086 ns
Config:
Additional Information:
Application: 'SNORT Inspect'

Phase: 14
Type: SNORT
Subtype: appid
Result: ALLOW
Elapsed time: 28820 ns
Config:
Additional Information:
service: (0), client: (0), payload: (0), misc: (0)

Phase: 15
Type: SNORT
Subtype: firewall
Result: ALLOW
Elapsed time: 450193 ns
Config:
Network 0, Inspection 0, Detection 0, Rule ID 268434435
Additional Information:
Starting rule matching, zone 1 -> 3, geo 0 -> 0, vlan 0, src sgt: 0, src sgt type: unknown, dst sgt: 0, dst sgt type: unknown, user 9999997, no url or host, no xff
Matched rule ids 268434435 - Allow

Result:
input-interface: LAN(vrfid:0)
input-status: up
input-line-status: up
output-interface: PrimaryVTI(vrfid:0)
output-status: up
output-line-status: up
Action: allow
Time Taken: 620979 ns

在这里，许多事情都可以为我们提供有关通信的情景，并了解PBR配置下的所有内容是否都正确，以便正确地将流量路由到安全访问：

jmorenoc_2-1710458257385

第2阶段表示流量正转发到接口，这是正确PrimaryVTI的，因为根据此场景中的配置，必须通过VTI将互联网流量转发到安全访问。

jmorenoc_1-1710459562305

第8阶段对应于VPN连接中的加密阶段，在该阶段，将评估和授权流量进行加密，以确保可以安全地传输数据。另一方面，第9阶段重点关注VPN IPSec隧道内流量流的特定管理，确认已加密流量正确路由并允许通过已建立的隧道。

jmorenoc_3-1710459847328

要最终确定，在流结果的末尾，您可以看到从到的流量将流LAN量PrimaryVTI转发到安全访问。该操作allow可确认流量路由没有问题。