説明
Cisco FMCの「Capture w/Trace」ウィザードを使用すると、FTDデバイス上のパケットをキャプチャし、Snortエンジンを介したパスをトレースできます。これにより、FTDデバイスとパブリックDNSサーバの背後にあるエンドポイントからの接続問題のトラブルシューティングや、DNSトラフィックに対するSnortの判定の検証が可能になります。「Capture w/Trace」ウィザードでは、キャプチャおよびトレースするパケットの送信元と宛先のIPアドレス、ポート、プロトコル、およびキャプチャを実行するFTDデバイスとインターフェイスを指定できます。
フィルターを適用してキャプチャサイズと期間を制限することもできます。キャプチャを開始したら、エンドポイントからDNSサーバにpingを実行し、キャプチャされたパケットとそのSnort判定結果をFMC Webインターフェース2で確認できます。
Cisco FMC で Capture w/Trace ウィザードを使用するには、次の手順に従う必要があります2。
FMC Web インターフェイスで、[トラブルシューティング] > [キャプチャ/トレース] に移動します。
[新しいキャプチャ]をクリックします。
[デバイス] ドロップダウン リストから FTD デバイスを選択します。
「インターフェース」ドロップダウンリストからインターフェースを選択します。
キャプチャおよびトレースするパケットの送信元および宛先IPアドレス、ポート、プロトコルを入力します。例えば、IPアドレス10.1.1.100のエンドポイントからIPアドレス8.8.8.8のDNSサーバーへのDNSクエリをキャプチャする場合は、以下の値を入力します。
ソースIP: 10.1.1.100
送信元ポート: 任意
宛先IP: 8.8.8.8
宛先ポート: 53
プロトコル: UDP
必要に応じて、フィルターを適用してキャプチャサイズと期間を制限できます。たとえば、キャプチャするパケットの最大数、キャプチャファイルの最大サイズ、キャプチャ時間の最大時間などを設定できます。
[スタート]をクリックします。
エンドポイントから DNS サーバーに ping を実行し、いくつかのパケットがキャプチャされるのを待ちます。
キャプチャを停止するには、「停止」をクリックします。
キャプチャされたパケットとその Snort 判定を表示するには、[キャプチャの表示] をクリックします。
その他のオプションは、次の理由により正しくありません。
FTD CLI から tcpdump を使用して Snort エンジンのキャプチャを実行しても、Snort エンジンを通過するパケットのパスを追跡したり、Snort の判定を確認したりすることはできません。tcpdump は FTD デバイス上でパケットをキャプチャできるコマンドラインツールですが、Snort がパケットをどのように処理するか、またどのようなアクションを実行するかに関する情報は提供されません2。
Cisco FMCでカスタムワークフローを作成しても、FTDデバイスとパブリックDNSサーバの背後にあるエンドポイントからの接続問題のトラブルシューティングには役立ちません。カスタムワークフローは、イベントデータを表、グラフ、マップなど、様々な形式で表示するユーザ定義のページセットです。カスタムワークフローでは、FTDデバイス3上のパケットをキャプチャまたはトレースすることはできません。
FTD CLI から system support firewall-engine-debug コマンドを実行しても、FTD デバイス上の実際の DNS トラフィックをシミュレートしたり、そのトラフィックに対する Snort の判定を検証したりすることはできません。firewall-engine-debug コマンドは、合成パケットを生成し、FTD デバイスの Snort エンジンを介して送信できる診断ツールです。合成パケットは実際のネットワーク トラフィックではなく、FTD デバイス上の接続やポリシーに影響を与えません4。

BVI に割り当てられ、同じスイッチ上の異なる VLAN に接続された 2 つの物理インターフェイスが設定された Cisco FTD は、透過ファイアウォール モードをサポートするように設定されています。
透過モードでは、ファイアウォールはレイヤー2で動作し、通過するパケットのIPアドレスやMACアドレスを変更しません。このモードでは、ファイアウォールは両端のデバイスに対して透過的であり、IPアドレスやトポロジを変更することなくネットワークに挿入できます。
https://www.cisco.com/c/en/us/td/docs/security/cdo/cloud-delivered-firewall-management-center- in-cdo/managing-firewall-threat-defense-services-with-cisco-defense-orchestrator/m_device-ops- tfw.html

参考: https://www.cisco.com/c/en/us/td/docs/security/firepower/command_ref/b_Command_Reference_for_Firepower_Threat_Defense/ac_1.html