Cisco Firepower firewall | Default Prefilter Policy

En los firewalls tradicionales normalmente todas las reglas de firewalls se gestionan desde una misma política de firewall.

Sin embargo los Cisco Firepower firewalls (o FTD's) tiene una opción muy particular llamada Prefilter Policy que sirve para inspeccionar (o no) tráfico encapsulado y sin encriptar (GRE) antes de que este mismo sea inspeccionado por la Access Control Policy  (o política de firewall tradicional).

 Para entender la idea del Prefilter policy tenemos este diagrama. El objetivo es conectar el servidor 10.10.10.10 con el servidor 10.20.20.10 via el tunnel GRE 

 

 

En nuestro FTD por defecto, tenemos la Default Prefilter Policy que lo hará es inspeccionar el tráfico GRE.

 

 Eso significa que en la Access Control Policy (ACP) tendremos que especificar el tráfico que queremos aceptar o denegar. En este caso creariamos la siguiente regla de firewall en los dos firewalls FTD.

Source Zone: ANY
Source Address: 10.10.10.10
Destination Zone: ANY
Destination address: 10.20.20.20
Service: PING, RDP
Action: Accept

Una vez creada la regla, si generamos trafico PING o RDP del Servidor 10.10.10.10 al servidor
10.20.20.20 seleccionamos el Connection Events y veriamos el trafico que viaja dentro del tunnel GRE.

El otro escenario seria crear una regla de Fastpath en el Prefilter Policy para que el FTD no inspeccione el trafico GRE. De esta manera nos tenemos que asegurar que en la Access Control Policy tenemos que tener una regla que permita el trafic GRE en las outter IPs (está misma regla de FW aplica en los firewalls también)

 Firewall A

Source Zone: ANY
Source Address: 10.10.20.10
Destination Zone: ANY
Destination address: 10.20.20.10
Service: GRE
Action: Accept

 Firewall B

Source Zone: ANY
Source Address: 10.20.20.10
Destination Zone: ANY
Destination address: 10.10.20.10
Service: GRE
Action: Accept

 De esta manera cuando revisemos los connection events en el firewalls, no veriamos el traffico interno (o inner traffic) del trafico GRE y por lo tanto solo veriamos trafico GRE generados entre las Outter IPs  (10.10.20.10 y 10.20.20.10)