Cisco Cisco Firepower Management Center 4000 User Guide

29-3

FireSIGHT 系统用户指南

第 29 章配置传输和网络层预处理

配置高级传输/网络设置

使用入侵丢弃规则启动活动响应

许可证：保护

丢弃规则是指规则状态设置为 Drop and Generate Events 的入侵规则或预处理器规则。在内联部署
中，系统通过丢弃触发数据包并阻止数据包起始的会话来对 TCP 或 UDP 丢弃规则作出响应。在
被动部署中，系统无法丢弃数据包，并且除使用活动响应的情况以外，不会阻止会话。

提示

由于在

会话方面通常未考虑 UDP 数据流，因此，请参阅

第 29-28 页上的使用 UDP 数据流预处理

，

以进一步了解数据流预处理器如何使用封装 IP 数据报报头中的源和目标 IP 地址字段及 UDP 报头
中的端口字段来确定流动方向并识别 UDP 会话。

您可以配置

Maximum Active Responses

选项来启动一个或多个活动响应，从而在有问题的数据包触

发 TCP 或 UDP 丢弃规则时，更精确具体地关闭 TCP 连接或 UDP 会话。

在内联部署中启用活动响应后，系统通过丢弃触发数据包并在客户端和服务器流量中均插入 TCP
重置 (RST) 数据包来对 TCP 丢弃规则作出响应。系统在被动部署中无法丢弃数据包；在被动部署
中启用活动响应时，系统通过向 TCP 连接的客户端和服务器端均发送 TCP 重置来对 TCP 丢弃规
则作出响应。在内联部署或被动部署中启用活动响应后，系统通过向会话的两端发送 ICMP 不可
达数据包来关闭 UDP 会话。活动响应在内联部署中最有效，因为重置更有可能及时到达以影响
连接或会话。

根据

Maximum Active Responses

选项的配置，如果系统看到连接或会话的任一端有其他流量，也可

以启动其他活动响应。自从先前响应以来经过指定的秒数后，系统最多会启动数量为指定最大值
的每个其他活动响应。

有关有关设置最大活动响应数的信息，请参阅

第 29-19 页上的选择 TCP 全局选项

。

请注意，无论

Maximum Active Responses

的配置如何，已触发的

resp

或