VPN이 트래픽을 복호화한 뒤 어떤 ASA 규칙이 그것을 보는가

가장 먼저 버려야 할 가정은 암호화 ACL이 접근 정책이라는 생각입니다. 그렇지 않습니다. Cisco ASA에서 그 목록은 어떤 패킷이 보호를 받을 자격이 있는지라는 좁은 질문에만 답하며, 복호화된 패킷이 방화벽 뒤 서버에 도달해도 되는지에 대해서는 아무 말도 하지 않습니다. 접근은 나중에 인터페이스 정책, 그룹 정책 필터, 또는 둘 다에 의해 결정되며, 터널이 어떻게 구축되었는지에 달려 있습니다.

암호화 ACL은 다른 질문에 답한다

암호화 ACL은 일치 목록입니다. 두 피어 사이에서 무엇을 암호화할지 터널에 알려 주며, 여기에 맞지 않는 패킷은 그냥 보호되지 않습니다. 범위를 넓히면 보호의 범위만 바뀌고 다른 것은 바뀌지 않습니다.

그래서 거기에 서브넷을 추가하면 터널은 올라오는데 실제 애플리케이션은 계속 실패할 수 있습니다. 터널이 올라오는 것은 이제 일치가 생겼기 때문입니다. 애플리케이션이 계속 실패하는 것은 그 목록이 아무것도 허용하지 않기 때문입니다. 서로 다른 질문에는 서로 다른 목록이 답합니다.

바이패스 설정이 실제로 건너뛰는 것

sysopt connection permit-vpn 는 보호된 트래픽이 인바운드 측에서 원래 적용될 인터페이스 ACL 검사를 건너뛰게 합니다. VPN 구축을 위한 편의 기능이며 전역 설정입니다. 그룹 정책은 건드리지 않고 사용자별 권한 부여 필터도 건드리지 않습니다.

가정이 아니라 실제 값을 읽으십시오. show running-config all sysopt 는 명시적으로 구성한 적이 없어도 설정을 출력하며, 많은 혼란이 바로 여기서 시작됩니다.

설정이 전역이므로, 실패하는 서브넷 하나에서 빠른 실험으로 시험하는 것은 좋지 않은 거래입니다. 그 방화벽의 다른 모든 터널이 결과를 공유합니다. 롤백 계획이 있는 의도적인 변경을 위해 남겨 두십시오.

복호화 방향에서 필터를 읽는다

LAN-to-LAN vpn-filter 는 인터페이스가 아니라 터널의 관점에서 작성합니다. 복호화 후 패킷이 그렇게 보이므로 원격 네트워크가 출발지 위치에, 로컬 네트워크가 목적지 위치에 들어갑니다. 그런 다음 같은 필터가 암호화 전에 반대 방향으로 다시 평가되며, 주소의 역할이 뒤바뀝니다.

바로 그 이유로 포트 조건은 복사한 인터페이스 ACL보다 더 주의해야 합니다. 목적지 포트 하나를 허용하는 규칙은 새 연결이 그 포트를 출발지로 사용하는 반대 방향에서 의도하지 않은 효과를 낼 수 있습니다. 목록을 만들기 전에 어느 쪽이 시작할 수 있는지, 실제 서비스는 무엇인지, 닫힌 채로 있어야 할 상대는 어디인지 적어 두십시오.

어떤 필터가 실제로 붙어 있는지 확인하십시오. show running-config group-policy 와 show vpn-sessiondb detail l2l 를 함께 보면 세션이 무엇을 상속했는지 알 수 있습니다. 어떤 정책도 참조하지 않는 ACL을 편집하면 아무것도 바뀌지 않습니다.

하나의 ACL 객체를 두 가지 용도로 재사용하지 마십시오

인터페이스의 access-group 와 vpn-filter 는 같은 종류의 객체처럼 보이지만 서로 다른 지점에서 다른 주소 방향으로 평가됩니다. 하나의 목록을 둘 다에 할당하면 터널을 고치면서 물리 인터페이스를 조용히 느슨하게 만드는 변경을 초래합니다.

둘을 분리하고, 각자의 용도에 맞게 이름을 붙이고, 방향의 차이가 이름에서 드러나게 하십시오.

새 연결로, 양방향 모두 검증한다

계획된 변경 후에는 허용되어야 할 새 연결 하나와 거부되어야 할 새 연결 하나를 열고, 주소, 방향, 정책 일치를 결과와 함께 기록하십시오. 이미 성립된 세션은 새 연결 필터링에 대해 아무것도 증명하지 못합니다. 이미 예전 규칙으로 통과했기 때문입니다.

검사도 고려하십시오. 벤더 문서는 VPN 필터가 검사 엔진이 여는 모든 보조 연결이 아니라 최초 연결을 확인한다고 언급하므로, 제어 채널과 그에 딸린 미디어 흐름이 다른 취급을 받을 수 있습니다. 애플리케이션이 프로토콜을 인식한다면 단일 포트 검사 대신 실제 흐름을 시험하십시오.

광범위한 바이패스 후에 쓸 수 있게 된 터널은 제한이 충족된 것이 아니라 제거되었음을 말해 줍니다. 남겨 둘 가치가 있는 결과는 다음 검토에서 가리킬 수 있는 이름 붙은 적용 지점입니다.