사이트 간 VPN은 작동하지만 ASA 로그가 오지 않습니다: 출발지 주소를 확인하세요

내부 호스트는 원격 수집기에 도달하고 그들의 syslog 줄이 나타납니다. 같은 세션에 대한 ASA 자체의 메시지는 결코 도착하지 않습니다. 수집기도 터널도 잘못된 것이 없으며, 바로 그 점이 혼란스럽습니다. 방화벽은 터널이 보호하도록 만들어진 적 없는 출발지에서 로그를 보내고 있습니다.

무엇이 도착하고 무엇이 도착하지 않는가

대시보드에서 동일해 보이는 두 흐름을 분리하는 것부터 시작하세요. 전달 트래픽은 ASA를 통과합니다. LAN 호스트가 수집기로 보내고, ASA가 이를 터널 정책과 대조해 암호화하며, 수집기는 호스트의 주소를 봅니다. 생성 트래픽은 ASA 자체에서 시작됩니다. 장비가 syslog 패킷을 만들고, 출구 인터페이스와 출발지를 고른 뒤에야 어떤 터널 정책이 일치하는지 묻습니다. 첫 번째 흐름은 터널이 작동함을 증명하지만 두 번째에 대해서는 아무 말도 하지 않습니다.

장비에 버퍼링된 이벤트도 원격 전달의 증거가 아닙니다. 로그는 로컬에 존재하고 한 번도 전송되지 않았을 수 있기 때문입니다. 터널을 탓하기 전에 수집기의 수신 카운터를 확인하세요. 빈 카운터는 증가하는 카운터와 다른 발견입니다.

생성된 메시지는 전달 트래픽이 아닙니다

ASA가 패킷을 직접 생성할 때 그것은 LAN 호스트의 프록시가 아닙니다. 출발지는 출구 인터페이스나 명시적 출발지 설정에서 오며, 패킷은 장비가 보내는 다른 모든 것과 같은 경로 조회와 정책 검사를 거칩니다. 즉 VPN 선택자는 ASA가 실제로 사용하는 주소를 포함해야 하며, 그것은 흔히 내부 서브넷이 아니라 외부 인터페이스입니다.

정책이 10.20.0.0/24를 보호하고 ASA가 외부 주소를 출발지로 사용하면, 로그 패킷은 도달할 수 없는 수집기를 향해 평문으로 나가거나 폐기됩니다. 두 결과 모두 수집기 쪽에서는 동일하게 보입니다. 같은 논리가 관리 트래픽에도 적용되며, 그래서 management-access는 별도의 설계 결정입니다.

ASA가 네트워크에 올리는 출발지

출발지는 가정이 아니라 실측으로 찾으세요. 테스트 메시지 중 출구 인터페이스에서 캡처하면 실제 출발지와 목적지가 보이며, 구성 세 부분을 읽는 것보다 시간이 덜 듭니다. 그 주소를 터널의 로컬 선택자와 비교하세요.

일부 릴리스에서는 로깅 출발지를 인터페이스에 고정할 수 있으며, 해당 옵션의 존재 여부와 변경 내용은 사용 중인 버전의 명령 참조가 권위입니다. 다른 Cisco 플랫폼의 source-interface 명령이 ASA에서 자동으로 유효한 것은 아닙니다.

출발지를 바꾼다면 의도적으로 바꾸고 기록하세요. 수집기의 ACL과 syslog에 기반한 모든 상관 관계가 그것에 의존합니다.

선택자를 로그 흐름에 맞추세요

출발지를 알았다면 세 가지를 순서대로 확인하세요. 어떤 트래픽이 관심 대상인지 결정하는 암호화 ACL 또는 정책 기반 선택자, 패킷이 어디로 가는지 결정하는 경로, 그리고 암호화 전에 출발지를 다시 쓸 수 있는 모든 NAT 규칙입니다. 경로와 일치하지만 선택자와 일치하지 않는 패킷은 터널을 통과하지 않으며, NAT가 다시 쓴 패킷은 둘 다 일치하지 않을 수 있습니다.

수집기 쪽에도 자체 요구 사항이 있습니다: ASA 출발지를 허용하는 ACL, 반환 경로, 구성한 포트에서 수신하는 서비스입니다. 전송 방식도 중요합니다. 부분적으로 차단된 경로에서 TCP와 TLS 로깅은 UDP와 다르게 동작합니다. 한 번에 한 요소만 바꾸세요. 그렇지 않으면 다음 캡처가 어느 변경이 중요했는지 알려주지 않습니다.

수집기에서 확인한 뒤 출발지를 기록하세요

메시지가 도착하는지 확인한 뒤 ASA가 사용한 출발지 주소, 그것을 운반한 선택자, 테스트한 심각도를 적어 두세요.

그 기록은 다음 수집기 ACL 변경이나 선택자 편집을 재발견이 아닌 이 분짜리 점검으로 바꿉니다. 두 흐름 중 어느 것이 검증되었는지도 문서화하며, 대부분의 런북이 빠뜨리는 부분이 바로 이것입니다. 메시지가 여전히 도착하지 않으면 심각도 임계값을 일시적으로 낮추고 단일 목적지로 테스트하세요.

Cisco의 ASA 로깅 FAQ 는 외부 출발지 사례로 해당 보호 트래픽 정의가 필요함을 문서화하며, 내부 출발지 예시에는 내부의 로깅 호스트와 내부의 management-access가 모두 포함됩니다. 문서화된 조합과 소프트웨어 맥락을 함께 다루세요. 복사한 한 줄이 모든 구성에 맞는다고 가정하지 마세요.

LAN 트래픽을 운반하는 터널은 방화벽 자체의 목소리를 운반하는 터널이 아닙니다.