معالجة حزم ICMP المجزأة للوصول الآمن من Cisco

مسألة

لا تتلقى طلبات صدى ICMP الأكبر من MTU الردود عند إرسالها مع تعطيل البت DF (عدم التجزئة). يحدث هذا السلوك في سيناريوهين محددين:

• من نقاط النهاية RAPN عبر واجهة VPN عند إرسال حزم ICMP التي تتجاوز حجم MTU لواجهة VPN مع مسح بت DF
• من نقاط النهاية المحلية عبر نفق IPsec بين موجه الموقع والوصول الآمن من Cisco (CSA) عند إرسال حزم ICMP التي تتجاوز حجم MTU لواجهة نفق IPsec مع مسح بت DF

في كلتا الحالتين، لا يتم إستلام استجابات ICMP، مما يؤدي إلى أسئلة حول ما إذا كانت CSA تقوم بإسقاط الحزم المجزأة مع تعطيل بت DF.

البيئة

• الوصول الآمن (CSA) من Cisco
• نقاط النهاية RAVPN (Remote Access VPN)
• أنفاق IPsec بين موجهات الموقع و CSA
• حركة مرور ICMP التي تتجاوز أحجام وحدة الحد الأقصى للنقل (MTU) للواجهة
• سيناريوهات حزم مجزأة مع مسح بت DF

قرار

يقوم Cisco Secure Access بإسقاط الحزم المجزأة في كل من السيناريوهات الأساسية والتغشية. يتم توثيق هذا السلوك في وثائق تعليمات الوصول الآمن من Cisco، والتي تنص بشكل صريح على: "يتم إسقاط الحزم المجزأة في الجزء السفلي أو التراكب."

السلوك المتوقع

يتم تصميم الوصول الآمن من Cisco لإسقاط الحزم المجزأة بغض النظر عما إذا كانت تحدث في الشبكة الفرعية أو الشبكية الفرعية. ينطبق هذا على:

• حزم ICMP التي يتم إرسالها من نقاط النهاية الخاصة بشبكة VPN التي تتجاوز وحدة الحد الأقصى للنقل (MTU) لواجهة شبكة VPN مع مسح بت DF

• حزم ICMP التي يتم إرسالها من نقاط النهاية المحلية عبر أنفاق IPsec التي تتجاوز وحدة الحد الأقصى للنقل (MTU) لواجهة النفق مع مسح بت DF

وهذا السلوك متناسق عبر جميع السيناريوهات التي تتضمن الحزم المجزأة داخل البنية الأساسية للوصول الآمن من Cisco.

تم إنشاء طلب الميزة CSE-I-5739 لهذا الغرض.

السبب

يتم تصميم Cisco Secure Access لإسقاط الحزم المجزأة كقرار خاص بتصميم الأمان والأداء. يتم تنفيذ هذا السلوك لمنع نقاط الضعف الأمنية المحتملة ومعالجة النفقات الإضافية المرتبطة بإعادة تجميع الحزمة في سيناريوهات الشبكة الفرعية والمترابطة على حد سواء.

المحتوى ذي الصلة

• وثائق تعليمات الوصول الآمن من Cisco - معالجة الحزم المجزأة
• الدعم الفني والتنزيلات من Cisco