Introducción
Este documento describe las limitaciones conocidas del túnel de VPN SSL/firewall en la nube Cisco Umbrella (CDFW).
Overview
El firewall en la nube (CDFW) de Umbrella proporciona servicios de firewall sin necesidad de implementar, mantener y actualizar los appliances físicos o virtuales en cada sitio. El CDFW de Umbrella también proporciona visibilidad y control del tráfico de Internet en todas las sucursales. Sin embargo, existen algunas limitaciones conocidas con CDFW.
Explicación
- El tráfico IPSEC a través del túnel CDFW no es compatible, pero sí los túneles SSL/TLS a través de CDFW. CDFW admite SSL sobre IPSec, pero Umbrella lo reenvía a SWG y lo descarta. Umbrella tiene previsto crear una función que permita a los administradores omitir SWG por dirección IP de destino.
- Cada túnel tiene un límite de rendimiento de aproximadamente 250 Mbps por túnel.
- CDFW no admite la fragmentación de IP.
- No se admite el uso del archivo SWG PAC con CDFW.
- Sólo se admiten TCP, UDP e ICMP. Otras se descartan.*
*traceroute en ICMP no es totalmente visible a través de la infraestructura Umbrella.
- NAT no admite la perforación de clavijas ni los puertos entrantes (hacia la sucursal). Por lo tanto, no se admite FTP activo, sólo FTP pasivo. Tampoco hay capacidad para abrir estáticamente puertos entrantes.
- Hoy en día, sólo se admite 1 SA secundaria.
- La detección de MTU de ruta (PMTUD) no se admite en el túnel CDFW.
- Los ping se pueden descartar si varios dispositivos están enviando al mismo destino.
Comentarios