목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

설정

AnyConnect에 대한 SSL/DTLS 포트 변경

AnyConnect에 대한 IKEv2 포트 변경

다음을 확인합니다.

문제 해결

소개

이 문서에서는 FMC에서 관리하는 FTD(Firepower Threat Defense)에서 SSL 및 IKEv2 AnyConnect에 대한 사용자 지정 포트를 구성하는 절차에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

- RAVPN(Remote Access VPN)에 대한 기본적인 이해

- FMC(Firepower 관리 센터) 경험

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

- Cisco FTD - 7.6

- Cisco FMC - 7.6

- Windows 10

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

설정

AnyConnect에 대한 SSL/DTLS 포트 변경

1. Devices(디바이스) > VPN > Remote Access(원격 액세스)로 이동하여 기존 원격 액세스 정책을 수정합니다.

2. Access Interfaces(액세스 인터페이스) 섹션으로 이동하여 SSL 설정의 Web Access Port Number(웹 액세스 포트 번호) 및 DTLS Port Number(DTLS 포트 번호)를 선택의 포트로 변경합니다.

AnyConnect에 대한 SSL 및 DTLS 포트 변경

3. 구성을 저장합니다.

AnyConnect에 대한 IKEv2 포트 변경

1. Devices(디바이스) > VPN > Remote Access(원격 액세스)로 이동하여 기존 원격 액세스 정책을 수정합니다.

2. 고급 섹션으로 이동한 다음 IPsec > 암호화 맵으로 이동합니다. 정책을 수정하고 포트를 원하는 포트로 변경합니다.

AnyConnect에 대한 IKEv2 포트 변경

3. 구성을 저장하고 구축합니다.

참고: AnyConnect 클라이언트 프로파일과 함께 사용자 지정 포트를 사용하는 경우 서버 목록의 호스트 주소 필드에 연결용 X.X.X.X:port(192.168.50.5:444)가 있어야 합니다.

다음을 확인합니다.

1. 구축 후, show run webvpn 및 show run crypto ikev2 명령으로 컨피그레이션을 확인할 수 있습니다.

> show run webvpn

webvpn

port 444  <----- Custom Port that has been configured for SSL

enable outside

dtls port 444 <----- Custom Port that has been configured for DTLS

http-headers

hsts-server

enable

max-age 31536000

include-sub-domains

no preload

hsts-client

enable

x-content-type-options

x-xss-protection

content-security-policy

anyconnect image disk0:/csm/cisco-secure-client-win-X.X.X.X-webdeploy-k9.pkg 1 regex "Windows"

anyconnect enable

tunnel-group-list enable

cache

disable

error-recovery disable

> show run crypto ikev2

crypto ikev2 policy 10

encryption aes-gcm-256 aes-gcm-192 aes-gcm

integrity null

group 21 20 19 16 15 14

prf sha512 sha384 sha256 sha

lifetime seconds 86400

crypto ikev2 enable outside client-services port 444 <----- Custom Port configured for IKEv2 Client Services

2. 사용자 지정 포트를 사용하여 브라우저/AnyConnect 애플리케이션에서 원격 액세스에 액세스하여 확인합니다.

사용자 지정 포트로 AnyConnect에 액세스하여 확인

문제 해결

- 원격 액세스 컨피그레이션에 사용된 포트가 다른 서비스에 사용되지 않는지 확인합니다.

- 포트가 ISP 또는 중간 디바이스에 의해 차단되지 않았는지 확인합니다.

- 패킷이 방화벽에 도달하고 응답이 전송되는지 여부를 확인하기 위해 FTD에서 캡처를 수행할 수 있습니다.