목차

문제

목표는 Cisco Secure Firewall FTD에서 RADIUS(Windows 도메인에 가입된 서버에 대한)를 사용하여 VPN 인증에 성공한 후 VPN 사용자가 내부 네트워크 리소스에 완전히 액세스할 수 있도록 하는 것입니다.

VPN 설정이 이미 작동 중입니다. VPN 클라이언트를 다운로드 및 설치하고 성공적으로 인증할 수 있습니다. 이 문제는 VPN을 통해 필요한 내부 리소스 액세스를 허용하는 데 필요한 액세스 제어 및 NAT 규칙을 구성하는 데 중점을 둡니다.

환경

- 제품: Cisco FTD(Secure Firewall Firepower), 버전 7.6.0(모든 FTD에 적용 가능)

- 관리: FMC(Firepower Management Center), cdFMC(클라우드 제공 FMC) 또는 FDM(Firepower Device Manager)

- 소프트웨어 버전: 7.6.0

해결

이 단계에서는 VPN 사용자가 Cisco FTD의 내부 리소스(예: RDP 및 Active Directory)에 액세스할 수 있도록 허용하는 데 필요한 컨피그레이션에 대해 자세히 설명합니다. 여기에는 액세스 정책 규칙 생성, VPN 트래픽용 NAT 예외 및 헤어핀 NAT 구성, 트러블슈팅 명령을 사용하여 컨피그레이션을 확인하는 것이 포함됩니다.

1: VPN 주소 풀이 내부 리소스에 액세스할 수 있도록 access-list 항목을 추가합니다.

access-list CSM_FW_ACL_ advanced permit ip object VPN_Pool any rule-id 268438528

access-list CSM_FW_ACL_ remark rule-id 268438528: 액세스 정책: 기본 액세스 제어 정책 - 필수

access-list CSM_FW_ACL_ remark rule-id 268438528: L7 RULE: Permit_VPN_Pool

2: 내부 리소스가 반환 트래픽을 VPN 풀로 전송하도록 허용하는 access-list 규칙을 추가합니다.

access-list CSM_FW_ACL_ advanced permit ip any object VPN_Pool

나중에 필요에 따라 이러한 규칙을 강화하여 특정 소스 및 대상을 제한할 수 있습니다.

3: VPN 트래픽용 NAT 예외 또는 헤어핀 NAT 구성

두 가지 일반적인 접근 방식이 있습니다.

- 옵션 A: 내부 서브넷에 대한 VPN 풀의 NAT 예외

nat(외부,내부) 소스 고정 VPN_Pool VPN_Pool 대상 고정 Net_192.168.95.1-24 Net_192.168.95.1-24 경로 조회

- 옵션 B: 동일한 인터페이스의 VPN 풀용 헤어핀 NAT(no-proxy-arp)

nat(any,any) source static VPN_Pool VPN_Pool no-proxy-arp

- 옵션 C: 외부 인터페이스의 VPN 풀용 동적 헤어핀 NAT

nat(외부, 외부) 동적 VPN_Pool 인터페이스

올바른 방법은 내부 리소스가 동일한 물리적 인터페이스(헤어핀 NAT 필요)에 있는지 또는 다른 인터페이스(NAT 제외)에 있는지에 따라 다릅니다.

4: VPN 풀에서 내부 리소스로의 트래픽 흐름을 시뮬레이션하고 트래픽이 의도한 규칙, NAT 및 경로에 의해 허용되는지 확인하려면 packet-tracer 명령을 사용합니다.

icmp 192.168.250.1 외부 패킷 추적기 입력 8 0 192.168.95.1

tcp 192.168.250.1 외부 패킷 추적기 입력 12345 192.168.95.1 80

icmp 192.168.95.1 내부 packet-tracer 입력 8 0 192.168.250.1

tcp 192.168.250.1 54321 192.168.95.1 443 내부의 packet-tracer 입력

—

5단계

ID: 5

유형: 액세스 목록

결과: 허용

구성: access-group CSM_FW_ACL_ globalaccess-list CSM_FW_ACL_ advanced permit ip object VPN_Pool any rule-id 268438528 access-list CSM_FW_ACL_ remark rule-id 268438528: 액세스 정책: 기본 액세스 제어 정책 - 필수 액세스 목록 CSM_FW_ACL_ remark rule-id 268438528: L7 규칙: Permit_VPN_Pool

추가 정보: 이 패킷은 추가 처리를 위해 Snort로 전송되며, 여기서 판정에 도달합니다 Forward Flow 기반 조회 산출 규칙: in id=0x40009d6ae190, priority=12, domain=permit, deny=false hits=1300, user_data=0x0000000000000000, cs_id=0x0, use_real_addr, flags=0x0, protocol=0 src ip/id=240.0.0.0, mask=255.255.255, port=0, tag=any, ifc=any dst ip/id=240.5.0.2, mask=255.255.255.255, port=0, tag=any, ifc=any, dscp=0x0, input_ifc=any, output_ifc=any

경과 시간: 0ns

—

7단계

ID: 7

유형: NAT

결과: 허용

Config: nat(외부, 외부) 동적 VPN_Pool 인터페이스

추가 정보: Static translate 192.168.250.1/12345 to 192.168.250.1/12345 Forward Flow based lookup yields rule: in id=0x40009d6ad0a0, priority=6, domain=nat, deny=false hits=274, user_data=0x000040009963a2d0, cs_id=0x0, flags=0x0, protocol=0 src ip/id=192.168.250.1, mask=255.255.255.255, port=0, tag=any dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dscp=0x0, input_ifc=any, output_ifc=any

경과 시간: 0ns

참고: WebVPN 단계에 대한 패킷 추적기 출력은 외부 인터페이스의 VPN 트래픽에 대한 삭제를 표시할 수 있습니다. 이는 외부 인터페이스의 일반 텍스트 트래픽에 대한 예상 동작이며 NAT를 확인하는 데 계속 사용될 수 있습니다.

추가 참고 사항:

- Threat Defense UI의 패킷 캡처에는 들어오는 요청만 표시될 수 있습니다. 삭제는 관찰되지 않지만 트래픽이 내부 리소스에 도달하지 않는 경우 NAT 및 access-list 규칙을 확인하십시오.

- SSH를 사용할 수 없는 경우 cdFMC의 Threat Defense UI 기능을 통해 모든 트러블슈팅을 수행할 수 있지만 명령 사용은 제한됩니다.

- 엔드 투 엔드 연결을 위해 인접한 장치에서 일부 수정이 필요할 수 있습니다. 필요한 경우 이러한 수정이 검증되었는지 확인하십시오.

원인

근본 원인은 VPN-내부 및 내부-VPN 풀 트래픽에 대한 액세스 정책 및 NAT 컨피그레이션이 충분하지 않았기 때문입니다. 기본 컨피그레이션에서는 VPN 풀에서 내부 리소스로, 그리고 내부 리소스로 완전히 양방향 통신을 허용하지 않았으며, 동일한 인터페이스에서 트래픽 인그레이싱 및 이그레싱에 대한 헤어핀 NAT 요구 사항을 처리하지 않았습니다.

관련 콘텐츠

- FTD에서 NAT 예외 구성

- Cisco 기술 지원 및 다운로드