목차

문제

RA-VPN(Remote Access VPN)을 구현한 후 Cisco AnyConnect를 통해 연결하는 사용자는 포트 53에서 보조 DNS 서버로 수십 개의 DNS 요청을 생성합니다. 이 동작은 VPN 터널에 연결된 모든 사용자에 대한 활동 모니터에서 관찰되며, 수많은 허용된 요청이 터널을 플러딩하게 됩니다. 사용자가 ZTA(Zero Trust Access)를 통해 연결할 때 이러한 과도한 DNS 활동이 발생하지 않습니다. 이는 이 문제가 특히 AnyConnect VPN 연결 방법과 관련이 있음을 나타냅니다.

환경

- 제품군: 보안 액세스

- 구현: 원격 액세스 VPN 구축

- 비교 환경: ZTA(Zero Trust Access) - 동일한 DNS 플러딩 동작을 경험하지 않음

해결

과도한 DNS 요청을 조사하려면 DNS 플러딩 동작의 근본 원인을 식별하기 위한 로그 수집 및 분석이 필요합니다. 로그 수집에는 엔드포인트의 어떤 애플리케이션이 트래픽 및 Process Monitor 출력을 생성하는지 확인하기 위해 각 패킷의 PID가 포함된 패킷 캡처를 수집하는 과정이 포함됩니다.

원인

분석 결과 이 정도의 DNS 트래픽이 예상됩니다.

관련 콘텐츠

- Cisco 기술 지원 및 다운로드