네트워크 설정 및 정책 구성

스위치 포트를 방화벽 인터페이스를 변환하려면 Device(디바이스)를 선택한 다음 Interface(인터페이스) 요약의 링크를 클릭합니다.

스위치 포트의 편집 아이콘()을 클릭합니다.
모드를 Switch Port(스위치 포트) 에서 Routed(라우팅)으로 변경합니다.

Figure 1. 모드 변경
이름 및 IP 주소를 설정합니다.

Figure 2. 인터페이스 수정
OK(확인)를 클릭합니다.

새로운 인터페이스를 구성한 경우 Objects(개체)를 선택한 다음 Security Zones(보안 영역)를 선택합니다.

필요에 따라 새 영역을 편집하거나 생성하고 영역에 인터페이스를 할당합니다. 각 인터페이스는 정책을 구성하는 영역에 속해야 합니다.

다음 예에서는 새 dmz_zone을 생성한 다음 여기에 dmz 인터페이스를 할당합니다.

내부 클라이언트가 DHCP를 사용해 디바이스에서 IP 주소를 가져오도록 하려면 Device(디바이스) > System Settings(시스템 설정) > DHCP Server(DHCP 서버)을 선택하고 DHCP Servers(DHCP 서버) 탭을 선택합니다.

내부 인터페이스에 대해 구성된 DHCP 서버가 이미 있습니다.

Policies(정책)를 선택하고 네트워크의 보안 정책을 구성합니다.

디바이스 설정 마법사 신뢰 규칙을 사용하여 inside_zone과 outside_zone 간의 트래픽 플로우를 활성화합니다. 신뢰 규칙은 침입 정책을 적용하지 않습니다. 침입을 사용하려면 규칙에 허용 작업을 지정합니다. 정책은 외부 인터페이스로 이동할 때 모든 인터페이스에 대한 인터페이스 PAT도 포함합니다.

그러나 서로 다른 영역에 인터페이스가 있는 경우에는 해당 영역에서 들어오고 나가는 트래픽을 허용하는 액세스 제어 규칙이 필요합니다.

또한, 다른 정책을 구성하여 추가 서비스를 제공할 수 있으며 NAT 및 액세스 규칙을 조정하여 조직에 필요한 결과를 얻을 수 있습니다. 툴바에서 정책 유형을 클릭하여 다음 정책을 구성할 수 있습니다.

SSL Decryption(SSL 암호 해독) — 침입, 악성코드 등에 대한 암호화된 연결(예: HTTPS)을 검사하려는 경우, 연결을 암호 해독해야 합니다. SSL 암호 해독 정책을 사용하여 어떤 연결을 암호 해독해야 할지 확인합니다. 시스템은 검사를 수행한 후에 연결을 다시 암호화합니다.
Identity(ID) — 네트워크 활동과 개인 사용자의 상관관계를 분석하거나 사용자 또는 사용자 그룹 멤버십을 기반으로 네트워크 액세스를 제어하려면 ID 정책을 사용하여 지정된 소스 IP 주소와 연결된 사용자를 확인합니다.
Security Intelligence(보안 인텔리전스) — (IPS 라이선스 필요) 보안 인텔리전스 정책을 사용하여 블랙리스트에 추가된 IP 주소 또는 URL를 오가는 연결을 신속하게 삭제합니다. 알려진 유해 사이트를 블랙리스트에 추가함으로써 해당 사이트를 액세스 제어 정책에서 고려할 필요가 없습니다. Cisco는 알려진 유해 주소 및 URL에 대해 정기적으로 업데이트된 피드를 제공하므로 보안 인텔리전스 블랙리스트가 동적으로 업데이트됩니다. 피드를 사용하는 경우에는 블랙리스트에서 항목을 추가하거나 제거하기 위해 정책을 편집할 필요가 없습니다.
NAT(Network Address Translation) - NAT 정책을 사용하여 내부 IP 주소를 외부에서 라우팅 가능한 주소로 변환합니다.
Access Control(액세스 제어) — 액세스 제어 정책을 사용하여 네트워크에서 어떤 연결이 허용되는지 확인합니다. 보안 영역, IP 주소, 프로토콜, 포트, 애플리케이션, URL, 사용자 또는 사용자 그룹을 기준으로 필터링할 수 있습니다. 액세스 제어 규칙을 사용하여 침입 및 파일(악성코드) 정책을 적용할 수도 있습니다. 이 정책을 사용하여 URL 필터링을 구현할 수 있습니다.
Intrusion(침입) — 침입 정책을 사용하여 알려진 위협을 검사합니다. 액세스 제어 규칙을 사용하여 침입 정책을 적용하는 경우에도 침입 정책을 편집하여 특정 침입 규칙을 선택적으로 활성화 또는 비활성화할 수 있습니다.

다음 예에는 액세스 제어 정책에서 inside_zone 및 dmz_zone 간의 트래픽을 허용하는 방법이 나와 있습니다. 이 예에서는 Logging(로깅)(At End of Connection(연결 종료 시)이 선택된 경우)을 제외하고는 다른 어떤 탭에도 옵션이 설정되어 있지 않습니다.

Device(디바이스)를 선택한 다음 Updates(업데이트) 그룹에서 View Configuration(구성 보기)를 클릭하고 시스템 데이터베이스에 대한 업데이트 일정을 구성합니다.

침입 정책을 사용하는 경우 규칙 및 VDB 데이터베이스에 대한 정기 업데이트를 설정합니다. 보안 인텔리전스 피드를 사용하는 경우 피드의 업데이트 일정을 설정합니다. 모든 보안 정책의 일치 기준으로 지리적 위치를 사용하는 경우 해당 데이터베이스에 대한 업데이트 일정을 설정합니다.

메뉴에서 Deploy(구축) 버튼을 클릭한 다음 Deploy Now(지금 구축) 버튼()을 클릭하여 디바이스에 변경 사항을 구축합니다.

변경 사항은 구축할 때까지 디바이스에서 활성화되지 않습니다.

프로시저