보안 해볼까

Cisco ASA 장비는 Tunnel 구축 시 IPSec과 ISAKMP 터널링 표준을 사용한다.

Tunneling에 대한 자세한 내용은 이전 포스팅 참고
2020/09/27 - [기초지식/네트워크] - Tunneling

ISAKMP와 IKE

ISAKMP(Internet Security Associationand Key Management Protocol)

말 그대로 host 간의 IPSec을 구축하는 과정에서의 협상 Protocol을 말하며, 총 2단계에 걸쳐 터널을 생성하게 된다.

1단계에서는 ISAKMP 협상 메시지를 보호하는 터널을 생성하고, 2단계에서는 데이터를 보호하는 터널을 생성하게 된다.

IKE(Internet Key Exchange)

ISAKMP를 통해 IPSec SA(Security Association)를 사용할 수 있도록 하며, peer 인증 시 사용되는 암호화 키를 생성한다.

ASA 장비에서는 용도에 따라 사용되는 IKE version에 차이가 있다.

VPN Client와의 연결을 위한 용도로는 IKEv1을 사용하고, AnyConnect VPN Client 연결을 위한 용도로는 IKEv2를 사용한다.

peer: tunnel을 맺는 반대쪽 host라고 생각하면 된다.

장비 설정

1. IKE 정책 구성

만약 IKEv1 정책을 구성 시 DES 암호화, MD5 해시, RSA 인증 알고리즘 사용, Diffle-Hellman 그룹 5, SA 수명 4시간으로 설정한다면 Command는 아래와 같다. (각 옵션별 자세한 내용은 하단 'IKEv1, IKEv2 명령어 및 옵션 표' 참고)

IKEv1, IKEv2 명령어 및 옵션 표

IKEv1

IKEv2

2. IKE 활성화

VPN 터널이 맺어질 때 사용되는 Interface(보통 outside interface) 에서 IKE 활성화하는 작업이 필요하며, 명령어는 아래와 같다.

3. 트래픽 암호화 방식 설정

트래픽의 보호를 위한 암호화 방식을 설정할 수 있으며 IKEv1, IKEv2 각각의 명령어는 아래와 같다.

아래 커맨드에서 [name]은 담당자가 지정하면 되며 [encryption]은 암호화 방식의 종류를, [authentication]은 해시 알고리즘의 종류를 정하면되는데, 관련 옵션은 아래 작성한 '트래픽 암호화 방식 설정 옵션 표'를 참고하면 된다.

3-1. IKEv1

3-2. IKEv2

트래픽 암호화 방식 설정 옵션 표

4. 터널 그룹 정의

터널 그룹 생성 및 설정

Cisco ASA 장비에는 기본 IPSec 원격 액세스 터널 그룹(DefaultRAGroup)과 LAN to LAN 터널 그룹(DefaultL2L)이 있다.

4-1. 터널 그룹을 생성하는 커맨드는 아래와 같으며 type 지정 시, 원격 액세스 터널의 경우 'ipsec-ra', L2L의 경우 'ipsec-l2l'로 설정하면 된다.

4-2. 인증방법을 설정할 때, general-attributes 명령어를 사용하면 된다. 생략된 추가 옵션은 가독성을 위해 생략하였으며, 최하단 '참고' 부분의 공식 사이트 참고

4-3. 터널 그룹에 대해 사용할 address pool을 설정하는 명령어는 아래와 같다.

4-4. IKEv1 연결에 대해 IPSec 속성을 입력하기 위한 명령어는 아래와 같다.

4-5. 사전 공유 키를 구성하는 명령어는 아래와 같다.(IKEv1만 해당됨)

5. 동적 암호화 맵 생성 및 설정

아래와 같이 동적 암호화 맵을 설정함으로써, IP를 알지 못하는 Peer와의 연결을 할 수 있다.

[IKEv1]

[IKEv2]

역방향 라우팅을 활성화하면, 연결된 client에 대해 routing 정보를 확인하여 RIP 또는 OSPF를 통해 네트워크에 알린다.

이 외에도 설정 VPN 설정을 위한 추가 옵션들이 존재하며, 추가 옵션들에 대해서는 아래 Cisco 공식 홈페이지를 참고.

필요 시 본 포스팅에 추가 예정.

# 참고

www.cisco.com/c/en/us/td/docs/security/asa/asa72/configuration/guide/conf_gd/vpngrp.html#wp1113843

Cisco ASA 방화벽의 NAT 설정은 version 8.3 이전/이후로 command가 다르기 때문에 적용 전, 사용하고 있는 방화벽의 version 확인이 필수적으로 선행되어야 한다. (버전 확인을 위한 명령어는 'show version' 이다.)

NAT에 대한 기본 개념은 아래 포스팅 참고
2020/09/27 - [기초지식/네트워크] - NAT

ver8.3 미만

1. Static NAT

static NAT 설정을 위한 command 포맷은 아래와 같다.

장비에 설정된 routing이 아래와 같을 때, inside에 있는 host 172.16.16.22를 123.123.123.22로 static NAT 설정하는 명령어를 예로 들면 아래와 같다.

위에서 설명한 NAT command에서 [real-interface]는 inside, [mapped-interface]는 outside가 되며, [mapped-IP]는 123.123.123.22, [real-IP]는 172.16.16.22가 된다.

따라서, 172.16.16.22 <> 123.123.123.22의 1:1 NAT 설정을 위한 명령어는 아래와 같다.

2. Dynamic NAT

dynamic NAT 설정을 위한 command 포맷은 아래와 같다.

172.16.16.0/24의 모든 host를 123.123.123.0/24로 N:N NAT 설정을 위한 명령어는 아래와 같다.

ver8.3 이상

1. Static NAT

static NAT 설정을 위한 command 포맷은 아래와 같다.

동일하게 장비에 설정된 routing이 아래와 같을 때, inside에 있는 host 172.16.16.22를 123.123.123.22로 static NAT 설정하는 명령어를 예로 들면 아래와 같다.

172.16.16.22 <> 123.123.123.22의 1:1 NAT 설정을 위한 명령어는 아래와 같다.

2. Dynamic NAT

2.1) N:N dynamic NAT 설정을 위한 command 포맷은 아래와 같다.

먼저 공인 IP(mapped-IP) 대역을 설정하여 object 생성하는 과정이 선행되며, 아래에서는 'global-name' 이라는 이름의 object를 생성했다. (해당 작업 시 range를 사용하여야 하며, subnet 사용 시 NAT 설정이 불가능하게된다.)

그 후 사설 IP(real-IP) 대역에 대해 위에서 생성한 object를 mapping 시키면 된다.

172.16.16.0/24의 모든 host를 123.123.123.0/24로 N:N NAT 설정을 위한 명령어는 아래와 같다.

2.2) N:1 dynamic NAT 설정을 위한 command 포맷은 아래와 같다.

172.16.16.0/24를 123.123.123.22로 N:1 NAT 설정하기 위한 명령어는 아래와 같다.

위 과정을 통해 설정된 NAT를 확인하려면 'show nat' 명령어를 입력하면 된다.

Packet Flow

장비마다 Packet flow는 다르기 때문에 장비 사용 전에 필수적으로 장비의 패킷 처리 과정에 대해 확인해야한다.

Cisco ASA 장비의 packet flow는 아래와 같으며, 공식 홈페이지에서 확인 가능하다.

패킷 유입 시, 장비에서 처리되는 과정을 간략하게 소개하면 아래와 같다. 

1. 장비에 유입된 패킷이 ingress interface에 도달한다.

2. 세션이 맺혀져 있는 패킷일 경우, ACL check 단계는 건너뛰게 된다.

3. 패킷은 interface ACL에 따라 처리된다. ACL check 시 Accept 일 경우 다음 단계로 넘어가고, Deny 일 경우 패킷이 삭제되고 로그가 남게 된다.

4. NAT rule이 설정되어 있는 경우, 설정된 rule에 따라 변환된다.

장비 사용 시 security rule check, NAT rule check 순서는 정책 설정 시 매우 중요하기 때문에 Packet Flow에 대해 필수적으로 확인하고 필요한 내용에 대해 알고 있어야 한다.

Security rule

정책 설정에 관련된 내용은 너무 많아 해당 포스팅 한개로 모두 다룰 수 없으며, 본 포스팅에서는 정책 설정에 대한 기본적인 내용만 다룬다.

ASA 장비의 정책은 아래와 같은 포맷으로 설정하면 된다.

1. interface name : 정책 설정 시 acl interface의 확인이 필수적이다. 패킷이 유입되고 처음으로 마주치게 되는 interface name을 설정하면 된다.

2. permit / deny : 정책을 수립하고 있는 packet을 허용할지(permit), 차단할지(deny) 설정한다.

3. protocol : 프로토콜을 설정하며, 모든 protocol에 대해 정책 수립 시 ip를 입력하면 된다.

4. source, destination : 출발지 IP(또는 대역), 목적지 IP(또는 대역)을 설정한다.

5. port : port 번호를 입력한다.

장비에 적용된 정책들은 top-down으로 적용되기 때문에 특정 통신에 대한 deny 정책이 accept 정책 상단에 위치할 경우 해당 통신은 차단된다.

이런 경우에는, line number를 지정하여 deny 정책 상단에 accept 정책을 추가해야 정상 통신이 가능하게 된다.

Example

• 장비에 설정된 구성은 아래와 같을 때, 99.99.99.99 -> 22.22.22.99 http, https 통신에 대한 허용, 차단 정책을 적용한다.
• 99.99.99.0/24 -> 22.22.22.99, any port 통신에 대한 허용 정책을 line 1에 적용한다.

1. 99.99.99.99 -> 22.22.22.99 http, https 통신에 대한 허용, 차단 정책

[허용 정책]

access-list acl_out extended permit tcp host 99.99.99.99 host 22.22.22.99 eq 80

access-list acl_out extended permit tcp host 99.99.99.99 host 22.22.22.99 eq 443

[차단 정책]

access-list acl_out extended deny tcp host 99.99.99.99 host 22.22.22.99 eq 80

access-list acl_out extended deny tcp host 99.99.99.99 host 22.22.22.99 eq 443

2. 99.99.99.0/24 -> 22.22.22.99, any port 통신에 대한 허용 정책을 line 1에 적용

access-list acl_out line 1 extended permit ip 99.99.99.0 255.255.255.0 host 22.22.22.99

# 참고

www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/113396-asa-packet-flow-00.html

www.cisco.com/c/en/us/td/docs/security/asa/asa84/configuration/guide/asa_84_cli_config/access_rules.html