IT BLOG(KR)

안녕하세요.

오늘은 Cisco ASA Remote Acess VPN에 대해서 알아보겠습니다.

CLI 기준입니다.

1.  Secure Client를 다운로드 받습니다. pkg 확장자입니다. 

https://software.cisco.com/download/home/286330811/type/282364313/release/5.1.7.80

2. 다운로드 파일을 TFTP 폴더에 복사 합니다.

3. 이 파일을 cisco ASA에 업로드 합니다. 

4. Cisco Remote Access VPN 설정값입니다. 

4-1 Secure Client를 통해서 User가 ASA VPN에 연결 되면 IP주소는 192.168.200.100~ 192.168.200.200 사이에 IP주소를 할당 받습니다.

4-2 SPLIT_TUNNEL 10.1.1.0/24 대역 통신 할때는 VPN에 접속 합니다. 

4-3 SSL_USER 계정은 VPN용으로만 사용 가능 합니다. 

아래 처럼 그냥 COPY and PASTE하면 cisco ASA Remote Access VPN이 동작 합니다. 

5. https://192.168.10.78 접속 합니다

6. Download가 완료되면 설치 합니다. 설치 과정은 생략 하겠습니다. 

7. 설치가 완료되면  Cisco Secure Client를 실행해서 접속 합니다.

Connect Anyway를 클릭 합니다. 

만약에 아래처럼 실행 오류가 나면 아래처럼 추가적으로 설정이 필요합니다. 

ASDM 에 접속해서 아래처럼 접속합니다.

Remote-Access VPN -> Network Client Access -> Secure Client Profile -> Add

아래처럼 LocalUserOnly -> AllowRemoteUser로 수정 합니다.

다시 접속을 시도 합니다.

정상적으로 접속 되었습니다. 

Remote Access User가 VPN통해서 내부에 있는 자원에 통신 할려고 방화벽 정책이 필요 합니다. 

G0/0 outside - ACL name - outsideacl

G0/1 inside - ACL name - insideacl

G0/2 DMZ - ACL name -dmzacl

SW 설정

방화벽 정책 설정

Secure Client 접속후 Ping 10.10.10.10 하면 아래처럼 성공 합니다. 

만약에 Remote Access VPN USER들은 outbound access-list 없이 그냥 BYpass하고 싶으면 아래 명령어를 입력합니다.

지금까지 [ASA #04] - Remote Access VPN 글을 읽어주셔서 감사합니다. 

안녕하세요.

오늘은 ASA에 ASDM file를 업로드 하고 PC에 ASDM 프로그램을 설치해보겠습니다.

1. 현재 asa에서 version를 확인 합니다.

9.8 버전을 사용중에 있습니다.

2. ASDM 사용하기 위해서는 ASA에 ASDM file이 Flash메모리에 저장되어야 합니다.

3. TFTP 설치 합니다. 이전 글에서 설치 하였습니다. 이번글에서는 설치 과정은 생략 합니다.

https://itblog-kr.tistory.com/185

4. C드라이브에 TFTP폴더를 만들고 ASDM 파일을 복사합니다.

5. TFTP를 실행합니다. 

그리고 폴더 위치랑 IP주소를 수정 합니다. 

6. 아래처럼 tftp서버 IP랑 asdm 파일 이름을 입력해서 asdm를 cisco asa 업로드 합니다. 

7. dir flash:를 통해서 asdm 이미지 파일을 확인 합니다.

8. ASDM를 사용하기 위해서 아래처럼 설정 합니다.

9. inside interface는 Gi0/1이고 IP주소는 10.1.1.254입니다. 

아래처럼 접속을 시도 합니다. 그리고 Install ASDM Launcher를 클릭 합니다. 

로그인을 합니다. 

로그인이 성공하면 아래처럼 파일이 다운로드 됩니다.

10. 실행해서 설치 합니다. Next를 클릭 합니다. 

11. Next를 클릭 합니다.

12. Install클릭 합니다.

설치가 진행 됩니다.

13. ASDM이 설치가 완료 되었습니다. 바탕화면에 ASDM 아이콘이 생성 되었습니다.

14. 실행 했을때 아래처럼 에러 메시지가 발생하면 추가적으로 수정이 필요합니다.

경로값이를 아래처럼 수정 합니다.

C:\Windows\System32\wscript.exe invisible.vbs run.bat

접속을 시도 합니다. 

100% 완료 될때까지 기다립니다. 

접속이 완료 되었습니다. 

지금까지 [ASA #03] - ASDM Install 글을 읽어주셔서 감사합니다. 

안녕하세요. 

ASDM를 설치 하기 위해서는 ASDM 파일에 cisco ASA flash 저장 되어져 있어야 합니다. 

TFTP통해서 asdm파일을 cisco asa에 업로드 해보겠습니다.

이번에는 TFTP 설치에 대해서 알아보겠습니다.

가장 많이 쓰는 Free TFTP 프로그램은 

아래 링크를 통해서 다운로드 받습니다. 

https://pjo2.github.io/tftpd64/

2. Download Page를 클릭 합니다. 

3. TFTPD64-4.64-setup.exe 파일을 클릭 합니다. 

4. 파일을 클릭 해서 실행 합니다. 

5. I agree를 클릭 합니다. 

6. Next버튼을 클릭 합니다.  

7. Install 버튼을 클릭 합니다.

8. Close버튼을 클릭 합니다. 

지금까지 [ASA #02] - TFTP Install 글을 읽어주셔서 감사합니다. 

안녕하세요.

이번에 고객사에서 사용중인 ASA Firewall를 FTD로 Migration를 해야하는데 CISCO ASA 방화벽을 너무 오랜간만에 다시 다루게 되어서 ASA Anyconnect - Remote Access VPN에 대해서 공부해 보겠습니다.

EVE-NG에서 아래처럼 구성도를 만들었습니다.

EVE-NG ASA 설치 과정은 아래 글을 확인 부탁드립니다.

https://itblog-kr.tistory.com/19#google_vignette

1. EVE-NG에서 토폴로지를 아래와 같이 만듭니다.

2. 기본설정을 합니다.

E0/0 - zone - outside - ip 192.168.10.77/24

E0/1 - zone - inside - ip 10.1.1.1/24

GW: 192.168.10.253 

Nameif 확인

Interface 확인

Default Gateway 확인

2. PC에서 Ping 192.168.10.77 

지금 까지 [ASA #01] - Basic Config 대해서 알아보았습니다. 

다음글은 ASDM를 설치해서  cisco ASA 접속해보겠습니다. 

안녕하세요. 

오늘은 wifi 패스워드를 cmd창에서 확인 하는 방법에 대해서 알아보겠습니다.

1. CMD를 실행합니다.

2. 아래처럼 SSID 확인 가능 합니다. 

저는 31994라는 SSID를 사용 중에 있습니다. 

2.

지금까지 [IT TECH TIP-#2] - 접속된 WIFI 패스워드 확인 - cmd 글을 읽어주셔서 감사합니다. 

안녕하세요. 

오늘은 현재 접속된 WIFI 패스워드를 확인 하는 방법에 대해서 알아보겠습니다.

오랜전에 WIFI를 접속 후 현재 패스워드를 까먹엇을때 유용하게 사용 가능 합니다.

1. WIFI 아이콘에서 오른쪽 마우스를 클릭후 네트워크 및 인터넷 설정을 클릭 합니다. 

2. Wi-Fi를 클릭 합니다. 

3. 속성을 클릭 합니다. 

4. 고급 Wi-Fi 네트워크 속성을 클릭 합니다. 

6. 보안 탭을 클릭후 문자 표시를 선택하면 WIFI 패스워드를 확인 가능 합니다. 

지금까지 [IT TECH TIP-#1] - 접속된 WIFI 패스워드 확인 - 윈도우11 글을 읽어주셔서 감사합니다. 

안녕하세요. 

오늘은 Global Protect Protal list를 Batch File를 이용해서 설치 하는 방법에 대해서 알아보겠습니다.

아래 처럼 User가 GP를 실행했을때 List가 총 4개가 나오게 Batch 파일을 만들어보겠습니다.

192.168.1.2

192.168.1.3

192.168.2.2

192.168.2.3

윈도우10에서 테스트 하였습니다.

1. 윈도우 10에서 메모장을 열고 아래 설정값을 복사합니다.

2. 그리고 GP_BATCH 이름 정하고 확장자를 .bat로 저장합니다

3. 테스트를 위해서 기존에 있는 GP Portal List를 삭제합니다. 

윈도우 + R

Portal list를 삭제합니다.

그리고 다시 Registry값을 보면 아래처럼 삭제 되었습니다.

4. Batch 파일을 통해서 GP Portal List를 추가하기 위해서 Batch File를 administrator 권환으로 실행 합니다. 

그리고 Registor값을 확인해보면 Portal List가 추가되었습니다.

** 위에 Na NA폴더는 삭제 합니다. ** 삭제하지 않으면 제대로 동작하지 않습니다. 

하지만 GP List에 보면 아래처럼 Portal List가 없습니다. 

** GP를 재실행 합니다. **

** GP를 재실행 할수 있는 권환이 옵션이 없으면 PC를 재부팅 합니다. **

5. 재부팅이 완료 되면 아래 사진처럼 4개에 globlal protect Portal List가 보입니다.

만약에 User가 100이라고 가정해보겠습니다.

AD Join이 된 PC라면, GPO를 통해서 유저가 AD계정으로 로그인 할때 위에 Batch file를 자동 실행하게 해서 Global Protect portal list를 추가 할수 있습니다. 하지만 유저가 PC를 재부팅해야지 추가된 portal list가 보입니다.

AD 사용 하지 않는 User라면 Email를 통해서 Batch File를 전달해서 유저들이 Batch를 클릭해서 설정하게 하고 재부팅 하게 합니다. 

지금까지 [PaloAlto FW-#19] - GlobalProtect Portal list install - Batch File 글을 읽어주셔서 감사합니다. 

안녕하세요.

오늘은 PaloAlto Service Route에 대해서 알아보겠습니다.

PaloAlto는 Service관련 Traffic에 대해서는 어떤 인테페이스를 Source로 해서 통신 할 것인지 정의 할수 있습니다.

Default로는 MGMT를 사용 합니다. 일반 Data InterFace를 사용 하기 위해서는 수정이 필요 합니다. 

1. Device -> Setup -> Services -> Servoces Features에서 Service Route Configuration를 클릭 합니다. 

2. 아래처럼 디폴트값은 MGMT 입니다. 

실제 장비 사진을 보시면 위에 MGMT - OUT OF BAND를 통해서 Service 과련 Traffic를 Source IP로 선택해서 통신 합니다.

Customeize를 선택하면 팔로알토에서 제공하는 Pre-defined 된 Service들에 해서 Source Interface와 IP를 선택 가능 합니다. 

제약 사항.

** Backup Interface를 선택 할수 없습니다. **

만약에 Pre-Defined에 없는 Service들은  Destination를 통해서 설정 가능 합니다. 

아래처럼 설정하면 Pre-Defined에 없는 Service Traffic은 Destination에 Match되면 이 소스로 IP로 해서 통신 합니다. 

** 중요 **

이 Destination은 특정 IP에 대해서는 이 Source Interface랑 IP를 사용해라가 아닙니다.

예를 들어

Active Directory 01 IP 1.1.1.1

Active Directory 02 IP 2.2.2.2

에서 PaloAlto에서 1.1.1.1 Source IP를 192.168.10.1

2.2.2.2에 대해서는 Source IP를 192.168.20.1 선택 하고 싶습니다. 그래서 Destination에 위와 같이 설정해도 원했던것처럼 동작하지 않습니다.

Destination 1.1.1.1 source interface e1/1 ip 192.168.10.1

Destination 2.2.2.2 source interface e1/2 ip 192.168.20.1

Priority 

1. Pre-Defined이 첫번째로 적용 됩니다.

2. Destination은 Pre-Defined에 없는 Service들을 적용 할때 사용 됩니다.  용도가 다릅니다.

공식 팔로알토 문서

https://docs.paloaltonetworks.com/pan-os/10-2/pan-os-web-interface-help/device/device-setup-services/destination-service-route

You can use a destination service route to add a customized redirection of a service that is not supported on the Customize list of services.  A destination service route is a way to set up routing to override the forwarding information base (FIB) route table. Any settings in the Destination service routes override the route table entries. They could be related or unrelated to any service.

지금까지 [PaloAlto FW-#18] - Service Route 글을 읽어주셔서 감사합니다.

안녕하세요.

오늘은 mib browser에 대해서 알아보겠습니다. 

mib browser를 이용하면 쉽게 oid값을 찾아 낼수 있습니다. 

google에서 mib browser를 검색하면 무료로 사용 할수 있는 mib browser가 많이 있습니다. 

1. 저는 ireasoning.com에서 제공하는 mib browser를 설치 하겠습니다.

https://www.ireasoning.com/mibbrowser.shtml

2. Download Now버튼을 클릭 합니다. 

3. 아래처럼 사용중인 OS에 맞게 다운로드 합니다. 

4. setup를 클릭 해서 설치 합니다. 설치 과정은 생략 하겠습니다. 

5. 위에 사진에서 mib browser를 클릭 합니다

6. Paloalto에서 mib 파일을 다운로드 받습니다.

https://docs.paloaltonetworks.com/resources/snmp-mib-files

7. 사용중인 버전을 클릭해서 다운로드 받습니다.

8. 압축을 풉니다. 

9. Mib Broswer를 통해서 위에 값을 불러 옵니다.

10. 아래 폴더에 접속합니다. 

11. BGP 관련 OID값을 찾아보겠습니다.

BGP가 UP되었을때 OID

BGP가 DOWN되었을때 OID

실제 이 OID값을 가지고 리눅스에서 팔로알토에 snmp 쿼리 해보겠습니다.

12. SNMP관련 Tool이 설치 된 리눅스에 접속 합니다.

 .1.3.6.1.4.1.25461.2.1.3.2.0.1531   --- BGP UP

 .1.3.6.1.4.1.25461.2.1.3.2.0.1532   -- BGP DOWN

팔로알토 장비가 PA220인데 이 BGP OID를 지원을 하지 않는거 같다. 

추후에 다른 PA장비에서 테스트를 진행해보겠습니다. 

지금까지 [PaloAlto FW-#17] - mib browser - BGP UP/DOWN 글을 읽어주셔서 감사합니다. 

안녕하세요.

오늘은 Fortigate ECMP에 대해서 알아보겠습니다.

1. ECMP - Equal Cost Multiple Path - 매카니즘에 대허서 Routing Table 경로가 같으면 Traffic를 Load-Balance 합니다. 

2. ECMP는 Policy Routing 이후에 ECMP 정책이 적용 됩니다.

3. ECMP가 적용되기 위해서는 Same Destination, Cost가 같아야 합니다. 

4. 포티넷은 총 255에 ECMP Table를 지원 합니다.

5. ECMP Load-Balance 종류

    5-1 Source-ip-based - it is defualt selection - A source ip는 WAN01선택, B Source IP는 WAN02선택 이렇게 소스 IP별로 로드밸런싱 합니다. 

    5-2 weight-based - session percentage 적용해서 WAN01 - 75% , WAN02는 -25% 선택 가능-  WAN01 - 100M, WAN02, 25M

   5-3 usage-based - WAN01에 ingress and egress thresholds를 설정하고 이 임계치가 넘어가면 WAN02로 전환

  모든트래픽이 WAN01으로 흐르고 있는 상황에서 5% 넘으면 다음세션부터는 WAN02가 처리. 

   5-4 source-dest-ip-based - 소스IP, 목적지IP를 조합해서 로드밸런싱 합니다.