로드 및로드 작업 (AnyConnect, NAT, ACL, RADIUS 등)을 수행하는 ASA 5550이 있습니다. CPU 및 메모리 측면에서 특히 과부하가 걸리지 않지만 가동 시간은 3.5 년 이상입니다.
최근에 NAT Exempt 규칙과 함께 다른 IPSEC 터널 (cryptomap을 통해)을 배포하려고 시도했지만 ASA는 매우 이상한 행동을 보이고 있습니다. 때로는 ACE를 추가하면 설명 필드의 아무 곳에도 많은 텍스트가 나타납니다. 내가 무엇을하든, 온 박스 PacketTracer 도구를 사용한 테스트는 예상 한 결과를 얻지 못합니다 (예 : 패킷이 ACL의 맨 아래에 Any / Any 규칙을 적용한 것으로 보입니다. 상기 ACL의 상단에있는 ACE).
어쨌든 문제는 이것입니다. 누군가 ASA를 재부팅하여 실제로 어떤 문제를 해결 한 적이 있습니까? 가장 좋아하는 옵션은 아니지만 매우 이상한 동작으로 문제 해결이 효과가 없음을 알 수 있습니다.
답변:
짧은 대답 : 그렇습니다.
더 긴 대답 : :-) 모든 소프트웨어에 버그가 있습니다. 실행 시간이 길수록 네트워크에서 작업장을 설치할 가능성이 높습니다. 그러나 다시 말하면 재부팅하지 않고 오래 갈수록 "오래된"구성 및 / 또는 상태가 조금 더 남아있게됩니다. IOS에서는 no interface foo인터페이스를 다시 만들면 구성 요소가 완전히 손상되지 않았으며 구성 요소가 다시 나타날 수 있다는 경고를 표시합니다. ASA에서는 발생하지 않지만 드물게 발생합니다. 또한 구성에서 팬텀 NAT 항목을 삭제 한 후 보았습니다. (실제로는 버그입니다)
IPSec / crypto를 다룰 때, 나는 많은 미친 짓을 해결할 수 있음을 발견했습니다 reload. 어떤 경우에는 (pix 6.3.5) 내가 할 때까지 VPN 터널을 다시 설정하지 않습니다.
[edit] 일반적으로 재부팅에 관한 단어 : 나는 단지 재부팅을하는 경향 이있다 . 너무나 자주 나는 다양한 시스템 (라우터, 방화벽, 서버)을 오랜 시간 동안 실행하고 있습니다-끊임없이 수정되고 무언가가 다시 시작되면 (보통 정전이지만 "잘못된 시스템"이 발생합니다) 이전과 똑같은 방식으로 돌아 오는 경우는 거의 없습니다. 누군가 부팅 할 때 X를 시작하는 것을 잊었거나 부품의 이상한 상호 작용으로 인해 예상대로 시작되지 않는 것이 있습니다. 본인은 인프라의 더 정적 인 부분에 대한 관심이 적다는 것을 인정합니다.
일반적으로 메모리 누수 또는 캐시 오버플로 조건과 같은 버그를 다루는 것을 알고 있지 않으면 문제의 해결 방법으로 재부팅을 권장하지 않습니다.
ASA에서 3.5 년 이상 이미지를 실행중인 경우 Cisco 버그 툴킷을 확인 했습니까? 이상한 점은 플랫폼의 모든 버그가 문서화되어 있으며 적용 가능한지 확인할 수 있다는 것입니다.
지원이있는 경우 TAC 케이스를 여는 것이 좋습니다.
내 마음 속에서 재부팅하면 다른 문제를 극복하고 근본 원인을 찾기가 매우 어렵습니다 (불가능하지는 않지만). 궁극적으로 근본 원인을 이해하지 못하면, 당신은 당신이 무엇을 고쳤다는 것을 알지 못하며, 특히 "보안"플랫폼에서 매우 위험하다는 것을 알게됩니다.
예를 들어 외부 소스에 의해 악용되는 코드에 보안 취약점이있을 수 있습니다. 다시 부팅하면 연결이 끊어지고 증상이 완화 될 수 있지만 문제를 해결하기위한 조치는 없습니다.
언급 한 바와 같이 위험 관리 및 취약성 관리가 귀하의 관심사입니다. 가동 시간으로 표시된 시점에 최신 펌웨어가 설치되어 있다고 가정 할 때 ASA 소프트웨어 버전에 대해 알려진 취약점이 10-20 개 이상이라고 말하고 싶습니다 .
지난 1 년 동안 취약점이있는 Tools.cisco.com 링크 (일부는 관련이 없지만 좋은 아이디어가 될 것입니다)
당신을 도울 수있는 다른 도구들 :
Cisco Security IntelliShield Alert Manager- 네트워크, 하드웨어 및 소프트웨어 자산이 새로운 위협과 기존 위협에 취약한 지 확인
Cisco IOS 소프트웨어 검사기 . ASA와 비슷한 것이 있는지 모르겠지만 누군가가 차임 할 수 있습니까?
라우터 구성 감사 : RedSeal 에는 버전 확인 (이와 함께 사용 된 지 몇 년이 지났음 ) 및 네트워크를위한 기타 여러 보안 도구가 포함될 수 있습니다.
취약점 관리 : Nessus 에는 커뮤니티 및 상업용 버전이 있으며 이와 같은 다른 소프트웨어가 많이 있습니다.
ACE를 추가 할 때 많은 '무작위'텍스트가 표시되면 수동으로이 ACE를 입력하거나 다른 소스 (메모장과 같은)에서 붙여 넣는 것입니다.
장치에 많은 줄을 붙여 넣을 경우 과부하가 걸리고 일부 손상이 발생하고 줄이 적을수록 일반적으로 문제를 해결하거나 터미널 프로그램의 기능을 사용하여 작은 것을 허용하기 위해 '느리게 붙여 넣기'하는 문제가 발생했습니다. 각 라인 사이의 시간 간격.