첫 번째 SSH MUX 연결 시도 시 Jumphost가 갑자기 재설정됩니다.

Question 1

TCP 최적화를 시도하는 펌웨어나 장치를 사용하고 있습니까? 네트워크에서도 같은 경험을 했고, 알고보니 TCP에 최적화된 장치였습니다.

Answer

TCP 최적화를 시도하는 펌웨어나 장치를 사용하고 있습니까? 네트워크에서도 같은 경험을 했고, 알고보니 TCP에 최적화된 장치였습니다.

Question 2

이는 Cisco 6059 FWSM 코어 라우터와 ASA 방화벽의 버그로 인한 것으로 밝혀졌습니다.

Linux 커널 v3 및 v4는 TCP 시퀀스 무작위화를 잘 처리하지 못하며 대용량 파일을 전송할 때 "무작위" 문제를 일으키거나 특히 SSH와 같은 여러 연결에서 다른 유형의 난독화 문제를 일으킬 수 있습니다. 아쉽게도 Windows, Mac, FreeBSD 모두 잘 돌아가기 때문에 어느 정도는 리눅스 버그라고도 할 수 있습니다.

사람들이 우리 웹사이트에서 임의의 파일을 다운로드할 수 없다고 불평하고 있기 때문에 이것은 매우 나쁜 상황입니다.

각 TCP 연결에는 두 개의 ISN이 있습니다. 하나는 클라이언트에서 생성되고 다른 하나는 서버에서 생성됩니다. ASA는 인바운드 및 아웃바운드 방향 모두에서 전달된 TCP SYN의 ISN을 무작위로 지정합니다.

보호된 호스트의 ISN을 무작위로 지정하면 공격자가 새 연결에 대한 다음 ISN을 예측하고 잠재적으로 새 세션을 하이재킹하는 것을 방지할 수 있습니다.

필요한 경우, 예를 들어 데이터가 왜곡되는 경우를 대비하여 TCP 초기 시퀀스 번호 무작위화를 비활성화할 수 있습니다. 예를 들어:

다른 인라인 방화벽도 초기 시퀀스 번호를 무작위로 지정하는 경우 이 작업이 트래픽에 영향을 주지 않더라도 두 방화벽 모두 이 작업을 수행할 필요가 없습니다.

처음에는 내부 코어 라우터에서 Cisco 무작위화를 비활성화했지만 그것만으로는 충분하지 않았습니다. 경계 방화벽 및 핵심 Cisco 라우터/스위치에서 Cisco 무작위화를 비활성화한 후에는 문제가 더 이상 발생하지 않습니다.

비활성화하려면 다음과 같습니다.

policy-map global_policy
    class preserve-sq-no
        set connection random-sequence-number disable

Cisco Notes를 참조하세요.TCP 시퀀스 무작위화 비활성화

또한 NAT 최적화를 위한 FWSM에서 관련 없는 XLATE 버그를 발견했습니다. 이는 기본적으로 활성화되어 허위 통신 문제를 일으키고 코어 라우터는 NAT를 담당하지 않기 때문에 비활성화됩니다.

xlate-bypass

xlate-bypass 활성화 위의 두 예에서 xlate는 Ii 플래그를 사용하여 생성되었습니다. 이러한 플래그는 xlate가 높은 보안(i) 인터페이스에서 파생된 ID 변환(I)임을 나타냅니다. 기본적으로 FWSM은 명시적인 NAT/PAT 규칙과 일치하지 않는 모든 트래픽에 대해 이러한 xlate를 구축합니다. 이 동작을 비활성화하려면 FWSM 3.2(1) 이상에서 xlate-bypass 명령을 활성화하면 됩니다.

FWSM(config)# xlate-우회

이는 기본 구성입니다. 우리는 내부 조사를 통해 이를 추적하는 데 수개월을 보냈으며 여기서 언급하지 않을 여러 관련 공급업체에서는 이러한 구성을 범인으로 정확히 찾아낼 수 없었습니다.

Answer