Documentation Produit
Citrix SD-WAN WANOP 11.3
11.3 11.2 11.1 11.0 10.2
Voir PDF

Considérations sur les pare-feux

April 9, 2021
Contributeur: 
C

L’utilisation des options TCP par l’appliance Citrix SD-WAN WANOP met en danger le trafic accéléré provenant de pare-feu qui ont des règles agressives sur le refus de service aux connexions utilisant des options TCP moins courantes.

Certains pare-feu suppriment les options « inconnues », puis transmettent le paquet. Cette action empêche l’accélération mais n’altère pas la connectivité.

D’autres pare-feu refusent le service aux connexions avec des options inconnues. Autrement dit, les paquets SYN avec les options Citrix SD-WAN WANOP sont supprimés par le pare-feu. Lorsque l’appliance détecte des échecs répétés de tentatives de connexion, elle tente de nouveau sans les options. Cela restaure la connectivité après un retard de longueur variable, généralement dans la plage de 20-60 secondes, mais sans accélération.

Tout pare-feu qui ne transmet pas les options Citrix SD-WAN WANOP via non modifié doit être reconfiguré pour accepter les options TCP comprises entre 24 et 31 (décimal).

La plupart des pare-feu ne bloquent pas ces options. Cependant, les pare-feu Cisco ASA et PIX (et peut-être d’autres) avec le firmware de la version 7.x peuvent le faire par défaut.

Les pare-feu aux deux extrémités de la liaison doivent être examinés, car l’une ou l’autre peut autoriser des options sur les connexions sortantes mais les bloquer sur les connexions entrantes.

L’exemple suivant devrait fonctionner avec les pare-feu Cisco ASA 55x0 utilisant un firmware 7.x. Comme il autorise globalement des options dans la plage de 24-31, il n’y a pas de configuration personnalisée par interface ou par unité :

 ====================================================================
 CONFIGURATION FOR CISCO ASA 55X0 WITH 7.X CODE TO ALLOW TCP OPTIONS
 ====================================================================
 hostname(config)# tcp-map WSOptions
 hostname(config-tcp-map)# tcp-options range 24 31 allow
 hostname(config-tcp-map)# class-map WSOptions-class
 hostname(config-cmap)# match any
 hostname(config-cmap)# policy-map WSOptions
 hostname(config-pmap)# class WSOptions-Class
 hostname(config-pmap-c)# set connection advanced-options WSOptions
 hostname(config-pmap-c)# service-policy WSOptions global
<!--NeedCopy-->

La configuration d’un pare-feu PIX est similaire :

 =====================================================
 POLICY MAP TO ALLOW APPLIANCE TCP OPTIONS TO PASS (PIX 7.x)
 =====================================================
 pixfirewall(config)#access-list tcpmap extended permit tcp any any
 pixfirewall(config)# tcp-map tcpmap
 pixfirewall(config-tcp-map)# tcp-opt range 24 31 allow
 pixfirewall(config-tcp-map)# exit
 pixfirewall(config)# class-map tcpmap
 pixfirewall(config-cmap)# match access-list tcpmap
 pixfirewall(config-cmap)# exit
 pixfirewall(config)# policy-map global_policy
 pixfirewall(config-pmap)# class tcpmap
 pixfirewall(config-pmap-c)# set connection advanced-options tcpmap
<!--NeedCopy-->
Considérations sur les pare-feux
April 9, 2021
Contributeur: 
C
April 9, 2021
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.