ASA VPN, jak filtrowac ruch - best practice CSCsf99428

[restrykt]

Witam,

Mam pytanko zwiazane z filtrowaniem VPN ruchu na ASA w zwiazku z tym, ze VPN filter zachowuje sie jak ponizej.
https://bst.cloudapps.cisco.com/bugsear ... CSCsf99428

The problem with the current implementation is that it allows the reverse flow, ie, anything sourced to port 23 from the remote network would be allowed to access the local network. This may not be desirable in some networks.

Wiec jak rozumiem, otwierajac cos outbound przy uzyciu VPN filtra, otwieramy tez w druga strone? Jezeli ktos jest w stanie na sztywno wygenerowac ruch z portu np. 443, ktory otworzylismy out bedzie mogl teoretycznie przeskanowac porty w druga strone. W zwiazku z tym, jak skutecznie filtrowac ruch w obydwu kierunkach? Wylaczacie sysopt connection permit-vpn i robicie to aclkami na interfejsach, czy w inny sposob?

Z góry dzieki za wszelkie sugestie.

[restrykt]

Z pomysłów jakby ktoś szukał w przyszłości to: NAT w jedną stronę (unidirectional) jako workaround, jeżeli ruch jest NATowany. Jeżeli nie, drugie pudełko do kontroli ruchu po dekrypcji inicjowanego przez zdalną domenę..