소스 지역 US에서 지역 기반 차단 기능 활성화되면 Route53 HealthCheck가 삭제됩니다.
3246
Created On 12/29/22 07:14 AM - Last Modified 04/09/25 13:06 PM
Symptom
- Prisma Access 3.1.2부터 특정 국가에서 들어오는 연결 차단 기능 지원됩니다.
"GlobalProtect, 명시적 프록시 및 원격 네트워크 배포를 위한 특정 국가에서 들어오는 연결 차단"
- 이 기능을 소스 지역 US에서 활성화하면 AWS의 Route53 HealthCheck 패킷도 보안 정책 에 의해 삭제됩니다.
Environment
- 프리즈마 액세스
- Route53 건강 검진
Cause
When we configured a security policy for Region Based Blocking following the document, the rule will be inserted at the top of security policies in the cloud FWs.
> show running security-policy
"Mobile_User_EMBG_Source_Countries; index: 1" {
from untrust;
source 0.0.0.0;
source-region US;
to any;
destination any;
destination-region none;
user any;
source-device any;
destinataion-device any;
category any;
application/service 0:any/any/any/app-default;
action drop;
icmp-unreachable: no
terminal no;
If we configure it with source-region US, Route53 HealthCheck packets from AWS will be also dropped by this rule.
> show log traffic direction equal backward
Time App From Src Port Source
Rule Action To Dst Port Destination
Src User Dst User End Reason
Rule_UUid
====================================================================================================
2022/12/26 17:20:02 not-applicable untrust 51528 15.177.2.98
Mobile_User_EMBG_So drop untrust 443 208.127.163.207
policy-deny
f4ba1dd3-825f-4450-aca2-f51b2fadb103
2022/12/26 17:19:58 not-applicable untrust 27640 15.177.18.96
Mobile_User_EMBG_So drop untrust 443 208.127.163.207
policy-deny
f4ba1dd3-825f-4450-aca2-f51b2fadb103
2022/12/26 17:19:57 not-applicable untrust 51528 15.177.2.98
Mobile_User_EMBG_So drop untrust 443 208.127.163.207
policy-deny
IPGeoLocation shows that these addresses(15.177.x.x) belong to Amazon Technologies Inc. (ROUTE53_HEALTHCHECKS, Global)Resolution
현재 설계에 따르면, 미국의 다른 모든 접근 시도를 차단하면서 HealthChecks만 허용하는 것은 불가능합니다.
이 기능 특정 위험 국가의 트래픽을 차단하는 데에만 사용해야 합니다.