Sayt VPN-i ilə uzaq ASA-ya SSH: addım-addım

SSH müştərisini uzaq ASA-nın daxili ünvanına yönəltdiyiniz anda sessiya qoşulma zamanı kəsilir. Firewall öz saytından cavab verir, tunel görünür, lakin 22 portunda heç nə dinləmir. Bu halların çoxunda paket heç vaxt idarəetmə qəbuluna çatmır, çünki sınaqdan keçirilən yol heç vaxt idarəetmə yolu kimi layihələndirilməyib. Aşağıdakı axını sıra ilə izləyin və nasazlıq yerini dəyişməyi dayandırır.

Həqiqətən idarə etdiyiniz ünvanı seçin

Üç dizayn oxşar görünür və fərqli davranır: ASA-nın ictimai VPN ünvanına çatmaq, IPsec vasitəsilə daxili interfeysə çatmaq və ayrılmış idarəetmə interfeysinə çatmaq. Hər hansı icazəyə toxunmadan əvvəl administrator mənbə ünvanını, dəqiq təyinat ünvanını və TCP 22-ni yazın. Sonrakı hər şey bu cütdən asılıdır.

İki server VLAN-ı daşıyan tunel firewall interfeysi ünvanını və ya administrator idarəetmə alt şəbəkəsini ümumiyyətlə daşımaya bilər. Sayt-sayt siyasəti üçün maraqlı trafik siyahısını yoxlayın və ASA-nın öz ünvanının yalnız içindən keçən alt şəbəkələr deyil, təyinat kimi göründüyünü təsdiqləyin.

Təyinat firewall-un özü olduğu üçün idarəetmə qəbulu yönləndirilən trafik qaydalarından ayrıdır. Müştərilərin ASA arxasındakı serverlərə çatmasına imkan verən ACL cihazın SSH idarəetməsini ayrıca aktivləşdirmir və yönləndirmə qaydasını düzəltmək bu nasazlığı yerindən tərpətməyəcək.

management-access interfeysə xasdır

management-access əmri ASA-ya VPN üzərindən gələn idarəetmə bağlantılarını adlandırılmış interfeysdə qəbul etməyi tapşırır. O, marşrut yaratmır, SSH icazəsi əlavə etmir və eyni anda hər interfeysə tətbiq olunmur. Təyinat interfeysi adlandırılan deyilsə, bağlantı autentifikasiyadan əvvəl atılır.

Burada iki istisna dişləyir. Yalnız idarəetmə üçün interfeyslər bu mexanizmdən kənardadır və ASA 9.20 idarəetmə təlimatı qeyd edir ki, standart CiscoSSH yığını VPN üzərindən interfeyslər arası SSH-i dəstəkləmir, ASA SSH yığını isə dəstəkləyir. Marşrutlara vaxt sərf etməzdən əvvəl quraşdırılmış buraxılışda aktiv yığını təsdiqləyin.

Giriş sorğusundan əvvəl dörd qapı

Müştəri ilə istifadəçi adı sorğusu arasında dörd müstəqil qapı dayanır: idarəetmə cütü üçün marşrut və tunel uyğunluğu, ASA ünvanına TCP 22-yə icazə verən interfeys ACL-i, administrator mənbəyini əhatə edən ssh icazəsi və həmin istifadəçi üçün AAA autentifikasiyası. Hər biri paketi müştəriyə hansı qapının bağlandığını demədən ata bilər.

Heç nəyi dəyişməzdən əvvəl hansı qapının uğursuz olduğunu görmək üçün packet-tracer-dən istifadə edin: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. İz ACL-i, NAT mərhələsini və to-the-box qərarını adlandırır, bu da adətən marşrut problemini qəbul probleminə qarışdırmaqdan ayırmaq üçün kifayətdir.

Dar icazə yazın, geniş deyil

İcazəni təsdiqlənmiş inzibati alt şəbəkəyə və tunel trafikini qəbul edən interfeysə məhdudlaşdırın: ssh 10.10.5.0 255.255.255.0 inside. Onu aaa authentication ssh console LOCAL kimi autentifikasiya üsulu və adlandırılmış yerli hesabla birləşdirin, xarici interfeysdə hər mənbəni açmaq əvəzinə.

Interfeys ACL-i ilə ssh icazəsini uyğun saxlayın. ACL-in blokladığı alt şəbəkə üçün icazə yenə uğursuz olur və alt şəbəkəyə icazə verən ACL uyğun ssh girişi olmadan növbəti qapıda uğursuz olur. Hər iki ifadə eyni yolu müxtəlif qatlamlardan təsvir edir, ona görə onları cari konfiqurasiyada birlikdə nəzərdən keçirin.

Adlandırılmış hostdan yoxlayın, sonra yenidən daraldın

Masanızdan deyil, adlandırılmış idarəetmə hostundan təzə sessiya açın və ASA-da bağlantının hansı mənbə ünvanını və interfeysi istifadə etdiyini təsdiqləyin. Sessiya açıq ikən aktiv sessiyaları və cari konfiqurasiyanın SSH bölməsini yoxlayın, sonra onu bağlayın və sınaq üçün əlavə etdiyiniz müvəqqəti icazəni silin. Sessiya görünür, lakin girişdən dərhal sonra düşürsə, qalan problem əlçatanlıq deyil, avtorizasiyadır. Növbəti şəxs diaqnozu təkrarlamasın deyə interfeysi və mənbəyi dəyişiklik qeydinə yazın.

Bütün dəyişiklik boyu konsolu və ya müstəqil təsdiqlənmiş başqa bərpa yolunu əlçatan saxlayın. Şəxsi yol işlədikdən sonra ictimai mənbələrin və əlaqəsiz VPN istifadəçilərinin eyni girişi əldə etmədiyini təsdiqləyin, çünki hər kəs üçün işləyən idarəetmə yolu başladığınız problemdən fərqli bir problemdir.