সাইট VPN-এর মাধ্যমে দূরের ASA-তে SSH: ধাপে ধাপে

আপনি একটি SSH ক্লায়েন্টকে দূরের ASA-র অভ্যন্তরীণ ঠিকানায় নির্দেশ করেন এবং সেশনটি সংযোগের সময়ই মরে যায়। ফায়ারওয়াল তার নিজের সাইট থেকে উত্তর দেয়, টানেল দেখা যায়, তবুও 22 নম্বর পোর্টে কিছুই শোনে না। এই বেশিরভাগ ক্ষেত্রে প্যাকেটটি কখনোই ম্যানেজমেন্ট ভর্তিতে পৌঁছায় না, কারণ যে পথটি পরীক্ষা করা হচ্ছে সেটি কখনো ম্যানেজমেন্ট পথ হিসেবে ডিজাইন করা হয়নি। নিচের প্রবাহটি ক্রম অনুসারে অনুসরণ করুন এবং ব্যর্থতা আর জায়গা বদলাবে না।

আপনি আসলে যে ঠিকানাটি পরিচালনা করছেন সেটি বেছে নিন

তিনটি ডিজাইন দেখতে একই রকম এবং আচরণে ভিন্ন: ASA-র পাবলিক VPN-মুখী ঠিকানায় পৌঁছানো, IPsec-এর মাধ্যমে অভ্যন্তরীণ ইন্টারফেসে পৌঁছানো, এবং একটি ডেডিকেটেড ম্যানেজমেন্ট ইন্টারফেসে পৌঁছানো। কোনো অনুমতি স্পর্শ করার আগে অ্যাডমিনিস্ট্রেটরের সোর্স ঠিকানা, সঠিক গন্তব্য ঠিকানা এবং TCP 22 লিখে রাখুন। পরবর্তী সবকিছু ওই জোড়ার উপর নির্ভর করে।

দুটি সার্ভার VLAN বহনকারী একটি টানেল ফায়ারওয়াল ইন্টারফেসের ঠিকানা বা অ্যাডমিনিস্ট্রেটরের ম্যানেজমেন্ট সাবনেট একেবারেই বহন না করতে পারে। সাইট-টু-সাইট নীতির জন্য ইন্টারেস্টিং ট্র্যাফিক তালিকা পরীক্ষা করুন এবং নিশ্চিত করুন যে ASA-র নিজের ঠিকানাটি গন্তব্য হিসেবে দেখা যায়, কেবল এর মধ্য দিয়ে যাওয়া সাবনেটগুলি নয়।

যেহেতু গন্তব্য হলো ফায়ারওয়াল নিজেই, ম্যানেজমেন্ট ভর্তি ফরোয়ার্ড করা ট্র্যাফিকের নিয়ম থেকে আলাদা। যে ACL ক্লায়েন্টদের ASA-র পিছনের সার্ভারে পৌঁছাতে দেয় তা স্বাধীনভাবে অ্যাপ্লায়েন্সের SSH প্রশাসন সক্রিয় করে না, এবং ফরোয়ার্ড নিয়মটি ঠিক করলে এই ব্যর্থতা সরে যাবে না।

management-access ইন্টারফেস-নির্দিষ্ট

management-access কমান্ডটি ASA-কে বলে যে VPN-এর মাধ্যমে আসা ম্যানেজমেন্ট সংযোগগুলি একটি নির্দিষ্ট ইন্টারফেসে গ্রহণ করতে হবে। এটি কোনো রুট তৈরি করে না, SSH অনুমতি যোগ করে না, এবং একসাথে প্রতিটি ইন্টারফেসে প্রযোজ্য হয় না। গন্তব্য ইন্টারফেসটি যদি নির্দিষ্ট করা ইন্টারফেস না হয়, তাহলে প্রমাণীকরণের আগেই সংযোগটি বাতিল হয়।

এখানে দুটি বর্জন কাজ করে। শুধু-ম্যানেজমেন্ট ইন্টারফেসগুলি এই প্রক্রিয়ার বাইরে, এবং ASA 9.20 ম্যানেজমেন্ট গাইড উল্লেখ করে যে ডিফল্ট CiscoSSH স্ট্যাক VPN-এর মাধ্যমে ইন্টারফেস-ক্রসিং SSH সমর্থন করে না, অথচ ASA SSH স্ট্যাক করে। রুটে সময় ব্যয় করার আগে স্থাপিত রিলিজে সক্রিয় স্ট্যাক নিশ্চিত করুন।

লগইন প্রম্পটের আগে চারটি গেট

ক্লায়েন্ট এবং ব্যবহারকারীর নামের প্রম্পটের মাঝে চারটি স্বাধীন গেট থাকে: ম্যানেজমেন্ট জোড়ার জন্য রুট ও টানেল মিল, ASA ঠিকানায় TCP 22 অনুমোদনকারী একটি ইন্টারফেস ACL, অ্যাডমিনিস্ট্রেটরের সোর্স কভার করা একটি ssh অনুমতি, এবং ওই ব্যবহারকারীর জন্য AAA প্রমাণীকরণ। প্রত্যেকটি ক্লায়েন্টকে না জানিয়ে প্যাকেট ফেলে দিতে পারে কোন গেটটি বন্ধ হয়েছে।

কিছু পরিবর্তনের আগে কোন গেটটি ব্যর্থ হয় তা দেখতে packet-tracer ব্যবহার করুন: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed। ট্রেসটি ACL, NAT পর্যায় এবং to-the-box সিদ্ধান্তের নাম দেয়, যা সাধারণত রাউটিং সমস্যা এবং ভর্তি সমস্যার মধ্যে পার্থক্য করতে যথেষ্ট।

সংকীর্ণ অনুমতি লিখুন, প্রশস্ত নয়

অনুমতিটি অনুমোদিত প্রশাসনিক সাবনেট এবং টানেল ট্র্যাফিক গ্রহণকারী ইন্টারফেসে সীমাবদ্ধ করুন: ssh 10.10.5.0 255.255.255.0 inside। বাইরের ইন্টারফেসে প্রতিটি সোর্স খোলার বদলে এটিকে aaa authentication ssh console LOCAL-এর মতো একটি প্রমাণীকরণ পদ্ধতি এবং একটি নামকরণ করা স্থানীয় অ্যাকাউন্টের সাথে জুড়ে দিন।

ইন্টারফেস ACL এবং ssh অনুমতি সামঞ্জস্যপূর্ণ রাখুন। ACL যে সাবনেট ব্লক করে তার জন্য অনুমতি এখনও ব্যর্থ হয়, এবং মিলিত ssh এন্ট্রি ছাড়া সাবনেট অনুমোদনকারী ACL পরের গেটে ব্যর্থ হয়। উভয় বিবৃতি একই পথকে ভিন্ন স্তর থেকে বর্ণনা করে, তাই চলমান কনফিগে সেগুলি একসাথে পর্যালোচনা করুন।

নির্দিষ্ট হোস্ট থেকে যাচাই করুন, তারপর আবার সংকীর্ণ করুন

আপনার ডেস্ক থেকে নয়, নির্দিষ্ট ম্যানেজমেন্ট হোস্ট থেকে একটি নতুন সেশন খুলুন এবং ASA-তে নিশ্চিত করুন যে সংযোগটি কোন সোর্স ঠিকানা এবং ইন্টারফেস ব্যবহার করেছে। সেশন চালু থাকাকালীন সক্রিয় সেশন এবং চলমান কনফিগের SSH অংশ পরীক্ষা করুন, তারপর এটি বন্ধ করে পরীক্ষার জন্য যোগ করা যেকোনো অস্থায়ী অনুমতি সরিয়ে ফেলুন। সেশনটি দেখা গেলেও লগইনের পরপরই পড়ে গেলে, বাকি সমস্যাটি পৌঁছানোর ক্ষমতা নয়, অনুমোদন। পরবর্তী ব্যক্তি যেন রোগনির্ণয় পুনরাবৃত্তি না করে তাই পরিবর্তন রেকর্ডে ইন্টারফেস ও সোর্স লিখে রাখুন।

সম্পূর্ণ পরিবর্তনের সময় কনসোল বা স্বতন্ত্রভাবে অনুমোদিত অন্য কোনো পুনরুদ্ধার পথ উপলব্ধ রাখুন। ব্যক্তিগত পথটি কাজ করলে নিশ্চিত করুন যে পাবলিক সোর্স এবং সম্পর্কহীন VPN ব্যবহারকারীরা একই অ্যাক্সেস পায়নি, কারণ সবার জন্য কাজ করা একটি ম্যানেজমেন্ট পথ আপনার শুরু করা সমস্যার চেয়ে ভিন্ন সমস্যা।