SSH na udaljenu ASA kroz site VPN: korak po korak

Usmjerite SSH klijent na internu adresu udaljene ASA-e i sesija umre pri povezivanju. Vatrozid odgovara sa vlastitog site-a, tunel se pojavljuje, a ipak ništa ne sluša na portu 22. U većini takvih slučajeva paket nikada ne stigne do upravljačkog prijema, jer putanja koja se testira nikada nije bila projektovana kao upravljačka. Prođite tok ispod redom i kvar prestaje da se seli.

Odaberite adresu kojom zaista upravljate

Tri dizajna izgledaju slično i ponašaju se različito: dostizanje javne VPN adrese ASA-e, dostizanje internog interfejsa kroz IPsec i dostizanje namjenskog upravljačkog interfejsa. Zapišite izvornu adresu administratora, tačnu odredišnu adresu i TCP 22 prije nego što dirnete dozvolu. Sve kasnije zavisi od tog para.

Tunel koji nosi dvije serverske VLAN mreže možda uopće ne nosi adresu interfejsa vatrozida ni upravljačku podmrežu administratora. Provjerite listu zanimljivog saobraćaja za site-to-site politiku i potvrdite da se vlastita adresa ASA-e pojavljuje kao odredište, a ne samo podmreže koje kroz nju prolaze.

Pošto je odredište sam vatrozid, upravljački prijem je odvojen od pravila za proslijeđeni saobraćaj. ACL koji pušta klijente do servera iza ASA-e ne omogućava samostalno SSH administraciju uređaja, a popravka pravila za prosljeđivanje neće pomjeriti ovaj kvar.

management-access je vezan za interfejs

Komanda management-access kaže ASA-i da prihvati upravljačke veze na imenovanom interfejsu kada stižu preko VPN-a. Ona ne stvara rutu, ne dodaje SSH dozvolu i ne primjenjuje se na svaki interfejs odjednom. Ako odredišni interfejs nije onaj koji je imenovan, veza se odbacuje prije autentikacije.

Ovdje djeluju dva izuzetka. Interfejsi samo za upravljanje su izvan ovog mehanizma, a vodič za upravljanje ASA 9.20 napominje da zadani CiscoSSH stek ne podržava SSH između interfejsa preko VPN-a, dok ASA SSH stek podržava. Potvrdite aktivni stek na instaliranom izdanju prije nego što potrošite vrijeme na rute.

Četiri kapije prije upita za prijavu

Između klijenta i upita za korisničko ime stoje četiri nezavisne kapije: poklapanje rute i tunela za upravljački par, ACL interfejsa koji dozvoljava TCP 22 prema adresi ASA-e, ssh dozvola koja pokriva izvor administratora i AAA autentikacija za tog korisnika. Svaka od njih može odbaciti paket a da klijentu ne kaže koja se kapija zatvorila.

Koristite packet-tracer da vidite koja kapija pada prije nego što bilo šta promijenite: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Trag navodi ACL, fazu NAT-a i odluku to-the-box, što je obično dovoljno da se problem rute odvoji od problema prijema.

Napišite usku dozvolu, ne široku

Ograničite dozvolu na odobrenu administrativnu podmrežu i interfejs koji prima saobraćaj tunela: ssh 10.10.5.0 255.255.255.0 inside. Uparite je s metodom autentikacije kao što je aaa authentication ssh console LOCAL i imenovanim lokalnim računom, umjesto da otvorite svaki izvor na vanjskom interfejsu.

Držite ACL interfejsa i ssh dozvolu usklađenim. Dozvola za podmrežu koju ACL blokira i dalje pada, a ACL koji dozvoljava podmrežu bez odgovarajućeg ssh unosa pada na sljedećoj kapiji. Obje izjave opisuju istu putanju iz različitih slojeva, pa ih pregledajte zajedno u aktivnoj konfiguraciji.

Provjerite s imenovanog hosta, pa ponovo suzite

Otvorite svježu sesiju s imenovanog upravljačkog hosta, a ne sa svog radnog stola, i potvrdite na ASA-i koju su izvornu adresu i interfejs koristile veza. Provjerite aktivne sesije i SSH dio aktivne konfiguracije dok je sesija otvorena, zatim je zatvorite i uklonite svaku privremenu dozvolu koju ste dodali za testiranje. Ako se sesija pojavi ali padne odmah nakon prijave, preostali problem je autorizacija, a ne dostupnost. Zabilježite interfejs i izvor u zapis o promjenama da sljedeća osoba ne ponavlja dijagnozu.

Držite konzolu ili drugu nezavisno odobrenu putanju oporavka dostupnom tokom cijele promjene. Kad privatna putanja proradi, potvrdite da javni izvori i nepovezani VPN korisnici nisu dobili isti pristup, jer upravljačka putanja koja radi za sve je drugačiji problem od onog s kojim ste počeli.