SSH i ASA bell o bell trwy VPN y safle: gam wrth gam

Rydych yn cyfeirio cleient SSH at gyfeiriad mewnol yr ASA bell ac mae'r sesiwn yn marw wrth gysylltu. Mae'r wal dân yn ateb o'i safle ei hun, mae'r twnnel yn ymddangos, ac eto nid oes unrhyw beth yn gwrando ar borth 22. Yn y rhan fwyaf o'r achosion hyn nid yw'r pecyn byth yn cyrraedd derbyniad rheoli, oherwydd ni chafodd y llwybr sy'n cael ei brofi ei ddylunio fel llwybr rheoli erioed. Dilynwch y llif isod mewn trefn a bydd'r methiant yn stopio symud.

Dewiswch y cyfeiriad rydych chi'n ei weinyddu mewn gwirionedd

Mae tri chynllun yn edrych yn debyg ac yn ymddwyn yn wahanol: cyrraedd cyfeiriad cyhoeddus yr ASA sy'n wynebu'r VPN, cyrraedd rhyngwyneb mewnol trwy IPsec, a chyrraedd rhyngwyneb rheoli pwrpasol. Nodwch gyfeiriad ffynhonnell y gweinyddwr, y cyfeiriad cyrchfan union a TCP 22 cyn cyffwrdd â chaniatâd. Mae popeth wedyn yn dibynnu ar y pâr hwnnw.

Efallai na fydd twnnel sy'n cario dau VLAN gweinydd yn cario cyfeiriad rhyngwyneb y wal dân na isrwyd reoli'r gweinyddwr o gwbl. Gwiriwch y rhestr traffig diddorol ar gyfer y polisi safle-i-safle a chadarnhewch fod cyfeiriad yr ASA ei hun yn ymddangos fel cyrchfan, nid yn unig yr isrwydi sy'n mynd trwyddo.

Gan mai'r wal dân ei hun yw'r gyrchfan, mae derbyniad rheoli ar wahân i reolau ar gyfer traffig a anfonir ymlaen. Nid yw ACL sy'n gadael cleientiaid gyrraedd gweinyddwyr y tu ôl i'r ASA yn galluogi gweinyddiaeth SSH y ddyfais yn annibynnol, ac ni fydd trwsio'r rheol anfon ymlaen yn symud y methiant hwn.

Mae management-access yn benodol i ryngwyneb

Mae'r gorchymyn management-access yn dweud wrth yr ASA i dderbyn cysylltiadau rheoli i ryngwyneb a enwir pan fyddant yn cyrraedd dros VPN. Nid yw'n creu llwybr, nid yw'n ychwanegu caniatâd SSH, ac nid yw'n berthnasol i bob rhyngwyneb ar unwaith. Os nad y rhyngwyneb cyrchfan yw'r un a enwir, mae'r cysylltiad yn cael ei ddileu cyn dilysu.

Mae dau eithriad yn brathu yma. Mae rhyngwynebau rheoli yn unig y tu allan i'r mecanwaith hwn, ac mae canllaw rheoli ASA 9.20 yn nodi nad yw'r pentwr CiscoSSH rhagosodedig yn cefnogi SSH traws-rhyngwyneb dros VPN tra bod pentwr ASA SSH yn ei gefnogi. Cadarnhewch y pentwr gweithredol ar y fersiwn a ddefnyddir cyn treulio amser ar lwybrau.

Pedair giât cyn y prawf mewngofnodi

Rhwng y cleient a'r prawf enw defnyddiwr mae pedair giât annibynnol: cydweddiad llwybr a thwnnel ar gyfer y pâr rheoli, ACL rhyngwyneb sy'n caniatáu TCP 22 i gyfeiriad yr ASA, caniatâd ssh sy'n cwmpasu ffynhonnell y gweinyddwr, a dilysiad AAA ar gyfer y defnyddiwr hwnnw. Gall pob un ollwng y pecyn heb ddweud wrth y cleient pa giât a gaeodd.

Defnyddiwch packet-tracer i weld pa giât sy'n methu cyn i chi newid unrhyw beth: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Mae'r ôl yn enwi'r ACL, cam NAT a'r penderfyniad to-the-box, sydd fel arfer yn ddigon i wahanu problem llwybro oddi wrth broblem derbyn.

Ysgrifennwch y caniatâd cul, nid yr un eang

Cyfyngwch y caniatâd i'r isrwyd weinyddol a gymeradwywyd a'r rhyngwyneb sy'n derbyn traffig y twnnel: ssh 10.10.5.0 255.255.255.0 inside. Parwch ef â dull dilysu fel aaa authentication ssh console LOCAL a chyfrif lleol a enwir, yn hytrach nag agor pob ffynhonnell ar y rhyngwyneb allanol.

Cadwch yr ACL rhyngwyneb a'r caniatâd ssh yn gyson. Mae caniatâd ar gyfer isrwyd y mae'r ACL yn ei rhwystro yn dal i fethu, ac mae ACL sy'n caniatáu'r isrwyd heb gofnod ssh cyfatebol yn methu yn y giât nesaf. Mae'r ddau ddatganiad yn disgrifio'r un llwybr o haenau gwahanol, felly adolygwch nhw gyda'i gilydd yn y ffurfweddiad rhedeg.

Gwiriwch o'r gwesteiwr a enwir, yna culhewch eto

Agorwch sesiwn newydd o'r gwesteiwr rheoli a enwir yn hytrach nag o'ch desg, a chadarnhewch ar yr ASA pa gyfeiriad ffynhonnell a pha ryngwyneb a ddefnyddiodd y cysylltiad. Gwiriwch y sesiynau gweithredol ac adran SSH y ffurfweddiad rhedeg tra bod y sesiwn ar agor, yna caewch hi a dileu unrhyw ganiatâd dros dro a ychwanegwyd gennych ar gyfer profi. Os yw'r sesiwn yn ymddangos ond yn cwympo yn syth ar ôl mewngofnodi, yr awdurdodi yw'r broblem sy'n weddill, nid gallu cyrraedd. Cofnodwch y rhyngwyneb a'r ffynhonnell yn y cofnod newid fel nad yw'r person nesaf yn ailadrodd y diagnosis.

Cadwch consol neu lwybr adfer arall a gymeradwywyd yn annibynnol ar gael trwy gydol y newid. Unwaith y bydd y llwybr preifat yn gweithio, cadarnhewch na chafodd ffynonellau cyhoeddus a defnyddwyr VPN heb gysylltiad yr un mynediad, oherwydd mae llwybr rheoli sy'n gweithio i bawb yn broblem wahanol i'r un y gwnaethoch ddechrau ag ef.