SSH σε απομακρυσμένο ASA μέσω VPN τοποθεσίας: βήμα προς βήμα

Στρέφετε έναν πελάτη SSH στην εσωτερική διεύθυνση του απομακρυσμένου ASA και η συνεδρία πεθαίνει κατά τη σύνδεση. Το τείχος προστασίας απαντά από τη δική του τοποθεσία, το τούνελ εμφανίζεται, και όμως τίποτα δεν ακούει στη θύρα 22. Στις περισσότερες από αυτές τις περιπτώσεις το πακέτο δεν φτάνει ποτέ στην αποδοχή διαχείρισης, επειδή η διαδρομή που δοκιμάζεται δεν σχεδιάστηκε ποτέ ως διαδρομή διαχείρισης. Ακολουθήστε τη ροή παρακάτω με σειρά και η αστοχία σταματά να μετακινείται.

Επιλέξτε τη διεύθυνση που πραγματικά διαχειρίζεστε

Τρία σχέδια μοιάζουν μεταξύ τους και συμπεριφέρονται διαφορετικά: πρόσβαση στη δημόσια διεύθυνση του ASA που βλέπει το VPN, πρόσβαση σε εσωτερική διεπαφή μέσω IPsec και πρόσβαση σε αποκλειστική διεπαφή διαχείρισης. Σημειώστε τη διεύθυνση προέλευσης του διαχειριστή, την ακριβή διεύθυνση προορισμού και το TCP 22 πριν αγγίξετε οποιαδήποτε άδεια. Όλα τα επόμενα εξαρτώνται από αυτό το ζεύγος.

Ένα τούνελ που μεταφέρει δύο VLAN διακομιστών μπορεί να μη μεταφέρει καθόλου τη διεύθυνση της διεπαφής του τείχους προστασίας ή το υποδίκτυο διαχείρισης του διαχειριστή. Ελέγξτε τη λίστα ενδιαφέρουσας κίνησης για την πολιτική τοποθεσίας-προς-τοποθεσία και επιβεβαιώστε ότι η ίδια η διεύθυνση του ASA εμφανίζεται ως προορισμός, όχι μόνο τα υποδίκτυα που περνούν μέσα από αυτό.

Επειδή ο προορισμός είναι το ίδιο το τείχος προστασίας, η αποδοχή διαχείρισης είναι ξεχωριστή από τους κανόνες για προωθούμενη κίνηση. Ένα ACL που επιτρέπει στους πελάτες να φτάνουν σε διακομιστές πίσω από το ASA δεν ενεργοποιεί από μόνο του τη διαχείριση SSH της συσκευής, και η διόρθωση του κανόνα προώθησης δεν θα μετακινήσει αυτή την αστοχία.

Το management-access αφορά συγκεκριμένη διεπαφή

Η εντολή management-access λέει στο ASA να δέχεται συνδέσεις διαχείρισης σε μια ονομασμένη διεπαφή όταν φτάνουν μέσω VPN. Δεν δημιουργεί διαδρομή, δεν προσθέτει άδεια SSH και δεν ισχύει για κάθε διεπαφή ταυτόχρονα. Αν η διεπαφή προορισμού δεν είναι η ονομασμένη, η σύνδεση απορρίπτεται πριν από τον έλεγχο ταυτότητας.

Δύο εξαιρέσεις δαγκώνουν εδώ. Οι διεπαφές μόνο για διαχείριση είναι εκτός αυτού του μηχανισμού, και ο οδηγός διαχείρισης του ASA 9.20 σημειώνει ότι η προεπιλεγμένη στοίβα CiscoSSH δεν υποστηρίζει SSH μεταξύ διεπαφών μέσω VPN, ενώ η στοίβα ASA SSH το υποστηρίζει. Επιβεβαιώστε την ενεργή στοίβα στην έκδοση που έχει αναπτυχθεί πριν ξοδέψετε χρόνο σε διαδρομές.

Τέσσερις πύλες πριν από το μήνυμα σύνδεσης

Ανάμεσα στον πελάτη και το μήνυμα ονόματος χρήστη στέκονται τέσσερις ανεξάρτητες πύλες: αντιστοίχιση διαδρομής και τούνελ για το ζεύγος διαχείρισης, ένα ACL διεπαφής που επιτρέπει TCP 22 προς τη διεύθυνση του ASA, μια άδεια ssh που καλύπτει την προέλευση του διαχειριστή και έλεγχος ταυτότητας AAA για αυτόν τον χρήστη. Καθεμία μπορεί να ρίξει το πακέτο χωρίς να πει στον πελάτη ποια πύλη έκλεισε.

Χρησιμοποιήστε το packet-tracer για να δείτε ποια πύλη αποτυγχάνει πριν αλλάξετε οτιδήποτε: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Το ίχνος ονομάζει το ACL, το στάδιο NAT και την απόφαση to-the-box, που συνήθως αρκεί για να ξεχωρίσετε πρόβλημα δρομολόγησης από πρόβλημα αποδοχής.

Γράψτε τη στενή άδεια, όχι τη φαρδιά

Περιορίστε την άδεια στο εγκεκριμένο διοικητικό υποδίκτυο και στη διεπαφή που δέχεται την κίνηση του τούνελ: ssh 10.10.5.0 255.255.255.0 inside. Συνδυάστε την με μέθοδο ελέγχου ταυτότητας όπως aaa authentication ssh console LOCAL και έναν ονομασμένο τοπικό λογαριασμό, αντί να ανοίξετε κάθε προέλευση στην εξωτερική διεπαφή.

Κρατήστε το ACL της διεπαφής και την άδεια ssh συνεπή. Μια άδεια για υποδίκτυο που το ACL μπλοκάρει αποτυγχάνει ακόμα, και ένα ACL που επιτρέπει το υποδίκτυο χωρίς αντίστοιχη καταχώριση ssh αποτυγχάνει στην επόμενη πύλη. Και οι δύο δηλώσεις περιγράφουν την ίδια διαδρομή από διαφορετικά επίπεδα, οπότε εξετάστε τις μαζί στην τρέχουσα διαμόρφωση.

Επαληθεύστε από τον ονομασμένο κεντρικό υπολογιστή και μετά περιορίστε ξανά

Ανοίξτε μια νέα συνεδρία από τον ονομασμένο κεντρικό υπολογιστή διαχείρισης και όχι από το γραφείο σας, και επιβεβαιώστε στο ASA ποια διεύθυνση προέλευσης και ποια διεπαφή χρησιμοποίησε η σύνδεση. Ελέγξτε τις ενεργές συνεδρίες και την ενότητα SSH της τρέχουσας διαμόρφωσης όσο η συνεδρία είναι ανοιχτή, μετά κλείστε την και αφαιρέστε οποιαδήποτε προσωρινή άδεια προσθέσατε για δοκιμή. Αν η συνεδρία εμφανίζεται αλλά πέφτει αμέσως μετά τη σύνδεση, το υπόλοιπο πρόβλημα είναι η εξουσιοδότηση και όχι η προσβασιμότητα. Καταγράψτε τη διεπαφή και την προέλευση στο αρχείο αλλαγών ώστε ο επόμενος άνθρωπος να μην επαναλάβει τη διάγνωση.

Κρατήστε την κονσόλα ή άλλη ανεξάρτητα εγκεκριμένη διαδρομή ανάκτησης διαθέσιμη καθ' όλη τη διάρκεια της αλλαγής. Μόλις λειτουργήσει η ιδιωτική διαδρομή, επιβεβαιώστε ότι δημόσιες προελεύσεις και άσχετοι χρήστες VPN δεν απέκτησαν την ίδια πρόσβαση, επειδή μια διαδρομή διαχείρισης που λειτουργεί για όλους είναι διαφορετικό πρόβλημα από αυτό με το οποίο ξεκινήσατε.