SSH nei in fiere ASA fia it site-VPN: stap foar stap

Jo rjochtsje in SSH-klant op it ynterne adres fan 'e fiere ASA en de sesje stjert by it ferbinen. De firewall antwurdet fan syn eigen site, de tunnel ferskynt, en dochs harket der neat op poarte 22. Yn de measte fan dizze gefallen berikt it pakket nea de beheartastimming, om't it paad dat test wurdt nea as behearpaad ûntwurpen wie. Folgje de stream hjirûnder yn oarder en de flater hâldt op mei ferpleatsen.

Kies it adres dat jo eins beheartje

Trije ûntwerpen lykje opinoar en gedrage har oars: it berikken fan it iepenbiere VPN-adres fan 'e ASA, it berikken fan in ynterne interface fia IPsec en it berikken fan in tawijde beheartinterface. Skriuw it boarne-adres fan 'e administraasje, it krekte bestimmingsadres en TCP 22 op foardat jo in tastimming oanreitsje. Alles letter hinget fan dat pear ôf.

In tunnel dy't twa server-VLAN's draacht, draacht miskien hielendal net it interface-adres fan 'e firewall of it behearsubnet fan 'e administraasje. Kontrolearje de list fan nijsgjirrich ferkear foar it site-oant-site-belied en befêstigje dat it eigen adres fan 'e ASA as bestimmingsplak ferskynt, net allinnich de subnetten dy't der trochhinne geane.

Om't it bestimmingsplak de firewall sels is, is beheartastimming apart fan regels foar trochstjoerd ferkear. In ACL dy't kliïnten nei servers efter de ASA lit komme, skeakelet net selsstannich SSH-behear fan it apparaat yn, en it reparearjen fan 'e trochstjoerregel sil dizze flater net ferpleatse.

management-access is interface-spesifyk

It kommando management-access fertelt de ASA om beheartferbinings nei in neamd interface te akseptearjen as se oer VPN komme. It makket gjin rûte, it foeget gjin SSH-tastimming ta, en it jildt net tagelyk foar elk interface. As it bestimmingsinterface net it neamde is, wurdt de ferbining foar autentikaasje fuortsmiten.

Twa útslutings bite hjir. Interfaces allinnich foar behear steane bûten dit meganisme, en de beheargids foar ASA 9.20 merkt op dat de standert CiscoSSH-stapel SSH tusken interfaces oer VPN net stipet, wylst de ASA SSH-stapel dat wol docht. Befêstigje de aktive stapel op 'e ynsetten ferzje foardat jo tiid oan rûtes besteegje.

Fjouwer poarten foar de oanmeldingsfrege

Tusken de klant en de brûkersnamme-frege steane fjouwer ûnôfhinklike poarten: in rûte- en tunnel-oerienkomst foar it behearpear, in interface-ACL dy't TCP 22 nei it ASA-adres tastean, in ssh-tastimming dy't de boarne fan 'e administraasje beslacht, en AAA-autentikaasje foar dy brûker. Elk fan harren kin it pakket falle litte sûnder de klant te fertellen hokker poarte tichtgie.

Brûk packet-tracer om te sjen hokker poarte misrint foardat jo wat feroarje: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. De spoar neamt de ACL, de NAT-stap en it to-the-box-beslút, wat meastentiids genôch is om in rûteprobleem fan in tastimmingsprobleem te skieden.

Skriuw de smelle tastimming, net de brede

Beheine de tastimming ta it goedkarde bestjoerlike subnet en it interface dat it tunnelferkear ûntfangt: ssh 10.10.5.0 255.255.255.0 inside. Keppelje it oan in autentikaasjemetoade lykas aaa authentication ssh console LOCAL en in neamd pleatslik akkount, ynstee fan elke boarne op it bûteninterface iepen te meitsjen.

Hâld de interface-ACL en de ssh-tastimming konsekwint. In tastimming foar in subnet dat de ACL blokkearret, misrint noch altyd, en in ACL dy't it subnet tastean sûnder in byhearrende ssh-ynstjoering misrint by de folgjende poarte. Beide bewearings beskriuwe itselde paad fan ferskate lagen, dus besjoch se tegearre yn 'e rinnende konfiguraasje.

Ferifiearje fan 'e neamde host, en beheine dan wer

Iepenje in nije sesje fan 'e neamde behearhost ynstee fan fan jo buro, en befêstigje op 'e ASA hokker boarne-adres en interface de ferbining brûkte. Kontrolearje de aktive sesjes en de SSH-seksje fan 'e rinnende konfiguraasje wylst de sesje iepen is, slút him dan en ferwiderje elke tydlike tastimming dy't jo foar testen tafoege hawwe. As de sesje ferskynt mar daliks nei it oanmelden falt, is it oerbleaune probleem autorisaasje en net berikberens. Registrearje it interface en de boarne yn it feroaringslogboek, sadat de folgjende persoan de diagnoaze net werhellet.

Hâld de konsolaasje of in oar ûnôfhinklik goedkard herstelpaad beskikber yn 'e hiele feroaring. Sadree't it privee paad wurket, befêstigje dat iepenbiere boarnen en net-relatearre VPN-brûkers net deselde tagong krigen hawwe, om't in behearpaad dat foar elkenien wurket in oar probleem is as dat dêr't jo mei begûn binne.