SSH chuig ASA cianda trí VPN an tsuímh: céim ar chéim

Cuireann tú cliant SSH chuig seoladh inmheánach an ASA chianda agus faigheann an seisiún bás agus é ag nascadh. Freagraíonn an balla dóiteáin óna shuíomh féin, tagann an tollán chun solais, agus fós ní éisteann aon rud ar phort 22. I bhformhór na gcásanna seo ní shroicheann an paicéad glacadh bainistíochta riamh, mar níor dearadh an bealach atá á thástáil mar bhealach bainistíochta riamh. Lean an sreabhadh thíos in ord agus stopfaidh an teip ag bogadh.

Roghnaigh an seoladh atá á riar agat i ndáiríre

Tá cuma chosúil ar thrí dhearadh agus iompraíonn siad iad féin go difriúil: seoladh poiblí an ASA atá dírithe ar an VPN a bhaint amach, comhéadan inmheánach a bhaint amach trí IPsec, agus comhéadan bainistíochta tiomnaithe a bhaint amach. Scríobh síos seoladh foinse an riarthóra, an seoladh ceannscríbe beachta agus TCP 22 sula dteagmhálann tú le cead. Braitheann gach rud ina dhiaidh sin ar an bpéire sin.

B'fhéidir nach n-iompraíonn tollán a iompraíonn dhá VLAN freastalaí seoladh chomhéadan an bhalla dóiteáin ná foshlíon bainistíochta an riarthóra ar chor ar bith. Seiceáil liosta an tráchta spéisiúil don pholasaí suíomh-go-suíomh agus deimhnigh go bhfeictear seoladh an ASA féin mar cheann scríbe, ní amháin na foshlíonta a théann tríd.

Ós rud é gurb é an balla dóiteáin féin an ceann scríbe, tá glacadh bainistíochta ar leithligh ó rialacha do thrácht a aistrítear. Ní chuireann ACL a ligeann do chliaint freastalaithe taobh thiar den ASA a bhaint amach ar chumas riarachán SSH an fhearais go neamhspleách, agus ní bhogfaidh deisiú na rialach aistrithe an teip seo.

Tá management-access sonrach don chomhéadan

Insíonn an t-ordú management-access don ASA glacadh le naisc bhainistíochta chuig comhéadan ainmnithe nuair a thagann siad thar VPN. Ní chruthaíonn sé bealach, ní chuireann sé cead SSH leis, agus ní bhaineann sé le gach comhéadan ag an am céanna. Murab é comhéadan an chinn scríbe an ceann ainmnithe, déantar an nasc a dhiúltú roimh fhíordheimhniú.

Bíonn dhá eisceacht ag baint anseo. Tá comhéadain bainistíochta amháin lasmuigh den mheicníocht seo, agus tugann treoir bhainistíochta ASA 9.20 faoi deara nach dtacaíonn an stoc CiscoSSH réamhshocraithe le SSH idir-chomhéadan thar VPN ach go dtacaíonn stoc ASA SSH leis. Deimhnigh an stoc gníomhach ar an eisiúint a úsáidtear sula gcaitheann tú am ar bhealaí.

Ceithre gheata roimh an leid logála isteach

Idir an cliant agus an leid ainm úsáideora tá ceithre gheata neamhspleácha: meaitseáil bealaigh agus tolláin don phéire bainistíochta, ACL comhéadain a cheadaíonn TCP 22 chuig seoladh an ASA, cead ssh a chlúdaíonn foinse an riarthóra, agus fíordheimhniú AAA don úsáideoir sin. Féadann gach ceann acu an paicéad a ligean síos gan a insint don chliant cén geata a dhún.

Úsáid packet-tracer chun a fheiceáil cén geata a theipeann sula n-athraíonn tú aon rud: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Ainmníonn an rian an ACL, céim NAT agus an cinneadh to-the-box, rud a leor de ghnáth chun fadhb ródaithe a scaradh ó fhadhb glactha.

Scríobh an cead cúng, ní an cead leathan

Cuir an cead i dteorainn leis an bhfoshlíon riaracháin ceadaithe agus leis an gcomhéadan a fhaigheann trácht an tolláin: ssh 10.10.5.0 255.255.255.0 inside. Péireáil é le modh fíordheimhnithe ar nós aaa authentication ssh console LOCAL agus cuntas áitiúil ainmnithe, seachas gach foinse a oscailt ar an gcomhéadan seachtrach.

Coinnigh an ACL comhéadain agus an cead ssh comhsheasmhach. Teipeann cead d'fhoshlíon a chuireann an ACL bac air fós, agus teipeann ACL a cheadaíonn an foshlíon gan iontráil ssh mheaitseála ag an gcéad gheata eile. Déanann an dá ráiteas cur síos ar an mbealach céanna ó shraitheanna éagsúla, mar sin déan iad a athbhreithniú le chéile sa chumraíocht atá ag rith.

Fíoraigh ón óstach ainmnithe, ansin caolaigh arís

Oscail seisiún nua ón óstach bainistíochta ainmnithe seachas ó do dheasc, agus deimhnigh ar an ASA cén seoladh foinse agus cén comhéadan a d'úsáid an nasc. Seiceáil na seisiúin ghníomhacha agus roinn SSH den chumraíocht atá ag rith agus an seisiún oscailte, ansin dún é agus bain aon chead sealadach a chuireas tú leis le haghaidh tástála. Má thagann an seisiún chun solais ach má thiteann sé díreach tar éis logáil isteach, is é an t-údarú fadhb atá fágtha seachas inrochtaineacht. Taifead an comhéadan agus an fhoinse sa taifead athraithe ionas nach ndéanfaidh an chéad duine eile an diagnóis a athrá.

Coinnigh an consól nó bealach aisghabhála eile a ceadaíodh go neamhspleách ar fáil le linn an athraithe ar fad. Nuair a oibríonn an bealach príobháideach, deimhnigh nár ghnóthaigh foinsí poiblí agus úsáideoirí VPN neamhghaolmhara an rochtain chéanna, mar is fadhb éagsúil é bealach bainistíochta a oibríonn do gach duine ná an ceann ar thosaigh tú leis.