SSH zuwa ASA mai nisa ta VPN na shafin: mataki-mataki

Kuna tura abokin ciniki na SSH zuwa adireshin ciki na ASA mai nisa kuma zaman ya mutu yayin haɗi. Wutar bango tana amsawa daga shafinta, ramin yana bayyana, amma duk da haka babu abin da ke saurare a tashar 22. A yawancin waɗannan lokuta fakitin ba ya taɓa isa karɓar gudanarwa, saboda hanyar da ake gwadawa ba a taɓa tsara ta a matsayin hanyar gudanarwa ba. Bi kwararar da ke ƙasa bisa tsari kuma gazawar za ta daina motsi.

Zaɓi adireshin da kuke gudanarwa da gaske

Zane-zane uku suna kama da juna kuma suna aiki daban: isa adireshin jama'a na ASA da ke fuskantar VPN, isa interface na ciki ta IPsec, da isa keɓaɓɓen interface na gudanarwa. Rubuta adireshin tushen mai gudanarwa, ainihin adireshin manufa da TCP 22 kafin ka taɓa kowane izini. Duk abin da ke gaba ya dogara da wannan biyun.

Ramin da ke ɗauke da VLAN guda biyu na uwar garke bazai ɗauki adireshin interface na wutar bango ko subnet ɗin gudanarwa na mai gudanarwa kwata-kwata ba. Duba jerin zirga-zirgar da ke da sha'awa don manufar shafi-zuwa-shafi kuma tabbatar cewa adireshin ASA kansa ya bayyana a matsayin manufa, ba kawai subnet ɗin da ke wucewa ta ciki ba.

Domin manufar ita ce wutar bango da kanta, karɓar gudanarwa ta bambanta da dokokin zirga-zirgar da aka tura. ACL da ke barin abokan ciniki su isa uwar garke a bayan ASA ba ya kunna gudanarwar SSH na na'urar da kansa, kuma gyara dokar turawa ba zai motsa wannan gazawar ba.

management-access ta shafi takamaiman interface

Umarnin management-access yana gaya wa ASA ya karɓi haɗin gudanarwa zuwa wani interface da aka ambata idan sun zo ta VPN. Ba ya ƙirƙirar hanya, ba ya ƙara izinin SSH, kuma ba ya aiki ga kowane interface a lokaci ɗaya. Idan interface na manufa ba shine wanda aka ambata ba, ana watsar da haɗin kafin tantancewa.

Keɓancewa biyu suna ciji a nan. Interfaces na gudanarwa kawai suna wajen wannan tsarin, kuma jagorar gudanarwa ta ASA 9.20 ta lura cewa tulin CiscoSSH na asali baya goyon bayan SSH tsakanin interfaces ta VPN yayin da tulin ASA SSH ke goyon baya. Tabbatar da tulin da ke aiki a sigar da aka tura kafin ka kashe lokaci kan hanyoyi.

Ƙofofi huɗu kafin buƙatar shiga

Tsakanin abokin ciniki da buƙatar sunan mai amfani akwai ƙofofi huɗu masu zaman kansu: daidaiton hanya da rami don biyun gudanarwa, ACL na interface da ke ba da izinin TCP 22 zuwa adireshin ASA, izinin ssh da ke rufe tushen mai gudanarwa, da tantancewar AAA ga wannan mai amfani. Kowanne daga cikinsu na iya watsar da fakitin ba tare da gaya wa abokin ciniki wace ƙofa ta rufe ba.

Yi amfani da packet-tracer don ganin wace ƙofa ta kasa kafin ka canza komai: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Binciken yana ambaton ACL, matakin NAT da shawarar to-the-box, wanda yawanci ya isa a raba matsalar tafiyar da matsalar karɓa.

Rubuta ƙunƙuntar izini, ba faffadan ba

Iyakance izinin ga ingantaccen subnet ɗin gudanarwa da interface ɗin da ke karɓar zirga-zirgar rami: ssh 10.10.5.0 255.255.255.0 inside. Haɗa shi da hanyar tantancewa kamar aaa authentication ssh console LOCAL da wani asusu na gida mai suna, maimakon buɗe kowane tushe a interface na waje.

Ka riƙe ACL na interface da izinin ssh daidai. Izinin subnet ɗin da ACL ke toshewa har yanzu yana kasawa, kuma ACL da ke ba da izinin subnet ɗin ba tare da shigarwar ssh da ta dace ba yana kasawa a ƙofa ta gaba. Duk maganganun biyu suna bayyana hanya ɗaya daga matakai daban-daban, don haka duba su tare a cikin tsarin da ke gudana.

Tabbatar daga sunan host, sannan sake ƙuntata

Buɗe sabon zama daga sunan host ɗin gudanarwa maimakon daga teburinka, kuma tabbatar a kan ASA wane adireshin tushe da wace interface haɗin ya yi amfani da su. Duba zama masu aiki da sashin SSH na tsarin da ke gudana yayin da zama ke buɗe, sannan rufe shi kuma cire duk wani izini na wucin gadi da ka ƙara don gwaji. Idan zama ya bayyana amma ya faɗi nan da nan bayan shiga, matsalar da ta rage ita ce izini ba isa ba. Rubuta interface da tushe a rikodin canji domin na gaba kada ya maimaita binciken.

Ka riƙe console ko wata hanyar murmurewa da aka amince da ita da kanta a samuwa duk tsawon canjin. Da zarar hanyar sirri ta yi aiki, tabbatar cewa tushen jama'a da masu amfani da VPN da ba su da alaƙa ba su sami irin wannan dama ba, domin hanyar gudanarwa da ke aiki ga kowa wata matsala ce ta daban da wadda ka fara da ita.