SSH na udaljenu ASA kroz site VPN: korak po korak

Usmjerite SSH klijent na internu adresu udaljene ASA-e i sesija umre pri povezivanju. Vatrozid odgovara s vlastitog site-a, tunel se pojavljuje, a ipak ništa ne sluša na portu 22. U većini takvih slučajeva paket nikada ne stigne do upravljačkog prijema jer putanja koja se testira nikada nije bila projektirana kao upravljačka. Prođite tok ispod redom i kvar prestaje seliti se.

Odaberite adresu kojom doista upravljate

Tri dizajna izgledaju slično i ponašaju se različito: dosezanje javne VPN adrese ASA-e, dosezanje internog sučelja kroz IPsec i dosezanje namjenskog upravljačkog sučelja. Zapišite izvornu adresu administratora, točnu odredišnu adresu i TCP 22 prije nego što dirnete dopuštenje. Sve kasnije ovisi o tom paru.

Tunel koji nosi dvije serverske VLAN mreže možda uopće ne nosi adresu sučelja vatrozida ni upravljačku podmrežu administratora. Provjerite popis zanimljivog prometa za site-to-site politiku i potvrdite da se vlastita adresa ASA-e pojavljuje kao odredište, a ne samo podmreže koje kroz nju prolaze.

Budući da je odredište sam vatrozid, upravljački prijem odvojen je od pravila za proslijeđeni promet. ACL koji pušta klijente do poslužitelja iza ASA-e ne omogućuje samostalno SSH administraciju uređaja, a popravak pravila za prosljeđivanje neće pomaknuti ovaj kvar.

management-access vezan je uz sučelje

Naredba management-access kaže ASA-i da prihvati upravljačke veze na imenovanom sučelju kada stižu preko VPN-a. Ona ne stvara rutu, ne dodaje SSH dopuštenje i ne primjenjuje se na svako sučelje odjednom. Ako odredišno sučelje nije ono imenovano, veza se odbacuje prije autentikacije.

Ovdje djeluju dva izuzetka. Sučelja samo za upravljanje izvan su ovog mehanizma, a vodič za upravljanje ASA 9.20 napominje da zadani CiscoSSH stog ne podržava SSH između sučelja preko VPN-a, dok ASA SSH stog podržava. Potvrdite aktivni stog na instaliranom izdanju prije nego što potrošite vrijeme na rute.

Četiri vrata prije upita za prijavu

Između klijenta i upita za korisničko ime stoje četiri neovisna vrata: podudaranje rute i tunela za upravljački par, ACL sučelja koji dopušta TCP 22 prema adresi ASA-e, ssh dopuštenje koje pokriva izvor administratora i AAA autentikacija za tog korisnika. Svaka od njih može odbaciti paket a da klijentu ne kaže koja su se vrata zatvorila.

Upotrijebite packet-tracer da vidite koja vrata padaju prije nego što bilo što promijenite: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Trag navodi ACL, fazu NAT-a i odluku to-the-box, što je obično dovoljno da se problem rute odvoji od problema prijema.

Napišite usko dopuštenje, ne široko

Ograničite dopuštenje na odobrenu administrativnu podmrežu i sučelje koje prima promet tunela: ssh 10.10.5.0 255.255.255.0 inside. Uparite ga s metodom autentikacije poput aaa authentication ssh console LOCAL i imenovanim lokalnim računom, umjesto da otvorite svaki izvor na vanjskom sučelju.

Držite ACL sučelja i ssh dopuštenje usklađenima. Dopuštenje za podmrežu koju ACL blokira i dalje pada, a ACL koji dopušta podmrežu bez odgovarajućeg ssh unosa pada na sljedećim vratima. Obje tvrdnje opisuju istu putanju iz različitih slojeva, pa ih pregledajte zajedno u aktivnoj konfiguraciji.

Provjerite s imenovanog hosta, pa ponovno suzite

Otvorite svježu sesiju s imenovanog upravljačkog hosta, a ne sa svog radnog stola, i potvrdite na ASA-i koju su izvornu adresu i sučelje koristile veza. Provjerite aktivne sesije i odjeljak SSH aktivne konfiguracije dok je sesija otvorena, zatim je zatvorite i uklonite svako privremeno dopuštenje koje ste dodali za testiranje. Ako se sesija pojavi ali padne odmah nakon prijave, preostali je problem autorizacija, a ne dostupnost. Zabilježite sučelje i izvor u zapis o promjenama da sljedeća osoba ne ponavlja dijagnozu.

Držite konzolu ili drugu neovisno odobrenu putanju oporavka dostupnom tijekom cijele promjene. Kad privatna putanja proradi, potvrdite da javni izvori i nepovezani VPN korisnici nisu dobili isti pristup, jer je upravljačka putanja koja radi za sve drugačiji problem od onoga s kojim ste počeli.