SSH á fjarlæga ASA gegnum site-VPN: skref fyrir skref

Þú beinir SSH-biðlara að innra vistfangi fjarlægu ASA-innar og setan deyr við tengingu. Eldveggurinn svarar frá eigin svæði, göngin birtast, og samt hlýðir ekkert á gátt 22. Í flestum þessara tilvika nær pakkinn aldrei að stjórnunarinngöngu, því slóðin sem er prófuð var aldrei hönnuð sem stjórnunarslóð. Farið eftir flæðinu hér að neðan í röð og bilunin hættir að færast til.

Veldu vistfangið sem þú stjórnar í raun

Þrjár hönnunarlausnir líta svipað út og hegða sér öðruvísi: að ná í opinbera VPN-vistfang ASA-innar, að ná í innra viðmót gegnum IPsec og að ná í sérstakt stjórnunarviðmót. Skrifaðu niður upprunavistfang stjórnandans, nákvæma áfangastaðarviðfangið og TCP 22 áður en þú snertir nokkra heimild. Allt sem kemur á eftir er háð þessu pari.

Göng sem flytja tvö netþjóna-VLAN flytja kannski alls ekki vistfang eldveggjaviðmótsins eða stjórnunarnet stjórnandans. Athugaðu listann yfir áhugaverða umferð fyrir svæði-til-svæðis stefnu og staðfestu að eigið vistfang ASA-innar birtist sem áfangastaður, ekki bara netin sem fara í gegnum það.

Þar sem áfangastaðurinn er eldveggurinn sjálfur er stjórnunarinnganga aðskilin frá reglum um framsendri umferð. ACL sem hleypir biðlurum að netþjónum bak við ASA-inn kveikir ekki sjálfstætt á SSH-stjórnun tækisins, og að laga framsendingarregluna færir þessa bilun ekki til.

management-access er viðmótssértækt

Skipunin management-access segir ASA-inni að samþykkja stjórnunartengingar á tilgreint viðmót þegar þær koma gegnum VPN. Hún býr ekki til leið, hún bætir ekki við SSH-heimild og hún gildir ekki fyrir hvert viðmót í einu. Ef áfangastaðarviðmótið er ekki hið tilgreinda er tengingunni hent áður en auðkenning á sér stað.

Tvær undantekningar bíta hér. Viðmót sem eru eingöngu fyrir stjórnun eru utan þessa fyrirkomulags, og stjórnunarhandbók ASA 9.20 bendir á að sjálfgefna CiscoSSH-staflan styðji ekki SSH milli viðmóta gegnum VPN á meðan ASA SSH-staflan gerir það. Staðfestu virku stafluna á þeirri útgáfu sem er í notkun áður en þú eyðir tíma í leiðir.

Fjögur hlið fyrir innskráningarbeiðnina

Milli biðlarans og notendanafnabeiðninnar standa fjögur sjálfstæð hlið: samsvörun leiðar og ganga fyrir stjórnunarparið, ACL viðmóts sem leyfir TCP 22 að vistfangi ASA-innar, ssh-heimild sem nær yfir uppruna stjórnandans og AAA-auðkenning fyrir þann notanda. Hvert þeirra getur sleppt pakkanum án þess að segja biðlaranum hvaða hliði var lokað.

Notaðu packet-tracer til að sjá hvaða hlið bregst fyrir breytingu: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Rakningin nefnir ACL-ið, NAT-stigið og to-the-box-ákvörðunina, sem yfirleitt nægir til að aðgreina leiðarvandamál frá inngönguvandamáli.

Skrifaðu þröngu heimildina, ekki víðu

Takmarkaðu heimildina við samþykkt stjórnunarnet og viðmótið sem tekur á móti umferð ganganna: ssh 10.10.5.0 255.255.255.0 inside. Paraðu hana við auðkenningaraðferð eins og aaa authentication ssh console LOCAL og nafngreindan staðbundinn reikning, í stað þess að opna hvern uppruna á ytra viðmótinu.

Haltu ACL viðmótsins og ssh-heimildinni samkvæmum. Heimild fyrir net sem ACL-ið lokar á mistekst samt, og ACL sem leyfir netið án samsvarandi ssh-færslu mistekst á næsta hliði. Báðar fullyrðingarnar lýsa sömu slóð frá mismunandi lögum, svo farðu yfir þær saman í keyrandi stillingum.

Sannprófaðu frá nafngreindu hýsilnum, en þrengdu svo aftur

Opnaðu nýja setu frá nafngreinda stjórnunarhýsilnum frekar en frá skrifborðinu þínu, og staðfestu á ASA-inni hvaða upprunavistfang og viðmót tengingin notaði. Athugaðu virku seturnar og SSH-hlutann í keyrandi stillingum meðan setan er opin, lokaðu henni svo og fjarlægðu allar tímabundnar heimildir sem þú bættir við fyrir prófun. Ef setan birtist en dettur strax eftir innskráningu er vandamálið sem eftir stendur heimildun en ekki aðgengi. Skráðu viðmótið og upprunann í breytingaskrána svo næsti maður endurtaki ekki greininguna.

Haltu stjórnborðinu eða annarri sjálfstætt samþykktri endurheimtarslóð aðgengilegri allan breytingatímann. Þegar einkaslóðin virkar skaltu staðfesta að opinberir upprunar og ótengdir VPN-notendur hafi ekki fengið sama aðgang, því stjórnunarslóð sem virkar fyrir alla er annað vandamál en það sem þú byrjaðir með.