サイトVPN経由で遠隔ASAへSSH：ステップごとの手順

SSHクライアントを遠隔ASAの内部アドレスに向けると、接続の段階でセッションが切れます。ファイアウォールは自分のサイトから応答し、トンネルも見えているのに、22番ポートでは何も待ち受けていません。こうしたケースの多くでは、パケットが管理用の受け入れに届いていません。試験している経路が管理用として設計されていないからです。以下の流れを順番にたどれば、障害は動き回らなくなります。

実際に管理しているアドレスを選ぶ

三つの設計は似て見えて挙動が異なります。ASAの公開VPN向けアドレスに到達する場合、IPsec経由で内部インターフェースに到達する場合、専用の管理インターフェースに到達する場合です。許可に触れる前に、管理者の送信元アドレス、正確な宛先アドレス、TCP 22を書き留めてください。以降のすべてはこの組み合わせに依存します。

サーバー用VLANを二つ運ぶトンネルが、ファイアウォールのインターフェースアドレスや管理者の管理サブネットをまったく運んでいないことがあります。サイト間ポリシーの対象トラフィック一覧を確認し、ASA自身のアドレスが宛先として現れていることを確かめてください。通過するサブネットだけでは不十分です。

宛先がファイアウォール自身なので、管理用の受け入れは転送トラフィックのルールとは別です。クライアントをASA背後のサーバーへ通すACLは、機器のSSH管理を単独で有効にしませんし、転送ルールを直してもこの障害は動きません。

management-accessはインターフェース固有

management-accessコマンドは、VPN経由で届く管理接続を指定したインターフェースで受け入れるようASAに指示します。ルートを作らず、SSHの許可も追加せず、すべてのインターフェースに同時に適用されるわけでもありません。宛先インターフェースが指定したものと違えば、認証の前に接続は破棄されます。

ここで二つの除外が効きます。管理専用インターフェースはこの仕組みの対象外であり、ASA 9.20の管理ガイドは、既定のCiscoSSHスタックがVPN経由のインターフェース間SSHをサポートしないのに対し、ASA SSHスタックはサポートすると述べています。ルートに時間を使う前に、導入済みリリースで有効なスタックを確認してください。

ログインプロンプトまでの四つの関門

クライアントとユーザー名プロンプトの間には四つの独立した関門があります。管理用の組に対するルートとトンネルの一致、ASAアドレスへのTCP 22を許可するインターフェースACL、管理者の送信元を覆うsshの許可、そしてそのユーザーのAAA認証です。どれも、どの関門で止まったかをクライアントに告げずにパケットを落とせます。

何かを変える前にpacket-tracerでどの関門が失敗するかを見てください：packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed。トレースはACL、NATの段階、to-the-boxの判定を示すので、通常はルーティングの問題と受け入れの問題を切り分けられます。

広い許可ではなく狭い許可を書く

許可は承認済みの管理サブネットと、トンネルのトラフィックを受け取るインターフェースに限定します：ssh 10.10.5.0 255.255.255.0 inside。外部インターフェースですべての送信元を開くのではなく、aaa authentication ssh console LOCALのような認証方式と名前付きのローカルアカウントを組み合わせてください。

インターフェースACLとsshの許可を一致させてください。ACLが遮断するサブネットへの許可はやはり失敗し、対応するsshエントリなしでサブネットを許可するACLは次の関門で失敗します。どちらも同じ経路を別の層から述べているので、実行中の設定で一緒に見直してください。

指定したホストから確認し、さらに絞り込む

自分のデスクではなく指定された管理ホストから新しいセッションを開き、接続がどの送信元アドレスとインターフェースを使ったかをASAで確認します。セッションが開いている間に、アクティブなセッションと実行中の設定のSSHの節を確認し、その後セッションを閉じて、試験用に追加した一時的な許可を削除します。セッションが現れてもログイン直後に切れるなら、残る問題は到達性ではなく認可です。次の担当者が同じ診断を繰り返さないよう、インターフェースと送信元を変更記録に残してください。

変更の間ずっと、コンソールか独立して承認された別の復旧経路を利用できるようにしておきます。専用経路が機能したら、公開送信元や無関係なVPN利用者が同じアクセスを得ていないことを確認してください。誰にでも効く管理経路は、最初の課題とは別の問題です。