Site VPN арқылы қашықтағы ASA-ға SSH: қадам сайын

SSH клиентін қашықтағы ASA-ның ішкі мекенжайына бағыттайсыз, ал сессия қосылу кезінде өледі. Қалқан өз сайтынан жауап береді, туннель көрінеді, бірақ 22 портта ештеңе тыңдамайды. Мұндай жағдайлардың көбінде пакет басқаруға қабылдауға мүлдем жетпейді, өйткені тексеріліп жатқан жол басқару жолы ретінде ешқашан жобаланбаған. Төмендегі ағынды ретімен орындаңыз, сонда ақау орнын ауыстыруды қояды.

Шын мәнінде басқарып отырған мекенжайды таңдаңыз

Үш жоба ұқсас көрінеді және әртүрлі әрекет етеді: ASA-ның жария VPN-ге қараған мекенжайына жету, IPsec арқылы ішкі интерфейске жету және бөлек басқару интерфейсіне жету. Кез келген рұқсатқа қол тигізбес бұрын әкімшінің бастау мекенжайын, нақты межелік мекенжайды және TCP 22-ні жазып қойыңыз. Кейінгінің бәрі осы жұпқа байланысты.

Екі сервер VLAN-ын тасымалдайтын туннель қалқан интерфейсінің мекенжайын немесе әкімшінің басқару ішкі желісін мүлдем тасымалдамауы мүмкін. Сайттан сайтқа саясаты үшін қызықты трафик тізімін тексеріп, ASA-ның өз мекенжайының межелік ретінде көрінетінін растаңыз, тек одан өтетін ішкі желілер ғана емес.

Межелік қалқанның өзі болғандықтан, басқаруға қабылдау жіберілетін трафик ережелерінен бөлек. Клиенттерге ASA артындағы серверлерге жетуге мүмкіндік беретін ACL құрылғының SSH басқаруын өздігінен қоспайды, ал жіберу ережесін түзету бұл ақауды жылжытпайды.

management-access интерфейске тән

management-access командасы ASA-ға VPN арқылы келетін басқару қосылыстарын аталған интерфейсте қабылдауды тапсырады. Ол маршрут жасамайды, SSH рұқсатын қоспайды және бір уақытта барлық интерфейске қолданылмайды. Егер межелік интерфейс аталған интерфейс болмаса, қосылыс аутентификацияға дейін тасталады.

Мұнда екі ерекшелік кедергі жасайды. Тек басқаруға арналған интерфейстер бұл механизмнен тыс, ал ASA 9.20 басқару нұсқаулығы әдепкі CiscoSSH стекі VPN арқылы интерфейсаралық SSH-ді қолдамайтынын, ал ASA SSH стекі қолдайтынын атап өтеді. Маршруттарға уақыт жұмсамас бұрын енгізілген нұсқадағы белсенді стекті растаңыз.

Кіру сұранысына дейінгі төрт қақпа

Клиент пен пайдаланушы аты сұранысының арасында төрт тәуелсіз қақпа тұр: басқару жұбы үшін маршрут пен туннель сәйкестігі, ASA мекенжайына TCP 22-ге рұқсат беретін интерфейс ACL-і, әкімшінің бастауын қамтитын ssh рұқсаты және сол пайдаланушы үшін AAA аутентификациясы. Олардың әрқайсысы клиентке қай қақпа жабылғанын айтпай-ақ пакетті тастай алады.

Бірдеңені өзгерту алдында қай қақпа сәтсіз екенін көру үшін packet-tracer қолданыңыз: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Із ACL-ді, NAT кезеңін және to-the-box шешімін атайды, бұл әдетте маршруттау мәселесін қабылдау мәселесінен ажыратуға жетеді.

Тар рұқсат жазыңыз, кең емес

Рұқсатты бекітілген әкімшілік ішкі желімен және туннель трафигін қабылдайтын интерфейспен шектеңіз: ssh 10.10.5.0 255.255.255.0 inside. Оны сыртқы интерфейсте барлық бастауды ашудың орнына aaa authentication ssh console LOCAL сияқты аутентификация әдісімен және аталған жергілікті тіркелгімен жұптаңыз.

Интерфейс ACL-ін және ssh рұқсатын үйлесімді ұстаңыз. ACL бөгет жасайтын ішкі желіге рұқсат бәрібір сәтсіз болады, ал ішкі желіге сәйкес ssh жазбасынсыз рұқсат беретін ACL келесі қақпада сәтсіз болады. Екі тұжырым да бір жолды әртүрлі қабаттардан сипаттайды, сондықтан оларды жұмыс істеп тұрған конфигурацияда бірге қарап шығыңыз.

Аталған хосттан тексеріңіз, содан кейін қайта тарылтыңыз

Жаңа сессияны өз үстеліңізден емес, аталған басқару хостынан ашыңыз және ASA-да қосылыс қай бастау мекенжайын және қай интерфейсті пайдаланғанын растаңыз. Сессия ашық кезде белсенді сессияларды және жұмыс істеп тұрған конфигурацияның SSH бөлімін тексеріңіз, содан кейін оны жауып, тестілеу үшін қосқан кез келген уақытша рұқсатты алып тастаңыз. Сессия пайда болып, бірақ кіргеннен кейін бірден құласа, қалған мәселе қолжетімділік емес, авторизация. Келесі адам диагностиканы қайталамауы үшін интерфейс пен бастауды өзгерістер журналына жазыңыз.

Бүкіл өзгеріс бойы консольді немесе дербес бекітілген басқа қалпына келтіру жолын қолжетімді ұстаңыз. Жеке жол жұмыс істей бастағанда, жария бастаулар мен байланысы жоқ VPN пайдаланушылары бірдей қолжетімділік алмағанын растаңыз, өйткені бәріне жұмыс істейтін басқару жолы сіз бастаған мәселеден өзгеше мәселе.