Сайт VPN аркылуу алыскы ASA'га SSH: кадам сайын

SSH кардарын алыскы ASA'нын ички дарегине багыттайсыз, ал эми сессия туташуу учурунда өлөт. Калкан өз сайтынан жооп берет, туннел көрүнөт, бирок 22-портто эч нерсе укпайт. Ушундай учурлардын көбүндө пакет башкаруунун кабыл алынышына такыр жетпейт, анткени текшерилип жаткан жол башкаруу жолу катары эч качан долбоорлонгон эмес. Төмөнкү агымды ирети менен аткарыңыз, ошондо бузулуу ордун которуштурбайт.

Чындыгында башкарып жаткан даректи тандаңыз

Үч долбоор окшош көрүнөт жана башкача жүрүм көрсөтөт: ASA'нын коомдук VPN'ге караган дарегине жетүү, IPsec аркылуу ички интерфейске жетүү жана өзүнчө башкаруу интерфейсине жетүү. Кайсы бир уруксатка кол тийгизээрден мурун администратордун булак дарегин, так багыт дарегин жана TCP 22'ни жазып алыңыз. Кийинкинин баары ошол жупка байланыштуу.

Эки сервер VLAN'ын ташыган туннел калкандын интерфейс дарегин же администратордун башкаруу ички тармагын такыр ташыбашы мүмкүн. Сайттан сайтка саясаты үчүн кызыктуу трафик тизмесин текшериңиз жана ASA'нын өз дареги багыт катары көрүнөрүн ырастаңыз, андан өтүүчү ички тармактар гана эмес.

Багыт калкандын өзү болгондуктан, башкарууга кабыл алуу өткөрүлүп берилүүчү трафиктин эрежелеринен өзүнчө. Кардарларды ASA'нын артындагы серверлерге жеткирген ACL түзмөктүн SSH башкаруусун өз алдынча күйгүзбөйт, ал эми өткөрүү эрежесин оңдоо бул бузулууну жылдырбайт.

management-access интерфейске таандык

management-access буйругу ASA'га VPN аркылуу келген башкаруу туташууларын аталган интерфейстен кабыл алууну айтат. Ал маршрут түзбөйт, SSH уруксатын кошпойт жана бардык интерфейстерге бир убакта колдонулбайт. Эгер багыт интерфейси аталган интерфейс болбосо, туташуу аутентификацияга чейин ыргытылат.

Бул жерде эки өзгөчөлүк тоскоол болот. Башкарууга гана арналган интерфейстер бул механизмден тышкары, ал эми ASA 9.20 башкаруу колдонмосу демейки CiscoSSH стеги VPN аркылуу интерфейсаралык SSH'ди колдобосун, ASA SSH стеги колдой турганын белгилейт. Маршруттарга убакыт коротпостон мурун жайгаштырылган чыгарылыштагы активдүү стекти ырастаңыз.

Кирүү сурамына чейин төрт дарбаза

Кардар менен колдонуучу атынын сурамынын ортосунда төрт көз карандысыз дарбаза турат: башкаруу жубу үчүн маршрут менен туннелдин дал келиши, ASA дарегине TCP 22'ге уруксат берген интерфейс ACL'и, администратордун булагын камтыган ssh уруксаты жана ошол колдонуучу үчүн AAA аутентификациясы. Алардын ар бири кардарга кайсы дарбаза жабылганын айтпастан пакетти таштай алат.

Бир нерсени өзгөртөөрдөн мурун кайсы дарбаза ишке ашпай жатканын көрүү үчүн packet-tracer колдонуңуз: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Из ACL'ди, NAT баскычын жана to-the-box чечимин атайт, бул адатта маршруттоо маселесин кабыл алуу маселесинен ажыратууга жетет.

Тар уруксат жазыңыз, кенен эмес

Уруксатты бекитилген административдик ички тармак менен туннелдин трафигин кабыл алган интерфейске чектеңиз: ssh 10.10.5.0 255.255.255.0 inside. Сырткы интерфейсте бардык булактарды ачуунун ордуна аны aaa authentication ssh console LOCAL сыяктуу аутентификация ыкмасы жана аталган жергиликтүү эсеп менен жупташтырыңыз.

Интерфейс ACL'ин жана ssh уруксатын шайкеш кармаңыз. ACL тыюу салган ички тармакка уруксат баары бир ишке ашпайт, ал эми ички тармакка тиешелүү ssh жазуусу жок уруксат берген ACL кийинки дарбазада ишке ашпайт. Эки ырастоо тең бир жолду ар башка катмардан сүрөттөйт, ошондуктан аларды иштеп жаткан конфигурацияда чогуу карап чыгыңыз.

Аталган хосттон текшериңиз, анан кайра тарылтыңыз

Жаңы сессияны өз столуңуздан эмес, аталган башкаруу хостунен ачыңыз жана ASA'да туташуу кайсы булак дарегин жана кайсы интерфейсти колдонгонун ырастаңыз. Сессия ачык турганда активдүү сессияларды жана иштеп жаткан конфигурациянын SSH бөлүгүн текшериңиз, анан аны жаап, сыноо үчүн кошкон ар кандай убактылуу уруксатты алып салыңыз. Сессия көрүнүп, бирок кирүүдөн кийин дароо түшсө, калган маселе жеткиликтүүлүк эмес, авторизация. Кийинки адам диагностиканы кайталабашы үчүн интерфейс менен булакты өзгөрүүлөр журналына жазыңыз.

Бүткүл өзгөрүү бою консолду же көз карандысыз бекитилген башка калыбына келтирүү жолун жеткиликтүү кармаңыз. Жеке жол иштегенде, коомдук булактар жана байланышы жок VPN колдонуучулары ошол эле мүмкүнчүлүктү алышпаганын ырастаңыз, анткени баарына иштеген башкаруу жолу сиз баштаган маселеден башка маселе.