SSH zu enger wäiter ASA iwwer de Site-VPN: Schrëtt fir Schrëtt

Dir richt en SSH-Client op déi intern Adress vun der wäiter ASA a sitzung stierw beim Verbannen. D'Firewall äntwert vun hirem eegene Site, den Tunnel erschéngt, an nach ëmmer lauschtert näischt um Port 22. An de meeschte vun dëse Fäll erreecht de Pakéit ni d'Verwaltungszoulassung, well de Wee, deen getest gëtt, ni als Verwaltungswee entwéckelt gouf. Follegt de Flux hei ënnen an der Rei an de Feeler hält op sech ze verréckelen.

Wielt d'Adress, déi Dir tatsächlech verwalt

Dräi Entwërf gesinn ähnlech aus a behuelen sech anescht: d'ëffentlech, VPN-zougedréint Adress vun der ASA erreechen, en internen Interface iwwer IPsec erreechen an en dedizéierten Verwaltungsinterface erreechen. Schreift d'Quelladress vum Administrateur, déi genee Bestëmmungsadress an TCP 22 op, ier Dir eng Erlaabnis ufässt. Alles duerno hänkt vun deem Paar of.

En Tunnel, deen zwee Server-VLANe dréit, dréit vläicht guer net d'Interfaceadress vun der Firewall oder d'Verwaltungssubnetz vum Administrateur. Kuckt d'Lëscht vum interessante Verkéier fir d'Site-zu-Site-Politik an bestätegt, datt d'eegen Adress vun der ASA als Bestëmmung erschéngt, net nëmmen d'Subnetzer, déi duerch et ginn.

Well d'Bestëmmung d'Firewall selwer ass, ass d'Verwaltungszoulassung getrennt vun de Regelen fir weidergeleet Verkéier. Eng ACL, déi Cliente en Access zu Serveren hannert der ASA gëtt, aktivéiert net selbstänneg d'SSH-Verwaltung vum Apparat, an d'Reparatur vun der Weiderleeungsregel verréckelt dëse Feeler net.

management-access ass interface-spezifesch

Den Uerder management-access seet der ASA, Verwaltungsverbindungen zu engem genannten Interface unzehuelen, wa se iwwer VPN ukommen. Hie schaaft keng Route, hie bäisetzt keng SSH-Erlaabnis, an hie gëllt net fir all Interface gläichzäiteg. Wann den Interface vun der Bestëmmung net deen genannten ass, gëtt d'Verbindung virun der Authentifikatioun verworf.

Zwee Ausnamen uschléissen hei. Interfaces nëmme fir Verwaltung leien ausserhalb vun dësem Mechanismus, an de Verwaltungsguide fir ASA 9.20 bemierkt, datt de Standard-CiscoSSH-Stack SSH tëschent Interfaces iwwer VPN net ënnerstëtzt, wärend den ASA SSH-Stack et mécht. Bestätegt dee aktive Stack op der deployter Versioun, ier Dir Zäit an Route stiecht.

Véier Paarten virum Login-Prompt

Tëschent dem Client an dem Benotzernumm-Prompt sti véier onofhängeg Paarten: eng Route- an Tunnelübereestëmmung fir d'Verwaltungspaar, eng Interface-ACL, déi TCP 22 zu der ASA-Adress erlaabt, eng ssh-Erlaabnis, déi d'Quell vum Administrateur deckt, an eng AAA-Authentifikatioun fir dee Benotzer. Jiddereng kann de Pakéit fale loossen, ouni dem Client ze soen, wat fir eng Paart zou war.

Benotzt packet-tracer, fir ze gesinn wat fir eng Paart feelt, ier Dir eppes ännert: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. D'Spuer nennt d'ACL, d'NAT-Etapp an d'to-the-box-Entscheedung, wat meeschtens duergeet, fir e Routingproblem vun engem Zoulassungsproblem ze trennen.

Schreift déi enk Erlaabnis, net déi breet

Limitéiert d'Erlaabnis op dat approuvéiert administratiivt Subnetz an den Interface, deen den Tunnelverkéier kritt: ssh 10.10.5.0 255.255.255.0 inside. Kombinéiert se mat enger Authentifikatiounsmethod wéi aaa authentication ssh console LOCAL an engem genannten lokale Kont, amplaz all Quell um baussenzegen Interface opzemaachen.

Haalt d'Interface-ACL an d'ssh-Erlaabnis konsequent. Eng Erlaabnis fir en Subnetz, dat d'ACL blockéiert, feelt nach ëmmer, an eng ACL, déi d'Subnetz ouni passenden ssh-Antréit erlaabt, feelt bei der nächster Paart. Béid Aussoe beschreiwen dee selwechte Wee aus verschiddene Schichten, also iwwerpréift se zesummen an der lafender Konfiguratioun.

Verifizéiert vum genannten Host, da verengt nach eng Kéier

Maacht eng nei Sitzung vum genannten Verwaltungshost op, net vun Ärem Schreifdësch, a bestätegt op der ASA, wéi eng Quelladress a wéi en Interface d'Verbindung benotzt huet. Kuckt d'aktiv Sitzungen an den SSH-Abschnitt vun der lafender Konfiguratioun, während d'Sitzung op ass, maacht se duerno zou a läscht all temporär Erlaabnis, déi Dir fir d'Testen derbäigesat hutt. Wann d'Sitzung erschéngt, awer direkt no dem Login fält, ass de Reschtproblem d'Autorisatioun an net d'Erreechbarkeet. Notéiert den Interface an d'Quell am Ännerungsprotokoll, sou datt déi nächst Persoun d'Diagnos net widderhëlt.

Haalt d'Konsole oder en aneren onofhängeg approuvéierte Widderherrstellungswee während der ganzer Ännerung verfügbar. Wann de private Wee funktionéiert, bestätegt, datt ëffentlech Quelle an onverbonnen VPN-Benotzer net dee selwechten Access kritt hunn, well e Verwaltungswee, deen fir jiddereen funktionéiert, en anere Problem ass wéi deen, mat deem Dir ugefaangen hutt.