Сайтын VPN-ээр алслагдсан ASA руу SSH: алхам алхмаар

SSH клиентийг алслагдсан ASA-гийн дотоод хаяг руу чиглүүлэхэд холбогдох үед сесс үхдэг. Галт хана өөрийн сайтаас хариулдаг, туннель харагдана, гэсэн ч 22-р порт дээр юу ч сонсогдохгүй. Эдгээр тохиолдлын ихэнхэд пакет удирдлагын хүлээн авалтад хэзээ ч хүрдэггүй, учир нь туршиж буй зам нь удирдлагын зам хэлбэрээр хэзээ ч зохион бүтээгдээгүй. Доорх урсгалыг дарааллаар нь дагавал алдаа байр солихоо болино.

Таны үнэхээр удирдаж буй хаягийг сонгоно уу

Гурван шийдэл ижил харагдаж, өөр өөр ажилладаг: ASA-гийн нийтийн VPN руу харсан хаягт хүрэх, IPsec-ээр дотоод интерфейст хүрэх, тусдаа удирдлагын интерфейст хүрэх. Ямар ч зөвшөөрөлд хүрэхээс өмнө администраторын эх хаяг, яг очих хаяг, TCP 22-ыг бичиж аваарай. Дараагийн бүх зүйл энэ хосоос хамаарна.

Хоёр серверийн VLAN зөөдөг туннель нь галт хананы интерфейсийн хаяг эсвэл администраторын удирдлагын дэд сүлжээг огт зөөхгүй байж болно. Сайт хоорондын бодлогын сонирхолтой траффикийн жагсаалтыг шалгаж, ASA-гийн өөрийн хаяг очих газар болж харагдаж байгааг баталгаажуулна уу, зөвхөн түүгээр дамжин өнгөрөх дэд сүлжээнүүд биш.

Очих газар нь галт хана өөрөө тул удирдлагын хүлээн авалт дамжуулсан траффикийн дүрмээс тусдаа. Клиентүүдийг ASA-гийн ард байгаа серверүүдэд хүрэх боломж олгодог ACL нь төхөөрөмжийн SSH удирдлагыг бие даан идэвхжүүлэхгүй бөгөөд дамжуулалтын дүрмийг засахад энэ алдаа хөдлөхгүй.

management-access интерфейст хамааралтай

management-access командаар ASA-д VPN-ээр ирж буй удирдлагын холболтыг нэрлэсэн интерфейс дээр хүлээн авахыг заадаг. Энэ нь маршрут үүсгэхгүй, SSH зөвшөөрөл нэмэхгүй, бүх интерфейст нэгэн зэрэг үйлчлэхгүй. Хэрэв очих интерфейс нь нэрлэсэн интерфейс биш бол холболт нь баталгаажуулалтаас өмнө хаягдана.

Энд хоёр үл хамаарах зүйл саад болно. Зөвхөн удирдлагад зориулсан интерфейсүүд энэ механизмаас гадуур бөгөөд ASA 9.20-ын удирдлагын гарын авлага нь өгөгдмөл CiscoSSH стек VPN-ээр интерфейс хоорондын SSH-г дэмждэггүй, харин ASA SSH стек дэмждэг гэдгийг тэмдэглэдэг. Маршрутад цаг зарцуулахаас өмнө байршуулсан хувилбар дээрх идэвхтэй стекийг баталгаажуулна уу.

Нэвтрэх хүсэлтийн өмнөх дөрвөн хаалга

Клиент болон хэрэглэгчийн нэр асуух хүсэлтийн хооронд дөрвөн бие даасан хаалга байна: удирдлагын хосын маршрут ба туннелийн тохирол, ASA хаяг руу TCP 22-ыг зөвшөөрөх интерфейсийн ACL, администраторын эхийг хамарсан ssh зөвшөөрөл, тухайн хэрэглэгчийн AAA баталгаажуулалт. Аль нь ч аль хаалга хаагдсаныг клиентэд хэлэлгүй пакетыг унагаж чадна.

Ямар нэг зүйлийг өөрчлөхөөс өмнө аль хаалга бүтэлгүйтэж байгааг харахын тулд packet-tracer ашиглана уу: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Ул мөр нь ACL, NAT үе шат, to-the-box шийдвэрийг нэрлэдэг бөгөөд энэ нь ихэвчлэн маршрутлалтын асуудлыг хүлээн авалтын асуудлаас ялгахад хангалттай.

Нарийн зөвшөөрөл бичээрэй, өргөн биш

Зөвшөөрлийг батлагдсан административ дэд сүлжээ болон туннелийн траффикийг хүлээн авдаг интерфейсээр хязгаарлана уу: ssh 10.10.5.0 255.255.255.0 inside. Гадаад интерфейс дээр бүх эхийг нээхийн оронд үүнийг aaa authentication ssh console LOCAL мэтийн баталгаажуулалтын арга, нэрлэсэн локал бүртгэлтэй хослуулна уу.

Интерфейсийн ACL болон ssh зөвшөөрлийг уялдуулан барина уу. ACL блоколдог дэд сүлжээнд олгосон зөвшөөрөл бүтэлгүйтсэн хэвээр, харин тохирох ssh бичлэггүйгээр дэд сүлжээг зөвшөөрөх ACL дараагийн хаалган дээр бүтэлгүйтнэ. Хоёр мэдэгдэл нэг замыг өөр өөр давхаргаас дүрсэлдэг тул ажиллаж буй тохиргоонд хамт хянана уу.

Нэрлэсэн хостоос шалгаад, дараа нь дахин нарийсгана уу

Өөрийн ширээнээс биш, нэрлэсэн удирдлагын хостоос шинэ сесс нээж, холболт ямар эх хаяг, ямар интерфейс ашигласныг ASA дээр баталгаажуулна уу. Сесс нээлттэй байх үед идэвхтэй сессүүд болон ажиллаж буй тохиргооны SSH хэсгийг шалгаад, дараа нь хааж, туршилтад нэмсэн аливаа түр зөвшөөрлийг устгана уу. Сесс гарч ирсэн ч нэвтрэсний дараа шууд унавал үлдсэн асуудал нь хүртээмж биш, эрх олголт юм. Дараагийн хүн оношилгоог давтахгүйн тулд өөрчлөлтийн бүртгэлд интерфейс болон эхийг тэмдэглэнэ үү.

Өөрчлөлтийн турш консол эсвэл бие даан батлагдсан өөр сэргээх замыг боломжтой байлгана уу. Хувийн зам ажиллаж эхэлсний дараа нийтийн эх сурвалж болон холбоогүй VPN хэрэглэгчид ижил хандалт аваагүйг баталгаажуулна уу, учир нь бүгдэд ажилладаг удирдлагын зам таны эхэлсэн асуудлаас өөр асуудал юм.