SSH le ASA mill-bogħod permezz tal-VPN tas-sit: pass pass

Idderieġi klijent SSH lejn l-indirizz intern tal-ASA mill-bogħod u s-sessjoni tmut waqt il-konnessjoni. Il-firewall iwieġeb mis-sit tiegħu stess, il-mina tidher, u xorta ħadd ma jisma’ fuq il-port 22. F’ħafna minn dawn il-każijiet il-pakkett qatt ma jasal għall-ammissjoni tal-ġestjoni, għax il-mogħdija li qed tiġi ttestjata qatt ma ġiet iddisinjata bħala mogħdija tal-ġestjoni. Segwi l-fluss hawn taħt bl-ordni u l-ħsara tieqaf tċaqlaq.

Agħżel l-indirizz li qed tamministra tassew

Tliet disinni jidhru simili u jġibu ruħhom b’mod differenti: nilħaq l-indirizz pubbliku tal-ASA li jħares lejn il-VPN, nilħaq interface interna permezz ta’ IPsec, u nilħaq interface tal-ġestjoni ddedikata. Ikteb l-indirizz tas-sors tal-amministratur, l-indirizz eżatt tad-destinazzjoni u TCP 22 qabel ma tmiss permess. Kollox wara jiddependi fuq dak il-par.

Mina li ġġorr żewġ VLAN tas-servers tista’ ma ġġorr xejn l-indirizz tal-interface tal-firewall jew is-subnet tal-ġestjoni tal-amministratur. Iċċekkja l-lista tat-traffiku interessanti għall-politika sit-għal-sit u kkonferma li l-indirizz tal-ASA stess jidher bħala destinazzjoni, mhux biss is-subnets li jgħaddu minnu.

Għax id-destinazzjoni hija l-firewall innifsu, l-ammissjoni tal-ġestjoni hija separata mir-regoli għat-traffiku li jiġi mgħoddi. ACL li tħalli lill-klijenti jilħqu servers wara l-ASA ma tixgħelx waħedha l-amministrazzjoni SSH tal-apparat, u s-sewqan tar-regola tal-għoti ma jċaqlaqx dan il-ħsara.

management-access hija speċifika għall-interface

Il-kmand management-access jgħid lill-ASA biex taċċetta konnessjonijiet tal-ġestjoni lejn interface msemmija meta jaslu mill-VPN. Ma joħloqx rotta, ma jżidx permess SSH, u ma japplikax għal kull interface f’daqqa. Jekk l-interface tad-destinazzjoni mhix dik imsemmija, il-konnessjoni tintrema qabel l-awtentikazzjoni.

Hawn żewġ esklużjonijiet jaqtgħu. L-interfaces tal-ġestjoni biss huma barra minn dan il-mekkaniżmu, u l-gwida tal-ġestjoni tal-ASA 9.20 tinnota li l-munzell CiscoSSH awtomatiku ma jappoġġax SSH bejn interfaces mill-VPN filwaqt li l-munzell ASA SSH jappoġġah. Ikkonferma l-munzell attiv fuq il-verżjoni skjerata qabel ma tqatta’ ħin fuq rotot.

Erba’ bibien qabel il-mistoqsija tal-login

Bejn il-klijent u l-mistoqsija tal-isem tal-utent hemm erba’ bibien indipendenti: tqabbil ta’ rotta u mina għall-par tal-ġestjoni, ACL tal-interface li tippermetti TCP 22 lejn l-indirizz tal-ASA, permess ssh li jkopri s-sors tal-amministratur, u awtentikazzjoni AAA għal dak l-utent. Kull wieħed minnhom jista’ jittaq il-pakkett mingħajr ma jgħid lill-klijent liema bieba ngħalqet.

Uża packet-tracer biex tara liema bieba tfalli qabel ma tbiddel xejn: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. It-traċċa ssemmi l-ACL, l-istadju NAT u d-deċiżjoni to-the-box, li normalment biżżejjed biex tifred problema ta’ routing minn problema ta’ ammissjoni.

Ikteb il-permess dejjaq, mhux dak wiesa’

Illimita l-permess għas-subnet amministrattiva approvata u l-interface li tirċievi t-traffiku tal-mina: ssh 10.10.5.0 255.255.255.0 inside. Għaqqadha ma’ metodu ta’ awtentikazzjoni bħal aaa authentication ssh console LOCAL u kont lokali msemmi, minflok ma tiftaħ kull sors fuq l-interface ta’ barra.

Żomm l-ACL tal-interface u l-permess ssh konsistenti. Permess għal subnet li l-ACL timblokka xorta jfalli, u ACL li tippermetti s-subnet mingħajr entrata ssh li taqbel tfalli fil-bieba li jmiss. Iż-żewġ dikjarazzjonijiet jiddeskrivu l-istess mogħdija minn saffi differenti, għalhekk iċċekkjahom flimkien fil-konfigurazzjoni li qed taħdem.

Ivverifika mill-host imsemmi, imbagħad erġa’ dejjaq

Iftaħ sessjoni ġdida mill-host tal-ġestjoni msemmi u mhux mill-iskrivanija tiegħek, u kkonferma fuq l-ASA liema indirizz tas-sors u liema interface użat il-konnessjoni. Iċċekkja s-sessjonijiet attivi u s-sezzjoni SSH tal-konfigurazzjoni li qed taħdem waqt li s-sessjoni hija miftuħa, imbagħad agħlaqha u neħħi kull permess temporanju li żidt għall-ittestjar. Jekk is-sessjoni tidher imma taqa’ mill-ewwel wara l-login, il-problema li tibqa’ hija awtorizzazzjoni u mhux aċċessabbiltà. Irreġistra l-interface u s-sors fir-rekord tal-bidliet sabiex il-persuna li jmiss ma terġax tagħmel id-dijanjosi.

Żomm il-console jew mogħdija oħra ta’ rkupru approvata b’mod indipendenti disponibbli matul il-bidla kollha. Ladarba l-mogħdija privata taħdem, ikkonferma li sorsi pubbliċi u utenti VPN mhux relatati ma kisbu l-istess aċċess, għax mogħdija tal-ġestjoni li taħdem għal kulħadd hija problema differenti minn dik li bdejt biha.