SSH k vzdialenej ASA cez VPN lokality: krok za krokom

Nasmerujete SSH klienta na vnútornú adresu vzdialenej ASA a relácia zomrie pri pripojení. Firewall odpovedá zo svojej lokality, tunel sa objaví, a napriek tomu na porte 22 nič nepočúva. Vo väčšine týchto prípadov sa paket nikdy nedostane k prijatiu správy, pretože testovaná cesta nebola nikdy navrhnutá ako cesta správy. Prejdite nižšie uvedený tok v poradí a porucha sa prestane presúvať.

Vyberte adresu, ktorú skutočne spravujete

Tri návrhy vyzerajú podobne a správajú sa odlišne: dosiahnutie verejnej adresy ASA obrátenej k VPN, dosiahnutie vnútorného rozhrania cez IPsec a dosiahnutie vyhradeného rozhrania správy. Zapíšte zdrojovú adresu správcu, presnú cieľovú adresu a TCP 22 predtým, než sa dotknete akéhokoľvek povolenia. Všetko ďalšie závisí od tejto dvojice.

Tunel, ktorý prenáša dve serverové VLAN, nemusí vôbec prenášať adresu rozhrania firewallu ani podsieť správy správcu. Skontrolujte zoznam zaujímavej premávky pre politiku lokalita-lokalita a potvrďte, že vlastná adresa ASA sa zobrazuje ako cieľ, nielen podsiete, ktoré cez ňu prechádzajú.

Keďže cieľom je samotný firewall, prijatie správy je oddelené od pravidiel pre preposielanú premávku. ACL, ktorý púšťa klientov k serverom za ASA, sám osebe nepovoľuje SSH správu zariadenia, a oprava pravidla preposielania túto poruchu neposunie.

management-access je viazaný na rozhranie

Príkaz management-access hovorí ASA, aby prijímala spojenia správy na pomenovanom rozhraní, keď prichádzajú cez VPN. Nevytvára trasu, nepridáva povolenie SSH a neplatí pre všetky rozhrania naraz. Ak cieľové rozhranie nie je to pomenované, spojenie sa zahodí ešte pred autentifikáciou.

Tu platia dve výnimky. Rozhrania určené len na správu sú mimo tohto mechanizmu a príručka správy ASA 9.20 uvádza, že predvolený zásobník CiscoSSH nepodporuje SSH medzi rozhraniami cez VPN, zatiaľ čo zásobník ASA SSH áno. Potvrďte aktívny zásobník v nasadenom vydaní, než začnete tráviť čas trasami.

Štyri brány pred výzvou na prihlásenie

Medzi klientom a výzvou na používateľské meno stoja štyri nezávislé brány: zhoda trasy a tunela pre dvojicu správy, ACL rozhrania, ktoré povoľuje TCP 22 na adresu ASA, povolenie ssh pokrývajúce zdroj správcu a autentifikácia AAA pre tohto používateľa. Každá z nich môže paket zahodiť bez toho, aby klientovi povedala, ktorá brána sa zavrela.

Než čokoľvek zmeníte, pozrite sa pomocou packet-tracer, ktorá brána zlyháva: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Trasovanie pomenuje ACL, fázu NAT a rozhodnutie to-the-box, čo zvyčajne stačí na oddelenie problému smerovania od problému prijatia.

Píšte úzke povolenie, nie široké

Obmedzte povolenie na schválenú administratívnu podsieť a rozhranie, ktoré prijíma premávku tunela: ssh 10.10.5.0 255.255.255.0 inside. Spárujte ho s metódou autentifikácie, ako je aaa authentication ssh console LOCAL, a pomenovaným miestnym účtom, namiesto otvorenia každého zdroja na vonkajšom rozhraní.

Udržiavajte ACL rozhrania a povolenie ssh v súlade. Povolenie pre podsieť, ktorú ACL blokuje, stále zlyháva, a ACL, ktorý povoľuje podsieť bez zodpovedajúceho ssh záznamu, zlyháva pri ďalšej bráne. Obe tvrdenia opisujú tú istú cestu z rôznych vrstiev, preto ich skontrolujte spoločne v bežiacej konfigurácii.

Overte z pomenovaného hostiteľa, potom znova zúžte

Otvorte novú reláciu z pomenovaného hostiteľa správy, nie zo svojho stola, a na ASA potvrďte, ktorú zdrojovú adresu a rozhranie spojenie použilo. Kým je relácia otvorená, skontrolujte aktívne relácie a sekciu SSH bežiacej konfigurácie, potom ju zatvorte a odstráňte akékoľvek dočasné povolenie pridané na testovanie. Ak sa relácia objaví, ale spadne hneď po prihlásení, zostávajúcim problémom je autorizácia, nie dostupnosť. Zapíšte rozhranie a zdroj do záznamu o zmenách, aby ďalší človek neopakoval diagnostiku.

Po celý čas zmeny majte k dispozícii konzolu alebo inú nezávisle schválenú cestu obnovy. Keď súkromná cesta funguje, potvrďte, že verejné zdroje a nesúvisiaci používatelia VPN nezískali rovnaký prístup, pretože cesta správy, ktorá funguje pre všetkých, je iný problém než ten, s ktorým ste začali.