SSH do oddaljene ASA prek VPN lokacije: korak za korakom

Usmerite odjemalca SSH na notranji naslov oddaljene ASA in seja umre ob povezavi. Požarni zid odgovori z lastne lokacije, tunel se prikaže, pa vendar na vratih 22 nič ne posluša. V večini teh primerov paket nikoli ne doseže sprejema upravljanja, ker pot, ki se preizkuša, ni bila nikoli zasnovana kot pot upravljanja. Sledite spodnjemu toku po vrsti in napaka se neha premikati.

Izberite naslov, ki ga resnično upravljate

Tri zasnove so si podobne in se obnašajo različno: doseganje javnega naslova ASA, obrnjenega proti VPN, doseganje notranjega vmesnika prek IPsec in doseganje namenskega vmesnika za upravljanje. Zapišite izvorni naslov skrbnika, točen ciljni naslov in TCP 22, preden se dotaknete dovoljenja. Vse nadaljnje je odvisno od tega para.

Tunel, ki prenaša dve VLAN strežnikov, morda sploh ne prenaša naslova vmesnika požarnega zidu ali podomrežja za upravljanje skrbnika. Preverite seznam zanimivega prometa za politiko lokacija-lokacija in potrdite, da se lastni naslov ASA pojavi kot cilj, ne le podomrežja, ki gredo skozenj.

Ker je cilj požarni zid sam, je sprejem upravljanja ločen od pravil za posredovani promet. ACL, ki spusti odjemalce do strežnikov za ASA, sam po sebi ne omogoči upravljanja SSH naprave, in popravilo pravila posredovanja te napake ne premakne.

management-access je vezan na vmesnik

Ukaz management-access pove ASA, naj sprejema povezave za upravljanje na imenovanem vmesniku, ko pridejo prek VPN. Ne ustvari poti, ne doda dovoljenja SSH in ne velja za vse vmesnike hkrati. Če ciljni vmesnik ni imenovani, se povezava zavrže pred preverjanjem pristnosti.

Tu ugrizneta dve izjemi. Vmesniki samo za upravljanje so zunaj tega mehanizma, in vodnik za upravljanje ASA 9.20 opozarja, da privzeti sklad CiscoSSH ne podpira SSH med vmesniki prek VPN, medtem ko sklad ASA SSH ga. Potrdite aktivni sklad v nameščeni izdaji, preden porabite čas za poti.

Štiri vrata pred pozivom za prijavo

Med odjemalcem in pozivom za uporabniško ime stojijo štiri neodvisna vrata: ujemanje poti in tunela za par upravljanja, ACL vmesnika, ki dovoljuje TCP 22 na naslov ASA, dovoljenje ssh, ki pokriva izvor skrbnika, in preverjanje pristnosti AAA za tega uporabnika. Vsaka od njih lahko spusti paket, ne da bi odjemalcu povedala, katera vrata so se zaprla.

Preden karkoli spremenite, s packet-tracer preverite, katera vrata ne uspejo: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Sled poimenuje ACL, fazo NAT in odločitev to-the-box, kar običajno zadostuje za ločevanje težave usmerjanja od težave sprejema.

Napišite ozko dovoljenje, ne širokega

Omejite dovoljenje na odobreno administrativno podomrežje in vmesnik, ki prejema promet tunela: ssh 10.10.5.0 255.255.255.0 inside. Povežite ga z metodo preverjanja pristnosti, kot je aaa authentication ssh console LOCAL, in imenovanim krajevnim računom, namesto da odprete vsak izvor na zunanjem vmesniku.

Vzdržujte skladnost ACL vmesnika in dovoljenja ssh. Dovoljenje za podomrežje, ki ga ACL blokira, še vedno ne uspe, in ACL, ki dovoljuje podomrežje brez ustreznega vnosa ssh, ne uspe pri naslednjih vratih. Obe trditvi opisujeta isto pot iz različnih plasti, zato ju pregledajte skupaj v delujoči konfiguraciji.

Preverite z imenovanega gostitelja in nato znova zožite

Odprite novo sejo z imenovanega gostitelja za upravljanje, ne s svoje mize, in na ASA potrdite, kateri izvorni naslov in kateri vmesnik je povezava uporabila. Medtem ko je seja odprta, preverite dejavne seje in razdelek SSH delujoče konfiguracije, nato jo zaprite in odstranite vsako začasno dovoljenje, ki ste ga dodali za preizkušanje. Če se seja pojavi, a pade takoj po prijavi, je preostala težava avtorizacija in ne dosegljivost. Zapišite vmesnik in izvor v dnevnik sprememb, da naslednja oseba ne ponovi diagnoze.

Med celotno spremembo imejte na voljo konzolo ali drugo neodvisno odobreno pot za obnovitev. Ko zasebna pot deluje, potrdite, da javni izvori in nepovezani uporabniki VPN niso dobili enakega dostopa, ker je pot upravljanja, ki deluje za vse, druga težava od tiste, s katero ste začeli.