SSH oo laga galo ASA fog iyada oo loo marayo VPN-ka goobta: tallaabo tallaabo

Waxaad SSH client ku tilmaamaysaa ciwaanka gudaha ee ASA fog oo fadhiistu way dhintaa marka la isku xidho. Firewall-ku waxa uu ka jawaabaa goobtiisa, tunnel-ku wuu soo baxaa, haddana waxba kama maqlo port 22. Inta badan kiisaskan packet-ku waligiis ma gaaro aqbalaadda maamulka, sababtoo ah waddada la tijaabinayo waligeed looma qorsheyn sida waddo maamul. Raac socodka hoose si taxane ah oo cilladdu way joogsanaysaa inay meel kale u guurto.

Dooro ciwaanka aad dhab ahaan maamusho

Saddex naqshad ayaa isku eg oo si kala duwan u dhaqma: gaarista ciwaanka dadweynaha ASA ee u jeedda VPN, gaarista is-dhexgal gudaha iyada oo loo marayo IPsec, iyo gaarista is-dhexgal maamul oo gaar ah. Qor ciwaanka isha maamulaha, ciwaanka yoolka saxda ah iyo TCP 22 ka hor inta aadan taaban fasax kasta. Wax kasta oo dambe waxay ku xiran yihiin lammaanahaas.

Tunnel-ku qaado laba VLAN oo server ah waxaa laga yaabaa inuusan qaadin ciwaanka is-dhexgalka firewall-ka ama subnet-ka maamulka maamulaha gabi ahaanba. Fiiri liiska taraafikada xiisaha leh ee siyaasadda goob-ilaa-goob oo xaqiiji in ciwaanka ASA laftiisu uu u muuqdo yool, ma aha oo kaliya subnet-yada dhex mara.

Maaddaama yoolku yahay firewall-ka laftiisu, aqbalaadda maamulku way ka duwan tahay xeerarka taraafikada la gudbiyo. ACL ogolaada macaamiisha inay gaaraan server-yada ka dambeeya ASA si madax banaan uma shideyso maamulka SSH ee qalabka, iyo hagaajinta xeerka gudbintu ma dhaqaajinayso cilladdan.

management-access wuxuu gaar u yahay is-dhexgalka

Amarka management-access wuxuu ASA ku yidhaahdaa inuu aqbalo xiriirada maamulka ee is-dhexgal magac leh marka ay VPN-ka soo maraan. Ma abuurto waddo, ma daro fasax SSH, oo isku mar kuma khuseeyo is-dhexgal kasta. Haddii is-dhexgalka yoolku uusan ahayn kan magacaaban, xiriirka waa la tuuraa ka hor xaqiijinta.

Halkan laba ka muuqda ayaa qaniina. Is-dhexgallada maamulka oo kaliya waxay ka baxsan yihiin habkan, iyo hagaha maamulka ASA 9.20 wuxuu xusayaa in stack-ga caadiga ah ee CiscoSSH uusan taageerin SSH ee u dhexeeya is-dhexgallada iyada oo loo marayo VPN halka stack-ga ASA SSH uu taageero. Xaqiiji stack-ga firfircoon ee nooca la rakibay ka hor inta aadan waqti ku bixin waddooyinka.

Afar iridood ka hor codsiga gelitaanka

Inta u dhaxaysa macmiilka iyo codsiga magaca isticmaalaha waxaa taagan afar iridood oo madax banaan: iswaafajinta waddada iyo tunnel-ka ee lammaanaha maamulka, ACL is-dhexgal oo ogolaada TCP 22 ee ciwaanka ASA, fasax ssh oo daboolaya isha maamulaha, iyo xaqiijinta AAA ee isticmaalahaas. Mid kasta wuxuu tuuri karaa packet-ka isagoo u sheegayn macmiilka iridda aad u xidhnayd.

Isticmaal packet-tracer si aad u aragto iridda guuldareysata ka hor inta aadan wax beddelin: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Raadku wuxuu magacaabaa ACL-ka, marxaladda NAT iyo go'aanka to-the-box, taas oo badanaa ku filan in lagu kala saaro dhibaatada waddooyinka iyo dhibaatada aqbalaadda.

Qor fasaxa cidhiidhiga ah, ma aha kan ballaaran

Ku xaddid fasaxa subnet-ka maamulka ee la ansixiyay iyo is-dhexgalka qaata taraafikada tunnel-ka: ssh 10.10.5.0 255.255.255.0 inside. La lammaani hab xaqiijin sida aaa authentication ssh console LOCAL iyo akoon maxalli ah oo magac leh, halkii aad ka furi lahayd isha kasta is-dhexgalka dibadda.

Hayso ACL-ka is-dhexgalka iyo fasaxa ssh oo iswaafaqsan. Fasaxa subnet-ka uu ACL-ku xanibo wali wuu guuldareystaa, iyo ACL-ka ogolaada subnet-ka isagoon lahayn gelitaan ssh u dhigma wuxuu ku guuldareystaa iridda xigta. Labada hadal waxay sharraxaan isla waddada lakabbo kala duwan, sidaas darteed dib u eeg iyaga wadajir qaabeynta socota.

Ka xaqiiji martigeliyaha magac leh, kadib mar kale cidhiidhi

Ka fur fadhi cusub martigeliyaha maamulka ee magac leh halkii aad ka furi lahayd miiskaaga, oo ASA ku xaqiiji ciwaanka isha iyo is-dhexgalka uu xiriirku isticmaalay. Inta fadhigu furan yahay fiiri fadhiyada firfircoon iyo qaybta SSH ee qaabeynta socota, kadib xidh oo ka saar fasax kasta oo ku meel gaar ah oo aad u dartay tijaabada. Haddii fadhigu soo baxo laakiin uu dhaco isla markiiba gelitaanka kadib, dhibaatada hadhay waa oggolaansho ma aha gaaritaan. Ku qor is-dhexgalka iyo isha diiwaanka isbeddelka si qofka xiga uusan u celin ogaanshaha.

Hayso console ama waddo kale oo soo kabasho oo si madax banaan loo ansixiyay oo diyaar ah inta isbeddelku socdo. Marka waddada gaarka ah ay shaqeyso, xaqiiji in ilo dadweyne iyo isticmaalayaasha VPN ee aan la xiriirin aysan helin isla gelitaankaas, sababtoo ah waddo maamul oo qof walba u shaqeysa waa dhibaato ka duwan tii aad ku bilowday.