SSH kwa ASA ya mbali kupitia VPN ya tovuti: hatua kwa hatua

Unaelekeza mteja wa SSH kwenye anwani ya ndani ya ASA ya mbali na kikao hufa wakati wa kuunganisha. Firewall hujibu kutoka tovuti yake, handaki huonekana, na bado hakuna kinachosikiliza kwenye lango 22. Katika hali nyingi kati ya hizi pakiti haifikii kamwe idhini ya usimamizi, kwa sababu njia inayojaribiwa haikuundwa kama njia ya usimamizi. Fuata mtiririko ulio hapa chini kwa mpangilio na hitilafu itaacha kuhamahama.

Chagua anwani unayoisimamia kweli

Miundo mitatu inaonekana sawa na hujiendesha kwa namna tofauti: kufikia anwani ya umma ya ASA inayoelekea VPN, kufikia kiolesura cha ndani kupitia IPsec, na kufikia kiolesura maalum cha usimamizi. Andika anwani ya chanzo ya msimamizi, anwani kamili ya lengo na TCP 22 kabla ya kugusa kibali chochote. Kila kitu kinachofuata kinategemea jozi hiyo.

Handaki linalobeba VLAN mbili za seva linaweza lisibebe kabisa anwani ya kiolesura cha firewall au subneti ya usimamizi ya msimamizi. Angalia orodha ya trafiki inayovutia kwa sera ya tovuti-kwa-tovuti na uthibitisha kwamba anwani ya ASA yenyewe inaonekana kama lengo, sio subneti zinazopita ndani yake tu.

Kwa kuwa lengo ni firewall yenyewe, idhini ya usimamizi ni tofauti na kanuni za trafiki inayosambazwa. ACL inayoruhusu wateja kufikia seva zilizo nyuma ya ASA haiwezeshi usimamizi wa SSH wa kifaa kwa kujitegemea, na kurekebisha kanuni ya usambazaji hakutahamisha hitilafu hii.

management-access ni mahususi kwa kiolesura

Amri ya management-access inaiambia ASA ikubali miunganisho ya usimamizi kwenye kiolesura kilichotajwa inapofika kupitia VPN. Haiundi njia, haiongezi kibali cha SSH, na haitumiki kwa kila kiolesura kwa wakati mmoja. Ikiwa kiolesura cha lengo si kile kilichotajwa, muunganisho hutupwa kabla ya uthibitishaji.

Hapa vighairi viwili vinauma. Violezo vya usimamizi pekee viko nje ya utaratibu huu, na mwongozo wa usimamizi wa ASA 9.20 unabainisha kwamba staki chaguo-msingi ya CiscoSSH haiungi mkono SSH kati ya violezo kupitia VPN wakati staki ya ASA SSH inaunga mkono. Thibitisha staki inayotumika kwenye toleo lililosakinishwa kabla ya kutumia muda kwenye njia.

Milango minne kabla ya kidokezo cha kuingia

Kati ya mteja na kidokezo cha jina la mtumiaji kuna milango minne huru: ulinganifu wa njia na handaki kwa jozi ya usimamizi, ACL ya kiolesura inayoruhusu TCP 22 kwa anwani ya ASA, kibali cha ssh kinachofunika chanzo cha msimamizi, na uthibitishaji wa AAA kwa mtumiaji huyo. Kila kimoja kinaweza kudondosha pakiti bila kumwambia mteja mlango upi ulifungwa.

Tumia packet-tracer kuona mlango upi unashindikana kabla ya kubadilisha chochote: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Ufuatiliaji hutaja ACL, hatua ya NAT na uamuzi wa to-the-box, ambayo kwa kawaida inatosha kutenganisha tatizo la uelekezaji na tatizo la idhini.

Andika kibali chembamba, sio kipana

Weka kibali ndani ya subneti ya kiutawala iliyoidhinishwa na kiolesura kinachopokea trafiki ya handaki: ssh 10.10.5.0 255.255.255.0 inside. Kiunganishe na mbinu ya uthibitishaji kama aaa authentication ssh console LOCAL na akaunti ya ndani iliyotajwa, badala ya kufungua kila chanzo kwenye kiolesura cha nje.

Weka ACL ya kiolesura na kibali cha ssh sawia. Kibali cha subneti inayozuiwa na ACL bado kinashindikana, na ACL inayoruhusu subneti bila ingizo la ssh linalolingana inashindikana kwenye mlango unaofuata. Kauli zote mbili zinaelezea njia moja kutoka tabaka tofauti, kwa hiyo zikague pamoja katika usanidi unaoendeshwa.

Thibitisha kutoka kwa mwenyeji aliyetajwa, kisha punguza tena

Fungua kikao kipya kutoka kwa mwenyeji wa usimamizi aliyetajwa badala ya kutoka kwenye dawati lako, na uthibitisha kwenye ASA ni anwani gani ya chanzo na kiolesura gani muunganisho ulitumia. Angalia vikao vinavyotumika na sehemu ya SSH ya usanidi unaoendeshwa wakati kikao kiko wazi, kisha kifunge na uondoe kibali chochote cha muda ulichoongeza kwa ajili ya majaribio. Ikiwa kikao kinaonekana lakini huanguka mara moja baada ya kuingia, tatizo lililobaki ni idhini na sio ufikikaji. Andika kiolesura na chanzo kwenye rekodi ya mabadiliko ili mtu anayefuata asirudie utambuzi.

Weka konsoli au njia nyingine ya urejeshaji iliyoidhinishwa kwa kujitegemea ipatikane wakati wote wa mabadiliko. Njia ya kibinafsi inapofanya kazi, thibitisha kwamba vyanzo vya umma na watumiaji wa VPN wasiohusiana hawakupata ufikiaji huo huo, kwa sababu njia ya usimamizi inayofanya kazi kwa kila mtu ni tatizo tofauti na lile uliloanza nalo.