Site VPN üzerinden uzak bir ASA'ya SSH: adım adım

Bir SSH istemcisini uzak ASA'nın iç adresine yönlendiriyorsunuz ve oturum bağlanırken ölüyor. Güvenlik duvarı kendi sitesinden yanıt veriyor, tünel görünüyor ve yine de 22 numaralı bağlantı noktasında hiçbir şey dinlemiyor. Bu durumların çoğunda paket yönetim kabulüne hiç ulaşmaz, çünkü test edilen yol hiçbir zaman yönetim yolu olarak tasarlanmamıştır. Aşağıdaki akışı sırayla izleyin, arıza yer değiştirmeyi bırakacaktır.

Gerçekten yönettiğiniz adresi seçin

Üç tasarım benzer görünür ve farklı davranır: ASA'nın VPN'e bakan genel adresine ulaşmak, IPsec üzerinden bir iç arayüze ulaşmak ve özel bir yönetim arayüzüne ulaşmak. Herhangi bir izne dokunmadan önce yöneticinin kaynak adresini, tam hedef adresini ve TCP 22'yi yazın. Sonrasındaki her şey bu çifte bağlıdır.

İki sunucu VLAN'ı taşıyan bir tünel, güvenlik duvarının arayüz adresini veya yöneticinin yönetim alt ağını hiç taşımayabilir. Site-siteden politikası için ilginç trafik listesini kontrol edin ve ASA'nın kendi adresinin yalnızca içinden geçen alt ağlar değil, hedef olarak göründüğünü doğrulayın.

Hedef güvenlik duvarının kendisi olduğundan, yönetim kabulü iletilen trafik kurallarından ayrıdır. İstemcilerin ASA arkasındaki sunuculara ulaşmasına izin veren bir ACL, cihazın SSH yönetimini tek başına etkinleştirmez ve iletme kuralını düzeltmek bu arızayı yerinden oynatmaz.

management-access arayüze özgüdür

management-access komutu ASA'ya VPN üzerinden gelen yönetim bağlantılarını adlandırılmış bir arayüzde kabul etmesini söyler. Bir rota oluşturmaz, SSH izni eklemez ve aynı anda her arayüz için geçerli değildir. Hedef arayüz adlandırılan değilse, bağlantı kimlik doğrulamadan önce atılır.

Burada iki istisna ısırır. Yalnızca yönetim için olan arayüzler bu mekanizmanın dışındadır ve ASA 9.20 yönetim kılavuzu, varsayılan CiscoSSH yığınının VPN üzerinden arayüzler arası SSH'yi desteklemediğini, ASA SSH yığınının ise desteklediğini belirtir. Rotalara zaman harcamadan önce dağıtılan sürümdeki etkin yığını doğrulayın.

Oturum açma isteminden önce dört kapı

İstemci ile kullanıcı adı istemi arasında dört bağımsız kapı durur: yönetim çifti için rota ve tünel eşleşmesi, ASA adresine TCP 22'ye izin veren bir arayüz ACL'si, yöneticinin kaynağını kapsayan bir ssh izni ve o kullanıcı için AAA kimlik doğrulaması. Her biri, hangi kapının kapandığını istemciye söylemeden paketi düşürebilir.

Herhangi bir şeyi değiştirmeden önce hangi kapının başarısız olduğunu görmek için packet-tracer kullanın: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. İz, ACL'yi, NAT aşamasını ve to-the-box kararını adlandırır; bu genellikle yönlendirme sorununu kabul sorunundan ayırmaya yeter.

Geniş izni değil, dar izni yazın

İzni onaylanmış yönetim alt ağına ve tünel trafiğini alan arayüze sınırlayın: ssh 10.10.5.0 255.255.255.0 inside. Dış arayüzde her kaynağı açmak yerine bunu aaa authentication ssh console LOCAL gibi bir kimlik doğrulama yöntemi ve adlandırılmış yerel hesapla eşleştirin.

Arayüz ACL'si ile ssh iznini tutarlı tutun. ACL'nin engellediği alt ağ için izin yine başarısız olur ve alt ağı eşleşen bir ssh girdisi olmadan izin veren ACL bir sonraki kapıda başarısız olur. Her iki ifade aynı yolu farklı katmanlardan anlatır, bu yüzden çalışan yapılandırmada ikisini birlikte gözden geçirin.

Adlandırılmış ana bilgisayardan doğrulayın, sonra yeniden daraltın

Yeni bir oturumu masanızdan değil adlandırılmış yönetim ana bilgisayarından açın ve ASA'da bağlantının hangi kaynak adresini ve arayüzü kullandığını doğrulayın. Oturum açıkken etkin oturumları ve çalışan yapılandırmanın SSH bölümünü kontrol edin, ardından oturumu kapatın ve test için eklediğiniz geçici izni kaldırın. Oturum görünüp de oturum açtıktan hemen sonra düşüyorsa kalan sorun erişilebilirlik değil yetkilendirmedir. Sonraki kişinin tanıyı yinelememesi için arayüzü ve kaynağı değişiklik kaydına yazın.

Değişiklik boyunca konsolu veya bağımsız olarak onaylanmış başka bir kurtarma yolunu kullanılabilir tutun. Özel yol çalıştığında, genel kaynakların ve ilgisiz VPN kullanıcılarının aynı erişimi almadığını doğrulayın, çünkü herkes için çalışan bir yönetim yolu başladığınız sorundan farklı bir sorundur.