SSH đến ASA từ xa qua VPN của site: từng bước một

Bạn trỏ một máy khách SSH đến địa chỉ nội bộ của ASA từ xa và phiên làm việc chết ngay khi kết nối. Tường lửa trả lời từ site của chính nó, đường hầm hiện ra, vậy mà không có gì lắng nghe trên cổng 22. Trong phần lớn các trường hợp này gói tin không bao giờ đến được bước chấp nhận quản trị, vì đường đi đang được kiểm tra chưa bao giờ được thiết kế như một đường quản trị. Hãy đi theo luồng dưới đây theo đúng thứ tự và sự cố sẽ ngừng di chuyển.

Chọn địa chỉ mà bạn thực sự đang quản trị

Ba thiết kế trông giống nhau nhưng hành xử khác nhau: đến địa chỉ công khai của ASA hướng ra VPN, đến một giao diện nội bộ qua IPsec, và đến một giao diện quản trị chuyên dụng. Hãy ghi lại địa chỉ nguồn của quản trị viên, địa chỉ đích chính xác và TCP 22 trước khi chạm vào bất kỳ quyền nào. Mọi thứ về sau đều phụ thuộc vào cặp này.

Một đường hầm mang hai VLAN máy chủ có thể hoàn toàn không mang địa chỉ giao diện của tường lửa hay mạng con quản trị của quản trị viên. Kiểm tra danh sách lưu lượng quan tâm của chính sách site-to-site và xác nhận rằng địa chỉ của chính ASA xuất hiện như đích đến, chứ không chỉ các mạng con đi qua nó.

Vì đích đến là chính tường lửa, việc chấp nhận quản trị tách khỏi các quy tắc dành cho lưu lượng được chuyển tiếp. Một ACL cho phép máy khách đến các máy chủ sau ASA không tự nó bật quản trị SSH của thiết bị, và việc sửa quy tắc chuyển tiếp sẽ không làm sự cố này di chuyển.

management-access gắn với giao diện cụ thể

Lệnh management-access yêu cầu ASA chấp nhận các kết nối quản trị đến một giao diện được chỉ định khi chúng đến qua VPN. Lệnh này không tạo tuyến, không thêm quyền SSH và không áp dụng cho mọi giao diện cùng lúc. Nếu giao diện đích không phải giao diện được chỉ định, kết nối bị loại bỏ trước khi xác thực.

Hai ngoại lệ cắn ở đây. Các giao diện chỉ dành cho quản trị nằm ngoài cơ chế này, và hướng dẫn quản trị ASA 9.20 lưu ý rằng ngăn xếp CiscoSSH mặc định không hỗ trợ SSH giữa các giao diện qua VPN trong khi ngăn xếp ASA SSH thì có. Hãy xác nhận ngăn xếp đang hoạt động trên bản phát hành đã triển khai trước khi dành thời gian cho tuyến.

Bốn cổng trước lời nhắc đăng nhập

Giữa máy khách và lời nhắc tên người dùng có bốn cổng độc lập: sự khớp tuyến và đường hầm cho cặp quản trị, một ACL giao diện cho phép TCP 22 đến địa chỉ ASA, một quyền ssh bao phủ nguồn của quản trị viên, và xác thực AAA cho người dùng đó. Mỗi cổng đều có thể bỏ gói tin mà không cho máy khách biết cổng nào đã đóng.

Hãy dùng packet-tracer để xem cổng nào thất bại trước khi thay đổi bất cứ thứ gì: packet-tracer input inside tcp 10.10.5.20 50000 10.20.1.1 22 detailed. Dấu vết nêu tên ACL, giai đoạn NAT và quyết định to-the-box, thường đủ để tách vấn đề định tuyến khỏi vấn đề chấp nhận.

Viết quyền hẹp, đừng viết quyền rộng

Giới hạn quyền trong mạng con quản trị đã được phê duyệt và giao diện nhận lưu lượng của đường hầm: ssh 10.10.5.0 255.255.255.0 inside. Ghép nó với một phương thức xác thực như aaa authentication ssh console LOCAL và một tài khoản cục bộ có tên, thay vì mở mọi nguồn trên giao diện bên ngoài.

Giữ ACL giao diện và quyền ssh nhất quán. Quyền cho một mạng con mà ACL chặn vẫn thất bại, và ACL cho phép mạng con mà không có mục ssh khớp sẽ thất bại ở cổng tiếp theo. Cả hai câu mô tả cùng một đường đi từ các lớp khác nhau, vì vậy hãy xem xét chúng cùng nhau trong cấu hình đang chạy.

Xác minh từ máy chủ được chỉ định, rồi thu hẹp lại

Mở một phiên mới từ máy chủ quản trị được chỉ định thay vì từ bàn làm việc của bạn, và xác nhận trên ASA xem kết nối đã dùng địa chỉ nguồn và giao diện nào. Kiểm tra các phiên đang hoạt động và phần SSH của cấu hình đang chạy khi phiên còn mở, sau đó đóng phiên và gỡ mọi quyền tạm thời bạn đã thêm để kiểm tra. Nếu phiên xuất hiện nhưng rơi ngay sau khi đăng nhập, vấn đề còn lại là phân quyền chứ không phải khả năng kết nối. Ghi lại giao diện và nguồn vào biên bản thay đổi để người tiếp theo không lặp lại việc chẩn đoán.

Giữ console hoặc một đường khôi phục khác đã được phê duyệt độc lập trong suốt quá trình thay đổi. Khi đường riêng hoạt động, hãy xác nhận rằng các nguồn công cộng và người dùng VPN không liên quan không có được quyền truy cập tương tự, vì một đường quản trị chạy được cho mọi người là vấn đề khác với vấn đề bạn bắt đầu.