Danh mục sản phẩm
Hướng dẫn cấu hình Telnet, SSH trên Firewall Cisco ASA
Cấu hình SSH trên Cisco ASA gồm 6 bước: chuẩn bị hostname và domain-name, tạo user cục bộ và bật xác thực LOCAL, sinh khóa RSA 2048 bit, khai báo IP được phép truy cập, ép dùng SSH phiên bản 2 kèm timeout, rồi kiểm tra kết quả. Telnet chỉ nên dùng trong mạng nội bộ qua interface inside, vì ASA không cho Telnet vào interface có security level thấp nhất (thường là outside).
Bài viết áp dụng cho Cisco ASA chạy phần mềm ASA. Thiết bị chạy Firepower Threat Defense (FTD) được cấu hình theo cách khác, không dùng các lệnh trong bài này.
1. Telnet và SSH trên ASA khác nhau thế nào?
| Tiêu chí | Telnet | SSH |
|---|---|---|
| Mã hóa dữ liệu | Không (văn bản thuần) | Có |
| Cổng mặc định | TCP 23 | TCP 22 |
| Truy cập từ interface security level thấp nhất (thường là outside) | Không hỗ trợ, trừ khi đi qua VPN tunnel | Hỗ trợ |
| Mức độ an toàn | Thấp | Cao |
| Khuyến nghị | Chỉ dùng trong LAN tin cậy | Nên dùng cho mọi trường hợp |
2. Chuẩn bị trước khi cấu hình
Bài dùng các thông tin mẫu sau, bạn thay bằng thông tin thực tế:
- Dải mạng quản trị nội bộ:
192.168.1.0/24(interfaceinside) - Máy quản trị từ xa:
192.168.10.4(interfaceoutside) - Truy cập vào ASA bằng console hoặc phiên quản trị hiện có, sau đó vào chế độ cấu hình bằng lệnh
configure terminal.
3. Cấu hình Telnet trên Cisco ASA
Bước 1: Đặt mật khẩu Telnet
asa(config)# passwd <MatKhauTelnet>
Hãy đặt mật khẩu đủ mạnh, không dùng các mật khẩu dễ đoán.
Bước 2: Cho phép dải IP truy cập Telnet
asa(config)# telnet 192.168.1.0 255.255.255.0 inside
Bước 3: Đặt thời gian chờ
asa(config)# telnet timeout 3
Phiên sẽ tự ngắt sau 3 phút không thao tác (mặc định là 5 phút).
Bước 4: Kiểm tra
asa(config)# show running-config telnet telnet 192.168.1.0 255.255.255.0 inside telnet timeout 3
Lưu ý: ASA không cho phép Telnet vào interface có security level thấp nhất (thường là
outside), trừ khi Telnet nằm trong đường hầm VPN. Muốn quản trị từ xa qua phía ngoài, hãy dùng SSH.
4. Cấu hình SSH trên Cisco ASA
Bước 1: Đặt hostname và domain-name
Nên cấu hình hai thông tin này trước khi tạo khóa RSA. Nếu đã có thì bỏ qua.
asa(config)# hostname asa asa(config)# domain-name vnexperts.vn
Bước 2: Tạo user và bật xác thực cục bộ
asa(config)# username admin password <MatKhauManh> privilege 15 asa(config)# aaa authentication ssh console LOCAL
Mật khẩu nên có tối thiểu 8 ký tự, gồm chữ hoa, chữ thường, số và ký tự đặc biệt. Không dùng mật khẩu mẫu trong tài liệu cho môi trường thật.
Bước 3: Sinh khóa RSA 2048 bit
asa(config)# crypto key generate rsa modulus 2048 WARNING: You have a RSA keypair already defined named <Default-RSA-Key>. Do you really want to replace them? [yes/no]: y Keypair generation process begin. Please wait...
Cảnh báo trên chỉ hiện khi thiết bị đã có sẵn khóa RSA. Nên thực hiện bước này trong cửa sổ bảo trì hoặc khi đang kết nối bằng console.
Bước 4: Khai báo IP được phép SSH
asa(config)# ssh 192.168.1.0 255.255.255.0 inside asa(config)# ssh 192.168.10.4 255.255.255.255 outside
Dòng đầu cho phép cả dải LAN quản trị. Dòng sau chỉ cho phép đúng một máy từ phía outside.
Bước 5: Ép dùng SSH v2 và đặt timeout
asa(config)# ssh version 2 asa(config)# ssh timeout 5
Bước 6: Kiểm tra
asa(config)# show ssh Timeout: 5 minutes Version allowed: 2 192.168.1.0 255.255.255.0 inside 192.168.10.4 255.255.255.255 outside
Tùy phiên bản phần mềm, kết quả có thể hiển thị thêm một số dòng khác (ví dụ danh sách thuật toán mã hóa đang bật).
Kiểm tra thêm khóa RSA và các phiên đang kết nối:
asa# show crypto key mypubkey rsa asa# show ssh sessions
5. Lưu cấu hình và kiểm tra kết nối
Lưu cấu hình để không bị mất khi thiết bị khởi động lại:
asa# write memory
Từ máy quản trị, kết nối thử:
ssh admin@<IP-interface-cua-ASA>
6. Lỗi thường gặp và cách xử lý
| Hiện tượng | Nguyên nhân thường gặp | Cách xử lý |
|---|---|---|
| Kết nối bị từ chối | IP nguồn chưa nằm trong lệnh ssh, hoặc sai interface |
Thêm đúng IP và tên interface |
| Không đăng nhập được bằng user đã tạo | Thiếu aaa authentication ssh console LOCAL |
Bật xác thực LOCAL |
| Không SSH được dù đã khai báo IP | Chưa có khóa RSA | Chạy show crypto key mypubkey rsa; nếu chưa có, tạo khóa theo Bước 3 |
Lỗi no matching key exchange method found |
ASA chạy phần mềm cũ chỉ hỗ trợ thuật toán cũ, còn client SSH mới đã tắt các thuật toán đó | Nâng cấp phần mềm ASA. Nếu chưa nâng cấp được, tạm thời cho phép thuật toán cũ trên client, ví dụ: ssh -o KexAlgorithms=+diffie-hellman-group14-sha1 -o HostKeyAlgorithms=+ssh-rsa admin@<IP> (chỉ là giải pháp tạm vì hạ mức bảo mật) |
| Không vào được từ outside | ACL hoặc thiết bị khác trên đường đi chặn cổng 22 | Kiểm tra đường đi của gói tin |
7. Khuyến nghị bảo mật
- Ưu tiên SSH, hạn chế hoặc tắt hẳn Telnet.
- Chỉ cho phép đúng IP hoặc dải IP quản trị, không mở rộng không cần thiết.
- Dùng khóa RSA tối thiểu 2048 bit và chỉ cho phép SSHv2.
- Đặt mật khẩu mạnh, đổi định kỳ; nếu có thể, dùng AAA tập trung (TACACS+/RADIUS) thay cho tài khoản cục bộ.
- Đặt timeout hợp lý và lưu cấu hình sau khi kiểm tra.
8. Câu hỏi thường gặp (FAQ)
Cisco ASA có hỗ trợ Telnet trên interface outside không?
Không. ASA không cho Telnet vào interface có security level thấp nhất (thường là outside), trừ khi Telnet nằm trong đường hầm VPN. Trường hợp thông thường, bạn cần dùng SSH.
Có bắt buộc đặt domain-name trước khi tạo khóa RSA không?
Nhiều tài liệu Cisco khuyến nghị đặt hostname và domain-name trước khi tạo khóa. Một số phiên bản ASA vẫn tạo được khóa khi chưa có domain-name. Cách an toàn nhất là cấu hình sẵn hai thông tin này theo Bước 1.
Nên chọn độ dài khóa RSA bao nhiêu?
Nên dùng 2048 bit, đây là mức tối thiểu được khuyến nghị hiện nay.
Có thể cho phép SSH từ nhiều IP khác nhau không?
Có. Bạn khai báo thêm nhiều dòng ssh <IP> <mask> <interface>, mỗi dòng cho một IP hoặc dải mạng.
Có nên dùng tài khoản cục bộ để SSH không?
Với hệ thống nhỏ thì được. Với hệ thống lớn, nên dùng AAA tập trung để dễ kiểm soát và truy vết.
Xem thêm:
