ASAへのSSH接続について

[りょうまろ]

ご覧になっていただきありがとうございます。

ASA-5515-XをPrimary-Active、Secandaly-Standby構成にて運用をしております。

先日Primary-Activeがフェイルオーバーし、Secandaly-Active、Primary-Standbyになってしまいました。

その際Secandaly-ActiveにSSHでログインしようとしたところ、パスワード入力後、未接続になってしまい

SSHでは操作ができなくなってしまいました。

Primary-Activeには以前自分がSSHの設定を投入し、SSHの接続はできていたんですが、Secandaly-Activeになったとたん

できませんでした。

現在はASDMからフェイルバックを実行しているのでPrimary-ActiveにはSSHではできるのですが、

ActiveとStandbyからそれぞれのrunnninng-configはASDMから取得していて見比べてみたのですが

差異はありませんでしたが、Secandaly-ActiveにもSSHでログインしようとする場合はSecandaly-Active

にもSSHの設定を実施しないとならないのでしょうか。

どうぞよろしくお願いします。

[Akira Muranaka · Accepted solution]

りょうまろさん、こんにちは。通常、ASAのActive機で設定した内容は そのまま Standby機にコマンドがそのまま自動同期されるため、Standby機の設定は不要です。

以下のトラブルケースと似てるのかな？と思いますので、参考に実施して頂くと如何でしょか。

https://community.cisco.com/t5/%E3%83%95%E3%82%A1%E3%82%A4%E3%82%A2%E3%82%A6%E3%82%A9%E3%83%BC%E3%83%AB/secondary%E6%A9%9F%E3%81%AEssh%E3%83%AD%E3%82%B0%E3%82%A4%E3%83%B3%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6/td-p/2590360

また、ASAの利用バージョンが非常に古い場合は、もしかしたら、Standby機に正しくRSAキーが生成されない何らかの不具合の影響もあるかもしれませんので、以下を参考にご利用トレインの最新バージョンにアップグレードをしていただくといいかもしれません。(例えば 9.1トレインを利用中なら、9.1.7の最新Interimバージョンにアップグレード、など。)

https://community.cisco.com/t5/%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-active-standby%E5%86%97%E9%95%B7%E6%A7%8B%E6%88%90%E3%81%AEcli%E3%81%A7%E3%81%AE%E3%82%A2%E3%83%83%E3%83%...

[りょうまろ]

Akira Nakamuraさん

ありがとうございます。

失礼致しました。ver.は9.1(7)29でした。

本日改めてログインをPri、Secにしてみたところ、どちらもログインができなくなっていました。

どちらもID/PASS入力後未接続のままです。

Management Accessには接続元のセグメントがあるのは確認済みです。

ASDMのCLIからsh cry key mypub rsaを打ち込むと

以下しかでてこず待てば出てくるようにも見えません

The command has been sent to the device

おそらくこれは無いという意味かもしれません

別のSSHが接続できているASDMのCLIからsh cry key mypub rsaを実行してみるとふつうに応答がありました。

期日決めて実行してみます。

結果についてお知らせしますが、何か情報ございましたら追伸いただけると助かります。

[りょうまろ]

ありがとうございました。

現地に出向けなかったため、結局ASDMのCLIからコマンドをすることでSSHでのログインが可能となりました。