【Cisco】Firepower(ASA) での Telnet/SSH 管理アクセス設定と注意点

動作確認環境

■認証用ローカルユーザの設定(ローカルユーザ認証にする場合)

Telnet 接続時の認証で使用するローカルユーザの設定です。

ciscoasa(config)# username hogeuser password hogepassword

■接続許可クライアント IP の設定

Telnet 接続を許可する接続元クライアント IP の設定です。

telnet <source_IP_address> <mask> <source_interface>
- source_interface には Telnet アクセスを着信するインターフェースの nameif の名前を指定

ciscoasa(config)# telnet 10.1.1.0 255.255.255.0 inside

■認証方法としてローカルユーザを使用するための設定(ローカルユーザ認証にする場合)

Telnet 接続をする際の認証方法としてローカルユーザを使用するための設定です。

ciscoasa(config)# aaa authentication telnet console LOCAL

この設定をしていない場合、ローカルユーザで認証しようとしても認証に失敗します。

■Telent 用ログインパスワードの設定(パスワード認証にする場合)

Telent 接続時の認証をパスワードのみにする場合は以下の設定を行います。

ciscoasa(config)# passwd telnetpass

aaa authentication telnet console LOCAL と passwd の両方を設定した場合、ローカルユーザ認証が優先されます。

Telnet 接続をするために ACL で Telnet 通信を許可するルールの設定は必要ありません。

security-level が 0 のインターフェース宛の Telnet 接続はできません。

※ただし、VPN トンネル内で Telnet を使用する場合を除きます

■SSH に必要な RSA キーペアの生成

crypto key generate rsa modulus <size>
- size ：鍵サイズ。512、768、1024、2048、3072、または 4096。2048 以上が推奨

ciscoasa(config)# crypto key generate rsa modulus 2048

■認証用ローカルユーザの設定

SSH 接続時の認証で使用するローカルユーザの設定です。

ciscoasa(config)# username hogeuser password hogepassword

■接続許可クライアント IP の設定

SSH 接続を許可する接続元クライアント IP の設定です。

ssh <source_IP_address> <mask> <source_interface>
- source_interface には SSH アクセスを着信するインターフェースの nameif の名前を指定

ciscoasa(config)# ssh 10.1.1.0 255.255.255.0 inside

■認証方法としてローカルユーザを使用するための設定

SSH 接続をする際の認証方法としてローカルユーザを使用するための設定です。

ciscoasa(config)# aaa authentication ssh console LOCAL

この設定をしていない場合、ローカルユーザで認証しようとしても認証に失敗します。

SSH 接続をするために ACL で SSH 通信を許可するルールの設定は必要ありません。

クライアントから SSH 接続時に「unknown host KEY type」と表示されて接続できない場合があります。

Firepower(ASA) にて SSH に必要な RSA キーペアが生成されていない場合にこのエラーになります。キーペアを生成していない場合は crypto key generate rsa modulus size コマンドでキーペアを生成します。