Cisco ASA шлёт TCP-FIN при установлении ssh-cоединения.

[All-in-One]

Здравствуйте!

 

Подскажите, пожалуйста, в чём может быть причина ?  При установлении соединения через secureCRT - ошибка "connection closed".

В обмене видно следующее: после получения от клиента сообщения "Key Exchange Init"  Аса закрывает соединение. 

 

Заранее спасибо! 

 

 

[jffulcrum]

Так а ключи шифрования SSH на коробке вообще создали, i.e. crypto key generate rsa general-keys modulus 2048

 

[Ivan_83]

Крипты совместимой может не быть, это тоже возможная причина почему оно может не хотеть.

[BOJIKA]

проверьте лицензии...

sh ver

[All-in-One]

 

Крипты совместимой может не быть, это тоже возможная причина почему оно может не хотеть.  

 

- то есть нужно попробовать на другом клиенте ?  Добавлю, что в логах ФВ- "internal error". 

 

Ключи созданы. 

 

FW1# sho run ssh
ssh stricthostkeycheck
ssh timeout 15
ssh version 2
ssh key-exchange group dh-group14-sha1
ssh NET1 255.255.255.0 management
ssh NET1 255.255.255.0 inside

FW1# sho crypto key mypubkey rsa 
 Key name: <Default-RSA-Key>
 Usage: General Purpose Key
 Modulus Size (bits): 4096
 Storage: config
 Key Data:
..
 Key name: NEW
 Usage: General Purpose Key
 Modulus Size (bits): 2048
 Storage: config
 Key Data:
..

 

 

А в show ver на что обратить внимание ? На разрешённые схемы шифрования ?

 

 

[jffulcrum]

debug ssh на Cisco и пробуйте соединиться.

 

5 часов назад, All-in-One сказал:

ssh key-exchange group dh-group14-sha1

Старые клиенты с этим несовместимы.

 

 

5 часов назад, All-in-One сказал:

 Key name: <Default-RSA-Key>
 Usage: General Purpose Key
 Modulus Size (bits): 4096
 Storage: config
 Key Data:
..
 Key name: NEW
 Usage: General Purpose Key
 Modulus Size (bits): 2048
 Storage: config
 Key Data:

 

Удалите их все (zeroize) и сгенерите заново. Это приходилось делать после некоторых обновлений софта.

[Ivan_83]

On 12/4/2023 at 9:37 AM, All-in-One said:

- то есть нужно попробовать на другом клиенте ?

Что же вы всякими ущербными клиентами то пользуетесь!?

ssh -vvvvv USER@HOST

и читаем портянку.

Возможно потом правим конфиг в ~.ssh/config чтобы включить недостающее.

А если проблема в другом - из портянки тоже будет примерно понятно.

[All-in-One]

Спасибо!