عملاء VPN على ASA يسحبون عناوين من تجمع DHCP الخطأ
اقرأ dhcp-server وdhcp-network-scope في ASA كحقلين مختلفين، واضبط النطاق على عنوان قابل للتوجيه خارج التجمع، ثم تحقّق من المسار.
عملاء AnyConnect يظهرون على الشبكة الفرعية الخطأ، أو يرفض خادم DHCP منح أي عنوان على الإطلاق، بينما تبدو سياسة المجموعة صحيحة للوهلة الأولى. في ASA هناك حقلان في موضعين مختلفين يبدو كلاهما كأنه يجيب عن «من أين تأتي العناوين»، وضبط الحقل الخطأ ينتج هذه النتيجة بالضبط. ملف الاتصال يسمّي خادم DHCP؛ وسياسة المجموعة تسمّي شبكة فرعية يختار منها ذلك الخادم. لا أحدهما ينشئ تجمعًا.
ثلاثة كائنات، ثلاثة أسئلة
افصل نموذج التخصيص عن التجمع أولًا، لأن النموذجين لا يتشاركان الإعداد. إذا كان ASA يوزّع العناوين بنفسه، فأنت تعرّف تجمعًا محليًا وتوجّه سياسة المجموعة إليه. وإذا كان خادم DHCP خارجي يوزّعها، فملف الاتصال يسمّي ذلك الخادم وسياسة المجموعة تقدّم تلميحًا للنطاق. خلط النموذجين هو السبب المعتاد في أن العنوان لا يظهر أبدًا.
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
اقرأ القيم السارية قبل تغيير أي منها
السطر المحذوف ليس مثل none. يعرض الإعداد الجاري ما كتبته؛ أما show run all group-policy فيعرض ما تستقر إليه السياسة فعليًا، بما في ذلك القيم الموروثة الافتراضية. افحص الاثنين قبل أن تقرر أن النطاق خطأ، لأن سياسة مجموعة ترث من سياسة افتراضية قد تقدّم قيمة لا تظهر أبدًا في القائمة المختصرة.
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?مخرجات ? تستحق القراءة على الإصدار المثبّت لديك، لأن القيم المقبولة ونص المساعدة يختلفان بين الإصدارات. يوثّق مرجع Cisco ASA 9.24 لسياسة المجموعة السمة كعنوان قابل للتوجيه على الشبكة الفرعية المطلوبة، خارج تجمع التخصيص، مع تفضيل عنوان واجهة. وهو ليس نطاق التجمع، وليس رقم الشبكة.
اضبط النطاق على عنوان، لا على مدى
لنفترض أن التجمع الذي تريد أن يستخدمه الخادم هو 10.50.30.50 حتى 10.50.30.200 على /24، وأن واجهة ASA على ذلك المقطع هي 10.50.30.1. قيمة النطاق هي 10.50.30.1. كتابة 10.50.30.0 تفشل لأنه رقم الشبكة، وكتابة المدى تفشل لأن السمة تأخذ عنوانًا واحدًا. وإذا لم يكن العنوان الذي اخترته عنوان واجهة، فإنه يحتاج إلى مسار ثابت كي يصل رد خادم DHCP إليه.
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1هذا المقطع يفعل شيئًا واحدًا فقط. لا يكوّن خادم DHCP، ولا ينشئ تجمعًا هناك، ولا يحوّل ملف وصول بعيد جزئيًا إلى ملف عامل. السلوك الموثّق هنا هو IPv4 فقط؛ لا تتوقع أن يوجّه DHCPv6 أو تفويض البادئات.
غيّره مع نقطة تراجع
خُذ لقطة أولًا، حتى يكون التراجع أمرًا لا إعادة بناء. احفظ الإعداد المعني في ملف قبل التحرير، واعرف ما الذي يعيده no على إصدارك: فهو يعيد السمة إلى قيمتها الافتراضية أو الموروثة، وقد تكون none بدلًا من السياسة التي فوقها.
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryإزالة السمة خطوة تشخيصية أيضًا. فمع عدم تعريف نطاق، يبحث خادم DHCP في تجمعه الخاص عن عنوان غير مخصّص، وقد يقع العميل في مكان غير متوقع لكنه يتصل على الأقل. وتخبرك هذه النتيجة أن مسار الطلب يعمل وأن اختيار التجمع هو ما يفشل.
تحقّق من العنوان والمسار والأذونات
اقرأ التخصيص من جدول الجلسات لا من نافذة العميل، ثم تأكد من أن العنوان قابل للتوجيه عودةً إلى النفق وأن مرشّحات سياسة المجموعة تسمح بالحركة التي تتوقعها. قرار التخصيص ليس قرار توجيه، والعميل الذي يتلقى عنوانًا من التجمع الصحيح قد يفشل في كل طلب رغم ذلك.
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideإذا أظهرت الجلسة العنوان الذي أردته لكن الحركة تنقطع، فقد انتهى النطاق كمشتبه به. انظر إلى مسار العودة، وإلى إعدادات النفق المنقسم أو المرشّحات على سياسة المجموعة، وإلى ما إذا كان نطاق DHCP يقع على مقطع يوجّه ASA إليه فعليًا.