ASA VPN müştəriləri səhv DHCP hovuzundan ünvan alır

ASA-nın dhcp-server və dhcp-network-scope sahələrini iki ayrı sahə kimi oxuyun, skopu hovuzdan kənar marşrutlaşdırıla bilən ünvana qoyun və sonra marşrutu yoxlayın.

AnyConnect müştəriləri səhv alt şəbəkədə görünür və ya DHCP serveri ümumiyyətlə heç nə verməkdən imtina edir, halbuki qrup siyasəti ilk baxışdan düzgün görünür. ASA-da iki yerdə iki sahə var ki, hər ikisi «ünvanlar haradan gəlir» sualına cavab verirmiş kimi səslənir və səhv olanı qurmaq məhz bu nəticəni verir. Bağlantı profili DHCP serverini adlandırır; qrup siyasəti isə həmin serverin seçəcəyi alt şəbəkəni adlandırır. Heç biri hovuz yaratmır.

Üç obyekt, üç sual

Əvvəlcə təyinat modelini hovuzdan ayırın, çünki iki model konfiqurasiyanı paylaşmır. Əgər ASA ünvanları özü paylayırsa, siz lokal hovuz təyin edib qrup siyasətini ona yönəldirsiniz. Əgər xarici DHCP serveri paylayırsa, bağlantı profili həmin serveri adlandırır və qrup siyasəti skop göstərişi verir. İkisini qarışdırmaq ünvanın heç vaxt görünməməsinin adi səbəbidir.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Hər hansı dəyəri dəyişməzdən əvvəl qüvvədə olanları oxuyun

Buraxılmış sətir açıq none ilə eyni deyil. Cari konfiqurasiya yazdığınızı göstərir; show run all group-policy isə siyasətin faktiki olaraq nəyə çevrildiyini, o cümlədən miras alınan defoltları göstərir. Skopun səhv olduğuna qərar verməzdən əvvəl hər ikisini yoxlayın, çünki defolt siyasətdən miras alan qrup siyasəti qısa siyahıda heç vaxt görünməyən dəyər verə bilər.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? çıxışını quraşdırılmış buraxılışınızda oxumağa dəyər, çünki qəbul edilən dəyərlər və onların kömək mətni versiyalar arasında fərqlənir. Cisco ASA 9.24 qrup siyasəti sənədi atributu istənilən alt şəbəkədə, təyinat hovuzundan kənarda, interfeys ünvanına üstünlük verilən marşrutlaşdırıla bilən ünvan kimi sənədləşdirir. Bu, hovuz aralığı deyil və şəbəkə nömrəsi də deyil.

Skopu aralığa deyil, ünvana qoyun

Tutaq ki, serverin istifadə etməsini istədiyiniz hovuz /24 üzərində 10.50.30.50-dən 10.50.30.200-ə qədərdir və həmin seqmentdəki ASA interfeysi 10.50.30.1-dir. Skop dəyəri 10.50.30.1-dir. 10.50.30.0 yazmaq uğursuz olur, çünki bu şəbəkə nömrəsidir, aralığı yazmaq da uğursuz olur, çünki atribut bir ünvan qəbul edir. Seçdiyiniz ünvan interfeys ünvanı deyilsə, DHCP serverinin cavabının ona çatması üçün statik marşrut lazımdır.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Bu fraqment yalnız bir şey edir. DHCP serverini konfiqurasiya etmir, orada hovuz yaratmır və qismən uzaq giriş profilini işlək hala gətirmir. Burada sənədləşdirilmiş davranış yalnız IPv4-dür; onun DHCPv6 və ya prefiks delegasiyasını idarə etməsini gözləməyin.

Onu geri qaytarma nöqtəsi ilə dəyişin

Əvvəlcə snapshot götürün ki, geri qaytarma yenidənqurma deyil, bir əmr olsun. Redaktədən əvvəl müvafiq konfiqurasiyanı fayla yazın və no əmrının buraxılışınızda nəyi bərpa etdiyini bilin: atributu defolt və ya miras alınan dəyərinə qaytarır, bu da onun üstündəki siyasət deyil, none ola bilər.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Atributu silmək həm də diaqnostik addımdır. Skop təyin edilmədikdə DHCP serveri öz hovuzlarında təyin edilməmiş ünvan axtarır, buna görə müştəri gözlənilməz yerə düşə bilər, lakin heç olmasa qoşulur. Bu nəticə sorğu yolunun işlədiyini və uğursuz olanın hovuz seçimi olduğunu bildirir.

Ünvanı, marşrutu və icazələri yoxlayın

Təyinatı müştərinin dialoqundan deyil, sessiya cədvəlindən oxuyun, sonra ünvanın tunelə geri marşrutlaşdırıla bildiyini və qrup siyasətinin filtrlərinin gözlədiyiniz trafikə icazə verdiyini təsdiqləyin. Təyinat qərarı marşrutlaşdırma qərarı deyil və düzgün hovuzdan ünvan alan müştəri belə hər sorğuda uğursuz ola bilər.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Sessiya nəzərdə tutduğunuz ünvanı göstərir, amma trafik kəsilirsə, skop şübhəli olaraq bitmişdir. Geri marşruta, qrup siyasətindəki split-tunnel və ya filtr ayarlarına və DHCP skopunun ASA-nın həqiqətən marşrutlaşdırdığı seqmentdə olub-olmadığına baxın.

Əlaqəli məqalələr