Кліенты VPN на ASA атрымліваюць адрасы з няправільнага пула DHCP

Чытайце dhcp-server і dhcp-network-scope на ASA як два розныя палі, задайце scope як маршрутызуемы адрас па-за пулам, затым праверце маршрут.

Кліенты AnyConnect з’яўляюцца ў няправільнай падсетцы, або DHCP-сервер адмаўляецца выдаваць што-небудзь наогул, а палітыка групы на першы погляд выглядае правільнай. На ASA ёсць два палі ў двух месцах, якія абодва гучаць як «адкуль бяруцца адрасы», і ўсталяванне няправільнага дае менавіта гэта. Профіль злучэння называе DHCP-сервер; палітыка групы называе падсетку, з якой гэты сервер павінен выбіраць. Ні адзін з іх не стварае пул.

Тры аб’екты, тры пытанні

Спачатку аддзяліце мадэль размеркавання ад пула, бо дзве мадэлі не падзяляюць канфігурацыю. Калі ASA выдае адрасы сам, вы вызначаеце лакальны пул і накіроўваеце на яго палітыку групы. Калі адрасы выдае знешні DHCP-сервер, профіль злучэння называе гэты сервер, а палітыка групы дае падказку scope. Змешванне двух — звычайная прычына таго, што адрас так і не з’яўляецца.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Прачытайце дзейныя значэнні, перш чым змяняць адно з іх

Прапушчаны радок — гэта не тое самае, што яўнае none. Бягучая канфігурацыя паказвае, што вы ўвялі; show run all group-policy паказвае, да чаго палітыка фактычна зводзіцца, уключаючы ўспадкаваныя значэнні па змаўчанні. Праверце абодва, перш чым вырашыць, што scope няправільны, бо палітыка групы, якая ўспадкоўвае ад палітыкі па змаўчанні, можа даць значэнне, якое ніколі не з’яўляецца ў кароткім спісе.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? варта прачытаць на вашай усталяванай версіі, бо дапушчальныя значэнні і іх даведачны тэкст адрозніваюцца паміж версіямі. Даведнік Cisco ASA 9.24 па палітыцы групы апісвае атрыбут як маршрутызуемы адрас у патрэбнай падсетцы, па-за пулам размеркавання, з перавагай адраса інтэрфейса. Гэта не дыяпазон пула і не нумар сеткі.

Задайце scope як адрас, а не дыяпазон

Дапусцім, пул, які вы хочаце, каб сервер выкарыстоўваў, — гэта 10.50.30.50 па 10.50.30.200 на /24, а інтэрфейс ASA у гэтым сегменце — 10.50.30.1. Значэнне scope — 10.50.30.1. Запіс 10.50.30.0 не працуе, бо гэта нумар сеткі, а запіс дыяпазону не працуе, бо атрыбут прымае адзін адрас. Калі выбраны адрас не з’яўляецца адрасам інтэрфейса, яму патрэбны статычны маршрут, каб адказ DHCP-сервера мог да яго дайсці.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Гэты фрагмент робіць толькі адно. Ён не канфігуруе DHCP-сервер, не стварае там пул і не ператварае частковы профіль аддаленага доступу ў працоўны. Апісаныя тут паводзіны — толькі IPv4; не чакайце, што ён будзе кіраваць DHCPv6 або дэлегацыяй прэфіксаў.

Змяніце яго з кропкай адкату

Спачатку зрабіце здымак, каб адкат быў камандай, а не перабудовай. Захавайце адпаведную канфігурацыю ў файл перад рэдагаваннем і ведайце, што no аднаўляе ў вашай версіі: ён вяртае атрыбут да значэння па змаўчанні або ўспадкаванага, якое можа быць none, а не палітыка над ім.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Выдаленне атрыбута — таксама дыягнастычны крок. Калі scope не вызначаны, DHCP-сервер шукае ў сваіх пулах непрызначаны адрас, таму кліент можа апынуцца ў нечаканым месцы, але прынамсі злучыцца. Гэты вынік кажа, што шлях запыту працуе, а збой — у выбары пула.

Праверце адрас, маршрут і дазволы

Чытайце прызначэнне з табліцы сеансаў, а не з дыялогу кліента, затым пацвердзіце, што адрас маршрутызуецца назад да тунеля і што фільтры палітыкі групы дазваляюць трафік, які вы чакаеце. Рашэнне аб размеркаванні — не рашэнне аб маршрутызацыі, і кліент, які атрымаў адрас з правільнага пула, можа ўсё роўна правальваць кожны запыт.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Калі сеанс паказвае адрас, які вы мелі на ўвазе, але трафік памірае, scope як падазроны скончаны. Паглядзіце на зваротны маршрут, на налады split-tunnel або фільтраў у палітыцы групы і на тое, ці знаходзіцца scope DHCP у сегменце, куды ASA сапраўды маршрутызуе.

Падобныя артыкулы