ASA DHCP relay preko site-to-site VPN-a: praktični vodič

Relay radi u tri dionice i samo srednja prelazi VPN. Klijent emitira broadcast na segmentu podružnice, ASA pretvara taj broadcast u unicast zahtjev upućen DHCP serveru, a server odgovara na relay adresu, a ne na klijenta. Prođite dionice tim redom i većina slučajeva «relay je pokvaren» svodi se na nedostajuću politiku ili pogrešno pročitan red setroute.

Prva dionica: uključite relay na sučelju prema klijentima

Na ASA u podružnici relay je svojstvo sučelja koje gleda prema klijentima. Server se može deklarisati globalno sa svojim dostupnim sučeljem ili ispod tog sučelja prema klijentima, kako bi routing tabela odabrala izlaz. Ta dva oblika nisu zamjenjiva, a kopiranje pogrešnog je prvo mjesto gdje vodič krene po zlu.

Provjerite trenutnu konfiguraciju prije nego što bilo šta promijenite: koje sučelje ima uključen relay, koji oblik servera je prisutan i da li je setroute vezan za sučelje prema klijentima. Ako ASA istovremeno radi i DHCP server za drugi segment, zaustavite se i pročitajte listu ograničenja; server i relay ne mogu biti uključeni na istoj kutiji.

Relay upisuje vlastitu adresu prema klijentima u polje adrese pristupnika. Na tu adresu će server odgovoriti, pa ona mora biti dostupna s udaljenog lokaliteta kroz tunel, ne samo lokalno.

Druga dionica: prenesite promet koji generira ASA kroz tunel

Ovo je korak koji ljudi preskaču. Policy-based site-to-site VPN obično se gradi za promet između podmreža, a relay zahtjev generira sama ASA. Ako tunelska access lista i crypto mapa pokrivaju samo tokove od hosta u podružnici do podmreže servera, relay paket možda nikada ne uđe u tunel. Provjerite access listu u oba smjera, ne samo red od podružnice prema serveru.

Potvrdite da zanimljivi promet pokriva ASA-in relay izvor i adresu servera, te da je i povratni smjer dozvoljen. Kod dizajna zasnovanog na VTI-ju routing odluka je jednostavnija, ali podrška za relay preko VTI-ja stigla je u određenom izdanju; vodič za DHCP na ASA navodi 9.14(1), pa provjerite image prije nego što kopirate VTI primjer na stariji uređaj.

Ping s ASA prema serveru sam po sebi malo dokazuje. Može uspjeti drugim putem, s drugom izvornom adresom ili pod politikom koju relay paketi ne zadovoljavaju.

Treća dionica: pročitajte odgovor i opciju setroute

RFC 2131 kaže da server šalje odgovor na adresu u giaddr kada to polje nije nula. Dakle povratni put mora rutirati na relay adresu, a tunelska politika mora dozvoliti smjer od servera prema relayu. Ako je zahtjev prošao, a ponuda nikada ne stigne, ovdje treba tražiti.

Zatim razdvojite dvije stvari koje zvuče slično. Ključna riječ setroute mijenja ili dodaje opciju zadanog routera koju ASA daje klijentu. Ona ne instalira rutu na ASA i ne stvara VPN politiku. Klijent koji dobije adresu ali ne može ništa dosegnuti često ima problem s setroute ili opsegom, a ne s tunelom. Testirajte to klijentom bez statičkog pristupnika i gledajte koji se zadani router pojavljuje u ponudi.

Pročitajte ponudu od početka do kraja: ponuđena adresa, maska, zadani router, DNS i vrijeme najma. Zatim pustite da se najam obnovi. Relay koji jednom radi, a padne pri obnovi, obično ima problem s opsegom, najmom ili povratnim putem koji je prva razmjena sakrila.

Šta provjeravam prije nego što kažem da je riješeno

Pođite od klijenta i uhvatite broadcast, zatim potvrdite da ga je ASA prenio sa svojom adresom kao giaddr. Na udaljenoj strani potvrdite da je server vidio taj zahtjev i odabrao opseg koji odgovara podružnici. Vratite se u podružnicu i potvrdite da je klijent prihvatio ponudu i da doseže svoj pristupnik.

Ako je bilo koja dionica tiha, provjerite odgovarajuću politiku ili rutu umjesto da dodajete još jednu relay naredbu. Relay konfiguracija je obično već ispravna kad neko eskalira; promijenila se tunelska politika ili povratna ruta.

Zapišite tri dionice u zapis o promjenama: sučelje prema klijentima, VPN politika koja pokriva relay promet i povratna ruta servera do giaddr. Upravo taj zapis čini sljedeću izgradnju podružnice ponovljivim poslom umjesto sesije otklanjanja grešaka. On također govori sljedećem inženjeru koji izlaz naredbe prvo prikupiti.