VPN klijenti na ASA uređaju dobijaju adrese iz pogrešnog DHCP pula

Čitajte dhcp-server i dhcp-network-scope na ASA kao dva različita polja, postavite scope na adresu koja je rutabilna izvan pula, pa provjerite rutu.

AnyConnect klijenti se pojavljuju na pogrešnoj podmreži, ili DHCP server odbija dati bilo šta, a grupa politika na prvi pogled izgleda ispravno. Na ASA postoje dva polja na dva mjesta koja oba zvuče kao „odakle dolaze adrese“, a postavljanje pogrešnog daje tačno ovo. Profil veze imenuje DHCP server; grupa politika imenuje podmrežu iz koje taj server treba birati. Nijedno od njih ne pravi pul.

Tri objekta, tri pitanja

Prvo odvojite model dodjele od pula, jer dva modela ne dijele konfiguraciju. Ako ASA sam dijeli adrese, definišete lokalni pul i usmjerite grupu politiku na njega. Ako ih dijeli vanjski DHCP server, profil veze imenuje taj server, a grupa politika daje nagovještaj scope-a. Miješanje dvaju je uobičajen razlog zašto se adresa nikada ne pojavi.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Pročitajte važeće vrijednosti prije nego promijenite neku

Izostavljen red nije isto što i izričito none. Trenutna konfiguracija pokazuje šta ste otkucali; show run all group-policy pokazuje na šta se politika zapravo svodi, uključujući naslijeđene zadane vrijednosti. Provjerite oboje prije nego zaključite da je scope pogrešan, jer grupa politika koja nasljeđuje od zadane politike može dati vrijednost koja se nikada ne pojavljuje u kratkom spisku.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? izlaz vrijedi pročitati na vašoj instaliranoj verziji, jer se prihvaćene vrijednosti i njihov tekst pomoći razlikuju između verzija. Cisco ASA 9.24 referenca za grupu politiku dokumentuje atribut kao rutabilnu adresu na željenoj podmreži, izvan pula za dodjelu, s prednošću adrese interfejsa. To nije raspon pula i nije broj mreže.

Postavite scope na adresu, ne na raspon

Pretpostavimo da je pul koji želite da server koristi 10.50.30.50 do 10.50.30.200 na /24, a ASA interfejs na tom segmentu je 10.50.30.1. Vrijednost scope-a je 10.50.30.1. Upisivanje 10.50.30.0 ne uspijeva jer je to broj mreže, a upisivanje raspona ne uspijeva jer atribut prima jednu adresu. Ako adresa koju odaberete nije adresa interfejsa, potrebna joj je statička ruta da bi odgovor DHCP servera mogao do nje stići.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Ovaj fragment radi samo jednu stvar. Ne konfiguriše DHCP server, ne stvara pul tamo i ne pretvara djelimični profil za daljinski pristup u radni. Dokumentovano ponašanje ovdje je samo IPv4; ne očekujte da će usmjeravati DHCPv6 ili delegaciju prefiksa.

Promijenite ga s točkom povrata

Prvo napravite snimku, da povrat bude komanda, a ne ponovna izgradnja. Sačuvajte relevantnu konfiguraciju u datoteku prije uređivanja i znajte šta no vraća na vašoj verziji: vraća atribut na zadanu ili naslijeđenu vrijednost, koja može biti none, a ne politika iznad njega.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Uklanjanje atributa je i dijagnostički korak. Bez definisanog scope-a DHCP server traži u sopstvenim pulovima nedodijeljenu adresu, pa klijent može završiti na neočekivanom mjestu, ali se barem povezuje. Taj rezultat govori da put zahtjeva radi i da izbor pula jeste ono što ne uspijeva.

Provjerite adresu, rutu i dozvole

Čitajte dodjelu iz tabele sesija, a ne iz klijentskog dijaloga, pa potvrdite da je adresa rutabilna natrag prema tunelu i da filteri grupe politike dozvoljavaju saobraćaj koji očekujete. Odluka o dodjeli nije odluka o rutiranju, a klijent koji dobije adresu iz ispravnog pula i dalje može propasti na svakom zahtjevu.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Ako sesija pokazuje adresu koju ste namjeravali, ali saobraćaj umire, scope je završen kao osumnjičeni. Pogledajte povratnu rutu, postavke split-tunnel ili filtera na grupi politike i to da li DHCP scope sjedi na segmentu prema kojem ASA zaista rutira.

Povezani članci