Els clients VPN de l’ASA obtenen adreces del pool DHCP equivocat

Els clients AnyConnect apareixen a la subxarxa equivocada, o el servidor DHCP es nega a lliurar res de res, i la política de grup sembla correcta a primera vista. A l’ASA hi ha dos camps en dos llocs que tots dos sonen com «d’on vénen les adreces», i posar el que no toca produeix exactament això. El perfil de connexió anomena el servidor DHCP; la política de grup anomena una subxarxa d’on aquell servidor ha de triar. Cap dels dos no crea un pool.

Tres objectes, tres preguntes

Separa primer el model d’assignació del pool, perquè els dos models no comparteixen configuració. Si l’ASA reparteix les adreces ell mateix, defineixes un pool local i hi apuntes la política de grup. Si les reparteix un servidor DHCP extern, el perfil de connexió anomena aquell servidor i la política de grup aporta un indici d’scope. Barrejar els dos és la raó habitual perquè una adreça no aparegui mai.

Llegeix els valors efectius abans de canviar-ne un

Una línia omesa no és el mateix que un none explícit. La configuració en curs mostra què has escrit; show run all group-policy mostra a què es resol realment la política, incloent-hi els valors per defecte heretats. Comprova tots dos abans de decidir que l’scope és incorrecte, perquè una política de grup que hereta d’una política per defecte pot aportar un valor que no apareix mai al llistat curt.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? val la pena llegir-lo a la versió que tens instal·lada, perquè els valors acceptats i el seu text d’ajuda difereixen entre versions. La referència de Cisco ASA 9.24 per a la política de grup documenta l’atribut com una adreça encaminable a la subxarxa desitjada, fora del pool d’assignació, amb preferència per una adreça d’interfície. No és el rang del pool i no és el número de xarxa.

Posa l’scope en una adreça, no en un rang

Suposa que el pool que vols que faci servir el servidor és 10.50.30.50 fins a 10.50.30.200 en una /24, i que la interfície de l’ASA en aquest segment és 10.50.30.1. El valor de l’scope és 10.50.30.1. Escriure 10.50.30.0 falla perquè és el número de xarxa, i escriure el rang falla perquè l’atribut pren una sola adreça. Si l’adreça que tries no és una adreça d’interfície, necessita una ruta estàtica perquè la resposta del servidor DHCP hi pugui arribar.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Aquest fragment fa només una cosa. No configura el servidor DHCP, no hi crea cap pool ni converteix un perfil d’accés remot parcial en un de funcional. El comportament documentat aquí és només IPv4; no esperis que dirigeixi DHCPv6 o delegació de prefixos.

Canvia-ho amb un punt de reversió

Fes primer una instantània, perquè la reversió sigui una ordre i no una reconstrucció. Desa la configuració rellevant en un fitxer abans d’editar i sàpigues què no restaura a la teva versió: retorna l’atribut al seu valor per defecte o heretat, que pot ser none i no la política que té a sobre.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Treure l’atribut també és un pas de diagnòstic. Sense cap scope definit, el servidor DHCP busca als seus propis pools una adreça no assignada, així que el client pot aterrar en un lloc inesperat però almenys es connecta. Aquest resultat et diu que el camí de la petició funciona i que el que falla és la selecció del pool.

Verifica l’adreça, la ruta i els permisos

Llegeix l’assignació de la taula de sessions i no del diàleg del client, i després confirma que l’adreça és encaminable de tornada al túnel i que els filtres de la política de grup permeten el trànsit que esperes. Una decisió d’assignació no és una decisió d’encaminament, i un client que rep una adreça del pool correcte encara pot fallar totes les peticions.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Si la sessió mostra l’adreça que volies però el trànsit mor, l’scope queda descartat com a sospitós. Mira la ruta de tornada, els paràmetres de split-tunnel o els filtres de la política de grup, i si l’scope DHCP és en un segment pel qual l’ASA encamina realment.