VPN klienti na ASA dostávají adresy ze špatného fondu DHCP

Čtěte dhcp-server a dhcp-network-scope na ASA jako dvě různá pole, nastavte scope na směrovatelnou adresu mimo fond a poté ověřte trasu.

Klienti AnyConnect se objevují ve špatné podsíti, nebo server DHCP odmítá vydat vůbec cokoli, a zásada skupiny přitom na první pohled vypadá správně. Na ASA jsou dvě pole na dvou místech, která obě znějí jako „odkud adresy pocházejí“, a nastavení toho špatného dává přesně tohle. Profil připojení pojmenovává server DHCP; zásada skupiny pojmenovává podsíť, ze které má tento server vybírat. Ani jedno z nich fond nevytváří.

Tři objekty, tři otázky

Nejprve oddělte model přidělování od fondu, protože oba modely nesdílejí konfiguraci. Pokud ASA rozděluje adresy sám, definujete místní fond a nasměrujete na něj zásadu skupiny. Pokud je rozděluje externí server DHCP, profil připojení pojmenovává tento server a zásada skupiny dodává nápovědu scope. Míchání obojího je obvyklý důvod, proč se adresa nikdy neobjeví.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Přečtěte si platné hodnoty, než některou změníte

Vynechaný řádek není totéž jako výslovné none. Běžící konfigurace ukazuje, co jste napsali; show run all group-policy ukazuje, k čemu se zásada skutečně rozkládá, včetně zděděných výchozích hodnot. Zkontrolujte obojí, než rozhodnete, že scope je špatný, protože zásada skupiny dědící z výchozí zásady může dodat hodnotu, která se v krátkém výpisu nikdy neobjeví.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? výstup stojí za přečtení na vaší nainstalované verzi, protože přijímané hodnoty a jejich nápověda se mezi verzemi liší. Referenční příručka Cisco ASA 9.24 pro zásadu skupiny popisuje atribut jako směrovatelnou adresu v požadované podsíti, mimo fond přidělování, s upřednostněním adresy rozhraní. Není to rozsah fondu a není to číslo sítě.

Nastavte scope na adresu, ne na rozsah

Předpokládejme, že fond, který má server používat, je 10.50.30.50 až 10.50.30.200 v /24 a rozhraní ASA v tomto segmentu je 10.50.30.1. Hodnota scope je 10.50.30.1. Zapsání 10.50.30.0 selže, protože je to číslo sítě, a zapsání rozsahu selže, protože atribut přijímá jednu adresu. Pokud zvolená adresa není adresou rozhraní, potřebuje statickou trasu, aby na ni odpověď serveru DHCP dosáhla.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Tento fragment dělá jen jednu věc. Nekonfiguruje server DHCP, nevytváří tam fond ani nepřevádí částečný profil vzdáleného přístupu na funkční. Dokumentované chování je zde pouze IPv4; nečekejte, že bude řídit DHCPv6 nebo delegování prefixů.

Změňte to s bodem návratu

Nejprve pořiďte snímek, aby návrat byl příkazem, a ne rekonstrukcí. Uložte příslušnou konfiguraci do souboru, než začnete editovat, a vězte, co no na vaší verzi obnovuje: vrací atribut na výchozí nebo zděděnou hodnotu, což může být none, a ne zásada nad ním.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Odebrání atributu je také diagnostický krok. Bez definovaného scope hledá server DHCP ve svých fondech nepřidělenou adresu, takže klient může skončit na nečekaném místě, ale alespoň se připojí. Tento výsledek říká, že cesta požadavku funguje a že selhává výběr fondu.

Ověřte adresu, trasu a oprávnění

Čtěte přidělení z tabulky relací, ne z dialogu klienta, poté potvrďte, že adresa je směrovatelná zpět do tunelu a že filtry zásady skupiny povolují provoz, který očekáváte. Rozhodnutí o přidělení není rozhodnutím o směrování a klient, který dostane adresu ze správného fondu, může přesto selhat u každého požadavku.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Pokud relace ukazuje zamýšlenou adresu, ale provoz umírá, scope jako podezřelý skončil. Podívejte se na zpětnou trasu, na nastavení split-tunnel nebo filtrů v zásadě skupiny a na to, zda scope DHCP leží v segmentu, do kterého ASA skutečně směruje.

Související články