Mae cleientiaid VPN yr ASA yn cael cyfeiriadau o’r pwll DHCP anghywir

Darllenwch dhcp-server a dhcp-network-scope yr ASA fel dau faes gwahanol, gosodwch yr scope i gyfeiriad llwyadwy y tu allan i’r pwll, yna gwiriwch y llwybr.

Mae cleientiaid AnyConnect yn dod i fyny ar yr is-rwydwaith anghywir, neu mae’r gweinydd DHCP yn gwrthod rhoi unrhyw beth o gwbl, a’r polisi grŵp yn edrych yn gywir ar yr olwg gyntaf. Ar ASA mae dau faes mewn dau le sydd ill dau yn swnio fel «o ble mae cyfeiriadau’n dod», ac mae gosod yr un anghywir yn cynhyrchu’n union hyn. Mae’r proffil cysylltiad yn enwi’r gweinydd DHCP; mae’r polisi grŵp yn enwi is-rwydwaith i’r gweinydd hwnnw ddewis ohoni. Nid yw’r naill na’r llall yn creu pwll.

Tri gwrthrych, tair cwestiwn

Gwahanwch y model dyrannu oddi wrth y pwll yn gyntaf, oherwydd nid yw’r dau fodel yn rhannu cyfluniad. Os yr ASA ei hun sy’n dosbarthu cyfeiriadau, byddwch yn diffinio pwll lleol ac yn pwyntio’r polisi grŵp ato. Os gweinydd DHCP allanol sy’n eu dosbarthu, mae’r proffil cysylltiad yn enwi’r gweinydd hwnnw ac mae’r polisi grŵp yn rhoi awgrym scope. Cymysgu’r ddau yw’r rheswm arferol pam nad yw cyfeiriad byth yn ymddangos.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Darllenwch y gwerthoedd effeithiol cyn newid un

Nid yw llinell a hepgorwyd yr un peth â none penodol. Mae’r cyfluniad rhedeg yn dangos yr hyn a deipioch; show run all group-policy yn dangos yr hyn y mae’r polisi’n datrys iddo mewn gwirionedd, gan gynnwys y rhagosodiadau a etifeddwyd. Gwiriwch y ddau cyn penderfynu bod yr scope yn anghywir, oherwydd gall polisi grŵp sy’n etifeddu o bolisi rhagosodedig ddarparu gwerth nad yw byth yn ymddangos yn y rhestr fer.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? yn werth ei ddarllen ar eich rhyddhau gosodedig, gan fod gwerthoedd a dderbynnir a’u testun cymorth yn wahanol rhwng fersiynau. Mae cyfeirnod Cisco ASA 9.24 ar gyfer y polisi grŵp yn dogfennu’r priodoledd fel cyfeiriad llwyadwy ar yr is-rwydwaith a ddymunir, y tu allan i’r pwll dyrannu, gyda chyfeiriad rhyngwyneb yn cael ei ffafrio. Nid dyma ystod y pwll, ac nid dyma rif y rhwydwaith.

Gosodwch yr scope i gyfeiriad, nid i ystod

Tybiwch mai’r pwll rydych am i’r gweinydd ei ddefnyddio yw 10.50.30.50 hyd at 10.50.30.200 ar /24, a bod rhyngwyneb yr ASA ar y segment hwnnw yn 10.50.30.1. Gwerth yr scope yw 10.50.30.1. Mae ysgrifennu 10.50.30.0 yn methu oherwydd mai dyma rif y rhwydwaith, ac mae ysgrifennu’r ystod yn methu oherwydd bod y priodoledd yn cymryd un cyfeiriad. Os nad yw’r cyfeiriad a ddewch yn gyfeiriad rhyngwyneb, mae angen llwybr statig arno fel y gall ateb y gweinydd DHCP gyrraedd.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Dim ond un peth y mae’r darn hwn yn ei wneud. Nid yw’n ffurfweddu’r gweinydd DHCP, nid yw’n creu pwll yno, ac nid yw’n troi proffil mynediad o bell rhannol yn un gweithredol. Yr ymddygiad a ddogfennir yma yw IPv4 yn unig; peidiwch â disgwyl iddo lywio DHCPv6 na dirprwyaeth rhagddodiad.

Newidiwch ef gyda phwynt adfer

Cymerwch snapshot yn gyntaf, fel bod yr adferiad yn orchymyn yn hytrach nag ailadeiladu. Cadwch y cyfluniad perthnasol mewn ffeil cyn golygu, a gwybod beth mae no yn ei adfer ar eich rhyddhau: mae’n dychwelyd y priodoledd i’w werth rhagosodedig neu etifeddol, a allai fod none, yn hytrach na’r polisi uwch ei ben.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Mae tynnu’r priodoledd hefyd yn gam diagnostig. Heb scope wedi’i ddiffinio, mae’r gweinydd DHCP yn chwilio ei byllau ei hun am gyfeiriad heb ei ddyrannu, felly gall y cleient lanio yn rhywle annisgwyl ond o leiaf mae’n cysylltu. Mae’r canlyniad hwnnw’n dweud bod llwybr y cais yn gweithio mai dewis y pwll sy’n methu.

Gwiriwch y cyfeiriad, y llwybr a’r caniatadau

Darllenwch y dyraniad o’r tabl sesiynau yn hytrach nag o ddeialog y cleient, yna cadarnhewch fod y cyfeiriad yn llwyadwy yn ôl i’r twnnel a bod hidlwyr y polisi grŵp yn caniatáu’r traffig rydych yn ei ddisgwyl. Nid yw penderfyniad dyrannu yn benderfyniad llwybro, a gall cleient sy’n cael cyfeiriad o’r pwll iawn fethu pob cais o hyd.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Os yw’r sesiwn yn dangos y cyfeiriad a fwriadwyd gennych ond mae’r traffig yn marw, mae’r scope wedi gorffen fel un dan amheuaeth. Edrychwch ar y llwybr dychwelyd, ar osodiadau split-tunnel neu hidlwyr y polisi grŵp, ac ar a yw’r scope DHCP yn eistedd ar segment y mae’r ASA’n llwybro iddo mewn gwirionedd.

Erthyglau cysylltiedig