Αναμετάδοση DHCP στο ASA μέσω VPN σημείου-σε-σημείο: αναλυτικός οδηγός

Η αναμετάδοση λειτουργεί σε τρία σκέλη και μόνο το μεσαίο διασχίζει το VPN. Ένας πελάτης εκπέμπει broadcast στο τμήμα του υποκαταστήματος, το ASA μετατρέπει αυτό το broadcast σε αίτημα unicast προς τον διακομιστή DHCP και ο διακομιστής απαντά στη διεύθυνση αναμετάδοσης αντί στον πελάτη. Ακολουθήστε τα σκέλη με αυτή τη σειρά και οι περισσότερες περιπτώσεις «η αναμετάδοση είναι χαλασμένη» καταλήγουν σε μια πολιτική που λείπει ή σε μια γραμμή setroute που διαβάστηκε λάθος.

Σκέλος πρώτο: ενεργοποιήστε την αναμετάδοση στη διεπαφή προς τον πελάτη

Στο ASA του υποκαταστήματος η αναμετάδοση είναι ιδιότητα της διεπαφής που κοιτά προς τους πελάτες. Ο διακομιστής μπορεί να δηλωθεί καθολικά με τη διεπαφή από την οποία είναι προσβάσιμος ή κάτω από αυτή τη διεπαφή προς τον πελάτη, ώστε ο πίνακας δρομολόγησης να επιλέξει την έξοδο. Αυτές οι δύο μορφές δεν είναι εναλλάξιμες και η αντιγραφή της λάθος είναι το πρώτο σημείο όπου ένας οδηγός ξεφεύγει.

Ελέγξτε την τρέχουσα διαμόρφωση πριν αλλάξετε οτιδήποτε: ποια διεπαφή έχει ενεργή την αναμετάδοση, ποια μορφή διακομιστή υπάρχει και αν το setroute είναι συνδεδεμένο με τη διεπαφή του πελάτη. Αν το ASA εκτελεί και διακομιστή DHCP για άλλο τμήμα, σταματήστε και διαβάστε τη λίστα περιορισμών· διακομιστής και αναμετάδοση δεν μπορούν να είναι ενεργά ταυτόχρονα στο ίδιο μηχάνημα.

Η αναμετάδοση βάζει τη δική της διεύθυνση προς τον πελάτη στο πεδίο διεύθυνσης πύλης. Σε αυτή τη διεύθυνση θα απαντήσει ο διακομιστής, άρα πρέπει να είναι προσβάσιμη από την απομακρυσμένη τοποθεσία μέσω της σήραγγας, όχι μόνο τοπικά.

Σκέλος δεύτερο: μεταφέρετε την κίνηση που παράγει το ASA μέσω της σήραγγας

Αυτό είναι το βήμα που οι άνθρωποι παραλείπουν. Ένα VPN σημείου-σε-σημείο βασισμένο σε πολιτικές συνήθως χτίζεται για κίνηση μεταξύ υποδικτύων και το αίτημα αναμετάδοσης το παράγει το ίδιο το ASA. Αν η λίστα πρόσβασης της σήραγγας και ο χάρτης κρυπτογράφησης ταιριάζουν μόνο με ροές από κεντρικό υπολογιστή του υποκαταστήματος προς το υποδίκτυο του διακομιστή, το πακέτο αναμετάδοσης μπορεί να μην μπει ποτέ στη σήραγγα. Ελέγξτε τη λίστα πρόσβασης και στις δύο κατευθύνσεις, όχι μόνο τη γραμμή από το υποκατάστημα προς τον διακομιστή.

Επιβεβαιώστε ότι η ενδιαφέρουσα κίνηση καλύπτει την πηγή αναμετάδοσης του ASA και τη διεύθυνση του διακομιστή, και ότι επιτρέπεται και η κατεύθυνση επιστροφής. Σε σχεδίαση βασισμένη σε VTI η απόφαση δρομολόγησης είναι απλούστερη, αλλά η υποστήριξη αναμετάδοσης μέσω VTI ήρθε σε συγκεκριμένη έκδοση· ο οδηγός DHCP του ASA αναφέρει την 9.14(1), οπότε ελέγξτε την εικόνα πριν αντιγράψετε ένα παράδειγμα VTI σε παλαιότερη συσκευή.

Ένα ping από το ASA προς τον διακομιστή αποδεικνύει από μόνο του λίγα. Μπορεί να πετύχει μέσω άλλης διαδρομής, με άλλη διεύθυνση πηγής ή υπό πολιτική που τα πακέτα της αναμετάδοσης δεν ικανοποιούν.

Σκέλος τρίτο: διαβάστε την απάντηση και την επιλογή setroute

Το RFC 2131 λέει ότι ο διακομιστής στέλνει την απάντησή του στη διεύθυνση στο giaddr όταν αυτό το πεδίο δεν είναι μηδέν. Άρα η διαδρομή επιστροφής πρέπει να δρομολογείται στη διεύθυνση αναμετάδοσης, και η πολιτική της σήραγγας πρέπει να επιτρέπει την κατεύθυνση από τον διακομιστή προς την αναμετάδοση. Αν το αίτημα πέρασε αλλά η προσφορά δεν φτάνει ποτέ, εδώ πρέπει να κοιτάξετε.

Έπειτα ξεχωρίστε δύο πράγματα που ακούγονται ίδια. Η λέξη-κλειδί setroute αλλάζει ή προσθέτει την επιλογή προεπιλεγμένου δρομολογητή που δίνει το ASA στον πελάτη. Δεν εγκαθιστά δρομολόγιο στο ASA και δεν δημιουργεί πολιτική VPN. Ένας πελάτης που παίρνει διεύθυνση αλλά δεν φτάνει πουθενά έχει συχνά πρόβλημα setroute ή εύρους, όχι σήραγγας. Δοκιμάστε το με πελάτη χωρίς στατική πύλη και δείτε ποιος προεπιλεγμένος δρομολογητής εμφανίζεται στην προσφορά.

Διαβάστε την προσφορά από την αρχή ως το τέλος: διεύθυνση που προσφέρεται, μάσκα, προεπιλεγμένος δρομολογητής, DNS και χρόνος μίσθωσης. Έπειτα αφήστε τη μίσθωση να ανανεωθεί. Μια αναμετάδοση που δουλεύει μία φορά και αποτυγχάνει στην ανανέωση έχει συνήθως πρόβλημα εύρους, μίσθωσης ή διαδρομής επιστροφής που έκρυψε η πρώτη ανταλλαγή.

Τι ελέγχω πριν το θεωρήσω διορθωμένο

Ξεκινήστε από τον πελάτη και καταγράψτε το broadcast, μετά επιβεβαιώστε ότι το ASA το προώθησε με τη δική του διεύθυνση ως giaddr. Στην απομακρυσμένη πλευρά, επιβεβαιώστε ότι ο διακομιστής είδε αυτό το αίτημα και επέλεξε εύρος που ταιριάζει με το υποκατάστημα. Πίσω στο υποκατάστημα, επιβεβαιώστε ότι ο πελάτης δέχτηκε την προσφορά και φτάνει στην πύλη του.

Αν κάποιο σκέλος είναι σιωπηλό, ελέγξτε την αντίστοιχη πολιτική ή διαδρομή αντί να προσθέσετε άλλη δήλωση αναμετάδοσης. Η διαμόρφωση αναμετάδοσης είναι συνήθως σωστή όταν κάποιος κλιμακώσει· αυτό που άλλαξε είναι η πολιτική της σήραγγας ή η διαδρομή επιστροφής.

Γράψτε τα τρία σκέλη στο αρχείο αλλαγών: διεπαφή προς τον πελάτη, πολιτική VPN που καλύπτει την κίνηση αναμετάδοσης και η διαδρομή του διακομιστή πίσω στο giaddr. Αυτό το αρχείο κάνει την επόμενη κατασκευή υποκαταστήματος επαναλήψιμη εργασία αντί για συνεδρία αποσφαλμάτωσης. Λέει επίσης στον επόμενο μηχανικό ποια έξοδος εντολής να συλλέξει πρώτα.