Οι πελάτες VPN του ASA παίρνουν διευθύνσεις από λάθος pool DHCP

Διαβάστε τα dhcp-server και dhcp-network-scope του ASA ως δύο διαφορετικά πεδία, ορίστε το scope σε μια δρομολογήσιμη διεύθυνση έξω από το pool και μετά επαληθεύστε τη διαδρομή.

Οι πελάτες AnyConnect εμφανίζονται στο λάθος υποδίκτυο ή ο διακομιστής DHCP αρνείται να δώσει οτιδήποτε, ενώ η πολιτική ομάδας φαίνεται σωστή με μια πρώτη ματιά. Σε έναν ASA υπάρχουν δύο πεδία σε δύο σημεία που και τα δύο ακούγονται σαν «από πού έρχονται οι διευθύνσεις», και το να ορίσετε το λάθος παράγει ακριβώς αυτό. Το προφίλ σύνδεσης ονομάζει τον διακομιστή DHCP· η πολιτική ομάδας ονομάζει ένα υποδίκτυο από το οποίο θα επιλέγει αυτός ο διακομιστής. Κανένα από τα δύο δεν δημιουργεί pool.

Τρία αντικείμενα, τρεις ερωτήσεις

Διαχωρίστε πρώτα το μοντέλο εκχώρησης από το pool, γιατί τα δύο μοντέλα δεν μοιράζονται ρύθμιση. Αν ο ASA δίνει ο ίδιος τις διευθύνσεις, ορίζετε ένα τοπικό pool και κατευθύνετε την πολιτική ομάδας σε αυτό. Αν τις δίνει εξωτερικός διακομιστής DHCP, το προφίλ σύνδεσης ονομάζει αυτόν τον διακομιστή και η πολιτική ομάδας παρέχει μια υπόδειξη scope. Η ανάμειξη των δύο είναι ο συνηθισμένος λόγος που μια διεύθυνση δεν εμφανίζεται ποτέ.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Διαβάστε τις ενεργές τιμές πριν αλλάξετε μία

Μια γραμμή που παραλείφθηκε δεν είναι το ίδιο με ένα ρητό none. Η τρέχουσα ρύθμιση δείχνει τι πληκτρολογήσατε· το show run all group-policy δείχνει σε τι καταλήγει πραγματικά η πολιτική, μαζί με τις κληρονομημένες προεπιλογές. Ελέγξτε και τα δύο πριν αποφασίσετε ότι το scope είναι λάθος, γιατί μια πολιτική ομάδας που κληρονομεί από προεπιλεγμένη πολιτική μπορεί να δώσει τιμή που δεν εμφανίζεται ποτέ στη σύντομη λίστα.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? αξίζει να το διαβάσετε στην έκδοση που έχετε εγκατεστημένη, γιατί οι αποδεκτές τιμές και το κείμενο βοήθειάς τους διαφέρουν μεταξύ εκδόσεων. Η αναφορά του Cisco ASA 9.24 για την πολιτική ομάδας τεκμηριώνει την παράμετρο ως δρομολογήσιμη διεύθυνση στο επιθυμητό υποδίκτυο, έξω από το pool εκχώρησης, με προτίμηση σε διεύθυνση διασύνδεσης. Δεν είναι το εύρος του pool και δεν είναι ο αριθμός δικτύου.

Ορίστε το scope σε διεύθυνση, όχι σε εύρος

Ας υποθέσουμε ότι το pool που θέλετε να χρησιμοποιεί ο διακομιστής είναι 10.50.30.50 έως 10.50.30.200 σε /24, και η διασύνδεση του ASA σε αυτό το τμήμα είναι 10.50.30.1. Η τιμή scope είναι 10.50.30.1. Το 10.50.30.0 αποτυγχάνει γιατί είναι ο αριθμός δικτύου, και το εύρος αποτυγχάνει γιατί η παράμετρος δέχεται μία διεύθυνση. Αν η διεύθυνση που επιλέγετε δεν είναι διεύθυνση διασύνδεσης, χρειάζεται στατική διαδρομή ώστε η απάντηση του διακομιστή DHCP να φτάνει σε αυτή.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Αυτό το απόσπασμα κάνει μόνο ένα πράγμα. Δεν ρυθμίζει τον διακομιστή DHCP, δεν δημιουργεί pool εκεί και δεν μετατρέπει ένα μερικό προφίλ απομακρυσμένης πρόσβασης σε λειτουργικό. Η τεκμηριωμένη συμπεριφορά εδώ είναι μόνο IPv4· μην περιμένετε να κατευθύνει DHCPv6 ή ανάθεση προθέματος.

Αλλάξτε το με σημείο επαναφοράς

Πάρτε πρώτα ένα snapshot, ώστε η επαναφορά να είναι εντολή και όχι ανακατασκευή. Αποθηκεύστε τη σχετική ρύθμιση σε αρχείο πριν επεξεργαστείτε και γνωρίζετε τι no επαναφέρει στην έκδοσή σας: επιστρέφει την παράμετρο στην προεπιλεγμένη ή κληρονομημένη τιμή της, που μπορεί να είναι none και όχι η πολιτική από πάνω της.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Η αφαίρεση της παραμέτρου είναι επίσης διαγνωστικό βήμα. Χωρίς ορισμένο scope, ο διακομιστής DHCP ψάχνει στα δικά του pools για μια μη εκχωρημένη διεύθυνση, οπότε ο πελάτης μπορεί να προσγειωθεί κάπου απρόσμενα αλλά τουλάχιστον συνδέεται. Το αποτέλεσμα λέει ότι η διαδρομή του αιτήματος λειτουργεί και ότι η επιλογή pool είναι αυτό που αποτυγχάνει.

Επαληθεύστε τη διεύθυνση, τη διαδρομή και τα δικαιώματα

Διαβάστε την εκχώρηση από τον πίνακα συνεδριών και όχι από τον διάλογο του πελάτη, μετά επιβεβαιώστε ότι η διεύθυνση είναι δρομολογήσιμη πίσω στη σήραγγα και ότι τα φίλτρα της πολιτικής ομάδας επιτρέπουν την κίνηση που περιμένετε. Μια απόφαση εκχώρησης δεν είναι απόφαση δρομολόγησης, και ένας πελάτης που παίρνει διεύθυνση από το σωστό pool μπορεί να αποτυγχάνει σε κάθε αίτημα.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Αν η συνεδρία δείχνει τη διεύθυνση που σκοπεύατε αλλά η κίνηση πεθαίνει, το scope τελείωσε ως ύποπτο. Κοιτάξτε την επιστροφική διαδρομή, τις ρυθμίσεις split-tunnel ή φίλτρων στην πολιτική ομάδας και αν το scope DHCP βρίσκεται σε τμήμα προς το οποίο ο ASA δρομολογεί πραγματικά.

Σχετικά άρθρα