ASA VPN-kliendid saavad aadressid valest DHCP-aadressipoolist

Loe ASA dhcp-server ja dhcp-network-scope kahe eri väljana, sea scope marsruuditavale aadressile väljaspool pooli ja kontrolli seejärel marsruuti.

AnyConnecti kliendid ilmuvad valesse alamvõrku või keeldub DHCP-server üldse midagi väljastamast, samal ajal kui grupipoliitika tundub esmapilgul õige. ASA-l on kaks välja kahes kohas, mis mõlemad kõlavad nagu «kust aadressid tulevad», ja vale välja seadistamine annab täpselt selle. Ühendusprofiil nimetab DHCP-serveri; grupipoliitika nimetab alamvõrgu, millest see server valib. Kumbki neist pooli ei loo.

Kolm objekti, kolm küsimust

Eralda esmalt jaotusmudel poolist, sest kaks mudelit ei jaga konfiguratsiooni. Kui ASA jagab aadresse ise, määratled kohaliku pooli ja suunad grupipoliitika sellele. Kui neid jagab väline DHCP-server, nimetab ühendusprofiil seda serverit ja grupipoliitika annab scope-vihje. Kahe segamine on tavaline põhjus, miks aadress kunagi ei ilmu.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Loe kehtivaid väärtusi enne, kui üht muudad

Väljajäetud rida ei ole sama mis selgesõnaline none. Jooksev konfiguratsioon näitab, mida sa sisestasid; show run all group-policy näitab, milleks poliitika tegelikult lahutub, sealhulgas päritud vaikeväärtused. Kontrolli mõlemat enne, kui otsustad, et scope on vale, sest vaikepoliitikast päritud grupipoliitika võib anda väärtuse, mida lühiloendis kunagi ei ilmu.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

?-väljundit tasub lugeda oma paigaldatud versioonil, sest aktsepteeritud väärtused ja nende abitekst erinevad versiooniti. Cisco ASA 9.24 grupipoliitika viide dokumenteerib atribuudi marsruuditava aadressina soovitud alamvõrgus, väljaspool jaotamispooli, eelistades liidese aadressi. See ei ole pooli vahemik ega võrgu number.

Sea scope aadressile, mitte vahemikule

Oletame, et pool, mida soovid serveril kasutada, on 10.50.30.50 kuni 10.50.30.200 /24-s, ja ASA liides selles segmendis on 10.50.30.1. Scope'i väärtus on 10.50.30.1. 10.50.30.0 kirjutamine ebaõnnestub, sest see on võrgu number, ja vahemiku kirjutamine ebaõnnestub, sest atribuut võtab ühe aadressi. Kui valitud aadress ei ole liidese aadress, vajab see staatilist marsruuti, et DHCP-serveri vastus jõuaks selleni.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

See fragment teeb ainult ühte asja. See ei seadista DHCP-serverit, ei loo sinna pooli ega muuda osalist kaugjuurdepääsuprofiili toimivaks. Siin dokumenteeritud käitumine on ainult IPv4; ära oota, et see juhib DHCPv6-t või prefiksi delegeerimist.

Muuda seda tagasipöördumispunktiga

Tee esmalt snapshot, et tagasipöördumine oleks käsk, mitte ülesehitamine. Salvesta asjakohane konfiguratsioon enne muutmist faili ja tea, mida no sinu versioonis taastab: see tagastab atribuudi vaike- või päritud väärtusele, mis võib olla none, mitte selle kohal olev poliitika.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Atribuudi eemaldamine on ka diagnostiline samm. Kui scope on määratlemata, otsib DHCP-server oma poolidest määramata aadressi, nii et klient võib sattuda ootamatusse kohta, kuid vähemalt ühendub. See tulemus ütleb, et päringu tee töötab ja ebaõnnestub pooli valik.

Kontrolli aadressi, marsruuti ja õigusi

Loe määramine sessioonitabelist, mitte kliendi dialoogist, seejärel kinnita, et aadress on marsruuditav tagasi tunnelini ja et grupipoliitika filtrid lubavad oodatud liiklust. Määramisotsus ei ole marsruutimisotsus ja õigest poolist aadressi saanud klient võib ikkagi igal päringul ebaõnnestuda.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Kui sessioon näitab kavatsetud aadressi, kuid liiklus sureb, on scope kahtlusalusena lõpetatud. Vaata tagasiteed, grupipoliitika split-tunnel'i või filtriseadeid ja seda, kas DHCP scope asub segmendis, kuhu ASA tegelikult marsruudib.

Seotud artiklid