ASAko VPN bezeroek okerreko DHCP poletik jasotzen dituzte helbideak

Irakurri ASAren dhcp-server eta dhcp-network-scope bi eremu desberdin gisa, jarri scopea poletik kanpoko helbide bideragarri batean, eta egiaztatu bidea.

AnyConnect bezeroak azpisare okerrean agertzen dira, edo DHCP zerbitzariak ezer emateari uko egiten dio, eta talde-politikak, lehen begiratuan, zuzena dirudi. ASAn bi eremu daude bi tokitan, biak «helbideak nondik datozen» bezala entzuten direnak, eta okerra ezartzeak zehazki hau sortzen du. Konexio-profilak DHCP zerbitzariari izena ematen dio; talde-politikak zerbitzari horrek aukeratzeko azpisarea izendatzen du. Bietako batek ere ez du poolik sortzen.

Hiru objektu, hiru galdera

Bereizi lehenik esleipen-eredua poletik, bi ereduek ez baitute konfigurazioa partekatzen. ASA berak helbideak banatzen baditu, pool lokal bat definitzen duzu eta talde-politika hara zuzentzen duzu. Kanpoko DHCP zerbitzari batek banatzen baditu, konexio-profilak zerbitzari hura izendatzen du eta talde-politikak scope-iradokizun bat ematen du. Biak nahastea da helbidea inoiz agertzen ez den arrazoi ohikoa.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Irakurri balio eraginkorrak bat aldatu aurretik

Ezabatutako lerro bat ez da none esplizitua bezalakoa. Uneko konfigurazioak erakusten du idatzi duzuna; show run all group-policy komandoak erakusten du politikak benetan zertara ebazten duen, oinordetutako lehenespenak barne. Egiaztatu biak scopea okerra dela erabaki aurretik, lehenespen-politika batetik oinordetzen duen talde-politika batek zerrenda laburrean inoiz agertzen ez den balio bat eman baitezake.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? irteera merezi du irakurtzea instalatuta duzun bertsioan, onartutako balioak eta haien laguntza-testua bertsioen artean desberdinak baitira. Cisco ASA 9.24ren talde-politikaren erreferentzia dokumentuak atributua nahi den azpisareko helbide bideragarri gisa deskribatzen du, esleipen-poletik kanpo, interfaze-helbideari lehentasuna emanez. Ez da poolaren barrutia eta ez da sare-zenbakia.

Ezarri scopea helbide batean, ez barruti batean

Demagun zerbitzariak erabil dezan nahi duzun poola 10.50.30.50etik 10.50.30.200ra da /24 batean, eta segmentu horretako ASA interfazea 10.50.30.1 da. Scope-balioa 10.50.30.1 da. 10.50.30.0 idazteak huts egiten du sare-zenbakia delako, eta barrutia idazteak huts egiten du atributuak helbide bakarra hartzen duelako. Aukeratutako helbidea interfaze-helbidea ez bada, bide estatiko bat behar du DHCP zerbitzariaren erantzunak hara iristeko.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Zati honek gauza bakarra egiten du. Ez du DHCP zerbitzaria konfiguratzen, ez du han poolik sortzen, eta ez du urruneko sarbideko profil partzial bat lan egiten duen bat bihurtzen. Hemen dokumentatutako portaera IPv4 soila da; ez espero DHCPv6 edo aurrizki-eskuordetza gidatzea.

Aldatu atzera-egite puntu batekin

Atera snapshot bat lehenik, atzera-egitea berreraikuntza bat ez, komando bat izan dadin. Gorde dagokion konfigurazioa fitxategi batean editatu aurretik, eta jakin zer no leheneratzen duen zure bertsioan: atributua bere lehenespen- edo oinordetutako baliora itzultzen du, eta hori none izan daiteke, gainean duen politika izan beharrean.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Atributua kentzea diagnostiko-urratsa ere bada. Scoperik definitu gabe, DHCP zerbitzariak bere poletan esleitutako helbide bat bilatzen du, beraz bezeroa ustekabeko leku batean gerta daiteke, baina gutxienez konektatzen da. Emaitza horrek esaten du eskaeraren bideak lan egiten duela eta poolaren hautaketa dela huts egiten duena.

Egiaztatu helbidea, bidea eta baimenak

Irakurri esleipena saio-taulatik, bezeroaren elkarrizketatik beharrean, gero berretsi helbidea tunelera itzultzeko bideragarria dela eta talde-politikaren iragazkiek espero duzun trafikoa baimentzen dutela. Esleipen-erabakia ez da bideratze-erabakia, eta pool egokitik helbidea jasotzen duen bezero batek eskaera guztietan huts egin dezake oraindik.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Saioak nahi zenuen helbidea erakusten badu baina trafikoak hiltzen badu, scopea susmagarri gisa amaituta dago. Begiratu itzulera-bidea, talde-politikako split-tunnel edo iragazki-ezarpenak, eta ea DHCP scopea ASAk benetan bideratzen duen segmentu batean dagoen.

Erlazionatutako artikuluak