ASA:n VPN-asiakkaat saavat osoitteet väärästä DHCP-poolista

Lue ASA:n dhcp-server ja dhcp-network-scope kahtena eri kenttänä, aseta scope reititettävään osoitteeseen poolin ulkopuolelle ja tarkista sitten reitti.

AnyConnect-asiakkaat nousevat väärään aliverkkoon tai DHCP-palvelin kieltäytyy antamasta mitään, ja silti ryhmäkäytäntö näyttää ensisilmäyksellä oikealta. ASA:ssa on kaksi kenttää kahdessa paikassa, jotka molemmat kuulostavat siltä, mistä osoitteet tulevat, ja väärän asettaminen tuottaa juuri tämän. Yhteysprofiili nimeää DHCP-palvelimen; ryhmäkäytäntö nimeää aliverkon, josta palvelin valitsee. Kumpikaan ei luo poolia.

Kolme objektia, kolme kysymystä

Erota ensin jakomalli poolista, koska mallit eivät jaa konfiguraatiota. Jos ASA jakaa osoitteet itse, määrität paikallisen poolin ja osoitat ryhmäkäytännön siihen. Jos ulkoinen DHCP-palvelin jakaa ne, yhteysprofiili nimeää palvelimen ja ryhmäkäytäntö antaa scope-vihjeen. Näiden sekoittaminen on tavallinen syy siihen, ettei osoite koskaan ilmesty.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Lue voimassa olevat arvot ennen kuin muutat yhtä

Puuttuva rivi ei ole sama kuin nimenomainen none. Käynnissä oleva konfiguraatio näyttää, mitä kirjoitit; show run all group-policy näyttää, mihin käytäntö tosiasiassa ratkeaa, mukaan lukien perityt oletukset. Tarkista molemmat ennen kuin päätät, että scope on väärä, sillä oletuskäytännöstä perivä ryhmäkäytäntö voi antaa arvon, joka ei koskaan näy lyhyessä luettelossa.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

?-tuloste kannattaa lukea asennetusta versiostasi, koska hyväksytyt arvot ja niiden ohjeteksti vaihtelevat versioiden välillä. Cisco ASA 9.24:n ryhmäkäytäntöviite dokumentoi attribuutin reititettävänä osoitteena halutussa aliverkossa, jakopoolin ulkopuolella, rajapintaosoitetta suosien. Se ei ole poolin alue eikä verkkonumero.

Aseta scope osoitteeseen, älä alueeseen

Oletetaan, että pool, jota haluat palvelimen käyttävän, on 10.50.30.50–10.50.30.200 /24-verkossa ja ASA:n rajapinta siinä segmentissä on 10.50.30.1. Scopen arvo on 10.50.30.1. 10.50.30.0 epäonnistuu, koska se on verkkonumero, ja alue epäonnistuu, koska attribuutti ottaa yhden osoitteen. Jos valitsemasi osoite ei ole rajapintaosoite, se tarvitsee staattisen reitin, jotta DHCP-palvelimen vastaus voi saavuttaa sen.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Tämä katkelma tekee vain yhden asian. Se ei konfiguroi DHCP-palvelinta, luo sinne poolia eikä tee osittaisesta etäkäyttöprofiilista toimivaa. Tässä dokumentoitu käytös on vain IPv4; älä odota sen ohjaavan DHCPv6:ta tai etuliitedelegointia.

Muuta sitä palautuspisteellä

Ota ensin snapshot, jotta palautus on komento eikä uudelleenrakennus. Tallenna asiaankuuluva konfiguraatio tiedostoon ennen muokkausta ja tiedä, mitä no palauttaa versiossasi: se palauttaa attribuutin oletus- tai perittyyn arvoonsa, joka voi olla none eikä sen yläpuolella oleva käytäntö.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Attribuutin poistaminen on myös diagnostiikkavaihe. Ilman määriteltyä scopea DHCP-palvelin etsii omista pooleistaan jakamatonta osoitetta, joten asiakas voi päätyä odottamattomaan paikkaan mutta ainakin yhdistää. Tulos kertoo, että pyynnön polku toimii ja poolin valinta on se, mikä epäonnistuu.

Tarkista osoite, reitti ja käyttöoikeudet

Lue jako istuntotaulusta äläkä asiakkaan valintaikkunasta ja vahvista sitten, että osoite on reititettävissä takaisin tunneliin ja että ryhmäkäytännön suodattimet sallivat odottamasi liikenteen. Jakopäätös ei ole reitityspäätös, ja oikeasta poolista osoitteen saava asiakas voi silti epäonnistua jokaisessa pyynnössä.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Jos istunto näyttää aiotun osoitteen mutta liikenne kuolee, scope on epäiltynä valmis. Katso paluureittiä, ryhmäkäytännön split-tunnel- tai suodatinasetuksia ja sitä, onko DHCP-scope segmentissä, johon ASA todella reitittää.

Aiheeseen liittyvät artikkelit