ASA-VPN-klanten krije adressen út 'e ferkearde DHCP-pool

Lês de dhcp-server en dhcp-network-scope fan de ASA as twa ferskillende fjilden, set de scope op in routber adres bûten de pool en ferifiearje dêrnei de rûte.

AnyConnect-klanten komme op it ferkearde subnet, of de DHCP-tsjinner wegert hielendal wat út te jaan, wylst it groepsbelied op it earste each goed liket. Op in ASA binne der twa fjilden op twa plakken dy't beide klinke as «wêr't de adressen wei komme», en it ferkearde ynstelle jout krekt dit. It ferbiningsprofyl neamt de DHCP-tsjinner; it groepsbelied neamt in subnet dêr't dy tsjinner út kieze moat. Gjin fan beide makket in pool.

Trije objekten, trije fragen

Skied earst it tawizingsmodel fan de pool, want de twa modellen diele gjin konfiguraasje. As de ASA sels adressen útdielt, definiearje jo in lokale pool en rjochtsje it groepsbelied dêrop. As in eksterne DHCP-tsjinner se útdielt, neamt it ferbiningsprofyl dy tsjinner en jout it groepsbelied in scope-hint. It mingen fan de twa is de gewoane reden dat in adres nea ferskynt.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Lês de jildende wearden foardat jo ien feroarje

In weilitten rigel is net itselde as in eksplisite none. De rinnende konfiguraasje lit sjen wat jo typt hawwe; show run all group-policy lit sjen wêr't it belied him echt ta oplost, ynklusyf erfd standertwearden. Kontrolearje beide foardat jo beslute dat de scope ferkeard is, want in groepsbelied dat fan in standertbelied erft, kin in wearde leverje dy't nea yn 'e koarte list ferskynt.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

?-útfiere is de muoite wurdich te lêzen op jo ynstalleare ferzje, want akseptearre wearden en har helptekst ferskille tusken ferzjes. De Cisco ASA 9.24 referinsje foar groepsbelied dokumintearret it attribút as in routber adres op it winske subnet, bûten de tawizingspool, mei foarkar foar in ynterface-adres. It is net it berik fan 'e pool en it is net it netwurknummer.

Set de scope op in adres, net op in berik

Stel dat de pool dy't jo de tsjinner brûke litte wolle 10.50.30.50 oant 10.50.30.200 is op in /24, en de ASA-ynterface op dat segmint is 10.50.30.1. De scope-wearde is 10.50.30.1. 10.50.30.0 skriuwe mislearret om't dat it netwurknummer is, en it berik skriuwe mislearret om't it attribút ien adres nimt. As it adres dat jo kieze gjin ynterface-adres is, hat it in statyske rûte nedich sadat it antwurd fan de DHCP-tsjinner it berikke kin.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Dit fragmint docht mar ien ding. It konfigurearret de DHCP-tsjinner net, makket dêr gjin pool oan en makket in partiel profyl foar ôfstâns tagong net wurkjend. It hjir dokumintearre gedrach is allinnich IPv4; ferwachtsje net dat it DHCPv6 of prefix-delegaasje stjoert.

Feroarje it mei in weromsetpunt

Meitsje earst in snapshot, sadat it weromsetten in opdracht is en gjin weropbou. Bewarje de relevante konfiguraasje yn in bestân foardat jo bewurkje, en witte wat no op jo ferzje werombringt: it set it attribút werom nei syn standert- of erfd wearde, dy't none wêze kin ynstee fan it belied derboppe.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

It attribút fuorthelje is ek in diagnostyske stap. Sûnder definiearre scope siket de DHCP-tsjinner yn syn eigen pools nei in net-tawiisd adres, dat de klant kin op in ûnferwachte plak bedarje mar ferbynt teminsten. Dat resultaat seit dat it paad fan it fersyk wurket en dat de poolkar it is dy't mislearret.

Ferifiearje it adres, de rûte en de rjochten

Lês de tawizing út 'e sesjetabel ynstee fan út 'e dialooch fan 'e klant, befêstigje dan dat it adres werom nei de tunnel routber is en dat de filters fan it groepsbelied it ferkear tastean dat jo ferwachtsje. In tawizingsbeslút is gjin routingbeslút, en in klant dy't in adres út 'e goede pool krijt, kin noch altyd by elk fersyk mislearje.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

As de sesje it adres sjen lit dat jo bedoelden mar it ferkear stjert, is de scope as fertochte dien. Sjoch nei de weromrûte, nei split-tunnel- of filterynstellingen op it groepsbelied, en oft de DHCP-scope op in segmint sit dêr't de ASA echt nei rûtet.

Relatearre artikelen