Faigheann cliaint VPN an ASA seoltaí ón droch-linn DHCP

Léigh dhcp-server agus dhcp-network-scope an ASA mar dhá réimse ar leith, socraigh an scope ar sheoladh inródaithe lasmuigh den linn, ansin fíoraigh an bealach.

Tagann cliaint AnyConnect aníos ar an bhfo-líonra mícheart, nó diúltaíonn an freastalaí DHCP aon rud a thabhairt ar chor ar bith, agus breathnaíonn an pholasaí grúpa ceart ar an gcéad amharc. Ar ASA tá dhá réimse in dhá áit a bhfuil an dá cheann ag fuaimniú cosúil le «cá as a dtagann na seoltaí», agus cruthaíonn socrú an cheann mícheart go baileach é seo. Ainmníonn próifíl an naisc an freastalaí DHCP; ainmníonn an pholasaí grúpa fo-líonra as a roghnaíonn an freastalaí sin. Ní chruthaíonn ceachtar acu linn.

Trí réad, trí cheist

Deighil múnla an leithdháilte ón linn ar dtús, mar ní roinneann an dá mhúnla cumraíocht. Má dháileann an ASA seoltaí é féin, sainmhíníonn tú linn áitiúil agus díríonn tú an pholasaí grúpa uirthi. Má dháileann freastalaí DHCP seachtrach iad, ainmníonn próifíl an naisc an freastalaí sin agus soláthraíonn an pholasaí grúpa leid scope. Is é meascadh an dá rud an chúis is gnáth riamh nach dtagann seoladh chun solais.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Léigh na luachanna éifeachtacha sula n-athraíonn tú ceann

Ní hionann líne a fágadh ar lár agus none follasach. Taispeánann an chumraíocht reatha an méid a chlóscríobh tú; show run all group-policy taispeánann sé an rud a réitíonn an pholasaí leis i ndáiríre, lena n-áirítear réamhshocruithe a fuarthas le hoidhreacht. Seiceáil an dá rud sula gcinneann tú go bhfuil an scope mícheart, mar is féidir le polasaí grúpa a fhaigheann oidhreacht ó pholasaí réamhshocraithe luach a sholáthar nach dtagann riamh sa ghearrliosta.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? is fiú a léamh ar an eisiúint atá suiteáilte agat, mar bíonn na luachanna a nglactar leo agus a dtéacs cabhrach difriúil idir leaganacha. Déanann tagairt Cisco ASA 9.24 don pholasaí grúpa an tréith a dhoiciméadú mar sheoladh inródaithe ar an bhfo-líonra atá uait, lasmuigh den linn leithdháilte, le rogha ag seoladh comhéadain. Ní hé raon na linne é, agus ní hé uimhir an líonra é.

Socraigh an scope ar sheoladh, ní ar raon

Cuir i gcás gurb é an linn ar mhaith leat an freastalaí a úsáid ná 10.50.30.50 go 10.50.30.200 ar /24, agus gurb é comhéadan an ASA ar an deighleog sin 10.50.30.1. Is é luach an scope 10.50.30.1. Teipeann ar 10.50.30.0 a scríobh mar is é uimhir an líonra é, agus teipeann ar an raon a scríobh mar glacann an tréith le seoladh amháin. Mura seoladh comhéadain é an seoladh a roghnaíonn tú, teastaíonn bealach statach uaidh le go bhféadfadh freagra an fhreastalaí DHCP é a shroicheadh.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Ní dhéanann an píosa seo ach rud amháin. Ní chumraíonn sé an freastalaí DHCP, ní chruthaíonn sé linn ansin, agus ní dhéanann sé próifíl rochtana cianda pháirteach ina próifíl oibre. Is é an t-iompar doiciméadaithe anseo IPv4 amháin; ná bí ag súil go stiúrfaidh sé DHCPv6 nó tarmligean réimíre.

Athraigh é le pointe rollbha

Tóg snapshot ar dtús, ionas gur ordú é an rollbha seachas atógáil. Sábháil an chumraíocht ábhartha i gcomhad sula ndéanann tú eagarthóireacht, agus bíodh a fhios agat cad a no a athchóiríonn ar d'eisiúint: cuireann sé an tréith ar ais go dtí a luach réamhshocraithe nó oidhreachta, a d'fhéadfadh a bheith none, seachas an pholasaí os a chionn.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Is céim dhiagnóiseach é an tréith a bhaint freisin. Gan scope sainithe, cuardaíonn an freastalaí DHCP ina linn féin seoladh nach bhfuil leithdháilte, mar sin d'fhéadfadh an cliant teacht i dtír in áit nach mbíonn súil leis ach ceanglaíonn sé ar a laghad. Insíonn an toradh sin duit go n-oibríonn bealach an iarratais agus gurb é roghnú na linne an rud a theipeann.

Fíoraigh an seoladh, an bealach agus na ceadanna

Léigh an leithdháileadh ón tábla seisiún seachas ó dhialann an chliaint, ansin deimhnigh go bhfuil an seoladh inródaithe ar ais chuig an tollán agus go ligeann scagairí an pholasaí grúpa don trácht a bhfuil tú ag súil leis. Ní cinneadh ródaithe é cinneadh leithdháilte, agus is féidir le cliant a fhaigheann seoladh ón linn cheart teip ar gach iarratas fós.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Má thaispeánann an seisiún an seoladh a bhí beartaithe agat ach go bhfaigheann an trácht bás, tá an scope críochnaithe mar amhrastach. Féach ar an mbealach ar ais, ar shocruithe split-tunnel nó scagairí ar an bpolasaí grúpa, agus ar cibé an bhfuil an scope DHCP suite ar dheighleog a ndéanann an ASA ródú uirthi i ndáiríre.

Ailt ghaolmhara