Os clientes VPN do ASA obteñen enderezos do pool DHCP incorrecto

Lea dhcp-server e dhcp-network-scope do ASA como dous campos distintos, configure o scope nun enderezo encamiñable fóra do pool e despois verifique a ruta.

Os clientes AnyConnect aparecen na subrede incorrecta, ou o servidor DHCP négase a entregar calquera cousa, mentres que a política de grupo parece correcta a primeira vista. Nun ASA hai dous campos en dous lugares que ambos soan como «de onde veñen os enderezos», e configurar o incorrecto produce exactamente isto. O perfil de conexión nomea o servidor DHCP; a política de grupo nomea unha subrede da que ese servidor debe escoller. Ningún dos dous crea un pool.

Tres obxectos, tres preguntas

Separe primeiro o modelo de asignación do pool, porque os dous modelos non comparten configuración. Se o ASA reparte os enderezos el mesmo, defínese un pool local e apúntase a política de grupo cara a el. Se os reparte un servidor DHCP externo, o perfil de conexión nomea ese servidor e a política de grupo achega unha pista de scope. Mesturar os dous é a razón habitual pola que un enderezo nunca aparece.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Lea os valores efectivos antes de cambiar un

Unha liña omitida non é o mesmo que un none explícito. A configuración en execución mostra o que escribiu; show run all group-policy mostra a que se resolve realmente a política, incluídos os valores predeterminados herdados. Comprobe ambos antes de decidir que o scope é incorrecto, porque unha política de grupo que herda dunha política predeterminada pode achegar un valor que nunca aparece na listaxe curta.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? paga a pena lelo na versión instalada, porque os valores aceptados e o seu texto de axuda difiren entre versións. A referencia de Cisco ASA 9.24 para a política de grupo documenta o atributo como un enderezo encamiñable na subrede desexada, fóra do pool de asignación, con preferencia por un enderezo de interface. Non é o rango do pool e non é o número de rede.

Configure o scope nun enderezo, non nun rango

Supoña que o pool que quere que use o servidor é 10.50.30.50 ata 10.50.30.200 nunha /24, e que a interface do ASA nese segmento é 10.50.30.1. O valor do scope é 10.50.30.1. Escribir 10.50.30.0 falla porque é o número de rede, e escribir o rango falla porque o atributo toma un só enderezo. Se o enderezo que escolle non é un enderezo de interface, necesita unha ruta estática para que a resposta do servidor DHCP poida chegar a el.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Este fragmento fai só unha cousa. Non configura o servidor DHCP, non crea un pool alí nin converte un perfil de acceso remoto parcial nun funcional. O comportamento documentado aquí é só IPv4; non espere que dirixa DHCPv6 nin delegación de prefixos.

Cámbieo cun punto de reversión

Faga primeiro unha instantánea, para que a reversión sexa un comando e non unha reconstrución. Garde a configuración relevante nun ficheiro antes de editar e saiba que no restaura na súa versión: devolve o atributo ao seu valor predeterminado ou herdado, que pode ser none en lugar da política que ten por riba.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Quitar o atributo tamén é un paso de diagnóstico. Sen un scope definido, o servidor DHCP busca nos seus propios pools un enderezo non asignado, así que o cliente pode aterrar nun lugar inesperado pero polo menos conéctase. Ese resultado indica que a ruta da petición funciona e que o que falla é a selección do pool.

Verifique o enderezo, a ruta e os permisos

Lea a asignación da táboa de sesións e non do diálogo do cliente, logo confirme que o enderezo é encamiñable de volta ao túnel e que os filtros da política de grupo permiten o tráfico que espera. Unha decisión de asignación non é unha decisión de encamiñamento, e un cliente que recibe un enderezo do pool correcto aínda pode fallar en cada petición.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Se a sesión mostra o enderezo que pretendía pero o tráfico morre, o scope queda descartado como sospeitoso. Mire a ruta de retorno, os axustes de split-tunnel ou de filtros da política de grupo, e se o scope DHCP está nun segmento ao que o ASA realmente encamiña.

Artigos relacionados