ASA VPN ક્લાયન્ટ્સ ખોટા DHCP પૂલમાંથી સરનામાં મેળવે છે
ASA ના dhcp-server અને dhcp-network-scope ને બે અલગ ફીલ્ડ તરીકે વાંચો, scope ને પૂલની બહારના રાઉટેબલ સરનામા પર સેટ કરો અને પછી રૂટ ચકાસો.
AnyConnect ક્લાયન્ટ્સ ખોટા સબનેટ પર આવે છે, અથવા DHCP સર્વર કંઈપણ આપવાનો ઇનકાર કરે છે, જ્યારે ગ્રુપ પોલિસી પહેલી નજરે સાચી લાગે છે. ASA પર બે જગ્યાએ બે ફીલ્ડ છે જે બંને «સરનામાં ક્યાંથી આવે છે» જેવા સંભળાય છે, અને ખોટું સેટ કરવાથી બરાબર આ જ પરિણામ આવે છે. કનેક્શન પ્રોફાઇલ DHCP સર્વરનું નામ આપે છે; ગ્રુપ પોલિસી એ સબનેટનું નામ આપે છે જેમાંથી તે સર્વર પસંદ કરે. બંનેમાંથી કોઈ પૂલ બનાવતું નથી.
ત્રણ ઑબ્જેક્ટ, ત્રણ પ્રશ્નો
પહેલા ફાળવણી મોડેલને પૂલથી અલગ કરો, કારણ કે બંને મોડેલ કન્ફિગરેશન વહેંચતા નથી. જો ASA પોતે સરનામાં આપે છે, તો તમે સ્થાનિક પૂલ વ્યાખ્યાયિત કરો છો અને ગ્રુપ પોલિસી તેના તરફ દિશામાન કરો છો. જો બાહ્ય DHCP સર્વર તેમને આપે છે, તો કનેક્શન પ્રોફાઇલ તે સર્વરનું નામ આપે છે અને ગ્રુપ પોલિસી scope સંકેત આપે છે. બંનેને ભેગા કરવા એ સરનામું કદી ન દેખાવાનું સામાન્ય કારણ છે.
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
કોઈ મૂલ્ય બદલતા પહેલા પ્રભાવી મૂલ્યો વાંચો
છોડી દીધેલી લાઇન સ્પષ્ટ none જેવી નથી. ચાલુ કન્ફિગરેશન બતાવે છે કે તમે શું ટાઇપ કર્યું; show run all group-policy બતાવે છે કે પોલિસી ખરેખર શું ઠરે છે, વારસાગત ડિફૉલ્ટ સહિત. scope ખોટું છે એવું નક્કી કરતા પહેલા બંને તપાસો, કારણ કે ડિફૉલ્ટ પોલિસીથી વારસો લેતી ગ્રુપ પોલિસી એવું મૂલ્ય આપી શકે છે જે ટૂંકી યાદીમાં કદી દેખાતું નથી.
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? આઉટપુટ તમારા ઇન્સ્ટૉલ કરેલા રિલીઝ પર વાંચવા લાયક છે, કારણ કે સ્વીકૃત મૂલ્યો અને તેમનું મદદ લખાણ આવૃત્તિઓ વચ્ચે અલગ પડે છે. Cisco ASA 9.24 નો ગ્રુપ પોલિસી સંદર્ભ આ લક્ષણને ઇચ્છિત સબનેટ પર, ફાળવણી પૂલની બહાર, ઇન્ટરફેસ સરનામાને પ્રાધાન્ય આપીને રાઉટેબલ સરનામા તરીકે દસ્તાવેજ કરે છે. તે પૂલ શ્રેણી નથી, અને નેટવર્ક નંબર પણ નથી.
scope ને સરનામા પર સેટ કરો, શ્રેણી પર નહીં
ધારો કે તમે સર્વરને જે પૂલ વાપરવા દેવા માંગો છો તે /24 પર 10.50.30.50 થી 10.50.30.200 છે, અને તે સેગમેન્ટ પરનું ASA ઇન્ટરફેસ 10.50.30.1 છે. scope મૂલ્ય 10.50.30.1 છે. 10.50.30.0 લખવું નિષ્ફળ જાય છે કારણ કે તે નેટવર્ક નંબર છે, અને શ્રેણી લખવી નિષ્ફળ જાય છે કારણ કે લક્ષણ એક સરનામું લે છે. જો તમે પસંદ કરેલું સરનામું ઇન્ટરફેસ સરનામું ન હોય, તો DHCP સર્વરનો જવાબ ત્યાં પહોંચી શકે તે માટે તેને સ્થિર રૂટની જરૂર છે.
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1આ ટુકડો ફક્ત એક જ કામ કરે છે. તે DHCP સર્વરને કન્ફિગર કરતું નથી, ત્યાં પૂલ બનાવતું નથી, અને આંશિક રિમોટ-એક્સેસ પ્રોફાઇલને કાર્યરત બનાવતું નથી. અહીં દસ્તાવેજીકૃત વર્તન ફક્ત IPv4 છે; તે DHCPv6 કે પ્રીફિક્સ ડેલિગેશન ચલાવશે એવી અપેક્ષા ન રાખો.
રોલબેક પોઇન્ટ સાથે તેને બદલો
પહેલા સ્નેપશોટ લો, જેથી રોલબેક પુનર્નિર્માણ નહીં પણ આદેશ બને. સંપાદન કરતા પહેલા સંબંધિત કન્ફિગરેશન ફાઇલમાં સાચવો, અને જાણો કે no તમારા રિલીઝ પર શું પુનઃસ્થાપિત કરે છે: તે લક્ષણને તેના ડિફૉલ્ટ કે વારસાગત મૂલ્ય પર પાછું લાવે છે, જે ઉપરની પોલિસી નહીં પણ none હોઈ શકે.
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryલક્ષણ દૂર કરવું એ પણ નિદાનનું પગલું છે. કોઈ scope વ્યાખ્યાયિત ન હોય તો DHCP સર્વર પોતાના પૂલમાં ફાળવણી ન થયેલું સરનામું શોધે છે, તેથી ક્લાયન્ટ અણધારી જગ્યાએ ઉતરી શકે છે પણ ઓછામાં ઓછું જોડાય છે. તે પરિણામ કહે છે કે વિનંતીનો માર્ગ કામ કરે છે અને પૂલની પસંદગી જ નિષ્ફળ જાય છે.
સરનામું, રૂટ અને પરવાનગીઓ ચકાસો
ફાળવણી ક્લાયન્ટના સંવાદમાંથી નહીં, સત્ર કોષ્ટકમાંથી વાંચો, પછી ખાતરી કરો કે સરનામું ટનલ તરફ પાછું રાઉટેબલ છે અને ગ્રુપ પોલિસીના ફિલ્ટર તમે ધારેલા ટ્રાફિકને મંજૂરી આપે છે. ફાળવણીનો નિર્ણય રૂટિંગનો નિર્ણય નથી, અને સાચા પૂલમાંથી સરનામું મેળવનાર ક્લાયન્ટ પણ દરેક વિનંતી પર નિષ્ફળ જઈ શકે છે.
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideજો સત્ર તમે ધારેલું સરનામું બતાવે પણ ટ્રાફિક મરી જાય, તો scope શંકાસ્પદ તરીકે પૂરું થયું. પરત રૂટ, ગ્રુપ પોલિસી પરના split-tunnel કે ફિલ્ટર સેટિંગ્સ, અને DHCP scope એ ASA ખરેખર જે સેગમેન્ટ તરફ રૂટ કરે છે ત્યાં છે કે નહીં તે જુઓ.