ASA VPN क्लाइंट गलत DHCP पूल से पते लेते हैं
ASA के dhcp-server और dhcp-network-scope को दो अलग फ़ील्ड के रूप में पढ़ें, scope को पूल के बाहर के रूटेबल पते पर सेट करें, फिर रूट जाँचें।
AnyConnect क्लाइंट गलत सबनेट पर आ जाते हैं, या DHCP सर्वर कुछ भी देने से इनकार कर देता है, जबकि ग्रुप पॉलिसी पहली नज़र में सही लगती है। ASA पर दो जगहों पर दो फ़ील्ड हैं जो दोनों «पते कहाँ से आते हैं» जैसे सुनाई देते हैं, और गलत वाला सेट करने पर ठीक यही होता है। कनेक्शन प्रोफ़ाइल DHCP सर्वर का नाम बताती है; ग्रुप पॉलिसी उस सबनेट का नाम बताती है जिसमें से वह सर्वर चुने। इनमें से कोई भी पूल नहीं बनाता.
तीन ऑब्जेक्ट, तीन सवाल
पहले आवंटन मॉडल को पूल से अलग करें, क्योंकि दोनों मॉडल कॉन्फ़िगरेशन साझा नहीं करते। अगर ASA खुद पते बाँटता है, तो आप स्थानीय पूल परिभाषित करते हैं और ग्रुप पॉलिसी को उसकी ओर इंगित करते हैं। अगर बाहरी DHCP सर्वर उन्हें बाँटता है, तो कनेक्शन प्रोफ़ाइल उस सर्वर का नाम बताती है और ग्रुप पॉलिसी scope का संकेत देती है। दोनों को मिलाना ही वह सामान्य कारण है कि पता कभी प्रकट नहीं होता।
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
कोई मान बदलने से पहले प्रभावी मान पढ़ें
छोड़ी गई पंक्ति स्पष्ट none के समान नहीं है। चालू कॉन्फ़िगरेशन दिखाता है कि आपने क्या टाइप किया; show run all group-policy दिखाता है कि पॉलिसी वास्तव में किस पर टिकती है, विरासत में मिले डिफ़ॉल्ट सहित। scope को गलत मानने से पहले दोनों जाँचें, क्योंकि डिफ़ॉल्ट पॉलिसी से विरासत लेने वाली ग्रुप पॉलिसी ऐसा मान दे सकती है जो छोटी सूची में कभी नहीं दिखता।
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? आउटपुट आपके इंस्टॉल किए गए रिलीज़ पर पढ़ने योग्य है, क्योंकि स्वीकृत मान और उनका सहायता पाठ संस्करणों में भिन्न होते हैं। Cisco ASA 9.24 का ग्रुप पॉलिसी संदर्भ इस विशेषता को वांछित सबनेट पर, आवंटन पूल के बाहर, इंटरफ़ेस पते को वरीयता देते हुए रूटेबल पते के रूप में दस्तावेज़ करता है। यह पूल की श्रेणी नहीं है, और यह नेटवर्क नंबर भी नहीं है।
scope को पते पर सेट करें, श्रेणी पर नहीं
मान लें कि जिस पूल का उपयोग आप सर्वर से चाहते हैं वह /24 पर 10.50.30.50 से 10.50.30.200 है, और उस सेगमेंट पर ASA इंटरफ़ेस 10.50.30.1 है। scope का मान 10.50.30.1 है। 10.50.30.0 लिखना विफल होता है क्योंकि यह नेटवर्क नंबर है, और श्रेणी लिखना विफल होता है क्योंकि विशेषता एक पता लेती है। अगर आपका चुना पता इंटरफ़ेस पता नहीं है, तो उसे स्थिर रूट चाहिए ताकि DHCP सर्वर का उत्तर वहाँ पहुँच सके।
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1यह खंड केवल एक काम करता है। यह DHCP सर्वर को कॉन्फ़िगर नहीं करता, वहाँ पूल नहीं बनाता, और आंशिक रिमोट-एक्सेस प्रोफ़ाइल को काम करने वाला नहीं बनाता। यहाँ प्रलेखित व्यवहार केवल IPv4 है; यह DHCPv6 या प्रीफ़िक्स प्रत्यायोजन चलाएगा ऐसी अपेक्षा न रखें।
रोलबैक बिंदु के साथ इसे बदलें
पहले स्नैपशॉट लें, ताकि रोलबैक पुनर्निर्माण नहीं बल्कि आदेश हो। संपादन से पहले संबंधित कॉन्फ़िगरेशन फ़ाइल में सहेजें, और जानें कि no आपके रिलीज़ पर क्या पुनर्स्थापित करता है: यह विशेषता को उसके डिफ़ॉल्ट या विरासत में मिले मान पर लौटाता है, जो ऊपर की पॉलिसी नहीं बल्कि none हो सकता है।
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryविशेषता हटाना भी निदान का चरण है। scope परिभाषित न होने पर DHCP सर्वर अपने पूलों में अनावंटित पता खोजता है, इसलिए क्लाइंट अप्रत्याशित जगह पहुँच सकता है पर कम से कम जुड़ता है। वह परिणाम बताता है कि अनुरोध का मार्ग काम करता है और विफल पूल का चयन है।
पता, रूट और अनुमतियाँ सत्यापित करें
आवंटन क्लाइंट के संवाद से नहीं, सत्र तालिका से पढ़ें, फिर पुष्टि करें कि पता टनल तक वापस रूटेबल है और ग्रुप पॉलिसी के फ़िल्टर अपेक्षित ट्रैफ़िक की अनुमति देते हैं। आवंटन का निर्णय रूटिंग का निर्णय नहीं है, और सही पूल से पता मिलने वाला क्लाइंट भी हर अनुरोध पर विफल हो सकता है।
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideअगर सत्र वही पता दिखाता है जो आप चाहते थे पर ट्रैफ़िक मर जाता है, तो scope संदिग्ध के रूप में समाप्त है। वापसी रूट, ग्रुप पॉलिसी पर split-tunnel या फ़िल्टर सेटिंग्स, और यह कि DHCP scope उस सेगमेंट में है या नहीं जिसकी ओर ASA वास्तव में रूट करता है, देखें।