VPN klijenti na ASA-i dobivaju adrese iz pogrešnog DHCP skupa

Čitajte dhcp-server i dhcp-network-scope na ASA-i kao dva različita polja, postavite scope na adresu koja je usmjeriva izvan skupa, pa provjerite rutu.

AnyConnect klijenti pojavljuju se na pogrešnoj podmreži ili DHCP poslužitelj odbija dati bilo što, a grupna politika na prvi pogled izgleda ispravno. Na ASA-i postoje dva polja na dva mjesta koja oba zvuče kao „odakle dolaze adrese“, a postavljanje pogrešnoga daje točno ovo. Profil veze imenuje DHCP poslužitelj; grupna politika imenuje podmrežu iz koje taj poslužitelj treba birati. Nijedno od njih ne stvara skup.

Tri objekta, tri pitanja

Najprije odvojite model dodjele od skupa, jer dva modela ne dijele konfiguraciju. Ako ASA sam dijeli adrese, definirate lokalni skup i usmjerite grupnu politiku na njega. Ako ih dijeli vanjski DHCP poslužitelj, profil veze imenuje taj poslužitelj, a grupna politika daje naznaku scopea. Miješanje dvaju uobičajen je razlog zašto se adresa nikada ne pojavi.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Pročitajte važeće vrijednosti prije nego promijenite neku

Izostavljen redak nije isto što i izričito none. Trenutna konfiguracija pokazuje što ste upisali; show run all group-policy pokazuje na što se politika zapravo svodi, uključujući naslijeđene zadane vrijednosti. Provjerite oboje prije nego zaključite da je scope pogrešan, jer grupna politika koja nasljeđuje od zadane politike može dati vrijednost koja se nikada ne pojavljuje u kratkom popisu.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? izlaz vrijedi pročitati na vašem instaliranom izdanju, jer se prihvaćene vrijednosti i njihov tekst pomoći razlikuju među verzijama. Cisco ASA 9.24 referenca za grupnu politiku dokumentira atribut kao usmjerivu adresu na željenoj podmreži, izvan skupa za dodjelu, s prednošću adrese sučelja. To nije raspon skupa i nije broj mreže.

Postavite scope na adresu, ne na raspon

Pretpostavimo da je skup koji želite da poslužitelj koristi 10.50.30.50 do 10.50.30.200 na /24, a ASA sučelje na tom segmentu je 10.50.30.1. Vrijednost scopea je 10.50.30.1. Upisivanje 10.50.30.0 ne uspijeva jer je to broj mreže, a upisivanje raspona ne uspijeva jer atribut prima jednu adresu. Ako adresa koju odaberete nije adresa sučelja, potrebna joj je statička ruta da bi odgovor DHCP poslužitelja mogao do nje stići.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Ovaj fragment radi samo jednu stvar. Ne konfigurira DHCP poslužitelj, ne stvara skup tamo i ne pretvara djelomični profil za daljinski pristup u radni. Ovdje dokumentirano ponašanje je samo IPv4; ne očekujte da će usmjeravati DHCPv6 ili delegaciju prefiksa.

Promijenite ga s točkom povrata

Najprije napravite snimku, da povrat bude naredba, a ne ponovna izgradnja. Spremite relevantnu konfiguraciju u datoteku prije uređivanja i znajte što no vraća na vašem izdanju: vraća atribut na zadanu ili naslijeđenu vrijednost, koja može biti none, a ne politika iznad njega.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Uklanjanje atributa i dijagnostički je korak. Bez definiranog scopea DHCP poslužitelj traži u vlastitim skupovima nedodijeljenu adresu, pa klijent može završiti na neočekivanom mjestu, ali se barem povezuje. Taj rezultat govori da put zahtjeva radi i da je odabir skupa ono što ne uspijeva.

Provjerite adresu, rutu i dopuštenja

Čitajte dodjelu iz tablice sesija, a ne iz klijentskog dijaloga, pa potvrdite da je adresa usmjeriva natrag prema tunelu i da filtri grupne politike dopuštaju promet koji očekujete. Odluka o dodjeli nije odluka o usmjeravanju, a klijent koji dobije adresu iz ispravnog skupa i dalje može pasti na svakom zahtjevu.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Ako sesija pokazuje adresu koju ste namjeravali, ali promet umire, scope je završen kao osumnjičenik. Pogledajte povratnu rutu, postavke split-tunnela ili filtara na grupnoj politici i to sjedi li DHCP scope na segmentu prema kojem ASA doista usmjerava.

Povezani članci