Az ASA VPN-kliensei a rossz DHCP-készletből kapnak címeket

Olvassa a dhcp-server és a dhcp-network-scope mezőt az ASA-n két külön mezőként, állítsa a scope-ot a készleten kívüli, irányítható címre, majd ellenőrizze az útvonalat.

Az AnyConnect-kliensek a rossz alhálózaton jelennek meg, vagy a DHCP-kiszolgáló egyáltalán nem ad ki semmit, miközben a csoportházirend első pillantásra helyesnek tűnik. Az ASA-n két mező van két helyen, amelyek mindegyike úgy hangzik, mintha arról szólna, honnan jönnek a címek, és a rossz beállítása pontosan ezt eredményezi. A kapcsolati profil nevezi meg a DHCP-kiszolgálót; a csoportházirend nevez meg egy alhálózatot, amelyből annak a kiszolgálónak választania kell. Egyik sem hoz létre készletet.

Három objektum, három kérdés

Először válassza el a kiosztási modellt a készlettől, mert a két modell nem osztozik a konfiguráción. Ha az ASA maga osztja ki a címeket, helyi készletet definiál, és a csoportházirendet ráirányítja. Ha külső DHCP-kiszolgáló osztja ki őket, a kapcsolati profil megnevezi azt a kiszolgálót, a csoportházirend pedig scope-nyomot ad. A kettő keverése a szokásos oka annak, hogy egy cím soha nem jelenik meg.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Olvassa el a hatályos értékeket, mielőtt módosítana egyet

A kihagyott sor nem ugyanaz, mint egy kifejezett none. A futó konfiguráció azt mutatja, amit beírt; show run all group-policy azt mutatja, mire oldódik fel a házirend valójában, beleértve az örökölt alapértelmezéseket. Mindkettőt ellenőrizze, mielőtt eldönti, hogy a scope hibás, mert egy alapértelmezett házirendből öröklő csoportházirend olyan értéket adhat, amely soha nem jelenik meg a rövid listában.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? kimenetet érdemes elolvasni a telepített kiadáson, mert az elfogadott értékek és súgószövegük verziók között eltérnek. A Cisco ASA 9.24 csoportházirend-referenciája az attribútumot a kívánt alhálózaton, a kiosztási készleten kívül található, irányítható címként dokumentálja, az interfész címét előnyben részesítve. Ez nem a készlet tartománya, és nem a hálózati szám.

A scope-ot címre állítsa, ne tartományra

Tegyük fel, hogy a készlet, amelyet a kiszolgálónak használnia kell, 10.50.30.50 és 10.50.30.200 között van egy /24-en, és az ASA interfésze ezen a szegmensen 10.50.30.1. A scope értéke 10.50.30.1. A 10.50.30.0 írása azért hiúsul meg, mert az a hálózati szám, a tartomány írása pedig azért, mert az attribútum egy címet vesz. Ha a választott cím nem interfész cím, statikus útvonalra van szüksége, hogy a DHCP-kiszolgáló válasza elérje.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Ez a töredék csak egy dolgot tesz. Nem konfigurálja a DHCP-kiszolgálót, nem hoz létre ott készletet, és nem tesz egy részleges távoli hozzáférési profilt működőképessé. Az itt dokumentált viselkedés csak IPv4; ne számítson arra, hogy DHCPv6-ot vagy előtag-delegálást irányít.

Módosítsa visszaállítási ponttal

Először készítsen pillanatképet, hogy a visszaállítás parancs legyen, ne újjáépítés. Mentse a vonatkozó konfigurációt fájlba szerkesztés előtt, és tudja, mit no állít vissza a kiadásán: az attribútumot az alapértelmezett vagy örökölt értékére állítja vissza, ami none is lehet a felette lévő házirend helyett.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Az attribútum eltávolítása diagnosztikai lépés is. Ha nincs scope definiálva, a DHCP-kiszolgáló a saját készleteiben keres ki nem osztott címet, így a kliens váratlan helyre kerülhet, de legalább csatlakozik. Ez az eredmény azt mondja, hogy a kérés útvonala működik, és a készlet kiválasztása az, ami meghiúsul.

Ellenőrizze a címet, az útvonalat és a jogosultságokat

A kiosztást a munkamenet-táblából olvassa, ne a kliens párbeszédablakából, majd erősítse meg, hogy a cím visszafelé irányítható az alagútba, és a csoportházirend szűrői engedik a várt forgalmat. A kiosztási döntés nem útválasztási döntés, és a helyes készletből címet kapó kliens is meghiúsulhat minden kérésnél.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Ha a munkamenet a szándékolt címet mutatja, de a forgalom meghal, a scope mint gyanúsított elkészült. Nézze meg a visszaútvonalat, a csoportházirend split-tunnel vagy szűrő beállításait, és azt, hogy a DHCP scope olyan szegmensen van-e, ahová az ASA valóban irányít.

Kapcsolódó cikkek