ASA-ի VPN հաճախորդները հասցեներ են ստանում սխալ DHCP պուլից
Կարդացեք ASA-ի dhcp-server և dhcp-network-scope դաշտերը որպես երկու տարբեր դաշտ, scope-ը դրեք պուլից դուրս երթուղվող հասցեի վրա, ապա ստուգեք երթուղին։
AnyConnect հաճախորդները հայտնվում են սխալ ենթացանցում, կամ DHCP սերվերը հրաժարվում է ընդհանրապես ինչ-որ բան տալ, մինչդեռ խմբի քաղաքականությունը առաջին հայացքից ճիշտ է թվում։ ASA-ում կան երկու դաշտ երկու տեղում, որոնք երկուսն էլ հնչում են որպես «որտեղից են գալիս հասցեները», և սխալը դնելը տալիս է հենց սա։ Միացման պրոֆիլը նշում է DHCP սերվերի անունը. խմբի քաղաքականությունը նշում է ենթացանց, որից այդ սերվերը պետք է ընտրի։ Նրանցից ոչ մեկը պուլ չի ստեղծում։
Երեք օբյեկտ, երեք հարց
Նախ առանձնացրեք հատկացման մոդելը պուլից, որովհետև երկու մոդելները կոնֆիգուրացիա չեն կիսում։ Եթե ASA-ն ինքն է բաժանում հասցեները, դուք սահմանում եք տեղական պուլ և խմբի քաղաքականությունը ուղղում դեպի այն։ Եթե դրանք բաժանում է արտաքին DHCP սերվերը, միացման պրոֆիլը նշում է այդ սերվերը, և խմբի քաղաքականությունը տալիս է scope-ի ակնարկ։ Երկուսը խառնելը հասցեի երբեք չհայտնվելու սովորական պատճառն է։
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
Կարդացեք գործող արժեքները նախքան մեկը փոխելը
Բաց թողնված տողը նույնը չէ, ինչ բացահայտ none-ը։ Գործող կոնֆիգուրացիան ցույց է տալիս, ինչ դուք մուտքագրել եք. show run all group-policy ցույց է տալիս, թե քաղաքականությունը իրականում ինչի է վերածվում, ներառյալ ժառանգված լռելյայն արժեքները։ Ստուգեք երկուսն էլ նախքան որոշելը, որ scope-ը սխալ է, որովհետև լռելյայն քաղաքականությունից ժառանգող խմբի քաղաքականությունը կարող է տալ արժեք, որ երբեք չի հայտնվում կարճ ցանկում։
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? ելքը արժե կարդալ ձեր տեղադրված թողարկման վրա, որովհետև ընդունված արժեքները և դրանց օգնության տեքստը տարբերվում են տարբերակների միջև։ Cisco ASA 9.24-ի խմբի քաղաքականության տեղեկատուն հատկանիշը նկարագրում է որպես ցանկալի ենթացանցում, հատկացման պուլից դուրս, ինտերֆեյսի հասցեին նախապատվություն տալով, երթուղվող հասցե։ Սա պուլի միջակայքը չէ, և ցանցի համարը նույնպես չէ։
Scope-ը դրեք հասցեի վրա, ոչ միջակայքի
Ենթադրենք, որ պուլը, որը ցանկանում եք, որ սերվերն օգտագործի, 10.50.30.50-ից 10.50.30.200 է /24-ի վրա, և այդ սեգմենտում ASA-ի ինտերֆեյսը 10.50.30.1 է։ Scope-ի արժեքը 10.50.30.1 է։ 10.50.30.0 գրելը ձախողվում է, որովհետև դա ցանցի համարն է, իսկ միջակայքը գրելը ձախողվում է, որովհետև հատկանիշը վերցնում է մեկ հասցե։ Եթե ձեր ընտրած հասցեն ինտերֆեյսի հասցե չէ, նրան պետք է ստատիկ երթուղի, որպեսզի DHCP սերվերի պատասխանը կարողանա հասնել դրան։
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1Այս հատվածը միայն մեկ բան է անում։ Այն չի կոնֆիգուրացնում DHCP սերվերը, այնտեղ պուլ չի ստեղծում և մասնակի հեռավոր մուտքի պրոֆիլը աշխատող չի դարձնում։ Այստեղ փաստագրված վարքը միայն IPv4 է. մի սպասեք, որ այն կղեկավարի DHCPv6 կամ նախածանցի պատվիրակում։
Փոխեք այն հետադարձ կետով
Նախ snapshot արեք, որպեսզի հետադարձը հրաման լինի, ոչ թե վերակառուցում։ Պահեք համապատասխան կոնֆիգուրացիան ֆայլում խմբագրելուց առաջ, և իմացեք, թե ինչ է no վերականգնում ձեր թողարկման վրա. այն հատկանիշը վերադարձնում է իր լռելյայն կամ ժառանգված արժեքին, որը կարող է լինել none, այլ ոչ թե դրա վերևի քաղաքականությունը։
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryՀատկանիշի հեռացումը նաև ախտորոշիչ քայլ է։ Առանց scope-ի սահմանման՝ DHCP սերվերը իր պուլերում փնտրում է չհատկացված հասցե, այնպես որ հաճախորդը կարող է հայտնվել անսպասելի տեղում, բայց գոնե միանում է։ Այդ արդյունքը ասում է, որ հարցման ուղին աշխատում է, և որ ձախողվում է պուլի ընտրությունը։
Ստուգեք հասցեն, երթուղին և թույլտվությունները
Հատկացումը կարդացեք սեսիաների աղյուսակից, ոչ թե հաճախորդի երկխոսությունից, ապա հաստատեք, որ հասցեն երթուղվող է դեպի թունել հետ, և որ խմբի քաղաքականության զտիչները թույլ են տալիս ձեր սպասած երթևեկությունը։ Հատկացման որոշումը երթուղավորման որոշում չէ, և ճիշտ պուլից հասցե ստացած հաճախորդը կարող է ձախողել յուրաքանչյուր հարցում։
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideԵթե սեսիան ցույց է տալիս ձեր նախատեսած հասցեն, բայց երթևեկությունը մահանում է, scope-ը որպես կասկածյալ ավարտված է։ Նայեք վերադարձի երթուղին, խմբի քաղաքականության split-tunnel կամ զտիչների կարգավորումները, և արդյոք DHCP scope-ը գտնվում է սեգմենտում, ուր ASA-ն իրականում երթուղավորում է։