Klien VPN ASA Mendapat Alamat dari Kumpulan DHCP yang Salah

Baca dhcp-server dan dhcp-network-scope pada ASA sebagai dua kolom berbeda, setel scope ke alamat yang dapat dirutekan di luar kumpulan, lalu verifikasi rutenya.

Klien AnyConnect muncul di subnet yang salah, atau server DHCP menolak memberikan apa pun, padahal kebijakan grup terlihat benar pada pandangan pertama. Pada ASA ada dua kolom di dua tempat yang keduanya terdengar seperti «dari mana alamat berasal», dan menyetel yang salah menghasilkan persis ini. Profil koneksi menyebutkan server DHCP; kebijakan grup menyebutkan subnet yang harus dipilih server itu. Keduanya tidak membuat kumpulan.

Tiga objek, tiga pertanyaan

Pisahkan dulu model alokasi dari kumpulan, karena kedua model tidak berbagi konfigurasi. Jika ASA sendiri yang membagikan alamat, Anda mendefinisikan kumpulan lokal dan mengarahkan kebijakan grup ke sana. Jika server DHCP eksternal yang membagikannya, profil koneksi menyebutkan server itu dan kebijakan grup memberi petunjuk scope. Mencampur keduanya adalah alasan biasa sebuah alamat tidak pernah muncul.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Baca nilai yang berlaku sebelum mengubah salah satunya

Baris yang dihilangkan tidak sama dengan none yang eksplisit. Konfigurasi berjalan menunjukkan apa yang Anda ketik; show run all group-policy menunjukkan ke apa kebijakan sebenarnya menguraikan diri, termasuk nilai bawaan yang diwarisi. Periksa keduanya sebelum memutuskan scope salah, karena kebijakan grup yang mewarisi dari kebijakan bawaan dapat memberikan nilai yang tidak pernah muncul di daftar singkat.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? layak dibaca pada rilis yang Anda pasang, karena nilai yang diterima dan teks bantuannya berbeda antarversi. Referensi Cisco ASA 9.24 untuk kebijakan grup mendokumentasikan atribut itu sebagai alamat yang dapat dirutekan pada subnet yang diinginkan, di luar kumpulan alokasi, dengan alamat antarmuka lebih diutamakan. Itu bukan rentang kumpulan dan bukan nomor jaringan.

Setel scope ke sebuah alamat, bukan rentang

Misalkan kumpulan yang Anda ingin server gunakan adalah 10.50.30.50 sampai 10.50.30.200 pada /24, dan antarmuka ASA di segmen itu adalah 10.50.30.1. Nilai scope adalah 10.50.30.1. Menulis 10.50.30.0 gagal karena itu nomor jaringan, dan menulis rentang gagal karena atribut mengambil satu alamat. Jika alamat yang Anda pilih bukan alamat antarmuka, ia memerlukan rute statis agar balasan server DHCP dapat mencapainya.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Fragmen ini hanya melakukan satu hal. Ia tidak mengonfigurasi server DHCP, tidak membuat kumpulan di sana, dan tidak mengubah profil akses jarak jauh yang sebagian menjadi berfungsi. Perilaku yang didokumentasikan di sini hanya IPv4; jangan harap ia mengarahkan DHCPv6 atau delegasi prefiks.

Ubah dengan titik pengembalian

Ambil snapshot dulu, agar pengembalian berupa perintah dan bukan pembangunan ulang. Simpan konfigurasi terkait ke berkas sebelum menyunting, dan ketahui apa yang no pulihkan pada rilis Anda: ia mengembalikan atribut ke nilai bawaan atau warisan, yang mungkin none bukan kebijakan di atasnya.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Menghapus atribut juga langkah diagnostik. Tanpa scope yang ditentukan, server DHCP mencari di kumpulannya sendiri alamat yang belum diberikan, sehingga klien bisa mendarat di tempat tak terduga tetapi setidaknya terhubung. Hasil itu memberi tahu Anda bahwa jalur permintaan bekerja dan pemilihan kumpulan yang gagal.

Verifikasi alamat, rute, dan izinnya

Baca alokasi dari tabel sesi, bukan dari dialog klien, lalu pastikan alamat itu dapat dirutekan kembali ke terowongan dan filter kebijakan grup mengizinkan lalu lintas yang Anda harapkan. Keputusan alokasi bukan keputusan perutean, dan klien yang menerima alamat dari kumpulan yang benar tetap bisa gagal pada setiap permintaan.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Jika sesi menunjukkan alamat yang Anda maksud tetapi lalu lintas mati, scope selesai sebagai tersangka. Lihat rute balik, pengaturan split-tunnel atau filter pada kebijakan grup, dan apakah scope DHCP berada di segmen yang benar-benar dirutekan ASA.

Artikel terkait