VPN-biðlar ASA fá veitingar úr röngum DHCP-laugarhópi

AnyConnect-biðlar birtast á röngu undirneti, eða DHCP-þjónninn neitar að veita nokkurn hlut, á meðan hópstefnan virðist rétt við fyrstu sýn. Á ASA eru tveir reitir á tveimur stöðum sem báðir hljóma eins og „hvaðan veitingarnar koma“, og að stilla þann ranga framleiðir nákvæmlega þetta. Tengingarsniðið nefnir DHCP-þjóninn; hópstefnan nefnir undirnet sem sá þjónn á að velja úr. Hvorugt þeirra býr til laugarhóp.

Þrír hlutir, þrjár spurningar

Aðskildu fyrst úthlutunarlíkanið frá laugarhópnum, því líkönin tvö deila ekki stillingum. Ef ASA úthlutar vistföngunum sjálft skilgreinir þú staðbundinn hóp og beinir hópstefnunni að honum. Ef utanaðkomandi DHCP-þjónn úthlutar þeim nefnir tengingarsniðið þann þjón og hópstefnan gefur scope-vísbendingu. Að blanda þessu tvennu er venjulega ástæðan fyrir því að vistfang birtist aldrei.

Lestu gildandi gildin áður en þú breytir einu

Útfærð lína er ekki það sama og skýrt none. Keyrandi stilling sýnir hvað þú skrifaðir; show run all group-policy sýnir hvað stefnan leysist raunverulega í, þar á meðal arfleið sjálfgefna gilda. Athugaðu hvort tveggja áður en þú ákveður að scope sé rangt, því hópstefna sem er í arf frá sjálfgefinni stefnu getur gefið gildi sem birtist aldrei í stutta listanum.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? er þess virði að lesa á uppsettu útgáfunni þinni, því samþykkt gildi og hjálpartexti þeirra eru mismunandi milli útgáfa. Cisco ASA 9.24 viðmiðun fyrir hópstefnu skráir eigindina sem leiðanlegt vistfang á óskað undirneti, utan úthlutunarhópsins, með forgang fyrir vistfang tengisins. Það er ekki svið hópsins og ekki netnúmerið.

Stilltu scope á vistfang, ekki svið

Gerum ráð fyrir að hópurinn sem þú vilt að þjónninn noti sé 10.50.30.50 til 10.50.30.200 á /24, og tengiflötur ASA á þeim hluta sé 10.50.30.1. Gildi scope er 10.50.30.1. Að skrifa 10.50.30.0 mistekst því það er netnúmerið, og að skrifa sviðið mistekst því eigindin tekur eitt vistfang. Ef vistfangið sem þú velur er ekki vistfang tengisins þarf það kyrrstæða leið svo svar DHCP-þjónsins nái til þess.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Þetta brot gerir aðeins einn hlut. Það stillir ekki DHCP-þjóninn, býr ekki til hóp þar og gerir ekki hlutbundið fjarnámssnið að virku sniði. Skráð hegðun hér er aðeins IPv4; búðu ekki við að hún stýri DHCPv6 eða forskeytisdelegation.

Breyttu því með afturköllunarpunkti

Taktu snapshot fyrst, svo afturköllunin sé skipun en ekki endurbygging. Vistaðu viðkomandi stillingar í skrá áður en þú breytir, og vitaðu hvað no endurheimtir á þinni útgáfu: það setur eigindina aftur í sjálfgefið eða arfleið gildi, sem gæti verið none frekar en stefnan fyrir ofan hana.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Að fjarlægja eigindina er líka greiningarskref. Án skilgreinds scope leitar DHCP-þjónninn í eigin hópum að óúthlutuðu vistfangi, svo biðillinn gæti lent á óvæntum stað en tengist að minnsta kosti. Þessi niðurstaða segir að beiðnileiðin virki og að val hópsins sé það sem mistekst.

Staðfestu vistfangið, leiðina og heimildirnar

Lestu úthlutunina úr setutöflunni frekar en úr glugga biðilsins, staðfestu síðan að vistfangið sé leiðanlegt aftur að göngunni og að síur hópstefnunnar leyfi þá umferð sem þú býst við. Úthlutunarákvörðun er ekki leiðarákvörðun, og biðill sem fær vistfang úr réttum hópi getur samt mistekist á hverri beiðni.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Ef setan sýnir vistfangið sem þú ætlaðir en umferðin deyr, er scope búið sem grunsamlegt. Skoðaðu afturleiðina, stillingar split-tunnel eða sía á hópstefnunni, og hvort DHCP-scope sitji á hluta sem ASA beinir raunverulega til.