ASA-ის VPN კლიენტები არასწორი DHCP პულიდან იღებენ მისამართებს
წაიკითხეთ ASA-ის dhcp-server და dhcp-network-scope როგორც ორი სხვადასხვა ველი, დააყენეთ scope პულის გარეთ მდებარე მარშრუტიზებად მისამართზე და შემდეგ შეამოწმეთ მარშრუტი.
AnyConnect კლიენტები არასწორ ქვექსელში ჩნდებიან, ან DHCP სერვერი საერთოდ უარს ამბობს რაიმეს გაცემაზე, მაშინ როცა ჯგუფის პოლიტიკა ერთი შეხედვით სწორი ჩანს. ASA-ზე ორ ადგილას ორი ველია, რომლებიც ორივე ისე ჟღერს, თითქოს პასუხობს კითხვას «საიდან მოდის მისამართები», და არასწორის დაყენება ზუსტად ამას იძლევა. კავშირის პროფილი ასახელებს DHCP სერვერს; ჯგუფის პოლიტიკა ასახელებს ქვექსელს, საიდანაც ამ სერვერმა უნდა აირჩიოს. არც ერთი მათგანი პულს არ ქმნის.
სამი ობიექტი, სამი შეკითხვა
ჯერ გამოყავით განაწილების მოდელი პულისგან, რადგან ორი მოდელი კონფიგურაციას არ იზიარებს. თუ ASA თავად ანაწილებს მისამართებს, განსაზღვრავთ ლოკალურ პულს და ჯგუფის პოლიტიკას მისკენ მიმართავთ. თუ მათ გარე DHCP სერვერი ანაწილებს, კავშირის პროფილი ამ სერვერს ასახელებს, ხოლო ჯგუფის პოლიტიკა scope-ის მინიშნებას იძლევა. ორივეს შერევა მისამართის არასდროს გამოჩენის ჩვეულებრივი მიზეზია.
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
წაიკითხეთ მოქმედი მნიშვნელობები სანამ ერთს შეცვლით
გამოტოვებული ხაზი არ არის იგივე, რაც ცხადი none. მიმდინარე კონფიგურაცია გიჩვენებთ, რაც აკრიფეთ; show run all group-policy გიჩვენებთ, რას იშლება პოლიტიკა სინამდვილეში, მემკვიდრეობით მიღებული ნაგულისხმევების ჩათვლით. შეამოწმეთ ორივე სანამ დაასკვნით, რომ scope არასწორია, რადგან ნაგულისხმევი პოლიტიკიდან მემკვიდრეობით მიღებულ ჯგუფის პოლიტიკას შეუძლია მისცეს მნიშვნელობა, რომელიც მოკლე სიაში არასდროს ჩანს.
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? გამოსავალი ღირს წაკითხვად თქვენს დაყენებულ გამოშვებაზე, რადგან მიღებული მნიშვნელობები და მათი დახმარების ტექსტი ვერსიებს შორის განსხვავდება. Cisco ASA 9.24-ის ჯგუფის პოლიტიკის ცნობარი ატრიბუტს აღწერს როგორც მარშრუტიზებად მისამართს სასურველ ქვექსელში, განაწილების პულის გარეთ, ინტერფეისის მისამართის უპირატესობით. ეს არ არის პულის დიაპაზონი და არც ქსელის ნომერი.
დააყენეთ scope მისამართზე, არა დიაპაზონზე
დავუშვათ, პული, რომელიც გსურთ სერვერმა გამოიყენოს, არის 10.50.30.50-დან 10.50.30.200-მდე /24-ზე, და ASA-ის ინტერფეისი ამ სეგმენტში არის 10.50.30.1. scope-ის მნიშვნელობაა 10.50.30.1. 10.50.30.0-ის ჩაწერა ვერ ხერხდება, რადგან ეს ქსელის ნომერია, ხოლო დიაპაზონის ჩაწერა ვერ ხერხდება, რადგან ატრიბუტი ერთ მისამართს იღებს. თუ არჩეული მისამართი ინტერფეისის მისამართი არ არის, მას სჭირდება სტატიკური მარშრუტი, რომ DHCP სერვერის პასუხმა შეძლოს მისვლა.
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1ეს ფრაგმენტი მხოლოდ ერთ რამეს აკეთებს. ის არ აკონფიგურირებს DHCP სერვერს, იქ პულს არ ქმნის და ნაწილობრივ დისტანციური წვდომის პროფილს მომუშავედ არ აქცევს. აქ დოკუმენტირებული ქცევა მხოლოდ IPv4-ია; ნუ დაელოდებით, რომ ის მართავს DHCPv6-ს ან პრეფიქსის დელეგაციას.
შეცვალეთ ის დაბრუნების წერტილით
ჯერ გააკეთეთ snapshot, რომ დაბრუნება იყოს ბრძანება და არა ხელახალი აწყობა. შეინახეთ შესაბამისი კონფიგურაცია ფაილში რედაქტირებამდე და იცოდეთ რა no აღადგენს თქვენს გამოშვებაზე: ის ატრიბუტს უბრუნებს ნაგულისხმევ ან მემკვიდრეობით მიღებულ მნიშვნელობას, რომელიც შეიძლება იყოს none, და არა მის ზემოთ არსებული პოლიტიკა.
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryატრიბუტის მოცილება ასევე დიაგნოსტიკური ნაბიჯია. scope-ის განუსაზღვრელობისას DHCP სერვერი საკუთარ პულებში ეძებს გაუნაწილებელ მისამართს, ამიტომ კლიენტი შეიძლება მოულოდნელ ადგილას აღმოჩნდეს, მაგრამ სულ მცირე უკავშირდება. ეს შედეგი გეუბნებათ, რომ მოთხოვნის გზა მუშაობს და რომ პულის არჩევაა ის, რაც ვერ ხერხდება.
შეამოწმეთ მისამართი, მარშრუტი და ნებართვები
განაწილება წაიკითხეთ სესიების ცხრილიდან და არა კლიენტის დიალოგიდან, შემდეგ დაადასტურეთ, რომ მისამართი მარშრუტიზებადია უკან გვირაბამდე და რომ ჯგუფის პოლიტიკის ფილტრები ნებას რთავს თქვენ მიერ მოსალოდნელ ტრაფიკს. განაწილების გადაწყვეტილება არ არის მარშრუტიზაციის გადაწყვეტილება, და სწორი პულიდან მისამართის მიმღები კლიენტიც შეიძლება ყოველ მოთხოვნაზე ჩავარდეს.
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideთუ სესია გიჩვენებთ თქვენ მიერ განზრახულ მისამართს, მაგრამ ტრაფიკი იღუპება, scope როგორც ეჭვმიტანილი დამთავრებულია. შეხედეთ დაბრუნების მარშრუტს, ჯგუფის პოლიტიკის split-tunnel ან ფილტრების პარამეტრებს და იმას, არის თუ არა DHCP scope იმ სეგმენტში, სადაც ASA ნამდვილად ამარშრუტებს.