ASA VPN клиенттері қате DHCP пулынан мекенжай алады

ASA-ның dhcp-server және dhcp-network-scope өрістерін екі бөлек өріс ретінде оқыңыз, scope-ты пулдан тыс маршрутталатын мекенжайға қойып, содан кейін маршрутты тексеріңіз.

AnyConnect клиенттері қате ішкі желіде пайда болады, немесе DHCP сервері мүлдем ештеңе беруден бас тартады, ал топ саясаты бір қарағанда дұрыс көрінеді. ASA-да екі жерде екі өріс бар, олардың екеуі де «мекенжайлар қайдан келеді» деген сияқты естіледі, ал қатесін қою дәл осыны береді. Қосылым профилі DHCP серверін атайды; топ саясаты сол сервер таңдайтын ішкі желіні атайды. Екеуі де пул жасамайды.

Үш нысан, үш сұрақ

Алдымен бөлу моделін пулдан ажыратыңыз, өйткені екі модель конфигурацияны бөліспейді. Егер ASA мекенжайларды өзі тарататын болса, жергілікті пул анықтап, топ саясатын оған бағыттайсыз. Егер оларды сыртқы DHCP сервері тарататын болса, қосылым профилі сол серверді атайды, ал топ саясаты scope туралы ишара береді. Екеуін араластыру — мекенжайдың ешқашан пайда болмауының әдеттегі себебі.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Біреуін өзгертуден бұрын қолданыстағы мәндерді оқыңыз

Өткізіп жіберілген жол айқын none дегенмен бірдей емес. Ағымдағы конфигурация не енгізгеніңізді көрсетеді; show run all group-policy саясаттың шын мәнінде неге айналатынын, оның ішінде мұраланған әдепкі мәндерді көрсетеді. scope қате деп шешпес бұрын екеуін де тексеріңіз, өйткені әдепкі саясаттан мұраланған топ саясаты қысқа тізімде ешқашан көрінбейтін мән бере алады.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? шығысын орнатылған шығарылымыңызда оқыған жөн, өйткені қабылданатын мәндер мен олардың көмек мәтіні нұсқалар арасында әр түрлі. Cisco ASA 9.24 топ саясатының анықтамалығы атрибутты қалаған ішкі желідегі, бөлу пулынан тыс, интерфейс мекенжайына басымдық берілетін маршрутталатын мекенжай ретінде сипаттайды. Бұл пул ауқымы емес және желі нөмірі де емес.

scope-ты мекенжайға қойыңыз, ауқымға емес

Сервер пайдалануын қалайтын пул /24 бойынша 10.50.30.50-тен 10.50.30.200-ге дейін, ал сол сегменттегі ASA интерфейсі 10.50.30.1 делік. scope мәні — 10.50.30.1. 10.50.30.0 жазу сәтсіз болады, өйткені бұл желі нөмірі, ал ауқымды жазу сәтсіз болады, өйткені атрибут бір мекенжай қабылдайды. Таңдаған мекенжайыңыз интерфейс мекенжайы болмаса, DHCP серверінің жауабы оған жетуі үшін оған статикалық маршрут қажет.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Бұл фрагмент тек бір нәрсе істейді. Ол DHCP серверін конфигурацияламайды, онда пул жасамайды және ішінара қашықтан қатынау профилін жұмыс істейтін етпейді. Мұнда құжатталған әрекет тек IPv4; оның DHCPv6 немесе префиксті делегациялауды басқарады деп күтпеңіз.

Оны қайтару нүктесімен өзгертіңіз

Алдымен snapshot жасаңыз, қайтару қайта құру емес, команда болсын. Өңдеуден бұрын тиісті конфигурацияны файлға сақтаңыз және no сіздің шығарылымыңызда нені қалпына келтіретінін біліңіз: атрибутты әдепкі немесе мұраланған мәніне қайтарады, ол оның үстіндегі саясат емес, none болуы мүмкін.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Атрибутты жою да диагностикалық қадам. scope анықталмаған кезде DHCP сервері өз пулдарынан бөлінбеген мекенжай іздейді, сондықтан клиент күтпеген жерге түсуі мүмкін, бірақ кемінде қосылады. Бұл нәтиже сұраныс жолы жұмыс істейтінін және сәтсіздік пулды таңдауда екенін айтады.

Мекенжайды, маршрутты және рұқсаттарды тексеріңіз

Бөлуді клиенттің диалогынан емес, сессиялар кестесінен оқыңыз, содан кейін мекенжайдың туннельге кері маршрутталатынын және топ саясатының сүзгілері күткен трафикке рұқсат беретінін растаңыз. Бөлу шешімі маршруттау шешімі емес, ал дұрыс пулдан мекенжай алған клиент те әр сұраныста сәтсіздікке ұшырауы мүмкін.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Егер сессия көздеген мекенжайды көрсетсе, бірақ трафик өлсе, scope күдікті ретінде аяқталды. Қайтару маршрутын, топ саясатындағы split-tunnel немесе сүзгі параметрлерін және DHCP scope-тың ASA шын мәнінде маршруттайтын сегментте орналасқанын қараңыз.

Қатысты мақалалар