ASA VPN ಕ್ಲೈಂಟ್ಗಳು ತಪ್ಪು DHCP ಪೂಲ್ನಿಂದ ವಿಳಾಸಗಳನ್ನು ಪಡೆಯುತ್ತವೆ
ASA ನ dhcp-server ಮತ್ತು dhcp-network-scope ಅನ್ನು ಎರಡು ಬೇರೆ ಕ್ಷೇತ್ರಗಳಾಗಿ ಓದಿ, scope ಅನ್ನು ಪೂಲ್ನ ಹೊರಗಿನ ರೂಟೆಬಲ್ ವಿಳಾಸಕ್ಕೆ ಹೊಂದಿಸಿ, ನಂತರ ರೂಟ್ ಪರಿಶೀಲಿಸಿ.
AnyConnect ಕ್ಲೈಂಟ್ಗಳು ತಪ್ಪು ಸಬ್ನೆಟ್ನಲ್ಲಿ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತವೆ, ಅಥವಾ DHCP ಸರ್ವರ್ ಏನನ್ನೂ ನೀಡಲು ನಿರಾಕರಿಸುತ್ತದೆ, ಆದರೆ ಗ್ರೂಪ್ ಪಾಲಿಸಿ ಮೊದಲ ನೋಟಕ್ಕೆ ಸರಿಯಾಗಿ ಕಾಣುತ್ತದೆ. ASA ನಲ್ಲಿ ಎರಡು ಸ್ಥಳಗಳಲ್ಲಿ ಎರಡು ಕ್ಷೇತ್ರಗಳಿವೆ, ಎರಡೂ «ವಿಳಾಸಗಳು ಎಲ್ಲಿಂದ ಬರುತ್ತವೆ» ಎಂಬಂತೆ ಕೇಳಿಸುತ್ತವೆ, ಮತ್ತು ತಪ್ಪಾದದನ್ನು ಹೊಂದಿಸಿದರೆ ನಿಖರವಾಗಿ ಇದೇ ಆಗುತ್ತದೆ. ಸಂಪರ್ಕ ಪ್ರೊಫೈಲ್ DHCP ಸರ್ವರ್ ಅನ್ನು ಹೆಸರಿಸುತ್ತದೆ; ಗ್ರೂಪ್ ಪಾಲಿಸಿ ಆ ಸರ್ವರ್ ಆಯ್ಕೆ ಮಾಡಬೇಕಾದ ಸಬ್ನೆಟ್ ಅನ್ನು ಹೆಸರಿಸುತ್ತದೆ. ಎರಡೂ ಪೂಲ್ ರಚಿಸುವುದಿಲ್ಲ.
ಮೂರು ಆಬ್ಜೆಕ್ಟ್ಗಳು, ಮೂರು ಪ್ರಶ್ನೆಗಳು
ಮೊದಲು ಹಂಚಿಕೆ ಮಾದರಿಯನ್ನು ಪೂಲ್ನಿಂದ ಬೇರ್ಪಡಿಸಿ, ಏಕೆಂದರೆ ಎರಡು ಮಾದರಿಗಳು ಸಂರಚನೆಯನ್ನು ಹಂಚಿಕೊಳ್ಳುವುದಿಲ್ಲ. ASA ಸ್ವತಃ ವಿಳಾಸಗಳನ್ನು ಹಂಚಿದರೆ, ನೀವು ಸ್ಥಳೀಯ ಪೂಲ್ ಅನ್ನು ವ್ಯಾಖ್ಯಾನಿಸಿ ಗ್ರೂಪ್ ಪಾಲಿಸಿಯನ್ನು ಅದರ ಕಡೆಗೆ ತಿರುಗಿಸುತ್ತೀರಿ. ಬಾಹ್ಯ DHCP ಸರ್ವರ್ ಅವನ್ನು ಹಂಚಿದರೆ, ಸಂಪರ್ಕ ಪ್ರೊಫೈಲ್ ಆ ಸರ್ವರ್ ಅನ್ನು ಹೆಸರಿಸುತ್ತದೆ ಮತ್ತು ಗ್ರೂಪ್ ಪಾಲಿಸಿ scope ಸೂಚನೆ ನೀಡುತ್ತದೆ. ಎರಡನ್ನೂ ಬೆರೆಸುವುದೇ ವಿಳಾಸ ಎಂದೂ ಕಾಣದಿರುವ ಸಾಮಾನ್ಯ ಕಾರಣ.
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
ಯಾವುದೇ ಮೌಲ್ಯ ಬದಲಿಸುವ ಮೊದಲು ಪರಿಣಾಮಕಾರಿ ಮೌಲ್ಯಗಳನ್ನು ಓದಿ
ಬಿಟ್ಟುಬಿಟ್ಟ ಸಾಲು ಸ್ಪಷ್ಟ none ಗೆ ಸಮವಲ್ಲ. ಚಾಲ್ತಿಯಲ್ಲಿರುವ ಸಂರಚನೆ ನೀವು ಟೈಪ್ ಮಾಡಿದ್ದನ್ನು ತೋರಿಸುತ್ತದೆ; show run all group-policy ಪಾಲಿಸಿ ನಿಜವಾಗಿ ಯಾವುದಕ್ಕೆ ಬಿಡಿಸಿಕೊಳ್ಳುತ್ತದೆ ಎಂಬುದನ್ನು, ವಂಶಾನುಗತ ಡೀಫಾಲ್ಟ್ಗಳೂ ಸೇರಿದಂತೆ ತೋರಿಸುತ್ತದೆ. scope ತಪ್ಪು ಎಂದು ನಿರ್ಧರಿಸುವ ಮೊದಲು ಎರಡನ್ನೂ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಡೀಫಾಲ್ಟ್ ಪಾಲಿಸಿಯಿಂದ ವಂಶಾನುಗತ ಪಡೆಯುವ ಗ್ರೂಪ್ ಪಾಲಿಸಿ ಸಣ್ಣ ಪಟ್ಟಿಯಲ್ಲಿ ಎಂದೂ ಕಾಣದ ಮೌಲ್ಯವನ್ನು ನೀಡಬಹುದು.
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? ಔಟ್ಪುಟ್ ಅನ್ನು ನೀವು ಸ್ಥಾಪಿಸಿದ ಆವೃತ್ತಿಯಲ್ಲಿ ಓದುವುದು ಯೋಗ್ಯ, ಏಕೆಂದರೆ ಸ್ವೀಕೃತ ಮೌಲ್ಯಗಳು ಮತ್ತು ಅವುಗಳ ಸಹಾಯ ಪಠ್ಯ ಆವೃತ್ತಿಗಳ ನಡುವೆ ಭಿನ್ನವಾಗಿರುತ್ತವೆ. Cisco ASA 9.24 ನ ಗ್ರೂಪ್ ಪಾಲಿಸಿ ಉಲ್ಲೇಖ ಈ ಗುಣಲಕ್ಷಣವನ್ನು ಬಯಸಿದ ಸಬ್ನೆಟ್ನಲ್ಲಿ, ಹಂಚಿಕೆ ಪೂಲ್ನ ಹೊರಗೆ, ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸಕ್ಕೆ ಆದ್ಯತೆ ನೀಡಿ ರೂಟೆಬಲ್ ವಿಳಾಸವೆಂದು ದಾಖಲಿಸುತ್ತದೆ. ಅದು ಪೂಲ್ ಶ್ರೇಣಿಯಲ್ಲ, ಮತ್ತು ನೆಟ್ವರ್ಕ್ ಸಂಖ್ಯೆಯೂ ಅಲ್ಲ.
scope ಅನ್ನು ವಿಳಾಸಕ್ಕೆ ಹೊಂದಿಸಿ, ಶ್ರೇಣಿಗೆ ಅಲ್ಲ
ಸರ್ವರ್ ಬಳಸಬೇಕೆಂದು ನೀವು ಬಯಸುವ ಪೂಲ್ /24 ನಲ್ಲಿ 10.50.30.50 ರಿಂದ 10.50.30.200 ಆಗಿದೆ, ಮತ್ತು ಆ ವಿಭಾಗದಲ್ಲಿನ ASA ಇಂಟರ್ಫೇಸ್ 10.50.30.1 ಎಂದು ಭಾವಿಸಿ. scope ಮೌಲ್ಯ 10.50.30.1. 10.50.30.0 ಬರೆಯುವುದು ವಿಫಲವಾಗುತ್ತದೆ ಏಕೆಂದರೆ ಅದು ನೆಟ್ವರ್ಕ್ ಸಂಖ್ಯೆ, ಮತ್ತು ಶ್ರೇಣಿ ಬರೆಯುವುದು ವಿಫಲವಾಗುತ್ತದೆ ಏಕೆಂದರೆ ಗುಣಲಕ್ಷಣ ಒಂದು ವಿಳಾಸವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ. ನೀವು ಆಯ್ಕೆ ಮಾಡಿದ ವಿಳಾಸ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸವಲ್ಲದಿದ್ದರೆ, DHCP ಸರ್ವರ್ನ ಪ್ರತ್ಯುತ್ತರ ಅಲ್ಲಿಗೆ ತಲುಪಲು ಸ್ಥಿರ ರೂಟ್ ಬೇಕು.
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1ಈ ತುಣುಕು ಒಂದೇ ಕೆಲಸ ಮಾಡುತ್ತದೆ. ಅದು DHCP ಸರ್ವರ್ ಅನ್ನು ಸಂರಚಿಸುವುದಿಲ್ಲ, ಅಲ್ಲಿ ಪೂಲ್ ರಚಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಭಾಗಶಃ ರಿಮೋಟ್-ಆಕ್ಸೆಸ್ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಕೆಲಸ ಮಾಡುವಂತೆ ಮಾಡುವುದಿಲ್ಲ. ಇಲ್ಲಿ ದಾಖಲಾಗಿರುವ ವರ್ತನೆ IPv4 ಮಾತ್ರ; ಅದು DHCPv6 ಅಥವಾ ಪ್ರಿಫಿಕ್ಸ್ ನಿಯೋಜನೆಯನ್ನು ನಿಯಂತ್ರಿಸುತ್ತದೆ ಎಂದು ನಿರೀಕ್ಷಿಸಬೇಡಿ.
ರೋಲ್ಬ್ಯಾಕ್ ಪಾಯಿಂಟ್ನೊಂದಿಗೆ ಅದನ್ನು ಬದಲಿಸಿ
ಮೊದಲು snapshot ತೆಗೆದುಕೊಳ್ಳಿ, ರೋಲ್ಬ್ಯಾಕ್ ಪುನರ್ನಿರ್ಮಾಣವಲ್ಲ, ಆದೇಶವಾಗಲಿ. ಸಂಪಾದಿಸುವ ಮೊದಲು ಸಂಬಂಧಿತ ಸಂರಚನೆಯನ್ನು ಫೈಲ್ಗೆ ಉಳಿಸಿ, ಮತ್ತು no ನಿಮ್ಮ ಆವೃತ್ತಿಯಲ್ಲಿ ಏನನ್ನು ಮರುಸ್ಥಾಪಿಸುತ್ತದೆ ಎಂದು ತಿಳಿಯಿರಿ: ಅದು ಗುಣಲಕ್ಷಣವನ್ನು ಅದರ ಡೀಫಾಲ್ಟ್ ಅಥವಾ ವಂಶಾನುಗತ ಮೌಲ್ಯಕ್ಕೆ ಮರಳಿಸುತ್ತದೆ, ಅದು ಮೇಲಿನ ಪಾಲಿಸಿಯಲ್ಲದೆ none ಆಗಿರಬಹುದು.
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryಗುಣಲಕ್ಷಣ ತೆಗೆಯುವುದೂ ರೋಗನಿರ್ಣಯದ ಹೆಜ್ಜೆ. scope ವ್ಯಾಖ್ಯಾನಿಸದಿದ್ದರೆ DHCP ಸರ್ವರ್ ತನ್ನ ಪೂಲ್ಗಳಲ್ಲಿ ಹಂಚಿಕೆಯಾಗದ ವಿಳಾಸವನ್ನು ಹುಡುಕುತ್ತದೆ, ಆದ್ದರಿಂದ ಕ್ಲೈಂಟ್ ಅನಿರೀಕ್ಷಿತ ಸ್ಥಳಕ್ಕೆ ಬೀಳಬಹುದು ಆದರೆ ಕನಿಷ್ಠ ಸಂಪರ್ಕಗೊಳ್ಳುತ್ತದೆ. ಆ ಫಲಿತಾಂಶ ವಿನಂತಿಯ ಮಾರ್ಗ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಮತ್ತು ವಿಫಲವಾಗುವುದು ಪೂಲ್ ಆಯ್ಕೆ ಎಂದು ಹೇಳುತ್ತದೆ.
ವಿಳಾಸ, ರೂಟ್ ಮತ್ತು ಅನುಮತಿಗಳನ್ನು ಪರಿಶೀಲಿಸಿ
ಹಂಚಿಕೆಯನ್ನು ಕ್ಲೈಂಟ್ನ ಸಂವಾದದಿಂದ ಅಲ್ಲ, ಸೆಷನ್ ಟೇಬಲ್ನಿಂದ ಓದಿ, ನಂತರ ವಿಳಾಸ ಟನೆಲ್ಗೆ ಹಿಂತಿರುಗಿ ರೂಟೆಬಲ್ ಆಗಿದೆಯೇ ಮತ್ತು ಗ್ರೂಪ್ ಪಾಲಿಸಿಯ ಫಿಲ್ಟರ್ಗಳು ನೀವು ನಿರೀಕ್ಷಿಸುವ ಸಂಚಾರಕ್ಕೆ ಅನುಮತಿ ನೀಡುತ್ತವೆಯೇ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಹಂಚಿಕೆಯ ನಿರ್ಧಾರ ರೂಟಿಂಗ್ ನಿರ್ಧಾರವಲ್ಲ, ಮತ್ತು ಸರಿಯಾದ ಪೂಲ್ನಿಂದ ವಿಳಾಸ ಪಡೆದ ಕ್ಲೈಂಟೂ ಪ್ರತಿ ವಿನಂತಿಯಲ್ಲಿ ವಿಫಲವಾಗಬಹುದು.
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideಸೆಷನ್ ನೀವು ಉದ್ದೇಶಿಸಿದ ವಿಳಾಸವನ್ನು ತೋರಿಸಿದರೂ ಸಂಚಾರ ಸಾಯುತ್ತದೆಯಾದರೆ, scope ಶಂಕಿತವಾಗಿ ಮುಗಿದಿದೆ. ಹಿಂತಿರುಗುವ ರೂಟ್, ಗ್ರೂಪ್ ಪಾಲಿಸಿಯ split-tunnel ಅಥವಾ ಫಿಲ್ಟರ್ ಸೆಟ್ಟಿಂಗ್ಗಳು, ಮತ್ತು DHCP scope ASA ನಿಜವಾಗಿ ರೂಟ್ ಮಾಡುವ ವಿಭಾಗದಲ್ಲಿದೆಯೇ ಎಂದು ನೋಡಿ.