ASA VPN кардарлары туура эмес DHCP пулунан дарек алышат

ASAнын dhcp-server жана dhcp-network-scope талааларын эки өзүнчө талаа катары окуңуз, scope'ту пулдан тыш маршрутталуучу дарекке коюңуз, анан маршрутту текшериңиз.

AnyConnect кардарлары туура эмес ички тармакта пайда болот, же DHCP сервери такыр эч нерсе берүүдөн баш тартат, ал эми топ саясаты биринчи караштакта туура көрүнөт. ASAда эки жерде эки талаа бар, экөө тең «даректер кайдан келет» деп угулат, жана туура эмесин коюу так ушуну берет. Туташуу профили DHCP серверин атайт; топ саясаты ошол сервер тандай турган ички тармакты атайт. Экөө тең пул түзбөйт.

Үч объект, үч суроо

Алгач бөлүштүрүү моделин пулдан ажыратыңыз, анткени эки модель конфигурацияны бөлүшпөйт. Эгер ASA даректерди өзү тарата турган болсо, жергиликтүү пул аныктап, топ саясатын ошого багыттайсыз. Эгер аларды тышкы DHCP сервери тарата турган болсо, туташуу профили ошол серверди атайт, ал эми топ саясаты scope жөнүндө ишара берет. Экөөнү аралаштыруу — даректин эч качан пайда болбошунун кадимки себеби.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Бирөөнү өзгөртүүдөн мурун колдонуудагы маанилерди окуңуз

Өткөрүп жиберилген сап ачык none деген менен бирдей эмес. Учурдагы конфигурация эмнени тергениңизди көрсөтөт; show run all group-policy саясаттын чындыгында эмнеге айланганын, анын ичинде мурасталган демейки маанилерди көрсөтөт. scope туура эмес деп чечүүдөн мурун экөөнү тең текшериңиз, анткени демейки саясаттан мурастаган топ саясаты кыска тизмеде эч качан көрүнбөгөн маанини бере алат.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? чыгышын орнотулган релизиңизде окуган татыктуу, анткени кабыл алынган маанилер жана алардын жардам тексттери версиялар арасында айырмаланат. Cisco ASA 9.24 топ саясатынын маалымдамасы атрибутту каалаган ички тармакта, бөлүштүрүү пулунан тыш, интерфейс дарегине артыкчылык берилүүчү маршрутталуучу дарек катары сүрөттөйт. Бул пулдун диапазону эмес жана тармак номери да эмес.

scope'ту дарекке коюңуз, диапазонго эмес

Сервер колдонушун каалай турган пул /24 боюнча 10.50.30.50ден 10.50.30.200гө чейин, ал эми ошол сегменттеги ASA интерфейси 10.50.30.1 деп алалы. scope мааниси — 10.50.30.1. 10.50.30.0 жазуу ишке ашпайт, анткени бул тармак номери, ал эми диапазонду жазуу ишке ашпайт, анткени атрибут бир дарек алат. Тандаган дарегиңиз интерфейс дареги болбосо, DHCP серверинин жообу ага жетүү үчүн ага статикалык маршрут керек.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Бул фрагмент бир гана нерсе кылат. Ал DHCP серверин конфигурациялабайт, ал жерде пул түзбөйт жана жарым-жартылай алыскы кирүү профилин иштегенге айландырбайт. Бул жерде документтелген жүрүм-турум — IPv4 гана; анын DHCPv6 же префикс делегациясын башкарат деп күтпөңүз.

Аны кайтаруу чекити менен өзгөртүңүз

Алгач snapshot жасаңыз, кайтаруу кайра куруу эмес, буйрук болсун. Оңдоодон мурун тиешелүү конфигурацияны файлга сактаңыз жана no сиздин релизиңизде эмнени калыбына келтирерин билиңиз: атрибутту демейки же мурасталган маанисине кайтарат, ал анын үстүндөгү саясат эмес, none болушу мүмкүн.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Атрибутту алып салуу да диагностикалык кадам. scope аныкталбаганда DHCP сервери өз пулдарынан бөлүштүрүлбөгөн дарек издейт, ошондуктан кардар күтүлбөгөн жерге түшүшү мүмкүн, бирок жок дегенде туташат. Бул жыйынтык суроо жолу иштей турганын жана ийгиликсиздик пулду тандоодо экенин айтат.

Даректи, маршрутту жана уруксаттарды текшериңиз

Бөлүштүрүүнү кардардын диалогунан эмес, сессиялар таблицасынан окуңуз, анан даректин туннелге кайра маршрутталаарын жана топ саясатынын чыпкалары күткөн трафикке уруксат берерин ырастаңыз. Бөлүштүрүү чечими маршруттоо чечими эмес, жана туура пулдан дарек алган кардар да ар бир суроодо ийгиликсиз болушу мүмкүн.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Эгер сессия көздөгөн даректи көрсөтсө, бирок трафик өлсө, scope күнөөлүү катары бүттү. Кайтаруу маршрутун, топ саясатындагы split-tunnel же чыпка жөндөөлөрүн жана DHCP scope ASA чындыгында маршруттай турган сегментте экенин караңыз.

Тектеш макалалар