ASA-VPN-Clients kréien Adressen aus dem falschen DHCP-Pool

Liest dhcp-server an dhcp-network-scope op der ASA als zwee verschidde Felder, setzt de Scope op eng routbar Adress ausserhalb vum Pool a kontrolléiert duerno d’Route.

AnyConnect-Clients erschéngen am falschen Subnetz, oder den DHCP-Server refuséiert iwwerhaapt eppes erauszeginn, wärend d’Gruppepolitik op den éischte Bléck richteg ausgesäit. Op enger ASA ginn et zwee Felder op zwou Plazen, déi allebéid kléngen wéi „wou d’Adressen hierkommen“, an dat falscht ze setzen ergëtt genau dat. D’Verbindungsprofil nennt den DHCP-Server; d’Gruppepolitik nennt en Subnetz, aus deem dee Server soll auswielen. Keen vun deenen zwee schaaft e Pool.

Dräi Objeten, dräi Froen

Trennt als éischt den Zoudeelungsmodell vum Pool, well déi zwou Modeller keng Konfiguratioun deelen. Wann d’ASA d’Adressen selwer verdeelt, definéiert Dir eng lokal Pool a richt d’Gruppepolitik drop. Wann en externe DHCP-Server se verdeelt, nennt d’Verbindungsprofil dee Server an d’Gruppepolitik gëtt en Scope-Hiweis. Béides ze vermëschen ass de gewéinleche Grond, firwat eng Adress ni erschéngt.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Liest déi gëlteg Wäerter, ier Dir een ännert

Eng ausgelooss Linn ass net datselwecht wéi en explizitt none. Déi lafend Konfiguratioun weist, wat Dir aginn hutt; show run all group-policy weist, wourop d’Politik sech tatsächlech opléisst, inklusiv déi geierft Standardwäerter. Kontrolléiert béides, ier Dir entscheet, datt de Scope falsch ass, well eng Gruppepolitik, déi vun enger Standardpolitik ierft, en Wäert ka liwweren, dee ni an der kuerzer Lëscht erschéngt.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? ass et wäert, op Ärer installéierter Versioun ze liesen, well déi akzeptéiert Wäerter an hire Hëllefstext sech tëscht Versioune sech ënnerscheeden. D’Cisco ASA 9.24 Referenz zur Gruppepolitik dokumentéiert d’Attribut als eng routbar Adress am gewënschten Subnetz, ausserhalb vum Zoudeelungspool, mat enger Interface-Adress als Preferenz. Et ass net de Poolberäich an net d’Netzwierknummer.

Setzt de Scope op eng Adress, net op e Beräich

Stellt Iech vir, de Pool, deen de Server soll benotzen, ass 10.50.30.50 bis 10.50.30.200 op engem /24, an d’ASA-Interface op deem Segment ass 10.50.30.1. De Scope-Wäert ass 10.50.30.1. 10.50.30.0 ze schreiwen schléit fehl, well dat d’Netzwierknummer ass, an de Beräich ze schreiwen schléit fehl, well d’Attribut eng eenzeg Adress hëlt. Wann d’Adress, déi Dir wielt, keng Interface-Adress ass, brauch si eng statesch Route, sou datt d’Äntwert vum DHCP-Server si erreeche kann.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Dëst Fragment mécht just eng Saach. Et konfiguréiert den DHCP-Server net, schaaft do keng Pool a mécht en deelweisen Fernzougrëffsprofil net funktionéierend. Dat hei dokumentéiert Verhalen ass nëmmen IPv4; erwaart net, datt et DHCPv6 oder Präfixdelegatioun steiert.

Ännert et mat engem Récksprongpunkt

Maacht als éischt e Snapshot, sou datt de Récksprong eng Kommando ass an net en Neiopbau. Späichert déi relevant Konfiguratioun an engem Fichier, ier Dir editéiert, a wësst, wat no op Ärer Versioun restauréiert: et setzt d’Attribut op säi Standard- oder geierfte Wäert zréck, deen none ka sinn amplaz vun der Politik driwwer.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

D’Attribut ze läschen ass och en diagnostesche Schrëtt. Ouni definéierte Scope sicht den DHCP-Server a senge eigenen Poole no enger net zougedeelter Adress, sou datt de Client op en onerwaarten Uert ka landen, awer op d’mannst verbënnt. Dat Resultat seet Iech, datt de Wee vun der Ufro funktionéiert an datt d’Poolauswiel dat ass, wat feelerhëlt.

Kontrolléiert d’Adress, d’Route an d’Berechtegungen

Liest d’Zoudeelung aus der Sessiounstabell an net aus dem Dialog vum Client, bestätegt duerno, datt d’Adress zréck an den Tunnel routbar ass an datt d’Filtere vun der Gruppepolitik de Verkehr erlaben, den Dir erwaart. Eng Zoudeelungsentscheedung ass keng Routingentscheedung, an e Client, deen eng Adress aus dem richtegen Pool kritt, ka nach ëmmer bei all Ufro feeleren.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Wann d’Sessioun déi Adress weist, déi Dir geduecht hutt, awer den Traffic stierft, ass de Scope als Verdächtegen ofgeschloss. Kuckt op d’Réckroute, op Split-Tunnel- oder Filterastellungen op der Gruppepolitik, an ob de DHCP-Scope op engem Segment sëtzt, op deen d’ASA tatsächlech routet.

Ähnlech Artikelen