ASA VPN klientai gauna adresus iš netinkamo DHCP telkinio

Skaitykite ASA dhcp-server ir dhcp-network-scope kaip du skirtingus laukus, nustatykite scope į maršrutizuojamą adresą už telkinio ribų ir tada patikrinkite maršrutą.

AnyConnect klientai atsiranda netinkamame potinklyje arba DHCP serveris atsisako apskritai ką nors išduoti, o grupės politika iš pirmo žvilgsnio atrodo teisinga. ASA yra du laukai dviejose vietose, kurie abu skamba kaip „iš kur ateina adresai“, ir netinkamo nustatymas duoda būtent tai. Ryšio profilis įvardija DHCP serverį; grupės politika įvardija potinklį, iš kurio tas serveris turi rinktis. Nė vienas jų nesukuria telkinio.

Trys objektai, trys klausimai

Pirmiausia atskirkite paskirstymo modelį nuo telkinio, nes du modeliai nesidalija konfigūracijos. Jei ASA pats dalija adresus, apibrėžiate vietinį telkinį ir nukreipiate į jį grupės politiką. Jei juos dalija išorinis DHCP serveris, ryšio profilis įvardija tą serverį, o grupės politika pateikia scope užuominą. Abiejų maišymas yra įprasta priežastis, kodėl adresas niekada nepasirodo.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Perskaitykite galiojančias reikšmes prieš keisdami vieną

Praleista eilutė nėra tas pats kaip aiškus none. Vykstanti konfigūracija rodo, ką įvedėte; show run all group-policy rodo, į ką politika iš tikrųjų išsiskleidžia, įskaitant paveldėtas numatytąsias reikšmes. Patikrinkite abu prieš nuspręsdami, kad scope netinkamas, nes grupės politika, paveldinti iš numatytosios politikos, gali duoti reikšmę, kuri niekada nepasirodo trumpame sąraše.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? išvestį verta perskaityti jūsų įdiegtoje versijoje, nes priimamos reikšmės ir jų pagalbos tekstas skiriasi priklausomai nuo versijos. Cisco ASA 9.24 grupės politikos nuoroda aprašo atributą kaip maršrutizuojamą adresą norimame potinklyje, už paskirstymo telkinio, teikiant pirmenybę sąsajos adresui. Tai nėra telkinio diapazonas ir ne tinklo numeris.

Nustatykite scope į adresą, o ne į diapazoną

Tarkime, telkinys, kurį norite, kad serveris naudotų, yra nuo 10.50.30.50 iki 10.50.30.200 /24 tinkle, o ASA sąsaja tame segmente yra 10.50.30.1. Scope reikšmė yra 10.50.30.1. Rašyti 10.50.30.0 nepavyksta, nes tai tinklo numeris, o rašyti diapazoną nepavyksta, nes atributas priima vieną adresą. Jei pasirinktas adresas nėra sąsajos adresas, jam reikia statinio maršruto, kad DHCP serverio atsakymas galėtų jį pasiekti.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Šis fragmentas daro tik vieną dalyką. Jis nekonfigūruoja DHCP serverio, nesukuria ten telkinio ir nepaverčia dalinio nuotolinės prieigos profilio veikiančiu. Čia dokumentuotas elgesys yra tik IPv4; nesitikėkite, kad jis valdys DHCPv6 ar prefikso delegavimą.

Pakeiskite jį su atkūrimo tašku

Pirmiausia padarykite momentinę kopiją, kad atkūrimas būtų komanda, o ne perstatymas. Išsaugokite atitinkamą konfigūraciją faile prieš redaguodami ir žinokite, ką no atkuria jūsų versijoje: jis grąžina atributą į numatytąją arba paveldėtą reikšmę, kuri gali būti none, o ne politika virš jo.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Atributo pašalinimas taip pat yra diagnostinis žingsnis. Kai scope neapibrėžtas, DHCP serveris savo telkiniuose ieško nepaskirstyto adreso, todėl klientas gali atsidurti netikėtoje vietoje, bet bent jau prisijungia. Šis rezultatas sako, kad užklausos kelias veikia, o nepavyksta telkinio pasirinkimas.

Patikrinkite adresą, maršrutą ir leidimus

Skaitykite paskyrimą iš sesijų lentelės, o ne iš kliento dialogo, tada patvirtinkite, kad adresas yra maršrutizuojamas atgal į tunelį ir kad grupės politikos filtrai leidžia laukiamą srautą. Paskyrimo sprendimas nėra maršrutizavimo sprendimas, ir klientas, gavęs adresą iš teisingo telkinio, vis tiek gali nepavykti kiekvienoje užklausoje.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Jei sesija rodo numatytą adresą, bet srautas miršta, scope kaip įtariamasis baigtas. Pažiūrėkite į grįžtamąjį maršrutą, grupės politikos split-tunnel arba filtrų nustatymus ir ar DHCP scope yra segmente, į kurį ASA tikrai maršrutizuoja.

Susiję straipsniai