ASA VPN klienti saņem adreses no nepareiza DHCP apgabala

Lasiet ASA dhcp-server un dhcp-network-scope kā divus atšķirīgus laukus, iestatiet scope uz maršrutējamu adresi ārpus apgabala un pēc tam pārbaudiet maršrutu.

AnyConnect klienti parādās nepareizajā apakštīklā, vai arī DHCP serveris atsakās vispār kaut ko izdot, kamēr grupas politika no pirmā acu uzmetiena izskatās pareiza. ASA ir divi lauki divās vietās, kas abi izklausās kā „no kurienes nāk adreses”, un nepareizā iestatīšana dod tieši to. Savienojuma profils nosauc DHCP serveri; grupas politika nosauc apakštīklu, no kura šim serverim jāizvēlas. Neviens no tiem neveido apgabalu.

Trīs objekti, trīs jautājumi

Vispirms atdaliet piešķiršanas modeli no apgabala, jo abi modeļi nedala konfigurāciju. Ja ASA pats izdala adreses, jūs definējat lokālu apgabalu un vēršat uz to grupas politiku. Ja tās izdala ārējs DHCP serveris, savienojuma profils nosauc šo serveri, un grupas politika sniedz scope mājienu. Abu sajaukšana ir parastais iemesls, kāpēc adrese nekad neparādās.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Izlasiet spēkā esošās vērtības pirms kādas maiņas

Izlaista rinda nav tas pats, kas skaidri norādīts none. Pašreizējā konfigurācija parāda, ko ievadījāt; show run all group-policy parāda, uz ko politika faktiski izšķiras, tostarp mantotās noklusējuma vērtības. Pārbaudiet abus pirms secināt, ka scope ir nepareizs, jo grupas politika, kas manto no noklusējuma politikas, var dot vērtību, kas nekad neparādās īsajā sarakstā.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? izvadi ir vērts lasīt jūsu instalētajā versijā, jo pieņemtās vērtības un to palīdzības teksts atšķiras starp versijām. Cisco ASA 9.24 grupas politikas uzziņa apraksta atribūtu kā maršrutējamu adresi vēlamajā apakštīklā, ārpus piešķiršanas apgabala, dodot priekšroku saskarnes adresei. Tas nav apgabala diapazons un nav tīkla numurs.

Iestatiet scope uz adresi, nevis diapazonu

Pieņemsim, ka apgabals, kurā vēlaties, lai serveris izmanto, ir no 10.50.30.50 līdz 10.50.30.200 /24 tīklā, un ASA saskarne šajā segmentā ir 10.50.30.1. Scope vērtība ir 10.50.30.1. 10.50.30.0 rakstīšana neizdodas, jo tas ir tīkla numurs, un diapazona rakstīšana neizdodas, jo atribūts ņem vienu adresi. Ja izvēlētā adrese nav saskarnes adrese, tai vajadzīgs statisks maršruts, lai DHCP servera atbilde varētu to sasniegt.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Šis fragments dara tikai vienu lietu. Tas nekonfigurē DHCP serveri, neveido tur apgabalu un nepadara daļēju attālinātās piekļuves profilu darbspējīgu. Šeit dokumentētā uzvedība ir tikai IPv4; negaidiet, ka tā vadīs DHCPv6 vai prefiksa deleģēšanu.

Mainiet to ar atrituma punktu

Vispirms izveidojiet momentuzņēmumu, lai atritums būtu komanda, nevis pārbūve. Saglabājiet attiecīgo konfigurāciju failā pirms rediģēšanas un ziniet, ko no atjauno jūsu versijā: tas atgriež atribūtu tā noklusējuma vai mantotajā vērtībā, kas var būt none, nevis politika virs tā.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Atribūta noņemšana ir arī diagnostikas solis. Ja scope nav definēts, DHCP serveris savos apgabalos meklē nepiešķirtu adresi, tāpēc klients var nonākt negaidītā vietā, bet vismaz izveido savienojumu. Šis rezultāts pasaka, ka pieprasījuma ceļš darbojas un ka neizdodas apgabala izvēle.

Pārbaudiet adresi, maršrutu un atļaujas

Lasiet piešķīrumu no sesiju tabulas, nevis no klienta dialoga, pēc tam apstipriniet, ka adrese ir maršrutējama atpakaļ uz tuneli un ka grupas politikas filtri atļauj gaidīto trafiku. Piešķiršanas lēmums nav maršrutēšanas lēmums, un klients, kas saņem adresi no pareizā apgabala, joprojām var neizdoties katrā pieprasījumā.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Ja sesija rāda paredzēto adresi, bet trafiks iet bojā, scope kā aizdomās turamais ir pabeigts. Paskatieties uz atgriešanās maršrutu, grupas politikas split-tunnel vai filtru iestatījumiem un to, vai DHCP scope atrodas segmentā, uz kuru ASA patiešām maršrutē.

Saistītie raksti