VPN клиентите на ASA добиваат адреси од погрешен DHCP базен

Читајте ги dhcp-server и dhcp-network-scope на ASA како две различни полиња, поставете го scope на рутирачка адреса надвор од базенот и потоа проверете ја рутата.

AnyConnect клиентите се појавуваат на погрешната подмрежа, или DHCP серверот одбива воопшто да даде било што, а групната политика на прв поглед изгледа исправна. На ASA има две полиња на две места што и двете звучат како „од каде доаѓаат адресите“, и поставувањето на погрешното го дава точно ова. Профилот за врска го именува DHCP серверот; групната политика именува подмрежа од која тој сервер треба да избира. Ниту едно од двете не создава базен.

Три објекти, три прашања

Прво одделете го моделот на доделување од базенот, бидејќи двата модела не делат конфигурација. Ако ASA сам ги дели адресите, дефинирате локален базен и ја насочувате групната политика кон него. Ако ги дели надворешен DHCP сервер, профилот за врска го именува тој сервер, а групната политика дава навестување за scope. Мешањето на двете е вообичаената причина зошто адреса никогаш не се појавува.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Прочитајте ги важечките вредности пред да смените некоја

Изоставената линија не е исто што и експлицитно none. Тековната конфигурација покажува што сте внеле; show run all group-policy покажува на што политиката всушност се сведува, вклучително наследените стандардни вредности. Проверете ги двете пред да заклучите дека scope е погрешен, бидејќи групна политика што наследува од стандардна политика може да даде вредност што никогаш не се појавува во кратката листа.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? излезот вреди да се прочита на вашата инсталирана верзија, бидејќи прифатените вредности и нивниот текст за помош се разликуваат меѓу верзиите. Cisco ASA 9.24 референца за групна политика го опишува атрибутот како рутирачка адреса во саканата подмрежа, надвор од базенот за доделување, со предност за адреса на интерфејс. Тоа не е опсегот на базенот и не е бројот на мрежата.

Поставете го scope на адреса, не на опсег

Да претпоставиме дека базенот што сакате серверот да го користи е 10.50.30.50 до 10.50.30.200 на /24, а интерфејсот на ASA во тој сегмент е 10.50.30.1. Вредноста на scope е 10.50.30.1. Пишувањето 10.50.30.0 не успева затоа што тоа е бројот на мрежата, а пишувањето на опсегот не успева затоа што атрибутот прима една адреса. Ако избраната адреса не е адреса на интерфејс, ѝ треба статична рута за да може одговорот на DHCP серверот да стигне до неа.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Овој фрагмент прави само една работа. Не го конфигурира DHCP серверот, не создава базен таму и не го претвора делумниот профил за далечински пристап во работен. Овде документираното однесување е само IPv4; не очекувајте да управува со DHCPv6 или делегирање на префикс.

Сменете го со точка за враќање

Прво направете snapshot, за враќањето да биде команда, а не повторна изградба. Зачувајте ја релевантната конфигурација во датотека пред уредување и знајте што no враќа на вашата верзија: го враќа атрибутот на неговата стандардна или наследена вредност, која може да биде none, а не политиката над него.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Отстранувањето на атрибутот е исто така дијагностички чекор. Без дефиниран scope, DHCP серверот бара во сопствените базени недоделена адреса, па клиентот може да заврши на неочекувано место, но барем се поврзува. Тој резултат ви кажува дека патеката на барањето работи и дека изборот на базенот е она што не успева.

Проверете ја адресата, рутата и дозволите

Читајте го доделувањето од табелата со сесии, а не од дијалогот на клиентот, потоа потврдете дека адресата е рутирачка назад кон тунелот и дека филтрите на групната политика го дозволуваат сообраќајот што го очекувате. Одлуката за доделување не е одлука за рутирање, и клиент што добива адреса од правилниот базен сепак може да не успее на секое барање.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Ако сесијата ја покажува предвидената адреса, но сообраќајот умира, scope е завршен како осомничен. Погледнете ја повратната рута, поставките за split-tunnel или филтрите на групната политика и дали DHCP scope седи на сегмент кон кој ASA навистина рутира.

Поврзани статии