ASA VPN ക്ലയന്റുകൾ തെറ്റായ DHCP പൂളിൽ നിന്ന് വിലാസങ്ങൾ നേടുന്നു
ASA-യിലെ dhcp-server, dhcp-network-scope എന്നിവ രണ്ട് വ്യത്യസ്ത ഫീൽഡുകളായി വായിക്കുക, പൂളിന് പുറത്തുള്ള റൂട്ട് ചെയ്യാവുന്ന വിലാസത്തിലേക്ക് scope സജ്ജമാക്കി റൂട്ട് പരിശോധിക്കുക.
AnyConnect ക്ലയന്റുകൾ തെറ്റായ സബ്നെറ്റിൽ പ്രത്യക്ഷപ്പെടുന്നു, അല്ലെങ്കിൽ DHCP സെർവർ ഒന്നും നൽകാൻ വിസമ്മതിക്കുന്നു, എന്നാൽ ഗ്രൂപ്പ് പോളിസി ഒറ്റനോട്ടത്തിൽ ശരിയാണെന്ന് തോന്നുന്നു. ASA-യിൽ രണ്ടിടത്ത് രണ്ട് ഫീൽഡുകളുണ്ട്, രണ്ടും «വിലാസങ്ങൾ എവിടെ നിന്ന് വരുന്നു» എന്ന് തോന്നിപ്പിക്കുന്നു, തെറ്റായത് സജ്ജമാക്കിയാൽ കൃത്യമായി ഇതാണ് സംഭവിക്കുന്നത്. കണക്ഷൻ പ്രൊഫൈൽ DHCP സെർവറിനെ പേരിടുന്നു; ഗ്രൂപ്പ് പോളിസി ആ സെർവർ തിരഞ്ഞെടുക്കേണ്ട സബ്നെറ്റിനെ പേരിടുന്നു. രണ്ടും പൂൾ സൃഷ്ടിക്കുന്നില്ല.
മൂന്ന് ഒബ്ജക്റ്റുകൾ, മൂന്ന് ചോദ്യങ്ങൾ
ആദ്യം അലോക്കേഷൻ മാതൃകയെ പൂളിൽ നിന്ന് വേർതിരിക്കുക, കാരണം രണ്ട് മാതൃകകളും കോൺഫിഗറേഷൻ പങ്കിടുന്നില്ല. ASA തന്നെ വിലാസങ്ങൾ വിതരണം ചെയ്യുന്നുവെങ്കിൽ, പ്രാദേശിക പൂൾ നിർവചിച്ച് ഗ്രൂപ്പ് പോളിസിയെ അതിലേക്ക് തിരിച്ചുവിടുന്നു. പുറത്തുള്ള DHCP സെർവർ അവ വിതരണം ചെയ്യുന്നുവെങ്കിൽ, കണക്ഷൻ പ്രൊഫൈൽ ആ സെർവറിനെ പേരിടുന്നു, ഗ്രൂപ്പ് പോളിസി scope സൂചന നൽകുന്നു. രണ്ടും കലർത്തുന്നതാണ് വിലാസം ഒരിക്കലും പ്രത്യക്ഷപ്പെടാത്തതിന്റെ സാധാരണ കാരണം.
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
ഒരു മൂല്യം മാറ്റുന്നതിന് മുമ്പ് പ്രാബല്യത്തിലുള്ള മൂല്യങ്ങൾ വായിക്കുക
ഒഴിവാക്കിയ വരി വ്യക്തമായ none എന്നതിന് തുല്യമല്ല. പ്രവർത്തിക്കുന്ന കോൺഫിഗറേഷൻ നിങ്ങൾ ടൈപ്പ് ചെയ്തത് കാണിക്കുന്നു; show run all group-policy പോളിസി യഥാർത്ഥത്തിൽ എന്തിലേക്ക് പരിഹരിക്കുന്നു എന്ന്, പാരമ്പര്യമായി ലഭിച്ച ഡിഫോൾട്ടുകൾ ഉൾപ്പെടെ കാണിക്കുന്നു. scope തെറ്റാണെന്ന് തീരുമാനിക്കുന്നതിന് മുമ്പ് രണ്ടും പരിശോധിക്കുക, കാരണം ഡിഫോൾട്ട് പോളിസിയിൽ നിന്ന് പാരമ്പര്യം നേടുന്ന ഗ്രൂപ്പ് പോളിസി ചെറിയ പട്ടികയിൽ ഒരിക്കലും കാണാത്ത മൂല്യം നൽകിയേക്കാം.
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? ഔട്ട്പുട്ട് നിങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്ത റിലീസിൽ വായിക്കാൻ യോഗ്യമാണ്, കാരണം സ്വീകരിക്കുന്ന മൂല്യങ്ങളും അവയുടെ സഹായ പാഠവും പതിപ്പുകൾക്കിടയിൽ വ്യത്യാസപ്പെടുന്നു. Cisco ASA 9.24-ന്റെ ഗ്രൂപ്പ് പോളിസി റഫറൻസ് ഈ ഗുണവിശേഷതയെ ആവശ്യമുള്ള സബ്നെറ്റിൽ, അലോക്കേഷൻ പൂളിന് പുറത്ത്, ഇന്റർഫേസ് വിലാസത്തിന് മുൻഗണന നൽകി റൂട്ട് ചെയ്യാവുന്ന വിലാസമായി വിവരിക്കുന്നു. അത് പൂൾ ശ്രേണിയല്ല, നെറ്റ്വർക്ക് നമ്പറുമല്ല.
scope വിലാസത്തിലേക്ക് സജ്ജമാക്കുക, ശ്രേണിയിലേക്കല്ല
സെർവർ ഉപയോഗിക്കണമെന്ന് നിങ്ങൾ ആഗ്രഹിക്കുന്ന പൂൾ /24-ൽ 10.50.30.50 മുതൽ 10.50.30.200 വരെയാണെന്നും, ആ സെഗ്മെന്റിലെ ASA ഇന്റർഫേസ് 10.50.30.1 ആണെന്നും കരുതുക. scope മൂല്യം 10.50.30.1 ആണ്. 10.50.30.0 എഴുതുന്നത് പരാജയപ്പെടുന്നു കാരണം അത് നെറ്റ്വർക്ക് നമ്പറാണ്, ശ്രേണി എഴുതുന്നതും പരാജയപ്പെടുന്നു കാരണം ഗുണവിശേഷത ഒരു വിലാസം മാത്രം എടുക്കുന്നു. നിങ്ങൾ തിരഞ്ഞെടുക്കുന്ന വിലാസം ഇന്റർഫേസ് വിലാസമല്ലെങ്കിൽ, DHCP സെർവറിന്റെ മറുപടി അവിടെ എത്താൻ സ്റ്റാറ്റിക് റൂട്ട് ആവശ്യമാണ്.
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1ഈ ഭാഗം ഒരു കാര്യം മാത്രം ചെയ്യുന്നു. അത് DHCP സെർവർ കോൺഫിഗർ ചെയ്യുന്നില്ല, അവിടെ പൂൾ സൃഷ്ടിക്കുന്നില്ല, ഭാഗിക റിമോട്ട്-ആക്സസ് പ്രൊഫൈലിനെ പ്രവർത്തിക്കുന്നതാക്കുന്നുമില്ല. ഇവിടെ രേഖപ്പെടുത്തിയ സ്വഭാവം IPv4 മാത്രമാണ്; അത് DHCPv6 അല്ലെങ്കിൽ പ്രിഫിക്സ് ഡെലിഗേഷൻ നിയന്ത്രിക്കുമെന്ന് പ്രതീക്ഷിക്കരുത്.
റോൾബാക്ക് പോയിന്റിനൊപ്പം അത് മാറ്റുക
ആദ്യം snapshot എടുക്കുക, റോൾബാക്ക് പുനർനിർമ്മാണമല്ല, കമാൻഡ് ആകാൻ. എഡിറ്റ് ചെയ്യുന്നതിന് മുമ്പ് ബന്ധപ്പെട്ട കോൺഫിഗറേഷൻ ഫയലിൽ സംരക്ഷിക്കുക, no നിങ്ങളുടെ റിലീസിൽ എന്ത് പുനഃസ്ഥാപിക്കുന്നു എന്ന് അറിയുക: അത് ഗുണവിശേഷതയെ അതിന്റെ ഡിഫോൾട്ട് അല്ലെങ്കിൽ പാരമ്പര്യ മൂല്യത്തിലേക്ക് തിരികെ കൊണ്ടുവരുന്നു, അത് മുകളിലുള്ള പോളിസിയല്ല, none ആയിരിക്കാം.
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryഗുണവിശേഷത നീക്കം ചെയ്യുന്നതും ഒരു ഡയഗ്നോസ്റ്റിക് ഘട്ടമാണ്. scope നിർവചിക്കാത്തപ്പോൾ DHCP സെർവർ സ്വന്തം പൂളുകളിൽ അനുവദിക്കപ്പെടാത്ത വിലാസം തിരയുന്നു, അതിനാൽ ക്ലയന്റ് അപ്രതീക്ഷിത സ്ഥലത്ത് എത്തിയേക്കാം, പക്ഷേ കുറഞ്ഞത് കണക്റ്റ് ചെയ്യുന്നു. ആ ഫലം അഭ്യർത്ഥനയുടെ പാത പ്രവർത്തിക്കുന്നു എന്നും പരാജയപ്പെടുന്നത് പൂൾ തിരഞ്ഞെടുപ്പാണെന്നും പറയുന്നു.
വിലാസവും റൂട്ടും അനുമതികളും പരിശോധിക്കുക
അലോക്കേഷൻ ക്ലയന്റിന്റെ സംഭാഷണത്തിൽ നിന്നല്ല, സെഷൻ പട്ടികയിൽ നിന്ന് വായിക്കുക, തുടർന്ന് വിലാസം ടണലിലേക്ക് തിരികെ റൂട്ട് ചെയ്യാവുന്നതാണെന്നും ഗ്രൂപ്പ് പോളിസിയുടെ ഫിൽട്ടറുകൾ നിങ്ങൾ പ്രതീക്ഷിക്കുന്ന ട്രാഫിക്ക് അനുവദിക്കുന്നുവെന്നും ഉറപ്പാക്കുക. അലോക്കേഷൻ തീരുമാനം റൂട്ടിംഗ് തീരുമാനമല്ല, ശരിയായ പൂളിൽ നിന്ന് വിലാസം ലഭിക്കുന്ന ക്ലയന്റും ഓരോ അഭ്യർത്ഥനയിലും പരാജയപ്പെടാം.
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideസെഷൻ നിങ്ങൾ ഉദ്ദേശിച്ച വിലാസം കാണിക്കുന്നുവെങ്കിലും ട്രാഫിക് മരിക്കുന്നുവെങ്കിൽ, scope സംശയിക്കപ്പെടുന്നതായി അവസാനിച്ചു. തിരികെയുള്ള റൂട്ട്, ഗ്രൂപ്പ് പോളിസിയിലെ split-tunnel അല്ലെങ്കിൽ ഫിൽട്ടർ ക്രമീകരണങ്ങൾ, DHCP scope ASA യഥാർത്ഥത്തിൽ റൂട്ട് ചെയ്യുന്ന സെഗ്മെന്റിലാണോ എന്നിവ നോക്കുക.