ASA VPN клиентүүд буруу DHCP пулаас хаяг авдаг

ASA-ийн dhcp-server болон dhcp-network-scope талбарыг хоёр өөр талбар гэж уншиж, scope-г пулаас гадуур маршрутлагдах хаягт тавиад дараа нь маршрутыг шалгана уу.

AnyConnect клиентүүд буруу дэд сүлжээнд гарч ирэх, эсвэл DHCP сервер огт юу ч өгөхөөс татгалзах боловч бүлгийн бодлого анх харахад зөв мэт санагддаг. ASA дээр хоёр газарт хоёр талбар байдаг бөгөөд хоёулаа «хаягууд хаанаас ирдэг» гэж сонсогддог бөгөөд бурууг нь тавих нь яг үүнийг үүсгэдэг. Холболтын профайл DHCP серверийг нэрлэдэг; бүлгийн бодлого тэр сервер сонгох дэд сүлжээг нэрлэдэг. Аль нь ч пул үүсгэдэггүй.

Гурван объект, гурван асуулт

Эхлээд хуваарилалтын загварыг пулаас тусгаарла, учир нь хоёр загвар тохиргоог хуваалцдаггүй. Хэрэв ASA өөрөө хаяг хуваарилдаг бол локал пул тодорхойлж, бүлгийн бодлогыг түүн рүү чиглүүлнэ. Хэрэв гадаад DHCP сервер хуваарилдаг бол холболтын профайл тэр серверийг нэрлэж, бүлгийн бодлого scope-ийн сэжмэг өгнө. Хоёулыг холих нь хаяг хэзээ ч гарахгүй байх нийтлэг шалтгаан юм.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Нэгийг өөрчлөхөөс өмнө хүчинтэй утгуудыг уншина уу

Орхигдсон мөр нь тодорхой none-тай ижил биш. Ажиллаж буй тохиргоо таны оруулсаныг харуулна; show run all group-policy бодлого бодитоор юунд шилждэгийг, өвлөгдсөн анхдагч утгуудыг оруулан харуулна. scope буруу гэж шийдэхээс өмнө хоёулыг шалга, учир нь анхдагч бодлогоос өвлөсөн бүлгийн бодлого богино жагсаалтад хэзээ ч харагдахгүй утга өгч болно.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? гаралтыг таны суулгасан хувилбар дээр унших нь зүйтэй, учир нь хүлээн зөвшөөрөгдөх утгууд болон тэдгээрийн тусламжийн текст хувилбар бүрт өөр байдаг. Cisco ASA 9.24-ийн бүлгийн бодлогын лавлагаа уг шинж чанарыг хүссэн дэд сүлжээнд, хуваарилалтын пулаас гадуур, интерфэйсийн хаягт давуу эрх өгч маршрутлагдах хаяг гэж тодорхойлдог. Энэ нь пулын хүрээ биш бөгөөд сүлжээний дугаар ч биш.

scope-г хаягт тавь, хүрээнд биш

Серверийн ашиглахыг хүсэж буй пул /24 дээр 10.50.30.50-аас 10.50.30.200 хүртэл, тухайн сегмент дэх ASA интерфэйс 10.50.30.1 гэж үзье. scope-ийн утга нь 10.50.30.1. 10.50.30.0 бичих нь сүлжээний дугаар тул бүтэлгүйтнэ, хүрээ бичих нь мөн бүтэлгүйтнэ, учир нь шинж чанар нэг хаяг авдаг. Сонгосон хаяг интерфэйсийн хаяг биш бол DHCP серверийн хариу түүнд хүрэхийн тулд статик маршрут хэрэгтэй.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Энэ хэсэг зөвхөн нэг зүйл хийдэг. Энэ нь DHCP серверийг тохируулдаггүй, тэнд пул үүсгэдэггүй, хэсэгчилсэн алсын хандалтын профайлыг ажилладаг болгодоггүй. Энд баримтжуулсан зан төлөв нь зөвхөн IPv4; энэ нь DHCPv6 эсвэл префиксийн делегацийг удирдана гэж бүү хүлээ.

Үүнийг буцаах цэгтэй өөрчил

Эхлээд snapshot хий, буцаалт дахин бүтээх биш, команд байг. Засвараас өмнө холбогдох тохиргоог файлд хадгалж, no таны хувилбар дээр юуг сэргээдэгийг мэдэж ав: шинж чанарыг анхдагч эсвэл өвлөгдсөн утга руу буцаадаг бөгөөд энэ нь дээрх бодлого биш, none байж болно.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Шинж чанарыг хасах нь мөн оношилгооны алхам. scope тодорхойлогдоогүй үед DHCP сервер өөрийн пулуудаас хуваарилагдаагүй хаяг хайдаг тул клиент санаанд оромгүй газарт очиж болно, гэхдээ ядаж холбогдоно. Энэ үр дүн хүсэлтийн зам ажиллаж байгаа бөгөөд бүтэлгүйтэж буй нь пулын сонголт гэдгийг хэлнэ.

Хаяг, маршрут, зөвшөөрлийг шалга

Хуваарилалтыг клиентийн харилцах цонхноос биш, сессийн хүснэгтээс уншиж, дараа нь хаяг туннель рүү буцаж маршрутлагдах боломжтой, бүлгийн бодлогын шүүлтүүр таны хүлээж буй урсгалыг зөвшөөрч байгаа эсэхийг батал. Хуваарилалтын шийдвэр нь маршрутлалтын шийдвэр биш бөгөөд зөв пулаас хаяг авсан клиент ч хүсэлт бүрт бүтэлгүйтэж болно.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Хэрэв сесс таны зорьсон хаягийг харуулж байгаа ч урсгал үхвэл scope сэжигтэн байдлаар дууссан. Буцах маршрут, бүлгийн бодлогын split-tunnel эсвэл шүүлтүүрийн тохиргоо, DHCP scope нь ASA бодитоор маршрутладаг сегмент дээр байгаа эсэхийг хар.

Холбоотой нийтлэлүүд