ASA VPN क्लायंट चुकीच्या DHCP पूलमधून पत्ते घेतात
ASA चे dhcp-server आणि dhcp-network-scope दोन वेगळी क्षेत्रे म्हणून वाचा, scope पूलबाहेरच्या राउटेबल पत्त्यावर सेट करा आणि नंतर मार्ग तपासा.
AnyConnect क्लायंट चुकीच्या सबनेटवर येतात, किंवा DHCP सर्व्हर काहीही देण्यास नकार देतो, तर ग्रुप धोरण पहिल्या दृष्टीक्षेपात बरोबर दिसते. ASA वर दोन ठिकाणी दोन क्षेत्रे आहेत जी दोन्ही «पत्ते कुठून येतात» असे वाटतात, आणि चुकीचे सेट केल्यास नेमके हेच होते. कनेक्शन प्रोफाइल DHCP सर्व्हरचे नाव सांगते; ग्रुप धोरण त्या सर्व्हरने निवडायच्या सबनेटचे नाव सांगते. दोन्हीपैकी कोणीही पूल तयार करत नाही.
तीन ऑब्जेक्ट, तीन प्रश्न
प्रथम वाटप मॉडेल पूलपासून वेगळे करा, कारण दोन्ही मॉडेल कॉन्फिगरेशन सामायिक करत नाहीत. ASA स्वतः पत्ते वाटत असेल, तर तुम्ही स्थानिक पूल परिभाषित करता आणि ग्रुप धोरण त्याकडे वळवता. बाह्य DHCP सर्व्हर ती वाटत असेल, तर कनेक्शन प्रोफाइल त्या सर्व्हरचे नाव सांगते आणि ग्रुप धोरण scope चा इशारा देते. दोन्ही मिसळणे हे पत्ता कधीही न दिसण्याचे नेहमीचे कारण आहे.
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
कोणतेही मूल्य बदलण्यापूर्वी प्रभावी मूल्ये वाचा
वगळलेली ओळ स्पष्ट none सारखी नसते. चालू कॉन्फिगरेशन तुम्ही काय टाइप केले ते दाखवते; show run all group-policy धोरण प्रत्यक्षात कशावर येते ते, वारसाहक्काने मिळालेल्या डीफॉल्टसह दाखवते. scope चुकीचे आहे असे ठरवण्यापूर्वी दोन्ही तपासा, कारण डीफॉल्ट धोरणातून वारसा घेणारे ग्रुप धोरण असे मूल्य देऊ शकते जे लहान यादीत कधीही दिसत नाही.
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? आउटपुट तुमच्या इन्स्टॉल केलेल्या आवृत्तीवर वाचण्यासारखे आहे, कारण स्वीकारली जाणारी मूल्ये आणि त्यांचा मदत मजकूर आवृत्त्यांमध्ये वेगळे असतात. Cisco ASA 9.24 चे ग्रुप धोरण संदर्भ हे गुणधर्म इच्छित सबनेटवरील, वाटप पूलबाहेरील, इंटरफेस पत्त्याला प्राधान्य देणारे राउटेबल पत्ते म्हणून दस्तऐवज करते. ती पूल श्रेणी नाही आणि नेटवर्क क्रमांकही नाही.
scope पत्त्यावर सेट करा, श्रेणीवर नाही
समजा सर्व्हरने वापरावा असे तुम्हाला वाटणारे पूल /24 वर 10.50.30.50 ते 10.50.30.200 आहे, आणि त्या विभागातील ASA इंटरफेस 10.50.30.1 आहे. scope मूल्य 10.50.30.1 आहे. 10.50.30.0 लिहिणे अयशस्वी होते कारण तो नेटवर्क क्रमांक आहे, आणि श्रेणी लिहिणेही अयशस्वी होते कारण गुणधर्म एकच पत्ता घेतो. तुम्ही निवडलेला पत्ता इंटरफेस पत्ता नसल्यास, DHCP सर्व्हरचे उत्तर तिथवर पोहोचण्यासाठी त्याला स्थिर मार्ग लागतो.
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1हा तुकडा फक्त एकच काम करतो. तो DHCP सर्व्हर कॉन्फिगर करत नाही, तिथे पूल तयार करत नाही, आणि अर्धवट रिमोट-प्रवेश प्रोफाइल कार्यरत करत नाही. येथे दस्तऐवजीकृत वर्तन फक्त IPv4 आहे; ते DHCPv6 किंवा प्रीफिक्स प्रत्यायोजन चालवेल अशी अपेक्षा करू नका.
रोलबॅक बिंदूसह तो बदला
प्रथम स्नॅपशॉट घ्या, म्हणजे रोलबॅक पुनर्बांधणी नाही तर आदेश होईल. संपादनापूर्वी संबंधित कॉन्फिगरेशन फाइलमध्ये जतन करा, आणि no तुमच्या आवृत्तीवर काय पुनर्संचयित करते ते जाणून घ्या: तो गुणधर्म त्याच्या डीफॉल्ट किंवा वारसाहक्काने मिळालेल्या मूल्यावर परत आणतो, जे वरचे धोरण नसून none असू शकते.
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryगुणधर्म काढणे हेही निदानाचे पाऊल आहे. scope परिभाषित नसल्यास DHCP सर्व्हर आपल्या पूलांमध्ये न वाटलेला पत्ता शोधतो, त्यामुळे क्लायंट अनपेक्षित ठिकाणी पोहोचू शकतो पण तरीही जोडतो. तो निकाल सांगतो की विनंतीचा मार्ग चालतो आणि अयशस्वी होणारी गोष्ट पूल निवड आहे.
पत्ता, मार्ग आणि परवानग्या तपासा
वाटप क्लायंटच्या संवादातून नाही, सत्र तक्त्यातून वाचा, नंतर पुष्टी करा की पत्ता बोगद्याकडे परत राउटेबल आहे आणि ग्रुप धोरणाचे फिल्टर अपेक्षित रहदारीस परवानगी देतात. वाटपाचा निर्णय राउटिंगचा निर्णय नाही, आणि योग्य पूलातून पत्ता मिळालेला क्लायंटही प्रत्येक विनंतीवर अयशस्वी होऊ शकतो.
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideसत्र तुम्ही हेतू असलेला पत्ता दाखवत असेल पण रहदारी मरत असेल, तर scope संशयित म्हणून संपला. परतीचा मार्ग, ग्रुप धोरणावरील split-tunnel किंवा फिल्टर सेटिंग्ज, आणि DHCP scope ASA प्रत्यक्षात ज्या विभागाकडे राउट करते तिथे आहे का ते पहा.