Klien VPN ASA mendapat alamat daripada kumpulan DHCP yang salah

Baca dhcp-server dan dhcp-network-scope pada ASA sebagai dua medan berasingan, tetapkan scope kepada alamat boleh laluan di luar kumpulan, kemudian sahkan laluan.

Klien AnyConnect muncul pada subnet yang salah, atau pelayan DHCP enggan memberikan apa-apa, sedangkan dasar kumpulan kelihatan betul pada pandangan pertama. Pada ASA terdapat dua medan di dua tempat yang kedua-duanya berbunyi seperti «dari mana alamat datang», dan menetapkan yang salah menghasilkan tepat ini. Profil sambungan menamakan pelayan DHCP; dasar kumpulan menamakan subnet yang perlu dipilih oleh pelayan itu. Kedua-duanya tidak mencipta kumpulan.

Tiga objek, tiga soalan

Asingkan dahulu model peruntukan daripada kumpulan, kerana kedua-dua model tidak berkongsi konfigurasi. Jika ASA sendiri mengagihkan alamat, anda mentakrifkan kumpulan setempat dan menghala dasar kumpulan kepadanya. Jika pelayan DHCP luaran mengagihkannya, profil sambungan menamakan pelayan itu dan dasar kumpulan memberikan petunjuk scope. Mencampurkan kedua-duanya ialah sebab biasa sesuatu alamat tidak pernah muncul.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Baca nilai berkesan sebelum menukar mana-mana

Baris yang ditinggalkan tidak sama dengan none yang eksplisit. Konfigurasi berjalan menunjukkan apa yang anda taip; show run all group-policy menunjukkan kepada apa dasar itu sebenarnya diselesaikan, termasuk nilai lalai yang diwarisi. Semak kedua-duanya sebelum memutuskan scope itu salah, kerana dasar kumpulan yang mewarisi daripada dasar lalai boleh memberikan nilai yang tidak pernah muncul dalam senarai pendek.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? wajar dibaca pada keluaran yang anda pasang, kerana nilai yang diterima dan teks bantuannya berbeza antara versi. Rujukan Cisco ASA 9.24 untuk dasar kumpulan mendokumenkan atribut itu sebagai alamat boleh laluan pada subnet yang dikehendaki, di luar kumpulan peruntukan, dengan alamat antara muka diutamakan. Ia bukan julat kumpulan dan bukan nombor rangkaian.

Tetapkan scope kepada alamat, bukan julat

Katakan kumpulan yang anda mahu pelayan gunakan ialah 10.50.30.50 hingga 10.50.30.200 pada /24, dan antara muka ASA pada segmen itu ialah 10.50.30.1. Nilai scope ialah 10.50.30.1. Menulis 10.50.30.0 gagal kerana itu nombor rangkaian, dan menulis julat gagal kerana atribut itu mengambil satu alamat. Jika alamat yang anda pilih bukan alamat antara muka, ia memerlukan laluan statik supaya balasan pelayan DHCP dapat mencapainya.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Coretan ini hanya melakukan satu perkara. Ia tidak mengkonfigurasi pelayan DHCP, tidak mencipta kumpulan di sana, dan tidak menjadikan profil akses jauh separa berfungsi. Tingkah laku yang didokumenkan di sini hanyalah IPv4; jangan harap ia mengemudi DHCPv6 atau delegasi awalan.

Tukarkannya dengan titik pemulihan

Ambil snapshot dahulu, supaya pemulihan menjadi arahan dan bukan pembinaan semula. Simpan konfigurasi berkaitan dalam fail sebelum menyunting, dan ketahui apa yang no pulihkan pada keluaran anda: ia mengembalikan atribut kepada nilai lalai atau warisan, yang mungkin none dan bukan dasar di atasnya.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Membuang atribut juga langkah diagnostik. Tanpa scope yang ditakrifkan, pelayan DHCP mencari dalam kumpulannya sendiri alamat yang belum diperuntukkan, jadi klien mungkin mendarat di tempat tidak dijangka tetapi sekurang-kurangnya bersambung. Hasil itu memberitahu anda bahawa laluan permintaan berfungsi dan pemilihan kumpulan yang gagal.

Sahkan alamat, laluan dan kebenarannya

Baca peruntukan daripada jadual sesi dan bukan daripada dialog klien, kemudian sahkan bahawa alamat itu boleh dilalui kembali ke terowong dan penapis dasar kumpulan membenarkan trafik yang anda jangkakan. Keputusan peruntukan bukan keputusan penghalaan, dan klien yang menerima alamat daripada kumpulan yang betul masih boleh gagal pada setiap permintaan.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Jika sesi menunjukkan alamat yang anda maksudkan tetapi trafik mati, scope selesai sebagai suspek. Lihat laluan balik, tetapan split-tunnel atau penapis pada dasar kumpulan, dan sama ada scope DHCP berada pada segmen yang benar-benar dihalakan oleh ASA.

Artikel berkaitan