Il-klijenti VPN tal-ASA jieħdu indirizzi mill-pool DHCP żbaljat

Aqra dhcp-server u dhcp-network-scope tal-ASA bħala żewġ oqsma differenti, issettja l-scope fuq indirizz routabbli barra mill-pool, imbagħad ivverifika r-rotta.

Il-klijenti AnyConnect jidhru fuq is-subnet żbaljat, jew is-server DHCP jirrifjuta li jagħti xejn, filwaqt li l-politika tal-grupp tidher tajba ewwel daqqa t’għajn. Fuq ASA hemm żewġ oqsma f’żewġ postijiet li t-tnejn jidhru li jwieġbu «minn fejn jiġu l-indirizzi», u meta tissettja l-ħażin toħroġ eżattament dan. Il-profil tal-konnessjoni jismi s-server DHCP; il-politika tal-grupp tismi subnet li minnha dak is-server għandu jagħżel. L-ebda waħda minnhom ma toħloq pool.

Tliet oġġetti, tliet mistoqsijiet

L-ewwel ifred il-mudell tal-allokazzjoni mill-pool, għax iż-żewġ mudelli ma jaqsmu l-ebda konfigurazzjoni. Jekk l-ASA nnifsu jqassam l-indirizzi, tiddefinixxi pool lokali u ddawwar il-politika tal-grupp lejh. Jekk server DHCP estern iqassamhom, il-profil tal-konnessjoni jismi dak is-server u l-politika tal-grupp tagħti ħjiel ta’ scope. Li tħallat it-tnejn hija r-raġuni tas-soltu li indirizz qatt ma jidher.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Aqra l-valuri effettivi qabel ma tbiddel wieħed

Linja mħollija barra mhix l-istess bħal none espliċitu. Il-konfigurazzjoni attiva turi x’daħħalt; show run all group-policy turi għal xiex il-politika tassew issolvi, inklużi l-valuri default li ntirtu. Iċċekkja t-tnejn qabel ma tiddeċiedi li l-scope huwa żbaljat, għax politika tal-grupp li tintiret minn politika default tista’ tagħti valur li qatt ma jidher fil-lista qasira.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? jistħoqqlu jinqara fuq ir-rilaxx installat tiegħek, għax il-valuri aċċettati u t-test tal-għajnuna tagħhom ivarjaw bejn il-verżjonijiet. Ir-referenza Cisco ASA 9.24 għall-politika tal-grupp tiddokumenta l-attribut bħala indirizz routabbli fuq is-subnet mixtieq, barra mill-pool tal-allokazzjoni, b’indirizz tal-interface ppreferut. Mhuwiex il-firxa tal-pool u mhuwiex in-numru tan-netwerk.

Issettja l-scope fuq indirizz, mhux firxa

Ejja ngħidu li l-pool li trid li s-server juża huwa 10.50.30.50 sa 10.50.30.200 fuq /24, u l-interface tal-ASA f’dak is-segment hija 10.50.30.1. Il-valur tal-scope huwa 10.50.30.1. Li tikteb 10.50.30.0 ifalli għax dak huwa n-numru tan-netwerk, u li tikteb il-firxa jfalli għax l-attribut jieħu indirizz wieħed. Jekk l-indirizz li tagħżel mhuwiex indirizz tal-interface, jeħtieġ rotta statika sabiex it-tweġiba tas-server DHCP tkun tista’ tasal għalih.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Dan il-framment jagħmel ħaġa waħda biss. Ma jikkonfigurax is-server DHCP, ma joħloqx pool hemmhekk, u ma jagħmilx profil parzjali ta’ aċċess mill-bogħod wieħed li jaħdem. L-imġiba dokumentata hawn hija biss IPv4; tistenniex li tmexxi DHCPv6 jew delegazzjoni tal-prefiss.

Ibdelha b’punt ta’ rkupru

Ħu snapshot l-ewwel, sabiex l-irkupru jkun kmand u mhux bini mill-ġdid. Issejvja l-konfigurazzjoni rilevanti fi fajl qabel ma teditja, u kun af x’ no jirrestawra fuq ir-rilaxx tiegħek: ipoġġi l-attribut lura fil-valur default jew li ntiret, li jista’ jkun none minflok il-politika ta’ fuqha.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

It-tneħħija tal-attribut hija wkoll pass dijanjostiku. Mingħajr scope definit, is-server DHCP ifittex fil-pools tiegħu stess indirizz mhux assenjat, għalhekk il-klijent jista’ jinżel f’post mhux mistenni iżda għall-inqas jikkonnettja. Dak ir-riżultat jgħidlek li t-triq tat-talba taħdem u li l-għażla tal-pool hija dik li tfalli.

Ivverifika l-indirizz, ir-rotta u l-permessi

Aqra l-assenjazzjoni mit-tabella tas-sessjonijiet u mhux mid-djalogu tal-klijent, imbagħad ikkonferma li l-indirizz huwa routabbli lura lejn it-tunnel u li l-filtri tal-politika tal-grupp jippermettu t-traffiku li tistenna. Deċiżjoni ta’ assenjazzjoni mhijiex deċiżjoni ta’ routing, u klijent li jirċievi indirizz mill-pool it-tajjeb xorta jista’ jfalli f’kull talba.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Jekk is-sessjoni turi l-indirizz li kellek f’moħħok iżda t-traffiku jmut, l-scope spiċċa bħala suspettat. Ħares lejn ir-rotta tar-ritorn, is-settings tas-split-tunnel jew tal-filtri fuq il-politika tal-grupp, u jekk l-scope DHCP huwiex fuq segment li l-ASA tassew jibgħat lejh.

Artikli relatati