ASA VPN-klienter får adresser fra feil DHCP-pool

Les ASA-ens dhcp-server og dhcp-network-scope som to forskjellige felt, sett scope til en rutbar adresse utenfor poolen, og verifiser deretter ruten.

AnyConnect-klienter dukker opp på feil subnett, eller DHCP-serveren nekter å dele ut noe som helst, mens gruppepolicyen ser riktig ut ved første øyekast. På en ASA er det to felt på to steder som begge høres ut som «hvor adressene kommer fra», og å sette det feil gir nøyaktig dette. Tilkoblingsprofilen navngir DHCP-serveren; gruppepolicyen navngir et subnett som serveren skal velge fra. Ingen av dem oppretter en pool.

Tre objekter, tre spørsmål

Skill først tildelingsmodellen fra poolen, fordi de to modellene ikke deler konfigurasjon. Hvis ASA-en deler ut adresser selv, definerer du en lokal pool og peker gruppepolicyen dit. Hvis en ekstern DHCP-server deler dem ut, navngir tilkoblingsprofilen den serveren, og gruppepolicyen gir et scope-hint. Å blande de to er den vanlige grunnen til at en adresse aldri dukker opp.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Les de gjeldende verdiene før du endrer en

En utelatt linje er ikke det samme som en eksplisitt none. Den kjørende konfigurasjonen viser hva du skrev; show run all group-policy viser hva policyen faktisk løses til, inkludert arvede standardverdier. Kontroller begge før du avgjør at scope er feil, fordi en gruppepolicy som arver fra en standardpolicy kan gi en verdi som aldri vises i den korte listen.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? utdata er verdt å lese på versjonen du har installert, siden aksepterte verdier og hjelpeteksten deres varierer mellom versjoner. Cisco ASA 9.24 gruppepolicy-referanse dokumenterer attributtet som en rutbar adresse på ønsket subnett, utenfor tildelingspoolen, med en grensesnittadresse foretrukket. Det er ikke poolens område, og det er ikke nettverksnummeret.

Sett scope til en adresse, ikke et område

Anta at poolen du vil at serveren skal bruke er 10.50.30.50 til 10.50.30.200 på et /24, og at ASA-grensesnittet på det segmentet er 10.50.30.1. Scope-verdien er 10.50.30.1. Å skrive 10.50.30.0 feiler fordi det er nettverksnummeret, og å skrive området feiler fordi attributtet tar én adresse. Hvis adressen du velger ikke er en grensesnittadresse, trenger den en statisk rute slik at DHCP-serverens svar kan nå den.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Dette fragmentet gjør bare én ting. Det konfigurerer ikke DHCP-serveren, oppretter ikke en pool der og gjør ikke en delvis fjernprofil fungerende. Den dokumenterte oppførselen her er bare IPv4; ikke forvent at den styrer DHCPv6 eller prefiksdelegering.

Endre det med et tilbakerullingspunkt

Ta et øyeblikksbilde først, slik at tilbakerullingen er en kommando og ikke en gjenoppbygging. Lagre den relevante konfigurasjonen i en fil før du redigerer, og vit hva no gjenoppretter på versjonen din: det setter attributtet tilbake til standard- eller arvet verdi, som kan være none i stedet for policyen over det.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Å fjerne attributtet er også et diagnostisk steg. Uten en definert scope søker DHCP-serveren i sine egne pooler etter en ikke-tildelt adresse, så klienten kan havne et uventet sted, men i det minste kobler den til. Det resultatet forteller at forespørselsstien fungerer, og at det er poolvalget som feiler.

Verifiser adressen, ruten og tillatelsene

Les tildelingen fra sesjonstabellen i stedet for fra klientens dialog, og bekreft deretter at adressen er rutbar tilbake til tunnelen og at gruppepolicyens filtre tillater trafikken du forventer. En tildelingsbeslutning er ikke en rutingsbeslutning, og en klient som får en adresse fra riktig pool kan fortsatt feile på hver forespørsel.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Hvis sesjonen viser den tiltenkte adressen men trafikken dør, er scope ferdig som mistenkt. Se på returruten, på split-tunnel- eller filterinnstillinger i gruppepolicyen, og på om DHCP-scope ligger på et segment som ASA-en faktisk ruter til.

Relaterte artikler