ASA VPN क्लाइन्टहरू गलत DHCP पूलबाट ठेगाना लिन्छन्
ASA को dhcp-server र dhcp-network-scope लाई दुई फरक फिल्डका रूपमा पढ्नुहोस्, scope लाई पूलबाहिरको रुटेबल ठेगानामा राख्नुहोस्, त्यसपछि रुट जाँच्नुहोस्।
AnyConnect क्लाइन्टहरू गलत सबनेटमा देखा पर्छन्, वा DHCP सर्भरले केही पनि दिन अस्वीकार गर्छ, जबकि समूह नीति पहिलो हेर्दा ठीक देखिन्छ। ASA मा दुई ठाउँमा दुई फिल्ड छन् जुन दुवै «ठेगाना कहाँबाट आउँछन्» जस्तो सुनिन्छ, र गलत राख्दा ठ्याक्कै यही हुन्छ। जडान प्रोफाइलले DHCP सर्भरको नाम भन्छ; समूह नीतिले त्यो सर्भरले छान्ने सबनेटको नाम भन्छ। दुवैले पूल बनाउँदैनन्.
तीन वस्तु, तीन प्रश्न
पहिले आवण्टन मोडेललाई पूलबाट अलग गर्नुहोस्, किनकि दुई मोडेलले कन्फिगरेसन साझा गर्दैनन्। ASA आफैंले ठेगाना बाँड्छ भने, तपाईं स्थानीय पूल परिभाषित गर्नुहुन्छ र समूह नीतिलाई त्यतातिर फर्काउनुहुन्छ। बाहिरी DHCP सर्भरले बाँड्छ भने, जडान प्रोफाइलले त्यो सर्भरको नाम भन्छ र समूह नीतिले scope सङ्केत दिन्छ। दुवै मिसाउनु नै ठेगाना कहिल्यै नदेखिनुको सामान्य कारण हो।
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
कुनै मान बदल्नुअघि प्रभावकारी मानहरू पढ्नुहोस्
छोडिएको लाइन स्पष्ट none जस्तै हुँदैन। चालु कन्फिगरेसनले तपाईंले टाइप गरेको देखाउँछ; show run all group-policy ले नीति वास्तवमा केमा टुङ्गिन्छ, वंशानुगत डिफल्टसहित देखाउँछ। scope गलत छ भनी निर्णय गर्नुअघि दुवै जाँच्नुहोस्, किनकि डिफल्ट नीतिबाट वंशानुगत लिने समूह नीतिले छोटो सूचीमा कहिल्यै नदेखिने मान दिन सक्छ।
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? आउटपुट तपाईंले स्थापना गरेको रिलिजमा पढ्न लायक छ, किनकि स्वीकारिने मान र तिनका सहायता पाठ संस्करणअनुसार फरक पर्छ। Cisco ASA 9.24 को समूह नीति सन्दर्भ ले यो विशेषतालाई इच्छित सबनेटमा, आवण्टन पूलबाहिर, इन्टरफेस ठेगानालाई प्राथमिकता दिँदै रुटेबल ठेगानाका रूपमा वर्णन गर्छ। त्यो पूल दायरा होइन, र नेटवर्क नम्बर पनि होइन।
scope लाई ठेगानामा राख्नुहोस्, दायरामा होइन
मान्नुहोस् तपाईं सर्भरले प्रयोग गरोस् भन्ने पूल /24 मा 10.50.30.50 देखि 10.50.30.200 सम्म छ, र त्यो खण्डको ASA इन्टरफेस 10.50.30.1 छ। scope मान 10.50.30.1 हो। 10.50.30.0 लेख्न असफल हुन्छ किनकि त्यो नेटवर्क नम्बर हो, र दायरा लेख्न पनि असफल हुन्छ किनकि विशेषताले एउटा ठेगाना लिन्छ। तपाईंले छान्नुभएको ठेगाना इन्टरफेस ठेगाना होइन भने, DHCP सर्भरको जवाफ त्यहाँ पुग्न स्थिर रुट चाहिन्छ।
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1यो टुक्राले एउटा मात्र काम गर्छ। यसले DHCP सर्भर कन्फिगर गर्दैन, त्यहाँ पूल बनाउँदैन, र आंशिक रिमोट-पहुँच प्रोफाइललाई काम गर्ने बनाउँदैन। यहाँ दस्तावेज गरिएको व्यवहार IPv4 मात्र हो; यसले DHCPv6 वा प्रिफिक्स प्रत्यायोजन चलाउँछ भन्ने आशा नगर्नुहोस्।
रोलब्याक बिन्दुसहित यसलाई बदल्नुहोस्
पहिले snapshot लिनुहोस्, ताकि रोलब्याक पुनर्निर्माण होइन, आदेश होस्। सम्पादन गर्नुअघि सम्बन्धित कन्फिगरेसन फाइलमा बचत गर्नुहोस्, र no ले तपाईंको रिलिजमा के पुनर्स्थापित गर्छ जान्नुहोस्: यसले विशेषतालाई यसको डिफल्ट वा वंशानुगत मानमा फर्काउँछ, जुन माथिको नीति होइन, none हुन सक्छ।
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryविशेषता हटाउनु पनि निदानको चरण हो। scope परिभाषित नभएमा DHCP सर्भरले आफ्नै पूलहरूमा नबाँडिएको ठेगाना खोज्छ, त्यसैले क्लाइन्ट अप्रत्याशित ठाउँमा पुग्न सक्छ तर कम्तीमा जोडिन्छ। त्यो नतिजाले अनुरोधको बाटो काम गर्छ र असफल हुने कुरा पूल छनोट हो भन्छ।
ठेगाना, रुट र अनुमति जाँच्नुहोस्
आवण्टन क्लाइन्टको संवादबाट होइन, सत्र तालिकाबाट पढ्नुहोस्, त्यसपछि ठेगाना सुरुङतिर फर्किएर रुटेबल छ र समूह नीतिका फिल्टरहरूले अपेक्षित ट्राफिकलाई अनुमति दिन्छन् भनी पुष्टि गर्नुहोस्। आवण्टनको निर्णय रुटिङको निर्णय होइन, र सही पूलबाट ठेगाना पाएको क्लाइन्ट पनि हरेक अनुरोधमा असफल हुन सक्छ।
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideसत्रले तपाईंले चाहेको ठेगाना देखाउँछ तर ट्राफिक मर्छ भने, scope शंकास्पदका रूपमा सकियो। फर्किने रुट, समूह नीतिका split-tunnel वा फिल्टर सेटिङ, र DHCP scope ASA ले साँच्चै रुट गर्ने खण्डमा छ कि छैन हेर्नुहोस्।