ASA VPN-klientar får adresser frå feil DHCP-pool

Les dhcp-server og dhcp-network-scope på ASA-en som to ulike felt, set scope til ei rutbar adresse utanfor poolen og verifiser deretter ruta.

AnyConnect-klientar dukkar opp på feil subnett, eller DHCP-tenaren nektar å dele ut noko som helst, medan gruppepolicyen ser riktig ut ved første augekast. På ein ASA er det to felt på to stader som begge høyrest ut som «kvar adressene kjem frå», og å setje det feile gir nøyaktig dette. Tilkoplingsprofilen namngjev DHCP-tenaren; gruppepolicyen namngjev eit subnett som tenaren skal velje frå. Ingen av dei opprettar ein pool.

Tre objekt, tre spørsmål

Skil først tildelingsmodellen frå poolen, fordi dei to modellane ikkje deler konfigurasjon. Viss ASA-en deler ut adresser sjølv, definerer du ein lokal pool og peikar gruppepolicyen dit. Viss ein ekstern DHCP-tenar deler dei ut, namngjev tilkoplingsprofilen den tenaren, og gruppepolicyen gir eit scope-hint. Å blande dei to er den vanlege grunnen til at ei adresse aldri dukkar opp.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Les dei gjeldande verdiane før du endrar ein

Ei utelaten linje er ikkje det same som ein eksplisitt none. Den køyrande konfigurasjonen viser kva du skreiv; show run all group-policy viser kva policyen faktisk løyser seg til, inkludert arva standardverdiar. Kontroller båe før du avgjer at scope er feil, fordi ein gruppepolicy som arvar frå ein standardpolicy kan gje ein verdi som aldri visest i den korte lista.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? utdata er verdt å lese på versjonen du har installert, sidan aksepterte verdiar og hjelpeteksten deira varierer mellom versjonar. Cisco ASA 9.24 gruppepolicy-referanse dokumenterer attributtet som ei rutbar adresse på ønskt subnett, utanfor tildelingspoolen, med ein grensesnittadresse føretrekt. Det er ikkje området til poolen, og det er ikkje nettverksnummeret.

Set scope til ei adresse, ikkje eit område

Anta at poolen du vil at tenaren skal bruke er 10.50.30.50 til 10.50.30.200 på eit /24, og at ASA-grensesnittet på det segmentet er 10.50.30.1. Scope-verdien er 10.50.30.1. Å skrive 10.50.30.0 feilar fordi det er nettverksnummeret, og å skrive området feilar fordi attributtet tek éi adresse. Viss adressa du vel ikkje er ei grensesnittadresse, treng ho ei statisk rute slik at svaret frå DHCP-tenaren kan nå henne.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Dette fragmentet gjer berre éin ting. Det konfigurerer ikkje DHCP-tenaren, opprettar ikkje ein pool der og gjer ikkje ein delvis fjernprofil fungerande. Åtferda som er dokumentert her er berre IPv4; ikkje forvent at ho styrer DHCPv6 eller prefiksdelegering.

Endre det med eit tilbakerullingspunkt

Ta eit augneblinksbilete først, slik at tilbakerullinga er ein kommando og ikkje ein gjenoppbygging. Lagre den relevante konfigurasjonen i ei fil før du redigerer, og vit kva no gjenopprettar på versjonen din: det set attributtet tilbake til standard- eller arva verdi, som kan vere none i staden for policyen over det.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Å fjerne attributtet er òg eit diagnostisk steg. Utan ein definert scope søkjer DHCP-tenaren i sine eigne pooler etter ei ikkje-tildelt adresse, så klienten kan hamne ein uventa stad, men i det minste koplar han til. Det resultatet fortel at førespurnadsstien fungerer, og at det er poolvalet som feilar.

Verifiser adressa, ruta og tillatingane

Les tildelinga frå sesjonstabellen i staden for frå dialogen til klienten, og stadfest deretter at adressa er rutbar tilbake til tunnelen og at filtera i gruppepolicyen tillèt trafikken du forventar. Ei tildelingsavgjerd er ikkje ei rutingsavgjerd, og ein klient som får ei adresse frå riktig pool kan framleis feile på kvar førespurnad.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Viss sesjonen viser den tiltenkte adressa men trafikken døyr, er scope ferdig som mistenkt. Sjå på returruta, på split-tunnel- eller filterinnstillingar i gruppepolicyen, og på om DHCP-scope ligg på eit segment som ASA-en faktisk rutar til.

Relaterte artiklar