ASA VPN-klienter henter adresser fra gal DHCP-pool

Tolk dhcp-server og dhcp-network-scope på ASA-en som to atskilte felt, sett scope til en rutbar adresse utenfor poolen, og kontroller ruten etterpå.

AnyConnect-klienter kommer opp på galt subnett, eller DHCP-tjeneren nekter å dele ut noe i det hele tatt, mens gruppepolicyen ser riktig ut ved første blikk. På en ASA finnes to felt på to steder som begge lyder som «hvor adressene kommer fra», og å sette det gale gir akkurat dette. Tilkoblingsprofilen angir DHCP-tjeneren; gruppepolicyen angir et subnett som tjeneren skal velge fra. Ingen av dem lager en pool.

Tre objekter, tre spørsmål

Skille først tildelingsmodellen fra poolen, siden de to modellene ikke deler konfigurasjon. Når ASA-en deler ut adresser selv, definerer du en lokal pool og retter gruppepolicyen mot den. Når en ekstern DHCP-tjener deler dem ut, angir tilkoblingsprofilen den tjeneren, og gruppepolicyen gir et scope-vink. Å mikse de to er den vanlige årsaken til at en adresse aldri dukker opp.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Les de virksomme verdiene før du endrer én

En utelatt linje er ikke det samme som en uttrykkelig none. Den løpende konfigurasjonen viser det du skrev; show run all group-policy viser hva policyen faktisk faller ned på, også arvede standardverdier. Sjekk begge før du konkluderer med at scope er galt, for en gruppepolicy som arver fra en standardpolicy kan gi en verdi som aldri står i den korte listen.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? -utdata er verdt å lese på versjonen du har installert, fordi godtatte verdier og hjelpeteksten deres varierer mellom versjoner. Cisco ASA 9.24 referanse for gruppepolicy beskriver attributtet som en rutbar adresse på ønsket subnett, utenfor tildelingspoolen, med grensesnittadresse foretrukket. Det er ikke poolens område, og det er ikke nettverksnummeret.

Angi scope til en adresse, ikke et område

Tenk deg at poolen du vil at tjeneren skal bruke er 10.50.30.50 til 10.50.30.200 på et /24, og at ASA-grensesnittet i det segmentet er 10.50.30.1. Scope-verdien er 10.50.30.1. Å skrive 10.50.30.0 går galt fordi det er nettverksnummeret, og å skrive området går galt fordi attributtet tar én adresse. Er adressen du velger ikke en grensesnittadresse, trenger den en statisk rute slik at svaret fra DHCP-tjeneren kan nå den.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Dette fragmentet gjør bare én ting. Det setter ikke opp DHCP-tjeneren, lager ikke en pool der, og gjør ikke en delvis fjernaksessprofil fungerende. Oppførselen som er dokumentert her er bare IPv4; ikke regn med at den styrer DHCPv6 eller prefiksdelegering.

Endre det med et tilbakerullingspunkt

Ta et øyeblikksbilde først, slik at tilbakerullingen blir en kommando og ikke en gjenoppbygging. Lagre den relevante konfigurasjonen i en fil før du redigerer, og vite hva no gjenoppretter på versjonen din: det setter attributtet tilbake til standard- eller arvet verdi, som kan være none i stedet for policyen over.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Å fjerne attributtet er også et diagnostisk steg. Uten en definert scope leter DHCP-tjeneren i sine egne pooler etter en ikke-tildelt adresse, så klienten kan havne på et uventet sted, men kobler i det minste til. Det resultatet sier at forespørselsveien virker, og at det er poolvalget som svikter.

Sjekk adressen, ruten og tillatelsene

Les tildelingen fra sesjonstabellen og ikke fra klientens dialog, og bekreft deretter at adressen er rutbar tilbake til tunnelen og at filtrene i gruppepolicyen slipper gjennom trafikken du forventer. En tildelingsbeslutning er ikke en rutingsbeslutning, og en klient som får adresse fra riktig pool kan fortsatt feile på hver forespørsel.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Hvis sesjonen viser den tiltenkte adressen men trafikken dør, er scope ferdig som mistenkt. Se på returruten, på split-tunnel- eller filterinnstillinger i gruppepolicyen, og på om DHCP-scope ligger i et segment som ASA-en faktisk ruter til.

Relaterte artikler