ASA VPN ਕਲਾਇੰਟ ਗਲਤ DHCP ਪੂਲ ਤੋਂ ਪਤੇ ਲੈਂਦੇ ਹਨ
ASA ਦੇ dhcp-server ਅਤੇ dhcp-network-scope ਨੂੰ ਦੋ ਵੱਖਰੇ ਫੀਲਡਾਂ ਵਜੋਂ ਪੜ੍ਹੋ, scope ਨੂੰ ਪੂਲ ਤੋਂ ਬਾਹਰਲੇ ਰੂਟੇਬਲ ਪਤੇ 'ਤੇ ਸੈੱਟ ਕਰੋ, ਫਿਰ ਰੂਟ ਦੀ ਜਾਂਚ ਕਰੋ।
AnyConnect ਕਲਾਇੰਟ ਗਲਤ ਸਬਨੈੱਟ 'ਤੇ ਆਉਂਦੇ ਹਨ, ਜਾਂ DHCP ਸਰਵਰ ਕੁਝ ਵੀ ਦੇਣ ਤੋਂ ਇਨਕਾਰ ਕਰ ਦਿੰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਗਰੁੱਪ ਪਾਲਿਸੀ ਪਹਿਲੀ ਨਜ਼ਰੇ ਸਹੀ ਲੱਗਦੀ ਹੈ। ASA 'ਤੇ ਦੋ ਥਾਵਾਂ 'ਤੇ ਦੋ ਫੀਲਡ ਹਨ ਜੋ ਦੋਵੇਂ «ਪਤੇ ਕਿੱਥੋਂ ਆਉਂਦੇ ਹਨ» ਵਰਗੇ ਸੁਣਾਈ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਗਲਤ ਵਾਲਾ ਸੈੱਟ ਕਰਨ ਨਾਲ ਠੀਕ ਇਹੀ ਹੁੰਦਾ ਹੈ। ਕਨੈਕਸ਼ਨ ਪਰੋਫਾਈਲ DHCP ਸਰਵਰ ਦਾ ਨਾਂ ਦੱਸਦੀ ਹੈ; ਗਰੁੱਪ ਪਾਲਿਸੀ ਉਸ ਸਬਨੈੱਟ ਦਾ ਨਾਂ ਦੱਸਦੀ ਹੈ ਜਿਸ ਵਿੱਚੋਂ ਉਹ ਸਰਵਰ ਚੁਣੇ। ਦੋਵਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਪੂਲ ਨਹੀਂ ਬਣਾਉਂਦਾ.
ਤਿੰਨ ਆਬਜੈਕਟ, ਤਿੰਨ ਸਵਾਲ
ਪਹਿਲਾਂ ਅਲਾਟਮੈਂਟ ਮਾਡਲ ਨੂੰ ਪੂਲ ਤੋਂ ਵੱਖ ਕਰੋ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਮਾਡਲ ਕਨਫਿਗਰੇਸ਼ਨ ਸਾਂਝੀ ਨਹੀਂ ਕਰਦੇ। ਜੇ ASA ਖੁਦ ਪਤੇ ਵੰਡਦਾ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਸਥਾਨਕ ਪੂਲ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦੇ ਹੋ ਅਤੇ ਗਰੁੱਪ ਪਾਲਿਸੀ ਨੂੰ ਉਸ ਵੱਲ ਮੋੜਦੇ ਹੋ। ਜੇ ਬਾਹਰੀ DHCP ਸਰਵਰ ਉਹ ਵੰਡਦਾ ਹੈ, ਤਾਂ ਕਨੈਕਸ਼ਨ ਪਰੋਫਾਈਲ ਉਸ ਸਰਵਰ ਦਾ ਨਾਂ ਦੱਸਦੀ ਹੈ ਅਤੇ ਗਰੁੱਪ ਪਾਲਿਸੀ scope ਦਾ ਸੰਕੇਤ ਦਿੰਦੀ ਹੈ। ਦੋਵਾਂ ਨੂੰ ਮਿਲਾਉਣਾ ਹੀ ਪਤਾ ਕਦੇ ਨਾ ਦਿਖਣ ਦਾ ਆਮ ਕਾਰਨ ਹੈ।
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
ਕੋਈ ਵੀ ਮੁੱਲ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰਭਾਵੀ ਮੁੱਲ ਪੜ੍ਹੋ
ਛੱਡੀ ਗਈ ਲਾਈਨ ਸਪਸ਼ਟ none ਵਰਗੀ ਨਹੀਂ ਹੁੰਦੀ। ਚੱਲ ਰਹੀ ਕਨਫਿਗਰੇਸ਼ਨ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਤੁਸੀਂ ਕੀ ਟਾਈਪ ਕੀਤਾ; show run all group-policy ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਪਾਲਿਸੀ ਅਸਲ ਵਿੱਚ ਕਿਸ 'ਤੇ ਟਿਕਦੀ ਹੈ, ਵਿਰਾਸਤ ਵਿੱਚ ਮਿਲੇ ਡਿਫਾਲਟ ਸਮੇਤ। scope ਨੂੰ ਗਲਤ ਮੰਨਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਡਿਫਾਲਟ ਪਾਲਿਸੀ ਤੋਂ ਵਿਰਾਸਤ ਲੈਣ ਵਾਲੀ ਗਰੁੱਪ ਪਾਲਿਸੀ ਅਜਿਹਾ ਮੁੱਲ ਦੇ ਸਕਦੀ ਹੈ ਜੋ ਛੋਟੀ ਸੂਚੀ ਵਿੱਚ ਕਦੇ ਨਹੀਂ ਦਿਸਦਾ।
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? ਆਉਟਪੁੱਟ ਤੁਹਾਡੇ ਇੰਸਟਾਲ ਕੀਤੇ ਰਿਲੀਜ਼ 'ਤੇ ਪੜ੍ਹਨ ਯੋਗ ਹੈ, ਕਿਉਂਕਿ ਸਵੀਕਾਰ ਕੀਤੇ ਮੁੱਲ ਅਤੇ ਉਨ੍ਹਾਂ ਦਾ ਮਦਦ ਟੈਕਸਟ ਵਰਜ਼ਨਾਂ ਵਿੱਚ ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ। Cisco ASA 9.24 ਦਾ ਗਰੁੱਪ ਪਾਲਿਸੀ ਹਵਾਲਾ ਇਸ ਗੁਣ ਨੂੰ ਲੋੜੀਂਦੇ ਸਬਨੈੱਟ 'ਤੇ, ਅਲਾਟਮੈਂਟ ਪੂਲ ਤੋਂ ਬਾਹਰ, ਇੰਟਰਫੇਸ ਪਤੇ ਨੂੰ ਤਰਜੀਹ ਦਿੰਦਿਆਂ ਰੂਟੇਬਲ ਪਤੇ ਵਜੋਂ ਦਰਜ ਕਰਦਾ ਹੈ। ਇਹ ਪੂਲ ਰੇਂਜ ਨਹੀਂ ਹੈ, ਅਤੇ ਨੈੱਟਵਰਕ ਨੰਬਰ ਵੀ ਨਹੀਂ ਹੈ।
scope ਨੂੰ ਪਤੇ 'ਤੇ ਸੈੱਟ ਕਰੋ, ਰੇਂਜ 'ਤੇ ਨਹੀਂ
ਮੰਨ ਲਓ ਕਿ ਜੋ ਪੂਲ ਤੁਸੀਂ ਸਰਵਰ ਵਰਤੇ ਜਾਣਾ ਚਾਹੁੰਦੇ ਹੋ ਉਹ /24 'ਤੇ 10.50.30.50 ਤੋਂ 10.50.30.200 ਹੈ, ਅਤੇ ਉਸ ਸੈਗਮੈਂਟ 'ਤੇ ASA ਇੰਟਰਫੇਸ 10.50.30.1 ਹੈ। scope ਮੁੱਲ 10.50.30.1 ਹੈ। 10.50.30.0 ਲਿਖਣਾ ਅਸਫਲ ਹੁੰਦਾ ਹੈ ਕਿਉਂਕਿ ਇਹ ਨੈੱਟਵਰਕ ਨੰਬਰ ਹੈ, ਅਤੇ ਰੇਂਜ ਲਿਖਣਾ ਵੀ ਅਸਫਲ ਹੁੰਦਾ ਹੈ ਕਿਉਂਕਿ ਗੁਣ ਇੱਕ ਪਤਾ ਲੈਂਦਾ ਹੈ। ਜੇ ਤੁਹਾਡਾ ਚੁਣਿਆ ਪਤਾ ਇੰਟਰਫੇਸ ਪਤਾ ਨਹੀਂ ਹੈ, ਤਾਂ DHCP ਸਰਵਰ ਦਾ ਜਵਾਬ ਉੱਥੇ ਪਹੁੰਚ ਸਕਣ ਲਈ ਉਸ ਨੂੰ ਸਥਿਰ ਰੂਟ ਚਾਹੀਦਾ ਹੈ।
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1ਇਹ ਟੁਕੜਾ ਸਿਰਫ਼ ਇੱਕ ਕੰਮ ਕਰਦਾ ਹੈ। ਇਹ DHCP ਸਰਵਰ ਨੂੰ ਕਨਫਿਗਰ ਨਹੀਂ ਕਰਦਾ, ਉੱਥੇ ਪੂਲ ਨਹੀਂ ਬਣਾਉਂਦਾ, ਅਤੇ ਅਧੂਰੀ ਰਿਮੋਟ-ਐਕਸੈਸ ਪਰੋਫਾਈਲ ਨੂੰ ਕੰਮ ਕਰਨ ਵਾਲੀ ਨਹੀਂ ਬਣਾਉਂਦਾ। ਇੱਥੇ ਦਰਜ ਵਿਵਹਾਰ ਸਿਰਫ਼ IPv4 ਹੈ; ਇਹ DHCPv6 ਜਾਂ ਪ੍ਰੀਫਿਕਸ ਡੈਲੀਗੇਸ਼ਨ ਚਲਾਏਗਾ ਅਜਿਹੀ ਉਮੀਦ ਨਾ ਰੱਖੋ।
ਰੋਲਬੈਕ ਪੁਆਇੰਟ ਨਾਲ ਇਸ ਨੂੰ ਬਦਲੋ
ਪਹਿਲਾਂ ਸਨੈਪਸ਼ਾਟ ਲਓ, ਤਾਂ ਜੋ ਰੋਲਬੈਕ ਮੁੜ-ਨਿਰਮਾਣ ਨਹੀਂ ਬਲਕਿ ਹੁਕਮ ਹੋਵੇ। ਸੰਪਾਦਨ ਤੋਂ ਪਹਿਲਾਂ ਸੰਬੰਧਿਤ ਕਨਫਿਗਰੇਸ਼ਨ ਫਾਈਲ ਵਿੱਚ ਸੰਭਾਲੋ, ਅਤੇ ਜਾਣੋ ਕਿ no ਤੁਹਾਡੇ ਰਿਲੀਜ਼ 'ਤੇ ਕੀ ਬਹਾਲ ਕਰਦਾ ਹੈ: ਇਹ ਗੁਣ ਨੂੰ ਉਸ ਦੇ ਡਿਫਾਲਟ ਜਾਂ ਵਿਰਾਸਤੀ ਮੁੱਲ 'ਤੇ ਵਾਪਸ ਲਿਆਉਂਦਾ ਹੈ, ਜੋ ਉੱਪਰਲੀ ਪਾਲਿਸੀ ਨਹੀਂ ਬਲਕਿ none ਹੋ ਸਕਦਾ ਹੈ।
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryਗੁਣ ਹਟਾਉਣਾ ਵੀ ਨਿਦਾਨ ਦਾ ਕਦਮ ਹੈ। scope ਪਰਿਭਾਸ਼ਿਤ ਨਾ ਹੋਣ 'ਤੇ DHCP ਸਰਵਰ ਆਪਣੇ ਪੂਲਾਂ ਵਿੱਚ ਅਣ-ਅਲਾਟ ਕੀਤਾ ਪਤਾ ਲੱਭਦਾ ਹੈ, ਇਸ ਲਈ ਕਲਾਇੰਟ ਅਚਾਨਕ ਥਾਂ 'ਤੇ ਪਹੁੰਚ ਸਕਦਾ ਹੈ ਪਰ ਘੱਟੋ-ਘੱਟ ਜੁੜਦਾ ਹੈ। ਉਹ ਨਤੀਜਾ ਦੱਸਦਾ ਹੈ ਕਿ ਬੇਨਤੀ ਦਾ ਰਾਹ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਅਸਫਲ ਪੂਲ ਦੀ ਚੋਣ ਹੈ।
ਪਤਾ, ਰੂਟ ਅਤੇ ਇਜਾਜ਼ਤਾਂ ਦੀ ਜਾਂਚ ਕਰੋ
ਅਲਾਟਮੈਂਟ ਕਲਾਇੰਟ ਦੇ ਸੰਵਾਦ ਤੋਂ ਨਹੀਂ, ਸੈਸ਼ਨ ਟੇਬਲ ਤੋਂ ਪੜ੍ਹੋ, ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਪਤਾ ਟਨਲ ਵੱਲ ਵਾਪਸ ਰੂਟੇਬਲ ਹੈ ਅਤੇ ਗਰੁੱਪ ਪਾਲਿਸੀ ਦੇ ਫਿਲਟਰ ਤੁਹਾਡੇ ਉਮੀਦ ਕੀਤੇ ਟ੍ਰੈਫਿਕ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹਨ। ਅਲਾਟਮੈਂਟ ਦਾ ਫੈਸਲਾ ਰੂਟਿੰਗ ਦਾ ਫੈਸਲਾ ਨਹੀਂ ਹੈ, ਅਤੇ ਸਹੀ ਪੂਲ ਤੋਂ ਪਤਾ ਲੈਣ ਵਾਲਾ ਕਲਾਇੰਟ ਵੀ ਹਰ ਬੇਨਤੀ 'ਤੇ ਅਸਫਲ ਹੋ ਸਕਦਾ ਹੈ।
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideਜੇ ਸੈਸ਼ਨ ਤੁਹਾਡਾ ਇਰਾਦਾ ਕੀਤਾ ਪਤਾ ਦਿਖਾਉਂਦਾ ਹੈ ਪਰ ਟ੍ਰੈਫਿਕ ਮਰ ਜਾਂਦਾ ਹੈ, ਤਾਂ scope ਸ਼ੱਕੀ ਵਜੋਂ ਖਤਮ ਹੋਇਆ। ਵਾਪਸੀ ਰੂਟ, ਗਰੁੱਪ ਪਾਲਿਸੀ 'ਤੇ split-tunnel ਜਾਂ ਫਿਲਟਰ ਸੈਟਿੰਗਾਂ, ਅਤੇ ਇਹ ਕਿ DHCP scope ਉਸ ਸੈਗਮੈਂਟ ਵਿੱਚ ਹੈ ਜਾਂ ਨਹੀਂ ਜਿਸ ਵੱਲ ASA ਅਸਲ ਵਿੱਚ ਰੂਟ ਕਰਦਾ ਹੈ, ਵੇਖੋ।