د ASA VPN مراجعین له غلط DHCP حوض څخه پتې اخلي
د ASA dhcp-server او dhcp-network-scope دوه جلا ساحې وګڼئ، scope د حوض څخه بهر د لارښوونې وړ پتې ته وټاکئ، بیا لاره وګورئ.
AnyConnect مراجعین په غلط سبنیټ کې راښکاره کیږي، یا DHCP سرور په بشپړه توګه د هیڅ شي ورکولو څخه انکار کوي، په داسې حال کې چې د ګروپ پالیسي په لومړي نظر سمه ښکاري. په ASA کې په دوو ځایونو کې دوه ساحې دي چې دواړه د «پتې له کومه ځایه راځي» په څیر اوریدل کیږي، او غلط یې ټاکل په سمه توګه همدا پایله ورکوي. د اړیکې پروفایل د DHCP سرور نوم اخلي؛ ګروپ پالیسي هغه سبنیټ نوموي چې دا سرور باید ترې غوره کړي. دواړه حوض نه جوړوي.
درې شیان، درې پوښتنې
لومړی د ویشلو ماډل له حوض څخه جلا کړئ، ځکه چې دوه ماډلونه ترتیب نه شریکوي. که ASA پخپله پتې وویشي، تاسو یو ځایي حوض تعریفوئ او د ګروپ پالیسي هغه ته اړوئ. که بهرنی DHCP سرور یې وویشي، د اړیکې پروفایل هغه سرور نوموي او ګروپ پالیسي د scope نښه ورکوي. دواړه ګډول د پتې هېڅکله نه ښکاریدو عادي لامل دی.
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
مخکې له دې چې یو بدل کړئ، اغېزمن ارزښتونه ولولئ
پریښودل شوې کرښه د څرګند none په څیر نه ده. روان ترتیب ښیي چې تاسو څه ټایپ کړي؛ show run all group-policy ښیي چې پالیسي په رښتیا څه ته رسېږي، په شمول میراثي ډیفالټونه. مخکې له دې چې پرېکړه وکړئ scope غلط دی، دواړه وګورئ، ځکه چې له ډیفالټ پالیسي څخه میراث اخیستونکې ګروپ پالیسي کېدای شي داسې ارزښت ورکړي چې په لنډ لیست کې هېڅکله نه ښکاري.
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? محصول په خپل نصب شوي خپرونه کې لوستل ارزښت لري، ځکه چې منل شوي ارزښتونه او د دوی مرستې متن د نسخو ترمنځ توپیر لري. د Cisco ASA 9.24 د ګروپ پالیسي حواله دا ځانګړتیا د غوښتل شوي سبنیټ په اوږدو کې، د ویشلو حوض څخه بهر، د انټرفیس پتې ته لومړیتوب ورکولو سره د لارښوونې وړ پتې په توګه بیانوي. دا د حوض حد نه دی، او د شبکې شمېره هم نه ده.
scope پتې ته وټاکئ، حد ته نه
فرض کړئ هغه حوض چې تاسو غواړئ سرور یې وکاروي په /24 باندې له 10.50.30.50 څخه تر 10.50.30.200 پورې دی، او په هغه برخه کې د ASA انټرفیس 10.50.30.1 دی. د scope ارزښت 10.50.30.1 دی. 10.50.30.0 لیکل ناکام کیږي ځکه چې دا د شبکې شمېره ده، او د حد لیکل هم ناکام کیږي ځکه چې ځانګړتیا یوه پته اخلي. که ستاسو ټاکل شوې پته د انټرفیس پته نه وي، نو د DHCP سرور ځواب ته د رسېدو لپاره ورته ثابته لاره ته اړتیا ده.
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1دا ټوټه یوازې یو کار کوي. دا DHCP سرور نه ترتیبوي، هلته حوض نه جوړوي، او جزوي لرې لاسرسي پروفایل کاري نه کوي. دلته مستند شوی چلند یوازې IPv4 دی؛ مه تمه کوئ چې دا به DHCPv6 یا د مخکښې سپارلېدنه اداره کړي.
دا د بیرته راګرځیدو نقطې سره بدل کړئ
لومړی snapshot واخلئ، ترڅو بیرته راګرځیدنه بیا رغونه نه، بلکې حکم وي. مخکې له سمونې اړوند ترتیب په فایل کې خوندي کړئ، او پوه شئ چې no ستاسو په خپرونه کې څه بحالي کوي: دا ځانګړتیا بیرته خپل ډیفالټ یا میراثي ارزښت ته راولي، کوم چې کېدای شي none وي نه د هغې پورتنۍ پالیسي.
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryد ځانګړتیا لرې کول هم د تشخیص یو ګام دی. کله چې scope تعریف شوی نه وي، DHCP سرور په خپلو حوضونو کې نه ویشل شوې پته لټوي، نو مراجع کېدای شي ناڅاپي ځای ته ورسیږي خو لږ تر لږه نښلول کیږي. هغه پایله وایي چې د غوښتنې لاره کار کوي او ناکامي د حوض په ټاکنه کې ده.
پته، لاره او اجازې وګورئ
ویشل له مراجع د خبرو اترو نه نه، بلکې د غونډو له جدول څخه ولولئ، بیا تایید کړئ چې پته د تونل په لور بیرته د لارښوونې وړ ده او د ګروپ پالیسي فلټرونه هغه ټرافیک ته اجازه ورکوي چې تاسو یې تمه لرئ. د ویشلو پرېکړه د لارښوونې پرېکړه نه ده، او هغه مراجع چې له سم حوض څخه پته اخلي بیا هم په هر غوښتنه کې ناکام کیدای شي.
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideکه غونډه هغه پته ښیي چې تاسو یې نیت درلود خو ټرافیک مري، scope د شکمن په توګه پای ته ورسېد. د بیرته راستنیدو لاره، په ګروپ پالیسي باندې د split-tunnel یا فلټر امستنې، او دا چې ایا DHCP scope په هغه برخه کې دی چې ASA ورته ریښتینې لارښوونه کوي، وګورئ.