VPN klijenti na ASA-i dobijaju adrese iz pogrešnog DHCP pula

Čitajte dhcp-server i dhcp-network-scope na ASA-i kao dva različita polja, postavite scope na adresu koja je rutabilna izvan pula, pa proverite rutu.

AnyConnect klijenti se pojavljuju na pogrešnoj podmreži ili DHCP server odbija da isporuči bilo šta, a politika grupe na prvi pogled izgleda ispravno. Na ASA-i postoje dva polja na dva mesta koja oba zvuče kao „odakle adrese dolaze“, a postavljanje pogrešnog daje tačno ovo. Profil veze imenuje DHCP server; politika grupe imenuje podmrežu iz koje taj server bira. Nijedno od njih ne pravi pul.

Tri objekta, tri pitanja

Prvo razdvojite model dodele od pula, jer dva modela ne dele konfiguraciju. Ako ASA sam deli adrese, definišete lokalni pul i usmerite politiku grupe na njega. Ako ih deli spoljni DHCP server, profil veze imenuje taj server, a politika grupe daje nagoveštaj scope-a. Mešanje to dvoje je uobičajen razlog zašto se adresa nikad ne pojavi.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Pročitajte važeće vrednosti pre nego što promenite neku

Izostavljen red nije isto što i eksplicitno none. Tekuća konfiguracija pokazuje šta ste otkucali; show run all group-policy pokazuje na šta se politika zaista svodi, uključujući nasleđene podrazumevane vrednosti. Proverite oboje pre nego što zaključite da je scope pogrešan, jer politika grupe koja nasleđuje od podrazumevane politike može dati vrednost koja se nikad ne pojavljuje u kratkoj listi.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? izlaz vredi pročitati na vašoj instaliranoj verziji, jer se prihvaćene vrednosti i njihov tekst pomoći razlikuju između verzija. Cisco ASA 9.24 referenca za politiku grupe dokumentuje atribut kao rutabilnu adresu na željenoj podmreži, izvan pula za dodelu, uz prednost adrese interfejsa. To nije opseg pula i nije broj mreže.

Postavite scope na adresu, ne na opseg

Pretpostavimo da je pul koji želite da server koristi 10.50.30.50 do 10.50.30.200 na /24, a ASA interfejs na tom segmentu je 10.50.30.1. Vrednost scope-a je 10.50.30.1. Upisivanje 10.50.30.0 ne uspeva jer je to broj mreže, a upisivanje opsega ne uspeva jer atribut prima jednu adresu. Ako adresa koju izaberete nije adresa interfejsa, potrebna joj je statička ruta da bi odgovor DHCP servera mogao do nje da stigne.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Ovaj fragment radi samo jednu stvar. Ne konfiguriše DHCP server, ne pravi pul tamo i ne pretvara delimičan profil za daljinski pristup u radni. Ovde dokumentovano ponašanje je samo IPv4; ne očekujte da će usmeravati DHCPv6 ili delegaciju prefiksa.

Promenite ga sa tačkom vraćanja

Prvo napravite snimak, da vraćanje bude komanda, a ne ponovna izgradnja. Sačuvajte relevantnu konfiguraciju u datoteku pre izmene i znajte šta no vraća na vašoj verziji: vraća atribut na podrazumevanu ili nasleđenu vrednost, koja može biti none, a ne politika iznad njega.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Uklanjanje atributa je i dijagnostički korak. Bez definisanog scope-a DHCP server traži u sopstvenim pulovima nedodeljenu adresu, pa klijent može završiti na neočekivanom mestu, ali se bar povezuje. Taj rezultat kaže da put zahteva radi i da je izbor pula ono što ne uspeva.

Proverite adresu, rutu i dozvole

Čitajte dodelu iz tabele sesija, a ne iz dijaloga klijenta, pa potvrdite da je adresa rutabilna nazad prema tunelu i da filteri politike grupe dozvoljavaju saobraćaj koji očekujete. Odluka o dodeli nije odluka o rutiranju, a klijent koji dobije adresu iz ispravnog pula i dalje može da padne na svakom zahtevu.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Ako sesija pokazuje adresu koju ste nameravali, ali saobraćaj umire, scope je završen kao osumnjičeni. Pogledajte povratnu rutu, postavke split-tunnel-a ili filtera na politici grupe i to da li DHCP scope sedi na segmentu prema kojem ASA zaista rutira.

Povezani članci