VPN klienti na ASA dostávajú adresy z nesprávneho fondu DHCP

Čítajte dhcp-server a dhcp-network-scope na ASA ako dve rôzne polia, nastavte scope na smerovateľnú adresu mimo fondu a potom overte trasu.

Klienti AnyConnect sa objavujú v nesprávnej podsieti, alebo server DHCP odmieta vydať vôbec čokoľvek, pričom zásada skupiny na prvý pohľad vyzerá správne. Na ASA sú dve polia na dvoch miestach, ktoré obe znejú ako „odkiaľ adresy pochádzajú“, a nastavenie toho nesprávneho dáva presne toto. Profil pripojenia pomenúva server DHCP; zásada skupiny pomenúva podsieť, z ktorej má tento server vyberať. Ani jedno z nich fond nevytvára.

Tri objekty, tri otázky

Najprv oddeľte model prideľovania od fondu, pretože oba modely nezdieľajú konfiguráciu. Ak ASA rozdeľuje adresy sám, definujete lokálny fond a nasmerujete naň zásadu skupiny. Ak ich rozdeľuje externý server DHCP, profil pripojenia pomenúva tento server a zásada skupiny dodáva nápovedu scope. Miešanie oboch je zvyčajný dôvod, prečo sa adresa nikdy neobjaví.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Prečítajte si platné hodnoty, skôr než niektorú zmeníte

Vynechaný riadok nie je to isté ako výslovné none. Bežiaca konfigurácia ukazuje, čo ste napísali; show run all group-policy ukazuje, na čo sa zásada skutočne rozkladá, vrátane zdedených predvolených hodnôt. Skontrolujte obe, skôr než rozhodnete, že scope je nesprávny, pretože zásada skupiny dediace z predvolenej zásady môže dodať hodnotu, ktorá sa v krátkom výpise nikdy neobjaví.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? výstup stojí za prečítanie na vašej nainštalovanej verzii, pretože prijímané hodnoty a ich text pomoci sa medzi verziami líšia. Referenčná príručka Cisco ASA 9.24 pre zásadu skupiny opisuje atribút ako smerovateľnú adresu v požadovanej podsieti, mimo fondu prideľovania, s uprednostnením adresy rozhrania. Nie je to rozsah fondu a nie je to číslo siete.

Nastavte scope na adresu, nie na rozsah

Predpokladajme, že fond, ktorý má server používať, je 10.50.30.50 až 10.50.30.200 v /24 a rozhranie ASA v tomto segmente je 10.50.30.1. Hodnota scope je 10.50.30.1. Zápis 10.50.30.0 zlyhá, pretože je to číslo siete, a zápis rozsahu zlyhá, pretože atribút prijíma jednu adresu. Ak zvolená adresa nie je adresou rozhrania, potrebuje statickú trasu, aby na ňu odpoveď servera DHCP dosiahla.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Tento fragment robí len jednu vec. Nekonfiguruje server DHCP, nevytvára tam fond ani nepremieňa čiastočný profil vzdialeného prístupu na funkčný. Dokumentované správanie je tu iba IPv4; nečakajte, že bude riadiť DHCPv6 alebo delegovanie prefixov.

Zmeňte to s bodom návratu

Najprv urobte snímku, aby návrat bol príkazom, a nie rekonštrukciou. Uložte príslušnú konfiguráciu do súboru pred úpravou a vedzte, čo no na vašej verzii obnovuje: vracia atribút na predvolenú alebo zdedenú hodnotu, ktorá môže byť none, a nie zásada nad ním.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Odstránenie atribútu je tiež diagnostický krok. Bez definovaného scope hľadá server DHCP vo svojich fondoch nepridelenú adresu, takže klient môže skončiť na nečakanom mieste, ale aspoň sa pripojí. Tento výsledok hovorí, že cesta požiadavky funguje a že zlyháva výber fondu.

Overte adresu, trasu a oprávnenia

Čítajte pridelenie z tabuľky relácií, nie z dialógu klienta, potom potvrďte, že adresa je smerovateľná späť do tunela a že filtre zásady skupiny povoľujú prevádzku, ktorú očakávate. Rozhodnutie o pridelení nie je rozhodnutím o smerovaní a klient, ktorý dostane adresu zo správneho fondu, môže napriek tomu zlyhať pri každej požiadavke.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Ak relácia ukazuje zamýšľanú adresu, ale prevádzka zomiera, scope ako podozrivý skončil. Pozrite sa na spätnú trasu, nastavenia split-tunnel alebo filtrov v zásade skupiny a na to, či scope DHCP leží v segmente, do ktorého ASA skutočne smeruje.

Súvisiace články