Posredovanje DHCP na ASA pre VPN od mesta do mesta: korak za korakom

Posredovanje deluje v treh stopnjah in samo srednja prečka VPN. Odjemalec oddaja v segmentu podružnice, ASA to oddajanje spremeni v enojno zahtevo na strežnik DHCP, strežnik pa odgovori na naslov posredovanja in ne na odjemalca. Prehodite stopnje v tem vrstnem redu in večina primerov «posredovanje je pokvarjeno» se konča pri manjkajoči politiki ali napačno prebrani vrstici setroute.

Prva stopnja: omogočite posredovanje na vmesniku proti odjemalcem

Na ASA podružnice je posredovanje lastnost vmesnika, ki gleda proti odjemalcem. Strežnik je mogoče razglasiti globalno z njegovim dosegljivim vmesnikom ali pod tem vmesnikom proti odjemalcem, da usmerjevalna tabela izbere izhod. Ti dve obliki nista zamenljivi, kopiranje napačne pa je prvo mesto, kjer se vodič zalomi.

Preden karkoli spremenite, preglejte tekočo konfiguracijo: kateri vmesnik ima omogočeno posredovanje, katera oblika strežnika je prisotna in ali je setroute pripet na vmesnik odjemalcev. Če ASA poganja tudi strežnik DHCP za drug segment, se ustavite in preberite seznam omejitev; strežnika in posredovanja ni mogoče omogočiti hkrati na isti napravi.

Posredovanje vstavi svoj naslov proti odjemalcem v polje naslova prehoda. Na ta naslov bo strežnik odgovoril, zato mora biti dosegljiv z oddaljenega mesta skozi tunel, ne le lokalno.

Druga stopnja: prepeljite promet, ki ga ustvari ASA, skozi tunel

To je korak, ki ga ljudje preskočijo. VPN od mesta do mesta, ki temelji na politikah, se običajno gradi za promet med podomrežji, zahtevo za posredovanje pa ustvari sama ASA. Če seznam za dostop tunela in kriptografska karta ustrezata le tokovom od gostitelja v podružnici do podomrežja strežnika, paket posredovanja morda nikoli ne vstopi v tunel. Preverite seznam za dostop v obeh smereh, ne le vrstice od podružnice do strežnika.

Potrdite, da zanimivi promet pokriva vir posredovanja na ASA in naslov strežnika ter da je dovoljena tudi povratna smer. Pri zasnovi na VTI je odločitev o usmerjanju preprostejša, a podpora posredovanju prek VTI je prišla v določeni izdaji; vodnik za DHCP na ASA navaja 9.14(1), zato preverite sliko, preden kopirate primer VTI na starejšo napravo.

Ping z ASA na strežnik sam po sebi malo dokaže. Lahko uspe po drugi poti, z drugim izvornim naslovom ali pod politiko, ki se ji paketi posredovanja ne ujemajo.

Tretja stopnja: preberite odgovor in možnost setroute

RFC 2131 pravi, da strežnik pošlje odgovor na naslov v giaddr, ko to polje ni nič. Zato mora povratna pot usmerjati na naslov posredovanja, tunelska politika pa mora dovoliti smer od strežnika do posredovanja. Če je zahteva šla skozi, ponudba pa nikoli ne prispe, je treba pogledati tu.

Nato ločite dve stvari, ki se slišita podobno. Ključna beseda setroute spremeni ali doda možnost privzetega usmerjevalnika, ki jo ASA preda odjemalcu. Ne namesti poti na ASA in ne ustvari politike VPN. Odjemalec, ki dobi naslov, a ne doseže ničesar, ima pogosto težavo s setroute ali z obsegom, ne s tunelom. Preizkusite z odjemalcem brez statičnega prehoda in opazujte, kateri privzeti usmerjevalnik se pojavi v ponudbi.

Preberite ponudbo od začetka do konca: ponujeni naslov, maska, privzeti usmerjevalnik, DNS in čas najema. Nato počakajte, da se najem obnovi. Posredovanje, ki enkrat deluje in ob obnovi odpove, ima običajno težavo z obsegom, najemom ali povratno potjo, ki jo je prva izmenjava skrila.

Kaj preverim, preden rečem, da je popravljeno

Začnite pri odjemalcu in ujemite oddajanje, nato potrdite, da ga je ASA posredovala z lastnim naslovom kot giaddr. Na oddaljeni strani potrdite, da je strežnik videl zahtevo in izbral obseg, ki ustreza podružnici. Nazaj v podružnici potrdite, da je odjemalec ponudbo sprejel in doseže svoj prehod.

Če katera stopnja molči, preverite ustrezno politiko ali pot, namesto da dodate še eno izjavo o posredovanju. Konfiguracija posredovanja je običajno že pravilna, ko nekdo eskali; spremenila se je tunelska politika ali povratna pot.

Zapišite tri stopnje v zapis o spremembah: vmesnik proti odjemalcem, politika VPN, ki pokriva posredovalni promet, in povratna pot strežnika na giaddr. Prav ta zapis naredi naslednjo gradnjo podružnice ponovljivo delo in ne sejo za odpravljanje napak. Pove tudi naslednjemu inženirju, kateri izhod ukaza zbrati najprej.