Odjemalci VPN na ASA dobijo naslove iz napačnega bazena DHCP

Preberite dhcp-server in dhcp-network-scope na ASA kot dve različni polji, nastavite scope na usmerljiv naslov zunaj bazena in nato preverite pot.

Odjemalci AnyConnect se pojavijo v napačnem podomrežju ali strežnik DHCP noče izdati ničesar, medtem ko je pravilnik skupine na prvi pogled videti pravilen. Na ASA sta dve polji na dveh mestih, ki oba zvenita kot »od kod prihajajo naslovi«, in nastavitev napačnega da točno to. Profil povezave poimenuje strežnik DHCP; pravilnik skupine poimenuje podomrežje, iz katerega mora ta strežnik izbirati. Nobeno od njiju ne ustvari bazena.

Trije objekti, tri vprašanja

Najprej ločite model dodeljevanja od bazena, ker si modela ne delita konfiguracije. Če ASA sam deli naslove, določite krajevni bazen in pravilnik skupine usmerite nanj. Če jih deli zunanji strežnik DHCP, profil povezave poimenuje ta strežnik, pravilnik skupine pa poda namig za scope. Mešanje obojega je običajen razlog, da se naslov nikoli ne pojavi.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Preberite veljavne vrednosti, preden katero spremenite

Izpravljena vrstica ni isto kot izrecno none. Tekoča konfiguracija kaže, kaj ste vnesli; show run all group-policy kaže, na kaj se pravilnik dejansko razreši, vključno s podedovanimi privzetimi vrednostmi. Preverite oboje, preden sklepate, da je scope napačen, ker lahko pravilnik skupine, ki deduje iz privzetega pravilnika, ponudi vrednost, ki se na kratkem seznamu nikoli ne pojavi.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? je vredno prebrati v nameščeni različici, ker se sprejete vrednosti in njihovo besedilo pomoči med različicami razlikujejo. Referenca Cisco ASA 9.24 za pravilnik skupine opisuje atribut kot usmerljiv naslov v želenem podomrežju, zunaj bazena dodeljevanja, s prednostjo naslova vmesnika. To ni obseg bazena in ni številka omrežja.

Nastavite scope na naslov, ne na obseg

Recimo, da je bazen, ki naj ga strežnik uporablja, 10.50.30.50 do 10.50.30.200 v /24, vmesnik ASA v tem segmentu pa je 10.50.30.1. Vrednost scope je 10.50.30.1. Zapis 10.50.30.0 spodleti, ker je to številka omrežja, zapis obsega pa spodleti, ker atribut sprejme en naslov. Če izbrani naslov ni naslov vmesnika, potrebuje statično pot, da lahko odgovor strežnika DHCP doseže do njega.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Ta odlomek naredi samo eno stvar. Ne konfigurira strežnika DHCP, tam ne ustvari bazena in ne spremeni delnega profila za oddaljeni dostop v delujočega. Tu opisano vedenje je samo IPv4; ne pričakujte, da bo upravljalo DHCPv6 ali delegiranje predpone.

Spremenite ga s točko vrnitve

Najprej naredite posnetek, da bo vrnitev ukaz in ne ponovna gradnja. Shranite ustrezno konfiguracijo v datoteko pred urejanjem in vedite, kaj no v vaši različici obnovi: atribut vrne na privzeto ali podedovano vrednost, ki je lahko none, ne pravilnik nad njim.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Odstranitev atributa je tudi diagnostični korak. Brez določenega scope strežnik DHCP išče v svojih bazenih nedodeljen naslov, zato lahko odjemalec pristane na nepričakovanem mestu, a se vsaj poveže. Ta izid pove, da pot zahteve deluje in da odpoveduje izbira bazena.

Preverite naslov, pot in dovoljenja

Dodelitev preberite iz tabele sej in ne iz pogovornega okna odjemalca, nato potrdite, da je naslov usmerljiv nazaj v tunel in da filtri pravilnika skupine dovoljujejo promet, ki ga pričakujete. Odločitev o dodelitvi ni odločitev o usmerjanju, in odjemalec, ki prejme naslov iz pravega bazena, lahko še vedno odpove pri vsaki zahtevi.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Če seja kaže predvideni naslov, a promet umre, je scope kot osumljenec končan. Poglejte povratno pot, nastavitve split-tunnel ali filtrov v pravilniku skupine in ali scope DHCP leži v segmentu, v katerega ASA res usmerja.

Sorodni članki