Klientët VPN të ASA marrin adresa nga pishina e gabuar DHCP

Lexoni dhcp-server dhe dhcp-network-scope në ASA si dy fusha të ndryshme, vendosni scope në një adresë të rutueshme jashtë pishinës, pastaj verifikoni rrugën.

Klientët AnyConnect shfaqen në nënrrjetin e gabuar, ose serveri DHCP refuzon të japë çfarëdo, ndërsa politika e grupit duket e saktë në shikim të parë. Në një ASA ka dy fusha në dy vende që të dyja tingëllojnë si «nga vijnë adresat», dhe vendosja e asaj të gabuar prodhon pikërisht këtë. Profili i lidhjes emërton serverin DHCP; politika e grupit emërton një nënrrjet nga i cili ai server duhet të zgjedhë. Asnjëra prej tyre nuk krijon pishinë.

Tre objekte, tre pyetje

Fillimisht ndani modelin e caktimit nga pishina, sepse dy modelet nuk ndajnë konfigurimin. Nëse ASA shpërndan vetë adresat, përcaktoni një pishinë lokale dhe drejtoni politikën e grupit drejt saj. Nëse i shpërndan një server DHCP i jashtëm, profili i lidhjes emërton atë server dhe politika e grupit jep një aluzion scope. Përzierja e të dyjave është arsyeja e zakonshme pse një adresë nuk shfaqet kurrë.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Lexoni vlerat në fuqi përpara se të ndryshoni një

Një rresht i lënë jashtë nuk është njësoj si një none i shprehur. Konfigurimi aktual tregon çfarë keni shtypur; show run all group-policy tregon se ku politika zgjidhet në të vërtetë, përfshirë parazgjedhjet e trashëguara. Kontrolloni të dyja përpara se të vendosni që scope është i gabuar, sepse një politikë grupi që trashëgon nga një politikë parazgjedhore mund të japë një vlerë që nuk shfaqet kurrë në listën e shkurtër.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? vlen të lexohet në versionin tuaj të instaluar, sepse vlerat e pranuara dhe teksti i ndihmës së tyre ndryshojnë midis versioneve. Referenca Cisco ASA 9.24 për politikën e grupit e dokumenton atributin si adresë e rutueshme në nënrrjetin e dëshiruar, jashtë pishinës së caktimit, me preferencë për një adresë ndërfaqeje. Nuk është diapazoni i pishinës dhe nuk është numri i rrjetit.

Vendosni scope në një adresë, jo në një diapazon

Supozoni se pishina që dëshironi të përdorë serveri është 10.50.30.50 deri 10.50.30.200 në një /24, dhe ndërfaqja e ASA në atë segment është 10.50.30.1. Vlera e scope është 10.50.30.1. Shkrimi i 10.50.30.0 dështon sepse është numri i rrjetit, dhe shkrimi i diapazonit dështon sepse atributi merr një adresë të vetme. Nëse adresa që zgjidhni nuk është adresë ndërfaqeje, i duhet një rrugë statike që përgjigja e serverit DHCP të arrijë tek ajo.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Ky fragment bën vetëm një gjë. Nuk konfiguron serverin DHCP, nuk krijon një pishinë atje dhe nuk e kthen një profil të pjesshëm të qasjes në distancë në një funksional. Sjellja e dokumentuar këtu është vetëm IPv4; mos prisni që të drejtojë DHCPv6 ose delegimin e prefiksit.

Ndryshojeni me një pikë kthimi

Merrni fillimisht një snapshot, që kthimi të jetë një komandë dhe jo një rindërtim. Ruani konfigurimin përkatës në një skedar përpara se të redaktoni, dhe dijeni çfarë no rikthen në versionin tuaj: e kthen atributin në vlerën e vet parazgjedhore ose të trashëguar, e cila mund të jetë none dhe jo politika mbi të.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Heqja e atributit është gjithashtu një hap diagnostikues. Pa një scope të përcaktuar, serveri DHCP kërkon në pishinat e veta një adresë të pacaktuar, kështu që klienti mund të përfundojë në një vend të papritur, por të paktën lidhet. Ai rezultat tregon se rruga e kërkesës funksionon dhe se ajo që dështon është zgjedhja e pishinës.

Verifikoni adresën, rrugën dhe lejet

Lexoni caktimin nga tabela e sesioneve dhe jo nga dialogu i klientit, pastaj konfirmoni që adresa është e rutueshme përsëri drejt tunelit dhe që filtrat e politikës së grupit lejojnë trafikun që prisni. Një vendim caktimi nuk është një vendim rrugëtimi, dhe një klient që merr adresë nga pishina e saktë mund të dështojë përsëri në çdo kërkesë.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Nëse sesioni tregon adresën e synuar, por trafiku vdes, scope është mbyllur si i dyshuar. Shikoni rrugën e kthimit, cilësimet e split-tunnel ose filtrat në politikën e grupit, dhe nëse scope DHCP ndodhet në një segment drejt të cilit ASA rrugëton vërtet.

Artikuj të ngjashëm