DHCP релеј на ASA преко VPN-а од локације до локације: практичан водич

Релеј ради у три етапе и само средња прелази VPN. Клијент емитује broadcast на сегменту огранка, ASA претвара тај broadcast у unicast захтев ка DHCP серверу, а сервер одговара на релеј адресу, а не на клијента. Прођите етапе тим редом и већина случајева «релеј је покварен» своди се на политику која недостаје или погрешно прочитан ред setroute.

Прва етапа: омогућите релеј на интерфејсу према клијентима

На ASA огранка релеј је својство интерфејса који гледа према клијентима. Сервер се може декларисати глобално са својим доступним интерфејсом или испод тог интерфејса према клијентима, како би табела рутирања изабрала излаз. Та два облика нису заменљива, а копирање погрешног је прво место где водич скрене.

Проверите тренутну конфигурацију пре него што било шта промените: који интерфејс има омогућен релеј, који је облик сервера присутан и да ли је setroute повезан са интерфејсом клијената. Ако ASA истовремено ради и DHCP сервер за други сегмент, зауставите се и прочитајте листу ограничења; сервер и релеј не могу бити омогућени истовремено на истом уређају.

Релеј уписује сопствену адресу према клијентима у поље адресе пролаза. На ту адресу ће сервер одговорити, па она мора бити доступна са удаљене локације кроз тунел, не само локално.

Друга етапа: пренесите саобраћај који генерише ASA кроз тунел

Ово је корак који људи прескачу. VPN од локације до локације заснован на политикама обично се гради за саобраћај између подмрежа, а захтев за релеј генерише сама ASA. Ако access листа тунела и crypto мапа одговарају само токовима од хоста у огранку до подмреже сервера, релеј пакет можда никада не уђе у тунел. Проверите access листу у оба смера, не само ред од огранка ка серверу.

Потврдите да занимљиви саобраћај покрива извор релеја на ASA и адресу сервера и да је и повратни смер дозвољен. У пројекту заснованом на VTI одлука о рутирању је једноставнија, али подршка за релеј преко VTI стигла је у одређеном издању; водич за DHCP на ASA наводи 9.14(1), па проверите имиџ пре него што копирате VTI пример на старији уређај.

Ping са ASA на сервер сам по себи мало доказује. Може успети другим путем, са другом изворном адресом или под политиком коју релеј пакети не задовољавају.

Трећа етапа: прочитајте одговор и опцију setroute

RFC 2131 каже да сервер шаље одговор на адресу у giaddr када то поље није нула. Дакле повратни пут мора да рутира на релеј адресу, а тунелска политика мора да дозволи смер од сервера ка релеју. Ако је захтев прошао, а понуда никада не стигне, овде треба тражити.

Затим раздвојите две ствари које звуче слично. Кључна реч setroute мења или додаје опцију подразумеваног рутера коју ASA даје клијенту. Она не инсталира руту на ASA и не ствара VPN политику. Клијент који добије адресу, али ништа не достигне, често има проблем са setroute или обимом, а не са тунелом. Тестирајте то клијентом без статичког пролаза и гледајте који се подразумевани рутер појављује у понуди.

Прочитајте понуду од почетка до краја: понуђена адреса, маска, подразумевани рутер, DNS и време закупа. Затим пустите да се закуп обнови. Релеј који једном ради, а падне при обнови, обично има проблем са обимом, закупом или повратним путем који је прва размена сакрила.

Шта проверавам пре него што кажем да је решено

Почните од клијента и ухватите broadcast, затим потврдите да га је ASA проследила са својом адресом као giaddr. На удаљеној страни потврдите да је сервер видео тај захтев и изабрао обим који одговара огранку. Вративши се у огранак, потврдите да је клијент прихватио понуду и да достиже свој пролаз.

Ако је било која етапа тиха, проверите одговарајућу политику или руту уместо да додате још једну релеј изјаву. Релеј конфигурација је обично већ тачна када неко ескалира; промениле су се тунелска политика или повратна рута.

Запишите три етапе у запис о променама: интерфејс према клијентима, VPN политика која покрива релејни саобраћај и повратна рута сервера до giaddr. Управо тај запис чини следећу изградњу огранка поновљивим послом уместо сесије за отклањање грешака. Он такође каже следећем инжењеру који излаз команде прво прикупити.