VPN клијенти на ASA добијају адресе из погрешног DHCP пула

Читајте dhcp-server и dhcp-network-scope на ASA као два различита поља, поставите scope на рутирајућу адресу изван пула и затим проверите руту.

AnyConnect клијенти се појављују на погрешној подмрежи, или DHCP сервер одбија да испоручи било шта, а политика групе на први поглед изгледа исправно. На ASA постоје два поља на два места која оба звуче као „одакле долазе адресе“, а постављање погрешног даје тачно ово. Профил везе именује DHCP сервер; политика групе именује подмрежу из које тај сервер треба да бира. Ниједно од њих не прави пул.

Три објекта, три питања

Прво одвојите модел доделе од пула, јер два модела не деле конфигурацију. Ако ASA сам дели адресе, дефинишете локални пул и усмеравате политику групе на њега. Ако их дели спољни DHCP сервер, профил везе именује тај сервер, а политика групе даје назнаку scope-а. Мешање двају је уобичајен разлог зашто се адреса никада не појави.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Прочитајте важеће вредности пре него што промените неку

Изостављен ред није исто што и експлицитно none. Текућа конфигурација показује шта сте откуцали; show run all group-policy показује на шта се политика заиста своди, укључујући наследне подразумеване вредности. Проверите обоје пре него што закључите да је scope погрешан, јер политика групе која наслеђује од подразумеване политике може дати вредност која се никада не појављује у краткој листи.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? излаз вреди прочитати на вашој инсталираној верзији, јер се прихваћене вредности и њихов текст помоћи разликују између верзија. Cisco ASA 9.24 референца за политику групе документује атрибут као рутирајућу адресу на жељеној подмрежи, изван пула за доделу, са предношћу адресе интерфејса. То није опсег пула и није број мреже.

Поставите scope на адресу, не на опсег

Претпоставимо да је пул који желите да сервер користи од 10.50.30.50 до 10.50.30.200 на /24, а ASA интерфејс на том сегменту је 10.50.30.1. Вредност scope-а је 10.50.30.1. Уписивање 10.50.30.0 не успева јер је то број мреже, а уписивање опсега не успева јер атрибут прима једну адресу. Ако адреса коју изаберете није адреса интерфејса, потребна јој је статичка рута да би одговор DHCP сервера могао до ње да стигне.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Овај фрагмент ради само једну ствар. Не конфигурише DHCP сервер, не ствара пул тамо и не претвара делимичан профил за даљински приступ у радни. Овде документовано понашање је само IPv4; не очекујте да ће усмеравати DHCPv6 или делегирање префикса.

Промените га са тачком враћања

Прво направите снимак, да враћање буде команда, а не поновна изградња. Сачувајте релевантну конфигурацију у датотеку пре измене и знајте шта no враћа на вашој верзији: враћа атрибут на подразумевану или наследну вредност, која може бити none, а не политика изнад њега.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Уклањање атрибута је и дијагностички корак. Без дефинисаног scope-а DHCP сервер тражи у сопственим пуловима недодељену адресу, па клијент може завршити на неочекиваном месту, али се барем повезује. Тај резултат каже да пут захтева ради и да је избор пула оно што не успева.

Проверите адресу, руту и дозволе

Читајте доделу из табеле сесија, а не из дијалога клијента, па потврдите да је адреса рутирајућа назад ка тунелу и да филтери политике групе дозвољавају саобраћај који очекујете. Одлука о додели није одлука о рутирању, а клијент који добије адресу из исправног пула и даље може да падне на сваком захтеву.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Ако сесија показује адресу коју сте намеравали, али саобраћај умире, scope је завршен као осумњичен. Погледајте повратну руту, поставке split-tunnel-а или филтера на политици групе и то да ли DHCP scope седи на сегменту према којем ASA заиста рутира.

Повезани чланци