Wateja wa VPN wa ASA hupata anwani kutoka dimbwi lisilofaa la DHCP

Soma dhcp-server na dhcp-network-scope kwenye ASA kama sehemu mbili tofauti, weka scope kwenye anwani inayoweza kupitishwa nje ya dimbwi, kisha thibitisha njia.

Wateja wa AnyConnect hujitokeza kwenye subnet isiyofaa, au seva ya DHCP inakataa kutoa chochote, huku sera ya kikundi ikionekana sahihi kwa macho ya kwanza. Kwenye ASA kuna sehemu mbili katika maeneo mawili ambazo zote zinasikika kama «anwani zinatoka wapi», na kuweka ile isiyofaa hutoa hasa hivi. Profaili ya muunganisho inataja seva ya DHCP; sera ya kikundi inataja subnet ambayo seva hiyo inapaswa kuchagua. Hakuna hata moja inayounda dimbwi.

Vitu vitatu, maswali matatu

Kwanza tenganisha mtindo wa ugawaji na dimbwi, kwa sababu mitindo miwili haishiriki usanidi. Ikiwa ASA yenyewe inagawa anwani, unafafanua dimbwi la ndani na kuelekeza sera ya kikundi kwake. Ikiwa seva ya DHCP ya nje inazigawa, profaili ya muunganisho inataja seva hiyo na sera ya kikundi inatoa kidokezo cha scope. Kuchanganya vyote viwili ndiyo sababu ya kawaida anwani kutotokea kamwe.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Soma thamani zinazotumika kabla ya kubadilisha moja

Mstari ulioachwa si sawa na none iliyo wazi. Usanidi unaoendesha unaonyesha ulichoandika; show run all group-policy unaonyesha sera inakuja kwenye nini hasa, pamoja na chaguo-msingi zilizorithiwa. Angalia zote mbili kabla ya kuamua kuwa scope si sahihi, kwa sababu sera ya kikundi inayorithi kutoka sera ya chaguo-msingi inaweza kutoa thamani ambayo haionekani kamwe kwenye orodha fupi.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? matokeo yanafaa kusomwa kwenye toleo lako lililosakinishwa, kwa sababu thamani zinazokubaliwa na maandishi yao ya usaidizi hutofautiana kati ya matoleo. Rejea ya Cisco ASA 9.24 kwa sera ya kikundi inaeleza sifa hiyo kama anwani inayoweza kupitishwa kwenye subnet inayotakiwa, nje ya dimbwi la ugawaji, huku anwani ya kiolesura ikipendelewa. Si masafa ya dimbwi na si namba ya mtandao.

Weka scope kwenye anwani, si masafa

Tuseme dimbwi unalotaka seva itumie ni 10.50.30.50 hadi 10.50.30.200 kwenye /24, na kiolesura cha ASA kwenye sehemu hiyo ni 10.50.30.1. Thamani ya scope ni 10.50.30.1. Kuandika 10.50.30.0 kunashindikana kwa sababu ni namba ya mtandao, na kuandika masafa kunashindikana kwa sababu sifa inachukua anwani moja. Ikiwa anwani unayochagua si anwani ya kiolesura, inahitaji njia tuli ili jibu la seva ya DHCP liweze kuifikia.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Kipande hiki kinafanya jambo moja tu. Hakiweki seva ya DHCP, hakiundi dimbwi hapo, na hakigeuzi profaili ya ufikiaji wa mbali iliyo sehemu kuwa inayofanya kazi. Tabia iliyoandikwa hapa ni IPv4 pekee; usitarajie itaongoza DHCPv6 au ugawaji wa kiambishi awali.

Badilisha kwa kutumia nukta ya kurejesha

Chukua snapshot kwanza, ili kurejesha kuwe amri na si ujenzi upya. Hifadhi usanidi husika kwenye faili kabla ya kuhariri, na ujue no hurejesha nini kwenye toleo lako: hurudisha sifa kwenye thamani yake ya chaguo-msingi au iliyorithiwa, ambayo inaweza kuwa none badala ya sera iliyo juu yake.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Kuondoa sifa pia ni hatua ya uchunguzi. Bila scope iliyofafanuliwa, seva ya DHCP hutafuta kwenye dimbwi zake anwani isiyogawiwa, hivyo mteja anaweza kutua mahali pasipotarajiwa lakini angalau anajiunga. Matokeo hayo yanasema njia ya ombi inafanya kazi na kwamba kinachoshindikana ni uchaguzi wa dimbwi.

Thibitisha anwani, njia na ruhusa

Soma ugawaji kutoka jedwali la vipindi na si kutoka mazungumzo ya mteja, kisha thibitisha kuwa anwani inaweza kupitishwa kurudi kwenye handaki na vichujio vya sera ya kikundi vinaruhusu trafiki unayotarajia. Uamuzi wa ugawaji si uamuzi wa uelekezaji, na mteja anayepata anwani kutoka dimbwi sahihi anaweza bado kushindikana kwenye kila ombi.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Ikiwa kipindi kinaonyesha anwani uliyokusudia lakini trafiki inakufa, scope imekamilika kama mtuhumiwa. Angalia njia ya kurudi, mipangilio ya split-tunnel au vichujio kwenye sera ya kikundi, na kama scope ya DHCP iko kwenye sehemu ambayo ASA inaelekeza kweli.

Makala zinazohusiana