ASA VPN வாடிக்கையாளர்கள் தவறான DHCP குளத்திலிருந்து முகவரிகளைப் பெறுகிறார்கள்
ASAவின் dhcp-server மற்றும் dhcp-network-scope ஐ இரண்டு வெவ்வேறு புலங்களாகப் படிக்கவும், scope ஐ குளத்திற்கு வெளியே உள்ள வழிப்படுத்தக்கூடிய முகவரியில் அமைத்து பின்னர் பாதையைச் சரிபார்க்கவும்.
AnyConnect வாடிக்கையாளர்கள் தவறான துணைவலையில் தோன்றுகிறார்கள், அல்லது DHCP சேவையகம் எதையும் வழங்க மறுக்கிறது, ஆனால் குழு கொள்கை முதல் பார்வையில் சரியாகத் தெரிகிறது. ASAவில் இரண்டு இடங்களில் இரண்டு புலங்கள் உள்ளன, இரண்டும் «முகவரிகள் எங்கிருந்து வருகின்றன» எனக் கேட்பது போல் தோன்றுகிறது, தவறானதை அமைத்தால் சரியாக இதுவே நடக்கும். இணைப்புப் புரொஃபைல் DHCP சேவையகத்தைப் பெயரிடுகிறது; குழு கொள்கை அந்தச் சேவையகம் தேர்ந்தெடுக்க வேண்டிய துணைவலையைப் பெயரிடுகிறது. இரண்டில் ஒன்றும் குளத்தை உருவாக்கவில்லை.
மூன்று பொருள்கள், மூன்று கேள்விகள்
முதலில் ஒதுக்கீட்டு மாதிரியைக் குளத்திலிருந்து பிரிக்கவும், ஏனெனில் இரண்டு மாதிரிகளும் கட்டமைப்பைப் பகிர்ந்து கொள்ளவில்லை. ASA தானே முகவரிகளைப் பங்கிடினால், நீங்கள் ஒரு உள்ளூர் குளத்தை வரையறுத்து குழு கொள்கையை அதை நோக்கித் திருப்புகிறீர்கள். வெளிப்புற DHCP சேவையகம் அவற்றைப் பங்கிட்டால், இணைப்புப் புரொஃபைல் அந்தச் சேவையகத்தைப் பெயரிடுகிறது, குழு கொள்கை scope குறிப்பைத் தருகிறது. இரண்டையும் கலப்பதே முகவரி ஒருபோதும் தோன்றாததற்கான வழக்கமான காரணம்.
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
எந்த மதிப்பையும் மாற்றுவதற்கு முன் நடைமுறை மதிப்புகளைப் படிக்கவும்
விடுபட்ட வரி வெளிப்படையான none போல இல்லை. இயங்கும் கட்டமைப்பு நீங்கள் தட்டச்சு செய்ததைக் காட்டுகிறது; show run all group-policy கொள்கை உண்மையில் எதற்குத் தீர்வாகிறது என்பதை, மரபுவழி இயல்புநிலைகள் உட்படக் காட்டுகிறது. scope தவறு என்று முடிவெடுப்பதற்கு முன் இரண்டையும் சரிபார்க்கவும், ஏனெனில் இயல்புநிலைக் கொள்கையிலிருந்து மரபுரிமை பெறும் குழு கொள்கை சிறு பட்டியலில் ஒருபோதும் தோன்றாத மதிப்பைத் தரக்கூடும்.
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? வெளியீடு நீங்கள் நிறுவிய வெளியீட்டில் படிக்கத் தகுந்தது, ஏனெனில் ஏற்கப்படும் மதிப்புகளும் அவற்றின் உதவி உரையும் பதிப்புகளுக்கிடையே வேறுபடுகின்றன. Cisco ASA 9.24 இன் குழு கொள்கை குறிப்பு இந்தப் பண்பை விரும்பிய துணைவலையில், ஒதுக்கீட்டுக் குளத்திற்கு வெளியே, இடைமுக முகவரிக்கு முன்னுரிமை அளித்து வழிப்படுத்தக்கூடிய முகவரியாக ஆவணப்படுத்துகிறது. அது குள வரம்பு அல்ல, வலைய எண்ணும் அல்ல.
scope ஐ முகவரியில் அமைக்கவும், வரம்பில் அல்ல
சேவையகம் பயன்படுத்த வேண்டும் என நீங்கள் விரும்பும் குளம் /24 இல் 10.50.30.50 முதல் 10.50.30.200 வரை, அந்தப் பகுதியின் ASA இடைமுகம் 10.50.30.1 என்று வைத்துக்கொள்வோம். scope மதிப்பு 10.50.30.1. 10.50.30.0 எழுதுவது தோல்வியடைகிறது, ஏனெனில் அது வலைய எண், வரம்பை எழுதுவதும் தோல்வியடைகிறது, ஏனெனில் பண்பு ஒரு முகவரியை மட்டுமே எடுக்கிறது. நீங்கள் தேர்ந்தெடுக்கும் முகவரி இடைமுக முகவரி இல்லையெனில், DHCP சேவையகத்தின் பதில் அங்கு செல்ல ஒரு நிலையான பாதை தேவை.
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1இந்தப் பகுதி ஒரு காரியத்தை மட்டுமே செய்கிறது. இது DHCP சேவையகத்தை அமைக்கவில்லை, அங்கு குளத்தை உருவாக்கவில்லை, பகுதி தொலைஅணுகல் புரொஃபைலை வேலை செய்யும் ஒன்றாக மாற்றவில்லை. இங்கு ஆவணப்படுத்தப்பட்ட நடத்தை IPv4 மட்டுமே; அது DHCPv6 அல்லது முன்னொட்டுப் பேரளவைக் கட்டுப்படுத்தும் என எதிர்பார்க்க வேண்டாம்.
மீள்செயல் புள்ளியுடன் அதை மாற்றவும்
முதலில் snapshot எடுக்கவும், மீள்செயல் மறுகட்டமைப்பு அல்ல, கட்டளை ஆக. திருத்துவதற்கு முன் தொடர்புடைய கட்டமைப்பைக் கோப்பில் சேமிக்கவும், no உங்கள் வெளியீட்டில் எதை மீட்டெடுக்கிறது என்பதை அறியவும்: அது பண்பை அதன் இயல்புநிலை அல்லது மரபுவழி மதிப்புக்குத் திருப்புகிறது, அது மேலே உள்ள கொள்கை அல்ல, none ஆக இருக்கலாம்.
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryபண்பை நீக்குவதும் ஒரு கண்டறிதல் படியாகும். scope வரையறுக்கப்படாதபோது DHCP சேவையகம் தன் குளங்களில் ஒதுக்கப்படாத முகவரியைத் தேடுகிறது, எனவே வாடிக்கையாளர் எதிர்பாராத இடத்தில் விழக்கூடும் ஆனால் குறைந்தபட்சம் இணைக்கிறது. அந்த முடிவு கோரிக்கையின் பாதை வேலை செய்கிறது என்றும் தோல்வியடைவது குளத் தேர்வு என்றும் சொல்கிறது.
முகவரி, பாதை மற்றும் அனுமதிகளைச் சரிபார்க்கவும்
ஒதுக்கீட்டை வாடிக்கையாளரின் உரையாடலிலிருந்து அல்ல, அமர்வு அட்டவணையிலிருந்து படிக்கவும், பின்னர் முகவரி சுரங்கப்பாதைக்குத் திரும்பி வழிப்படுத்தக்கூடியது என்றும் குழு கொள்கையின் வடிகட்டிகள் நீங்கள் எதிர்பார்க்கும் போக்குவரத்தை அனுமதிக்கின்றன என்றும் உறுதிப்படுத்தவும். ஒதுக்கீட்டு முடிவு வழிப்படுத்தல் முடிவு அல்ல, சரியான குளத்திலிருந்து முகவரி பெறும் வாடிக்கையாளரும் ஒவ்வொரு கோரிக்கையிலும் தோல்வியடையலாம்.
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideஅமர்வு நீங்கள் நோக்கிய முகவரியைக் காட்டினாலும் போக்குவரத்து இறந்தால், scope சந்தேகத்திற்குரியதாக முடிந்தது. திரும்பும் பாதை, குழு கொள்கையின் split-tunnel அல்லது வடிகட்டி அமைப்புகள், மற்றும் DHCP scope ASA உண்மையில் வழிப்படுத்தும் பகுதியில் உள்ளதா என்பதைப் பார்க்கவும்.