ASA VPN క్లయింట్లు తప్పు DHCP పూల్ నుండి చిరునామాలు పొందుతాయి
ASA లోని dhcp-server మరియు dhcp-network-scope లను రెండు వేర్వేరు ఫీల్డ్లుగా చదవండి, scope ను పూల్ వెలుపల ఉన్న రూట్ చేయదగిన చిరునామాకు సెట్ చేసి, ఆ తర్వాత మార్గాన్ని ధృవీకరించండి.
AnyConnect క్లయింట్లు తప్పు సబ్నెట్లో కనిపిస్తాయి, లేదా DHCP సర్వర్ ఏదీ ఇవ్వడానికి నిరాకరిస్తుంది, అయితే గ్రూప్ పాలసీ మొదటి చూపుకు సరిగ్గా కనిపిస్తుంది. ASA లో రెండు చోట్ల రెండు ఫీల్డ్లు ఉన్నాయి, రెండూ «చిరునామాలు ఎక్కడి నుండి వస్తాయి» అన్నట్లు వినిపిస్తాయి, తప్పుదాన్ని సెట్ చేస్తే సరిగ్గా ఇదే జరుగుతుంది. కనెక్షన్ ప్రొఫైల్ DHCP సర్వర్ను పేర్కొంటుంది; గ్రూప్ పాలసీ ఆ సర్వర్ ఎంచుకోవాల్సిన సబ్నెట్ను పేర్కొంటుంది. రెండూ పూల్ను సృష్టించవు.
మూడు వస్తువులు, మూడు ప్రశ్నలు
మొదట కేటాయింపు నమూనాను పూల్ నుండి వేరు చేయండి, ఎందుకంటే రెండు నమూనాలు కాన్ఫిగరేషన్ను పంచుకోవు. ASA స్వయంగా చిరునామాలు పంపిణీ చేస్తే, మీరు స్థానిక పూల్ను నిర్వచించి గ్రూప్ పాలసీని దాని వైపు తిప్పుతారు. బాహ్య DHCP సర్వర్ వాటిని పంపిణీ చేస్తే, కనెక్షన్ ప్రొఫైల్ ఆ సర్వర్ను పేర్కొంటుంది, గ్రూప్ పాలసీ scope సూచన ఇస్తుంది. రెండింటినీ కలపడమే చిరునామా ఎప్పటికీ కనిపించకపోవడానికి సాధారణ కారణం.
| Intent | Objects involved |
|---|---|
| ASA allocates from its own pool | ip local pool plus the group policy's address-pool |
| External DHCP allocates | dhcp-server on the tunnel group, dhcp-network-scope on the group policy |
ఏదైనా విలువను మార్చే ముందు అమలులో ఉన్న విలువలను చదవండి
వదిలివేసిన పంక్తి స్పష్టమైన none లాంటిది కాదు. నడుస్తున్న కాన్ఫిగరేషన్ మీరు టైప్ చేసినది చూపిస్తుంది; show run all group-policy పాలసీ నిజంగా దేనికి పరిష్కారమవుతుందో, వారసత్వంగా వచ్చిన డిఫాల్ట్లతో సహా చూపిస్తుంది. scope తప్పు అని నిర్ణయించే ముందు రెండింటినీ తనిఖీ చేయండి, ఎందుకంటే డిఫాల్ట్ పాలసీ నుండి వారసత్వం పొందే గ్రూప్ పాలసీ చిన్న జాబితాలో ఎప్పటికీ కనిపించని విలువను ఇవ్వగలదు.
show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
dhcp-network-scope ?? అవుట్పుట్ మీరు ఇన్స్టాల్ చేసిన రిలీజ్లో చదవదగినది, ఎందుకంటే ఆమోదించిన విలువలు మరియు వాటి సహాయ పాఠ్యం వెర్షన్ల మధ్య భిన్నంగా ఉంటాయి. Cisco ASA 9.24 యొక్క గ్రూప్ పాలసీ సూచన ఈ లక్షణాన్ని కావలసిన సబ్నెట్లో, కేటాయింపు పూల్ వెలుపల, ఇంటర్ఫేస్ చిరునామాకు ప్రాధాన్యం ఇస్తూ రూట్ చేయదగిన చిరునామాగా పేర్కొంటుంది. అది పూల్ పరిధి కాదు, నెట్వర్క్ నంబర్ కూడా కాదు.
scope ను చిరునామాకు సెట్ చేయండి, పరిధికి కాదు
సర్వర్ ఉపయోగించాలని మీరు కోరుకునే పూల్ /24 పై 10.50.30.50 నుండి 10.50.30.200 వరకు ఉందని, ఆ విభాగంలోని ASA ఇంటర్ఫేస్ 10.50.30.1 అని అనుకుందాం. scope విలువ 10.50.30.1. 10.50.30.0 రాయడం విఫలమవుతుంది, ఎందుకంటే అది నెట్వర్క్ నంబర్, పరిధిని రాయడం కూడా విఫలమవుతుంది, ఎందుకంటే లక్షణం ఒకే చిరునామాను తీసుకుంటుంది. మీరు ఎంచుకున్న చిరునామా ఇంటర్ఫేస్ చిరునామా కాకపోతే, DHCP సర్వర్ ప్రతిస్పందన అక్కడికి చేరడానికి స్థిర మార్గం అవసరం.
group-policy RemoteStaff attributes
dhcp-network-scope 10.50.30.1ఈ భాగం ఒక పని మాత్రమే చేస్తుంది. ఇది DHCP సర్వర్ను కాన్ఫిగర్ చేయదు, అక్కడ పూల్ను సృష్టించదు, పాక్షిక రిమోట్ యాక్సెస్ ప్రొఫైల్ను పని చేసేదిగా మార్చదు. ఇక్కడ పత్రీకరించిన ప్రవర్తన IPv4 మాత్రమే; ఇది DHCPv6 లేదా ప్రిఫిక్స్ అప్పగింతను నియంత్రిస్తుందని ఆశించకండి.
రోల్బ్యాక్ పాయింట్తో మార్చండి
మొదట snapshot తీసుకోండి, రోల్బ్యాక్ పునర్నిర్మాణం కాకుండా ఆదేశం అవుతుంది. సవరించే ముందు సంబంధిత కాన్ఫిగరేషన్ను ఫైల్లో సేవ్ చేయండి, no మీ రిలీజ్లో ఏమి పునరుద్ధరిస్తుందో తెలుసుకోండి: అది లక్షణాన్ని దాని డిఫాల్ట్ లేదా వారసత్వ విలువకు తిరిగి తెస్తుంది, అది పైన ఉన్న పాలసీ కాదు, none కావచ్చు.
copy running-config flash:pre-dhcp-scope.cfg
conf t
group-policy RemoteStaff attributes
no dhcp-network-scope
dhcp-network-scope 10.50.30.1
end
write memoryలక్షణాన్ని తీసివేయడం కూడా విశ్లేషణ దశ. scope నిర్వచించబడనప్పుడు DHCP సర్వర్ తన పూల్లలో కేటాయించని చిరునామా కోసం వెతుకుతుంది, కాబట్టి క్లయింట్ ఊహించని చోటికి చేరవచ్చు కానీ కనీసం కనెక్ట్ అవుతుంది. ఆ ఫలితం అభ్యర్థన మార్గం పని చేస్తుందని, విఫలమయ్యేది పూల్ ఎంపిక అని చెబుతుంది.
చిరునామా, మార్గం మరియు అనుమతులను ధృవీకరించండి
కేటాయింపును క్లయింట్ సంభాషణ నుండి కాకుండా సెషన్ పట్టిక నుండి చదవండి, ఆ తర్వాత చిరునామా టన్నెల్ వైపు తిరిగి రూట్ చేయదగినదని, గ్రూప్ పాలసీ వడపోతలు మీరు ఆశించే ట్రాఫిక్ను అనుమతిస్తాయని నిర్ధారించండి. కేటాయింపు నిర్ణయం రూటింగ్ నిర్ణయం కాదు, సరైన పూల్ నుండి చిరునామా పొందిన క్లయింట్ కూడా ప్రతి అభ్యర్థనపై విఫలమవచ్చు.
show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source insideసెషన్ మీరు ఉద్దేశించిన చిరునామాను చూపినా ట్రాఫిక్ మరణిస్తే, scope అనుమానితంగా ముగిసింది. తిరిగి వెళ్లే మార్గం, గ్రూప్ పాలసీపై split-tunnel లేదా వడపోత సెట్టింగ్లు, మరియు DHCP scope ASA నిజంగా రూట్ చేసే విభాగంలో ఉందా అని చూడండి.