ASA VPN istemcileri yanlış DHCP havuzundan adres alıyor

ASA'daki dhcp-server ve dhcp-network-scope alanlarını iki ayrı alan olarak okuyun, scope'u havuz dışında yönlendirilebilir bir adrese ayarlayın ve ardından yolu doğrulayın.

AnyConnect istemcileri yanlış alt ağda görünüyor ya da DHCP sunucusu hiçbir şey vermeyi reddediyor, oysa grup ilkesi ilk bakışta doğru görünüyor. Bir ASA'da iki ayrı yerde, ikisi de «adresler nereden geliyor» gibi duyulan iki alan vardır ve yanlış olanı ayarlamak tam olarak bunu üretir. Bağlantı profili DHCP sunucusunu adlandırır; grup ilkesi o sunucunun seçeceği alt ağı adlandırır. İkisi de havuz oluşturmaz.

Üç nesne, üç soru

Önce atama modelini havuzdan ayırın, çünkü iki model yapılandırmayı paylaşmaz. Adresleri ASA'nın kendisi dağıtıyorsa yerel bir havuz tanımlar ve grup ilkesini ona yönlendirirsiniz. Adresleri harici bir DHCP sunucusu dağıtıyorsa bağlantı profili o sunucuyu adlandırır ve grup ilkesi bir scope ipucu verir. İkisini karıştırmak, bir adresin hiç görünmemesinin olağan nedenidir.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Birini değiştirmeden önce geçerli değerleri okuyun

Atlanmış bir satır, açık bir none ile aynı şey değildir. Çalışan yapılandırma ne yazdığınızı gösterir; show run all group-policy ilkenin gerçekte neye çözüldüğünü, miras alınan varsayılanlar dahil gösterir. scope'un yanlış olduğuna karar vermeden önce ikisini de kontrol edin, çünkü varsayılan bir ilkeden miras alan bir grup ilkesi kısa listede hiç görünmeyen bir değer verebilir.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? çıktısı kurulu sürümünüzde okumaya değer, çünkü kabul edilen değerler ve yardım metinleri sürümler arasında farklıdır. Cisco ASA 9.24 grup ilkesi başvurusu özniteliği istenen alt ağda, atama havuzunun dışında, arayüz adresine öncelik verilen yönlendirilebilir bir adres olarak belgeler. Havuz aralığı değildir ve ağ numarası da değildir.

scope'u bir adrese ayarlayın, aralığa değil

Sunucunun kullanmasını istediğiniz havuzun /24 üzerinde 10.50.30.50 ile 10.50.30.200 arası, o segmentteki ASA arayüzünün de 10.50.30.1 olduğunu varsayalım. scope değeri 10.50.30.1'dir. 10.50.30.0 yazmak başarısız olur çünkü ağ numarasıdır, aralığı yazmak da başarısız olur çünkü öznitelik tek bir adres alır. Seçtiğiniz adres bir arayüz adresi değilse, DHCP sunucusunun yanıtının ona ulaşabilmesi için statik bir yol gerekir.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Bu parça yalnızca bir şey yapar. DHCP sunucusunu yapılandırmaz, orada havuz oluşturmaz ve kısmi bir uzaktan erişim profilini çalışan bir profil yapmaz. Burada belgelenen davranış yalnızca IPv4'tür; DHCPv6 veya önek delegasyonunu yönetmesini beklemeyin.

Bir geri alma noktasıyla değiştirin

Önce anlık görüntü alın, böylece geri alma yeniden inşa değil bir komut olur. Düzenlemeden önce ilgili yapılandırmayı bir dosyaya kaydedin ve no sürümünüzde neyi geri yüklediğini bilin: özniteliği varsayılan veya miras alınan değerine döndürür, bu da üstündeki ilke yerine none olabilir.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Özniteliği kaldırmak da bir tanı adımıdır. scope tanımlı değilse DHCP sunucusu kendi havuzlarında atanmamış bir adres arar, bu yüzden istemci beklenmedik bir yere düşebilir ama en azından bağlanır. Bu sonuç istek yolunun çalıştığını ve başarısız olanın havuz seçimi olduğunu söyler.

Adresi, yolu ve izinleri doğrulayın

Atamayı istemcinin iletişim kutusundan değil oturum tablosundan okuyun, ardından adresin tünele geri yönlendirilebilir olduğunu ve grup ilkesinin filtrelerinin beklediğiniz trafiğe izin verdiğini doğrulayın. Atama kararı yönlendirme kararı değildir ve doğru havuzdan adres alan bir istemci bile her istekte başarısız olabilir.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Oturum amaçladığınız adresi gösteriyor ama trafik ölüyorsa, scope şüpheli olarak kapanmıştır. Dönüş yoluna, grup ilkesindeki split-tunnel veya filtre ayarlarına ve DHCP scope'unun ASA'nın gerçekten yönlendirdiği bir segmentte olup olmadığına bakın.

İlgili makaleler