ASA VPN mijozlari noto‘g‘ri DHCP hovuzidan manzil oladi

ASA'dagi dhcp-server va dhcp-network-scope maydonlarini ikki alohida maydon sifatida o‘qing, scope'ni hovuzdan tashqaridagi marshrutlanadigan manzilga qo‘ying, so‘ng marshrutni tekshiring.

AnyConnect mijozlari noto‘g‘ri quyi tarmoqda paydo bo‘ladi yoki DHCP serveri umuman hech narsa bermaydi, holbuki guruh siyosati bir qarashda to‘g‘ri ko‘rinadi. ASA'da ikki joyda ikki maydon bor, ikkisi ham «manzillar qayerdan keladi» deb eshitiladi, noto‘g‘risini qo‘yish esa aynan shuni beradi. Ulanish profili DHCP serverini nomlaydi; guruh siyosati o‘sha server tanlaydigan quyi tarmoqni nomlaydi. Ikkisi ham hovuz yaratmaydi.

Uch obyekt, uch savol

Avval taqsimlash modelini hovuzdan ajrating, chunki ikki model konfiguratsiyani bo‘lishmaydi. Agar ASA manzillarni o‘zi tarqatsa, mahalliy hovuz belgilaysiz va guruh siyosatini unga yo‘naltirasiz. Agar ularni tashqi DHCP serveri tarqatsa, ulanish profili o‘sha serverni nomlaydi va guruh siyosati scope ishorasini beradi. Ikkisini aralashtirish manzil hech qachon ko‘rinmasligining odatiy sababidir.

IntentObjects involved
ASA allocates from its own poolip local pool plus the group policy's address-pool
External DHCP allocatesdhcp-server on the tunnel group, dhcp-network-scope on the group policy

Bittasini o‘zgartirishdan oldin amaldagi qiymatlarni o‘qing

Tashlab ketilgan qator aniq none bilan bir xil emas. Joriy konfiguratsiya nima yozganingizni ko‘rsatadi; show run all group-policy siyosat aslida nimaga yechilishini, meros qolgan standart qiymatlar bilan birga ko‘rsatadi. scope noto‘g‘ri deb qaror qilishdan oldin ikkalasini tekshiring, chunki standart siyosatdan meros oladigan guruh siyosati qisqa ro‘yxatda hech qachon ko‘rinmaydigan qiymat berishi mumkin.

show running-config group-policy RemoteStaff
show run all group-policy RemoteStaff
show running-config tunnel-group RemoteStaff
group-policy RemoteStaff attributes
 dhcp-network-scope ?

? chiqishini o‘rnatilgan nashringizda o‘qish arziydi, chunki qabul qilinadigan qiymatlar va ularning yordam matni versiyalar orasida farq qiladi. Cisco ASA 9.24 guruh siyosati ma'lumotnomasi atributni istalgan quyi tarmoqda, taqsimlash hovuzidan tashqarida, interfeys manziliga ustunlik berilgan marshrutlanadigan manzil sifatida tavsiflaydi. Bu hovuz diapazoni emas va tarmoq raqami ham emas.

scope'ni manzilga qo‘ying, diapazonga emas

Aytaylik, server ishlatishini xohlagan hovuzingiz /24 bo‘yicha 10.50.30.50 dan 10.50.30.200 gacha, o‘sha segmentdagi ASA interfeysi esa 10.50.30.1. scope qiymati 10.50.30.1. 10.50.30.0 yozish muvaffaqiyatsiz bo‘ladi, chunki bu tarmoq raqami, diapazonni yozish ham muvaffaqiyatsiz bo‘ladi, chunki atribut bitta manzil oladi. Tanlagan manzilingiz interfeys manzili bo‘lmasa, DHCP serverining javobi yetib borishi uchun unga statik marshrut kerak.

group-policy RemoteStaff attributes
 dhcp-network-scope 10.50.30.1

Bu parcha faqat bitta ish qiladi. U DHCP serverni sozlamaydi, u yerda hovuz yaratmaydi va qisman masofaviy kirish profilini ishlaydigan holga keltirmaydi. Bu yerda hujjatlashtirilgan xatti-harakat faqat IPv4; u DHCPv6 yoki prefiks delegatsiyasini boshqaradi deb kutmang.

Uni qaytarish nuqtasi bilan o‘zgartiring

Avval snapshot oling, qaytarish qayta qurish emas, buyruq bo‘lsin. Tahrirlashdan oldin tegishli konfiguratsiyani faylga saqlang va no nashringizda nimani tiklashini biling: atributni standart yoki meros qolgan qiymatiga qaytaradi, bu esa uning ustidagi siyosat emas, none bo‘lishi mumkin.

copy running-config flash:pre-dhcp-scope.cfg
conf t
 group-policy RemoteStaff attributes
  no dhcp-network-scope
  dhcp-network-scope 10.50.30.1
 end
write memory

Atributni olib tashlash ham diagnostika qadamidir. scope belgilanmagan bo‘lsa, DHCP serveri o‘z hovuzlaridan taqsimlanmagan manzil qidiradi, shuning uchun mijoz kutilmagan joyga tushishi mumkin, lekin hech bo‘lmaganda ulanadi. Bu natija so‘rov yo‘li ishlayotganini va muvaffaqiyatsizlik hovuz tanlashda ekanini bildiradi.

Manzil, marshrut va ruxsatlarni tekshiring

Taqsimlashni mijoz muloqotidan emas, sessiyalar jadvalidan o‘qing, so‘ng manzil tunnelga qaytib marshrutlanishini va guruh siyosati filtrlari kutilgan trafikni ruxsat berishini tasdiqlang. Taqsimlash qarori marshrutlash qarori emas va to‘g‘ri hovuzdan manzil olgan mijoz ham har bir so‘rovda muvaffaqiyatsiz bo‘lishi mumkin.

show vpn-sessiondb detail anyconnect filter name testuser
show ip local pool
show route | include 10.50.30
ping 10.50.30.61 source inside

Agar sessiya siz nazarda tutgan manzilni ko‘rsatsa, lekin trafik o‘lsa, scope gumon qilinuvchi sifatida tugadi. Qaytish marshrutiga, guruh siyosatidagi split-tunnel yoki filtr sozlamalariga va DHCP scope ASA haqiqatan marshrutlaydigan segmentda ekaniga qarang.

O'xshash maqolalar