Konfigurieren des AnyConnect VPN-Clients auf FTD: DHCP-Server für die Adresszuweisung

Einleitung

Dieses Dokument enthält ein Konfigurationsbeispiel für Firepower Threat Defense (FTD) in Version 6.4, das Remotezugriff-VPN-Sitzungen den Erhalt einer IP-Adresse ermöglicht, die von einem Dynamic Host Configuration Protocol (DHCP)-Server eines Drittanbieters zugewiesen wird.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• FTD
• FirePOWER Management Center (FMC)
• DHCP

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf folgenden Software-Versionen:

• FMC 6.5
• FTD 6.5
• Windows Server 2016

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Hintergrundinformationen

In diesem Dokument wird nicht die gesamte Remote-Zugriffskonfiguration beschrieben, sondern nur die erforderliche Konfiguration im FTD, um vom lokalen Adresspool zur DHCP-Adresszuweisung zu wechseln.

Wenn Sie nach dem AnyConnect-Konfigurationsbeispieldokument suchen, lesen Sie "Konfigurieren Sie den AnyConnect VPN Client auf FTD: Hairpining and NAT Exemption".

Konfigurieren

Schritt 1: Konfigurieren des DHCP-Bereichs auf dem DHCP-Server

In diesem Szenario befindet sich der DHCP-Server hinter der internen Schnittstelle der FTD.

1. Öffnen Sie den Server Manager in Windows Server, und wählen Sie Tools wie im Bild dargestellt aus.

2. Wählen Sie DHCP:

3. Wählen Sie IPv4 aus, klicken Sie mit der rechten Maustaste darauf, und wählen Sie Neuer Umfang aus, wie im Bild dargestellt.

4. Folgen Sie dem Assistenten, wie in der Abbildung dargestellt.

5. Weisen Sie dem Bereich einen Namen zu, wie im Bild dargestellt.

6. Konfigurieren Sie den Adressbereich wie im Bild dargestellt.

7. (Optional) Konfigurieren Sie die Ausschlüsse wie im Bild dargestellt.

8. Konfigurieren Sie die Leasingdauer wie im Bild dargestellt.

9. (Optional) Konfigurieren Sie DHCP-Bereichsoptionen:

10: Wählen Sie Beenden wie im Bild dargestellt aus.

11: Klicken Sie mit der rechten Maustaste in den soeben erstellten Bereich, und wählen Sie Aktivieren aus, wie im Bild dargestellt.

Schritt 2: Konfigurieren von AnyConnect

Sobald der DHCP-Bereich konfiguriert und aktiviert ist, erfolgt das nächste Verfahren im FMC.

Schritt 2.1: Konfigurieren des Verbindungsprofils

1. Wählen Sie im Abschnitt "DHCP-Server"  und ein Objekt mit der IP-Adresse des DHCP-Servers erstellen.

2. Wählen Sie das Objekt als DHCP-Server aus, um eine IP-Adresse von anzufordern, wie im Bild gezeigt. 

Schritt 2.2: Konfigurieren der Gruppenrichtlinie

1. Navigieren Sie im Menü Gruppenrichtlinie zu Allgemein > DNS/WINS. Es gibt einen Abschnitt DHCP-Netzwerkbereich, wie im Bild dargestellt.

2. Erstellen Sie ein neues Objekt, dieses muss den gleichen Netzwerkbereich wie der DHCP-Server haben.

Anmerkung: Dabei muss es sich um ein Hostobjekt und nicht um ein Subnetz handeln.

3. Wählen Sie das DHCP-Bereichsobjekt und anschließend Speichern wie im Bild dargestellt.

Schritt 2.3: Konfigurieren der Adresszuweisungsrichtlinie

1. Navigieren Sie zu Erweitert > Adresszuweisungsrichtlinie, und stellen Sie sicher, dass die Option DHCP verwenden wie im Bild dargestellt umgeschaltet ist.

2. Speichern Sie die Änderungen, und stellen Sie die Konfiguration bereit.

IP-Helper-Szenario

Wenn sich der DHCP-Server hinter einem anderen Router im LAN befindet, ist ein "IP-Helper" erforderlich, um die Anfragen an den DHCP-Server weiterzuleiten.

Wie in der Abbildung dargestellt, veranschaulicht eine Topologie das Szenario und die erforderlichen Änderungen im Netzwerk.

Überprüfung

Nutzen Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

In diesem Abschnitt werden die DHCP-Pakete beschrieben, die zwischen dem FTD und dem DHCP-Server ausgetauscht werden.

• Erkennung: Dies ist ein Unicast-Paket, das von der internen FTD-Schnittstelle an den DHCP-Server gesendet wird.
  • In der Nutzlast gibt eine Relay-Agent-IP-Adresse den Bereich des DHCP-Servers an, wie im Abbild dargestellt.

• Angebot: Dieses Paket ist eine Antwort vom DHCP-Server. Es enthält die DHCP-Serverquelle und das Ziel des DHCP-Bereichs im FTD.
• Anforderung: Dies ist ein Unicast-Paket, das von der internen FTD-Schnittstelle an den DHCP-Server gesendet wird.
• ZURÜCK: Dieses Paket ist eine Antwort vom DHCP-Server. Es enthält die DHCP-Serverquelle und das Ziel des DHCP-Bereichs im FTD.

Fehlerbehebung

In diesem Abschnitt finden Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration.

Schritt 1: Laden Sie Wireshark auf den DHCP-Server herunter, und aktivieren Sie es.

Schritt 2: Wenden Sie DHCP wie im Bild gezeigt als Erfassungsfilter an.

Schritt 3: Melden Sie sich bei AnyConnect an. Die DHCP-Aushandlung sollte wie im Bild dargestellt angezeigt werden.

Zugehörige Informationen

• In diesem Video sehen Sie ein Konfigurationsbeispiel für FTD, das Remotezugriff-VPN-Sitzungen den Erhalt einer IP-Adresse ermöglicht, die von einem DHCP-Server eines Drittanbieters zugewiesen wurde.

• Technischer Support und Dokumentation für Cisco Systeme