방화벽이 Global Protect DHCP 프로파일 에 대한 Discover 메시지에서 네트워크 서브넷을 전송하지 않습니다.

1544

Created On 11/28/24 16:00 PM - Last Modified 10/17/25 19:47 PM

Symptom

서버에는 IPV4 범위가 있습니다

> 풀-1 172.16.30.10- 172.16.30.100( DHCP 프로파일 에 구성된 것과 동일한 IP 풀입니다)

1 FW 인터페이스 에서 DHCP 서버 프로파일 구성합니다.
2. GP 클라이언트에 할당된 DHCP 기반 IP를 활성화합니다.
3. GP 클라이언트에서 VPN 연결을 시작합니다.

릴레이 IP가 172.16.30.1(GP IP Mgmt를 위한 서비스 경로(service route) 통해)로 설정된 경우 IP는 풀 1에서 나옵니다.

릴레이 IP가 192.168.50.1 또는 다른 인터페이스 (GP IP 관리 서비스 경로(service route) 통해)로 설정된 경우 DHCP 서버에 이 네트워크에 대한 서브넷 풀이 없고 방화벽 이 게이트웨이 수준에서 정적 IP로 되돌아가기 때문에 프로세스가 실패합니다.

gpsvc.log의 디버그 수준은 방화벽 서버로부터 OPER를 수신하지 못했음을 보여줍니다.

{"level":"warn","task":"37-20","time":"2024-11-13T09:20:42.635705493-08:00","message":"HasFeatureSupport: query feature: dhcp, result: %!d(bool=true)"}
{"level":"warn","task":"37-20","time":"2024-11-13T09:20:42.635947646-08:00","message":"CIAM or DHCP is enabled, trying to get an IP from IPSvc..."}
{"level":"debug","time":"2024-11-13T09:20:42.63598157-08:00","message":"[IPSVC]-[Request]: received a DHCP request, the request is {Action:allocate ProjectName: ProjectGUID: Location: GatewayName:Test-GW UserDomain:nk Username:Nk HostID:0e9d32e4-daeb-4eb9-87a0-d1c64f19f0b9 MACAddr:78-e9-07-c9-86-04 Computer:E895D7D7-AD62-4 JoinedDomain: PreferredIP:10.10.150.1 ClientIP:10.46.224.87 ClientAppVer:6.0.10-814 IP: XID: Sequence: Allocator: AllocatorIP:}"}
{"level":"debug","time":"2024-11-13T09:20:42.635995701-08:00","message":"[IPSVC]-[Request]: Trying 0 Primary DHCP Server..."}
{"level":"warn","time":"2024-11-13T09:20:47.636511425-08:00","message":"[IPSVC]-[Request]: Request Timeout on Primary Server(s), req is {allocate   Test-GW Test-GW nk Nk 0e9d32e4-daeb-4eb9-87a0-d1c64f19f0b9 78-e9-07-c9-86-04 E895D7D7-AD62-4  10.10.150.1 10.46.224.87 6.0.10-814     }"}
{"level":"debug","time":"2024-11-13T09:20:47.636560003-08:00","message":"[IPSVC]-[Request]: Trying 1 Primary DHCP Server..."}
{"level":"warn","time":"2024-11-13T09:20:47.636573808-08:00","message":"[IPSVC]-[SendReceive]: DHCP DORA context timeout, request details: DHCPv4(xid=0x511e0f4f hwaddr=78:e9:07:c9:86:04 msg_type=DISCOVER, your_ip=0.0.0.0, server_ip=0.0.0.0)"}
{"level":"warn","time":"2024-11-13T09:20:47.63660764-08:00","message":"[IPSVC]-[AllocateIP]: DHCP OFFER is nil, cannot continue to send DHCP REQUEST..."}
{"level":"error","time":"2024-11-13T09:20:47.636617753-08:00","message":"[IPSVC]-[AllocateIP]: failed to received the DHCP ACK from DHCP Server"}

Environment

국립과학수사연구원
글로벌 프로텍트 게이트웨이
GP DHCP 프로파일

Cause

DHCP 서버는 Discover 메시지 소스 IP(GP IP 관리 서비스 경로(service route) )를 사용하여 IP 주소 발급합니다.

DISCOVER 메시지의 SRC IP에 DHCP 서버에 IP 풀이 없는 경우. 서버는 OFFER 메시지를 발행하지 않고 프로세스가 실패합니다. 이것이 DHCP 서비스가 작동하는 방식입니다.

DHCP 내부 네트워킹 프로토콜입니다. DHCP 서비스는 동일한 서브넷에서만 작동합니다. Windows DHCP 설정의 범위는 대략 서브넷으로 간주될 수 있습니다.
IP를 수집하려면 두 가지 단계가 필요합니다.

요청 범위에 도달합니다. 즉 , 요청 의 src IP가 범위의 IP 범위에 있음을 의미합니다.
범위에 도달하면 해당 범위가 요청 정책과 일치하여 IP를 선택합니다.

DISCOVER 메시지의 src IP에 DHCP 서버에 IP 풀이 없으면 요청 어떤 범위에도 도달하지 못합니다. 그러면 요청 실패합니다.

Resolution

DISCOVER 메시지의 SRC IP에 대해 DHCP 서버에서 IP 풀을 구성합니다(이것은 게이트웨이 IP 역할을 하며 서비스 경로(service route) 통해 설정됩니다)
서브넷에 IP를 할당하기 위해 DHCP 서버 공급업체는 다양한 솔루션을 제공합니다. Windows DHCP 서버의 솔루션 superscope입니다.
슈퍼스코프는 스코프를 함께 결합합니다. 따라서 DISCOVER SRC IP가 스코프 중 하나에 있으면 슈퍼스코프에 도달합니다. 슈퍼스코프는 스코프 전반에 걸쳐 IP를 수집할 수 있습니다.

Additional Information