在Cisco VPN 3000集中器上配置拆分和動態DNS

下載選項

  • PDF     (211.1 KB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (233.4 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (252.6 KB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2008 年 1 月 14 日
文件 ID:26405

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

分割域名系統(DNS)允許通過VPN隧道將特定域名的DNS查詢解析到內部DNS伺服器，而所有其他DNS查詢則解析到網際網路服務提供商(ISP)的DNS伺服器。在初始隧道協商期間，內部域名清單被「推送」到VPN客戶端。然後VPN客戶端確定DNS查詢是應該通過加密隧道傳送，還是以未加密的方式傳送到ISP。拆分DNS僅在拆分隧道環境中使用，因為流量既通過加密隧道傳送，又未加密到Internet。

動態DNS(DDNS)允許在VPN連線成功協商後，將VPN客戶端主機名自動註冊到DNS伺服器。當VPN客戶端發起連線時，本地主機名將傳送到集中器，集中器又將本地主機名轉發到位於中心位置的動態主機配置協定(DHCP)伺服器以進行地址分配。如果DHCP伺服器支援DDNS，則會自動輸入分配的地址和主機名。DHCP地址分配是DDNS正常工作的要求，但是不適用於本地地址池。

必要條件

需求

本文件沒有特定需求。

採用元件

分隔DNS和DDNS均在3.6版的集中器和客戶端代碼中引入。您必須至少運行這些版本才能啟用和配置此功能。本文檔中的所有配置均使用以下軟體和硬體版本進行開發和測試。

  • Cisco VPN 3000集中器版本3.6.7.A

  • Cisco VPN使用者端版本3.6.1

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

網路圖表

本檔案會使用以下網路設定：

dns_split_dynam1.gif

慣例

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

配置拆分DNS和DDNS

拆分DNS

本節提供用於設定本文件中所述功能的資訊。在Cisco VPN 3000集中器上的組引數下配置拆分DNS引數。因此，不需要在客戶端上進行配置。

  1. 在GUI的User Management > Groups部分下，選擇適當的組，然後選擇Modify Group。

  2. 在General頁籤下，輸入最多兩個內部DNS伺服器，以傳遞給客戶端。

    dns_split_dynam2.gif

  3. 在Client Config（客戶端配置）頁籤下，配置拆分隧道、預設域名和拆分DNS域清單。

    dns_split_dynam3.gif

    使用上述引數成功協商隧道後，對Cisco.com或Test.com域中具有完全限定域名的主機的任何引用都會導致通過隧道向192.168.1.1傳送DNS查詢。任何其他域中主機的DNS查詢會在初始PC啟動時以未加密的方式傳送到DHCP提供的DNS伺服器。

    附註：  稱為「192.168網路」的拆分隧道清單包含192.168.0.0/16網路。這是必要的，這樣才能對發往內部DNS伺服器192.168.1.1的DNS請求進行加密。

DDNS

DDNS要求在VPN集中器上配置DHCP地址分配。因此，不需要在客戶端上進行配置。在初始隧道協商期間，客戶端將其主機名傳送到集中器，而集中器在其DHCP請求資料包中使用該主機名請求客戶端的地址。由DHCP伺服器將此主機名動態新增到DDNS伺服器。Windows 2000 DHCP伺服器支援此功能。

  1. 要在VPN集中器上配置VPN客戶端的DHCP地址分配，請在Configuration > System > Servers > DHCP下，新增DHCP伺服器IP地址。確保在Configuration > System > IP Routing > DHCP Parameters下的集中器上全域性啟用DHCP。

    註：預設情況下啟用。

  2. 在Configuration > System > Address Management > Assignment下，選中用於從DHCP伺服器分配地址的選項。

    dns_split_dynam4.gif

驗證

VPN客戶端隨附的日誌檢視器可用於確保從VPN集中器傳送正確的引數。在Options > Filters下，將Internet金鑰交換(IKE)日誌類設定為High。成功協商通道後，日誌中應出現以下消息（或您的網路特定等效消息）。 

34     11:43:38.069  03/07/03  Sev=Info/5 IKE/0x63000010 
MODE_CFG_REPLY: Attribute = INTERNAL_IPV4_ADDRESS: , value = 192.168.1.50 

35     11:43:38.069  03/07/03  Sev=Info/5 IKE/0x63000010 
MODE_CFG_REPLY: Attribute = INTERNAL_IPV4_DNS(1): , value = 192.168.1.1 

38     11:43:38.069  03/07/03  Sev=Info/5 IKE/0x6300000D 
MODE_CFG_REPLY: Attribute = MODECFG_UNITY_SPLIT_INCLUDE (# of split_nets), value = 0x00000001 

39     11:43:38.069  03/07/03  Sev=Info/5 IKE/0x6300000F 
SPLIT_NET #1 
 subnet = 192.168.0.0 
 mask = 255.255.0.0 
 protocol = 0 
 src port = 0 
 dest port=0 

40     11:43:38.069  03/07/03  Sev=Info/5 IKE/0x6300000E 
MODE_CFG_REPLY: Attribute = MODECFG_UNITY_DEFDOMAIN: , value = cisco.com 

41     11:43:38.069  03/07/03  Sev=Info/5 IKE/0x6300000E 
MODE_CFG_REPLY: Attribute = MODECFG_UNITY_SPLITDNS_NAME: , value = cisco.com,test.com

上述引數定義如下：

  • INTERNAL_IPV4_ADDRESS — 分配給VPN客戶端連線的IP地址

  • INTERNAL_IPV4_DNS(1) — 內部DNS伺服器

  • MODECFG_UNITY_SPLIT_INCLUDE — 拆分隧道清單中的網路數

  • SPLIT_NET #n — 傳遞到客戶端的每個拆分隧道網路的詳細資訊

  • MODECFG_UNITY_DEFDOMAIN -預設域名

  • MODECFG_UNITY_SPLITDNS_NAME — 要傳送到INTERNAL_IPV4_DNS的內部域清單

疑難排解

目前尚無適用於此組態的具體疑難排解資訊。有關其他故障排除資訊，請參閱排除VPN 3000集中器上的連線問題。

相關資訊

修訂記錄

修訂 發佈日期 意見
1.0
14-Jan-2008
初始版本

這份文件是否有所幫助？

Feedback意見

讓思科協助您

本文件適用於這些產品