Groep-CIDR in Access Server: lede-adresse of bestemmingsnetwerk

Twee velde in ’n Access Server-groep aanvaar ’n CIDR, en hulle lyk op die oog af dieselfde. Die een beskryf die adresse wat lede kry, die ander die netwerke wat hulle mag bereik. ’n Verkeerde veld word sonder fout aanvaar, en dit maak die fout duur: die eerste verander jou tonnel-adresplan, die tweede besluit watter bestemmings toegelaat word.

Dieselfde sintaksis, ander vrae

Vra wat die waarde benoem. ’n Lede-adres-CIDR antwoord watter binneste adresse kliënte kry, en die toewysing gebruik dit voordat verkeer vloei. ’n Hulpbron-CIDR antwoord watter bestemmings die groep mag gebruik, en die toegangsreëls gebruik dit wanneer ’n pakket geëvalueer word.

Die gevolge is teenoorgesteld. ’n Bestemmings-LAN in die poelveld kan adresse uitdeel wat reeds op daardie LAN bestaan, of die poel verskuif en elke firewallreël teen die ou reeks stil breek. ’n Poel in ’n toegangsreël gee niks, want geen bestemming woon daar nie. Albei lyk soos ’n tonnel wat op is maar iets fout het.

Toekenning: die lede-adresruimte

Die poel moenie oorvleuel met enige LAN wat ’n lid mag bereik of met ’n ander VPN-poel nie. Met twee terreine wat albei 10.90.40.0/24 vir lede gebruik, kan ’n lid van een terrein nie sonder vertaling na die ander roeteer nie, en geen toegangsreël maak dit reg nie.

Toewysingsmodus maak saak. ’n Dinamiese poel gee die volgende vrye adres, ’n statiese toewysing per gebruiker hou dit vas. Staties is reg wanneer firewallreëls of monitering na individuele lede verwys; lees een lid se tonneladres voor en ná enige verandering.

Toestemming: bestemmingsnetwerke hoort in toegangsreëls

Bereikbaarheid word in die toegangsreëls uitgedruk: groep of gebruikers, bestemmingsnetwerk of diens, en toegangsmetode. ’n Geroteerde pad vereis dat die bestemmingskant weet hoe om verkeer na die VPN-poel terug te stuur, terwyl NAT lede agter ’n vertroude adres wegsteek. Access Server-dokumentasie oor groepe hou groepsnetwerking apart van toegangsreëls.

’n Toegelate bestemming het steeds ’n bruikbare pad nodig. Die reël permitteer, die roete lewer, die terugpad antwoord en die diens op die gasheer aanvaar. Vier dinge, vier plekke; net die eerste woon in die toegangsreël. Groen toestemming met ’n dooie traceroute beteken gewoonlik die terugroete ontbreek op die bestemming se gateway, nie dat die reël verkeerd is nie.

Die derde objek: ’n tak-subnet agter ’n gateway

Verklaar dat ’n bepaalde kliënt ’n subnet besit is ’n roeteringsverklaring oor ’n terrein, nie ’n adrestoewysing of ’n toestemming nie. Lede kry steeds adresse uit die poel en het steeds ’n toegangsreël nodig om daardie tak-LAN te gebruik.

Om die drie apart te hou, betaal tydens hersiening. ’n Tak-subnet as lede-adresruimte lyk reg op ’n skermbeeld en breek toekenning vir almal. Dieselfde subnet net in ’n toegangsreël gee toegang sonder die eienaarskapverklaring, so terugverkeer het nêrens heen nie.

Hoe om te weet watter een jy sien

Lees die etiket saam met sy bure. ’n Veld langs ’n toewysingsmodus, poelgrootte of per-gebruiker-oorheersing gaan oor toekenning. ’n Veld langs ’n groepkeuse, diens of poort en roeteringsmetode gaan oor toestemming. Weergawes hernoem dinge, maar die bure bly rofweg waar.

Verifieer dan met een lid eerder as die hele groep: sy effektiewe groep, toegewysde tonneladres en die reël wat sy bestemming magtig. Bevestig roete, NAT of geroteerde pad, terugverkeer en diensregte in daardie orde, en verander net die veld wat by die fout pas.