CIDR لمجموعة Access Server: عناوين الأعضاء أم شبكة الموارد

يقبل حقلان في مجموعة Access Server قيمة CIDR، ويبدوان للوهلة الأولى من النوع نفسه: أحدهما يصف العناوين التي يحصل عليها أعضاء VPN، والآخر يصف الشبكات التي يجوز لهم الوصول إليها. الحقل الخاطئ يُقبل دون خطأ، وهذا ما يجعل الخطأ مكلفًا: الأول يغيّر خطة عنونة النفق، والثاني يحدد الوجهات المسموح بها.

الصياغة نفسها، والأسئلة مختلفة

اسأل عمّا يسمّيه الحقل. CIDR عناوين الأعضاء يجيب عن سؤال أي العناوين الداخلية يستلمها العملاء المتصلون، وتستهلكه آلية التخصيص قبل مرور أي حركة. وCIDR المورد يجيب عن سؤال أي الوجهات يجوز للمجموعة استخدامها، وتستهلكه قواعد الوصول عند تقييم الحزمة.

النتائج متعاكسة. لصق شبكة LAN وجهة في حقل التجمع قد يوزع عناوين موجودة أصلًا على تلك الشبكة، أو يزحزح التجمع فيكسر بصمت كل قاعدة جدار ناري كُتبت للنطاق القديم. ولصق تجمع في قاعدة وصول لا يمنح شيئًا مفيدًا لأن لا وجهة تسكن فيه. كلاهما يظهر كأن النفق قائم لكن هناك خللًا.

التخصيص: فضاء عناوين الأعضاء

يجب ألا يتداخل التجمع مع أي شبكة LAN قد يصل إليها العضو ولا مع أي تجمع VPN آخر. فإذا استخدم موقعان التجمع 10.90.40.0/24 للأعضاء، لا يستطيع عضو من أحد الموقعين التوجيه إلى الآخر دون ترجمة، ولا تصلح أي قاعدة وصول ذلك.

وضع التخصيص مهم أيضًا. التجمع الديناميكي يمنح العضو العنوان الحر التالي، بينما يثبّت التخصيص الساكن لكل مستخدم عنوانه. التخصيص الساكن هو المطلوب عندما تشير قواعد جدار الحماية أو المراقبة إلى أعضاء بعينهم، ويكشف أيضًا أي تغيير في خطة العناوين: العنوان المثبّت إمّا يقع داخل التجمع الجديد أو لا يقع. اقرأ عنوان النفق لعضو متصل قبل أي تغيير في هذا الحقل وبعده.

الإذن: شبكات الوجهة مكانها قواعد الوصول

تُعبَّر قابلية الوصول في قواعد الوصول، وهي تحدد المجموعة أو المستخدمين، وشبكة الوجهة أو الخدمة، وطريقة الوصول. هنا يموت معظم الإعداد الناقص: القاعدة قد توجّه الحركة إلى الوجهة أو تعمل NAT لها، والاثنان يحتاجان من الشبكة أشياء مختلفة. المسار الموجَّه يتطلب أن يعرف طرف الوجهة كيف يعيد الحركة إلى تجمع VPN، بينما يخفي NAT الأعضاء خلف عنوان يثق به طرف الوجهة أصلًا. توثيق مجموعات Access Server تُبقي شبكات المجموعة منفصلة عن قواعد وصول المجموعة.

الوجهة المسموح بها تحتاج أيضًا مسارًا صالحًا. القاعدة تسمح، والمسار يوصّل، ومسار العودة يجيب، والخدمة على المضيف تقبل. أربعة أشياء وأربعة مواضع، وأول واحد فقط في قاعدة الوصول. إذن أخضر مع traceroute ميت يعني عادة أن مسار العودة ناقص على بوابة الوجهة، لا أن القاعدة خاطئة.

الكائن الثالث: شبكة فرع خلف بوابة

إعلان أن عميلًا معينًا يملك شبكة فرعية عبارة توجيه عن موقع، وليست تخصيص عنوان ولا إذنًا. أعضاء المجموعة ما زالوا يستلمون عناوين من التجمع، وما زالوا يحتاجون قاعدة وصول لاستخدام شبكة الفرع تلك.

الفصل بين الثلاثة يثمر عند المراجعة. شبكة فرع مسجلة كفضاء عناوين أعضاء تبدو صحيحة في لقطة شاشة وتكسر التخصيص للجميع. والشبكة نفسها مسجلة في قاعدة وصول فقط تمنح وصولًا دون بيان الملكية، فلا تجد حركة العودة مكانًا تذهب إليه.

كيف تعرف أيّها تنظر إليه

اقرأ التسمية مع جيرانها. حقل بجانب وضع تخصيص أو حجم تجمع أو تجاوز لكل مستخدم يتعلق بالتخصيص. وحقل بجانب محدد مجموعة أو خدمة أو منفذ وطريقة توجيه يتعلق بالإذن. الإصدارات تعيد تسمية الأشياء، لكن الجيران يبقون في مكانهم تقريبًا، ولهذا تكون صياغة لقطة قديمة دليلًا سيئًا.

ثم تحقق بعضو واحد لا بالمجموعة كلها: مجموعته الفعلية، وعنوان النفق المخصص له، والقاعدة التي تأذن بوجهته المقصودة. أكّد المسار ثم NAT أو المسار الموجَّه ثم حركة العودة ثم إذن الخدمة بهذا الترتيب، وغيّر فقط الحقل المطابق للخلل الظاهر.