CIDR групы Access Server: адрасы ўдзельнікаў ці сетка рэсурсаў

У групе Access Server два палі прымаюць CIDR, і на першы погляд яны выглядаюць аднолькава: адно апісвае адрасы, якія атрымліваюць удзельнікі VPN, другое — сеткі, да якіх гэтыя ўдзельнікі могуць дабрацца. Памылковае поле прымаецца без памылкі, і менавіта таму гэтая памылка каштуе дорага: першае змяняе план адрасацыі тунеля, другое вырашае, якія прызначэнні дазволеныя.

Той жа сінтаксіс, іншыя пытанні

Спытайце, што называе значэнне. CIDR адрасоў удзельнікаў адказвае, якія ўнутраныя адрасы атрымліваюць кліенты, і механізм размеркавання спажывае яго да таго, як пойдзе трафік. CIDR рэсурсу адказвае, якія прызначэнні група можа выкарыстоўваць, і правілы доступу спажываюць яго пры ацэнцы пакета.

Вынікі процілеглыя. LAN прызначэння, устаўленая ў поле пула, можа выдаваць адрасы, якія ўжо існуюць у гэтай LAN, або зрушыць пул і моўчкі зламаць кожнае правіла фаервала, напісанае пад стары дыяпазон. Пул, устаўлены ў правіла доступу, не дае нічога карыснага, бо там не жыве ніводнае прызначэнне. Абедзве памылкі выглядаюць як тунэль, які падняты, але нешта не так.

Размеркаванне: адрасная прастора ўдзельнікаў

Пул не павінен перакрывацца з любой LAN, да якой можа дабрацца ўдзельнік, і з любым іншым пулам VPN. Калі два сайты выкарыстоўваюць 10.90.40.0/24 для ўдзельнікаў, удзельнік аднаго сайта не можа маршрутызаваць да другога без трансляцыі, і ніякае правіла доступу гэтага не выправіць.

Рэжым размеркавання таксама мае значэнне. Дынамічны пул дае наступны свабодны адрас, а статычнае прызначэнне на карыстальніка замацоўвае яго. Статычнае патрэбна, калі правілы фаервала або маніторынг спасылаюцца на асобных удзельнікаў; прачытайце адрас тунеля аднаго падключанага ўдзельніка да і пасля любога змянення гэтага поля.

Дазвол: сеткі прызначэння — у правілах доступу

Дасягальнасць выяўляецца ў правілах доступу: група або карыстальнікі, сетка або сэрвіс прызначэння і метад доступу. Менавіта тут памірае большасць недаробленых налад: правіла можа маршрутызаваць трафік да прызначэння або рабіць NAT, і гэтым двум патрэбныя розныя рэчы ад сеткі. Маршрутызаваны шлях патрабуе, каб бок прызначэння ведаў, як вярнуць трафік да пула VPN, а NAT хавае ўдзельнікаў за адрасам, якому прызначэнне ўжо давярае. Дакументацыя па групах Access Server трымае сеткавыя налады групы асобна ад правілаў доступу групы.

Дазволенаму прызначэнню ўсё яшчэ патрэбны працоўны шлях. Правіла дазваляе, маршрут дастаўляе, зваротны шлях адказвае, а сэрвіс на хаспе прымае. Чатыры рэчы, чатыры месцы, і толькі першае жыве ў правіле доступу. Зялёны дазвол з мёртвым traceroute звычайна азначае на шлюзе прызначэння бракуе зваротнага маршруту, а не тое, што правіла няправільнае.

Трэці абект: падсетка філіяла за шлюзам

Абвясціць, што пэўны кліент валодае падсеткай — гэта маршрутнае сцвярджэнне пра сайт, а не размеркаванне адрасоў і не дазвол. Удзельнікі па-ранейшаму атрымліваюць адрасы з пула і па-ранейшаму маюць патрэбу ў правіле доступу, каб карыстацца гэтай LAN філіяла.

Трымаць усе тры асобна акупляецца падчас агляду. Падсетка філіяла, запісаная як адрасная прастора ўдзельнікаў, выглядае правільна на здымку экрана і ламае размеркаванне ўсім у групе. Тая ж падсетка, запісаная толькі ў правіле доступу, дае доступ без сцвярджэння ўласнасці, таму зваротнаму трафіку няма куды ісці.

Як зразумець, на што вы глядзіце

Чытайце подпіс разам з суседзямі. Поле побач з рэжымам размеркавання, памерам пула або перавызначэннем на карыстальніка — гэта размеркаванне. Поле побач з выбарам групы, сэрвісам або портам і метадам маршрутызацыі — гэта дазвол. Рэлізы пераймяноўваюць рэчы, але суседзі застаюцца прыблізна на месцы.

Затым правярайце на адным удзельніку, а не на ўсёй групе: яго эфектыўная група, прызначаны адрас тунеля і правіла, якое дазваляе патрэбнае прызначэнне. Пацвердзіце маршрут, NAT або маршрутызаваны шлях, зваротны трафік і дазвол сэрвісу ў гэтым парадку, і змяняйце толькі тое поле, якое адпавядае выяўленай неадпаведнасці.