CIDR grupe u Access Serveru: adrese članova ili mreža resursa

Dva polja u grupi Access Servera prihvataju CIDR i na prvi pogled izgledaju kao ista vrsta unosa: jedno opisuje adrese koje dobijaju članovi VPN-a, drugo mreže do kojih ti članovi mogu stići. Pogrešno polje se prihvata bez greške, i upravo to grešku čini skupom: prvo mijenja plan adresiranja tunela, drugo odlučuje koja su odredišta dozvoljena.

Ista sintaksa, druga pitanja

Pitajte šta vrijednost imenuje. CIDR adresa članova odgovara koje unutrašnje adrese dobijaju klijenti koji se povezuju, a mehanizam dodjele ga troši prije nego što krene saobraćaj. CIDR resursa odgovara koja odredišta grupa smije koristiti, a pravila pristupa ga troše pri ocjeni paketa.

Posljedice su suprotne. Odredišni LAN zalijepljen u polje poola može dijeliti adrese koje već postoje na tom LAN-u, ili pomjeriti pool i tiho slomiti svako pravilo firewall-a napisano za stari opseg. Pool u pravilu pristupa ne daje ništa korisno jer tamo ne stanuje nijedno odredište. Obje greške izgledaju kao tunel koji je gore, ali nešto nije u redu.

Dodjela: adresni prostor članova

Pool se ne smije preklapati ni sa jednim LAN-om do kojeg član može stići ni sa drugim VPN poolom. Ako dvije lokacije koriste 10.90.40.0/24 za članove, član jedne ne može rutirati do druge bez prevođenja, i nijedno pravilo pristupa to ne popravlja.

Način dodjele je takođe važan. Dinamički pool daje sljedeću slobodnu adresu, a statička dodjela po korisniku je fiksira. Statička je potrebna kada pravila firewall-a ili nadzor upućuju na pojedinačne članove; pročitajte adresu tunela jednog povezanog člana prije i poslije svake promjene ovog polja.

Dozvola: odredišne mreže pripadaju pravilima pristupa

Dostupnost se izražava u pravilima pristupa: grupa ili korisnici, odredišna mreža ili servis i metod pristupa. Tu umire većina nedovršenih postavki: pravilo može rutirati saobraćaj do odredišta ili raditi NAT, a to dvoje traži različite stvari od mreže. Rutirana putanja zahtijeva da strana odredišta zna kako vratiti saobraćaj u VPN pool, dok NAT skriva članove iza adrese kojoj odredište već vjeruje. Dokumentacija za grupe Access Servera drži mreže grupe odvojeno od pravila pristupa grupe.

Dozvoljeno odredište i dalje treba upotrebljivu putanju. Pravilo dozvoljava, ruta dostavlja, povratna putanja odgovara, a servis na hostu prihvata. Četiri stvari, četiri mjesta, i samo prvo je u pravilu pristupa. Zeleno odobrenje sa mrtvim traceroute-om obično znači povratna ruta nedostaje na gatewayu odredišta, a ne da je pravilo pogrešno.

Treći objekat: podmreža ogranka iza gatewaya

Objaviti da određeni klijent posjeduje podmrežu je rutirajuća izjava o lokaciji, a ne dodjela adresa i ne dozvola. Članovi i dalje dobijaju adrese iz poola i i dalje im treba pravilo pristupa da koriste taj LAN ogranka.

Držanje sva tri odvojeno isplati se pri pregledu. Podmreža ogranka zabilježena kao adresni prostor članova izgleda tačno na snimku ekrana i kvari dodjelu svima u grupi. Ista podmreža zabilježena samo u pravilu pristupa daje pristup bez izjave o vlasništvu, pa povratni saobraćaj nema kuda.

Kako prepoznati na šta gledate

Čitajte oznaku zajedno sa susjedima. Polje pored načina dodjele, veličine poola ili korisničkog nadjačavanja tiče se dodjele. Polje pored birača grupe, servisa ili porta i metoda rutiranja tiče se dozvole. Verzije preimenuju stvari, ali susjedi ostaju približno na mjestu.

Zatim provjerite s jednim članom, a ne s cijelom grupom: njegovu efektivnu grupu, dodijeljenu adresu tunela i pravilo koje odobrava željeno odredište. Potvrdite rutu, NAT ili rutiranu putanju, povratni saobraćaj i dozvolu servisa tim redom, i mijenjajte samo polje koje odgovara dokazanom neskladu.