CIDR de grup a Access Server: adreces de membres o xarxa de recursos

Dos camps d’un grup d’Access Server accepten un CIDR i a primera vista semblen el mateix tipus d’entrada: un descriu les adreces que reben els membres de la VPN, l’altre les xarxes a què aquests membres poden arribar. El camp equivocat s’accepta sense error, i això és el que fa car l’error: el primer canvia el pla d’adreçament del túnel, el segon decideix quines destinacions es permeten.

La mateixa sintaxi, preguntes diferents

Pregunteu què nomena el valor. El CIDR d’adreces de membres respon quines adreces internes reben els clients que es connecten, i el mecanisme d’assignació el consumeix abans que passi cap trànsit. El CIDR de recurs respon quines destinacions pot usar el grup, i les regles d’accés el consumeixen quan s’avalua un paquet.

Les conseqüències són oposades. Una LAN de destinació enganxada al camp del pool pot repartir adreces que ja existeixen en aquella LAN, o desplaçar el pool i trencar en silenci cada regla de tallafoc escrita per al rang antic. Un pool en una regla d’accés no atorga res d’útil, perquè allà no hi viu cap destinació. Tots dos errors es presenten com un túnel aixecat però amb alguna cosa malament.

Assignació: l’espai d’adreces dels membres

El pool no s’ha de solapar amb cap LAN a què un membre pugui arribar ni amb cap altre pool de VPN. Amb dos llocs que usen 10.90.40.0/24 per als membres, un membre d’un lloc no pot encaminar cap a l’altre sense traducció, i cap regla d’accés ho arregla.

El mode d’assignació també importa. Un pool dinàmic dóna la següent adreça lliure, mentre que una assignació estàtica per usuari la fixa. L’assignació estàtica és el que voleu quan les regles de tallafoc o el monitoratge es refereixen a membres individuals; llegiu l’adreça de túnel d’un membre connectat abans i després de qualsevol canvi en aquest camp.

Permís: les xarxes de destinació van a les regles d’accés

L’abastabilitat s’expressa a les regles d’accés: grup o usuaris, xarxa o servei de destinació i mètode d’accés. Aquí mor la majoria de configuracions a mitges: la regla pot encaminar el trànsit a la destinació o fer-ne NAT, i les dues coses necessiten coses diferents de la xarxa. Un camí encaminat requereix que el costat de destinació sàpiga com retornar el trànsit al pool de VPN, mentre que el NAT amaga els membres darrere d’una adreça en què la destinació ja confia. la documentació dels grups d’Access Server manté la xarxa del grup separada de les regles d’accés del grup.

Una destinació permesa encara necessita un camí utilitzable. La regla permet, la ruta lliura, el camí de retorn respon i el servei de l’amfitrió accepta. Quatre coses, quatre llocs, i només la primera viu a la regla d’accés. Un permís verd amb un traceroute mort normalment vol dir falta la ruta de retorn a la passarel·la de la destinació, no que la regla sigui incorrecta.

El tercer objecte: una subxarxa de branca darrere d’una passarel·la

Declarar que un client concret posseeix una subxarxa és una declaració d’encaminament sobre un lloc, no una assignació d’adreces ni un permís. Els membres encara reben adreces del pool i encara necessiten una regla d’accés per usar aquella LAN de branca.

Mantenir els tres separats compensa durant la revisió. Una subxarxa de branca registrada com a espai d’adreces de membres sembla correcta en una captura de pantalla i trenca l’assignació per a tothom del grup. La mateixa subxarxa registrada només en una regla d’accés dóna accés sense la declaració de propietat, així que el trànsit de retorn no té on anar.

Com saber quin dels tres mireu

Llegiu l’etiqueta amb els seus veïns. Un camp al costat d’un mode d’assignació, una mida de pool o una excepció per usuari tracta de l’assignació. Un camp al costat d’un selector de grup, un servei o port i un mètode d’encaminament tracta del permís. Les versions reanomenen coses, però els veïns es queden més o menys on eren.

Després verifiqueu amb un membre en lloc de tot el grup: el seu grup efectiu, l’adreça de túnel assignada i la regla que autoritza la destinació prevista. Confirmeu la ruta, el NAT o el camí encaminat, el trànsit de retorn i el permís del servei en aquest ordre, i canvieu només el camp que coincideix amb la discrepància demostrada.