CIDR skupiny v Access Serveru: adresy členů, nebo síť prostředků

Dvě pole ve skupině Access Serveru přijímají CIDR a na první pohled vypadají stejně: jedno popisuje adresy, které dostávají členové VPN, druhé sítě, kam se tito členové dostanou. Špatné pole se přijme bez chyby, a právě proto je chyba drahá: první mění plán adresování tunelu, druhé rozhoduje, které cíle jsou povolené.

Stejná syntaxe, jiné otázky

Ptejte se, co hodnota pojmenovává. CIDR adres členů odpovídá, které vnitřní adresy dostávají připojující se klienti, a mechanismus přidělování ho spotřebuje dřív, než proteče provoz. CIDR prostředku odpovídá, které cíle skupina smí používat, a přístupová pravidla ho spotřebují při vyhodnocení paketu.

Důsledky jsou opačné. Cílová LAN vložená do pole fondu může rozdávat adresy, které na té LAN už existují, nebo fond posunout a tiše rozbít každé pravidlo firewallu psané pro starý rozsah. Fond v přístupovém pravidle nic užitečného nedá, protože tam žádný cíl nebydlí. Obě chyby vypadají jako tunel, který je nahoru, ale něco je špatně.

Přidělování: adresní prostor členů

Fond se nesmí překrývat s žádnou LAN, kam se člen dostane, ani s jiným fondem VPN. Když dva areály používají pro členy 10.90.40.0/24, člen jednoho se bez překladu nedostane na druhý a žádné přístupové pravidlo to nespraví.

Režim přidělování je také důležitý. Dynamický fond dává další volnou adresu, statické přiřazení na uživatele ji připíná. Statické je potřeba, když pravidla firewallu nebo monitoring odkazují na jednotlivé členy; přečtěte si adresu tunelu jednoho připojeného člena před změnou tohoto pole i po ní.

Oprávnění: cílové sítě patří do přístupových pravidel

Dostupnost se vyjadřuje v přístupových pravidlech: skupina nebo uživatelé, cílová síť nebo služba a metoda přístupu. Tady umírá většina nedokončených nastavení: pravidlo může provoz routovat k cíli nebo dělat NAT a obojí chce od sítě něco jiného. Routovaná cesta vyžaduje, aby cílová strana věděla, jak vrátit provoz do fondu VPN, zatímco NAT schová členy za adresu, které cíl už důvěřuje. dokumentace ke skupinám Access Serveru drží síťování skupiny oddělené od přístupových pravidel.

Povolený cíl ještě potřebuje použitelnou cestu. Pravidlo povoluje, trasa doručí, zpáteční cesta odpoví a služba na hostiteli přijme. Čtyři věci, čtyři místa a jen první je v přístupovém pravidle. Zelené povolení s mrtvým traceroute obvykle znamená na bráně cíle chybí zpáteční trasa, ne že pravidlo je špatné.

Třetí objekt: podsíť pobočky za bránou

Prohlásit, že určitý klient vlastní podsíť je směrovací tvrzení o areálu, ne přidělení adresy a ne oprávnění. Členové pořád dostávají adresy z fondu a pořád potřebují přístupové pravidlo, aby tu pobočkovou LAN použili.

Držet všechny tři oddělené se vyplatí při revizi. Podsíť pobočky zapsaná jako adresní prostor členů vypadá na snímku obrazovky správně a rozbije přidělování všem ve skupině. Tatáž podsíť zapsaná jen v přístupovém pravidle dá přístup bez tvrzení o vlastnictví, takže zpáteční provoz nemá kam jít.

Jak poznat, na které z nich se díváte

Čtěte popisek spolu se sousedy. Pole vedle režimu přidělování, velikosti fondu nebo přepsání pro uživatele je o přidělování. Pole vedle volby skupiny, služby nebo portu a metody směrování je o oprávnění. Verze věci přejmenovávají, ale sousedé zůstávají zhruba na místě.

Pak ověřte na jednom členovi, ne na celé skupině: jeho efektivní skupinu, přiřazenou adresu tunelu a pravidlo, které povoluje zamýšlený cíl. Potvrďte trasu, NAT nebo routovanou cestu, zpáteční provoz a oprávnění služby v tomto pořadí a měňte jen pole, které odpovídá prokázanému nesouladu.