Gruppen-CIDR im Access Server: Mitgliederadressen oder Ressourcennetz

Zwei Felder in einer Access-Server-Gruppe nehmen ein CIDR an, und auf den ersten Blick wirken sie wie dieselbe Art Eingabe: Das eine beschreibt die Adressen, die VPN-Mitglieder erhalten, das andere die Netze, die diese Mitglieder erreichen dürfen. Das falsche Feld wird ohne Fehler akzeptiert, und genau das macht den Fehler teuer: Das erste ändert den Adressplan des Tunnels, das zweite entscheidet, welche Ziele erlaubt sind.

Gleiche Syntax, andere Fragen

Fragen Sie, was der Wert benennt. Ein Mitgliederadress-CIDR beantwortet, welche inneren Adressen verbindende Clients erhalten, und die Zuweisungslogik nutzt es, bevor Verkehr fließt. Ein Ressourcen-CIDR beantwortet, welche Ziele die Gruppe nutzen darf, und die Zugriffsregeln nutzen es bei der Paketprüfung.

Die Folgen sind entgegengesetzt. Ein Ziel-LAN im Pool-Feld kann Adressen ausgeben, die in diesem LAN bereits existieren, oder den Pool verschieben und jede für den alten Bereich geschriebene Firewallregel still brechen. Ein Pool in einer Zugriffsregel gewährt nichts Nützliches, weil dort kein Ziel liegt. Beide Fehler erscheinen als Tunnel, der steht, aber irgendetwas stimmt nicht.

Zuweisung: der Adressraum der Mitglieder

Der Pool darf sich weder mit einem LAN überschneiden, das ein Mitglied erreichen kann, noch mit einem anderen VPN-Pool. Wenn zwei Standorte beide 10.90.40.0/24 für Mitglieder verwenden, kann ein Mitglied des einen Standorts ohne Übersetzung nicht zum anderen routen, und keine Zugriffsregel behebt das.

Auch der Zuweisungsmodus zählt. Ein dynamischer Pool gibt die nächste freie Adresse, eine statische Zuweisung pro Benutzer fixiert sie. Statisch ist gewünscht, wenn Firewallregeln oder Monitoring einzelne Mitglieder nennen; lesen Sie die Tunneladresse eines verbundenen Mitglieds vor und nach jeder Änderung dieses Feldes.

Berechtigung: Zielnetze gehören in Zugriffsregeln

Erreichbarkeit wird in den Zugriffsregeln ausgedrückt: Gruppe oder Benutzer, Zielnetz oder Dienst und Zugriffsmethode. Hier sterben die meisten halbfertigen Setups: Die Regel kann Verkehr zum Ziel routen oder ihn NATen, und beides verlangt Verschiedenes vom Netz. Ein gerouteter Pfad erfordert, dass die Zielseite weiß, wie sie Verkehr in den VPN-Pool zurückbringt, während NAT Mitglieder hinter einer Adresse verbirgt, der das Ziel bereits vertraut. die Access-Server-Dokumentation zu Gruppen hält Gruppennetzwerk und Gruppenzugriffsregeln getrennt.

Ein erlaubtes Ziel braucht trotzdem einen nutzbaren Pfad. Die Regel erlaubt, die Route liefert, der Rückweg antwortet, und der Dienst auf dem Host nimmt an. Vier Dinge, vier Stellen, und nur das erste steht in der Zugriffsregel. Eine grüne Berechtigung mit einem toten traceroute bedeutet meist auf dem Gateway des Ziels fehlt die Rückroute, nicht dass die Regel falsch ist.

Das dritte Objekt: ein Filial-Subnetz hinter einem Gateway

Zu erklären, dass ein bestimmter Client ein Subnetz besitzt ist eine Routing-Aussage über einen Standort, keine Adresszuweisung und keine Berechtigung. Mitglieder erhalten weiterhin Adressen aus dem Pool und brauchen weiterhin eine Zugriffsregel, um dieses Filial-LAN zu nutzen.

Die drei getrennt zu halten zahlt sich bei der Überprüfung aus. Ein Filial-Subnetz, das als Mitgliederadressraum eingetragen ist, sieht auf einem Screenshot richtig aus und bricht die Zuweisung für alle in der Gruppe. Dasselbe Subnetz nur in einer Zugriffsregel gewährt Zugriff ohne die Eigentumsaussage, sodass Rückverkehr kein Ziel hat.

Woran Sie erkennen, welches Sie vor sich haben

Lesen Sie das Label zusammen mit seinen Nachbarn. Ein Feld neben Zuweisungsmodus, Poolgröße oder benutzerbezogener Überschreibung betrifft die Zuweisung. Ein Feld neben Gruppenauswahl, Dienst oder Port und Routingmethode betrifft die Berechtigung. Releases benennen Dinge um, aber die Nachbarn bleiben ungefähr, wo sie waren.

Prüfen Sie dann mit einem Mitglied statt mit der ganzen Gruppe: seine effektive Gruppe, seine zugewiesene Tunneladresse und die Regel, die sein beabsichtigtes Ziel autorisiert. Bestätigen Sie Route, NAT oder gerouteten Pfad, Rückverkehr und Dienstberechtigung in dieser Reihenfolge und ändern Sie nur das Feld, das zur nachgewiesenen Abweichung passt.