CIDR ομάδας στον Access Server: διευθύνσεις μελών ή δίκτυο πόρων

Δύο πεδία σε μια ομάδα του Access Server δέχονται CIDR και με μια ματιά μοιάζουν με την ίδια είσοδο: το ένα περιγράφει τις διευθύνσεις που παίρνουν τα μέλη VPN, το άλλο τα δίκτυα που μπορούν να φτάσουν αυτά τα μέλη. Το λάθος πεδίο γίνεται δεκτό χωρίς σφάλμα, και γι αυτό το λάθος είναι ακριβό: το πρώτο αλλάζει το σχέδιο διευθύνσεων της σήραγγας, το δεύτερο αποφασίζει ποιοι προορισμοί επιτρέπονται.

Ίδια σύνταξη, διαφορετικές ερωτήσεις

Ρωτήστε τι ονομάζει η τιμή. Το CIDR διευθύνσεων μελών απαντά ποιες εσωτερικές διευθύνσεις παίρνουν οι πελάτες που συνδέονται, και ο μηχανισμός εκχώρησης το καταναλώνει πριν κινηθεί κίνηση. Το CIDR πόρου απαντά ποιους προορισμούς μπορεί να χρησιμοποιεί η ομάδα, και οι κανόνες πρόσβασης το καταναλώνουν όταν αξιολογείται ένα πακέτο.

Οι συνέπειες είναι αντίθετες. Ένα LAN προορισμού στο πεδίο της δεξαμενής μπορεί να δίνει διευθύνσεις που υπάρχουν ήδη σε εκείνο το LAN, ή να μετακινήσει τη δεξαμενή και να σπάσει σιωπηλά κάθε κανόνα τείχους προστασίας γραμμένο για το παλιό εύρος. Μια δεξαμενή σε κανόνα πρόσβασης δεν δίνει τίποτα χρήσιμο, γιατί εκεί δεν κατοικεί κανένας προορισμός. Και τα δύο λάθη εμφανίζονται ως σήραγγα που είναι πάνω αλλά κάτι πάει στραβά.

Εκχώρηση: ο χώρος διευθύνσεων των μελών

Η δεξαμενή δεν πρέπει να επικαλύπτεται με κανένα LAN που μπορεί να φτάσει ένα μέλος ούτε με άλλη δεξαμενή VPN. Αν δύο τοποθεσίες χρησιμοποιούν 10.90.40.0/24 για μέλη, ένα μέλος της μίας δεν μπορεί να δρομολογήσει προς την άλλη χωρίς μετάφραση, και κανένας κανόνας πρόσβασης δεν το διορθώνει.

Και ο τρόπος εκχώρησης μετράει. Μια δυναμική δεξαμενή δίνει την επόμενη ελεύθερη διεύθυνση, ενώ μια στατική ανά χρήστη την καρφιτσώνει. Η στατική χρειάζεται όταν κανόνες τείχους προστασίας ή παρακολούθηση αναφέρονται σε μεμονωμένα μέλη; διαβάστε τη διεύθυνση σήραγγας ενός συνδεδεμένου μέλους πριν και μετά από κάθε αλλαγή αυτού του πεδίου.

Άδεια: τα δίκτυα προορισμού ανήκουν στους κανόνες πρόσβασης

Η προσβασιμότητα εκφράζεται στους κανόνες πρόσβασης: ομάδα ή χρήστες, δίκτυο ή υπηρεσία προορισμού και μέθοδος πρόσβασης. Εδώ πεθαίνουν οι περισσότερες μισοτελειωμένες ρυθμίσεις: ο κανόνας μπορεί να δρομολογεί κίνηση προς τον προορισμό ή να κάνει NAT, και τα δύο ζητούν διαφορετικά πράγματα από το δίκτυο. Μια δρομολογημένη διαδρομή απαιτεί η πλευρά του προορισμού να ξέρει πώς να επιστρέφει κίνηση στη δεξαμενή VPN, ενώ το NAT κρύβει τα μέλη πίσω από μια διεύθυνση που ο προορισμός εμπιστεύεται ήδη. η τεκμηρίωση των ομάδων του Access Server κρατά τη δικτύωση της ομάδας χωριστά από τους κανόνες πρόσβασης.

Ένας επιτρεπόμενος προορισμός χρειάζεται ακόμη μια χρησιμοποιήσιμη διαδρομή. Ο κανόνας επιτρέπει, η διαδρομή παραδίδει, η επιστροφή απαντά και η υπηρεσία στον κεντρικό υπολογιστή δέχεται. Τέσσερα πράγματα, τέσσερα σημεία, και μόνο το πρώτο βρίσκεται στον κανόνα πρόσβασης. Πράσινη άδεια με νεκρό traceroute συνήθως σημαίνει λείπει η διαδρομή επιστροφής στην πύλη του προορισμού, όχι ότι ο κανόνας είναι λάθος.

Το τρίτο αντικείμενο: υποδίκτυο υποκαταστήματος πίσω από πύλη

Δηλώνοντας ότι ένας συγκεκριμένος πελάτης κατέχει υποδίκτυο είναι δήλωση δρομολόγησης για μια τοποθεσία, όχι εκχώρηση διεύθυνσης και όχι άδεια. Τα μέλη παίρνουν ακόμη διευθύνσεις από τη δεξαμενή και χρειάζονται ακόμη κανόνα πρόσβασης για να χρησιμοποιήσουν αυτό το LAN.

Το να κρατάς τα τρία χωριστά αποδίδει στην ανασκόπηση. Ένα υποδίκτυο υποκαταστήματος καταγεγραμμένο ως χώρος διευθύνσεων μελών φαίνεται σωστό σε στιγμιότυπο οθόνης και σπάει την εκχώρηση για όλους στην ομάδα. Το ίδιο υποδίκτυο μόνο σε κανόνα πρόσβασης δίνει πρόσβαση χωρίς τη δήλωση ιδιοκτησίας, οπότε η κίνηση επιστροφής δεν έχει πού να πάει.

Πώς να καταλάβετε ποιο κοιτάτε

Διαβάστε την ετικέτα μαζί με τους γείτονές της. Ένα πεδίο δίπλα σε τρόπο εκχώρησης, μέγεθος δεξαμενής ή παράκαμψη ανά χρήστη αφορά την εκχώρηση. Ένα πεδίο δίπλα σε επιλογέα ομάδας, υπηρεσία ή θύρα και μέθοδο δρομολόγησης αφορά την άδεια. Οι εκδόσεις μετονομάζουν πράγματα, αλλά οι γείτονες μένουν περίπου στη θέση τους.

Έπειτα επαληθεύστε με ένα μέλος αντί για όλη την ομάδα: την ενεργή ομάδα του, τη διεύθυνση σήραγγας που του εκχωρήθηκε και τον κανόνα που εξουσιοδοτεί τον προορισμό του. Επιβεβαιώστε διαδρομή, NAT ή δρομολογημένη διαδρομή, κίνηση επιστροφής και άδεια υπηρεσίας με αυτή τη σειρά, και αλλάξτε μόνο το πεδίο που ταιριάζει με την αποδεδειγμένη ασυμφωνία.