Grupa CIDR en Access Server: membraj adresoj aŭ rimeda reto
Grupa CIDR povas nomi la tunelan naĝejon aŭ celan LAN-on, kaj tiuj neniam estas la sama afero. Tenu aparte la atribuon, la alirregulojn kaj la branĉan posedon.
Du kampoj en grupo de Access Server akceptas CIDR-on, kaj unuavide ili ŝajnas la sama speco de enigo: unu priskribas la adresojn, kiujn ricevas membroj de VPN, la alia la retojn, kiujn tiuj membroj povas atingi. La malĝusta kampo akceptiĝas sen eraro, kaj ĝuste tio igas la eraron multekosta: la unua ŝanĝas vian tunelan adresplanon, la dua decidas, kiuj celoj permesiĝas.
Sama sintakso, malsamaj demandoj
Demandu, kion la valoro nomas. CIDR de membraj adresoj respondas, kiujn internajn adresojn ricevas la konektiĝantaj klientoj, kaj la atribua mekanismo uzas ĝin antaŭ ol fluas trafiko. CIDR de rimedo respondas, kiujn celojn la grupo rajtas uzi, kaj la alirreguloj uzas ĝin dum taksado de paketo.
La sekvoj estas malaj. Celo-LAN enmetita en la naĝejan kampon povas disdoni adresojn, kiuj jam ekzistas en tiu LAN, aŭ movi la naĝejon kaj silente rompi ĉiun fajroŝirman regulon skribitan por la malnova gamo. Naĝejo en alirregulo donas nenion utilan, ĉar neniu celo loĝas tie. Ambaŭ eraroj aperas kiel tunelo supre, sed io malĝustas.
Atribuo: la adresspaco de la membroj
La naĝejo ne rajtas interkovriĝi kun iu LAN, kiun membro povas atingi, nek kun alia VPN-naĝejo. Se du ejoj ambaŭ uzas 10.90.40.0/24 por membroj, membro de unu ejo ne povas enkursigi al la alia sen traduko, kaj neniu alirregulo tion riparas.
Ankaŭ la atribua reĝimo gravas. Dinamika naĝejo donas la sekvan liberan adreson, dum statika atribuo por uzanto fiksas ĝin. Statika atribuo estas dezirata, kiam fajroŝirmaj reguloj aŭ monitorado referencas unuopajn membrojn; legu la tunelan adreson de unu konektita membro antaŭ kaj post ĉiu ŝanĝo de tiu kampo.
Permeso: celaj retoj apartenas al alirreguloj
Atingebleco esprimiĝas en la alirreguloj: grupo aŭ uzantoj, cela reto aŭ servo, kaj alirmetodo. Ĉi tie mortas la plej multaj duonpretaj agordoj: la regulo povas enkursigi trafikon al la celo aŭ fari NAT-on, kaj ambaŭ postulas malsamajn aferojn de la reto. Enkursigita vojo postulas, ke la cela flanko sciu, kiel resendi trafikon al la VPN-naĝejo, dum NAT kaŝas membrojn malantaŭ adreso, kiun la celo jam fidas. la dokumentaro pri grupoj de Access Server tenas la grupan retadon aparte de la grupaj alirreguloj.
Permesita celo ankoraŭ bezonas uzeblan vojon. La regulo permesas, la vojo liveras, la reena vojo respondas, kaj la servo sur la gastiganto akceptas. Kvar aferoj, kvar lokoj, kaj nur la unua estas en la alirregulo. Verda permeso kun morta traceroute kutime signifas mankas la reena vojo sur la pordego de la celo, ne ke la regulo malĝustas.
La tria objekto: branĉa subreto malantaŭ pordego
Aserti, ke difinita kliento posedas subreton estas enkursiga aserto pri ejo, ne adresa atribuo kaj ne permeso. Membroj ankoraŭ ricevas adresojn el la naĝejo kaj ankoraŭ bezonas alirregulon por uzi tiun branĉan LAN-on.
Teni la tri aparte pagiĝas dum revizio. Branĉa subreto registrita kiel adresspaco de membroj ŝajnas ĝusta en ekrankopio kaj rompas la atribuon por ĉiuj en la grupo. La sama subreto registrita nur en alirregulo donas aliron sen la posedaserto, do la reena trafiko havas nenien iri.
Kiel scii, kiun vi rigardas
Legu la etikedon kune kun ĝiaj najbaroj. Kampo apud atribua reĝimo, naĝeja grando aŭ poruzanta anstataŭigo temas pri atribuo. Kampo apud grupa elektilo, servo aŭ pordo kaj enkursiga metodo temas pri permeso. Eldonoj renomas aferojn, sed la najbaroj restas proksimume tie, kie ili estis.
Poste kontrolu per unu membro anstataŭ la tuta grupo: ĝia efektiva grupo, la atribuita tunela adreso kaj la regulo, kiu rajtigas ĝian celatan celon. Konfirmu la vojon, NAT-on aŭ enkursigitan vojon, la reenan trafikon kaj la servan permeson en tiu ordo, kaj ŝanĝu nur la kampon, kiu respondas al la pruvita malkongruo.