Access Serveri grupi CIDR: liikmeaadressid või ressursivõrk

Access Serveri grupis on kaks välja, mis võtavad vastu CIDR-i, ja pealtnäha näevad need välja sama tüüpi sisendina: üks kirjeldab aadresse, mis antakse VPN-i liikmetele, teine kirjeldab võrke, kuhu need liikmed pääsevad. Vale välja täitmine võetakse vastu ilma veata ja just see teebki vea kalliks. Esimene muudab teie tunneli aadressiplaani, teine otsustab, millised sihtkohad on lubatud, ja kumbki ei eelda teist. On ka kolmas objekt, mille inimesed nende kahe sekka suruvad – haru lüüsi taga olev alamvõrk – ja see ei kuulu kummagi välja alla.

Sama süntaks, erinevad küsimused

Küsige, mida väärtus nimetab. Liikmeaadressi CIDR vastab küsimusele, millised siseaadressid ühenduvad kliendid saavad, ja jaotusmehhanism tarbib selle enne, kui mingi liiklus liikuma hakkab. Ressursi CIDR vastab, milliseid sihtkohti see grupp tohib kasutada, ja juurdepääsureeglid tarbivad selle paketi hindamise ajal. Üks on pargi määratlus, teine on luba.

Segiajamise tagajärjed on vastandlikud. Sihtkoha LAN, mis on kleebitud pargi väljale, võib jagada aadresse, mis on selles LAN-is juba olemas, mis tekitab duplikaataadresside käitumise, või nihutada parki nii, et see lõhub vaikselt kõik vana vahemiku vastu kirjutatud tulemüürireeglid. Juurdepääsureeglisse kleebitud park ei anna midagi kasulikku, sest seal ei ela ükski sihtkoht. Mõlemad vead näivad ühtemoodi: tunnel on üleval, aga midagi on valesti.

Jaotus: liikmete aadressiruum

Park ei tohi kattuda ühegi LAN-iga, kuhu liige pääseb, ega ühegi teise VPN-i pargiga. See on planeerimise piirang, mitte toote seade: kui kaks saiti kasutavad liikmete jaoks 10.90.40.0/24, ei saa ühe saidi liige teise poole suunata ilma tõlketa ja ükski juurdepääsureegel seda ei paranda.

Jaotusviis loeb ka siin. Dünaamiline park annab igale liikmele järgmise vaba aadressi, kasutajapõhine staatiline jaotus kinnitab selle. Staatiline jaotus on see, mida tahate, kui tulemüürireeglid või monitooring viitavad üksikutele liikmetele, ja see teeb ka aadressiplaani muutuse nähtavaks: kinnitatud aadress kas jääb uue pargi sisse või ei jää. Lugege ühe ühendatud liikme tunneli aadressi enne ja pärast selle välja muutmist.

Luba: sihtvõrgud kuuluvad juurdepääsureeglitesse

Kättesaadavus väljendub juurdepääsureeglites, mis nimetavad grupi või kasutajad, sihtvõrgu või teenuse ja juurdepääsumeetodi. Viimane osa on koht, kus enamik pooleliolevaid seadistusi sureb: reegel võib liikluse sihtkohta suunata või seda NAT-ida ja need kaks nõuavad võrgult erinevat. Suunatud tee eeldab, et sihtkoha pool teab, kuidas liiklust VPN-i parki tagasi saata, samas kui NAT-i tee peidab liikmed aadressi taha, mida sihtkoht juba usaldab. Access Serveri grupi dokumentatsioon hoiab grupi võrgustiku grupi juurdepääsureeglitest lahus ja sildid on versioonide vahel liikunud.

Lubatud sihtkoht vajab ikkagi kasutatavat teed. Reegel lubab, marsruut toimetab kohale, tagasitee vastab ja hosti teenus võtab vastu. Neli asja, neli kohta, kuhu vaadata, ja ainult esimene neist elab juurdepääsureeglis. Roheline luba ja surnud traceroute tähendab tavaliselt, et sihtkoha lüüsil puudub tagasitee, mitte et reegel on vale.

Kolmas objekt: lüüsi taga olev haru alamvõrk

Deklareerida, et konkreetne klient omab alamvõrku, on marsruutimisväide saidi kohta, mitte aadressijaotus ja mitte luba. Access Serveri mõistes on see ühenduva võrgu toetatud lüüsikonfiguratsioon ja see on olemas, sest haru ruuter saab reklaamida enda taga olevat LAN-i. Liikmed saavad ikka aadresse pargist ja nad vajavad ikka juurdepääsureeglit, et seda haru LAN-i kasutada.

Kolme lahus hoidmine tasub end ülevaatamisel ära. Haru alamvõrk, mis on kirja pandud grupi liikmeaadresside ruumina, näeb ekraanipildil õige välja ja rikub jaotuse kõigile grupis. Sama alamvõrk ainult juurdepääsureeglis annab juurdepääsu ilma omandiväiteta, nii et tagasiliiklusel pole kuhugi minna. Pange iga objekt disainis omaette veergu ja viga ei ole enam võimalik.

Kuidas teada, millist te vaatate

Lugege silti koos naabritega. Väli jaotusviisi, pargi suuruse või kasutajapõhise erandi kõrval on jaotuse kohta. Väli grupi valija, teenuse või pordi ja marsruutimismeetodi kõrval on loa kohta. Versioonid nimetavad asju ümber, aga naabrid jäävad enam-vähem paigale, mistõttu vana ekraanipildi sõnastus on halb navigeerimisjuhend.

Seejärel kontrollige ühe liikmega, mitte kogu grupiga: selle tegelik grupp, määratud tunneli aadress ja reegel, mis volitab kavatsetud sihtkohta. Kinnitage marsruut, NAT-i või suunatud tee, tagasiliiklus ja teenuse luba selles järjekorras ning muutke ainult seda välja, mis vastab tõestatud lahknevusele. Hoidke jaotuse ja loa kirjed ka hiljem lahus, et hilisem pargi muudatus ei loetaks muutuseks selles, kuhu grupp pääseb.