CIDR گروه در Access Server: آدرس اعضا یا شبکه منابع

در یک گروه Access Server دو فیلد CIDR می‌پذیرند و در نگاه اول شبیه یک نوع ورودی به نظر می‌رسند: یکی آدرس‌هایی را توصیف می‌کند که به اعضای VPN داده می‌شود و دیگری شبکه‌هایی را که آن اعضا می‌توانند به آن برسند. پر کردن فیلد اشتباه بدون هیچ خطایی پذیرفته می‌شود و همین موضوع خطا را گران می‌کند. اولی طرح آدرس‌دهی تونل شما را تغییر می‌دهد، دومی تعیین می‌کند کدام مقاصد مجاز هستند و هیچ‌کدام دیگری را ایجاب نمی‌کند. شیء سومی هم هست که مردم آن را با این دو یکی می‌گیرند، یعنی زیرشبکه‌ای که پشت دروازه یک شعبه قرار دارد، و آن به هیچ‌کدام از این دو فیلد تعلق ندارد.

نحو یکسان، پرسش‌های متفاوت

بپرسید مقدار در حال نام بردن چیست. CIDR آدرس اعضا به این پرسش پاسخ می‌دهد که مشتریان متصل چه آدرس‌های داخلی می‌گیرند و ماشین تخصیص آن را پیش از عبور هر ترافیکی مصرف می‌کند. CIDR منابع به این پاسخ می‌دهد که این گروه می‌تواند از کدام مقاصد استفاده کند و قواعد دسترسی آن را هنگام ارزیابی بسته مصرف می‌کنند. یکی تعریف یک استخر است و دیگری یک اجازه.

پیامدهای اشتباه گرفتن آن‌ها متضاد است. LAN مقصدی که در فیلد استخر چسبانده شود می‌تواند آدرس‌هایی بدهد که از قبل روی همان LAN وجود دارند و رفتار آدرس تکراری بسازد، یا استخر را جابه‌جا کند و همه قواعد فایروال نوشته‌شده برای محدوده قبلی را بی‌صدا بشکند. استخری که در یک قاعده دسترسی چسبانده شود چیز مفیدی نمی‌دهد، چون هیچ مقصدی آنجا زندگی نمی‌کند. هر دو خطا یک‌سان ظاهر می‌شوند: تونل بالا است اما چیزی درست نیست.

تخصیص: فضای آدرس اعضا

استخر نباید با هیچ LAN که عضو می‌تواند به آن برسد و با هیچ استخر VPN دیگری در استقرار هم‌پوشانی داشته باشد. این یک محدودیت طراحی است نه تنظیم محصول: اگر دو سایت هر دو از 10.90.40.0/24 برای اعضا استفاده کنند، عضو یک سایت بدون ترجمه نمی‌تواند به سایت دیگر مسیریابی کند و هیچ قاعده دسترسی این را درست نمی‌کند.

حالت تخصیص هم اینجا مهم است. استخر پویا به هر عضو آدرس آزاد بعدی را می‌دهد، در حالی که تخصیص ایستای هر کاربر آن را تثبیت می‌کند. تخصیص ایستا چیزی است که وقتی قواعد فایروال یا پایش به اعضای خاص اشاره می‌کنند می‌خواهید و همچنین تغییر طرح آدرس را قابل مشاهده می‌کند: آدرس تثبیت‌شده یا هنوز داخل استخر جدید است یا نیست. آدرس تونل یک عضو متصل را پیش و پس از هر تغییر در این فیلد بخوانید.

اجازه: شبکه‌های مقصد به قواعد دسترسی تعلق دارند

دسترسی‌پذیری در قواعد دسترسی بیان می‌شود که گروه یا کاربران، شبکه یا سرویس مقصد و روش دسترسی را نام می‌برند. آن بخش آخر جایی است که بیشتر تنظیمات نیمه‌کاره می‌میرند: یک قاعده می‌تواند ترافیک را به مقصد مسیریابی کند یا آن را NAT کند و این دو چیز متفاوتی از شبکه می‌خواهند. مسیر مسیریابی‌شده لازم دارد که سمت مقصد بداند چگونه ترافیک را به استخر VPN برگرداند، در حالی که مسیر NAT اعضا را پشت آدرسی پنهان می‌کند که مقصد از قبل به آن اعتماد دارد. مستندات گروه Access Server شبکه گروه را از قواعد دسترسی گروه جدا نگه می‌دارد و برچسب‌ها میان نسخه‌ها جابه‌جا شده‌اند.

مقصد مجاز هنوز به مسیری قابل استفاده نیاز دارد. قاعده اجازه می‌دهد، مسیر تحویل می‌دهد، مسیر بازگشت پاسخ می‌دهد و سرویس روی میزبان می‌پذیرد. چهار چیز، چهار جای نگاه کردن، و تنها اولی در قاعده دسترسی است. اجازه سبز با traceroute مرده معمولاً یعنی مسیر بازگشت روی دروازه مقصد وجود ندارد، نه اینکه قاعده اشتباه است.

شیء سوم: زیرشبکه شعبه پشت یک دروازه

اعلام اینکه یک مشتری خاص مالک یک زیرشبکه است یک گزاره مسیریابی درباره یک سایت است، نه تخصیص آدرس و نه اجازه. در اصطلاح Access Server این پیکربندی دروازه پشتیبانی‌شده برای یک شبکه متصل‌شونده است و وجود دارد چون یک روتر شعبه می‌تواند LAN پشت خود را اعلام کند. اعضا همچنان آدرس‌ها را از استخر می‌گیرند و همچنان برای استفاده از آن LAN شعبه به یک قاعده دسترسی نیاز دارند.

جدا نگه داشتن این سه در بازبینی سود می‌دهد. زیرشبکه شعبه‌ای که به‌عنوان فضای آدرس اعضای گروه ثبت شود در یک تصویر صفحه درست به نظر می‌رسد و تخصیص را برای همه افراد گروه می‌شکند. همان زیرشبکه که فقط در یک قاعده دسترسی ثبت شود دسترسی را بدون گزاره مالکیت می‌دهد، پس ترافیک بازگشتی جایی برای رفتن ندارد. هر شیء را در ستون خودش در طراحی بگذارید و خطا دیگر ممکن نیست.

چگونه بفهمیم کدام را می‌بینید

برچسب را همراه با همسایه‌هایش بخوانید. فیلدی کنار حالت تخصیص، اندازه استخر یا بازنویسی هر کاربر مربوط به تخصیص است. فیلدی کنار انتخاب‌گر گروه، سرویس یا پورت و روش مسیریابی مربوط به اجازه است. نسخه‌ها چیزها را تغییر نام می‌دهند اما همسایه‌ها تقریباً سر جای خود می‌مانند و به همین دلیل جمله‌بندی یک تصویر قدیمی راهنمای ناوبری بدی است.

سپس با یک عضو به‌جای کل گروه بررسی کنید: گروه مؤثر آن، آدرس تونل تخصیص‌یافته و قاعده‌ای که مقصد مورد نظر را مجاز می‌کند. مسیر، NAT یا مسیر مسیریابی‌شده، ترافیک بازگشت و اجازه سرویس را به همین ترتیب تأیید کنید و فقط فیلدی را تغییر دهید که با ناسازگاری اثبات‌شده مطابقت دارد. سوابق تخصیص و اجازه را بعداً هم جدا نگه دارید تا تغییر استخر بعدی به‌عنوان تغییر در آنچه گروه می‌تواند به آن برسد خوانده نشود.