Access Serverin ryhmän CIDR: jäsenosoitteet vai resurssiverkko

Access Serverin ryhmässä on kaksi kenttää, jotka hyväksyvät CIDRin, ja ensisilmäyksellä ne näyttävät samalta syötteeltä: toinen kuvaa osoitteet, jotka VPN-jäsenille annetaan, toinen kuvaa verkot, joihin ne jäsenet voivat päästä. Väärän kentän täyttäminen hyväksytään ilman virhettä, ja juuri se tekee virheestä kalliin. Ensimmäinen muuttaa tunnelisi osoitekaavion, toinen päättää sallitut kohteet, eikä kumpikaan edellytä toista. On myös kolmas objekti, jonka ihmiset työntävät näiden kahden sisään, haaran yhdyskäytävän takana oleva aliverkko, eikä se kuulu kumpaankaan kenttään.

Sama syntaksi, eri kysymys

Kysy, mitä arvo nimeää. Jäsenosoitteiden CIDR vastaa siihen, mitkä sisäosoitteet yhdistyvät asiakkaat saavat, ja osoituskoneisto kuluttaa sen ennen kuin liikenne virtaa. Resurssin CIDR vastaa siihen, mitä kohteita tämä ryhmä voi käyttää, ja käyttösäännöt kuluttavat sen pakettia arvioidessaan. Toinen on poolin määritelmä, toinen on lupa.

Väärinkäsityksen seuraukset ovat vastakkaiset. Kohde-LAN poolikenttään liitettynä voi jakaa osoitteita, jotka ovat jo olemassa kyseisessä LANissa ja tuottaa kaksoisosoitekäyttäytymistä, tai siirtää poolia niin, että vanhan alueen vastaiset palomuurisäännöt rikkoutuvat hiljaa. Käyttösääntöön liitetty pooli ei myönnä mitään hyödyllistä, koska siellä ei ole kohdetta. Molemmat virheet näkyvät samoin: tunneli on ylhäällä, mutta jokin on vialla.

Allokointi: jäsenten osoiteavaruus

Pooli ei saa mennä päällekkäin minkään jäsenen saavutettavissa olevan LANin eikä minkään muun käyttöönoton VPN-poolin kanssa. Tämä on suunnittelun rajoite, ei tuotteen asetus: kun kaksi toimipistettä käyttää jäsenille 10.90.40.0/24, toisen toimipisteen jäsen ei voi reitittää toiselle ilman käännöstä, eikä mikään käyttösääntö korjaa sitä.

Myös osoitustavalla on väliä. Dynaaminen pooli antaa kullekin jäsenelle seuraavan vapaan osoitteen, kun taas käyttäjäkohtainen staattinen osoitus kiinnittää sen. Staattinen osoitus on se, mitä haluat, kun palomuurisäännöt tai valvonta viittaavat yksittäisiin jäseniin, ja se tekee myös osoitekaavion muutoksen näkyväksi: kiinnitetty osoite on joko yhä uuden poolin sisällä tai ei ole. Lue yhden yhdistyneen jäsenen tunneliosoite ennen tämän kentän muutosta ja sen jälkeen.

Lupa: kohdeverkot kuuluvat käyttösääntöihin

Saavutettavuus ilmaistaan käyttösäännöissä, jotka nimeävät ryhmän tai käyttäjät, kohdeverkon tai palvelun ja käyttötavan. Viimeinen osa on se, johon useimmat puolivalmiit asennukset kaatuvat: sääntö voi reitittää liikenteen kohteeseen tai NATata sen, ja ne vaativat verkolta eri asioita. Reititetty polku edellyttää, että kohdepuoli osaa palauttaa liikenteen VPN-pooliin, kun taas NAT-polku piilottaa jäsenet osoitteen taakse, johon kohde jo luottaa. Access Serverin ryhmädokumentaatio pitää ryhmän verkon erillään ryhmän käyttösäännöistä, ja nimikkeet ovat vaihdelleet versioiden välillä.

Sallittu kohde tarvitsee silti käyttökelpoisen polun. Sääntö sallii, reitti toimittaa, paluupolku vastaa ja isännän palvelu hyväksyy. Neljä asiaa, neljä paikkaa, ja vain ensimmäinen niistä on käyttösäännössä. Vihreä lupa ja kuollut traceroute tarkoittaa yleensä, että paluureitti puuttuu kohteen yhdyskäytävältä, ei sitä, että sääntö olisi väärin.

Kolmas objekti: yhdyskäytävän takana oleva haaran aliverkko

Sen ilmoittaminen, että tietyllä asiakkaalla on aliverkko, on toimipistettä koskeva reitityslause, ei osoiteosoitus eikä lupa. Access Serverin termein se on yhdistyvän verkon tuettu yhdyskäytäväkokoonpano, ja se on olemassa siksi, että haarareititin voi mainostaa takanaan olevan LANin. Jäsenet saavat yhä osoitteet poolista, ja he tarvitsevat yhä käyttösäännön käyttääkseen sitä haara-LANia.

Kolmen erillään pitäminen kannattaa katselmoinnissa. Ryhmän jäsenosoiteavaruudeksi kirjattu haaran aliverkko näyttää kuvakaappauksessa oikealta ja rikkoo allokoinnin kaikilta ryhmässä. Sama aliverkko vain käyttösääntöön kirjattuna myöntää pääsyn ilman omistuslausetta, jolloin paluuliikenteellä ei ole minne mennä. Laita kukin objekti suunnittelussa omaan sarakkeeseensa, niin virhe ei ole enää mahdollinen.

Miten tietää, kumpaa katsot

Lue nimike yhdessä naapuriensa kanssa. Kenttä osoitustavan, poolin koon tai käyttäjäkohtaisen ohituksen vieressä koskee allokointia. Kenttä ryhmän valitsimen, palvelun tai portin ja reititystavan vieressä koskee lupaa. Versiot nimeävät asioita uudelleen, mutta naapurit pysyvät suunnilleen paikoillaan, minkä vuoksi vanhan kuvakaappauksen sanamuoto on huono navigointiopas.

Varmista sitten yhdellä jäsenellä koko ryhmän sijaan: sen tehokas ryhmä, osoitettu tunneliosoite ja sääntö, joka valtuuttaa aiotun kohteen. Vahvista reitti, NAT tai reititetty polku, paluuliikenne ja palvelun lupa siinä järjestyksessä, ja muuta vain sitä kenttää, joka vastaa osoitettua ristiriitaa. Pidä allokoinnin ja luvan tiedot erillään myös myöhemmin, jotta myöhempi poolimuutos ei näyttäisi muutokselta siinä, mihin ryhmä pääsee.