CIDR של קבוצה ב-Access Server: כתובות חברים או רשת משאבים

בקבוצה של Access Server שני שדות מקבלים CIDR, ובמבט ראשון הם נראים אותו סוג קלט: האחד מתאר את הכתובות שניתנות לחברי ה-VPN, והשני מתאר את הרשתות שאליהן אותם חברים יכולים להגיע. מילוי השדה הלא נכון מתקבל בלי שגיאה, וזה בדיוק מה שהופך את הטעות ליקרה. הראשון משנה את תוכנית הכתובות של המנהרה, השני קובע אילו יעדים מותרים, ואף אחד מהם לא גורר את השני. יש גם אובייקט שלישי שאנשים משחילים בין השניים, תת-הרשת שמאחורי שער של סניף, והוא לא שייך לאף אחד משני השדות.

אותה תחביר, שאלות שונות

שאל מה הערך מכנה. CIDR של כתובות חברים עונה על השאלה אילו כתובות פנימיות מקבלים לקוחות שמתחברים, ומנגנון ההקצאה צורך אותו לפני שזרם תעבורה. CIDR של משאב עונה על השאלה אילו יעדים הקבוצה הזו רשאית להשתמש בהם, וכללי הגישה צורכים אותו בעת הערכת חבילה. האחד הוא הגדרה של מאגר, האחר הוא הרשאה.

התוצאות של בלבול ביניהם הפוכות. LAN יעד שהודבק בשדה המאגר יכול לחלק כתובות שכבר קיימות ב-LAN הזה וכך ליצור התנהגות של כתובות כפולות, או להזיז את המאגר כך שכללי חומת אש שנכתבו מול הטווח הישן נשברים בשקט. מאגר שהודבק בכלל גישה לא מעניק דבר שימושי, כי שום יעד לא גר שם. שתי הטעויות נראות אותו דבר: המנהרה למעלה אבל משהו לא בסדר.

הקצאה: מרחב הכתובות של החברים

המאגר חייב לא לחפוף לשום LAN שחבר יכול להגיע אליו ולא לשום מאגר VPN אחר בפריסה. זה אילוץ תכנון ולא הגדרה של המוצר: כששני אתרים משתמשים ב-10.90.40.0/24 לחברים, חבר מאתר אחד לא יכול לנתב אל השני בלי תרגום, ואף כלל גישה לא מתקן את זה.

גם מצב ההקצאה חשוב כאן. מאגר דינמי נותן לכל חבר את הכתובת הפנויה הבאה, בעוד הקצאה סטטית לכל משתמש מקבעת אותה. הקצאה סטטית היא מה שרוצים כשכללי חומת אש או ניטור מתייחסים לחברים בודדים, והיא גם הופכת שינוי בתוכנית הכתובות לגלוי: הכתובת המקובעת עדיין בתוך המאגר החדש או כבר לא. קרא את כתובת המנהרה של חבר מחובר לפני ואחרי כל שינוי בשדה הזה.

הרשאה: רשתות יעד שייכות לכללי גישה

נגישות מתבטאת בכללי הגישה, שמנקבים בקבוצה או במשתמשים, ברשת או בשירות יעד ובשיטת הגישה. החלק האחרון הוא המקום שבו מתות רוב ההגדרות החצי-גמורות: כלל יכול לנתב תעבורה ליעד או להעביר אותה ב-NAT, ושני אלה דורשים דברים שונים מהרשת. מסלול מנותב דורש שצד היעד ידע להחזיר תעבורה למאגר ה-VPN, בעוד מסלול NAT מסתיר את החברים מאחורי כתובת שהיעד כבר סומך עליה. תיעוד הקבוצות של Access Server מחזיק את רשת הקבוצה בנפרד מכללי הגישה של הקבוצה, והתוויות זזו בין גרסאות.

יעד מותר עדיין צריך מסלול שמיש. הכלל מתיר, המסלול מספק, מסלול החזור עונה והשירות במארח מקבל. ארבעה דברים, ארבעה מקומות להסתכל, ורק הראשון חי בכלל הגישה. הרשאה ירוקה עם traceroute מת בדרך כלל אומר שמסלול החזור חסר בשער של היעד, לא שהכלל שגוי.

האובייקט השלישי: תת-רשת סניף מאחורי שער

הצהרה שלקוח מסוים הוא הבעלים של תת-רשת היא אמירת ניתוב על אתר, לא הקצאת כתובות ולא הרשאה. במונחי Access Server זו תצורת השער הנתמכת לרשת שמתחברת, והיא קיימת כי נתב סניף יכול לפרסם את ה-LAN שמאחוריו. החברים עדיין מקבלים כתובות מהמאגר, ועדיין זקוקים לכלל גישה כדי להשתמש ב-LAN הסניף הזה.

שמירה על שלושת הדברים בנפרד משתלמת בסקירה. תת-רשת סניף שנרשמה כמרחב הכתובות של חברי הקבוצה נראית נכון בצילום מסך ושוברת את ההקצאה לכל חברי הקבוצה. אותה תת-רשת שנרשמה רק בכלל גישה מעניקה גישה בלי הצהרת הבעלות, כך שלתעבורת החזור אין לאן ללכת. שים כל אובייקט בעמודה משלו בתכנון והטעות מפסיקה להיות אפשרית.

איך לדעת על מה אתה מסתכל

קרא את התווית יחד עם שכנותיה. שדה שליד מצב הקצאה, גודל מאגר או עקיפה לכל משתמש עוסק בהקצאה. שדה שליד בורר קבוצה, שירות או פורט ושיטת ניתוב עוסק בהרשאה. גרסאות משנות שמות, אבל השכנים נשארים בערך במקומם, ולכן הנוסח של צילום מסך ישן הוא מדריך ניווט גרוע.

אחר כך אמת עם חבר אחד ולא עם כל הקבוצה: הקבוצה האפקטיבית שלו, כתובת המנהרה שהוקצתה לו והכלל שמאשר את היעד המיועד. אמת את המסלול, ה-NAT או המסלול המנותב, תעבורת החזור והרשאת השירות בסדר הזה, ושנה רק את השדה שמתאים לאי-ההתאמה שהוכחה. שמור בהמשך את רשומות ההקצאה וההרשאה בנפרד, כדי ששינוי מאגר מאוחר לא ייקרא כשינוי במה שהקבוצה רשאית להגיע אליו.