Access Server समूह CIDR: सदस्य पते या संसाधन नेटवर्क

Access Server समूह में दो फ़ील्ड CIDR स्वीकार करते हैं और पहली नज़र में वे एक ही तरह का इनपुट लगते हैं: एक उन पतों का वर्णन करता है जो VPN सदस्यों को दिए जाते हैं, दूसरा उन नेटवर्कों का जिन तक वे सदस्य पहुँच सकते हैं। ग़लत फ़ील्ड भरना बिना किसी त्रुटि के स्वीकार हो जाता है, और यही ग़लती को महँगा बनाता है। पहला आपकी टनल पता योजना बदलता है, दूसरा तय करता है कि कौन से गंतव्य अनुमत हैं, और इनमें से कोई भी दूसरे को निहित नहीं करता। एक तीसरी वस्तु भी है जिसे लोग इन दोनों में मिला देते हैं, शाखा गेटवे के पीछे का सबनेट, और वह किसी भी फ़ील्ड का नहीं है।

एक ही वाक्य-रचना, अलग सवाल

पूछें कि मान किसका नाम ले रहा है। सदस्य-पता CIDR इस सवाल का जवाब देता है कि जुड़ने वाले क्लाइंट को कौन से आंतरिक पते मिलते हैं, और आवंटन तंत्र किसी भी ट्रैफ़िक के बहने से पहले उसे खपाता है। संसाधन CIDR इस सवाल का जवाब देता है कि यह समूह किन गंतव्यों का उपयोग कर सकता है, और एक्सेस नियम पैकेट का मूल्यांकन करते समय उसे खपाते हैं। एक पूल की परिभाषा है, दूसरा एक अनुमति।

इन्हें मिलाने के परिणाम उलटे होते हैं। पूल फ़ील्ड में चिपकाया गया गंतव्य LAN ऐसे पते दे सकता है जो उस LAN पर पहले से मौजूद हैं और दोहरे पते का व्यवहार पैदा कर सकता है, या पूल को इस तरह खिसका सकता है कि पुरानी श्रेणी के विरुद्ध लिखे गए सभी फ़ायरवॉल नियम चुपचाप टूट जाएँ। एक्सेस नियम में चिपकाया गया पूल कुछ उपयोगी नहीं देता, क्योंकि वहाँ कोई गंतव्य नहीं रहता। दोनों ग़लतियाँ एक जैसी दिखती हैं: टनल ऊपर है पर कुछ गड़बड़ है।

आवंटन: सदस्यों का पता स्थान

पूल को किसी भी ऐसे LAN से ओवरलैप नहीं करना चाहिए जहाँ सदस्य पहुँच सके और परिनियोजन के किसी अन्य VPN पूल से भी नहीं। यह योजना की बाधा है, उत्पाद की सेटिंग नहीं: जब दो साइटें सदस्यों के लिए 10.90.40.0/24 का उपयोग करती हैं, तो एक साइट का सदस्य अनुवाद के बिना दूसरी ओर रूट नहीं कर सकता, और कोई एक्सेस नियम इसे ठीक नहीं करता।

आवंटन मोड भी यहाँ मायने रखता है। गतिशील पूल हर सदस्य को अगला खाली पता देता है, जबकि प्रति-उपयोगकर्ता स्थिर आवंटन उसे पिन कर देता है। स्थिर आवंटन तब चाहिए जब फ़ायरवॉल नियम या निगरानी अलग-अलग सदस्यों का उल्लेख करते हों, और यह पता योजना के बदलाव को दृश्य भी बनाता है: पिन किया गया पता नए पूल के भीतर है या नहीं। इस फ़ील्ड में किसी भी बदलाव से पहले और बाद में एक जुड़े सदस्य का टनल पता पढ़ें।

अनुमति: गंतव्य नेटवर्क एक्सेस नियमों में आते हैं

पहुँच एक्सेस नियमों में व्यक्त होती है, जो समूह या उपयोगकर्ताओं, गंतव्य नेटवर्क या सेवा और एक्सेस विधि का नाम लेते हैं। वह अंतिम भाग वह जगह है जहाँ अधिकांश अधूरी सेटिंग्स मरती हैं: एक नियम ट्रैफ़िक को गंतव्य तक रूट कर सकता है या उसका NAT कर सकता है, और दोनों नेटवर्क से अलग चीज़ें माँगते हैं। रूट किए गए मार्ग के लिए ज़रूरी है कि गंतव्य पक्ष जाने कि ट्रैफ़िक को VPN पूल में कैसे वापस भेजना है, जबकि NAT मार्ग सदस्यों को ऐसे पते के पीछे छिपाता है जिस पर गंतव्य पहले से भरोसा करता है। Access Server समूह दस्तावेज़ समूह नेटवर्किंग को समूह एक्सेस नियमों से अलग रखता है, और लेबल संस्करणों के बीच खिसके हैं।

अनुमत गंतव्य को फिर भी एक उपयोगी मार्ग चाहिए। नियम अनुमति देता है, रूट पहुँचाता है, वापसी मार्ग जवाब देता है और होस्ट पर सेवा स्वीकार करती है। चार चीज़ें, देखने के चार स्थान, और केवल पहली एक्सेस नियम में रहती है। हरा अनुमति और मृत traceroute आमतौर पर मतलब है कि गंतव्य के गेटवे पर वापसी मार्ग गायब है, न कि नियम ग़लत है।

तीसरी वस्तु: गेटवे के पीछे शाखा सबनेट

यह घोषित करना कि कोई विशेष क्लाइंट एक सबनेट का स्वामी है साइट के बारे में एक रूटिंग कथन है, न पता आवंटन और न अनुमति। Access Server की शब्दावली में यह जुड़ने वाले नेटवर्क के लिए समर्थित गेटवे कॉन्फ़िगरेशन है, और यह इसलिए है क्योंकि शाखा राउटर अपने पीछे का LAN घोषित कर सकता है। सदस्यों को अब भी पूल से पते मिलते हैं, और उस शाखा LAN का उपयोग करने के लिए उन्हें अब भी एक्सेस नियम चाहिए।

तीनों को अलग रखना समीक्षा में लाभ देता है। समूह के सदस्य-पता स्थान के रूप में दर्ज शाखा सबनेट स्क्रीनशॉट में सही दिखता है और समूह के सभी के लिए आवंटन तोड़ देता है। वही सबनेट केवल एक्सेस नियम में दर्ज हो तो स्वामित्व कथन के बिना पहुँच देता है, इसलिए वापसी ट्रैफ़िक के पास जाने की जगह नहीं होती। हर वस्तु को डिज़ाइन के अपने स्तंभ में रखें और ग़लती असंभव हो जाती है।

कैसे पता करें कि आप कौन सा देख रहे हैं

लेबल को उसके पड़ोसियों के साथ पढ़ें। आवंटन मोड, पूल आकार या प्रति-उपयोगकर्ता ओवरराइड के बगल वाला फ़ील्ड आवंटन के बारे में है। समूह चयनक, सेवा या पोर्ट और रूटिंग विधि के बगल वाला फ़ील्ड अनुमति के बारे में है। संस्करण चीज़ों का नाम बदलते हैं, पर पड़ोसी लगभग अपनी जगह रहते हैं, इसलिए पुराने स्क्रीनशॉट की शब्दावली खराब नेविगेशन मार्गदर्शक है।

फिर पूरे समूह के बजाय एक सदस्य से सत्यापित करें: उसका प्रभावी समूह, आवंटित टनल पता और वह नियम जो इच्छित गंतव्य को अधिकृत करता है। मार्ग, NAT या रूट किया गया मार्ग, वापसी ट्रैफ़िक और सेवा की अनुमति उसी क्रम में पुष्टि करें, और केवल वही फ़ील्ड बदलें जो प्रदर्शित असंगति से मेल खाता है। बाद में आवंटन और अनुमति के रिकॉर्ड अलग रखें, ताकि बाद का पूल परिवर्तन इस बात में बदलाव के रूप में न पढ़ा जाए कि समूह कहाँ पहुँच सकता है।