CIDR grupe u Access Serveru: adrese članova ili mreža resursa

U grupi Access Servera dva polja prihvaćaju CIDR i na prvi pogled izgledaju kao ista vrsta unosa: jedno opisuje adrese koje se daju članovima VPN-a, drugo opisuje mreže do kojih ti članovi mogu doći. Ispunjavanje pogrešnog polja prihvaća se bez pogreške, i upravo to pogrešku čini skupom. Prvo mijenja vaš plan adresiranja tunela, drugo odlučuje koja su odredišta dopuštena, i nijedno ne podrazumijeva ono drugo. Postoji i treći objekt koji ljudi ubacuju među ova dva, podmreža iza pristupnika podružnice, i ona ne pripada nijednom od tih dvaju polja.

Ista sintaksa, različita pitanja

Pitajte što vrijednost imenuje. CIDR adresa članova odgovara na pitanje koje unutarnje adrese dobivaju klijenti koji se spajaju, a mehanizam dodjele troši ga prije nego što ikakav promet proteče. CIDR resursa odgovara na pitanje koja odredišta ova grupa smije koristiti, a pravila pristupa troše ga pri procjeni paketa. Jedno je definicija bazena, drugo je dopuštenje.

Posljedice zamjene su suprotne. Odredišni LAN zalijepljen u polje bazena može dijeliti adrese koje već postoje na tom LAN-u i stvoriti ponašanje dvostrukih adresa, ili pomaknuti bazen tako da tiho slomi sva pravila vatrozida napisana prema starom rasponu. Bazen zalijepljen u pravilo pristupa ne daje ništa korisno jer tamo ne živi nijedno odredište. Obje se pogreške pojavljuju isto: tunel je gore, ali nešto nije u redu.

Dodjela: adresni prostor članova

Bazen se ne smije preklapati ni s jednim LAN-om do kojeg član može doći ni s bilo kojim drugim VPN bazenom u postavi. To je projektno ograničenje, a ne postavka proizvoda: kad dvije lokacije koriste 10.90.40.0/24 za članove, član s jedne lokacije ne može usmjeravati prema drugoj bez prevođenja, i nijedno pravilo pristupa to ne ispravlja.

Način dodjele također je važan. Dinamički bazen daje svakom članu sljedeću slobodnu adresu, dok je statička dodjela po korisniku prikvačuje. Statička dodjela je ono što želite kad se pravila vatrozida ili nadzor odnose na pojedine članove, a ujedno čini promjenu plana adresiranja vidljivom: prikvačena adresa ili još jest unutar novog bazena ili nije. Pročitajte adresu tunela jednog povezanog člana prije i nakon svake promjene ovog polja.

Dopuštenje: odredišne mreže idu u pravila pristupa

Dostupnost se izražava pravilima pristupa, koja imenuju grupu ili korisnike, odredišnu mrežu ili uslugu i način pristupa. Taj zadnji dio mjesto je gdje umire većina nedovršenih postavki: pravilo može usmjeriti promet prema odredištu ili ga NAT-ati, a to dvoje traži različite stvari od mreže. Usmjereni put zahtijeva da odredišna strana zna vratiti promet u VPN bazen, dok NAT put skriva članove iza adrese kojoj odredište već vjeruje. Dokumentacija grupa Access Servera drži mrežu grupe odvojenom od pravila pristupa grupe, a oznake su se selile između izdanja.

Dopušteno odredište ipak treba upotrebljiv put. Pravilo dopušta, ruta dostavlja, povratni put odgovara i usluga na hostu prihvaća. Četiri stvari, četiri mjesta za pogledati, i samo prva živi u pravilu pristupa. Zeleno dopuštenje s mrtvim tracerouteom obično znači da povratna ruta nedostaje na pristupniku odredišta, a ne da je pravilo pogrešno.

Treći objekt: podmreža podružnice iza pristupnika

Izjaviti da određeni klijent posjeduje podmrežu izjava je o usmjeravanju za lokaciju, ni dodjela adresa ni dopuštenje. U terminima Access Servera to je podržana konfiguracija pristupnika za mrežu koja se spaja, i postoji zato što usmjerivač podružnice može oglašavati LAN iza sebe. Članovi i dalje dobivaju adrese iz bazena i dalje trebaju pravilo pristupa da bi koristili taj LAN podružnice.

Držanje troje odvojeno isplati se pri pregledu. Podmreža podružnice zabilježena kao adresni prostor članova grupe izgleda ispravno na snimci zaslona i kvari dodjelu svima u grupi. Ista podmreža zabilježena samo u pravilu pristupa daje pristup bez izjave o vlasništvu, pa povratni promet nema kamo otići. Stavite svaki objekt u vlastiti stupac nacrta i pogreška prestaje biti moguća.

Kako znati koje gledate

Čitajte oznaku zajedno s njezinim susjedima. Polje uz način dodjele, veličinu bazena ili izuzetak po korisniku govori o dodjeli. Polje uz birač grupe, uslugu ili port i način usmjeravanja govori o dopuštenju. Izdanja preimenuju stvari, ali susjedi ostaju otprilike na mjestu, zato je tekst stare snimke zaslona loš vodič za snalaženje.

Zatim provjerite s jednim članom umjesto s cijelom grupom: njegovu stvarnu grupu, dodijeljenu adresu tunela i pravilo koje odobrava željeno odredište. Potvrdite rutu, NAT ili usmjereni put, povratni promet i dopuštenje usluge tim redom, i mijenjajte samo polje koje odgovara dokazanom neskladu. Držite zapise o dodjeli i dopuštenju i dalje odvojenima, kako se kasnija promjena bazena ne bi čitala kao promjena onoga do čega grupa može doći.