Access Server csoport CIDR: tagcímek vagy erőforrás-hálózat

Az Access Server egy csoportjában két mező fogad CIDR-t, és első ránézésre ugyanolyan típusú bemenetnek tűnnek: az egyik a VPN-tagoknak kiosztott címeket írja le, a másik azokat a hálózatokat, amelyeket ezek a tagok elérhetnek. A rossz mező kitöltését a rendszer hiba nélkül elfogadja, és éppen ez teszi drágává a hibát. Az első megváltoztatja az alagút címzési tervét, a második eldönti, mely célok engedélyezettek, és egyik sem jelenti a másikat. Van egy harmadik objektum is, amelyet az emberek beleolvasztanak ebbe a kettőbe, a fióktelep átjárója mögötti alhálózat, és az egyik mezőhöz sem tartozik.

Ugyanaz a szintaxis, más kérdések

Kérdezze meg, mit nevez meg az érték. A tagcím-CIDR arra a kérdésre válaszol, mely belső címeket kapják a csatlakozó kliensek, és a kiosztó gépezet még azelőtt felhasználja, hogy bármilyen forgalom elindulna. Az erőforrás-CIDR arra válaszol, mely célokat használhatja ez a csoport, és a hozzáférési szabályok a csomag elbírálásakor használják fel. Az egyik egy címtartomány meghatározása, a másik egy engedély.

Az összekeverés következményei ellentétesek. A címtartomány mezőjébe beillesztett cél-LAN olyan címeket oszthat, amelyek már léteznek azon a LAN-on, és duplikált cím viselkedést okozhat, vagy eltolhatja a tartományt úgy, hogy csendben eltörik minden, a régi tartományra írt tűzfalszabály. A hozzáférési szabályba illesztett címtartomány semmi hasznosat nem ad, mert ott nem él cél. Mindkét hiba ugyanúgy jelenik meg: az alagút feláll, de valami nem stimmel.

Kiosztás: a tagok címtere

A tartomány nem fedhet át egyetlen olyan LAN-nal sem, amelyet egy tag elérhet, és semmilyen más VPN-tartománnyal a telepítésben. Ez tervezési megkötés, nem termékbeállítás: ha két telephely egyaránt 10.90.40.0/24-et használ a tagoknak, az egyik telephely tagja fordítás nélkül nem tud a másik felé routolni, és egyetlen hozzáférési szabály sem javítja ezt.

A kiosztási mód is számít. A dinamikus tartomány minden tagnak a következő szabad címet adja, míg a felhasználónkénti statikus kiosztás rögzíti. A statikus kiosztás akkor kell, amikor a tűzfalszabályok vagy a monitorozás egyes tagokra hivatkoznak, és láthatóvá teszi a címzési terv változását is: a rögzített cím vagy még az új tartományba esik, vagy nem. Olvassa le egy csatlakozott tag alagútcímét a mező bármilyen módosítása előtt és után.

Engedély: a célhálózatok a hozzáférési szabályokban vannak

Az elérhetőséget a hozzáférési szabályok fejezik ki, amelyek megnevezik a csoportot vagy a felhasználókat, egy célhálózatot vagy szolgáltatást és a hozzáférési módot. Az utolsó rész az, ahol a legtöbb félkész beállítás meghal: egy szabály routolhatja a forgalmat a cél felé, vagy NAT-olhatja, és a kettő mást kér a hálózattól. A routolt útvonalhoz a céloldalnak tudnia kell visszajuttatni a forgalmat a VPN-tartományba, míg a NAT-útvonal olyan cím mögé rejti a tagokat, amelyben a cél már megbízik. Az Access Server csoportdokumentáció külön tartja a csoport hálózatát a csoport hozzáférési szabályaitól, és a címkék kiadások között elmozdultak.

Az engedélyezett célnak még mindig kell használható útvonal. A szabály engedélyez, az útvonal kézbesít, a visszaút válaszol és a hoszton futó szolgáltatás elfogad. Négy dolog, négy hely, ahol keresni kell, és csak az első él a hozzáférési szabályban. A zöld engedély halott traceroute-tal általában azt jelenti, hogy hiányzik a visszaút a cél átjáróján, nem azt, hogy a szabály rossz.

A harmadik objektum: fióktelep-alhálózat egy átjáró mögött

Annak kijelentése, hogy egy adott kliens birtokol egy alhálózatot útvonalválasztási kijelentés egy telephelyről, nem címkiosztás és nem engedély. Access Server értelemben ez a csatlakozó hálózat támogatott átjárókonfigurációja, és azért létezik, mert egy fióktelep-router hirdetni tudja a mögötte lévő LAN-t. A tagok továbbra is a tartományból kapnak címeket, és továbbra is kell hozzáférési szabály ahhoz, hogy azt a fióktelep-LAN-t használják.

A három különtartása megtérül az átvizsgáláskor. A csoport tagcímtartományaként felvett fióktelep-alhálózat helyesnek látszik egy képernyőképen, és mindenkinek elrontja a kiosztást a csoportban. Ugyanez az alhálózat csak egy hozzáférési szabályban rögzítve hozzáférést ad a tulajdonjogi kijelentés nélkül, így a visszaforgalomnak nincs hová mennie. Tegyen minden objektumot a maga oszlopába a tervezésben, és a hiba többé nem lehetséges.

Hogyan tudja, melyiket nézi

Olvassa a címkét a szomszédaival együtt. A kiosztási mód, a tartományméret vagy a felhasználónkénti felülírás melletti mező a kiosztásról szól. A csoportválasztó, a szolgáltatás vagy port és az útvonalválasztási mód melletti mező az engedélyről szól. A kiadások átnevezik a dolgokat, de a szomszédok nagyjából a helyükön maradnak, ezért egy régi képernyőkép szövege rossz navigációs útmutató.

Ezután egyetlen taggal ellenőrizze a teljes csoport helyett: a tényleges csoportját, a kiosztott alagútcímet és a szándékolt célt engedélyező szabályt. Erősítse meg az útvonalat, a NAT-ot vagy routolt útvonalat, a visszaforgalmat és a szolgáltatás engedélyét ebben a sorrendben, és csak azt a mezőt módosítsa, amely megfelel a bizonyított eltérésnek. Utána is tartsa külön a kiosztási és engedélyezési nyilvántartásokat, hogy egy későbbi tartományváltozás ne úgy legyen olvasható, mint a csoport elérési körének változása.