CIDR grup Access Server: alamat anggota atau jaringan sumber daya

Dalam grup Access Server, dua kolom menerima CIDR dan sekilas tampak seperti jenis masukan yang sama: satu menjelaskan alamat yang diberikan kepada anggota VPN, yang lain menjelaskan jaringan yang dapat dijangkau anggota tersebut. Mengisi kolom yang salah diterima tanpa kesalahan, dan itulah yang membuat kesalahan ini mahal. Yang pertama mengubah rencana pengalamatan tunnel Anda, yang kedua menentukan tujuan mana yang diizinkan, dan keduanya tidak saling menyiratkan. Ada objek ketiga yang sering dicampur ke dalam keduanya, yaitu subnet di belakang gateway cabang, dan itu bukan milik kedua kolom tersebut.

Sintaks sama, pertanyaan berbeda

Tanyakan apa yang dinamai nilai itu. CIDR alamat anggota menjawab pertanyaan alamat dalam mana yang diterima klien yang terhubung, dan mesin alokasi memakainya sebelum ada lalu lintas. CIDR sumber daya menjawab tujuan mana yang boleh dipakai grup ini, dan aturan akses memakainya saat paket dievaluasi. Satu adalah definisi kumpulan alamat, yang lain adalah izin.

Akibat dari tertukar justru berlawanan. LAN tujuan yang ditempel di kolom kumpulan alamat dapat membagikan alamat yang sudah ada di LAN itu dan menimbulkan perilaku alamat ganda, atau menggeser kumpulan sehingga semua aturan firewall yang ditulis untuk rentang lama rusak diam-diam. Kumpulan alamat yang ditempel di aturan akses tidak memberi apa pun yang berguna, karena tidak ada tujuan yang tinggal di sana. Kedua kesalahan tampil sama: tunnel menyala tetapi ada yang salah.

Alokasi: ruang alamat anggota

Kumpulan alamat tidak boleh tumpang tindih dengan LAN mana pun yang dapat dijangkau anggota maupun dengan kumpulan VPN lain di penerapan. Ini batasan perencanaan, bukan pengaturan produk: bila dua situs sama-sama memakai 10.90.40.0/24 untuk anggota, anggota dari satu situs tidak dapat merutekan ke situs lain tanpa penerjemahan, dan tidak ada aturan akses yang memperbaikinya.

Mode alokasi juga penting. Kumpulan dinamis memberi setiap anggota alamat bebas berikutnya, sedangkan penetapan statis per pengguna memakunya. Penetapan statis adalah yang Anda inginkan ketika aturan firewall atau pemantauan merujuk anggota tertentu, dan itu juga membuat perubahan rencana pengalamatan terlihat: alamat yang dipaku masih di dalam kumpulan baru atau tidak. Baca alamat tunnel satu anggota yang terhubung sebelum dan sesudah setiap perubahan pada kolom ini.

Izin: jaringan tujuan ada di aturan akses

Keterjangkauan dinyatakan dalam aturan akses, yang menyebut grup atau pengguna, jaringan atau layanan tujuan, dan metode akses. Bagian terakhir itulah tempat sebagian besar penyiapan setengah jadi mati: aturan dapat merutekan lalu lintas ke tujuan atau melakukan NAT, dan keduanya menuntut hal berbeda dari jaringan. Jalur yang dirutekan menuntut sisi tujuan tahu cara mengembalikan lalu lintas ke kumpulan VPN, sedangkan jalur NAT menyembunyikan anggota di balik alamat yang sudah dipercaya tujuan. Dokumentasi grup Access Server memisahkan jaringan grup dari aturan akses grup, dan labelnya berpindah antar rilis.

Tujuan yang diizinkan tetap butuh jalur yang bisa dipakai. Aturan mengizinkan, rute mengantar, jalur balik menjawab, dan layanan di host menerima. Empat hal, empat tempat untuk diperiksa, dan hanya yang pertama ada di aturan akses. Izin hijau dengan traceroute mati biasanya berarti rute balik hilang di gateway tujuan, bukan aturannya salah.

Objek ketiga: subnet cabang di belakang gateway

Menyatakan bahwa klien tertentu memiliki sebuah subnet adalah pernyataan perutean tentang situs, bukan alokasi alamat dan bukan izin. Dalam istilah Access Server ini konfigurasi gateway yang didukung untuk jaringan yang terhubung, dan ada karena router cabang dapat mengumumkan LAN di belakangnya. Anggota tetap menerima alamat dari kumpulan, dan tetap perlu aturan akses untuk memakai LAN cabang itu.

Menjaga ketiganya terpisah berbuah saat peninjauan. Subnet cabang yang dicatat sebagai ruang alamat anggota grup terlihat benar di tangkapan layar dan merusak alokasi bagi semua orang di grup. Subnet yang sama yang dicatat hanya di aturan akses memberi akses tanpa pernyataan kepemilikan, sehingga lalu lintas balik tidak punya tempat tujuan. Letakkan setiap objek di kolomnya sendiri dalam rancangan dan kesalahan itu tidak mungkin lagi.

Cara mengetahui mana yang sedang Anda lihat

Baca label bersama tetangganya. Kolom di samping mode penetapan, ukuran kumpulan, atau penimpaan per pengguna berbicara tentang alokasi. Kolom di samping pemilih grup, layanan atau port, dan metode perutean berbicara tentang izin. Rilis mengganti nama, tetapi tetangganya tetap di tempatnya, karena itu kata-kata pada tangkapan layar lama adalah pemandu navigasi yang buruk.

Lalu verifikasi dengan satu anggota, bukan seluruh grup: grup efektifnya, alamat tunnel yang ditetapkan, dan aturan yang mengizinkan tujuan yang dimaksud. Pastikan rute, NAT atau jalur yang dirutekan, lalu lintas balik, dan izin layanan dalam urutan itu, dan ubah hanya kolom yang cocok dengan ketidakcocokan yang terbukti. Setelah itu simpan catatan alokasi dan izin secara terpisah, agar perubahan kumpulan di kemudian hari tidak dibaca sebagai perubahan pada apa yang boleh dijangkau grup.