Access Server グループの CIDR: メンバーアドレスかリソースネットワークか

Access Server のグループには CIDR を受け付けるフィールドが二つあり、一見すると同じ種類の入力に見えます。一方は VPN メンバーに渡されるアドレスを記述し、もう一方はそのメンバーが到達できるネットワークを記述します。間違ったフィールドに入力してもエラーなく受理されるため、この取り違えは高くつきます。前者はトンネルのアドレス設計を変え、後者はどの宛先を許可するかを決めます。どちらかが他方を意味することはありません。さらに、この二つに混ぜられがちな第三の対象、拠点ゲートウェイの背後にあるサブネットがあり、それはどちらのフィールドにも属しません。

同じ構文、違う問い

その値が何を指すかを問いかけてください。メンバーアドレスの CIDR は、接続したクライアントが受け取る内部アドレスはどれかという問いに答え、割り当て機構がトラフィックの流れる前にそれを消費します。リソースの CIDR は、このグループが使える宛先はどれかという問いに答え、パケットの評価時にアクセスルールがそれを消費します。一方はプールの定義であり、もう一方は許可です。

取り違えの結果は正反対です。プールのフィールドに接続先 LAN を貼り付けると、その LAN に既に存在するアドレスを配ってアドレス重複の挙動を生むか、プールをずらして旧レンジ向けに書かれたファイアウォールルールをすべて静かに壊します。アクセスルールにプールを貼り付けても、そこに宛先は存在しないため何の役にも立ちません。どちらの誤りも「トンネルは上がっているが何かがおかしい」という形で現れます。

割り当て: メンバーのアドレス空間

プールは、メンバーが到達できるあらゆる LAN と、配備内の他のあらゆる VPN プールと重なってはいけません。これは製品の設定ではなく設計上の制約です。二つの拠点がどちらもメンバーに 10.90.40.0/24 を使うと、一方の拠点のメンバーは変換なしに他方へルーティングできず、アクセスルールでも直りません。

割り当て方式も重要です。動的プールは各メンバーに次の空きアドレスを渡し、ユーザーごとの静的割り当てはそれを固定します。ファイアウォールルールや監視が個々のメンバーを参照する場合は静的割り当てが必要で、アドレス設計の変更も見える形になります。固定アドレスが新しいプールに収まっているかどうかで判断できます。このフィールドを変更する前と後に、接続中のメンバー一台のトンネルアドレスを読んでください。

許可: 宛先ネットワークはアクセスルールに書く

到達性はアクセスルールで表現し、グループまたはユーザー、宛先ネットワークまたはサービス、アクセス方式を指定します。最後の部分が、中途半端な設定が死ぬ場所です。ルールはトラフィックを宛先へルーティングすることも NAT することもでき、両者はネットワークに別のものを要求します。ルーティング経路は宛先側が VPN プールへ戻す方法を知っている必要があり、NAT 経路はメンバーを宛先が既に信頼するアドレスの背後に隠します。Access Server のグループのドキュメントはグループのネットワークとグループのアクセスルールを分けて扱っており、ラベルはリリース間で移動しています。

許可された宛先にも使用可能な経路が必要です。ルールが許可し、ルートが届け、戻り経路が応答し、ホスト上のサービスが受け入れます。四つの物事、四つの確認箇所があり、アクセスルールにあるのは最初の一つだけです。許可が緑で traceroute が死んでいる場合、たいていは宛先のゲートウェイに戻り経路がないのであって、ルールが誤っているわけではありません。

第三の対象: ゲートウェイ背後の拠点サブネット

特定のクライアントがサブネットを所有すると宣言することは、拠点についてのルーティングの表明であり、アドレスの割り当てでも許可でもありません。Access Server の用語では、接続するネットワークに対するサポート対象のゲートウェイ設定であり、拠点ルーターが背後の LAN を広告できるために存在します。メンバーは引き続きプールからアドレスを受け取り、その拠点 LAN を使うには引き続きアクセスルールが必要です。

三つを分けておくとレビューで効きます。グループのメンバーアドレス空間として記録された拠点サブネットは、スクリーンショットでは正しく見え、グループ全員の割り当てを壊します。同じサブネットをアクセスルールにだけ記録すると、所有の表明なしにアクセスを許すため、戻りトラフィックの行き場がありません。設計でそれぞれを別の列に置けば、その誤りは起こり得なくなります。

どちらを見ているかの見分け方

ラベルを隣と一緒に読みます。割り当て方式、プールサイズ、ユーザーごとの上書きの隣にあるフィールドは割り当ての話です。グループ選択、サービスやポート、ルーティング方式の隣にあるフィールドは許可の話です。リリースは名前を変えますが、隣はほぼ同じ位置に残るので、古いスクリーンショットの文言は頼りにならない道案内です。

次にグループ全体ではなくメンバー一台で確認します。実効グループ、割り当てられたトンネルアドレス、意図した宛先を許可するルールです。ルート、NAT かルーティング経路、戻りトラフィック、サービスの許可の順に確かめ、示された不一致に対応するフィールドだけを変更します。その後も割り当てと許可の記録は別々に保ち、後日のプール変更がグループの到達範囲の変更として読まれないようにします。