Access Server ჯგუფის CIDR: წევრების მისამართები თუ რესურსების ქსელი

Access Server-ის ჯგუფში ორი ველი იღებს CIDR-ს და ერთი შეხედვით ერთი ტიპის შეტანად გვეჩვენება: ერთი აღწერს მისამართებს, რომლებიც VPN წევრებს გადაეცემათ, მეორე აღწერს ქსელებს, რომლებამდეც ამ წევრებს შეუძლიათ მისვლა. არასწორი ველის შევსება შეცდომის გარეშე მიიღება და სწორედ ეს ხდის შეცდომას ძვირს. პირველი ცვლის გვირაბის მისამართების გეგმას, მეორე წყვეტს, რომელი დანიშნულებებია დაშვებული და არც ერთი არ გულისხმობს მეორეს. არის მესამე ობიექტიც, რომელსაც ხალხი ამ ორში ურევს, ფილიალის კარიბჭის უკან მდებარე ქვექსელი და ის არც ერთ ველს არ ეკუთვნის.

იგივე სინტაქსი, სხვადასხვა კითხვა

ჰკითხეთ, რას ასახელებს მნიშვნელობა. წევრების მისამართების CIDR პასუხობს კითხვას, რა შიდა მისამართებს იღებენ დაკავშირებული კლიენტები და გამოყოფის მექანიზმი მას ნებისმიერი ტრაფიკის დაწყებამდე მოიხმარს. რესურსის CIDR პასუხობს, რომელი დანიშნულებების გამოყენება შეუძლია ამ ჯგუფს და წვდომის წესები მას პაკეტის შეფასებისას მოიხმარენ. ერთი აუზის განსაზღვრებაა, მეორე ნებართვა.

არევის შედეგები საპირისპიროა. აუზის ველში ჩასმული დანიშნულების LAN შეიძლება გასცეს მისამართები, რომლებიც უკვე არსებობს ამ LAN-ში და წარმოქმნას ორმაგი მისამართების ქცევა, ან გადააწიოს აუზი ისე, რომ ძველი დიაპაზონისთვის დაწერილი ყველა ფაირვოლის წესი ჩუმად გატყდეს. წვდომის წესში ჩასმული აუზი არაფერს სასარგებლოს არ იძლევა, რადგან იქ არც ერთი დანიშნულება არ ცხოვრობს. ორივე შეცდომა ერთნაირად ჩანს: გვირაბი აწეულია, მაგრამ რაღაც არასწორია.

გამოყოფა: წევრების მისამართების სივრცე

აუზი არ უნდა ემთხვეოდეს არც ერთ LAN-ს, რომელზეც წევრს შეუძლია მისვლა და არც სხვა VPN აუზს განლაგებაში. ეს დაგეგმვის შეზღუდვაა და არა პროდუქტის პარამეტრი: როცა ორი ადგილი ორივე იყენებს 10.90.40.0/24-ს წევრებისთვის, ერთი ადგილის წევრს ტრანსლაციის გარეშე მეორეზე მარშრუტიზაცია არ შეუძლია და არც ერთი წვდომის წესი ამას არ ასწორებს.

გამოყოფის რეჟიმსაც აქვს მნიშვნელობა. დინამიკური აუზი თითოეულ წევრს აძლევს შემდეგ თავისუფალ მისამართს, ხოლო მომხმარებელზე მიბმული სტატიკური გამოყოფა მას ამაგრებს. სტატიკური გამოყოფა გჭირდებათ მაშინ, როცა ფაირვოლის წესები ან მონიტორინგი ცალკეულ წევრებს მიუთითებს და ის მისამართების გეგმის ცვლილებასაც ხილულს ხდის: დამაგრებული მისამართი ჯერ კიდევ ახალ აუზშია თუ აღარ. წაიკითხეთ ერთი დაკავშირებული წევრის გვირაბის მისამართი ამ ველის ყოველ ცვლილებამდე და შემდეგ.

ნებართვა: დანიშნულების ქსელები წვდომის წესებშია

მისაწვდომობა გამოიხატება წვდომის წესებში, რომლებიც ასახელებენ ჯგუფს ან მომხმარებლებს, დანიშნულების ქსელს ან სერვისს და წვდომის მეთოდს. სწორედ ბოლო ნაწილში იღუპება ნახევრად დასრულებული კონფიგურაციების უმეტესობა: წესს შეუძლია ტრაფიკი დანიშნულებისკენ გადაამისამართოს ან NAT გაუკეთოს და ორივე ქსელისგან განსხვავებულს მოითხოვს. მარშრუტიზებული გზა მოითხოვს, რომ დანიშნულების მხარემ იცოდეს ტრაფიკის VPN აუზში დაბრუნება, ხოლო NAT გზა მალავს წევრებს მისამართის უკან, რომელსაც დანიშნულება უკვე ენდობა. Access Server ჯგუფების დოკუმენტაცია ჯგუფის ქსელს ჯგუფის წვდომის წესებისგან ცალკე ინახავს და ეტიკეტები გამოშვებებს შორის გადაადგილდა.

დაშვებულ დანიშნულებას მაინც სჭირდება გამოსაყენებელი გზა. წესი ნებას რთავს, მარშრუტი აწვდის, დაბრუნების გზა პასუხობს და ჰოსტზე არსებული სერვისი იღებს. ოთხი რამ, ოთხი ადგილი სადაც უნდა შევხედოთ და მხოლოდ პირველი ცხოვრობს წვდომის წესში. მწვანე ნებართვა მკვდარი traceroute-ით, როგორც წესი, ნიშნავს, რომ დაბრუნების მარშრუტი აკლია დანიშნულების კარიბჭეს და არა იმას, რომ წესი არასწორია.

მესამე ობიექტი: ფილიალის ქვექსელი კარიბჭის უკან

განცხადება, რომ კონკრეტულ კლიენტს ქვექსელი ეკუთვნის არის მარშრუტიზაციის განაცხადი ადგილზე, არა მისამართების გამოყოფა და არა ნებართვა. Access Server-ის ტერმინებში ეს არის დაკავშირებადი ქსელისთვის მხარდაჭერილი კარიბჭის კონფიგურაცია და ის არსებობს იმიტომ, რომ ფილიალის მარშრუტიზატორს შეუძლია თავის უკან არსებული LAN-ის გამოცხადება. წევრები კვლავ იღებენ მისამართებს აუზიდან და კვლავ სჭირდებათ წვდომის წესი იმ ფილიალის LAN-ის გამოსაყენებლად.

სამივეს ცალკე შენახვა გადახედვისას იხდის. ფილიალის ქვექსელი, რომელიც ჯგუფის წევრთა მისამართების სივრცედ არის ჩაწერილი, ეკრანის სურათზე სწორად გამოიყურება და ჯგუფის ყველასთვის ამტვრევს გამოყოფას. იგივე ქვექსელი მხოლოდ წვდომის წესში ჩაწერილი იძლევა წვდომას საკუთრების განაცხადის გარეშე, ამიტომ დაბრუნების ტრაფიკს წასასვლელი არსად აქვს. ჩადეთ თითოეული ობიექტი დიზაინის თავის სვეტში და შეცდომა აღარ იქნება შესაძლებელი.

როგორ გავიგოთ, რომელს უყურებთ

წაიკითხეთ ეტიკეტი მეზობლებთან ერთად. ველი გამოყოფის რეჟიმის, აუზის ზომის ან მომხმარებლის გამონაკლისის გვერდით გამოყოფაზეა. ველი ჯგუფის ამრჩევის, სერვისის ან პორტის და მარშრუტიზაციის მეთოდის გვერდით ნებართვაზეა. გამოშვებები სახელებს ცვლიან, მაგრამ მეზობლები დაახლოებით თავიანთ ადგილას რჩებიან, ამიტომ ძველი ეკრანის სურათის ფორმულირება ცუდი სანავიგაციო გზამკვლევია.

შემდეგ გადაამოწმეთ ერთი წევრით და არა მთელი ჯგუფით: მისი ეფექტური ჯგუფი, გამოყოფილი გვირაბის მისამართი და წესი, რომელიც განსაზღვრულ დანიშნულებას აუფლებამოსილებს. დაადასტურეთ მარშრუტი, NAT ან მარშრუტიზებული გზა, დაბრუნების ტრაფიკი და სერვისის ნებართვა ამ თანმიმდევრობით და შეცვალეთ მხოლოდ ის ველი, რომელიც დადასტურებულ შეუთანხმებლობას შეესაბამება. შემდგომშიც ცალკე შეინახეთ გამოყოფისა და ნებართვის ჩანაწერები, რომ მოგვიანებით აუზის ცვლილება არ წაიკითხოს როგორც ცვლილება იმაში, რისამდეც ჯგუფს მისვლა შეუძლია.