Access Server тобының CIDR: мүшелер мекенжайлары немесе ресурстық желі

Access Server тобында екі өріс CIDR қабылдайды, ал бір қарағанда олар бір типті енгізу сияқты көрінеді: біреуі VPN мүшелеріне берілетін мекенжайларды сипаттайды, екіншісі сол мүшелер жете алатын желілерді сипаттайды. Қате өрісті толтыру қатесіз қабылданады, дәл сол себептен бұл қате қымбат. Біріншісі туннельдің мекенжай жоспарын өзгертеді, екіншісі қандай мақсаттарға рұқсат берілетінін шешеді, және ешқайсысы екіншісін білдірмейді. Адамдар осы екеуіне араластыратын үшінші нысан да бар, филиал шлюзінің артындағы қосалқы желі, ол екі өрістің ешқайсысына жатпайды.

Бір синтаксис, әртүрлі сұрақтар

Мән нені атайтынын сұраңыз. Мүше мекенжайларының CIDR қосылатын клиенттер қандай ішкі мекенжайларды алады деген сұраққа жауап береді, ал бөлу механизмі оны кез келген трафик басталмай тұрып пайдаланады. Ресурс CIDR осы топ қандай мақсаттарды пайдалана алады дегенге жауап береді, қатынау ережелері пакетті бағалау кезінде оны пайдаланады. Біреуі пул анықтамасы, екіншісі рұқсат.

Шатастырудың салдарлары қарама-қарсы. Пул өрісіне жапсырылған мақсатты LAN сол LAN-да бұрыннан бар мекенжайларды таратып, қосарланған мекенжай мінезін тудыруы мүмкін, немесе пулды жылжытып, ескі диапазонға жазылған барлық брандмауэр ережелерін үнсіз бұзады. Қатынау ережесіне жапсырылған пул ешқандай пайдалы нәрсе бермейді, өйткені онда ешбір мақсат тұрмайды. Екі қате де бірдей көрінеді: туннель көтерілген, бірақ бірдеңе дұрыс емес.

Бөлу: мүшелердің мекенжай кеңістігі

Пул мүше жете алатын кез келген LAN-мен және орналастырудағы кез келген басқа VPN пулымен қиылыспауы керек. Бұл жоспарлау шектеуі, өнім параметрі емес: екі алаң да мүшелер үшін 10.90.40.0/24 қолданса, бір алаңның мүшесі аудармасыз екіншісіне маршруттай алмайды, оны ешбір қатынау ережесі түзетпейді.

Бөлу режимі де маңызды. Динамикалық пул әр мүшеге келесі бос мекенжайды береді, ал пайдаланушыға сай статикалық бөлу оны бекітеді. Статикалық бөлу брандмауэр ережелері немесе мониторинг жекелеген мүшелерге сілтеме жасағанда қажет, ол мекенжай жоспарының өзгерісін көрнекі етеді: бекітілген мекенжай жаңа пулдың ішінде ме, әлде жоқ па. Осы өріс өзгергенге дейін және кейін бір қосылған мүшенің туннель мекенжайын оқыңыз.

Рұқсат: мақсатты желілер қатынау ережелерінде болады

Қолжетімділік қатынау ережелерінде көрінеді, олар топты немесе пайдаланушыларды, мақсатты желіні немесе қызметті және қатынау әдісін атайды. Соңғы бөлік жартылай аяқталған конфигурациялардың көбі өлетін жер: ереже трафикті мақсатқа маршруттай алады немесе оны NAT-тай алады, екеуі желіден әртүрлі нәрсе талап етеді. Маршрутталған жол мақсат жағы VPN пулына трафикті қайтаруды білуін талап етеді, ал NAT жолы мүшелерді мақсат бұрыннан сенетін мекенжайдың артына жасырады. Access Server топтарының құжаттамасы топ желісін топтың қатынау ережелерінен бөлек ұстайды, ал белгілер шығарылымдар арасында жылжыған.

Рұқсат етілген мақсатқа бәрібір жарамды жол керек. Ереже рұқсат етеді, маршрут жеткізеді, қайтару жолы жауап береді және хосттағы қызмет қабылдайды. Төрт нәрсе, қарайтын төрт орын, және тек біріншісі қатынау ережесінде тұрады. Жасыл рұқсат пен өлі traceroute әдетте мақсаттың шлюзінде қайтару маршруты жоқ дегенді білдіреді, ереже қате дегенді емес.

Үшінші нысан: шлюз артындағы филиал қосалқы желісі

Белгілі бір клиент қосалқы желіге ие деп мәлімдеу алаң туралы маршруттау мәлімдемесі, мекенжай бөлу де емес, рұқсат та емес. Access Server терминдерінде бұл қосылатын желі үшін қолдау көрсетілетін шлюз конфигурациясы, ол филиал маршрутизаторы өзінің артындағы LAN-ды жариялай алатындықтан бар. Мүшелер әлі де пулдан мекенжай алады және сол филиал LAN-ын пайдалану үшін әлі де қатынау ережесі қажет.

Үшеуін бөлек ұстау шолу кезінде өтеледі. Топтың мүше мекенжай кеңістігі ретінде жазылған филиал қосалқы желісі скриншотта дұрыс көрінеді және топтағы барлығының бөлуін бұзады. Сол қосалқы желі тек қатынау ережесінде жазылса, иелік мәлімдемесінсіз қатынау береді, сондықтан қайтару трафигіне баратын жер жоқ. Әр нысанды жобада өз бағанына қойыңыз, қате енді мүмкін болмайды.

Қайсысын қарап отырғаныңызды қалай білуге болады

Белгіні көршілерімен бірге оқыңыз. Бөлу режимі, пул өлшемі немесе пайдаланушыға сай ерекшелік жанындағы өріс бөлу туралы. Топ таңдағышы, қызмет немесе порт және маршруттау әдісі жанындағы өріс рұқсат туралы. Шығарылымдар атауларды өзгертеді, бірақ көршілер шамамен орнында қалады, сондықтан ескі скриншоттың сөздері нашар навигациялық нұсқаулық.

Содан кейін бүкіл топпен емес, бір мүшемен тексеріңіз: оның тиімді тобы, берілген туннель мекенжайы және көзделген мақсатқа рұқсат беретін ереже. Маршрутты, NAT-ты немесе маршрутталған жолды, қайтару трафигін және қызмет рұқсатын осы ретпен растаңыз және тек дәлелденген сәйкессіздікке сай өрісті өзгертіңіз. Кейін де бөлу мен рұқсат жазбаларын бөлек ұстаңыз, кейінгі пул өзгерісі топ жете алатын нәрсенің өзгерісі ретінде оқылмауы үшін.