Access Server 그룹 CIDR: 구성원 주소인가 리소스 네트워크인가

Access Server 그룹에는 CIDR을 받는 필드가 두 개 있고, 언뜻 보면 같은 종류의 입력처럼 보입니다. 하나는 VPN 구성원에게 부여되는 주소를 설명하고, 다른 하나는 그 구성원이 도달할 수 있는 네트워크를 설명합니다. 잘못된 필드에 입력해도 오류 없이 받아들여지기 때문에 이 혼동은 비용이 큽니다. 앞의 것은 터널 주소 설계를 바꾸고, 뒤의 것은 어떤 대상이 허용되는지를 결정하며, 어느 쪽도 다른 쪽을 함축하지 않습니다. 사람들이 이 둘에 섞어 넣는 세 번째 대상도 있습니다. 지사 게이트웨이 뒤의 서브넷이며, 두 필드 어디에도 속하지 않습니다.

같은 문법, 다른 질문

값이 무엇을 가리키는지 물어보십시오. 구성원 주소 CIDR은 연결한 클라이언트가 어떤 내부 주소를 받는지에 답하고, 할당 기계가 트래픽이 흐르기 전에 그것을 소비합니다. 리소스 CIDR은 이 그룹이 어떤 대상을 쓸 수 있는지에 답하고, 패킷을 평가할 때 접근 규칙이 그것을 소비합니다. 하나는 풀의 정의이고 다른 하나는 허가입니다.

혼동의 결과는 정반대입니다. 풀 필드에 대상 LAN을 붙여 넣으면 그 LAN에 이미 있는 주소를 배포해 중복 주소 동작을 만들거나, 풀을 옮겨 예전 범위를 기준으로 작성된 모든 방화벽 규칙을 조용히 깨뜨립니다. 접근 규칙에 풀을 붙여 넣으면 그곳에 사는 대상이 없으므로 유용한 것을 주지 않습니다. 두 실수 모두 터널은 올라와 있는데 뭔가 잘못된 형태로 나타납니다.

할당: 구성원 주소 공간

풀은 구성원이 도달할 수 있는 어떤 LAN과도, 배포 내 다른 어떤 VPN 풀과도 겹치지 않아야 합니다. 이것은 제품 설정이 아니라 설계 제약입니다. 두 사이트가 모두 구성원에게 10.90.40.0/24를 쓰면 한 사이트의 구성원은 변환 없이 다른 쪽으로 라우팅할 수 없고, 어떤 접근 규칙도 그것을 고치지 않습니다.

할당 방식도 중요합니다. 동적 풀은 각 구성원에게 다음 빈 주소를 주고, 사용자별 정적 할당은 그것을 고정합니다. 방화벽 규칙이나 모니터링이 개별 구성원을 참조할 때는 정적 할당이 필요하며, 주소 설계 변경도 눈에 보이게 만듭니다. 고정된 주소가 새 풀 안에 있는지 아닌지로 판단할 수 있습니다. 이 필드를 바꾸기 전과 후에 연결된 구성원 하나의 터널 주소를 읽으십시오.

허가: 대상 네트워크는 접근 규칙에 쓴다

도달 가능성은 접근 규칙으로 표현하며, 그룹 또는 사용자, 대상 네트워크 또는 서비스, 접근 방식을 지정합니다. 마지막 부분이 미완성 설정이 죽는 자리입니다. 규칙은 트래픽을 대상으로 라우팅할 수도 NAT할 수도 있고, 둘은 네트워크에 다른 것을 요구합니다. 라우팅 경로는 대상 쪽이 VPN 풀로 되돌리는 방법을 알아야 하고, NAT 경로는 구성원을 대상이 이미 신뢰하는 주소 뒤에 숨깁니다. Access Server 그룹 문서는 그룹 네트워킹과 그룹 접근 규칙을 분리해 다루며, 라벨은 릴리스 사이에 이동했습니다.

허용된 대상에도 사용 가능한 경로가 필요합니다. 규칙이 허용하고, 라우트가 전달하고, 반환 경로가 응답하고, 호스트의 서비스가 받아들입니다. 네 가지, 확인할 네 곳이며 접근 규칙에 있는 것은 첫 번째뿐입니다. 허가가 초록인데 traceroute가 죽어 있다면 대개 대상의 게이트웨이에 반환 경로가 없는 것이지 규칙이 틀린 것이 아닙니다.

세 번째 대상: 게이트웨이 뒤의 지사 서브넷

특정 클라이언트가 서브넷을 소유한다고 선언하는 것은 사이트에 대한 라우팅 진술이며, 주소 할당도 허가도 아닙니다. Access Server 용어로 이것은 연결하는 네트워크에 대해 지원되는 게이트웨이 구성이고, 지사 라우터가 뒤쪽 LAN을 광고할 수 있기 때문에 존재합니다. 구성원은 여전히 풀에서 주소를 받고, 그 지사 LAN을 쓰려면 여전히 접근 규칙이 필요합니다.

셋을 분리해 두면 검토에서 이득입니다. 그룹의 구성원 주소 공간으로 기록된 지사 서브넷은 스크린샷에서는 맞아 보이지만 그룹 전체의 할당을 깨뜨립니다. 같은 서브넷을 접근 규칙에만 적으면 소유 진술 없이 접근을 허용하므로 반환 트래픽이 갈 곳이 없습니다. 설계에서 각각을 별도 열에 두면 그 실수는 더 이상 가능하지 않습니다.

무엇을 보고 있는지 아는 방법

라벨을 이웃과 함께 읽으십시오. 할당 방식, 풀 크기, 사용자별 재정의 옆에 있는 필드는 할당에 관한 것입니다. 그룹 선택기, 서비스나 포트, 라우팅 방식 옆에 있는 필드는 허가에 관한 것입니다. 릴리스는 이름을 바꾸지만 이웃은 대략 제자리에 남으므로 오래된 스크린샷의 문구는 나쁜 안내입니다.

그다음 그룹 전체가 아니라 구성원 하나로 확인하십시오. 유효 그룹, 할당된 터널 주소, 의도한 대상을 승인하는 규칙입니다. 라우트, NAT 또는 라우팅 경로, 반환 트래픽, 서비스 허가를 그 순서로 확인하고 입증된 불일치에 해당하는 필드만 바꾸십시오. 이후에도 할당과 허가 기록을 분리해 두어 나중의 풀 변경이 그룹의 도달 범위 변경으로 읽히지 않게 하십시오.