Access Server grupės CIDR: narių adresai ar išteklių tinklas

Access Server grupėje du laukai priima CIDR ir iš pirmo žvilgsnio atrodo kaip to paties tipo įvestis: vienas aprašo adresus, kurie suteikiami VPN nariams, kitas aprašo tinklus, kuriuos tie nariai gali pasiekti. Neteisingo lauko užpildymas priimamas be klaidos, ir būtent tai daro šią klaidą brangią. Pirmasis keičia tunelio adresavimo planą, antrasis nusprendžia, kurie tikslai leidžiami, ir nė vienas neimplikuoja kito. Yra ir trečias objektas, kurį žmonės įmaišo į šiuos du, potinklis už filialo šliuzo, ir jis nepriklauso nė vienam laukui.

Ta pati sintaksė, skirtingi klausimai

Paklauskite, ką įvardija reikšmė. Narių adresų CIDR atsako į klausimą, kokius vidinius adresus gauna besijungiantys klientai, ir paskirstymo mechanizmas jį sunaudoja prieš pradedant bet kokį srautą. Išteklių CIDR atsako, kokius tikslus ši grupė gali naudoti, ir prieigos taisyklės jį sunaudoja vertinant paketą. Vienas yra baseino apibrėžimas, kitas yra leidimas.

Supainiojimo pasekmės yra priešingos. Paskirties LAN, įklijuota į baseino lauką, gali išdalyti adresus, kurie jau egzistuoja tame LAN, ir sukelti dvigubų adresų elgseną, arba pastumti baseiną taip, kad tyliai sulūžtų visos ugniasienės taisyklės, rašytos senajam diapazonui. Baseinas, įklijuotas į prieigos taisyklę, nieko naudingo neduoda, nes ten negyvena joks tikslas. Abi klaidos pasireiškia vienodai: tunelis pakeltas, bet kažkas negerai.

Paskirstymas: narių adresų erdvė

Baseinas neturi persidengti su jokiu LAN, kurį narys gali pasiekti, nei su jokiu kitu diegimo VPN baseinu. Tai planavimo apribojimas, o ne produkto nustatymas: kai du objektai abu naudoja 10.90.40.0/24 nariams, vieno objekto narys negali maršrutizuoti į kitą be vertimo, ir jokia prieigos taisyklė to neištaiso.

Paskirstymo režimas taip pat svarbus. Dinaminis baseinas kiekvienam nariui duoda kitą laisvą adresą, o statinis priskyrimas pagal vartotoją jį prisega. Statinis priskyrimas reikalingas, kai ugniasienės taisyklės ar stebėjimas nurodo atskirus narius, ir jis taip pat padaro adresavimo plano pakeitimą matomą: prisegtas adresas vis dar yra naujame baseine arba jau ne. Perskaitykite vieno prisijungusio nario tunelio adresą prieš ir po bet kokio šio lauko pakeitimo.

Leidimas: paskirties tinklai priklauso prieigos taisyklėms

Pasiekiamumas išreiškiamas prieigos taisyklėse, kurios įvardija grupę ar vartotojus, paskirties tinklą ar paslaugą ir prieigos metodą. Būtent paskutinė dalis yra vieta, kur miršta dauguma nebaigtų konfigūracijų: taisyklė gali maršrutizuoti srautą į tikslą arba jį NATinti, ir abu reikalauja iš tinklo skirtingų dalykų. Maršrutizuotas kelias reikalauja, kad paskirties pusė žinotų, kaip grąžinti srautą į VPN baseiną, o NAT kelias paslepia narius už adreso, kuriuo paskirtis jau pasitiki. Access Server grupių dokumentacija laiko grupės tinklą atskirai nuo grupės prieigos taisyklių, o etiketės tarp versijų judėjo.

Leidžiamam tikslui vis tiek reikia naudojamo kelio. Taisyklė leidžia, maršrutas pristato, grįžtamasis kelias atsako, o paslauga hoste priima. Keturi dalykai, keturios vietos, kur žiūrėti, ir tik pirmoji gyvena prieigos taisyklėje. Žalias leidimas su negyvu traceroute paprastai reiškia, kad paskirties šliuze trūksta grįžtamojo maršruto, o ne kad taisyklė neteisinga.

Trečias objektas: filialo potinklis už šliuzo

Paskelbti, kad tam tikras klientas valdo potinklį, yra maršrutizavimo teiginys apie objektą, o ne adresų paskirstymas ir ne leidimas. Access Server terminais tai palaikoma šliuzo konfigūracija prisijungiančiam tinklui, ir ji egzistuoja todėl, kad filialo maršrutizatorius gali paskelbti už jo esantį LAN. Nariai vis dar gauna adresus iš baseino ir vis dar turi turėti prieigos taisyklę, kad galėtų naudoti tą filialo LAN.

Trijų atskyrimas atsiperka peržiūros metu. Filialo potinklis, įrašytas kaip grupės narių adresų erdvė, ekrano nuotraukoje atrodo teisingai ir sugadina paskirstymą visiems grupėje. Tas pats potinklis, įrašytas tik prieigos taisyklėje, suteikia prieigą be nuosavybės teiginio, todėl grįžtamasis srautas neturi kur eiti. Įdėkite kiekvieną objektą į savo projektavimo stulpelį ir klaida taps nebeįmanoma.

Kaip suprasti, į ką žiūrite

Skaitykite etiketę kartu su kaimynais. Laukas šalia paskirstymo režimo, baseino dydžio ar vartotojo išimties kalba apie paskirstymą. Laukas šalia grupės selektoriaus, paslaugos ar prievado ir maršrutizavimo metodo kalba apie leidimą. Versijos pervadina dalykus, bet kaimynai lieka maždaug savo vietoje, todėl senos ekrano nuotraukos tekstas yra prasta navigacijos gairė.

Tada patikrinkite su vienu nariu, o ne su visa grupe: jo efektyvią grupę, priskirtą tunelio adresą ir taisyklę, kuri įgalina numatytą tikslą. Patvirtinkite maršrutą, NAT ar maršrutizuotą kelią, grįžtamąjį srautą ir paslaugos leidimą ta tvarka, ir keiskite tik tą lauką, kuris atitinka įrodytą neatitikimą. Vėliau irgi laikykite paskirstymo bei leidimo įrašus atskirai, kad vėlesnis baseino pakeitimas nebūtų perskaitytas kaip grupės pasiekiamumo pakeitimas.