Access Server grupas CIDR: dalībnieku adreses vai resursu tīkls

Access Server grupā divi lauki pieņem CIDR, un no pirmā acu uzmetiena tie izskatās kā viena veida ievade: viens apraksta adreses, kas tiek dotas VPN dalībniekiem, otrs apraksta tīklus, kurus šie dalībnieki var sasniegt. Nepareiza lauka aizpildīšana tiek pieņemta bez kļūdas, un tas ir tas, kas padara šo kļūdu dārgu. Pirmais maina tuneļa adresācijas plānu, otrais izlemj, kuri mērķi ir atļauti, un neviens neietver otru. Ir arī trešais objekts, ko cilvēki iejauc šajos divos, apakštīkls aiz filiāles vārtejas, un tas nepieder nevienam laukam.

Tā pati sintakse, citi jautājumi

Pajautājiet, ko vērtība nosauc. Dalībnieku adrešu CIDR atbild uz jautājumu, kādas iekšējās adreses saņem pieslēgušies klienti, un piešķiršanas mehānisms to patērē pirms jebkuras plūsmas. Resursa CIDR atbild, kurus mērķus šī grupa drīkst izmantot, un piekļuves noteikumi to patērē paketes novērtēšanas laikā. Viens ir baseina definīcija, otrs ir atļauja.

Sajaukšanas sekas ir pretējas. Baseina laukā ielīmēts mērķa LAN var izdalīt adreses, kas jau pastāv šajā LAN, un radīt dubultu adrešu uzvedību, vai pabīdīt baseinu tā, ka klusi salūzt visi ugunsmūra noteikumi, kas rakstīti vecajam diapazonam. Piekļuves noteikumā ielīmēts baseins neko noderīgu nedod, jo tur nedzīvo neviens mērķis. Abas kļūdas izpaužas vienādi: tunelis ir augšā, bet kaut kas nav kārtībā.

Piešķiršana: dalībnieku adrešu telpa

Baseinam nav jāpārklājas ar nevienu LAN, ko dalībnieks var sasniegt, nedz ar citu VPN baseinu izvietojumā. Tas ir plānošanas ierobežojums, nevis produkta iestatījums: ja divas vietas abas izmanto 10.90.40.0/24 dalībniekiem, vienas vietas dalībnieks bez tulkošanas nevar maršrutēt uz otru, un neviens piekļuves noteikums to nelabo.

Svarīgs ir arī piešķiršanas režīms. Dinamiskais baseins katram dalībniekam dod nākamo brīvo adresi, bet statiskā piešķiršana uz lietotāju to piesprauž. Statiskā piešķiršana ir vajadzīga, ja ugunsmūra noteikumi vai uzraudzība atsaucas uz atsevišķiem dalībniekiem, un tā arī padara adresācijas plāna izmaiņas redzamas: piespraustā adrese joprojām ir jaunajā baseinā vai vairs nav. Izlasiet viena pieslēgušās dalībnieka tuneļa adresi pirms un pēc jebkuras šī lauka izmaiņas.

Atļauja: mērķa tīkli pieder piekļuves noteikumiem

Sasniedzamība tiek izteikta piekļuves noteikumos, kuri nosauc grupu vai lietotājus, mērķa tīklu vai pakalpojumu un piekļuves metodi. Tieši pēdējā daļa ir vieta, kur mirst vairums nepabeigto konfigurāciju: noteikums var maršrutēt plūsmu uz mērķi vai to NATot, un abi prasa no tīkla dažādas lietas. Maršrutēts ceļš prasa, lai mērķa puse zina, kā atgriezt plūsmu VPN baseinā, bet NAT ceļš slēpj dalībniekus aiz adreses, kurai mērķis jau uzticas. Access Server grupu dokumentācija tur grupas tīklu atsevišķi no grupas piekļuves noteikumiem, un etiķetes starp versijām ir pārvietojušās.

Atļautam mērķim tomēr vajag lietojamu ceļu. Noteikums atļauj, maršruts piegādā, atgriešanās ceļš atbild, un pakalpojums uz saimnieka pieņem. Četras lietas, četras vietas, kur skatīties, un tikai pirmā dzīvo piekļuves noteikumā. Zaļa atļauja ar mirušu traceroute parasti nozīmē, ka mērķa vārtejā trūkst atgriešanās maršruta, nevis ka noteikums ir nepareizs.

Trešais objekts: filiāles apakštīkls aiz vārtejas

Paziņot, ka konkrēts klients pārvalda apakštīklu, ir maršrutēšanas apgalvojums par vietu, nevis adrešu piešķiršana un nevis atļauja. Access Server izteiksmē tā ir atbalstītā vārtejas konfigurācija pieslēdzamajam tīklam, un tā pastāv tāpēc, ka filiāles maršrutētājs var paziņot aiz tā esošo LAN. Dalībnieki joprojām saņem adreses no baseina, un viņiem joprojām vajag piekļuves noteikumu, lai izmantotu šo filiāles LAN.

Triju atdalīšana atmaksājas pārskatīšanas laikā. Filiāles apakštīkls, kas reģistrēts kā grupas dalībnieku adrešu telpa, ekrānuzņēmumā izskatās pareizi un sabojā piešķiršanu visiem grupā. Tas pats apakštīkls, reģistrēts tikai piekļuves noteikumā, dod piekļuvi bez īpašumtiesību apgalvojuma, tāpēc atgriešanās plūsmai nav kur iet. Ielieciet katru objektu savā projektējuma kolonnā, un kļūda vairs nebūs iespējama.

Kā saprast, uz ko jūs skatāties

Lasiet etiķeti kopā ar tās kaimiņiem. Lauks blakus piešķiršanas režīmam, baseina izmēram vai lietotāja izņēmumam attiecas uz piešķiršanu. Lauks blakus grupas atlasītājam, pakalpojumam vai portam un maršrutēšanas metodei attiecas uz atļauju. Versijas pārdēvē lietas, bet kaimiņi paliek aptuveni savā vietā, tāpēc veca ekrānuzņēmuma teksts ir slikts navigācijas ceļvedis.

Pēc tam pārbaudiet ar vienu dalībnieku, nevis visu grupu: tā faktisko grupu, piešķirto tuneļa adresi un noteikumu, kas atļauj paredzēto mērķi. Apstipriniet maršrutu, NAT vai maršrutēto ceļu, atgriešanās plūsmu un pakalpojuma atļauju šajā secībā, un mainiet tikai to lauku, kas atbilst pierādītajai neatbilstībai. Arī turpmāk turiet piešķiršanas un atļaujas ierakstus atsevišķi, lai vēlāka baseina izmaiņa netiktu lasīta kā izmaiņa tajā, ko grupa var sasniegt.