CIDR на група во Access Server: адреси на членови или ресурсна мрежа

Во група на Access Server две полиња примаат CIDR и на прв поглед изгледаат како ист тип на внес: едното ги опишува адресите што им се даваат на VPN членовите, другото ги опишува мрежите до кои тие членови можат да стигнат. Пополнувањето на погрешното поле се прифаќа без грешка, и токму тоа ја прави грешката скапа. Првото го менува планот за адресирање на тунелот, второто одлучува кои одредишта се дозволени, и ниту едно не го подразбира другото. Има и трет објект што луѓето го ставаат меѓу овие две, подмрежата зад портата на огранката, и таа не припаѓа на ниту едно поле.

Иста синтакса, различни прашања

Прашајте што именува вредноста. CIDR на членски адреси одговара на прашањето кои внатрешни адреси ги добиваат клиентите што се поврзуваат, и механизмот за распределба го троши пред да потече било каков сообраќај. CIDR на ресурс одговара на прашањето кои одредишта оваа група смее да ги користи, и правилата за пристап го трошат при оценување на пакетот. Едното е дефиниција на базен, другото е дозвола.

Последиците од мешањето се спротивни. Целна LAN залепена во полето за базен може да додели адреси што веќе постојат на таа LAN и да создаде однесување со дупли адреси, или да го помести базенот така што тивко ќе ги скрши сите правила на огнениот ѕид напишани за стариот опсег. Базен залепен во правило за пристап не дава ништо корисно, бидејќи таму не живее ниту едно одредиште. Двете грешки изгледаат исто: тунелот е кренат, но нешто не е во ред.

Распределба: адресниот простор на членовите

Базенот не смее да се преклопува со ниту една LAN до која членот може да стигне, ниту со друг VPN базен во распоредувањето. Ова е ограничување при планирање, а не поставка на производот: кога две локации користат 10.90.40.0/24 за членовите, член од едната локација не може да рутира кон другата без превод, и ниту едно правило за пристап тоа не го поправа.

Важен е и режимот на распределба. Динамичниот базен на секој член му ја дава следната слободна адреса, додека статичната распределба по корисник ја фиксира. Статичната распределба е она што ви треба кога правилата на огнениот ѕид или надзорот се однесуваат на поединечни членови, а исто така ја прави видлива промената на планот за адресирање: фиксираната адреса или сè уште е во новиот базен или веќе не е. Прочитајте ја тунелската адреса на еден поврзан член пред и по секоја промена на ова поле.

Дозвола: целните мрежи и припаѓаат на правилата за пристап

Достапноста се изразува во правилата за пристап, кои ја именуваат групата или корисниците, целната мрежа или услуга и методот на пристап. Токму последниот дел е местото каде умираат повеќето недовршени поставки: правилото може да го рутира сообраќајот кон целта или да го NAT-ува, и двете бараат различни работи од мрежата. Рутираната патека бара целната страна да знае како да го врати сообраќајот во VPN базенот, додека NAT патеката ги крие членовите зад адреса во која целта веќе има доверба. Документацијата за групи на Access Server ја држи мрежата на групата одделена од правилата за пристап на групата, а ознаките се преместија меѓу изданијата.

Дозволеното одредиште сепак бара употреблива патека. Правилото дозволува, рутата доставува, повратната патека одговара и услугата на домаќинот прифаќа. Четири работи, четири места за гледање, и само првото живее во правилото за пристап. Зелена дозвола со мртов traceroute обично значи дека повратната рута недостасува на портата на одредиштето, а не дека правилото е погрешно.

Третиот објект: подмрежа на огранка зад порта

Изјавувањето дека одреден клиент поседува подмрежа е рутирачка изјава за локација, не распределба на адреси и не дозвола. Во термини на Access Server ова е поддржаната конфигурација на порта за мрежа што се поврзува, и постои затоа што рутерот на огранката може да ја објавува LAN-та зад себе. Членовите сè уште добиваат адреси од базенот и сè уште им треба правило за пристап за да ја користат таа LAN на огранката.

Одвојувањето на трите се исплати при прегледот. Подмрежа на огранка запишана како адресен простор на членовите на групата изгледа точно на слика од екран и ја крши распределбата за сите во групата. Истата подмрежа запишана само во правило за пристап дава пристап без изјавата за сопственост, па повратниот сообраќај нема каде да оди. Ставете го секој објект во своја колона од проектот и грешката повеќе не е возможна.

Како да знаете кое го гледате

Читајте ја ознаката заедно со нејзините соседи. Поле до режим на распределба, големина на базен или исклучок по корисник се однесува на распределбата. Поле до избирач на група, услуга или порта и метод на рутирање се однесува на дозволата. Изданијата ги преименуваат работите, но соседите остануваат приближно на своето место, затоа текстот од стара слика од екран е лош водич за навигација.

Потоа проверете со еден член наместо со целата група: неговата ефективна група, доделената тунелска адреса и правилото што го овластува предвиденото одредиште. Потврдете ја рутата, NAT или рутираната патека, повратниот сообраќај и дозволата за услугата по тој редослед, и менувајте само го полето што одговара на докажаното несовпаѓање. И понатаму држете ги записите за распределба и дозвола одделени, за да не се чита подоцнежната промена на базенот како промена во она до што групата може да стигне.