CIDR kumpulan Access Server: alamat ahli atau rangkaian sumber

Dalam kumpulan Access Server, dua medan menerima CIDR dan pada pandangan pertama ia kelihatan seperti jenis input yang sama: satu menerangkan alamat yang diberikan kepada ahli VPN, satu lagi menerangkan rangkaian yang boleh dicapai oleh ahli tersebut. Mengisi medan yang salah diterima tanpa ralat, dan itulah yang menjadikan kesilapan ini mahal. Yang pertama mengubah pelan pengalamatan terowong anda, yang kedua menentukan destinasi mana yang dibenarkan, dan kedua-duanya tidak saling membayangkan. Ada juga objek ketiga yang orang campurkan ke dalam kedua-duanya, iaitu subnet di belakang gateway cawangan, dan ia bukan milik mana-mana medan.

Sintaks sama, soalan berbeza

Tanya apa yang dinamakan oleh nilai itu. CIDR alamat ahli menjawab soalan alamat dalaman mana yang diterima oleh klien yang menyambung, dan jentera peruntukan menggunakannya sebelum sebarang trafik mengalir. CIDR sumber menjawab destinasi mana yang boleh digunakan oleh kumpulan ini, dan peraturan akses menggunakannya semasa paket dinilai. Satu ialah definisi kolam, satu lagi ialah kebenaran.

Akibat kekeliruan adalah bertentangan. LAN destinasi yang ditampal dalam medan kolam boleh mengagihkan alamat yang sudah wujud pada LAN itu dan menghasilkan tingkah laku alamat berganda, atau menggeser kolam sehingga semua peraturan firewall yang ditulis untuk julat lama rosak secara senyap. Kolam yang ditampal dalam peraturan akses tidak memberi apa-apa yang berguna, kerana tiada destinasi tinggal di situ. Kedua-dua kesilapan muncul sama: terowong naik tetapi ada sesuatu yang tidak kena.

Peruntukan: ruang alamat ahli

Kolam tidak boleh bertindih dengan mana-mana LAN yang boleh dicapai ahli atau dengan kolam VPN lain dalam penggunaan. Ini kekangan perancangan, bukan tetapan produk: apabila dua tapak kedua-duanya menggunakan 10.90.40.0/24 untuk ahli, ahli dari satu tapak tidak boleh menghala ke tapak lain tanpa terjemahan, dan tiada peraturan akses membetulkannya.

Mod peruntukan juga penting. Kolam dinamik memberi setiap ahli alamat bebas seterusnya, manakala peruntukan statik setiap pengguna memakukannya. Peruntukan statik ialah apa yang anda mahu apabila peraturan firewall atau pemantauan merujuk ahli individu, dan ia juga menjadikan perubahan pelan pengalamatan kelihatan: alamat yang dipaku masih dalam kolam baharu atau tidak. Baca alamat terowong seorang ahli yang bersambung sebelum dan selepas sebarang perubahan pada medan ini.

Kebenaran: rangkaian destinasi berada dalam peraturan akses

Ketercapaian dinyatakan dalam peraturan akses, yang menamakan kumpulan atau pengguna, rangkaian atau perkhidmatan destinasi dan kaedah akses. Bahagian terakhir itulah tempat kebanyakan persediaan separuh siap mati: peraturan boleh menghala trafik ke destinasi atau NATkannya, dan kedua-duanya meminta perkara berbeza daripada rangkaian. Laluan yang dihalakan memerlukan pihak destinasi tahu cara memulangkan trafik ke kolam VPN, manakala laluan NAT menyembunyikan ahli di belakang alamat yang destinasi sudah percaya. Dokumentasi kumpulan Access Server memisahkan rangkaian kumpulan daripada peraturan akses kumpulan, dan label telah berpindah antara keluaran.

Destinasi yang dibenarkan masih memerlukan laluan yang boleh digunakan. Peraturan membenarkan, laluan menghantar, laluan balik menjawab dan perkhidmatan pada hos menerima. Empat perkara, empat tempat untuk dilihat, dan hanya yang pertama berada dalam peraturan akses. Kebenaran hijau dengan traceroute mati biasanya bermaksud laluan balik tiada pada gateway destinasi, bukan peraturannya salah.

Objek ketiga: subnet cawangan di belakang gateway

Mengisytiharkan bahawa klien tertentu memiliki subnet ialah kenyataan penghalaan tentang tapak, bukan peruntukan alamat dan bukan kebenaran. Dalam istilah Access Server ini konfigurasi gateway yang disokong untuk rangkaian yang bersambung, dan ia wujud kerana penghala cawangan boleh mengumumkan LAN di belakangnya. Ahli masih menerima alamat daripada kolam, dan masih memerlukan peraturan akses untuk menggunakan LAN cawangan itu.

Menyimpan ketiga-tiganya berasingan berbaloi semasa semakan. Subnet cawangan yang direkodkan sebagai ruang alamat ahli kumpulan kelihatan betul dalam tangkapan skrin dan merosakkan peruntukan untuk semua orang dalam kumpulan. Subnet yang sama direkodkan hanya dalam peraturan akses memberi akses tanpa kenyataan pemilikan, jadi trafik balik tiada tempat untuk pergi. Letakkan setiap objek dalam lajur reka bentuknya sendiri dan kesilapan itu tidak mungkin lagi.

Cara mengetahui yang mana anda sedang lihat

Baca label bersama jirannya. Medan di sebelah mod peruntukan, saiz kolam atau pengatasan setiap pengguna adalah tentang peruntukan. Medan di sebelah pemilih kumpulan, perkhidmatan atau port dan kaedah penghalaan adalah tentang kebenaran. Keluaran menukar nama, tetapi jiran kekal lebih kurang di tempatnya, sebab itu perkataan dalam tangkapan skrin lama ialah panduan navigasi yang buruk.

Kemudian sahkan dengan seorang ahli dan bukan seluruh kumpulan: kumpulan berkesannya, alamat terowong yang diperuntukkan dan peraturan yang membenarkan destinasi yang dimaksudkan. Sahkan laluan, NAT atau laluan yang dihalakan, trafik balik dan kebenaran perkhidmatan dalam urutan itu, dan ubah hanya medan yang sepadan dengan percanggahan yang dibuktikan. Selepas itu simpan rekod peruntukan dan kebenaran secara berasingan, supaya perubahan kolam kemudian tidak dibaca sebagai perubahan pada apa yang boleh dicapai kumpulan.