CIDR for ei Access Server-gruppe: medlemsadresser eller ressursnettverk

I ei Access Server-gruppe tek to felt imot ein CIDR, og ved fyrste augnekast ser dei ut som same type inndata: det eine skildrar adressene som vert gjevne til VPN-medlemene, det andre skildrar netta dei medlema kan nå. Å fylle ut feil felt vert godteke utan feil, og det er nettopp dette som gjer feilen dyr. Det fyrste endrar adresseplanen for tunnelen, det andre avgjer kva mål som er tillatne, og ingen av dei føreset den andre. Det finst òg eit tredje objekt som folk blandar inn i desse to, subnettet bak gatewayen til ein filial, og det høyrer ikkje til noko av felta.

Same syntaks, ulike spørsmål

Spør kva verdien namngjev. Ein medlemsadresse-CIDR svarar på kva interne adresser tilkopla klientar får, og tildelingsmaskineriet brukar han før noko trafikk flyt. Ein ressurs-CIDR svarar på kva mål denne gruppa kan bruke, og tilgangsreglane brukar han når ein pakke vert vurdert. Den eine er ein pooldefinisjon, den andre er ei tillating.

Konsekvensane av å forveksle dei er motsette. Eit målnett limt inn i poolfeltet kan dele ut adresser som alt finst på det nettet og gje dobbel adresseåtferd, eller skyve poolen slik at alle brannmurreglar skrivne mot det gamle området stille vert brotne. Ein pool limt inn i ein tilgangsregel gjev ingenting nyttig, fordi ingen mål bur der. Båe feila syner seg likt: tunnelen er oppe, men noko er gale.

Tildeling: adresseområdet til medlema

Poolen må ikkje overlappe noko nett eit medlem kan nå, og heller ikkje nokon annan VPN-pool i utrullinga. Dette er ei planleggingsavgrensing, ikkje ei produktinnstilling: når to stader båe brukar 10.90.40.0/24 til medlemmer, kan eit medlem frå den eine staden ikkje rute til den andre utan omsetjing, og ingen tilgangsregel rettar det.

Tildelingsmodusen har òg noko å seie. Ein dynamisk pool gjev kvart medlem den neste ledige adressa, medan ei statisk tildeling per brukar festar henne. Statisk tildeling er det du vil ha når brannmurreglar eller overvaking viser til enkeltmedlemmer, og ho gjer òg ei endring i adresseplanen synleg: den festa adressa ligg framleis i den nye poolen eller ikkje. Les tunneladressa til eitt tilkopla medlem før og etter kvar endring i dette feltet.

Tillating: målnett høyrer heime i tilgangsreglar

Nåbarheit vert uttrykt i tilgangsreglane, som namngjev gruppa eller brukarane, eit målnett eller ein teneste og tilgangsmetoden. Den siste delen er der dei fleste halvferdige oppsetta døyr: ein regel kan rute trafikk til målet eller NAT-e han, og dei to krev ulike ting av nettet. Ein ruta veg krev at målsida veit korleis trafikken skal returnerast til VPN-poolen, medan ein NAT-veg gøymer medlema bak ei adresse målet alt stolar på. Dokumentasjonen for Access Server-grupper held gruppenettet skilt frå tilgangsreglane til gruppa, og etikettene har flytta seg mellom utgjevingar.

Eit tillate mål treng framleis ein brukande veg. Regelen tillèt, ruta leverer, returvegen svarar og tenesta på verten godtek. Fire ting, fire stader å sjå, og berre den fyrste bur i tilgangsregelen. Grøn tillating med død traceroute tyder vanlegvis at returvegen manglar på gatewayen til målet, ikkje at regelen er feil.

Det tredje objektet: eit filialsubnett bak ein gateway

Å erklære at ein bestemt klient eig eit subnett er ei rutingspåstand om ein stad, ikkje ei adressetildeling og ikkje ei tillating. I Access Server-terminologi er dette den støtta gatewaykonfigurasjonen for eit nett som koplar til, og han finst fordi ein filialruter kan annonsere nettet bak seg. Medlema får framleis adresser frå poolen, og dei treng framleis ein tilgangsregel for å bruke det filialnettet.

Å halde dei tre skilde løner seg i gjennomgang. Eit filialsubnett registrert som medlemsadresseområdet til gruppa ser rett ut på eit skjermbilete og øydelegg tildelinga for alle i gruppa. Det same subnettet registrert berre i ein tilgangsregel gjev tilgang utan eigarskapserklæringa, så returtrafikken har ingen stad å gå. Set kvart objekt i si eiga kolonne i designet, og feilen er ikkje lenger mogleg.

Korleis vite kva du ser på

Les etiketten saman med naboane. Eit felt ved sida av tildelingsmodus, poolstorleik eller overstyring per brukar handlar om tildeling. Eit felt ved sida av gruppeveljar, teneste eller port og rutingsmetode handlar om tillating. Utgjevingar gjev ting nye namn, men naboane blir om lag der dei var, og difor er ordlyden i eit gammalt skjermbilete ein dårleg navigasjonsguide.

Stadfest deretter med eitt medlem i staden for heile gruppa: den effektive gruppa, den tildelte tunneladressa og regelen som autoriserer det tiltenkte målet. Stadfest ruta, NAT eller ruta veg, returtrafikken og tillatinga til tenesta i den rekkjefølgja, og endre berre feltet som svarar til avviket som er påvist. Hald òg seinare føringane for tildeling og tillating skilde, slik at ei seinare pooleendring ikkje vert lesen som ei endring i kva gruppa kan nå.