CIDR for Access Server-gruppe: medlemsadresser eller ressursnettverk

I en Access Server-gruppe tar to felt imot en CIDR, og ved første øyekast ser de ut som samme type inndata: det ene beskriver adressene som gis til VPN-medlemmene, det andre beskriver nettene de medlemmene kan nå. Å fylle ut feil felt godtas uten feil, og det er nettopp dette som gjør feilen dyr. Det første endrer adresseplanen for tunnelen, det andre avgjør hvilke mål som er tillatt, og ingen av dem forutsetter den andre. Det finnes også et tredje objekt som folk blander inn i disse to, subnettet bak gatewayen til en filial, og det hører ikke til noen av feltene.

Samme syntaks, ulike spørsmål

Spør hva verdien navngir. En medlemsadresse-CIDR svarer på hvilke interne adresser tilkoblede klienter får, og tildelingsmaskineriet bruker den før noen trafikk flyter. En ressurs-CIDR svarer på hvilke mål denne gruppen kan bruke, og tilgangsreglene bruker den når en pakke vurderes. Den ene er en pooldefinisjon, den andre er en tillatelse.

Konsekvensene av å forveksle dem er motsatte. Et målnett limt inn i poolfeltet kan dele ut adresser som allerede finnes på det nettet og gi dobbel adresseatferd, eller skyve poolen slik at alle brannmurregler skrevet mot det gamle området stille brytes. En pool limt inn i en tilgangsregel gir ingenting nyttig, fordi ingen mål bor der. Begge feilene viser seg likt: tunnelen er oppe, men noe er galt.

Tildeling: medlemmenes adresseområde

Poolen må ikke overlappe noe nett et medlem kan nå, og heller ikke noen annen VPN-pool i utrullingen. Dette er en planleggingsbegrensning, ikke en produktinnstilling: når to steder begge bruker 10.90.40.0/24 til medlemmer, kan et medlem fra ett sted ikke rute til det andre uten oversettelse, og ingen tilgangsregel retter det.

Tildelingsmodusen betyr også noe. En dynamisk pool gir hvert medlem den neste ledige adressen, mens en statisk tildeling per bruker fester den. Statisk tildeling er det du vil ha når brannmurregler eller overvåking viser til enkeltmedlemmer, og den gjør også en endring i adresseplanen synlig: den festede adressen ligger fortsatt i den nye poolen eller ikke. Les tunneladressen til ett tilkoblet medlem før og etter enhver endring i dette feltet.

Tillatelse: målnett hører hjemme i tilgangsregler

Nåbarhet uttrykkes i tilgangsreglene, som navngir gruppen eller brukerne, et målnett eller en tjeneste og tilgangsmetoden. Den siste delen er der de fleste halvferdige oppsettene dør: en regel kan rute trafikk til målet eller NAT-e den, og de to krever ulike ting av nettet. En rutet vei krever at målsiden vet hvordan trafikken skal returneres til VPN-poolen, mens en NAT-vei skjuler medlemmene bak en adresse målet allerede stoler på. Dokumentasjonen for Access Server-grupper holder gruppenettet atskilt fra gruppens tilgangsregler, og etikettene har flyttet seg mellom utgivelser.

Et tillatt mål trenger fortsatt en brukbar vei. Regelen tillater, ruten leverer, returveien svarer og tjenesten på verten godtar. Fire ting, fire steder å se, og bare den første bor i tilgangsregelen. Grønn tillatelse med død traceroute betyr vanligvis at returruten mangler på målets gateway, ikke at regelen er feil.

Det tredje objektet: et filialsubnett bak en gateway

Å erklære at en bestemt klient eier et subnett er en rutingspåstand om et sted, ikke en adressetildeling og ikke en tillatelse. I Access Server-termer er dette den støttede gatewaykonfigurasjonen for et nett som kobler til, og den finnes fordi en filialruter kan annonsere nettet bak seg. Medlemmene får fortsatt adresser fra poolen, og de trenger fortsatt en tilgangsregel for å bruke det filialnettet.

Å holde de tre atskilt lønner seg i gjennomgang. Et filialsubnett registrert som gruppens medlemsadresseområde ser riktig ut på et skjermbilde og ødelegger tildelingen for alle i gruppen. Det samme subnettet registrert bare i en tilgangsregel gir tilgang uten eierskapserklæringen, så returtrafikken har ingen steder å gå. Sett hvert objekt i sin egen kolonne i designet, og feilen er ikke lenger mulig.

Hvordan vite hvilket du ser på

Les etiketten sammen med naboene. Et felt ved siden av tildelingsmodus, poolstørrelse eller overstyring per bruker handler om tildeling. Et felt ved siden av gruppevelger, tjeneste eller port og rutingsmetode handler om tillatelse. Utgivelser gir ting nye navn, men naboene blir omtrent der de var, og derfor er ordlyden i et gammelt skjermbilde en dårlig navigasjonsguide.

Verifiser deretter med ett medlem i stedet for hele gruppen: dens effektive gruppe, tildelte tunneladresse og regelen som autoriserer det tiltenkte målet. Bekreft ruten, NAT eller rutet vei, returtrafikken og tjenestens tillatelse i den rekkefølgen, og endre bare feltet som samsvarer med avviket som er påvist. Hold også senere oppføringene for tildeling og tillatelse atskilt, slik at en senere poolendring ikke leses som en endring i hva gruppen kan nå.