CIDR grupy w Access Server: adresy członków czy sieć zasobów

W grupie Access Server dwa pola przyjmują CIDR i na pierwszy rzut oka wyglądają jak ten sam typ danych: jedno opisuje adresy przekazywane członkom VPN, drugie opisuje sieci, do których ci członkowie mogą dotrzeć. Wypełnienie niewłaściwego pola jest akceptowane bez błędu i właśnie to czyni pomyłkę kosztowną. Pierwsze zmienia plan adresacji tunelu, drugie decyduje, które cele są dozwolone, i żadne nie implikuje drugiego. Jest też trzeci obiekt, który ludzie mieszają z tymi dwoma, podsieć za bramą oddziału, i nie należy ona do żadnego z pól.

Ta sama składnia, inne pytania

Zapytaj, co nazywa wartość. CIDR adresów członków odpowiada na pytanie, jakie adresy wewnętrzne otrzymują łączące się klienty, i mechanizm przydziału zużywa go, zanim popłynie jakikolwiek ruch. CIDR zasobu odpowiada, jakich celów ta grupa może używać, i reguły dostępu zużywają go przy ocenie pakietu. Jedno jest definicją puli, drugie zezwoleniem.

Skutki pomylenia są przeciwne. Sieć LAN celu wklejona w pole puli może rozdawać adresy, które już istnieją w tej sieci, i wywołać zachowanie zduplikowanych adresów, albo przesunąć pulę tak, że po cichu psuje wszystkie reguły firewalla pisane dla starego zakresu. Pula wklejona w regułę dostępu nie daje nic użytecznego, bo żaden cel tam nie mieszka. Oba błędy wyglądają tak samo: tunel jest podniesiony, ale coś jest nie tak.

Przydział: przestrzeń adresowa członków

Pula nie może się pokrywać z żadną siecią LAN, do której członek może dotrzeć, ani z inną pulą VPN w instalacji. To ograniczenie projektowe, a nie ustawienie produktu: gdy dwie lokalizacje używają 10.90.40.0/24 dla członków, członek z jednej nie może routować do drugiej bez translacji, i żadna reguła dostępu tego nie naprawi.

Tryb przydziału też ma znaczenie. Pula dynamiczna daje każdemu członkowi kolejny wolny adres, a przydział statyczny na użytkownika go przypina. Przydział statyczny jest tym, czego chcesz, gdy reguły firewalla lub monitoring odnoszą się do pojedynczych członków, i czyni też zmianę planu adresacji widoczną: przypięty adres nadal mieści się w nowej puli albo nie. Odczytaj adres tunelu jednego połączonego członka przed i po każdej zmianie tego pola.

Zezwolenie: sieci celu należą do reguł dostępu

Osiągalność wyrażają reguły dostępu, które nazywają grupę lub użytkowników, sieć lub usługę celu i metodę dostępu. Właśnie ostatnia część jest miejscem, w którym umiera większość niedokończonych konfiguracji: reguła może routować ruch do celu albo go NATować, a oba wymagają od sieci różnych rzeczy. Ścieżka routowana wymaga, aby strona celu wiedziała, jak zwrócić ruch do puli VPN, natomiast ścieżka NAT ukrywa członków za adresem, któremu cel już ufa. Dokumentacja grup Access Server trzyma sieć grupy osobno od reguł dostępu grupy, a etykiety przesuwały się między wersjami.

Dozwolony cel nadal potrzebuje użytecznej ścieżki. Reguła zezwala, trasa dostarcza, ścieżka powrotna odpowiada, a usługa na hoście przyjmuje. Cztery rzeczy, cztery miejsca do sprawdzenia, i tylko pierwsza żyje w regule dostępu. Zielone zezwolenie z martwym traceroute zwykle znaczy, że brakuje trasy powrotnej na bramie celu, a nie że reguła jest błędna.

Trzeci obiekt: podsieć oddziału za bramą

Zadeklarowanie, że konkretny klient posiada podsieć jest stwierdzeniem routingu o lokalizacji, a nie przydziałem adresów i nie zezwoleniem. W terminach Access Server to obsługiwana konfiguracja bramy dla sieci, która się łączy, i istnieje dlatego, że router oddziału może ogłaszać sieć LAN za sobą. Członkowie nadal otrzymują adresy z puli i nadal potrzebują reguły dostępu, aby używać tej sieci LAN oddziału.

Trzymanie trzech osobno opłaca się przy przeglądzie. Podsieć oddziału zapisana jako przestrzeń adresowa członków grupy wygląda poprawnie na zrzucie ekranu i psuje przydział wszystkim w grupie. Ta sama podsieć zapisana tylko w regule dostępu daje dostęp bez deklaracji własności, więc ruch powrotny nie ma gdzie trafić. Umieść każdy obiekt we własnej kolumnie projektu, a błąd przestaje być możliwy.

Jak rozpoznać, na co patrzysz

Czytaj etykietę razem z jej sąsiadami. Pole obok trybu przydziału, rozmiaru puli lub wyjątku dla użytkownika dotyczy przydziału. Pole obok selektora grupy, usługi lub portu i metody routingu dotyczy zezwolenia. Wersje zmieniają nazwy, ale sąsiedzi zostają mniej więcej na miejscu, dlatego treść starego zrzutu ekranu jest słabym przewodnikiem.

Potem sprawdź na jednym członku, a nie na całej grupie: jego efektywną grupę, przydzielony adres tunelu i regułę zezwalającą na zamierzony cel. Potwierdź trasę, NAT lub ścieżkę routowaną, ruch powrotny i zezwolenie usługi w tej kolejności, i zmieniaj tylko to pole, które odpowiada wykazanej niezgodności. Rejestry przydziału i zezwoleń trzymaj potem osobno, aby późniejsza zmiana puli nie była czytana jako zmiana w tym, do czego grupa może dotrzeć.