CIDR skupiny v Access Serveri: adresy členov alebo sieť zdrojov

V skupine Access Servera prijímajú CIDR dve polia a na prvý pohľad vyzerajú ako rovnaký typ vstupu: jedno opisuje adresy, ktoré sa dávajú členom VPN, druhé opisuje siete, ku ktorým sa títo členovia dostanú. Vyplnenie nesprávneho poľa sa prijme bez chyby, a práve to robí chybu drahou. Prvé mení plán adresovania tunela, druhé rozhoduje, ktoré ciele sú povolené, a ani jedno neznamená to druhé. Existuje aj tretí objekt, ktorý ľudia miešajú s týmito dvoma, podsiete za bránou pobočky, a ten nepatrí ani jednému poľu.

Rovnaká syntax, iné otázky

Spýtajte sa, čo hodnota označuje. CIDR adries členov odpovedá na otázku, aké vnútorné adresy dostávajú pripájajúci sa klienti, a mechanizmus prideľovania ho spotrebuje predtým, než potečie akákoľvek premávka. CIDR zdroja odpovedá, ktoré ciele môže táto skupina používať, a pravidlá prístupu ho spotrebujú pri hodnotení paketu. Jedno je definícia bazéna, druhé je povolenie.

Následky zámeny sú opačné. Cieľová LAN vložená do poľa bazéna môže prideľovať adresy, ktoré už na tej LAN existujú, a spôsobiť správanie s duplicitnými adresami, alebo posunúť bazén tak, že ticho rozbije všetky pravidlá firewallu napísané pre starý rozsah. Bazén vložený do pravidla prístupu nedá nič užitočné, pretože tam nežije žiadny cieľ. Obe chyby vyzerajú rovnako: tunel je hore, ale niečo nie je v poriadku.

Prideľovanie: adresný priestor členov

Bazén sa nesmie prekrývať so žiadnou LAN, ku ktorej sa člen dostane, ani so žiadnym iným VPN bazénom v nasadení. Je to obmedzenie návrhu, nie nastavenie produktu: keď dve lokality používajú obe 10.90.40.0/24 pre členov, člen z jednej lokality nemôže smerovať do druhej bez prekladu, a žiadne pravidlo prístupu to nenapraví.

Dôležitý je aj režim prideľovania. Dynamický bazén dáva každému členovi ďalšiu voľnú adresu, zatiaľ čo statické pridelenie na používateľa ju fixuje. Statické pridelenie je to, čo chcete, keď pravidlá firewallu alebo monitorovanie odkazujú na jednotlivých členov, a tiež robí zmenu plánu adresovania viditeľnou: fixovaná adresa ešte stále patrí do nového bazéna alebo už nie. Prečítajte adresu tunela jedného pripojeného člena pred a po každej zmene tohto poľa.

Povolenie: cieľové siete patria do pravidiel prístupu

Dosiahnuteľnosť sa vyjadruje v pravidlách prístupu, ktoré pomenúvajú skupinu alebo používateľov, cieľovú sieť alebo službu a metódu prístupu. Práve posledná časť je miesto, kde umiera väčšina nedokončených konfigurácií: pravidlo môže premávku smerovať k cieľu alebo ju NATovať, a obe vyžadujú od siete rôzne veci. Smerovaná cesta vyžaduje, aby cieľová strana vedela vrátiť premávku do VPN bazéna, zatiaľ čo NAT cesta skrýva členov za adresou, ktorej cieľ už dôveruje. Dokumentácia skupín Access Servera drží sieť skupiny oddelene od pravidiel prístupu skupiny, a označenia sa medzi vydaniami posúvali.

Povolený cieľ však stále potrebuje použiteľnú cestu. Pravidlo povoľuje, trasa doručuje, spätná cesta odpovedá a služba na hostiteľovi prijíma. Štyri veci, štyri miesta na pohľad, a iba prvá žije v pravidle prístupu. Zelené povolenie s mŕtvym traceroute zvyčajne znamená, že na bráne cieľa chýba spätná trasa, nie že pravidlo je nesprávne.

Tretí objekt: podsieť pobočky za bránou

Vyhlásiť, že konkrétny klient vlastní podsieť, je tvrdenie o smerovaní k lokalite, nie pridelenie adries a nie povolenie. V termínoch Access Servera je to podporovaná konfigurácia brány pre sieť, ktorá sa pripája, a existuje preto, lebo router pobočky môže oznamovať LAN za sebou. Členovia stále dostávajú adresy z bazéna a stále potrebujú pravidlo prístupu, aby tú LAN pobočky používali.

Držanie troch oddelene sa vyplatí pri kontrole. Podsieť pobočky zapísaná ako adresný priestor členov skupiny vyzerá na snímke obrazovky správne a pokazí prideľovanie všetkým v skupine. Tá istá podsieť zapísaná iba v pravidle prístupu dáva prístup bez vyhlásenia vlastníctva, takže spätná premávka nemá kam ísť. Umiestnite každý objekt do vlastného stĺpca návrhu a chyba už nebude možná.

Ako zistíte, na ktorý sa pozeráte

Čítajte označenie spolu s jeho susedmi. Pole vedľa režimu prideľovania, veľkosti bazéna alebo výnimky na používateľa sa týka prideľovania. Pole vedľa výberu skupiny, služby alebo portu a metódy smerovania sa týka povolenia. Vydania premenúvajú veci, ale susedia zostávajú približne na svojom mieste, preto je znenie starej snímky obrazovky zlým navigačným sprievodcom.

Potom overte na jednom členovi namiesto celej skupiny: jeho efektívnu skupinu, pridelenú adresu tunela a pravidlo, ktoré oprávňuje zamýšľaný cieľ. Potvrďte trasu, NAT alebo smerovanú cestu, spätnú premávku a povolenie služby v tomto poradí, a meňte iba pole, ktoré zodpovedá preukázanému nesúladu. Záznamy o prideľovaní a povoleniach držte aj potom oddelene, aby sa neskoršia zmena bazéna nečítala ako zmena v tom, kam sa skupina dostane.