CIDR skupine v Access Serverju: naslovi članov ali omrežje virov

V skupini Access Serverja dva polja sprejmeta CIDR in na prvi pogled izgledata kot ista vrsta vnosa: eno opisuje naslove, ki jih dobijo člani VPN, drugo opisuje omrežja, ki jih ti člani lahko dosežejo. Izpolnitev napačnega polja je sprejeta brez napake, in prav zato je ta napaka draga. Prvo spremeni načrt naslavljanja tunela, drugo odloči, kateri cilji so dovoljeni, in nobeno ne pomeni drugega. Obstaja še tretji objekt, ki ga ljudje mešajo s tema dvema, podomrežje za prehodom podružnice, in ne pripada nobenemu polju.

Ista sintaksa, drugačna vprašanja

Vprašajte, kaj vrednost poimenuje. CIDR naslovov članov odgovarja na vprašanje, katere notranje naslove dobijo odjemalci, ki se povežejo, in mehanizem dodeljevanja ga porabi, preden steče kakšen promet. CIDR vira odgovarja, katere cilje ta skupina lahko uporablja, in pravila dostopa ga porabijo pri oceni paketa. Eno je definicija bazena, drugo je dovoljenje.

Posledice zamenjave so nasprotne. Ciljni LAN, prilepljen v polje bazena, lahko dodeli naslove, ki na tem omrežju že obstajajo, in povzroči vedenje z dvojnimi naslovi, ali premakne bazen tako, da tiho zlomi vsa pravila požarnega zidu, napisana za stari razpon. Bazen, prilepljen v pravilo dostopa, ne da nič koristnega, ker tam ne živi noben cilj. Obe napaki se pokažeta enako: tunel je gor, a nekaj ni v redu.

Dodeljevanje: naslovni prostor članov

Bazen se ne sme prekrivati z nobenim omrežjem, ki ga član lahko doseže, niti z drugim bazenom VPN v postavitvi. To je omejitev načrtovanja, ne nastavitev izdelka: ko dve lokaciji obe uporabljata 10.90.40.0/24 za člane, član z ene lokacije ne more usmerjati na drugo brez prevajanja, in nobeno pravilo dostopa tega ne popravi.

Tudi način dodeljevanja je pomemben. Dinamični bazen da vsakemu članu naslednji prosti naslov, medtem ko statična dodelitev na uporabnika tega pripne. Statična dodelitev je tisto, kar želite, ko se pravila požarnega zidu ali nadzor sklicujejo na posamezne člane, in naredi tudi spremembo načrta naslavljanja vidno: pripeti naslov je še vedno v novem bazenu ali ni. Preberite naslov tunela enega povezanega člana pred in po vsaki spremembi tega polja.

Dovoljenje: ciljna omrežja sodijo v pravila dostopa

Dosegljivost se izraža v pravilih dostopa, ki poimenujejo skupino ali uporabnike, ciljno omrežje ali storitev in metodo dostopa. Prav zadnji del je kraj, kjer umre večina napol dokončanih nastavitev: pravilo lahko promet usmeri na cilj ali ga NAT-a, in oboje od omrežja zahteva različne stvari. Usmerjena pot zahteva, da ciljna stran ve, kako vrniti promet v bazen VPN, medtem ko NAT pot skrije člane za naslovom, ki mu cilj že zaupa. Dokumentacija skupin Access Serverja drži omrežje skupine ločeno od pravil dostopa skupine, oznake pa so se med izdajami premikale.

Dovoljeni cilj vseeno potrebuje uporabno pot. Pravilo dovoli, pot dostavi, povratna pot odgovori in storitev na gostitelju sprejme. Štiri stvari, štiri mesta za pogled, in samo prva živi v pravilu dostopa. Zeleno dovoljenje z mrtvim traceroute običajno pomeni, da na prehodu cilja manjka povratna pot, ne da je pravilo napačno.

Tretji objekt: podomrežje podružnice za prehodom

Izjaviti, da ima določen odjemalec v lasti podomrežje, je izjava o usmerjanju za lokacijo, ne dodelitev naslovov in ne dovoljenje. V izrazih Access Serverja je to podprta konfiguracija prehoda za omrežje, ki se povezuje, in obstaja zato, ker lahko usmerjevalnik podružnice oglašuje omrežje za seboj. Člani še vedno dobivajo naslove iz bazena in še vedno potrebujejo pravilo dostopa, da bi to omrežje podružnice uporabljali.

Ločevanje treh se izplača pri pregledu. Podomrežje podružnice, zabeleženo kot naslovni prostor članov skupine, je na posnetku zaslona videti pravilno in pokvari dodeljevanje vsem v skupini. Isto podomrežje, zabeleženo samo v pravilu dostopa, daje dostop brez izjave o lastništvu, zato povratni promet nima kam iti. Postavite vsak objekt v svoj stolpec zasnove in napaka ne bo več mogoča.

Kako ugotovite, katerega gledate

Preberite oznako skupaj z njenimi sosedi. Polje ob načinu dodeljevanja, velikosti bazena ali izjemi na uporabnika se nanaša na dodeljevanje. Polje ob izbirniku skupine, storitvi ali vratih in metodi usmerjanja se nanaša na dovoljenje. Izdaje preimenujejo stvari, a sosedje ostanejo približno na svojem mestu, zato je besedilo starega posnetka zaslona slab navigacijski vodnik.

Nato preverite z enim članom namesto s celotno skupino: njegovo dejansko skupino, dodeljeni naslov tunela in pravilo, ki dovoljuje predvideni cilj. Potrdite pot, NAT ali usmerjeno pot, povratni promet in dovoljenje storitve v tem vrstnem redu, in spremenite samo polje, ki ustreza dokazanemu neskladju. Tudi pozneje vodite evidence o dodeljevanju in dovoljenjih ločeno, da se poznejša sprememba bazena ne bere kot sprememba v tem, do kam se skupina lahkože.