CIDR i grupit në Access Server: adresa anëtarësh ose rrjet burimesh

Në një grup Access Server dy fusha pranojnë një CIDR dhe në shikim të parë duken si i njëjti lloj hyrjeje: njëra përshkruan adresat që u jepen anëtarëve të VPN, tjetra përshkruan rrjetet që ata anëtarë mund të arrijnë. Plotësimi i fushës së gabuar pranohet pa gabim, dhe pikërisht kjo e bën gabimin të shtrenjtë. E para ndryshon planin e adresimit të tunelit, e dyta vendos cilat destinacione lejohen, dhe asnjëra nuk nënkupton tjetrën. Ka edhe një objekt të tretë që njerëzit e përziejnë me këto të dyja, nënrrjeti pas portës së një dege, dhe ai nuk i përket asnjë fushë.

E njëjta sintaksë, pyetje të ndryshme

Pyetni çfarë emërton vlera. Një CIDR adresash anëtarësh përgjigjet se cilat adresa të brendshme marrin klientët që lidhen, dhe mekanizmi i alokimit e konsumon para se të rrjedhë ndonjë trafik. Një CIDR burimi përgjigjet se cilat destinacione mund të përdorë ky grup, dhe rregullat e aksesit e konsumojnë kur vlerësohet një paketë. Njëra është përkufizim i një pishine, tjetra është leje.

Pasojat e ngatërrimit janë të kundërta. Një LAN destinacioni e ngjitur në fushën e pishinës mund të japë adresa që ekzistojnë tashmë në atë LAN dhe të krijojë sjellje adresash të dyfishta, ose ta zhvendosë pishinën në mënyrë që të prishë në heshtje të gjitha rregullat e firewall-it të shkruara për intervalin e vjetër. Një pishinë e ngjitur në një rregull aksesi nuk jep asgjë të dobishme, sepse atje nuk banojnë destinacione. Të dyja gabimet shfaqen njësoj: tuneli është lart, por diçka nuk shkon.

Alokimi: hapësira e adresave të anëtarëve

Pishina nuk duhet të mbivendoset me asnjë LAN që një anëtar mund të arrijë dhe as me një pishinë tjetër VPN në vendosje. Ky është një kufizim planifikimi, jo një cilësim i produktit: kur dy vende përdorin të dyja 10.90.40.0/24 për anëtarët, një anëtar i një vendi nuk mund të bëjë routing drejt tjetrit pa përkthim, dhe asnjë rregull aksesi nuk e rregullon atë.

Mënyra e alokimit ka gjithashtu rëndësi. Një pishinë dinamike i jep çdo anëtari adresën e radhës të lirë, ndërsa një alokim statik për përdorues e fikson atë. Alokimi statik është ai që dëshironi kur rregullat e firewall-it ose monitorimi referojnë anëtarë individualë, dhe gjithashtu e bën të dukshme një ndryshim të planit të adresimit: adresa e fiksuar është ende brenda pishinës së re ose jo. Lexoni adresën e tunelit të një anëtari të lidhur para dhe pas çdo ndryshimi në këtë fushë.

Leja: rrjetet e destinacionit shkojnë në rregullat e aksesit

Arritshmëria shprehet në rregullat e aksesit, të cilat emërtojnë grupin ose përdoruesit, një rrjet ose shërbim destinacioni dhe metodën e aksesit. Pikërisht pjesa e fundit është vendi ku vdesin shumica e konfigurimeve gjysmë të përfunduara: një rregull mund ta drejtojë trafikun drejt destinacionit ose t i bëjë NAT, dhe të dyja kërkojnë gjëra të ndryshme nga rrjeti. Një rrugë e drejtuar kërkon që ana e destinacionit të dijë si ta kthejë trafikun në pishinën e VPN, ndërsa një rrugë NAT i fsheh anëtarët pas një adrese të cilës destinacioni tashmë i beson. Dokumentacioni i grupeve të Access Server e mban rrjetin e grupit të ndarë nga rregullat e aksesit të grupit, dhe etiketat janë zhvendosur midis versioneve.

Një destinacion i lejuar ka ende nevojë për një rrugë të përdorshme. Rregulli lejon, rruga dërgon, rruga e kthimit përgjigjet dhe shërbimi në host pranon. Katër gjëra, katër vende për të parë, dhe vetëm e para jeton në rregullin e aksesit. Një leje e gjelbër me traceroute të vdekur zakonisht do të thotë që mungon rruga e kthimit në portën e destinacionit, jo që rregulli është i gabuar.

Objekti i tretë: një nënrrjet dege pas një porte

Të deklarosh se një klient i caktuar zotëron një nënrrjet është një pohim rrugëtimi për një vend, jo një alokim adresash dhe jo një leje. Në termat e Access Server ky është konfigurimi i portës i mbështetur për një rrjet që lidhet, dhe ekziston sepse një router dege mund të shpallë LAN-in pas tij. Anëtarët marrin ende adresa nga pishina, dhe ende kanë nevojë për një rregull aksesi për të përdorur atë LAN dege.

Mbajtja e tre të ndara shpërblehet gjatë rishikimit. Një nënrrjet dege i regjistruar si hapësira e adresave të anëtarëve të grupit duket i saktë në një pamje ekrani dhe prish alokimin për të gjithë në grup. I njëjti nënrrjet i shënuar vetëm në një rregull aksesi jep akses pa deklaratën e pronësisë, kështu që trafiku i kthimit nuk ka ku të shkojë. Vendosni çdo objekt në kolonën e vet të projektimit dhe gabimi nuk është më i mundur.

Si ta dini se cilin po shikoni

Lexoni etiketën së bashku me fqinjët e saj. Një fushë pranë mënyrës së alokimit, madhësisë së pishinës ose anashkalimit për përdorues flet për alokimin. Një fushë pranë zgjedhësit të grupit, një shërbimi ose porti dhe metodës së rrugëtimit flet për lejen. Versionet i riemërtojnë gjërat, por fqinjët mbeten afërsisht në vendin e tyre, prandaj teksti i një pamjeje të vjetër ekrani është një udhëzues i dobët navigimi.

Pastaj verifikoni me një anëtar dhe jo me të gjithë grupin: grupin e tij efektiv, adresën e tunelit të alokuar dhe rregullin që autorizon destinacionin e synuar. Konfirmoni rrugën, NAT-in ose rrugën e drejtuar, trafikun e kthimit dhe lejen e shërbimit në atë rend, dhe ndryshoni vetëm fushën që përputhet me mospërputhjen e provuar. Mbani edhe më pas të ndara regjistrimet e alokimit dhe të lejes, që një ndryshim i mëvonshëm i pishinës të mos lexohet si ndryshim në atë që grupi mund të arrijë.