CIDR групе у Access Server-у: адресе чланова или мрежа ресурса

У групи Access Server-а два поља прихватају CIDR и на први поглед изгледају као иста врста уноса: једно описује адресе које се дају члановима VPN-а, друго описује мреже до којих ти чланови могу да стигну. Попуњавање погрешног поља прихвата се без грешке, и управо то грешку чини скупом. Прво мења план адресирања тунела, друго одлучује која су одредишта дозвољена, и ниједно не подразумева друго. Постоји и трећи објекат који људи мешају са ова два, подмрежа иза пролаза огранка, и она не припада ниједном пољу.

Иста синтакса, различита питања

Питајте шта вредност именује. CIDR адреса чланова одговара на питање које унутрашње адресе добијају клијенти који се повезују, а механизам доделе га троши пре него што потече било какав саобраћај. CIDR ресурса одговара на питање која одредишта ова група сме да користи, а правила приступа га троше при оцени пакета. Једно је дефиниција базена, друго је дозвола.

Последице замене су супротне. Циљна LAN мрежа залепљена у поље базена може да додели адресе које већ постоје на тој мрежи и створи понашање дуплих адреса, или да помери базен тако да тихо сломи сва правила заштитног зида писана за стари опсег. Базен залепљен у правило приступа не даје ништа корисно, јер тамо не живи ниједно одредиште. Обе грешке изгледају исто: тунел је горе, али нешто није у реду.

Додела: адресни простор чланова

Базен не сме да се преклапа ни са једном мрежом до које члан може да стигне, ни са другим VPN базеном у распоређивању. То је ограничење пројектовања, а не подешавање производа: када две локације обе користе 10.90.40.0/24 за чланове, члан са једне локације не може да рутира ка другој без превода, и ниједно правило приступа то не исправља.

Режим доделе је такође важан. Динамички базен даје сваком члану следећу слободну адресу, док статичка додела по кориснику ту адресу фиксира. Статичка додела је оно што желите када правила заштитног зида или надзор упућују на појединачне чланове, а такође чини промену плана адресирања видљивом: фиксирана адреса или још јесте унутар новог базена или није. Прочитајте адресу тунела једног повезаног члана пре и после сваке промене овог поља.

Дозвола: циљне мреже иду у правила приступа

Достижност се изражава у правилима приступа, која именују групу или кориснике, циљну мрежу или услугу и начин приступа. Управо последњи део је место где умире већина недовршених конфигурација: правило може да рутира саобраћај ка одредишту или да га NAT-ује, а то двоје тражи различите ствари од мреже. Рутирани пут захтева да страна одредишта зна како да врати саобраћај у VPN базен, док NAT пут скрива чланове иза адресе којој одредиште већ верује. Документација за групе Access Server-а држи мрежу групе одвојеном од правила приступа групе, а ознаке су се селиле између издања.

Дозвољено одредиште ипак треба употребљив пут. Правило дозвољава, рута доставља, повратни пут одговара и услуга на домаћину прихвата. Четири ствари, четири места за поглед, и само прва живи у правилу приступа. Зелена дозвола са мртвим traceroute-ом обично значи да повратна рута недостаје на пролазу одредишта, а не да је правило погрешно.

Трећи објекат: подмрежа огранка иза пролаза

Изјавити да одређени клијент поседује подмрежу је изјава о рутирању за локацију, не додела адреса и не дозвола. У терминима Access Server-а то је подржана конфигурација пролаза за мрежу која се повезује, и постоји зато што рутер огранка може да оглашава мрежу иза себе. Чланови и даље добијају адресе из базена и и даље им треба правило приступа да би користили ту LAN мрежу огранка.

Држање три одвојено исплати се при прегледу. Подмрежа огранка забележена као адресни простор чланова групе изгледа исправно на снимку екрана и квари доделу свима у групи. Иста подмрежа забележена само у правилу приступа даје приступ без изјаве о власништву, па повратни саобраћај нема куда да оде. Ставите сваки објекат у сопствену колону пројекта и грешка више није могућа.

Како да знате које гледате

Читајте ознаку заједно са њеним суседима. Поље поред режима доделе, величине базена или изузетка по кориснику говори о додели. Поље поред бирача групе, услуге или порта и начина рутирања говори о дозволи. Издања преименују ствари, али суседи остају отприлике на месту, зато је текст старог снимка екрана лош водич за навигацију.

Затим проверите са једним чланом уместо са целокупном групом: његову стварну групу, додељену адресу тунела и правило које овлашћује предвиђено одредиште. Потврдите руту, NAT или рутирани пут, повратни саобраћај и дозволу услуге тим редом, и мењајте само поље које одговара доказаном нескладу. И даље држите евиденцију доделе и дозволе одвојено, да се каснија промена базена не чита као промена у ономе до чега група може да стигне.