CIDR för en Access Server-grupp: medlemsadresser eller resursnätverk

I en Access Server-grupp tar två fält emot en CIDR och vid första anblicken ser de ut som samma typ av indata: det ena beskriver adresserna som ges till VPN-medlemmarna, det andra beskriver näten som dessa medlemmar kan nå. Att fylla i fel fält accepteras utan fel, och det är just detta som gör misstaget dyrt. Det första ändrar tunnelns adressplan, det andra avgör vilka mål som är tillåtna, och inget av dem förutsätter det andra. Det finns också ett tredje objekt som folk blandar in i dessa två, subnätet bakom en filials gateway, och det hör inte till något av fälten.

Samma syntax, olika frågor

Fråga vad värdet namnger. En medlemsadress-CIDR svarar på vilka interna adresser anslutande klienter får, och tilldelningsmaskineriet förbrukar den innan någon trafik flyter. En resurs-CIDR svarar på vilka mål den här gruppen får använda, och åtkomstreglerna förbrukar den när ett paket utvärderas. Den ena är en pooldefinition, den andra är ett tillstånd.

Konsekvenserna av att blanda ihop dem är motsatta. Ett mål-LAN inklistrat i poolfältet kan dela ut adresser som redan finns på det nätet och ge dubbelt adressbeteende, eller flytta poolen så att alla brandväggsregler skrivna mot det gamla intervallet tyst bryts. En pool inklistrad i en åtkomstregel ger inget användbart, eftersom inget mål bor där. Båda felen visar sig likadant: tunneln är uppe men något är fel.

Tilldelning: medlemmarnas adressutrymme

Poolen får inte överlappa något nät som en medlem kan nå och inte heller någon annan VPN-pool i driftsättningen. Det är en planeringsbegränsning, inte en produktinställning: när två platser båda använder 10.90.40.0/24 för medlemmar kan en medlem från den ena platsen inte routa till den andra utan översättning, och ingen åtkomstregel rättar det.

Tilldelningsläget spelar också roll. En dynamisk pool ger varje medlem nästa lediga adress, medan en statisk tilldelning per användare fäster den. Statisk tilldelning är det du vill ha när brandväggsregler eller övervakning refererar till enskilda medlemmar, och den gör också en ändring av adressplanen synlig: den fästa adressen ligger fortfarande i den nya poolen eller inte. Läs tunneladressen för en ansluten medlem före och efter varje ändring i det här fältet.

Tillstånd: målnät hör hemma i åtkomstregler

Nåbarhet uttrycks i åtkomstreglerna, som namnger gruppen eller användarna, ett målnät eller en tjänst och åtkomstmetoden. Den sista delen är där de flesta halvfärdiga konfigurationer dör: en regel kan routa trafik till målet eller NAT:a den, och de två kräver olika saker av nätet. En routad väg kräver att målsidan vet hur trafiken ska returneras till VPN-poolen, medan en NAT-väg gömmer medlemmarna bakom en adress som målet redan litar på. Dokumentationen för Access Server-grupper håller gruppens nät åtskilt från gruppens åtkomstregler, och etiketterna har flyttat mellan versioner.

Ett tillåtet mål behöver fortfarande en användbar väg. Regeln tillåter, rutten levererar, returvägen svarar och tjänsten på värden tar emot. Fyra saker, fyra ställen att titta på, och bara den första bor i åtkomstregeln. Grönt tillstånd med död traceroute betyder oftast att returvägen saknas på målets gateway, inte att regeln är fel.

Det tredje objektet: ett filialsubnät bakom en gateway

Att deklarera att en viss klient äger ett subnät är ett routingpåstående om en plats, inte en adresstilldelning och inte ett tillstånd. I Access Server-termer är detta den stödda gatewaykonfigurationen för ett nät som ansluter, och den finns eftersom en filialrouter kan annonsera nätet bakom sig. Medlemmarna får fortfarande adresser från poolen, och de behöver fortfarande en åtkomstregel för att använda det filialnätet.

Att hålla de tre åtskilda lönar sig vid granskning. Ett filialsubnät registrerat som gruppens medlemsadressutrymme ser korrekt ut på en skärmbild och förstör tilldelningen för alla i gruppen. Samma subnät registrerat bara i en åtkomstregel ger åtkomst utan ägandedeklarationen, så returtrafiken har ingenstans att ta vägen. Sätt varje objekt i sin egen kolumn i designen och misstaget är inte längre möjligt.

Hur du vet vilket du tittar på

Läs etiketten tillsammans med dess grannar. Ett fält bredvid ett tilldelningsläge, en poolstorlek eller en åsidosättning per användare handlar om tilldelning. Ett fält bredvid en gruppväljare, en tjänst eller port och en routingmetod handlar om tillstånd. Versioner byter namn på saker, men grannarna stannar ungefär där de var, och därför är ordalydelsen i en gammal skärmbild en dålig navigeringsguide.

Verifiera sedan med en medlem i stället för hela gruppen: dess effektiva grupp, tilldelade tunneladress och regeln som auktoriserar det avsedda målet. Bekräfta rutten, NAT eller routad väg, returtrafiken och tjänstens tillstånd i den ordningen, och ändra bara det fält som motsvarar den påvisade avvikelsen. Håll även fortsättningsvis tilldelning och tillstånd åtskilda, så att en senare pooländring inte läses som en ändring i vad gruppen kan nå.