CIDR ของกลุ่มใน Access Server: ที่อยู่ของสมาชิกหรือเครือข่ายทรัพยากร

ในกลุ่ม Access Server มีสองฟิลด์ที่รับ CIDR และเมื่อมองแวบแรกดูเหมือนเป็นอินพุตชนิดเดียวกัน: ฟิลด์หนึ่งอธิบายที่อยู่ที่มอบให้สมาชิก VPN อีกฟิลด์อธิบายเครือข่ายที่สมาชิกเหล่านั้นเข้าถึงได้ การกรอกฟิลด์ผิดจะถูกยอมรับโดยไม่มีข้อผิดพลาด และนั่นคือสิ่งที่ทำให้ความผิดพลาดนี้มีราคาแพง ฟิลด์แรกเปลี่ยนแผนการกำหนดที่อยู่ของอุโมงค์ ฟิลด์ที่สองตัดสินว่าเปิดให้ปลายทางใด และไม่มีฟิลด์ใดบ่งบอกอีกฟิลด์หนึ่ง นอกจากนี้ยังมีวัตถุที่สามที่ผู้คนผสมปนเปเข้าไปในสองสิ่งนี้ คือซับเน็ตที่อยู่หลังเกตเวย์ของสาขา และมันไม่ได้เป็นของฟิลด์ใดเลย

ไวยากรณ์เดียวกัน คำถามต่างกัน

ถามว่าค่านั้นระบุชื่ออะไร CIDR ของที่อยู่สมาชิกตอบคำถามว่าไคลเอนต์ที่เชื่อมต่อได้รับที่อยู่ภายในใด และกลไกการจัดสรรใช้มันก่อนที่ทราฟฟิกจะไหล CIDR ของทรัพยากรตอบว่ากลุ่มนี้ใช้ปลายทางใดได้ และกฎการเข้าถึงใช้มันเมื่อมีการประเมินแพ็กเก็ต อย่างหนึ่งคือนิยามของพูล อีกอย่างคือการอนุญาต

ผลของการสับสนนั้นตรงกันข้าม LAN ปลายทางที่วางในฟิลด์พูลอาจแจกที่อยู่ที่มีอยู่แล้วบน LAN นั้นและทำให้เกิดพฤติกรรมที่อยู่ซ้ำ หรือเลื่อนพูลจนทำให้กฎไฟร์วอลล์ทั้งหมดที่เขียนไว้สำหรับช่วงเก่าพังอย่างเงียบ ๆ พูลที่วางในกฎการเข้าถึงไม่ได้ให้สิ่งที่มีประโยชน์ เพราะไม่มีปลายทางอาศัยอยู่ที่นั่น ความผิดพลาดทั้งสองแสดงออกมาเหมือนกัน: อุโมงค์ขึ้นแล้วแต่มีบางอย่างผิด

การจัดสรร: พื้นที่ที่อยู่ของสมาชิก

พูลต้องไม่ทับซ้อนกับ LAN ใดที่สมาชิกเข้าถึงได้ และไม่ทับซ้อนกับพูล VPN อื่นในการติดตั้ง นี่เป็นข้อจำกัดของการวางแผน ไม่ใช่การตั้งค่าของผลิตภัณฑ์: เมื่อสองไซต์ใช้ 10.90.40.0/24 สำหรับสมาชิก สมาชิกของไซต์หนึ่งไม่สามารถเราเตอร์ไปยังอีกไซต์โดยไม่มีการแปล และไม่มีกฎการเข้าถึงใดแก้ไขได้

โหมดการจัดสรรก็สำคัญ พูลแบบไดนามิกมอบที่อยู่ว่างถัดไปให้สมาชิกแต่ละคน ขณะที่การจัดสรรแบบคงที่ต่อผู้ใช้ตรึงที่อยู่นั้นไว้ การจัดสรรแบบคงที่คือสิ่งที่คุณต้องการเมื่อกฎไฟร์วอลล์หรือการตรวจสอบอ้างถึงสมาชิกแต่ละคน และยังทำให้มองเห็นการเปลี่ยนแปลงของแผนที่อยู่: ที่อยู่ที่ตรึงไว้ยังอยู่ในพูลใหม่หรือไม่ อ่านที่อยู่ของอุโมงค์ของสมาชิกที่เชื่อมต่อหนึ่งคนก่อนและหลังการเปลี่ยนแปลงใด ๆ ในฟิลด์นี้

การอนุญาต: เครือข่ายปลายทางอยู่ในกฎการเข้าถึง

การเข้าถึงแสดงออกในกฎการเข้าถึง ซึ่งระบุชื่อกลุ่มหรือผู้ใช้ เครือข่ายหรือบริการปลายทาง และวิธีการเข้าถึง ส่วนสุดท้ายนั่นคือจุดที่การตั้งค่าที่ทำค้างไว้ส่วนใหญ่ตาย: กฎสามารถเราเตอร์ทราฟฟิกไปยังปลายทางหรือทำ NAT และทั้งสองต้องการสิ่งที่ต่างกันจากเครือข่าย เส้นทางที่เราเตอร์ต้องการให้ฝั่งปลายทางรู้วิธีส่งทราฟฟิกกลับเข้าพูล VPN ขณะที่เส้นทาง NAT ซ่อนสมาชิกไว้หลังที่อยู่ที่ปลายทางไว้วางใจอยู่แล้ว เอกสารกลุ่มของ Access Server แยกเครือข่ายของกลุ่มออกจากกฎการเข้าถึงของกลุ่ม และป้ายชื่อได้ย้ายไปมาระหว่างเวอร์ชัน

ปลายทางที่ได้รับอนุญาตยังต้องมีเส้นทางที่ใช้งานได้ กฎอนุญาต เส้นทางส่งถึง เส้นทางขากลับตอบ และบริการบนโฮสต์ยอมรับ สี่สิ่ง สี่จุดที่ต้องดู และมีเพียงสิ่งแรกที่อยู่ในกฎการเข้าถึง การอนุญาตเป็นสีเขียวแต่ traceroute ตายมักหมายความว่า ขาดเส้นทางขากลับที่เกตเวย์ของปลายทาง ไม่ใช่กฎผิด

วัตถุที่สาม: ซับเน็ตของสาขาหลังเกตเวย์

การประกาศว่าไคลเอนต์หนึ่งเป็นเจ้าของซับเน็ต เป็นถ้อยแถลงเรื่องการเราเตอร์เกี่ยวกับไซต์ ไม่ใช่การจัดสรรที่อยู่และไม่ใช่การอนุญาต ในศัพท์ของ Access Server นี่คือการกำหนดค่าเกตเวย์ที่รองรับสำหรับเครือข่ายที่เชื่อมต่อ และมีอยู่เพราะเราเตอร์ของสาขาสามารถประกาศ LAN ที่อยู่ข้างหลังได้ สมาชิกยังได้รับที่อยู่จากพูล และยังต้องมีกฎการเข้าถึงเพื่อใช้ LAN ของสาขานั้น

การแยกทั้งสามออกจากกันได้ผลในการตรวจทาน ซับเน็ตของสาขาที่บันทึกเป็นพื้นที่ที่อยู่ของสมาชิกของกลุ่มดูถูกต้องในภาพหน้าจอและทำลายการจัดสรรสำหรับทุกคนในกลุ่ม ซับเน็ตเดียวกันที่บันทึกไว้ในกฎการเข้าถึงเท่านั้นให้การเข้าถึงโดยไม่มีถ้อยแถลงความเป็นเจ้าของ ดังนั้นทราฟฟิกขากลับจึงไม่มีที่ไป วางแต่ละวัตถุในคอลัมน์ของตัวเองในการออกแบบและความผิดพลาดนั้นจะเป็นไปไม่ได้อีก

จะรู้ได้อย่างไรว่ากำลังดูอันไหน

อ่านป้ายชื่อพร้อมกับป้ายข้างเคียง ฟิลด์ข้างโหมดการจัดสรร ขนาดพูล หรือการแทนที่ต่อผู้ใช้เกี่ยวกับการจัดสรร ฟิลด์ข้างตัวเลือกกลุ่ม บริการหรือพอร์ต และวิธีการเราเตอร์เกี่ยวกับการอนุญาต เวอร์ชันเปลี่ยนชื่อสิ่งต่าง ๆ แต่ป้ายข้างเคียงยังอยู่ที่เดิมโดยประมาณ นั่นคือเหตุผลที่ข้อความในภาพหน้าจอเก่าเป็นแนวทางนำทางที่ไม่ดี

จากนั้นตรวจสอบด้วยสมาชิกหนึ่งคนแทนทั้งกลุ่ม: กลุ่มที่มีผล ที่อยู่ของอุโมงค์ที่จัดสรร และกฎที่ให้อำนาจปลายทางที่ตั้งใจ ยืนยันเส้นทาง NAT หรือเส้นทางที่เราเตอร์ ทราฟฟิกขากลับ และการอนุญาตของบริการตามลำดับนั้น และเปลี่ยนเฉพาะฟิลด์ที่ตรงกับความไม่สอดคล้องที่พิสูจน์แล้ว เก็บบันทึกการจัดสรรและการอนุญาตแยกจากกันต่อไป เพื่อให้การเปลี่ยนแปลงพูลในภายหลังไม่ถูกอ่านว่าเป็นการเปลี่ยนแปลงในสิ่งที่กลุ่มเข้าถึงได้