CIDR ng grupo sa Access Server: mga address ng miyembro o resource network

Sa isang grupo ng Access Server, dalawang field ang tumatanggap ng CIDR at sa unang tingin ay mukhang parehong uri ng input: inilalarawan ng isa ang mga address na ibinibigay sa mga miyembro ng VPN, inilalarawan ng isa pa ang mga network na maaaring maabot ng mga miyembrong iyon. Ang pagpuno sa maling field ay tinatanggap nang walang error, at iyon ang dahilan kung bakit mahal ang pagkakamaling ito. Binabago ng una ang plano ng address ng tunnel, itinatakda ng ikalawa kung aling mga destinasyon ang pinapayagan, at wala sa dalawa ang nagpapahiwatig ng isa. May ikatlong bagay din na hinahalo ng mga tao sa dalawang ito, ang subnet sa likod ng gateway ng isang sangay, at hindi ito kabilang sa alinmang field.

Parehong syntax, magkaibang tanong

Itanong kung ano ang tinutukoy ng halaga. Sinasagot ng CIDR ng address ng miyembro kung aling mga panloob na address ang natatanggap ng mga kliyenteng kumokonekta, at ginagamit ito ng makinarya ng paglalaan bago dumaloy ang anumang trapiko. Sinasagot ng CIDR ng resource kung aling mga destinasyon ang maaaring gamitin ng grupong ito, at ginagamit ito ng mga panuntunan sa access kapag sinusuri ang isang packet. Isa ay depinisyon ng pool, ang isa ay pahintulot.

Ang mga bunga ng pagkalito ay magkasalungat. Ang target na LAN na idinikit sa field ng pool ay maaaring magbigay ng mga address na mayroon na sa LAN na iyon at magdulot ng pag-uugali ng doble ang address, o ilipat ang pool kaya tahimik na masisira ang lahat ng panuntunan ng firewall na isinulat para sa lumang saklaw. Ang pool na idinikit sa isang panuntunan sa access ay walang ibinibigay na kapaki-pakinabang, dahil walang destinasyong nakatira doon. Parehong ganito ang hitsura ng dalawang pagkakamali: nakataas ang tunnel pero may mali.

Paglalaan: ang espasyo ng address ng mga miyembro

Hindi dapat mag-overlap ang pool sa anumang LAN na maaabot ng isang miyembro at gayundin sa iba pang pool ng VPN sa deployment. Ito ay hadlang sa pagpaplano, hindi setting ng produkto: kapag dalawang site ang parehong gumagamit ng 10.90.40.0/24 para sa mga miyembro, hindi makakapag-route ang miyembro ng isang site papunta sa isa pa nang walang pagsasalin, at walang panuntunan sa access ang makakatama nito.

Mahalaga rin ang mode ng paglalaan. Ang dynamic na pool ay nagbibigay sa bawat miyembro ng susunod na libreng address, samantalang ang static na paglalaan kada user ay nagpapako nito. Ang static na paglalaan ang kailangan mo kapag ang mga panuntunan ng firewall o monitoring ay tumutukoy sa indibidwal na miyembro, at ginagawa rin nitong nakikita ang pagbabago sa plano ng address: ang nakapirming address ay nasa loob pa ng bagong pool o wala na. Basahin ang address ng tunnel ng isang konektadong miyembro bago at pagkatapos ng anumang pagbabago sa field na ito.

Pahintulot: ang mga target na network ay nasa mga panuntunan sa access

Ang maabot ay ipinapahayag sa mga panuntunan sa access, na tumutukoy sa grupo o mga user, isang target na network o serbisyo at ang paraan ng access. Ang huling bahaging iyon ang lugar kung saan namamatay ang karamihan sa kalahating tapos na setup: ang isang panuntunan ay maaaring mag-route ng trapiko sa destinasyon o mag-NAT nito, at ang dalawa ay humihingi ng magkaibang bagay sa network. Ang naka-route na landas ay nangangailangan na alam ng panig ng destinasyon kung paano ibabalik ang trapiko sa pool ng VPN, samantalang itinatago ng landas ng NAT ang mga miyembro sa likod ng address na pinagkakatiwalaan na ng destinasyon. Ang dokumentasyon ng mga grupo ng Access Server ay naghihiwalay ng network ng grupo sa mga panuntunan sa access ng grupo, at lumipat ang mga label sa pagitan ng mga release.

Ang pinapayagang destinasyon ay kailangan pa rin ng magagamit na landas. Pinapayagan ng panuntunan, inihahatid ng ruta, sumasagot ang pabalik na landas at tumatanggap ang serbisyo sa host. Apat na bagay, apat na lugar na titingnan, at ang una lang ang nakatira sa panuntunan sa access. Ang berdeng pahintulot na may patay na traceroute ay karaniwang nangangahulugan na kulang ang pabalik na ruta sa gateway ng destinasyon, hindi na mali ang panuntunan.

Ang ikatlong bagay: subnet ng sangay sa likod ng gateway

Ang magpahayag na ang isang partikular na kliyente ay may-ari ng isang subnet ay isang pahayag sa routing tungkol sa isang site, hindi paglalaan ng address at hindi pahintulot. Sa mga termino ng Access Server, ito ang sinusuportahang configuration ng gateway para sa isang network na kumokonekta, at umiiral ito dahil maaaring i-anunsyo ng router ng sangay ang LAN sa likod nito. Tumatanggap pa rin ng address ang mga miyembro mula sa pool, at kailangan pa rin nila ng panuntunan sa access para magamit ang LAN ng sangay na iyon.

Ang paghihiwalay ng tatlo ay nagbabayad sa pagsusuri. Ang subnet ng sangay na naitala bilang espasyo ng address ng mga miyembro ng grupo ay mukhang tama sa isang screenshot at sinisira ang paglalaan para sa lahat sa grupo. Ang parehong subnet na naitala lamang sa isang panuntunan sa access ay nagbibigay ng access nang walang pahayag ng pagmamay-ari, kaya walang mapupuntahan ang pabalik na trapiko. Ilagay ang bawat bagay sa sarili nitong column ng disenyo at hindi na posible ang pagkakamali.

Paano malalaman kung alin ang tinitingnan mo

Basahin ang label kasama ang mga kapitbahay nito. Ang field sa tabi ng mode ng paglalaan, laki ng pool o override kada user ay tungkol sa paglalaan. Ang field sa tabi ng tagapili ng grupo, serbisyo o port at paraan ng routing ay tungkol sa pahintulot. Nagbabago ng pangalan ang mga release, ngunit nananatili ang mga kapitbahay sa halos parehong lugar, kaya ang mga salita sa lumang screenshot ay mahinang gabay sa nabigasyon.

Pagkatapos ay i-verify sa isang miyembro lamang kaysa sa buong grupo: ang epektibong grupo nito, ang itinalagang address ng tunnel at ang panuntunang nagpapahintulot sa nilalayong destinasyon. Kumpirmahin ang ruta, NAT o naka-route na landas, pabalik na trapiko at pahintulot ng serbisyo sa ganoong pagkakasunod-sunod, at baguhin lamang ang field na tumutugma sa napatunayang pagkakaiba. Panatilihing hiwalay din ang mga talaan ng paglalaan at pahintulot, upang ang susunod na pagbabago ng pool ay hindi basahin bilang pagbabago sa naaabot ng grupo.