Access Server grup CIDR'ı: üye adresleri mi kaynak ağı mı

Bir Access Server grubunda iki alan CIDR kabul eder ve ilk bakışta aynı tür giriş gibi görünürler: biri VPN üyelerine verilen adresleri, diğeri bu üyelerin ulaşabileceği ağları tanımlar. Yanlış alanı doldurmak hatasız kabul edilir ve hatayı pahalı yapan tam olarak budur. Birincisi tünelin adresleme planını değiştirir, ikincisi hangi hedeflere izin verildiğini belirler ve hiçbiri diğerini gerektirmez. İnsanların bu ikisine karıştırdığı üçüncü bir nesne daha vardır, şube ağ geçidinin arkasındaki alt ağ, ve o hiçbir alana ait değildir.

Aynı sözdizimi, farklı sorular

Değerin neyi adlandırdığını sorun. Üye adresi CIDR'ı bağlanan istemcilerin hangi iç adresleri aldığını yanıtlar ve atama mekanizması herhangi bir trafik akmadan önce onu tüketir. Kaynak CIDR'ı bu grubun hangi hedefleri kullanabileceğini yanıtlar ve erişim kuralları paket değerlendirilirken onu tüketir. Biri bir havuz tanımıdır, diğeri bir izindir.

Karıştırmanın sonuçları zıttır. Havuz alanına yapıştırılan bir hedef LAN, o LAN'da zaten var olan adresleri dağıtıp yinelenen adres davranışına yol açabilir ya da havuzu kaydırarak eski aralık için yazılmış tüm güvenlik duvarı kurallarını sessizce bozabilir. Erişim kuralına yapıştırılan bir havuz işe yarar hiçbir şey vermez, çünkü orada hiçbir hedef yaşamaz. İki hata da aynı görünür: tünel ayakta ama bir şeyler yanlış.

Atama: üyelerin adres alanı

Havuz, bir üyenin ulaşabileceği hiçbir ağla ve dağıtımdaki başka bir VPN havuzuyla çakışmamalıdır. Bu bir planlama kısıtıdır, ürün ayarı değildir: iki konum da üyeler için 10.90.40.0/24 kullandığında, bir konumun üyesi çeviri olmadan diğerine yönlendirme yapamaz ve hiçbir erişim kuralı bunu düzeltmez.

Atama kipi de önemlidir. Dinamik bir havuz her üyeye sıradaki boş adresi verir, kullanıcı başına statik atama ise onu sabitler. Güvenlik duvarı kuralları veya izleme belirli üyelere atıfta bulunduğunda statik atama gerekir ve adresleme planındaki bir değişikliği de görünür kılar: sabitlenen adres yeni havuzun içinde mi değil mi. Bu alandaki her değişiklikten önce ve sonra bağlı bir üyenin tünel adresini okuyun.

İzin: hedef ağlar erişim kurallarında yer alır

Erişilebilirlik, grubu veya kullanıcıları, bir hedef ağı veya hizmeti ve erişim yöntemini adlandıran erişim kurallarında ifade edilir. Son bölüm, yarım kalmış yapılandırmaların çoğunun öldüğü yerdir: bir kural trafiği hedefe yönlendirebilir veya NAT uygulayabilir ve ikisi ağdan farklı şeyler ister. Yönlendirilmiş bir yol, hedef tarafın trafiği VPN havuzuna nasıl geri göndereceğini bilmesini gerektirir; NAT yolu ise üyeleri hedefin zaten güvendiği bir adresin arkasına saklar. Access Server grup belgeleri grup ağını grup erişim kurallarından ayrı tutar ve etiketler sürümler arasında yer değiştirmiştir.

İzin verilen bir hedef yine de kullanılabilir bir yola ihtiyaç duyar. Kural izin verir, yol iletir, dönüş yolu yanıtlar ve ana bilgisayardaki hizmet kabul eder. Dört şey, bakılacak dört yer ve yalnızca ilki erişim kuralında yaşar. Yeşil bir izin ve ölü bir traceroute genellikle hedefin ağ geçidinde dönüş yolunun eksik olduğu anlamına gelir, kuralın yanlış olduğu değil.

Üçüncü nesne: bir ağ geçidinin arkasındaki şube alt ağı

Belirli bir istemcinin bir alt ağa sahip olduğunu bildirmek bir konum hakkında yönlendirme ifadesidir, adres ataması değil ve izin de değil. Access Server terimleriyle bu, bağlanan bir ağ için desteklenen ağ geçidi yapılandırmasıdır ve şube yönlendiricisinin arkasındaki ağı duyurabilmesi nedeniyle vardır. Üyeler yine de havuzdan adres alır ve o şube ağını kullanmak için yine de bir erişim kuralına ihtiyaç duyar.

Üçünü ayrı tutmak incelemede karşılığını verir. Grubun üye adres alanı olarak kaydedilen bir şube alt ağı bir ekran görüntüsünde doğru görünür ve gruptaki herkesin atamasını bozar. Aynı alt ağ yalnızca bir erişim kuralında kayıtlıysa sahiplik bildirimi olmadan erişim verir, bu yüzden dönüş trafiğinin gidecek yeri yoktur. Her nesneyi tasarımın kendi sütununa koyun ve hata artık mümkün olmaz.

Hangi birine baktığınızı nasıl anlarsınız

Etiketi komşularıyla birlikte okuyun. Atama kipi, havuz boyutu veya kullanıcı başına geçersiz kılma yanındaki alan atama ile ilgilidir. Grup seçici, hizmet veya bağlantı noktası ve yönlendirme yöntemi yanındaki alan izin ile ilgilidir. Sürümler adları değiştirir ama komşular yaklaşık yerinde kalır, bu yüzden eski bir ekran görüntüsünün metni kötü bir gezinme kılavuzudur.

Sonra tüm grup yerine tek bir üyeyle doğrulayın: etkin grubu, atanan tünel adresi ve amaçlanan hedefi yetkilendiren kural. Yolu, NAT'ı veya yönlendirilmiş yolu, dönüş trafiğini ve hizmetin iznini bu sırayla doğrulayın ve yalnızca kanıtlanan uyuşmazlığa karşılık gelen alanı değiştirin. Atama ve izin kayıtlarını sonrasında da ayrı tutun, böylece daha sonraki bir havuz değişikliği grubun ulaşabildiği şeylerde bir değişiklik olarak okunmasın.