CIDR của nhóm trong Access Server: địa chỉ thành viên hay mạng tài nguyên

Trong một nhóm Access Server, hai trường nhận CIDR và thoạt nhìn chúng giống cùng một kiểu nhập liệu: một trường mô tả địa chỉ cấp cho thành viên VPN, trường kia mô tả các mạng mà những thành viên đó có thể tới. Điền sai trường vẫn được chấp nhận mà không báo lỗi, và chính điều đó khiến sai sót này đắt giá. Trường thứ nhất thay đổi quy hoạch địa chỉ của đường hầm, trường thứ hai quyết định những đích nào được phép, và không trường nào hàm ý trường kia. Còn có một đối tượng thứ ba mà người ta hay gộp vào hai thứ này, đó là mạng con nằm sau cổng của một chi nhánh, và nó không thuộc trường nào cả.

Cùng cú pháp, khác câu hỏi

Hãy hỏi giá trị đó đặt tên cho cái gì. CIDR địa chỉ thành viên trả lời câu hỏi máy khách khi kết nối nhận những địa chỉ nội bộ nào, và bộ máy cấp phát dùng nó trước khi có bất kỳ lưu lượng nào. CIDR tài nguyên trả lời nhóm này được dùng những đích nào, và các quy tắc truy cập dùng nó khi một gói tin được đánh giá. Một cái là định nghĩa của một bể địa chỉ, cái kia là một sự cho phép.

Hậu quả của việc nhầm lẫn thì ngược nhau. Một LAN đích dán vào trường bể địa chỉ có thể cấp ra những địa chỉ đã tồn tại trên LAN đó và tạo ra hành vi trùng địa chỉ, hoặc dịch chuyển bể địa chỉ khiến mọi quy tắc tường lửa viết cho dải cũ âm thầm hỏng. Một bể địa chỉ dán vào quy tắc truy cập không cho gì hữu ích, vì không có đích nào sống ở đó. Cả hai lỗi đều biểu hiện giống nhau: đường hầm đã lên nhưng có gì đó không ổn.

Cấp phát: không gian địa chỉ của thành viên

Bể địa chỉ không được chồng lấn với bất kỳ LAN nào mà thành viên có thể tới, cũng không với bể VPN khác trong triển khai. Đây là ràng buộc quy hoạch, không phải thiết lập của sản phẩm: khi hai địa điểm cùng dùng 10.90.40.0/24 cho thành viên, thành viên của một địa điểm không thể định tuyến sang địa điểm kia mà không có chuyển đổi, và không quy tắc truy cập nào sửa được điều đó.

Chế độ cấp phát cũng quan trọng. Bể động cấp cho mỗi thành viên địa chỉ trống kế tiếp, còn việc gán tĩnh theo người dùng thì ghim địa chỉ đó. Gán tĩnh là thứ bạn cần khi quy tắc tường lửa hoặc giám sát tham chiếu tới từng thành viên, và nó cũng làm thay đổi quy hoạch địa chỉ trở nên hữu hình: địa chỉ được ghim vẫn nằm trong bể mới hay không. Hãy đọc địa chỉ đường hầm của một thành viên đang kết nối trước và sau mọi thay đổi ở trường này.

Quyền: mạng đích nằm trong quy tắc truy cập

Khả năng tới được biểu đạt trong các quy tắc truy cập, vốn nêu tên nhóm hoặc người dùng, một mạng hoặc dịch vụ đích và phương thức truy cập. Chính phần cuối đó là nơi phần lớn cấu hình làm dở chết: một quy tắc có thể định tuyến lưu lượng tới đích hoặc NAT nó, và hai cách đòi hỏi những thứ khác nhau từ mạng. Một đường định tuyến yêu cầu phía đích biết cách trả lưu lượng về bể VPN, còn một đường NAT giấu các thành viên sau một địa chỉ mà đích đã tin cậy. Tài liệu về nhóm của Access Server giữ mạng của nhóm tách khỏi quy tắc truy cập của nhóm, và các nhãn đã dịch chuyển giữa các bản phát hành.

Một đích được phép vẫn cần một đường dùng được. Quy tắc cho phép, tuyến chuyển, đường quay về trả lời và dịch vụ trên máy chủ chấp nhận. Bốn thứ, bốn nơi để nhìn, và chỉ thứ đầu tiên nằm trong quy tắc truy cập. Một quyền màu xanh với traceroute chết thường có nghĩa là thiếu tuyến quay về trên cổng của đích, không phải quy tắc sai.

Đối tượng thứ ba: mạng con chi nhánh sau một cổng

Tuyên bố rằng một máy khách cụ thể sở hữu một mạng con là một phát biểu định tuyến về một địa điểm, không phải cấp phát địa chỉ và không phải quyền. Trong thuật ngữ Access Server, đây là cấu hình cổng được hỗ trợ cho một mạng kết nối, và nó tồn tại vì bộ định tuyến của chi nhánh có thể công bố LAN phía sau nó. Các thành viên vẫn nhận địa chỉ từ bể, và vẫn cần một quy tắc truy cập để dùng LAN chi nhánh đó.

Giữ ba thứ tách riêng có lợi khi rà soát. Một mạng con chi nhánh được ghi làm không gian địa chỉ thành viên của nhóm trông đúng trong ảnh chụp màn hình và phá hỏng việc cấp phát cho mọi người trong nhóm. Cùng mạng con đó chỉ ghi trong một quy tắc truy cập thì cho quyền truy cập mà không có tuyên bố sở hữu, nên lưu lượng quay về không có chỗ đi. Hãy đặt mỗi đối tượng vào cột riêng của nó trong thiết kế và lỗi đó không còn khả thi.

Làm sao biết bạn đang nhìn cái nào

Đọc nhãn cùng với các trường bên cạnh. Một trường cạnh chế độ cấp phát, kích thước bể hay phần ghi đè theo người dùng là về cấp phát. Một trường cạnh bộ chọn nhóm, dịch vụ hoặc cổng và phương thức định tuyến là về quyền. Các bản phát hành đổi tên, nhưng các trường bên cạnh vẫn ở gần chỗ cũ, nên câu chữ trong một ảnh chụp cũ là hướng dẫn điều hướng tồi.

Sau đó kiểm chứng bằng một thành viên thay vì cả nhóm: nhóm hiệu lực của họ, địa chỉ đường hầm được cấp và quy tắc cho phép đích dự định. Xác nhận tuyến, NAT hoặc đường định tuyến, lưu lượng quay về và quyền của dịch vụ theo đúng thứ tự đó, và chỉ thay đổi trường khớp với sự lệch đã chứng minh. Giữ hồ sơ cấp phát và quyền tách riêng về sau, để một thay đổi bể địa chỉ sau này không bị đọc thành thay đổi về những gì nhóm có thể tới.