SoftEther-plaaslike brug teenoor SecureNAT: wat om aan te skakel

Maak SoftEther Manager oop, en die eerste werklike besluit oor ’n hub is nie ’n merkblokkie nie, dit is ’n topologievraag. ’n Plaaslike brug heg daardie hub aan ’n fisiese adapter en laat die bestaande segment die adressering verskaf, terwyl SecureNAT vir die hub sy eie virtuele router, NAT en DHCP gee. Om tussen hulle te kies verander waar die adresse vandaan kom en watter toestel daaroor antwoord. Om albei aan te skakel en te hoop dat een wen, is hoe ’n werkende laboratorium ’n ondersteuningsdraad word.

Begin by die hub wat jy werklik redigeer

Manager wys ’n boom van bedieners en hubs, en dit is maklik om die verstekhub op te stel terwyl kliënte aan ’n anders genoemde een koppel. Klik op die hub, lees sy naam, en bevestig dat die sessies hieronder die kliënte is wat jy probeer bedien. Daardie enkele kontrole voorkom die meeste verwarring wat aan die protokol toegeskryf word.

Bepaal dan wat die kliënt van die ver kant af nodig het. Gedeelde Ethernet-gedrag met uitsaai en LAN-dienste wys na ’n brug, geroteerde privaat toegang tot ’n klein adresreeks wys na SecureNAT, en ’n internetuitgang is ’n roeteringsbesluit wat enige rangskikking sleg kan dra.

Skryf die antwoord neer voordat jy enigiets klik, want die twee instellings is nie uitruilbaar nie en ongedaan maak neem langer as om te besluit. Twee minute se skryfwerk spaar ’n uur se herverbinding.

Wat ’n plaaslike brug aan adressering doen

’n Plaaslike brug verbind die hub met ’n fisiese adapter, so die hub word deel van daardie Ethernet-segment. Kliënte ontvang adresse van wat ook al die segment reeds bedien, en hul gateway is die segment se router. Uit die kliënt se oogpunt het dit by die kantoor-LAN aangesluit, met al die bereikbaarheid en al die blootstelling wat dit inhou.

Dit beteken ook die brug benodig ’n werklike adapter met die regte drywerondersteuning, en dit benodig dat die administrateur gemagtig is om daardie segment uit te brei. ’n VPN-aanmelding bewys egtheid, nie die reg om ’n gasheer op ’n produksie-VLAN te plaas nie. Kontroleer dat die drywernaam by die adapter pas wat jy beoog, want om die verkeerde poort te oorbrug neem ’n segment vinnig af. As die adapterlys leeg is of die brug ’n fout rapporteer, is die antwoord gewoonlik drywer- of privilegieverwant eerder as kriptografies.

Lees die brugtabel vanaf die command line wanneer die grafiese boom dubbelsinnig is. Die uitvoer noem die adapter, wat die boom nie altyd doen nie.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

’n Leë bruglys met gekoppelde sessies is ’n nuttige prentjie: kliënte is binne die virtuele hub en niks brei dit nog na ’n segment uit nie.

Wat SecureNAT byvoeg, en wat dit wegsteek

SecureNAT gee die hub ’n virtuele router, ’n NAT-funksie en ’n DHCP-diens, alles binne die SoftEther-proses. Kliënte kry adresse uit die virtuele DHCP-reeks, die virtuele router antwoord vir die verstekgateway, en verkeer wat moet uitgaan word vertaal. Geen fisiese adapter is betrokke nie, en daarom werk dit op ’n gasheer met een NIC en geen skakelaarkonfigurasie nie.

Die koste is dat die virtuele adresse aan die hub behoort en aan niks anders nie. ’n Masjien op die kantoor-LAN kan nie na ’n kliënt se SecureNAT-adres roeteer sonder hulp nie, en enigiets wat bronadresse log, sien die vertaalde adres van die SoftEther-gasheer. As jou toegangsreëls of jou ouditspoor op die kliënt se werklike adres staatmaak, is dit ’n ontwerpverandering eerder as ’n detail. Dit bepaal ook of ’n bronadresreël die kliënt ooit sal sien.

Dit is ook ’n DHCP-bediener. Om dit op ’n segment te laat loop wat reeds een het, of om daardie segment terselfdertyd te oorbrug, lewer twee antwoorders en onvoorspelbare leases. Die handleiding behandel die twee funksies as aparte keuses juis om hierdie rede.

Inspekteer wat die hub tans bedien voordat jy enigiets anders aktiveer. Elke opdrag druk die huidige toestand eerder as die beoogde een.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Skakel een aan sonder om die ander te breek

Kies die rangskikking, aktiveer dit, en laat die ander een af. ’n Hub met ’n brug en met SecureNAT albei aktief is ’n hub met twee moontlike antwoorde vir dieselfde vraag, en die kliënt sal glo wat eerste aankom. Wanneer jy van een na die ander migreer, deaktiveer die ou funksie en herverbind die kliënt eerder as om te aanvaar dat die nuwe instelling op ’n bestaande sessie in werking tree.

Bepaal die volgorde van die verandering so dat die kliëntpoel nie die LAN-reeks oorvleuel nie. Oorvleuelende subnetwerke is die tweede algemeenste oorsaak van ’n tonnel wat koppel en dan niks kan bereik nie, en hulle is onsigbaar totdat jy albei adresplanne langs mekaar vergelyk.

Herverbind dan vanaf die kliënt en lees wat dit ontvang het, want die hub se siening van die sessie is nie die kliënt se siening van sy eie netwerk nie. ’n Herverbinding is die enigste betroubare manier om ’n vars lease af te dwing.

Kontroleer die gateway en die resolver op die kliënt

’n Suksesvolle verifikasie sê die geloofsbriewe werk en die hub het die sessie aanvaar. Dit sê niks oor of die kliënt enigiets kan bereik nie, want dit hang af van die adres, masker, gateway en DNS-bediener wat dit gekry het. Lees daardie vier waardes op die kliënt voordat jy weer aan ’n bedienerinstelling raak.

Op Windows wys die adapterdetail die lease en die resolver, en die roetetabel wys of die tonnel werklik die verstekpad is.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Op ’n Linux-kliënt kom dieselfde inligting uit die adres-, roete- en resolver-lêers. Die verstekroete is die waarde wat besluit of verkeer hoegenaamd deur die tonnel verlaat. As die gateway na die kantoorrouter wys terwyl die tonnel verwag om die verkeer te dra, is die topologie in naam oorbrug en in die praktyk gebreek. Maak eers die adresbron reg, toets dan weer die toepassing, en oorweeg eers daarna om die ander modus te verander.