Лакальны мост SoftEther супраць SecureNAT: што ўключыць

Адкрыйце SoftEther Manager: першае сапраўднае рашэнне адносна хаба — гэта не поле з галачкай, а пытанне тапалогіі. Лакальны мост далучае гэты хаб да фізічнага адаптара і дазваляе існуючаму сегменту забяспечваць адрасацыю, а SecureNAT дае хабу ўласны віртуальны маршрутызатар, NAT і DHCP. Выбар паміж імі змяняе, адкуль бяруцца адрасы і якая прылада адказвае за іх. Уключыць абодва і спадзявацца, што пераможа адзін, — гэта шлях, якім працоўная лабараторыя ператвараецца ў чаргу зваротаў у падтрымку.

Пачніце з хаба, які вы сапраўды рэдагуеце

Manager паказвае дрэва сервераў і хабаў, і наладзіць хаб па змаўчанні лёгка, тады як кліенты падключаюцца да іншага, з іншай назвай. Пстрыкніце па хабе, прачытайце яго назву і пераканайцеся, што сеансы пад ім — гэта тыя кліенты, якім вы хочаце служыць. Гэтая адна праверка прадухіляе большую частку блытаніны, якую потым спісваюць на пратакол.

Затым вырашыце, што кліенту патрэбна з далёкага боку. Агульныя паводзіны Ethernet з шырокавяшчальнасцю і службамі LAN паказваюць на мост, маршрутызаваны прыватны доступ да невялікага дыяпазону адрасоў — на SecureNAT, а выхад у інтэрнэт — гэта рашэнне аб маршрутызацыі, якое любая схема можа выканаць дрэнна.

Запішыце адказ, перш чым нешта націснуць, бо гэтыя два параметры не ўзаемазаменныя, і адкат займае больш часу, чым рашэнне. Дзве хвіліны запісу эканомяць гадзіну перападключэнняў.

Што лакальны мост робіць з адрасацыяй

Лакальны мост злучае хаб з фізічным адаптарам, таму хаб становіцца часткай гэтага сегмента Ethernet. Кліенты атрымліваюць адрасы ад таго, што ўжо абслугоўвае сегмент, а іх шлюзам становіцца маршрутызатар сегмента. З пункту гледжання кліента ён далучыўся да офіснай LAN з усёй дасягальнасцю і ўсім узроўнем незасцярогі, якія гэта прадугледжвае.

Гэта таксама значыць, што мосту патрэбны сапраўдны адаптар з належнай падтрымкай драйвера, а адміністратар павінен мець паўнамоцтвы пашыраць гэты сегмент. Уваход у VPN даказвае аўтэнтыфікацыю, а не права змясціць хост у вытворчы VLAN. Праверце, што назва драйвера адпавядае патрэбнаму адаптару, бо маставанне не таго порта хутка выводзіць сегмент з ладу. Калі спіс адаптараў пусты або мост паведамляе пра памылку, прычына звычайна звязана з драйверам або правамі, а не з крыптаграфіяй.

Чытайце табліцу мастоў з каманднага радка, калі графічнае дрэва неадназначнае. Вывад называе адаптар, чаго дрэва не заўсёды робіць.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Пусты спіс мастоў пры падключаных сеансах — карысная карціна: кліенты знаходзяцца ўнутры віртуальнага хаба, і нішто яшчэ не пашырае яго на сегмент.

Што дадае SecureNAT і што ён хавае

SecureNAT дае хабу віртуальны маршрутызатар, функцыю NAT і службу DHCP, усё ўнутры працэсу SoftEther. Кліенты атрымліваюць адрасы з віртуальнага дыяпазону DHCP, віртуальны маршрутызатар адказвае за шлюз па змаўчанні, а трафік, якому трэба выйсці, транслюецца. Фізічны адаптар не задзейнічаны, таму гэта працуе на хосце з адной сеткавай картай і без налады камутатара.

Кошт у тым, што віртуальныя адрасы належаць хабу і больш нікому. Машына ў офіснай LAN не можа маршрутызаваць да адраса SecureNAT кліента без дапамогі, а ўсё, што запісвае адрасы крыніцы, бачыць трансляваны адрас хоста SoftEther. Калі вашыя правілы доступу або журнал аўдыту залежаць ад рэальнага адраса кліента, гэта змяненне праекта, а не дэталь. Гэта таксама вырашае, ці ўбачыць правіла адраса крыніцы кліента наогул.

Гэта яшчэ і сервер DHCP. Запуск яго ў сегменце, дзе ўжо ёсць такі сервер, або адначасовае маставанне гэтага сегмента дае двух адказчыкаў і непадуладныя арэнды. Кіраўніцтва разглядае дзве функцыі як асобныя выбары менавіта з гэтай прычыны.

Праверце, што хаб зараз абслугоўвае, перад тым як уключаць нешта іншае. Кожная каманда друкуе бягучы стан, а не меркаваны.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Уключыць адзін, не зламаўшы другі

Выберыце схему, уключыце яе, а другую пакіньце выключанай. Хаб з мостам і з SecureNAT адначасова — гэта хаб з двума магчымымі адказамі на адно пытанне, і кліент паверыць таму, які прыйдзе першым. Пры пераходзе ад аднаго да другога выключыце старую функцыю і перападключыце кліента, замест таго каб меркаваць, што новы параметр падзейнічае на існуючы сеанс.

Упарадкуйце змену так, каб пул кліентаў не перакрываўся з дыяпазонам LAN. Перакрывальныя падсеткі — другая па частаце прычына тунеля, які падключаецца і потым нікуды не дасягае, і яны нябачныя, пакуль вы не параўнаеце абодва планы адрасацыі побач.

Затым перападключыцеся з кліента і прачытайце, што ён атрымаў, бо погляд хаба на сеанс — не тое ж, што погляд кліента на ўласную сетку. Перападключэнне — адзіны надзейны спосаб прымусіць выдаць свежую арэнду.

Праверце шлюз і рэзалвер на кліенце

Паспяховая аўтэнтыфікацыя кажа, што ўліковыя даныя працуюць і хаб прыняў сеанс. Яна нічога не кажа пра тое, ці кліент нешта дасягае, бо гэта залежыць ад адраса, маскі, шлюза і DNS-сервера, якія ён атрымаў. Прачытайце гэтыя чатыры значэнні на кліенце, перш чым зноў чапаць налады сервера.

У Windows дэталі адаптара паказваюць арэнду і рэзалвер, а табліца маршрутаў — ці сапраўды тунель з'яўляецца шляхам па змаўчанні.

ipconfig /all
route print -4
nslookup intranet.corp.internal

На кліенце Linux тыя ж звесткі бяруцца з файлаў адрасы, маршрутаў і рэзалвера. Маршрут па змаўчанні — гэта значэнне, якое вырашае, ці трафік увогуле выходзіць праз тунель. Калі шлюз паказвае на офісны маршрутызатар, а тунель мяркуе несці гэты трафік, тапалогія змаставаная па назве і зламаная на практыцы. Спачатку выпраўце крыніцу адрасоў, потым пераверце праграму, і толькі тады разглядайце змену іншага рэжыму.