Што насамрэч злучае віртуальны хаб SoftEther

Віртуальны хаб SoftEther — гэта мяжа членства ўнутры аднаго сервера, а не месцазнаходжанне. Сесіі, якія далучаюцца да хаба, могуць дабрацца да таго, да чаго далучаны хаб, а сесіі на іншым хабе не могуць, нават калі абедзве аўтэнтыфікуюцца на адным серверы. Таму паспяховы ўваход можа ўсё яшчэ паставіць кліент у няправільную сетку. Чытанне хаба як віртуальнага камутатара тлумачыць, што ён робіць і што пакідае маставанню, маршрутызацыі і канфігурацыі каскаду.

Хаб — гэта мяжа членства

Адзін сервер можа размяшчаць некалькі хабаў, кожны са сваімі карыстальнікамі, сесіямі і палітыкай. Аўтэнтыфікацыя вызначае, кім з'яўляецца сесія, а хаб вырашае, да якой віртуальнай сеткі гэта сесія далучаецца. Такім чынам, два хабы на адным хасце паводзяць сябе як два асобныя камутатары, якія выпадкова дзеляць апаратнае забеспячэнне. Нішто ў паспяховым уваходзе не азначае, што сесія трапіла туды, куды вы хацелі.

Выкарыстоўвайце дакументаваную аператарам назву хаба, а не назву, якую запомнілі са здымка экрана. Кліент, які далучаецца да няправільнага хаба, дабіраецца да іншай сеткі з сапраўднымі ўліковымі данымі, што з'яўляецца знаходкай канфігурацыі, а не парушэннем бяспекі. Трымайце назву хаба і яго прызначэнне ў нататках профілю злучэння.

Адміністраванне абмяжоўваецца гэтак жа. Адміністратар хаба кіруе гэтым хабам, а адміністратар сервера кіруе працэсам, слухачамі і кожным хабам на хасце.

Далучэнні вызначаюць, што знаходзіцца за межамі

Хаб сам па сабе злучае сесіі адна з адной. Дабрацца да чаго-небудзь іншага залежыць ад таго, як падключаны хаб: лакальны мост да фізічнага інтэрфейсу, віртуальны маршрутызатар або каскад да іншага сервера. Кожнае далучэнне мае свае правілы перасылкі і свае рэжымы адмовы. Меркаванне, што хаб дае доступ у інтэрнэт, — самая распаўсюджаная памылка пра прадукт.

SecureNAT — гэта ўбудаваны варыянт, рэалізаваны з віртуальным маршрутызатарам і віртуальнай службай DHCP унутры сервера. Ён зручны для лабараторыі і нязручны для ўсяго, што патрабуе прадказальнай адрасацыі або палітыкі. Лакальны мост змяшчае хаб у рэальны сегмент, які ўспадкоўвае камутацыю, DHCP і паводзіны шырокавяшчання гэтага сегмента.

Каскад злучае два серверы, каб сесіі на адным хабе маглі з'яўляцца на іншым. Гэта сувязь паміж хабамі, таму абодва канцы патрабуюць сумяшчальнай палітыкі і працоўнага шляху паміж імі.

Чытайце сесіі і палітыку асобна

Прадстаўленні сесій, MAC-адрасоў і IP-адрасоў апісваюць, як віртуальная сетка выглядае зараз. Гэта назіранні, а не дазволы. Сесія, бачная ў спісе, не мае права на кожную паслугу, да якой можа дабрацца хаб, і адваротнае таксама справядліва.

Параўнайце спіс сесій з палітыкай, якая павінна да іх прымяняцца. Прылада з адрасам па-за меркаваным дыяпазонам звычайна азначае DHCP з іншага месца або кліент, наладжаны ўручную. MAC-адрас, які перамяшчаецца паміж сесіямі, азначае перанесеную прыладу або дзве прылады, якія дзеляць ідэнтычнасць. Абодва вартыя ўвагі, і ні адзін не даказаны адной толькі табліцай.

На серверы vpncmd паказвае тую ж карціну з пункту гледжання хоста. Параўнайце гэты вывад з уласным выглядам кліента, калі два не супадаюць.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Разглядайце адміністраванне хаба як асобную ролю, а не як дазвол кліента. Перадача аднаго хаба не павінна перадаваць слухачоў або працэс, які размяшчае кожны іншы хаб.

Праверце кліент пасля далучэння

З боку кліента ўсталяваная сесія даказвае толькі тое, што аўтэнтыфікацыя і назва хаба былі прынятыя. Пацверджвайце адрас, маршрут і разрозненне імёнаў асобна, бо кожнае можа адмовіць пасля таго, як хаб прыняў сесію.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Спіс адрасоў паказвае, ці атрымаў адаптар арэнду з меркаванай крыніцы. Запыт маршруту паказвае, які інтэрфейс павёў бы прыватнае прызначэнне, а запыт разрознення паказвае, ці DNS пайшоў за сесіяй. Хаб, які перасылае пакеты, пакуль DNS усё яшчэ паказвае на лакальную сетку, стварае класічнае паўпрацаздольнае злучэнне.

Тэстуйце праграму, а не злучэнне. Старонка інтранэту, якая загружаецца, — больш моцны доказ, чым адаптар з праўдападобным адрасам.