Какво всъщност свързва виртуален хъб на SoftEther

Виртуалният хъб на SoftEther е граница на членството в един сървър, а не местоположение. Сесиите, които се присъединяват към хъба, могат да стигнат до това, към което е прикачен хъбът, а сесиите на друг хъб не могат, дори когато и двете се удостоверяват на един и същ сървър. Затова успешен вход все още може да постави клиент в грешната мрежа. Четенето на хъба като виртуален комутатор изяснява какво прави той и какво оставя на мостовата връзка, маршрутизацията и каскадната конфигурация.

Хъбът е граница на членството

Един сървър може да хоства няколко хъба, всеки със свои потребители, сесии и политика. Удостоверяването установява коя е сесията, докато хъбът решава към коя виртуална мрежа се присъединява тази сесия. Така два хъба на един хост се държат като два отделни комутатора, които случайно споделят хардуер. Нищо в успешния вход не означава, че сесията е попаднала там, където сте искали.

Използвайте документираното от оператора име на хъб, а не име, запомнено от екранна снимка. Клиент, който се присъедини към грешния хъб, стига до друга мрежа с валидно удостоверение, което е констатация за конфигурацията, а не нарушение на сигурността. Пазете името на хъба и предназначението му в бележките на профила за връзка.

Администрацията е ограничена по същия начин. Администраторът на хъб управлява този хъб, докато администраторът на сървъра управлява процеса, слушателите и всеки хъб на хоста.

Прикачванията решават какво има отвъд

Хъбът сам по себе си свързва сесиите една с друга. Достигането до нещо друго зависи от това как е прикачен хъбът: локален мост към физически интерфейс, виртуален рутер или каскада към друг сървър. Всяко прикачване носи свои правила за препращане и свои режими на отказ. Да се предполага, че хъбът осигурява достъп до интернет, е най-честата грешка относно продукта.

SecureNAT е вградената опция, реализирана с виртуален рутер и виртуална DHCP услуга вътре в сървъра. Тя е удобна за лаборатория и неудобна за всичко, което се нуждае от предвидимо адресиране или политика. Локалният мост поставя хъба в реален сегмент, който наследява комутацията, DHCP и поведението при широко предаване на този сегмент.

Каскадата свързва два сървъра, така че сесиите на един хъб да могат да се появят на другия. Това е връзка хъб-към-хъб, така че двата края се нуждаят от съвместима политика и работещ път помежду им.

Четете сесиите и политиката отделно

Изгледите на сесиите, MAC адресите и IP адресите описват как изглежда виртуалната мрежа в момента. Това са наблюдения, а не разрешения. Видимата в списъка сесия не получава с това право на всяка услуга, до която хъбът може да стигне, и обратното също важи.

Сравнете списъка със сесии с политиката, която трябва да се прилага към него. Устройство с адрес извън предвидения диапазон обикновено означава DHCP от друго място или ръчно конфигуриран клиент. MAC адрес, който се мести между сесии, означава преместено устройство или две устройства, споделящи идентичност. И двете заслужават поглед и нито едно не се доказва само от таблицата.

На сървъра vpncmd показва същата картина от гледна точка на хоста. Сравнете този изход със собствения изглед на клиента, когато двете не съвпадат.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Третирайте администрирането на хъб като отделна роля, а не като разрешение на клиент. Делегирането на един хъб не бива да предава слушателите или процеса, който хоства всеки друг хъб.

Проверете клиента след присъединяване

От страна на клиента установената сесия доказва само, че удостоверяването и името на хъба са приети. Потвърдете адреса, маршрута и разрешаването на имена отделно, защото всяко от тях може да се провали, след като хъбът приеме сесията.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Списъкът с адреси показва дали адаптерът е получил наем от предвидения източник. Заявката за маршрут показва кой интерфейс би понесъл частна дестинация, а заявката към resolver показва дали DNS е последвал сесията. Хъб, който препраща пакети, докато DNS все още сочи към локалната мрежа, създава класическата полуработеща връзка.

Тествайте приложението, а не връзката. Зареждаща се интранет страница е по-силно доказателство от адаптер с правдоподобен адрес.