Pont local de SoftEther o SecureNAT: quin cal activar

Obriu el SoftEther Manager i la primera decisió real sobre un hub no és una casella de verificació, sinó una qüestió de topologia. Un pont local connecta aquest hub a un adaptador físic i deixa que el segment existent proporcioni l'adreçament, mentre que SecureNAT dona al hub el seu propi encaminador virtual, NAT i DHCP. Triar entre tots dos canvia d'on vénen les adreces i quin dispositiu respon per elles. Activar tots dos i esperar que un guanyi és com un laboratori que funciona es converteix en un fil de suport.

Comenceu pel hub que esteu editant de debò

El Manager mostra un arbre de servidors i hubs, i és fàcil configurar el hub per defecte mentre els clients es connecten a un altre amb un nom diferent. Feu clic al hub, llegiu-ne el nom i confirmeu que les sessions que hi ha a sota són els clients que voleu atendre. Aquesta única comprovació evita la major part de la confusió que després s'atribueix al protocol.

Després decidiu què necessita el client de l'extrem remot. Un comportament Ethernet compartit amb difusió i serveis de LAN apunta a un pont, l'accés privat encaminat a un rang petit d'adreces apunta a SecureNAT, i una sortida a internet és una decisió d'encaminament que qualsevol de les dues disposicions pot portar malament.

Escriviu la resposta abans de fer clic a res, perquè els dos paràmetres no són intercanviables i desfer-ho triga més que decidir. Dos minuts d'escriptura estalvien una hora de reconnexions.

Què fa un pont local a l'adreçament

Un pont local connecta el hub a un adaptador físic, així que el hub passa a formar part d'aquell segment Ethernet. Els clients reben adreces d'allò que ja serveix el segment, i la seva porta d'enllaç és l'encaminador del segment. Des del punt de vista del client, s'ha unit a la LAN de l'oficina, amb tota l'abastabilitat i tota l'exposició que això implica.

Això també vol dir que el pont necessita un adaptador real amb el suport de controlador adequat i que l'administrador ha d'estar autoritzat a estendre aquell segment. Un inici de sessió VPN demostra autenticació, no el dret de col·locar un amfitrió en una VLAN de producció. Comproveu que el nom del controlador coincideixi amb l'adaptador que voleu, perquè fer pont al port equivocat fa caure un segment de seguida. Si la llista d'adaptadors és buida o el pont informa d'un error, la resposta normalment té a veure amb el controlador o els privilegis, no amb la criptografia.

Llegiu la taula de ponts des de la línia d'ordres quan l'arbre gràfic sigui ambigu. La sortida anomena l'adaptador, cosa que l'arbre no sempre fa.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Una llista de ponts buida amb sessions connectades és una imatge útil: els clients són dins del hub virtual i res no l'estén encara a cap segment.

Què afegeix SecureNAT i què amaga

SecureNAT dona al hub un encaminador virtual, una funció NAT i un servei DHCP, tot dins del procés de SoftEther. Els clients obtenen adreces del rang DHCP virtual, l'encaminador virtual respon per la porta d'enllaç per defecte i el trànsit que ha de sortir es tradueix. No hi intervé cap adaptador físic, i per això funciona en un amfitrió amb una sola targeta de xarxa i sense configuració de commutador.

El cost és que les adreces virtuals pertanyen al hub i a res més. Una màquina de la LAN de l'oficina no pot encaminar cap a l'adreça SecureNAT d'un client sense ajuda, i tot el que registra adreces d'origen veu l'adreça traduïda de l'amfitrió SoftEther. Si les vostres regles d'accés o la pista d'auditoria depenen de l'adreça real del client, això és un canvi de disseny, no un detall. També decideix si una regla d'adreça d'origen arribarà a veure el client.

També és un servidor DHCP. Executar-lo en un segment que ja en té un, o fer pont en aquell segment alhora, produeix dos responedors i concessions impredictibles. El manual tracta les dues funcions com a opcions separades exactament per aquest motiu.

Inspeccioneu què serveix ara mateix el hub abans d'activar res més. Cada ordre imprimeix l'estat actual, no el previst.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Activar-ne un sense trencar l'altre

Trieu la disposició, activeu-la i deixeu l'altra desactivada. Un hub amb pont i amb SecureNAT tots dos actius és un hub amb dues respostes possibles a la mateixa pregunta, i el client creurà la que arribi primer. Quan migrateu d'una a l'altra, desactiveu la funció antiga i torneu a connectar el client en lloc de suposar que el paràmetre nou actua sobre una sessió existent.

Ordeneu el canvi de manera que el pool de clients no se superposi amb el rang de la LAN. Les subxarxes superposades són la segona causa més habitual d'un túnel que es connecta i després no arriba enlloc, i són invisibles fins que compareu els dos plans d'adreçament costat per costat.

Després torneu a connectar des del client i llegiu què ha rebut, perquè la visió del hub sobre la sessió no és la visió del client sobre la seva pròpia xarxa. Tornar a connectar és l'única manera fiable de forçar una concessió nova.

Comproveu la porta d'enllaç i el resolutor al client

Una autenticació correcta us diu que les credencials funcionen i que el hub ha acceptat la sessió. No diu res sobre si el client pot arribar enlloc, perquè això depèn de l'adreça, la màscara, la porta d'enllaç i el servidor DNS que ha rebut. Llegiu aquests quatre valors al client abans de tocar cap altre paràmetre del servidor.

A Windows el detall de l'adaptador mostra la concessió i el resolutor, i la taula d'encaminament mostra si el túnel és realment el camí per defecte.

ipconfig /all
route print -4
nslookup intranet.corp.internal

En un client Linux la mateixa informació prové dels fitxers d'adreces, rutes i resolutor. La ruta per defecte és el valor que decideix si el trànsit surt o no pel túnel. Si la porta d'enllaç apunta a l'encaminador de l'oficina mentre el túnel espera portar el trànsit, la topologia està pontada de nom i trencada a la pràctica. Arregleu primer l'origen de les adreces, torneu a provar l'aplicació i només després plantegeu canviar l'altre mode.