Què connecta realment un hub virtual de SoftEther

El hub virtual de SoftEther és una frontera de pertinença dins d'un servidor, no una ubicació. Les sessions que s'uneixen al hub poden arribar a allò a què està connectat el hub, i les sessions d'un altre hub no poden, encara que totes dues s'autentiquin contra el mateix servidor. Per això un inici de sessió correcte encara pot posar un client a la xarxa equivocada. Llegir el hub com un commutador virtual aclareix què fa i què deixa a l'enllaç, l'encaminament i la configuració de cascada.

Un hub és una frontera de pertinença

Un servidor pot allotjar diversos hubs, cadascun amb els seus usuaris, sessions i política. L'autenticació estableix qui és la sessió, mentre que el hub decideix a quina xarxa virtual s'uneix aquesta sessió. Dos hubs en un mateix amfitrió es comporten, doncs, com dos commutadors separats que casualment comparteixen maquinari. Res en un inici de sessió correcte no implica que la sessió hagi arribat on volíeu.

Feu servir el nom de hub documentat per l'operador i no un nom recordat d'una captura de pantalla. Un client que s'uneix al hub equivocat arriba a una altra xarxa amb una credencial vàlida, cosa que és una troballa de configuració i no una bretxa de seguretat. Guardeu el nom del hub i la seva finalitat a les notes del perfil de connexió.

L'administració s'abasta de la mateixa manera. Un administrador de hub gestiona aquell hub, mentre que l'administrador del servidor gestiona el procés, els oients i tots els hubs de l'amfitrió.

Les connexions decideixen què hi ha més enllà

Un hub per si sol connecta les sessions entre elles. Arribar a qualsevol altra cosa depèn de com està connectat el hub: un pont local a una interfície física, un encaminador virtual o una cascada a un altre servidor. Cada connexió porta les seves pròpies regles de reenviament i les seves pròpies maneres de fallar. Suposar que un hub proporciona accés a internet és l'error més habitual sobre el producte.

SecureNAT és l'opció integrada, implementada amb un encaminador virtual i un servei DHCP virtual dins del servidor. És convenient per a un laboratori i incòmode per a tot el que necessiti adreçament o política previsibles. Un pont local posa el hub en un segment real, que hereta la commutació, el DHCP i el comportament de difusió d'aquell segment.

Una cascada enllaça dos servidors perquè les sessions d'un hub puguin aparèixer a l'altre. És una relació de hub a hub, així que els dos extrems necessiten una política compatible i un camí de treball entre ells.

Llegiu les sessions i la política per separat

Les vistes de sessions, adreces MAC i adreces IP descriuen com és ara la xarxa virtual. Són observacions, no permisos. Una sessió visible a la llista no queda per això autoritzada a tots els serveis a què pot arribar el hub, i també val la inversa.

Compareu la llista de sessions amb la política que hi hauria d'aplicar-se. Un dispositiu amb una adreça fora del rang previst normalment significa DHCP d'un altre lloc o un client configurat manualment. Una adreça MAC que es mou entre sessions significa un dispositiu migrat o dos dispositius que comparteixen una identitat. Tots dos valen una ullada, i cap dels dos no queda demostrat només per la taula.

Al servidor, vpncmd mostra la mateixa imatge des del punt de vista de l'amfitrió. Compareu aquesta sortida amb la vista pròpia del client sempre que les dues discrepin.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Tracteu l'administració del hub com un rol propi i no com un permís de client. Delegar un hub no hauria d'entregar els oients ni el procés que allotja tots els altres hubs.

Comproveu el client després d'unir-vos

Des del costat del client, una sessió establerta només demostra que l'autenticació i el nom del hub s'han acceptat. Confirmeu l'adreça, la ruta i la resolució de noms per separat, perquè cadascuna pot fallar després que el hub accepti la sessió.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

La llista d'adreces mostra si l'adaptador ha rebut una concessió de la font prevista. La consulta de ruta mostra quina interfície portaria una destinació privada, i la consulta al resolutor mostra si el DNS ha seguit la sessió. Un hub que reenvia paquets mentre el DNS encara apunta a la xarxa local produeix la clàssica connexió mig funcionant.

Proveu l'aplicació i no l'enllaç. Una pàgina d'intranet que carrega és una prova més forta que un adaptador amb una adreça plausible.