SoftEther SecureNAT: mae DHCP a NAT yn ddau benderfyniad

Mae SecureNAT yn un blwch ticio sy’n cychwyn dwy wasanaeth, a dyna ffynhonnell y rhan fwyaf o’r dryswch yn ei gylch. Mae gweinydd DHCP rhithwir yn rhoi cyfeiriad, mwgwd, porth a datryswr yn aml i’r cleient. Mae NAT rhithwir yn anfon pecynnau heibio’r porth hwnnw gan ddefnyddio stac rhwydwaith y gwesteiwr ei hun. Maent yn sefyll ochr yn ochr yn y ffurfweddiad ac yn methu’n annibynnol: gall cleient gael prydles berffaith a dim llwybr gweithredol, neu lwybr gweithredol gyda gosodiadau sy’n pwyntio at y datryswr anghywir. Gwirio’r ddau fel dau benderfyniad, a daw’r diagnosis yn fyr.

Dwy wasanaeth y tu ôl i un blwch ticio

Mae ochr DHCP rhithwir yn ateb cwestiwn ffurfweddiad: pa osodiadau mae’r cleient hwn yn eu cael y tu mewn i’r hwb rhithwir hwn. Mae ochr NAT rhithwir yn ateb cwestiwn anfon ymlaen: pan fydd cleient yn anfon pecyn i gyfeiriad y tu allan i’r hwb, a yw’r gweinydd yn ei gyfieithu ac yn ei anfon ymlaen. Mae’r cyntaf yn lleol i’r hwb ac nid oes angen rhwydwaith uwchraddol arno. Mae’r ail yn dibynnu’n llwyr ar y gwesteiwr.

Mae’r rhyngwyneb gwesteiwr rhithwir yn perthyn i’r penderfyniad cyntaf, nid yr ail. Ei gyfeiriad, yn aml rhywbeth fel 192.168.30.1 yn ddiofyn, yw’r porth y mae’r gwasanaeth DHCP yn ei gynnig. Nid yw’n gyfeiriad gwrando cyhoeddus y gweinydd, ac mae drysu’r ddau yn cynhyrchu rheolau mur tân a gosodiadau cleient sy’n anelu at beiriant nad yw’n bodoli ar y rhwydwaith hwnnw.

Penderfyniad 1: pwy sy’n darparu’r cyfeiriad

Os yw’r DHCP rhithwir wedi’i alluogi, dylai cleientiaid gael prydles yn y pwll a ffurfweddwyd gennych, gyda’r rhyngwyneb gwesteiwr rhithwir fel porth a’r datryswr a ddarparwyd gennych. Archwiliwch y brydles yn hytrach na thestun statws y cleient, oherwydd mae «wedi cysylltu» yn disgrifio’r twnnel ac nid y neilltuad cyfeiriad:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Mae dau fodd methu yn werth eu gwybod cyn i chi ddadfygio unrhyw beth arall. Bydd cleient sydd â chyfeiriad statig dros ben o gynllun blaenorol yn ei gadw ac yn anwybyddu’r brydles, sy’n edrych fel petai DHCP yn gwrthod ateb. A bydd ail ffynhonnell DHCP ar segment pontiog yn cystadlu am yr un cleientiaid, sy’n cynhyrchu cyfeiriadau ysbeidiol a chiw cymorth na all atgynhyrchu’r broblem.

Mae pyllau sy’n gorgyffwrdd yn perthyn yma hefyd. Os yw pwll y DHCP rhithwir yn gorgyffwrdd ag is-rwydwaith LAN y gwesteiwr neu â phwll hwb arall, mae’r cleient yn cael cyfeiriad sy’n llwybro’n amwys, ac mae pob prawf diweddarach yn anghyfrifiadwy.

Penderfyniad 2: pwy sy’n anfon heibio’r porth rhithwir

Gyda’r NAT rhithwir wedi’i alluogi, mae traffig allan o’r hwb yn cael ei gyfieithu gan y gweinydd ac yn cael ei anfon trwy dabl llwybro’r gwesteiwr. Mae hynny’n golygu mai’r gadwyn anfon yw: cleient i’r porth rhithwir, NAT rhithwir i stac y gwesteiwr, stac y gwesteiwr i’w lwybr diofyn. Gall pob dolen fethu heb gyffwrdd â’r lleill, ac mae llofnodion y methiant yn wahanol.

Profwch yr ail benderfyniad gyda rhywbeth sy’n rhaid iddo adael y hwb, nid â rhywbeth lleol iddo. Mae pingo’r porth rhithwir yn profi’r ddolen gyntaf a dim mwy:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Os yw datrys enwau’n gweithio ond bod cysylltiadau â chyfeiriad cyhoeddus yn methu, rydych yn y gadwyn anfon yn hytrach nag yn DHCP. Os yw’r ddau’n methu, gwiriwch y datryswr yn gyntaf, oherwydd bydd datryswr a wthir fel cyfeiriad mewnol anghyraeddadwy yn gwneud llwybr gweithredol i edrych yn gwbl wedi torri.

Mae proses y gweinydd yn gweithredu anfon ymlaen SecureNAT, nid y llwybr anfon ymlaen yn y cnewyllyn a fyddech yn ei ddefnyddio gyda phont. Mae hynny’n gyfleus ac yn arafach na phontio, ac mae hefyd yn golygu bod rheolau mur tân a phenderfyniadau llwybro’r gwesteiwr ei hun yn dal i fod yn berthnasol i’r traffig a gyfieithwyd. Nid yw’r NAT rhithwir yn osgoi polisi’r gwesteiwr; mae’n ei ddefnyddio.

Mae llwybr y gwesteiwr ei hun yn drydedd beth

Mae popeth uchod yn tybio y gall gwesteiwr y gweinydd gyrraedd y cyrchfan. Bydd gwesteiwr heb lwybr uwchraddol gweithredol, â pholisi allan cyfyngol, neu â theulu cyfeiriad nad yw ganddo yn methu’r ail benderfyniad waeth pa mor gywir yw ffurfweddiad yr hwb. Gwiriwch y gwesteiwr ar ei ben ei hun, y tu allan i’r twnnel, cyn priodoli ei fethiant i SoftEther.

Nid yw SecureNAT chwaith yn awdurdodiad i gyrraedd pob rhwydwaith sydd ynghlwm wrth y gweinydd. Mae’n cyfieithu ac yn anfon ymlaen y traffig sy’n cyrraedd ato; mae penderfynu beth y caiff y gwesteiwr ei gyrraedd yn parhau i fod yn waith mur tân a llwybro’r gwesteiwr, ac mae cynllun sy’n dibynnu ar y twnnel i roi mynediad un rheol ddrwg oddi wrth roi gormod.

Mae teuluoedd cyfeiriad yn haeddu eu gwiriad eu hunain. Nid yw enghraifft DHCP IPv4 weithredol yn profi bod pob gallu IPv6 yn bresennol yn eich adeiladwaith, felly darllenwch y llawlyfr ar gyfer y fersiwn rydych yn ei rhedeg mewn gwirionedd cyn addo ymddygiad deu-stac. Mae adran SecureNAT o’r llawlyfr yn ymdrin â swyddogaethau NAT a DHCP rhithwir ar gyfer y rhyddhau cyfredol.

Gwirio pob penderfyniad gyda’i brawf ei hun

Derbyniwch y penderfyniad cyntaf gyda gwiriad prydles: cyfeiriad yn y pwll, porth yn hafal i’r rhyngwyneb gwesteiwr rhithwir, datryswr yr un a ffurfweddwyd gennych. Derbyniwch yr ail gyda chais allan o’r cleient a chip ar dabl NAT y gweinydd, oherwydd cynnydd yn nifer y sesiynau yw’r unig dystiolaeth uniongyrchol bod cyfieithu’n digwydd yn hytrach na dim ond bod wedi’i alluogi.

Yna cofnodwch y rhaniad yn y nodyn cynllun: pa gydran sy’n darparu’r cyfeiriad, pa gydran sy’n anfon ymlaen, a pha ryngwyneb gwesteiwr y mae’r traffig yn gadael drwyddo. Pan fydd ailgychwyn yn newid ymddygiad, mae’r nodyn hwnnw’n dweud wrthych pa un o’r tri i’w archwilio yn lle ailgychwyn popeth a gobeithio y bydd y symptom yn symud.

Mae un penderfyniad arall yn perthyn i’r cofnod, hyd yn oed os nad ydych yn ei wneud heddiw: mae SecureNAT a phont leol yn gynlluniau gwahanol ar gyfer yr un hwb, ac mae hwb sy’n galw am y ddau yn hwb sy’n galw am gynllun gwahanol. Dewiswch yn fwriadol, nodwch pam, ac ni fydd yn rhaid i’r person nesaf ei wrthbeiriannu o ffurfweddiad sy’n rhedeg.