SoftEther πίσω από NAT: άμεση διάσχιση ή ρελέ VPN Azure;

Ο διακομιστής SoftEther σας βρίσκεται πίσω από έναν δρομολογητή παρόχου που δεν μπορείτε να αλλάξετε, και οι πελάτες συνδέονται ακόμη, οπότε υποθέτετε ότι ένα ρελέ μεταφέρει τα πάντα. Το αν αυτό ισχύει εξαρτάται από το ποιος μηχανισμός έκανε τη δουλειά: ένα όνομα DNS, μια συντονισμένη διαδρομή UDP ή μια εξερχόμενη σήραγγα προς ρελέ. Και τα τρία μπορούν να δώσουν συνδεδεμένο πελάτη και αποτυγχάνουν υπό διαφορετικές συνθήκες. Αποφασίστε ποια διαδρομή αγοράζετε πριν αγγίξετε χρήστες ή κόμβους.

Τρεις μηχανισμοί, τρεις διαφορετικές υποσχέσεις

Το δυναμικό DNS είναι ονοματοδοσία. Κρατά ένα όνομα κεντρικού υπολογιστή στραμμένο σε διεύθυνση που αλλάζει ώστε να σταματήσουν οι άνθρωποι να κυνηγούν τον αριθμό, και δεν κάνει τίποτε άλλο. Η εγγενής διάσχιση NAT είναι συντονισμός: δύο άκρα SoftEther ανταλλάσσουν πληροφορίες και προσπαθούν να ανοίξουν μια χρησιμοποιήσιμη διαδρομή UDP μέσα από τις συσκευές μετάφρασης ανάμεσά τους. Το VPN Azure είναι ρελέ: ο διακομιστής καλεί προς την υπηρεσία, και οι πελάτες φτάνουν μέσω ονόματος κεντρικού υπολογιστή στην υποδομή του ρελέ.

Τα τρία είναι συμπληρωματικά και όχι εκδόσεις μιας λειτουργίας. Μια εγκατάσταση μπορεί να χρησιμοποιεί ονοματοδοσία ενώ η σύνδεσή της εξαρτάται στην πραγματικότητα από τη διάσχιση ή από το ρελέ.

Αποφασίστε από τον πελάτη και το δίκτυο

Η επιλογή ξεκινά από τον πελάτη, γιατί η διάσχιση υπάρχει μόνο στον εγγενή μηχανισμό σύνδεσης του SoftEther. OpenVPN, L2TP/IPsec και ακροατές SSTP στον ίδιο διακομιστή δεν την κληρονομούν, αν και μοιράζονται έναν κεντρικό υπολογιστή. Δείτε τι θα εκτελέσει ο χρήστης και μετά τι επιτρέπει το δίκτυο. Ένα εταιρικό δίκτυο που επιτρέπει μόνο TCP 443 σας σπρώχνει προς ρελέ σε αυτή τη θύρα, ενώ ένα δίκτυο που περνά τις θύρες UDP που χρειάζεται η διάσχιση μπορεί να δοκιμάσει άμεση διαδρομή· επιβεβαιώστε και τα δύο απέναντι στην πραγματική πολιτική εξόδου.

Ένας ακροατής προσβάσιμος με το χέρι παραμένει έγκυρος σχεδιασμός όταν ένας διαχειριστής μπορεί να δημοσιεύσει έναν, αλλά είναι ξεχωριστό έργο με δική του διευθυνσιοδότηση και εργασία τείχους προστασίας.

Επιβεβαιώστε ποια μεταφορά επέλεξε η συνεδρία

Η κατάσταση σύνδεσης είναι η μόνη έντιμη πηγή για τη διαδρομή που χρησιμοποιείται. Διαβάστε την στον διακομιστή και επιλύστε το όνομα κεντρικού υπολογιστή που έλαβε ο πελάτης.

vpncmd /SERVER localhost /HUB VPN /CMD:SessionList
vpncmd /SERVER localhost /HUB VPN /CMD:SessionGet <session-name>
nslookup alice.vpnazure.net

Το SessionList δείχνει ποιες συνεδρίες είναι συνδεδεμένες, και το SessionGet σε μία από αυτές αναφέρει τον τύπο σύνδεσης, συμπεριλαμβανομένου του αν η συνεδρία έφτασε μέσω του ρελέ. Μια εγγραφή που επιλύεται σε υποδομή ρελέ σας λέει ότι η συνεδρία περνά από τρίτο μέρος, κάτι που μπορείτε να επιβεβαιώσετε μπλοκάροντας αυτή τη διαδρομή σε μια δοκιμή. Με εγγενή πελάτη, η επιτάχυνση UDP μπορεί να απομακρύνει τη διαδρομή δεδομένων από τη διαδρομή ελέγχου, οπότε μία παρατήρηση δεν περιγράφει ολόκληρη τη συνεδρία. Ένα ξεπερασμένο δυναμικό όνομα DNS μετά από αλλαγή διεύθυνσης και ένα ρελέ που απαντά ενώ λείπει η διαδρομή προς το backend είναι δύο τρόποι αποτυχίας που αξίζει να δοκιμαστούν χωριστά. Καταγράψτε τι μετρήσατε, όχι τι σκόπευε ο σχεδιασμός.

Σχεδιάστε με βάση το τι εξαρτάται η επιλεγμένη διαδρομή

Κάθε διαδρομή κουβαλά μια εξάρτηση. Μια άμεση διάσχιση μπορεί να αλλάξει μετά από μετάβαση δικτύου ή νέα συσκευή μετάφρασης, ενώ μια συνεδρία ρελέ αποτυγχάνει όταν αποτύχει η υπηρεσία ή η προσβάσιμη θύρα της. Επανασυνδεθείτε από άλλο δίκτυο και επιβεβαιώστε την ταυτότητα διακομιστή που επαλήθευσε ο πελάτης, κρατώντας τη διαδρομή που προηγουμένως λειτουργούσε στην ίδια δοκιμή. Μετά δοκιμάστε τον ιδιωτικό πόρο πίσω από το VPN, γιατί η εξουσιοδότηση, η ιδιότητα μέλους κόμβου, η εκχώρηση διευθύνσεων και οι διαδρομές επιστροφής παραμένουν δική σας ευθύνη και στις δύο περιπτώσεις.

Γράψτε το όνομα κεντρικού υπολογιστή, το πρωτόκολλο, τις ρυθμίσεις της λειτουργίας και τη μεταφορά που παρατηρήσατε. Αυτή η τετραμερής καταγραφή είναι αυτό που επιτρέπει στον επόμενο να αναπαράγει μια λειτουργική σύνδεση.