SoftEther SecureNAT: το DHCP και το NAT είναι δύο αποφάσεις

Το SecureNAT είναι ένα μόνο πλαίσιο ελέγχου που ενεργοποιεί δύο υπηρεσίες, και εκεί βρίσκεται η πηγή της περισσότερης σύγχυσης γύρω του. Ένας εικονικός διακομιστής DHCP δίνει στον πελάτη διεύθυνση, μάσκα, πύλη και συχνά έναν resolver. Ένα εικονικό NAT προωθεί πακέτα πέρα από αυτή την πύλη, χρησιμοποιώντας τη στοίβα δικτύου του ίδιου του κεντρικού υπολογιστή του διακομιστή. Στέκονται δίπλα δίπλα στη διαμόρφωση και αποτυγχάνουν ανεξάρτητα: ένας πελάτης μπορεί να έχει άψογη μίσθωση και καμία λειτουργική διαδρομή, ή λειτουργική διαδρομή με ρυθμίσεις που δείχνουν σε λάθος resolver. Ελέγξτε τα ως δύο αποφάσεις, και η διάγνωση γίνεται σύντομη.

Δύο υπηρεσίες πίσω από ένα πλαίσιο ελέγχου

Η πλευρά του εικονικού DHCP απαντά σε ένα ερώτημα διαμόρφωσης: ποιες ρυθμίσεις λαμβάνει αυτός ο πελάτης μέσα σε αυτόν τον εικονικό κόμβο. Η πλευρά του εικονικού NAT απαντά σε ένα ερώτημα προώθησης: όταν ένας πελάτης στέλνει ένα πακέτο σε διεύθυνση εκτός του κόμβου, ο διακομιστής το μεταφράζει και το προωθεί. Το πρώτο είναι τοπικό για τον κόμβο και δεν χρειάζεται ανάντη δίκτυο. Το δεύτερο εξαρτάται εξ ολοκλήρου από τον κεντρικό υπολογιστή.

Η εικονική διεπαφή κεντρικού υπολογιστή ανήκει στην πρώτη απόφαση, όχι στη δεύτερη. Η διεύθυνσή της, συχνά κάτι σαν 192.168.30.1 εξ ορισμού, είναι η πύλη που προσφέρει η υπηρεσία DHCP. Δεν είναι η δημόσια διεύθυνση ακρόασης του διακομιστή, και η σύγχυση των δύο παράγει κανόνες τείχους προστασίας και ρυθμίσεις πελάτη που στοχεύουν μηχάνημα το οποίο δεν υπάρχει σε εκείνο το δίκτυο.

Απόφαση 1: ποιος παρέχει τη διεύθυνση

Αν το εικονικό DHCP είναι ενεργό, οι πελάτες πρέπει να λαμβάνουν μίσθωση στη δεξαμενή που διαμορφώσατε, με την εικονική διεπαφή κεντρικού υπολογιστή ως πύλη και όποιον resolver δώσατε. Εξετάστε τη μίσθωση και όχι το κείμενο κατάστασης του πελάτη, γιατί το «συνδεδεμένο» περιγράφει τη σήραγγα και όχι την εκχώρηση διεύθυνσης:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Δύο τρόποι αποτυχίας αξίζει να τους ξέρετε πριν αποσφαλματώσετε οτιδήποτε άλλο. Ένας πελάτης με υπολειπόμενη στατική διεύθυνση από παλαιότερο σχεδιασμό θα την κρατήσει και θα αγνοήσει τη μίσθωση, κάτι που μοιάζει σαν το DHCP να αρνείται να απαντήσει. Και μια δεύτερη πηγή DHCP σε γεφυρωμένο τμήμα θα ανταγωνιστεί για τους ίδιους πελάτες, κάτι που παράγει διαλείπουσες διευθύνσεις και ουρά υποστήριξης που δεν μπορεί να αναπαραγάγει το πρόβλημα.

Οι επικαλυπτόμενες δεξαμενές ανήκουν επίσης εδώ. Αν η δεξαμενή του εικονικού DHCP επικαλύπτει το τοπικό υποδίκτυο του κεντρικού υπολογιστή ή τη δεξαμενή άλλου κόμβου, ο πελάτης παίρνει διεύθυνση που δρομολογείται αμφίσημα, και κάθε μεταγενέστερη δοκιμή είναι ασαφής.

Απόφαση 2: ποιος προωθεί πέρα από την εικονική πύλη

Με ενεργό το εικονικό NAT, η εξερχόμενη κίνηση από τον κόμβο μεταφράζεται από τον διακομιστή και αποστέλλεται μέσω του πίνακα δρομολόγησης του κεντρικού υπολογιστή. Αυτό σημαίνει ότι η αλυσίδα προώθησης είναι: πελάτης προς εικονική πύλη, εικονικό NAT προς στοίβα του κεντρικού υπολογιστή, στοίβα του κεντρικού υπολογιστή προς την προεπιλεγμένη διαδρομή της. Κάθε κρίκος μπορεί να αποτύχει χωρίς να αγγίξει τους άλλους, και τα ίχνη αποτυχίας διαφέρουν.

Δοκιμάστε τη δεύτερη απόφαση με κάτι που πρέπει να φύγει από τον κόμβο, όχι με κάτι τοπικό σε αυτόν. Το ping στην εικονική πύλη αποδεικνύει τον πρώτο κρίκο και τίποτε άλλο:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Αν η επίλυση ονομάτων λειτουργεί αλλά οι συνδέσεις σε δημόσια διεύθυνση αποτυγχάνουν, βρίσκεστε στην αλυσίδα προώθησης και όχι στο DHCP. Αν αποτυγχάνουν και τα δύο, ελέγξτε πρώτα τον resolver, γιατί ένας resolver που αποστέλλεται ως μη προσβάσιμη εσωτερική διεύθυνση θα κάνει μια λειτουργική διαδρομή να φαίνεται εντελώς χαλασμένη.

Η προώθηση του SecureNAT υλοποιείται από τη διεργασία του διακομιστή, όχι από τη διαδρομή προώθησης του πυρήνα που θα χρησιμοποιούσατε με μια γέφυρα. Αυτό είναι βολικό και πιο αργό από τη γεφύρωση, και σημαίνει επίσης ότι οι κανόνες τείχους προστασίας και οι αποφάσεις δρομολόγησης του κεντρικού υπολογιστή εξακολουθούν να ισχύουν για τη μεταφρασμένη κίνηση. Το εικονικό NAT δεν παρακάμπτει την πολιτική του κεντρικού υπολογιστή· τη χρησιμοποιεί.

Η δική του διαδρομή του κεντρικού υπολογιστή είναι τρίτο ζήτημα

Όλα τα παραπάνω προϋποθέτουν ότι ο κεντρικός υπολογιστής του διακομιστή μπορεί να φτάσει στον προορισμό. Ένας κεντρικός υπολογιστής χωρίς λειτουργική ανάντη διαδρομή, με περιοριστική εξερχόμενη πολιτική ή με οικογένεια διευθύνσεων που δεν διαθέτει θα αποτύχει στη δεύτερη απόφαση, όσο σωστή κι αν είναι η διαμόρφωση του κόμβου. Ελέγξτε τον κεντρικό υπολογιστή χωριστά, έξω από τη σήραγγα, πριν αποδώσετε την αποτυχία του στο SoftEther.

Το SecureNAT επίσης δεν είναι εξουσιοδότηση πρόσβασης σε κάθε δίκτυο συνδεδεμένο με τον διακομιστή. Μεταφράζει και προωθεί την κίνηση που φτάνει σε αυτό· το να αποφασίσετε τι επιτρέπεται να φτάσει ο κεντρικός υπολογιστής παραμένει δουλειά του τείχους προστασίας και της δρομολόγησής του, και ένας σχεδιασμός που βασίζεται στη σήραγγα για να δώσει πρόσβαση απέχει έναν κακό κανόνα από το να δώσει πάρα πολλά.

Οι οικογένειες διευθύνσεων αξίζουν δικό τους έλεγχο. Ένα λειτουργικό παράδειγμα DHCP για IPv4 δεν αποδεικνύει ότι κάθε δυνατότητα IPv6 υπάρχει στην κατασκευή σας, οπότε διαβάστε το εγχειρίδιο για την έκδοση που εκτελείτε πραγματικά πριν υποσχεθείτε συμπεριφορά διπλής στοίβας. Η ενότητα SecureNAT του εγχειριδίου καλύπτει τις εικονικές λειτουργίες NAT και DHCP για την τρέχουσα έκδοση.

Ελέγξτε κάθε απόφαση με τη δική της δοκιμή

Δεχτείτε την πρώτη απόφαση με έλεγχο μίσθωσης: διεύθυνση στη δεξαμενή, πύλη ίση με την εικονική διεπαφή κεντρικού υπολογιστή, resolver αυτός που διαμορφώσατε. Δεχτείτε τη δεύτερη με ένα εξερχόμενο αίτημα από τον πελάτη και μια ματιά στον πίνακα NAT του διακομιστή, γιατί ο αυξανόμενος αριθμός συνεδριών είναι η μόνη άμεση απόδειξη ότι η μετάφραση συμβαίνει και όχι απλώς ότι είναι ενεργοποιημένη.

Στη συνέχεια καταγράψτε τον διαχωρισμό στο σημείωμα σχεδιασμού: ποιο στοιχείο παρέχει τη διεύθυνση, ποιο στοιχείο προωθεί και από ποια διεπαφή κεντρικού υπολογιστή βγαίνει η κίνηση. Όταν μια επανεκκίνηση αλλάξει συμπεριφορά, αυτό το σημείωμα σας λέει ποιο από τα τρία να εξετάσετε αντί να επανεκκινήσετε τα πάντα ελπίζοντας να μετακινηθεί το σύμπτωμα.

Μια ακόμη απόφαση ανήκει στο αρχείο, ακόμη κι αν δεν την παίρνετε σήμερα: το SecureNAT και μια τοπική γέφυρα είναι διαφορετικοί σχεδιασμοί για τον ίδιο κόμβο, και ένας κόμβος που χρειάζεται και τα δύο είναι κόμβος που χρειάζεται άλλο σχέδιο. Επιλέξτε συνειδητά, σημειώστε το γιατί, και ο επόμενος δεν θα χρειαστεί να το ανακατασκευάσει αντίστροφα από μια διαμόρφωση σε λειτουργία.