SoftEtheri kohalik sild versus SecureNAT: kumba sisse lülitada

Avage SoftEther Manager, ja esimene tõeline otsus jaoturi kohta ei ole märkeruut, vaid topoloogia küsimus. Kohalik sild ühendab selle jaoturi füüsilise adapteriga ja laseb olemasoleval segmendil aadressid anda, samas kui SecureNAT annab jaoturile oma virtuaalse ruuteri, NAT-i ja DHCP. Nende vahel valimine muudab, kust aadressid tulevad ja milline seade nende eest vastab. Mõlema sisselülitamine ja lootmine, et üks võidab, on viis, kuidas töötav labor muutub tugiteemaks.

Alustage jaoturist, mida te tegelikult muudate

Manager näitab serverite ja jaoturite puud, ja vaikejaoturit on lihtne seadistada, samal ajal kui kliendid ühenduvad teise, erineva nimega jaoturiga. Klõpsake jaoturil, lugege selle nime ja kinnitage, et allpool loetletud sessioonid on need kliendid, keda te teenindada tahate. See üks kontroll hoiab ära suurema osa segadusest, mille hiljem protokolli süüks pannakse.

Seejärel otsustage, mida klient kaugemast otsast vajab. Ühine Etherneti käitumine ringhäälingu ja LAN-teenustega viitab sillale, marsruuditud privaatne juurdepääs väikesele aadressivahemikule viitab SecureNAT-ile, ja internetiväljund on marsruutimisotsus, mida kumbki lahendus võib halvasti kanda.

Kirjutage vastus üles enne, kui midagi klõpsate, sest need kaks seadet ei ole vahetatavad ja tagasivõtmine võtab kauem kui otsustamine. Kaks minutit kirjutamist säästab tunni ühenduse taastamist.

Mida kohalik sild aadressidega teeb

Kohalik sild ühendab jaoturi füüsilise adapteriga, nii et jaoturist saab selle Etherneti segmendi osa. Kliendid saavad aadressid sellelt, mis segmenti juba teenindab, ja nende lüüsiks on segmendi ruuter. Kliendi vaatepunktist on ta liitunud kontori LAN-iga, kogu selle kättesaadavuse ja kogu selle avatusega, mida see tähendab.

See tähendab ka, et sild vajab päris adapterit õige draiveri toega, ja administraatoril peab olema luba seda segmenti laiendada. VPN-i sisselogimine tõestab autentimist, mitte õigust panna host tootmis-VLAN-i. Kontrollige, et draiveri nimi vastab kavatsetud adapterile, sest vale pordi sillutamine võtab segmendi kiiresti maha. Kui adapterite loend on tühi või sild teatab veast, on põhjus tavaliselt seotud draiveri või õigustega, mitte krüptograafiaga.

Lugege sillatabelit käsurealt, kui graafiline puu on mitmetähenduslik. Väljund nimetab adapteri, mida puu alati ei tee.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Tühi sillaloend ühendatud sessioonidega on kasulik pilt: kliendid on virtuaalse jaoturi sees ja miski ei laienda seda veel segmendile.

Mida SecureNAT lisab ja mida peidab

SecureNAT annab jaoturile virtuaalse ruuteri, NAT-funktsiooni ja DHCP-teenuse, kõik SoftEtheri protsessi sees. Kliendid saavad aadressid virtuaalsest DHCP-vahemikust, virtuaalne ruuter vastab vaikelüüsi eest ja välja minev liiklus tõlgitakse. Füüsiline adapter ei osale, mistõttu see töötab hostil ühe võrgukaardi ja ilma lüliti seadistuseta.

Hind on see, et virtuaalsed aadressid kuuluvad jaoturile ja mitte millelegi muule. Kontori LAN-is olev masin ei saa ilma abita marsruutida kliendi SecureNAT-aadressile, ja kõik, mis logib lähteaadresse, näeb SoftEtheri hosti tõlgitud aadressi. Kui teie juurdepääsureeglid või auditijälg sõltuvad kliendi tegelikust aadressist, on see disainimuudatus, mitte detail. See otsustab ka, kas lähteaadressi reegel üldse kunagi klienti näeb.

See on ka DHCP-server. Selle käivitamine segmendis, kus üks juba on, või selle segmendi sillutamine samal ajal annab kaks vastajat ja ettearvamatud liisingud. Käsiraamat käsitleb neid kahte funktsiooni eraldi valikutena just sel põhjusel.

Uurige, mida jaotur praegu teenindab, enne kui midagi muud lubate. Iga käsk trükib praeguse oleku, mitte kavatsetu.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Ühe sisselülitamine teist rikkumata

Valige lahendus, lubage see ja jätke teine välja. Jaotur, millel on korraga nii sild kui SecureNAT, on jaotur kahe võimaliku vastusega samale küsimusele, ja klient usub seda, mis jõuab esimesena. Kui liigute ühelt teisele, lülitage vana funktsioon välja ja ühendage klient uuesti, selle asemel et eeldada, et uus seade mõjub olemasolevale sessioonile.

Järjestage muudatus nii, et kliendikogum ei kattuks LAN-i vahemikuga. Kattuvad alamvõrgud on teine kõige levinum põhjus tunnelil, mis ühendub ja siis ei jõua kuhugi, ja need on nähtamatud, kuni võrdlete mõlemat aadressiplaani kõrvuti.

Seejärel ühendage kliendist uuesti ja lugege, mida see sai, sest jaoturi vaade sessioonile ei ole kliendi vaade oma võrgule. Ühenduse taastamine on ainus usaldusväärne viis uue liisingu väljapressimiseks.

Kontrollige kliendis lüüsi ja resolverit

Edukas autentimine ütleb, et volitused töötavad ja jaotur võttis sessiooni vastu. See ei ütle midagi selle kohta, kas klient kuhugi jõuab, sest see sõltub aadressist, maskist, lüüsist ja DNS-serverist, mille ta sai. Lugege need neli väärtust kliendis, enne kui serveri seadet uuesti puutute.

Windowsis näitab adapteri detail liisingut ja resolverit, ning marsruuditabel näitab, kas tunnel on tõesti vaikimisi tee.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Linuxi kliendis tulevad samad andmed aadresside, marsruutide ja resolveri failidest. Vaikimisi marsruut on väärtus, mis otsustab, kas liiklus üldse tunnelist väljub. Kui lüüs osutab kontori ruuterile, samal ajal kui tunnel loodab liiklust kanda, on topoloogia nime poolest sillatud ja praktikas katki. Parandage esmalt aadresside allikas, testige seejärel rakendust uuesti ja alles siis kaaluge teise režiimi muutmist.