SoftEther SecureNAT: DHCP eta NAT bi erabaki dira

SecureNAT bi zerbitzu pizten dituen lauki bakarra da, eta hor dago hari buruzko nahasmen gehienaren iturria. DHCP zerbitzari birtual batek helbidea, maskara, atebidea eta askotan ebazle bat ematen dizkio bezeroari. NAT birtual batek paketeak ate horretatik harago bideratzen ditu, zerbitzariaren ostalariaren beraren sare-pila erabiliz. Konfigurazioan elkarren ondoan daude eta modu independentean huts egiten dute: bezeroak errentamendu ezin hobea eta laneko biderik ez izan dezake, edo laneko bidea ebazle okerrera seinalatzen duten ezarpenekin. Bi erabaki gisa egiaztatu, eta diagnostikoa laburra bihurtzen da.

Zerbitzu bi lauki baten atzean

DHCP alde birtualak konfigurazio-galdera bati erantzuten dio: zein ezarpen jasotzen dituen bezero honek hub birtual honen barruan. NAT alde birtualak birbidaltze-galdera bati erantzuten dio: bezeroak hub-etik kanpoko helbide batera pakete bat bidaltzen duenean, zerbitzariak itzuli eta birbidaltzen duen. Lehena hub-arentzat lokala da eta ez du goi-konexiorik behar. Bigarrena ostalariaren mende dago erabat.

Ostalari interfaze birtuala lehen erabakiari dagokio, ez bigarrenari. Bere helbidea, sarritan 192.168.30.1 bezalako zerbait lehenespenez, DHCP zerbitzuak eskaintzen duen atea da. Ez da zerbitzariaren entzute-helbide publikoa, eta biak nahasteak suebaki-arauak eta bezero-ezarpenak sortzen ditu sare horretan existitzen ez den makina batera zuzenduta.

1. erabakia: nork ematen duen helbidea

DHCP birtuala gaituta badago, bezeroek zuk konfiguratutako multzoan errentamendua jaso beharko lukete, ostalari interfaze birtuala atetzat eta zuk eman duzun ebazlea hartuta. Aztertu errentamendua, ez bezeroaren egoera-testua, «konektatuta» tunelean ari baita, ez helbide-esleipenean:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Huts egiteko bi modu ezagutzea merezi du beste ezer araztu aurretik. Aurreko diseinu bateko helbide estatiko hondar bat duen bezeroak hura gordeko du eta errentamendua alde batera utziko du, eta horrek DHCP erantzuteari uko egiten ariko balitz bezala dirudi. Eta segmentu zubitu bateko bigarren DHCP iturri batek bezero berberak lehiatuko ditu, eta horrek tartekako helbideak eta problema erreproduzitu ezin duen laguntza-ilara sortzen ditu.

Gainjartzen diren multzoak ere hemen sartzen dira. DHCP birtualaren multzoak ostalariaren LAN azpisarea edo beste hub baten multzoa gainjartzen badu, bezeroak anbiguoki bideratzen den helbidea jasotzen du, eta ondorengo proba guztiak ez dira erabakigarriak.

2. erabakia: nork birbidaltzen duen ate birtualetik harago

NAT birtuala gaituta dagoenean, hub-etik irteten den trafikoa zerbitzariak itzultzen du eta ostalariaren bideratze-taulatik bidaltzen da. Horrek esan nahi du birbidaltze-katea hau dela: bezeroa ate birtualera, NAT birtuala ostalariaren pilara, ostalariaren pila bere lehenespenezko bidera. Esteka bakoitzak huts egin dezake besteak ukitu gabe, eta hutsegite-seinaleak desberdinak dira.

Probatu bigarren erabakia hub-a utzi behar duen zerbait erabiliz, ez harekiko lokala den zerbait. Ate birtualari ping egiteak lehen esteka frogatzen du eta ez gehiago:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Izen-ebazpenak funtzionatzen badu baina helbide publiko baterako konexioek huts egiten badute, birbidaltze-katean zaude, ez DHCPn. Biak huts egiten badute, egiaztatu ebazlea lehenengo, barne-helbide iristezin gisa bidalitako ebazle batek laneko bidea erabat hautsita ikusaraziko baitu.

SecureNATen birbidaltzea zerbitzariaren prozesuak inplementatzen du, zubi batekin erabiliko zenukeen kernelaren birbidaltze-bideak, ordea, ez. Hori erosoagoa da eta zubikatzea baino motelagoa, eta ostalariaren beraren suebaki-arauak eta bideratze-erabakiak itzulitako trafikoari aplikatzen zaizkiola ere esan nahi du. NAT birtualak ez du ostalariaren politika saihesten; erabiltzen du.

Ostalariaren beraren bidea hirugarren kontua da

Goiko guztiak zerbitzari-ostalariak helmugara irits daitekeela suposatzen du. Igoera-bide laneko bat ez duen, irteera-politika murriztailea duen edo ostalariak ez duen helbide-familia bat duen ostalari batek bigarren erabakian huts egingo du, hub-konfigurazioa zein zuzena den ere. Egiaztatu ostalaria bere kabuz, tuneletik kanpo, bere hutsegitea SoftEtherren gain egotzi aurretik.

SecureNAT ez da zerbitzariari lotutako sare guztietara iristeko baimena ere. Beragana iristen den trafikoa itzuli eta birbidaltzen du; ostalariak zerk irits dezakeen erabakitzea ostalariaren suebaki eta bideratze-lana da oraindik ere, eta sarbidea emateko tunelean fidatzean oinarritzen den diseinua arau txar bat besterik ez dago gehiegi ematetik.

Helbide-familiek beren egiaztapena merezi dute. IPv4 DHCP adibide batek ondo funtzionatzeak ez du frogatzen zure konpilazioan IPv6 gaitasun guztiak daudenik, beraz irakurri benetan exekutatzen duzun bertsioaren eskuliburua, pila bikoitzaren portaera agindu aurretik. Eskuliburuaren SecureNAT atalak NAT eta DHCP funtzio birtualak hartzen ditu bertsio honetarako.

Egiaztatu erabaki bakoitza bere probarekin

Onartu lehen erabakia errentamendu-egiaztapenarekin: helbidea multzoan, atea ostalari interfaze birtualaren berdina, ebazlea zuk konfiguratutakoa. Onartu bigarrena bezeroaren irteera-eskaera batekin eta zerbitzariko NAT taulari begirada batekin, hazten ari den saio-kopurua baita itzulpena gertatzen ari dela frogatzen duen froga zuzen bakarra, gaituta egotea soilik baino.

Gero, idatzi banaketa diseinu-oharrean: zein osagairek ematen duen helbidea, zein osagairek birbidaltzen duen eta zein ostalari interfazetik ateratzen den trafikoa. Berrabiarazte batek portaera aldatzen duenean, ohar horrek hiruretako zein aztertu behar duzun esango dizu, dena berrabiarazi eta sintoma mugituko delakoan itxaron beharrean.

Beste erabaki bat ere erregistroan sartzen da, gaur hartzen ez baduzu ere: SecureNAT eta zubi lokal bat hub beraren diseinu desberdinak dira, eta biak behar dituen hub bat beste plan bat behar duen hub bat da. Aukeratu kontzienteki, idatzi zergatik, eta hurrengo pertsonak ez du martxan dagoen konfigurazio batetik alderantziz ingeniaritza egin beharko.