Mitä SoftEtherin virtuaalinen hubi oikeastaan yhdistää

SoftEtherin virtuaalinen hubi on jäsenyyden raja yhden palvelimen sisällä, ei sijainti. Hubiin liittyvät istunnot pääsevät siihen, mihin hubi on liitetty, ja toisen hubin istunnot eivät pääse, vaikka molemmat todennetaan samaa palvelinta vasten. Siksi onnistunut kirjautuminen voi silti sijoittaa asiakkaan väärään verkkoon. Hubin lukeminen virtuaalisena kytkimenä selventää, mitä se tekee ja mitä se jättää siltaukselle, reititykselle ja kaskadimääritykselle.

Hubi on jäsenyyden raja

Yksi palvelin voi ylläpitää useita hubeja, kullakin omat käyttäjät, istunnot ja käytäntö. Todennus määrittää, kuka istunto on, kun taas hubi päättää, mihin virtuaaliverkkoon kyseinen istunto liittyy. Kaksi hubia samalla isännällä käyttäytyvät siis kuin kaksi erillistä kytkintä, jotka sattuvat jakamaan laitteiston. Mikään onnistuneessa kirjautumisessa ei tarkoita, että istunto laskeutui sinne, mihin aioit.

Käytä operaattorin dokumentoimaa hubin nimeä äläkä näyttökuvasta muistettua nimeä. Väärään hubiin liittyvä asiakas saavuttaa toisen verkon kelvollisella tunnuksella, mikä on kokoonpanohavainto eikä tietoturvaloukkaus. Pidä hubin nimi ja sen tarkoitus yhteysprofiilin muistiinpanoissa.

Hallinta rajataan samalla tavalla. Hubin ylläpitäjä hallitsee kyseistä hubia, kun taas palvelimen ylläpitäjä hallitsee prosessia, kuuntelijoita ja jokaista isännän hubia.

Liitännät ratkaisevat, mitä on tuolla puolen

Hubi itsessään yhdistää istunnot toisiinsa. Muuhun pääseminen riippuu siitä, miten hubi on liitetty: paikallinen silta fyysiseen liitäntään, virtuaalinen reititin tai kaskadi toiseen palvelimeen. Jokainen liitäntä kuljettaa omat edelleenlähetyssäännöt ja omat vikaantumistapansa. Oletus, että hubi tarjoaa internetyhteyden, on tuotetta koskeva yleisin virhe.

SecureNAT on sisäänrakennettu vaihtoehto, toteutettu virtuaalisella reitittimellä ja virtuaalisella DHCP-palvelulla palvelimen sisällä. Se on kätevä laboratorioon ja hankala kaikelle, joka tarvitsee ennustettavaa osoitteistusta tai käytäntöä. Paikallinen silta asettaa hubin todelliseen segmenttiin, joka perii kyseisen segmentin kytkennän, DHCP:n ja lähetyskäyttäytymisen.

Kaskadi yhdistää kaksi palvelinta, jotta yhden hubin istunnot voivat näkyä toisessa. Se on hubi-hubilta-suhde, joten molemmat päät tarvitsevat yhteensopivan käytännön ja toimivan polun niiden välille.

Lue istunnot ja käytäntö erikseen

Istuntojen, MAC-osoitteiden ja IP-osoitteiden näkymät kuvaavat, miltä virtuaaliverkko näyttää juuri nyt. Ne ovat havaintoja, eivät käyttöoikeuksia. Luettelossa näkyvä istunto ei siten ole oikeutettu jokaiseen palveluun, johon hubi pääsee, ja päinvastoin pätee myös.

Vertaile istuntoluetteloa käytäntöön, jonka pitäisi koskea sitä. Laite, jonka osoite on aiotun alueen ulkopuolella, tarkoittaa yleensä DHCP:tä muualta tai käsin määritettyä asiakasta. Istuntojen välillä liikkuva MAC-osoite tarkoittaa siirrettyä laitetta tai kahta identiteettiä jakavaa laitetta. Molemmat kannattaa katsoa, eikä kumpaakaan todisteta pelkällä taulukolla.

Palvelimella vpncmd raportoi saman kuvan isännän näkökulmasta. Vertaa tätä tulostetta asiakkaan omaan näkymään aina, kun kaksi ovat eri mieltä.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Käsittele hubin hallintaa omana roolinaan, ei asiakkaan käyttöoikeutena. Yhden hubin delegoiminen ei saisi luovuttaa kuuntelijoita tai prosessia, joka ylläpitää jokaista muuta hubia.

Tarkista asiakas liittymisen jälkeen

Asiakkaan puolelta muodostettu istunto todistaa vain, että todennus ja hubin nimi hyväksyttiin. Vahvista osoite, reitti ja nimien selvitys erikseen, koska kukin niistä voi epäonnistua sen jälkeen, kun hubi hyväksyi istunnon.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Osoiteluettelo näyttää, saiko sovitin vuokran aiottusta lähteestä. Reittikysely näyttää, mikä liitäntä kuljettaisi yksityistä kohdetta, ja selvittäjäkysely näyttää, seurasiko DNS istuntoa. Hubi, joka välittää paketteja samalla kun DNS osoittaa edelleen paikalliseen verkkoon, tuottaa klassisen puoliksi toimivan yhteyden.

Testaa sovellusta äläkä linkkiä. Latautuva intranet-sivu on vahvempi todiste kuin uskottavan osoitteen omaava sovitin.