SoftEther pleatslike brêge of SecureNAT: hokker moat oan

Iepenje SoftEther Manager, en de earste echte beslissing oer in hub is gjin oanfinkfakje, it is in topologyske fraach. In pleatslike brêge ferbynt dy hub mei in fysike adapter en lit it besteande segment de adressaasje leverje, wylst SecureNAT de hub syn eigen firtuele router, NAT en DHCP jout. De kar tusken dy beiden feroaret wêr't de adressen wei komme en hokker apparaat dêrfoar antwurdet. Beide oansette en hoopje dat ien wint is hoe't in wurkjend laboratoarium in stipe-ried wurdt.

Begjin by de hub dy't jo eins bewurkje

Manager lit in beam fan servers en hubs sjen, en it is maklik om de standert-hub te konfigurearjen wylst klanten ferbine mei ien mei in oare namme. Klik op de hub, lês de namme, en befêstigje dat de sessys derûnder de klanten binne dy't jo betsjinje wolle. Dy iene kontrôle foarkomt it measte fan de betizing dy't letter op it protokol skood wurdt.

Beslis dêrnei wat de klant fan de fiere kant nedich hat. Dield Ethernet-gedrach mei broadcast en LAN-tsjinsten wiist op in brêge, rûtearre privee tagong ta in lyts adresberik wiist op SecureNAT, en in ynternetútgong is in routingbeslissing dy't beide regelingen min drage kinne.

Skriuw it antwurd op foardat jo eat klikke, want de twa ynstellings binne net útwikselber en weromdraaie duorret langer as beslisse. Twa minuten skriuwen besparret in oere werferbinen.

Wat in pleatslike brêge mei adressaasje docht

In pleatslike brêge ferbynt de hub mei in fysike adapter, sadat de hub diel wurdt fan dat Ethernet-segment. Klanten krije adressen fan wat it segment al betsjinnet, en harren gateway is de router fan it segment. Fanút it eachpunt fan de klant is er by it kantoar-LAN kommen, mei alle berikberens en alle bleatstelling dy't dat ynhâldt.

Dat betsjut ek dat de brêge in echte adapter mei de juste stjoerder-stipe nedich hat, en dat de behearder autorisearre wêze moat om dat segment út te wreidzjen. In VPN-oanmelding bewiist autentikaasje, net it rjocht om in host op in produksje-VLAN te setten. Kontrolearje dat de namme fan de stjoerder oerienkomt mei de adapter dy't jo bedoele, want it ferkearde poarte oerbrêgje hellet in segment fluch del. As de adapterlist leech is of de brêge meldt in flater, is it antwurd meastentiids besibbe oan stjoerder as rjochten, net oan kryptografy.

Lês de brêgetabel fan de kommandorigel as de grafyske beam dûbelsinnich is. De útjefte neamt de adapter, wat de beam net altyd docht.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

In lege brêgelist mei ferbûne sessys is in nuttich byld: klanten sitte binnen de firtuele hub en neat wreidet dy noch nei in segment út.

Wat SecureNAT tafoeget en wat it ferberget

SecureNAT jout de hub in firtuele router, in NAT-funksje en in DHCP-tsjinst, allegear binnen it SoftEther-proses. Klanten krije adressen út it firtuele DHCP-berik, de firtuele router antwurdet foar de standert-gateway, en ferkear dat fuort moat wurdt oerset. Gjin fysike adapter is belutsen, en dêrom wurket it op in host mei ien netkaart en sûnder switch-konfiguraasje.

De priis is dat de firtuele adressen fan de hub binne en fan neat oars. In masine op it kantoar-LAN kin sûnder help net nei it SecureNAT-adres fan in klant rûte, en alles wat boarneadressen logt sjocht it oersetten adres fan de SoftEther-host. As jo tagongsregels of jo auditspoar fan it echte adres fan de klant ôfhinklik binne, is dat in ûntwerpferoaring en net in detail. It bepaalt ek oft in boarneadresregel de klant ea sjen sil.

It is ek in DHCP-tsjinner. It draaie op in segment dat al ien hat, of dat segment tagelyk oerbrêgje, liedt ta twa antwurders en ûnfoarsisbere leases. De hânlieding behannelt de twa funksjes as aparte karren krekt om dy reden.

Undersykje wat de hub op dit stuit betsjinnet foardat jo eat oars aktivearje. Elk kommando printsje de hjoeddeiske tastân, net de bedoelde.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Ien oansette sûnder de oare te brekken

Kies de regeling, aktivearje dy, en lit de oare út. In hub mei in brêge en mei SecureNAT beide aktyf is in hub mei twa mooglike antwurden op deselde fraach, en de klant sil leauwe wat er earst komt. As jo fan de iene nei de oare migrearje, skeakelje de âlde funksje út en ferbyn de klant opnij, ynstee fan oan te nimmen dat de nije ynstelling op in besteande sessy wurket.

Oarderje de feroaring sadat de klantpool it LAN-berik net oerlaapet. Oerlaapjende subnetten binne de twadde meast foarkommende oarsaak fan in tunnel dy't ferbynt en dan neat berikke kin, en se binne ûnsichtber oant jo beide adresplannen njonkeninoar fergelykje.

Ferbyn dan opnij fan de klant en lês wat er krige hat, want it byld fan de hub fan de sessy is net it byld fan de klant fan syn eigen netwurk. Opnij ferbinen is de iennige betroubere manier om in nije lease ôf te twingen.

Kontrolearje de gateway en de resolver op de klant

In suksesfolle autentikaasje fertelt dat de kaartsjes wurkje en dat de hub de sessy akseptearre hat. It seit neat oer oft de klant eat berikke kin, want dat hinget ôf fan it adres, de masker, de gateway en de DNS-tsjinner dy't er krige hat. Lês dy fjouwer wearden op de klant foardat jo wer oan in serverynstelling komme.

Op Windows lit it adapterdetail de lease en de resolver sjen, en de rûtetabel lit sjen oft de tunnel echt it standertpaad is.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Op in Linux-klant komme deselde gegevens út de adres-, rûte- en resolver-bestannen. De standertrûte is de wearde dy't beslút oft ferkear oer de tunnel fuortgiet. As de gateway nei de kantoarrouter wiist wylst de tunnel ferwachtet it ferkear te dragen, is de topology yn namme oerbrêge en yn 'e praktyk brutsen. Meitsje earst de adresboarne goed, test dan de applikaasje opnij, en oerweeg pas dêrnei de oare modus te feroarjen.