Que conecta realmente un hub virtual de SoftEther

O hub virtual de SoftEther é unha fronteira de pertenza dentro dun servidor, non unha localización. As sesións que se unen ao hub poden chegar ao que o hub está conectado, e as sesións doutro hub non poden, mesmo cando ambas se autentican contra o mesmo servidor. Por iso un inicio de sesión correcto aínda pode colocar un cliente na rede equivocada. Ler o hub como un conmutador virtual aclara que fai e que deixa á ponte, ao encamiñamento e á configuración en cascada.

Un hub é unha fronteira de pertenza

Un servidor pode aloxar varios hubs, cada un cos seus propios usuarios, sesións e política. A autenticación establece quen é a sesión, mentres que o hub decide a que rede virtual se une esa sesión. Dous hubs nun mesmo host compórtanse, xa que logo, como dous conmutadores separados que casualmente comparten hardware. Nada nun inicio de sesión correcto implica que a sesión aterrase onde querías.

Use o nome de hub documentado polo operador en lugar dun nome recordado dunha captura de pantalla. Un cliente que se une ao hub equivocado chega a outra rede cunha credencial válida, o que é un achado de configuración e non unha fenda de seguridade. Garde o nome do hub e o seu propósito nas notas do perfil de conexión.

A administración está delimitada do mesmo xeito. Un administrador de hub xestiona ese hub, mentres que o administrador do servidor xestiona o proceso, os oíntes e cada hub do host.

As conexións deciden que hai máis aló

Un hub por si só conecta as sesións entre si. Chegar a calquera outra cousa depende de como estea conectado o hub: unha ponte local a unha interface física, un encamiñador virtual ou unha cascada a outro servidor. Cada conexión leva as súas propias regras de reenvío e as súas propias formas de fallar. Supoñer que un hub proporciona acceso a internet é o erro máis común sobre o produto.

SecureNAT é a opción integrada, implementada cun encamiñador virtual e un servizo DHCP virtual dentro do servidor. É cómoda para un laboratorio e incómoda para todo o que necesite direccionamento ou política previsibles. Unha ponte local pon o hub nun segmento real, que herda a conmutación, o DHCP e o comportamento de difusión dese segmento.

Unha cascada enlaza dous servidores para que as sesións dun hub poidan aparecer no outro. É unha relación de hub a hub, así que os dous extremos necesitan unha política compatible e un camiño que funcione entre eles.

Lea as sesións e a política por separado

As vistas de sesións, enderezos MAC e enderezos IP describen como é a rede virtual agora. Son observacións, non permisos. Unha sesión visible na lista non queda por iso autorizada a todos os servizos aos que pode chegar o hub, e o contrario tamén vale.

Compare a lista de sesións coa política que debería aplicarse. Un dispositivo cun enderezo fóra do rango previsto normalmente significa DHCP doutro lugar ou un cliente configurado a man. Un enderezo MAC que se move entre sesións significa un dispositivo migrado ou dous dispositivos que comparten unha identidade. Ambos merecen unha ollada, e ningún se demostra só coa táboa.

No servidor, vpncmd informa da mesma imaxe desde o punto de vista do host. Compare esa saída coa vista propia do cliente sempre que as dúas discrepen.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Trate a administración do hub como un rol propio e non como un permiso de cliente. Delegar un hub non debería entregar os oíntes nin o proceso que aloxa todos os demais hubs.

Comprobe o cliente despois de unirse

Desde o lado do cliente, unha sesión establecida só demostra que se aceptaron a autenticación e o nome do hub. Confirme o enderezo, a ruta e a resolución de nomes por separado, porque cada unha pode fallar despois de que o hub acepte a sesión.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

A lista de enderezos mostra se o adaptador recibiu unha concesión da fonte prevista. A consulta de ruta mostra que interface levaría un destino privado, e a consulta ao resolver mostra se o DNS seguiu a sesión. Un hub que reenvía paquetes mentres o DNS aínda apunta á rede local produce a clásica conexión medio funcionando.

Probe a aplicación e non a ligazón. Unha páxina de intranet que carga é unha proba máis forte que un adaptador cun enderezo plausible.