למה באמת מתחברת רכזת וירטואלית של SoftEther

הרכזת הווירטואלית של SoftEther היא גבול חברות בתוך שרת אחד, לא מיקום. הפעלות שמצטרפות לרכזת יכולות להגיע למה שהרכזת מוצמדת אליו, והפעלות ברכזת אחרת לא יכולות, גם כששתיהן מאמתות מול אותו שרת. לכן התחברות מוצלחת עדיין יכולה להציב לקוח ברשת הלא נכונה. קריאת הרכזת כמתג וירטואלי מבהירה מה היא עושה ומה היא משאירה לגישור, לניתוב ולקונפיגורציית מפל.

רכזת היא גבול חברות

שרת אחד יכול לארח כמה רכזות, כל אחת עם המשתמשים, ההפעלות והמדיניות שלה. האימות קובע מי ההפעלה, בעוד הרכזת מחליטה לאיזו רשת וירטואלית ההפעלה הזו מצטרפת. לכן שתי רכזות על אותו מארח מתנהגות כמו שני מתגים נפרדים שבמקרה חולקים חומרה. שום דבר בהתחברות מוצלחת לא מרמז שההפעלה נחתה במקום שאליו התכוונתם.

השתמשו בשם הרכזת המתועד על ידי המפעיל ולא בשם שנזכר מצילום מסך. לקוח שמצטרף לרכזת הלא נכונה מגיע לרשת אחרת עם אישור תקף, וזו ממצא תצורה ולא פרצת אבטחה. שמרו את שם הרכזת ואת ייעודה בהערות של פרופיל החיבור.

הניהול מוגדר באותו אופן. מנהל רכזת מנהל את הרכזת הזו, בעוד מנהל השרת מנהל את התהליך, את המאזינים ואת כל רכזת במארח.

ההצמדות קובעות מה נמצא מעבר

רכזת בפני עצמה מחברת הפעלות זו לזו. הגעה לכל דבר אחר תלויה באופן שבו הרכזת מוצמדת: גשר מקומי לממשק פיזי, נתב וירטואלי או מפל לשרת אחר. כל הצמדה נושאת את כללי ההעברה שלה ואת דרכי הכשל שלה. ההנחה שרכזת מספקת גישה לאינטרנט היא הטעות הנפוצה ביותר לגבי המוצר.

SecureNAT היא האפשרות המובנית, שמיושמת בנתב וירטואלי ובשירות DHCP וירטואלי בתוך השרת. היא נוחה למעבדה ומסורבלת לכל דבר שזקוק לכתובת או למדיניות צפויה. גשר מקומי מציב את הרכזת על פלח אמיתי, שיורש את המיתוג, ה-DHCP והתנהגות השידור של אותו פלח.

מפל מקשר שני שרתים כך שהפעלות ברכזת אחת יכולות להופיע בשנייה. זהו יחס רכזת-לרכזת, לכן שני הקצוות זקוקים למדיניות תואמת ולמסלול עובד ביניהם.

קראו הפעלות ומדיניות בנפרד

תצוגות של הפעלות, כתובות MAC וכתובות IP מתארות איך הרשת הווירטואלית נראית כעת. אלה תצפיות, לא הרשאות. הפעלה שנראית ברשימה אינה זכאית בשל כך לכל שירות שהרכזת יכולה להגיע אליו, וגם ההפך נכון.

השוו את רשימת ההפעלות למדיניות שאמורה לחול עליה. התקן שכתובתו מחוץ לטווח המיועד פירושו בדרך כלל DHCP ממקום אחר או לקוח שהוגדר ידנית. כתובת MAC שעוברת בין הפעלות פירושה התקן שהועבר או שני התקנים שחולקים זהות. שתיהן שוות מבט, ואף אחת מהן לא מוכחת על ידי הטבלה לבדה.

בשרת, vpncmd מדווח את אותה תמונה מנקודת המבט של המארח. השוו את הפלט הזה לתצוגה של הלקוח עצמו בכל פעם ששניהם חלוקים.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

התייחסו לניהול הרכזת כתפקיד בפני עצמו ולא כהרשאת לקוח. האצלת רכזת אחת לא אמורה למסור את המאזינים או את התהליך שמארח כל רכזת אחרת.

בדקו את הלקוח לאחר ההצטרפות

מצד הלקוח, הפעלה שהוקמה מוכיחה רק שהאימות ושם הרכזת התקבלו. אשרו את הכתובת, את המסלול ואת פתרון השמות בנפרד, כי כל אחד מהם יכול להיכשל לאחר שהרכזת קיבלה את ההפעלה.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

רשימת הכתובות מראה אם המתאם קיבל חכירה מהמקור המיועד. שאילתת המסלול מראה איזה ממשק יישא יעד פרטי, ושאילתת הפותר מראה אם ה-DNS עקב אחרי ההפעלה. רכזת שמעבירה מנות בעוד ה-DNS עדיין מצביע על הרשת המקומית יוצרת את החיבור החצי עובד הקלאסי.

בדקו את היישום ולא את הקישור. דף אינטראנט שנטען הוא ראיה חזקה יותר ממתאם עם כתובת סבירה.