SoftEther SecureNAT: DHCP i NAT dvije su odluke

SecureNAT je jedan potvrdni okvir koji uključuje dvije usluge, i odatle dolazi većina zabune oko njega. Virtualni DHCP poslužitelj daje klijentu adresu, masku, pristupnik i često razrješivač. Virtualni NAT prosljeđuje pakete dalje od tog pristupnika koristeći vlastiti mrežni snop glavnog računala poslužitelja. Stoje jedan uz drugi u konfiguraciji i zataje neovisno: klijent može imati savršen najam i nijedan radni put, ili radni put s postavkama koje pokazuju na pogrešan razrješivač. Provjerite ih kao dvije odluke i dijagnoza postaje kratka.

Dvije usluge iza jednog potvrdnog okvira

Virtualna DHCP strana odgovara na konfiguracijsko pitanje: koje postavke ovaj klijent dobiva unutar ovog virtualnog koncentratora. Virtualna NAT strana odgovara na pitanje prosljeđivanja: kada klijent pošalje paket na adresu izvan koncentratora, prevodi li ga i prosljeđuje li ga poslužitelj. Prvo je lokalno za koncentrator i ne treba mrežu uzvodno. Drugo posve ovisi o glavnom računalu.

Virtualno sučelje glavnog računala pripada prvoj odluci, ne drugoj. Njegova adresa, često nešto poput 192.168.30.1 po zadanom, pristupnik je koji nudi DHCP usluga. To nije javna adresa osluškivanja poslužitelja, a miješanje tih dvaju stvara pravila vatrozida i postavke klijenta usmjerene na stroj koji ne postoji na toj mreži.

Odluka 1: tko daje adresu

Ako je virtualni DHCP uključen, klijenti bi trebali dobiti najam u skupu koji ste konfigurirali, s virtualnim sučeljem glavnog računala kao pristupnikom i razrješivačem koji ste dali. Pregledajte najam, a ne statusni tekst klijenta, jer «povezano» opisuje tunel, a ne dodjelu adrese:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Dva načina zataje vrijedi znati prije nego što počnete tražiti greške u bilo čemu drugom. Klijent sa zaostalom statičkom adresom iz prijašnjeg dizajna zadržat će je i zanemariti najam, što izgleda kao da DHCP odbija odgovoriti. A drugi izvor DHCP-a na premoštenom segmentu natjecat će se za iste klijente, što daje povremene adrese i red podrške koji ne može reproducirati problem.

Preklapajući skupovi također pripadaju ovamo. Ako se skup virtualnog DHCP-a preklapa s LAN podmrežom glavnog računala ili skupom drugog koncentratora, klijent dobiva adresu koja se dvosmisleno usmjerava i svaki kasniji test nije zaključan.

Odluka 2: tko prosljeđuje dalje od virtualnog pristupnika

Uz uključen virtualni NAT, poslužitelj prevodi odlazni promet iz koncentratora i šalje ga kroz tablicu usmjeravanja glavnog računala. To znači da je lanac prosljeđivanja: klijent prema virtualnom pristupniku, virtualni NAT prema snopu glavnog računala, snop glavnog računala prema svojoj zadanoj ruti. Svaka karika može zatajiti bez dodirivanja ostalih, a potpisi zataje se razlikuju.

Drugu odluku testirajte nečim što mora napustiti koncentrator, ne nečim lokalnim za njega. Ping virtualnog pristupnika dokazuje prvu kariku i ništa više:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Ako razrješavanje imena radi, ali veze na javnu adresu zataje, nalazite se u lancu prosljeđivanja, a ne u DHCP-u. Ako zataje oboje, prvo provjerite razrješivač, jer će razrješivač poslan kao nedostupna unutarnja adresa učiniti da radni put izgleda posve slomljeno.

Prosljeđivanje SecureNAT-a provodi proces poslužitelja, a ne put prosljeđivanja u jezgri koji biste koristili s mostom. To je zgodno i sporije od premošćivanja, a znači i da se vlastita pravila vatrozida i odluke o usmjeravanju glavnog računala i dalje primjenjuju na prevedeni promet. Virtualni NAT ne zaobilazi politiku glavnog računala; koristi je.

Vlastiti put glavnog računala treća je stvar

Sve gore pretpostavlja da glavno računalo poslužitelja može dosegnuti odredište. Glavno računalo bez radne uzvodne rute, s restriktivnom odlaznom politikom ili s obitelji adresa koju nema zatajit će u drugoj odluci, koliko god konfiguracija koncentratora bila točna. Provjerite glavno računalo zasebno, izvan tunela, prije nego što njegovu zataju pripišete SoftEtheru.

SecureNAT također nije ovlaštenje za dosezanje svake mreže spojene na poslužitelj. Prevodi i prosljeđuje promet koji do njega dođe; odlučivanje o tome što glavno računalo smije dosegnuti i dalje je posao vatrozida i usmjeravanja glavnog računala, a dizajn koji se oslanja na tunel pri davanju pristupa udaljen je jedno loše pravilo od davanja previše.

Obitelji adresa zaslužuju vlastitu provjeru. Radni primjer DHCP-a za IPv4 ne dokazuje da je svaka IPv6 mogućnost prisutna u vašoj gradnji, zato pročitajte priručnik za inačicu koju doista pokrećete prije nego što obećate ponašanje dvostrukog snopa. Odjeljak o SecureNAT-u u priručniku pokriva virtualne NAT i DHCP funkcije za trenutačno izdanje.

Provjerite svaku odluku njezinim vlastitim testom

Prihvatite prvu odluku provjerom najma: adresa u skupu, pristupnik jednak virtualnom sučelju glavnog računala, razrješivač onaj koji ste konfigurirali. Prihvatite drugu odlaznim zahtjevom s klijenta i pogledom na NAT tablicu na poslužitelju, jer rastući broj sesija jedini je izravan dokaz da se prevođenje događa, a ne samo da je uključeno.

Zatim zapišite podjelu u projektnu bilješku: koja komponenta daje adresu, koja komponenta prosljeđuje i kroz koje sučelje glavnog računala promet izlazi. Kada ponovno pokretanje promijeni ponašanje, ta bilješka kaže koju od tri provjeriti umjesto da sve ponovno pokrenete i nadate se da će se simptom pomaknuti.

Još jedna odluka pripada zapisu, čak i ako je danas ne donosite: SecureNAT i lokalni most različiti su dizajni za isti koncentrator, a koncentrator koji treba oboje jest koncentrator koji treba drugi plan. Odaberite svjesno, zapišite zašto i sljedeća osoba neće to morati obrnuto konstruirati iz konfiguracije koja radi.