Što virtualni hub tvrtke SoftEther zapravo povezuje

SoftEther virtualni hub je granica članstva unutar jednog poslužitelja, a ne lokacija. Sesije koje se pridruže hubu mogu doći do onoga na što je hub priključen, a sesije na drugom hubu ne mogu, čak i kada se obje autentificiraju na istom poslužitelju. Zato uspješna prijava i dalje može dovesti klijenta na pogrešnu mrežu. Čitanje huba kao virtualnog preklopnika pojašnjava što on radi i što prepušta povezivanju mostom, usmjeravanju i konfiguraciji kaskade.

Hub je granica članstva

Jedan poslužitelj može ugostiti nekoliko hubova, svaki sa svojim korisnicima, sesijama i politikom. Autentifikacija utvrđuje koja je sesija, dok hub odlučuje kojoj se virtualnoj mreži ta sesija pridružuje. Dva huba na jednom hostu stoga se ponašaju kao dva odvojena preklopnika koji slučajno dijele hardver. Ništa u uspješnoj prijavi ne znači da je sesija sletjela tamo gdje ste namjeravali.

Koristite naziv huba koji je dokumentirao operater, a ne naziv zapamćen sa snimke zaslona. Klijent koji se pridruži pogrešnom hubu dolazi na drugu mrežu s valjanim akreditivom, što je nalaz o konfiguraciji, a ne sigurnosni incident. Čuvajte naziv huba i njegovu svrhu u bilješkama profila veze.

Administracija je ograničena na isti način. Administrator huba upravlja tim hubom, dok administrator poslužitelja upravlja procesom, osluškivačima i svakim hubom na hostu.

Priključci odlučuju što je s druge strane

Hub sam po sebi povezuje sesije jednu s drugom. Dolazak do bilo čega drugog ovisi o tome kako je hub priključen: lokalni most prema fizičkom sučelju, virtualni usmjerivač ili kaskada prema drugom poslužitelju. Svaki priključak nosi vlastita pravila prosljeđivanja i vlastite načine otkaza. Pretpostavka da hub pruža pristup internetu najčešća je pogreška u vezi s proizvodom.

SecureNAT je ugrađena opcija, implementirana virtualnim usmjerivačem i virtualnom DHCP uslugom unutar poslužitelja. Prikladna je za laboratorij, a nezgodna za sve što traži predvidivo adresiranje ili politiku. Lokalni most stavlja hub na stvarni segment, koji nasljeđuje preklapanje, DHCP i ponašanje emitiranja tog segmenta.

Kaskada povezuje dva poslužitelja tako da se sesije na jednom hubu mogu pojaviti na drugom. To je odnos hub-prema-hubu, pa oba kraja trebaju kompatibilnu politiku i radni put između sebe.

Čitajte sesije i politiku odvojeno

Prikazi sesija, MAC adresa i IP adresa opisuju kako virtualna mreža trenutačno izgleda. To su opažanja, ne dopuštenja. Sesija vidljiva na popisu time nije ovlaštena za svaku uslugu do koje hub može doći, a vrijedi i obrnuto.

Usporedite popis sesija s politikom koja se na njega treba primijeniti. Uređaj s adresom izvan predviđenog raspona obično znači DHCP odnekud drugdje ili ručno konfiguriranog klijenta. MAC adresa koja se kreće između sesija znači premješten uređaj ili dva uređaja koja dijele identitet. Oboje vrijedi pogledati, a ni jedno se ne dokazuje samo tablicom.

Na poslužitelju vpncmd prikazuje istu sliku iz kuta hosta. Usporedite taj izlaz s vlastitim prikazom klijenta kad se dva razilaze.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Tretirajte administraciju huba kao vlastitu ulogu, a ne kao dopuštenje klijenta. Delegiranje jednog huba ne treba predati osluškivače ni proces koji ugošćuje svaki drugi hub.

Provjerite klijenta nakon pridruživanja

Sa strane klijenta, uspostavljena sesija dokazuje samo da su autentifikacija i naziv huba prihvaćeni. Potvrdite adresu, rutu i razrješavanje imena odvojeno, jer svako može pasti nakon što hub prihvati sesiju.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Popis adresa pokazuje je li adapter dobio zakup iz predviđenog izvora. Upit rute pokazuje koje bi sučelje nosilo privatno odredište, a upit razrješivača pokazuje je li DNS slijedio sesiju. Hub koji prosljeđuje pakete dok DNS još pokazuje na lokalnu mrežu stvara klasičnu napola radnu vezu.

Testirajte aplikaciju, a ne vezu. Intranet stranica koja se učita jači je dokaz od adaptera s uvjerljivom adresom.