SoftEther helyi híd vagy SecureNAT: melyiket kapcsoljuk be

Nyissa meg a SoftEther Managert, és egy hub első igazi döntése nem egy jelölőnégyzet, hanem topológiai kérdés. A helyi híd ehhez a hubhoz fizikai adaptert csatol, és a meglévő szegmensre bízza a címzést, míg a SecureNAT saját virtuális routert, NAT-ot és DHCP-t ad a hubnak. A kettő közötti választás megváltoztatja, honnan jönnek a címek és melyik eszköz válaszol értük. Mindkettőt bekapcsolni és abban bízni, hogy az egyik nyer, az az út, amelyen egy működő labor támogatási szál lesz.

Abból a hubból induljon ki, amelyet valóban szerkeszt

A Manager szerverek és hubok fáját mutatja, és könnyű az alapértelmezett hubot beállítani, miközben a kliensek egy másik, más nevű hubhoz kapcsolódnak. Kattintson a hubra, olvassa el a nevét, és erősítse meg, hogy az alatta listázott munkamenetek azok a kliensek, amelyeket ki szeretne szolgálni. Ez az egyetlen ellenőrzés megakadályozza a zavar nagy részét, amelyet később a protokollra fognak.

Ezután döntse el, mire van szüksége a kliensnek a távoli végtől. A megosztott Ethernet-viselkedés broadcastdal és LAN-szolgáltatásokkal hídra mutat, a kis címterületre irányított privát hozzáférés SecureNAT-ra, az internetkijárat pedig olyan útválasztási döntés, amelyet mindkét elrendezés rosszul is el tud látni.

Írja le a választ, mielőtt bármire kattintana, mert a két beállítás nem cserélhető fel, és a visszavonás tovább tart, mint a döntés. Két perc írás egy óra újracsatlakozást takarít meg.

Mit tesz a helyi híd a címzéssel

A helyi híd fizikai adapterhez kapcsolja a hubot, így a hub annak az Ethernet-szegmensnek a részévé válik. A kliensek attól kapnak címeket, ami a szegmenst már kiszolgálja, az átjárójuk pedig a szegmens routere. A kliens szemszögéből belépett az irodai LAN-ba, mindazzal az elérhetőséggel és mindazzal a kitettséggel, amivel ez jár.

Ez azt is jelenti, hogy a hídnak valódi adapterre van szüksége megfelelő illesztőprogram-támogatással, és hogy a rendszergazdának jogosultnak kell lennie a szegmens kiterjesztésére. A VPN-bejelentkezés hitelesítést bizonyít, nem azt a jogot, hogy gazdagépet helyezzen üzemi VLAN-ba. Ellenőrizze, hogy az illesztőprogram neve megegyezik-e a szándékolt adapterrel, mert a rossz port áthidalása gyorsan leviszi a szegmenst. Ha az adapterlistája üres, vagy a híd hibát jelent, az ok rendszerint illesztőprogramhoz vagy jogosultságokhoz kötődik, nem kriptográfiához.

Olvassa ki a híd táblázatot a parancssorból, amikor a grafikus fa kétértelmű. A kimenet megnevezi az adaptert, amit a fa nem mindig tesz meg.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Az üres hídlista csatlakozott munkamenetekkel hasznos kép: a kliensek a virtuális hubon belül vannak, és még semmi nem terjeszti ki szegmensre.

Mit ad hozzá a SecureNAT, és mit rejt el

A SecureNAT virtuális routert, NAT-funkciót és DHCP-szolgáltatást ad a hubnak, mindezt a SoftEther folyamatán belül. A kliensek a virtuális DHCP-tartományból kapnak címeket, a virtuális router válaszol az alapértelmezett átjáróért, és a kimenő forgalom lefordításra kerül. Fizikai adapter nem vesz részt benne, ezért működik egyetlen hálókártyás gazdagépen, kapcsolókonfiguráció nélkül.

Az ára az, hogy a virtuális címek a hubhoz tartoznak, és semmi máshoz. Az irodai LAN egyik gépe segítség nélkül nem tud a kliens SecureNAT-címére irányítani, és minden, ami forráscímeket naplóz, a SoftEther-gazdagép lefordított címét látja. Ha a hozzáférési szabályai vagy az auditnyoma a kliens valódi címétől függ, az tervezésváltozás, nem részlet. Ez dönti el azt is, hogy egy forráscím-szabály egyáltalán látni fogja-e a klienst.

DHCP-kiszolgáló is. Olyan szegmensen futtatni, amelyen már van egy, vagy ugyanakkor áthidalni azt a szegmenst, két válaszadót és kiszámíthatatlan bérleteket eredményez. A kézikönyv pontosan ezért kezeli a két funkciót külön döntésként.

Vizsgálja meg, mit szolgál ki a hub most, mielőtt bármi mást engedélyezne. Minden parancs a jelenlegi állapotot írja ki, nem a szándékoltat.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Az egyiket bekapcsolni anélkül, hogy a másik elromlana

Válassza ki az elrendezést, engedélyezze, a másikat pedig hagyja kikapcsolva. Az a hub, amelyen híd és SecureNAT is aktív, olyan hub, amelynek ugyanarra a kérdésre két lehetséges válasza van, és a kliens annak hisz, amelyik előbb érkezik. Amikor az egyikről a másikra vált, kapcsolja ki a régi funkciót, és csatlakoztassa újra a klienst, ahelyett hogy feltételezné, hogy az új beállítás egy meglévő munkamenetre hat.

Úgy rendezze a változtatást, hogy a klienspool ne fedje át a LAN tartományát. Az átfedő alhálózatok a második leggyakoribb okai annak az alagútnak, amely csatlakozik, majd semmit sem ér el, és addig láthatatlanok, amíg a két címtervet egymás mellett össze nem veti.

Ezután csatlakozzon újra a kliensről, és olvassa el, mit kapott, mert a hub képe a munkamenetről nem a kliens képe a saját hálózatáról. Az újracsatlakozás az egyetlen megbízható módja a friss bérlet kikényszerítésének.

Ellenőrizze az átjárót és a feloldót a kliensen

A sikeres hitelesítés azt mondja meg, hogy a hitelesítő adatok működnek, és a hub elfogadta a munkamenetet. Semmit nem mond arról, hogy a kliens elér-e bármit, mert az a kapott címtől, maszktól, átjárótól és DNS-kiszolgálótól függ. Olvassa el ezt a négy értéket a kliensen, mielőtt újra hozzányúlna egy kiszolgálóbeállításhoz.

Windowson az adapter részletei mutatják a bérletet és a feloldót, az útválasztási táblázat pedig azt, hogy az alagút valóban az alapértelmezett útvonal-e.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Linux-kliensen ugyanezek az információk a címeket, útvonalakat és feloldót tartalmazó fájlokból jönnek. Az alapértelmezett útvonal az az érték, amely eldönti, hogy a forgalom egyáltalán elhagyja-e az alagutat. Ha az átjáró az irodai routerre mutat, miközben az alagút a forgalom hordozását várja, a topológia névleg áthidalt, gyakorlatilag pedig törött. Először a címforrást javítsa, aztán tesztelje újra az alkalmazást, és csak ezután fontolja meg a másik mód megváltoztatását.