Jembatan lokal SoftEther atau SecureNAT: mana yang diaktifkan

Buka SoftEther Manager, dan keputusan pertama yang nyata tentang sebuah hub bukan kotak centang, melainkan pertanyaan topologi. Jembatan lokal menempelkan hub itu ke adaptor fisik dan membiarkan segmen yang ada menyediakan pengalamatan, sedangkan SecureNAT memberi hub router virtual, NAT, dan DHCP sendiri. Memilih di antara keduanya mengubah dari mana alamat datang dan perangkat mana yang menjawabnya. Mengaktifkan keduanya dan berharap salah satu menang adalah cara laboratorium yang berfungsi berubah menjadi utas dukungan.

Mulailah dari hub yang benar-benar Anda sunting

Manager menampilkan pohon server dan hub, dan mudah mengonfigurasi hub bawaan sementara klien terhubung ke hub lain dengan nama berbeda. Klik hub itu, baca namanya, dan pastikan sesi yang terdaftar di bawahnya adalah klien yang ingin Anda layani. Satu pemeriksaan itu mencegah sebagian besar kebingungan yang kemudian dituduhkan pada protokol.

Lalu putuskan apa yang dibutuhkan klien dari ujung jauh. Perilaku Ethernet bersama dengan siaran dan layanan LAN mengarah ke jembatan, akses privat terarah ke rentang alamat kecil mengarah ke SecureNAT, dan jalan keluar internet adalah keputusan perutean yang kedua pengaturan dapat membawanya dengan buruk.

Tuliskan jawabannya sebelum Anda mengklik apa pun, karena kedua pengaturan tidak dapat dipertukarkan dan membatalkannya lebih lama daripada memutuskan. Dua menit menulis menghemat satu jam menyambung ulang.

Apa yang dilakukan jembatan lokal pada pengalamatan

Jembatan lokal menghubungkan hub ke adaptor fisik, sehingga hub menjadi bagian dari segmen Ethernet itu. Klien menerima alamat dari apa pun yang sudah melayani segmen, dan gateway mereka adalah router segmen. Dari sudut pandang klien, ia telah bergabung dengan LAN kantor, dengan segala keterjangkauan dan segala paparan yang menyertainya.

Itu juga berarti jembatan membutuhkan adaptor nyata dengan dukungan pengandar yang tepat, dan administrator harus berwenang memperluas segmen itu. Login VPN membuktikan autentikasi, bukan hak menempatkan host pada VLAN produksi. Periksa bahwa nama pengandar cocok dengan adaptor yang Anda maksud, karena menjembatani port yang salah menjatuhkan segmen dengan cepat. Jika daftar adaptor kosong atau jembatan melaporkan kegagalan, jawabannya biasanya terkait pengandar atau hak istimewa, bukan kriptografi.

Baca tabel jembatan dari baris perintah ketika pohon grafis ambigu. Keluarannya menyebutkan adaptor, yang tidak selalu dilakukan pohon.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Daftar jembatan kosong dengan sesi tersambung adalah gambaran berguna: klien ada di dalam hub virtual dan belum ada yang memperluasnya ke segmen.

Apa yang ditambahkan SecureNAT dan apa yang disembunyikannya

SecureNAT memberi hub router virtual, fungsi NAT, dan layanan DHCP, semuanya di dalam proses SoftEther. Klien mendapat alamat dari rentang DHCP virtual, router virtual menjawab gateway bawaan, dan lalu lintas yang perlu keluar diterjemahkan. Tidak ada adaptor fisik yang terlibat, itulah sebabnya ini berfungsi pada host dengan satu NIC dan tanpa konfigurasi switch.

Biayanya adalah alamat virtual itu milik hub dan bukan milik apa pun. Mesin di LAN kantor tidak dapat merutekan ke alamat SecureNAT klien tanpa bantuan, dan apa pun yang mencatat alamat sumber melihat alamat terjemahan host SoftEther. Jika aturan akses atau jejak audit Anda bergantung pada alamat asli klien, itu perubahan desain, bukan detail. Ini juga menentukan apakah aturan alamat sumber akan pernah melihat klien sama sekali.

Ini juga server DHCP. Menjalankannya pada segmen yang sudah punya satu, atau menjembatani segmen itu sekaligus, menghasilkan dua penjawab dan sewa yang tak terduga. Panduan memperlakukan kedua fungsi sebagai pilihan terpisah justru karena alasan ini.

Periksa apa yang sedang dilayani hub sebelum Anda mengaktifkan hal lain. Setiap perintah mencetak keadaan saat ini, bukan yang dimaksudkan.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Mengaktifkan satu tanpa merusak yang lain

Pilih pengaturannya, aktifkan, dan biarkan yang lain mati. Hub dengan jembatan dan dengan SecureNAT keduanya aktif adalah hub dengan dua jawaban mungkin atas pertanyaan yang sama, dan klien akan percaya yang datang lebih dulu. Saat bermigrasi dari satu ke yang lain, nonaktifkan fungsi lama dan sambungkan ulang klien daripada menganggap pengaturan baru berlaku pada sesi yang sudah ada.

Urutkan perubahan agar kumpulan klien tidak tumpang tindih dengan rentang LAN. Subnet yang tumpang tindih adalah penyebab kedua paling umum terowongan yang tersambung lalu tidak mencapai apa pun, dan keduanya tak terlihat sampai Anda membandingkan kedua rencana alamat berdampingan.

Lalu sambungkan ulang dari klien dan baca apa yang diterimanya, karena pandangan hub tentang sesi bukan pandangan klien tentang jaringannya sendiri. Menyambung ulang adalah satu-satunya cara andal untuk memaksa sewa baru.

Periksa gateway dan resolver pada klien

Autentikasi yang berhasil memberi tahu bahwa kredensial bekerja dan hub menerima sesi. Itu tidak mengatakan apa pun tentang apakah klien dapat mencapai sesuatu, karena itu bergantung pada alamat, mask, gateway, dan server DNS yang diterimanya. Baca keempat nilai itu pada klien sebelum Anda menyentuh pengaturan server lagi.

Di Windows detail adaptor menampilkan sewa dan resolver, dan tabel rute menunjukkan apakah terowongan benar-benar jalur bawaan.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Pada klien Linux informasi yang sama datang dari berkas alamat, rute, dan resolver. Rute bawaan adalah nilai yang menentukan apakah lalu lintas keluar melalui terowongan. Jika gateway menunjuk ke router kantor sementara terowongan mengharapkan membawa lalu lintas, topologinya dijembatani secara nama dan rusak dalam praktik. Perbaiki sumber alamat lebih dahulu, lalu uji ulang aplikasi, dan baru setelah itu pertimbangkan mengubah mode lainnya.