Apa yang sebenarnya dihubungkan hub virtual SoftEther

Hub virtual SoftEther adalah batas keanggotaan di dalam satu server, bukan lokasi. Sesi yang bergabung ke hub dapat menjangkau apa yang terhubung ke hub, dan sesi di hub lain tidak dapat, bahkan ketika keduanya mengautentikasi ke server yang sama. Itulah sebabnya login yang berhasil tetap dapat menempatkan klien di jaringan yang salah. Membaca hub sebagai sakelar virtual memperjelas apa yang dilakukannya dan apa yang diserahkannya kepada penjembatanan, perutean, dan konfigurasi kaskade.

Hub adalah batas keanggotaan

Satu server dapat menghosting beberapa hub, masing-masing dengan pengguna, sesi, dan kebijakannya sendiri. Autentikasi menetapkan siapa sesi itu, sedangkan hub memutuskan jaringan virtual mana yang dimasuki sesi tersebut. Dua hub pada satu host karena itu berperilaku seperti dua sakelar terpisah yang kebetulan berbagi perangkat keras. Tidak ada dalam login yang berhasil yang menyiratkan sesi mendarat di tempat yang Anda maksud.

Gunakan nama hub yang didokumentasikan operator, bukan nama yang diingat dari tangkapan layar. Klien yang bergabung ke hub yang salah mencapai jaringan lain dengan kredensial yang sah, yang merupakan temuan konfigurasi dan bukan pelanggaran keamanan. Simpan nama hub dan tujuannya dalam catatan profil koneksi.

Administrasi dibatasi dengan cara yang sama. Administrator hub mengelola hub itu, sedangkan administrator server mengelola proses, pendengar, dan setiap hub di host.

Sambungan menentukan apa yang ada di seberang

Hub sendiri menghubungkan sesi satu sama lain. Menjangkau hal lain bergantung pada bagaimana hub terhubung: jembatan lokal ke antarmuka fisik, router virtual, atau kaskade ke server lain. Setiap sambungan membawa aturan penerusannya sendiri dan mode kegagalannya sendiri. Menganggap hub menyediakan akses internet adalah kesalahan paling umum tentang produk ini.

SecureNAT adalah opsi bawaan, diimplementasikan dengan router virtual dan layanan DHCP virtual di dalam server. Opsi ini nyaman untuk laboratorium dan canggung untuk apa pun yang membutuhkan pengalamatan atau kebijakan yang dapat diprediksi. Jembatan lokal menempatkan hub pada segmen nyata, yang mewarisi pengalihan, DHCP, dan perilaku siaran segmen tersebut.

Kaskade menghubungkan dua server sehingga sesi di satu hub dapat muncul di server lain. Ini hubungan hub-ke-hub, jadi kedua ujung membutuhkan kebijakan yang kompatibel dan jalur yang berfungsi di antara keduanya.

Baca sesi dan kebijakan secara terpisah

Tampilan sesi, alamat MAC, dan alamat IP menggambarkan bagaimana jaringan virtual saat ini. Itu adalah pengamatan, bukan izin. Sesi yang terlihat dalam daftar tidak dengan sendirinya berhak atas setiap layanan yang dapat dijangkau hub, dan sebaliknya juga berlaku.

Bandingkan daftar sesi dengan kebijakan yang seharusnya berlaku. Perangkat dengan alamat di luar rentang yang dimaksud biasanya berarti DHCP dari tempat lain atau klien yang dikonfigurasi secara manual. Alamat MAC yang berpindah antar sesi berarti perangkat yang dimigrasikan atau dua perangkat yang berbagi identitas. Keduanya layak diperiksa, dan tidak satu pun dibuktikan hanya oleh tabel.

Di server, vpncmd melaporkan gambar yang sama dari sudut pandang host. Bandingkan keluaran itu dengan tampilan klien sendiri setiap kali keduanya berbeda.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Perlakukan administrasi hub sebagai peran tersendiri, bukan izin klien. Mendelegasikan satu hub seharusnya tidak menyerahkan pendengar atau proses yang menghosting setiap hub lainnya.

Periksa klien setelah bergabung

Dari sisi klien, sesi yang terbentuk hanya membuktikan bahwa autentikasi dan nama hub diterima. Konfirmasi alamat, rute, dan resolusi nama secara terpisah, karena masing-masing dapat gagal setelah hub menerima sesi.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Daftar alamat menunjukkan apakah adaptor menerima sewa dari sumber yang dimaksud. Kueri rute menunjukkan antarmuka mana yang akan membawa tujuan privat, dan kueri resolver menunjukkan apakah DNS mengikuti sesi. Hub yang meneruskan paket sementara DNS masih menunjuk ke jaringan lokal menghasilkan koneksi setengah berfungsi yang klasik.

Uji aplikasi, bukan tautannya. Halaman intranet yang dimuat adalah bukti yang lebih kuat daripada adaptor dengan alamat yang masuk akal.