SoftEther SecureNAT: DHCP og NAT eru tvær ákvarðanir

SecureNAT er einn gátreitur sem kveikir á tveimur þjónustum, og þaðan kemur mestallt ruglið í kringum það. Sýndar-DHCP-þjónn gefur biðlaranum vistfang, grímu, hlið og oft uppflettingarþjón. Sýndar-NAT sendir pakka fram hjá þeirri hlið með eigin netstöflum þjónshýsilsins. Þau standa hlið við hlið í stillingunni og bila óháð hvort öðru: biðlari getur haft fullkomna leigu og enga virka leið, eða virka leið með stillingum sem vísa á rangt uppflettingarþjón. Athugaðu þau sem tvær ákvarðanir, og greiningin verður stutt.

Tvær þjónustur bak við einn gátreit

Sýndar-DHCP-hliðin svarar stillingarspurningu: hvaða stillingar fær þessi biðlari innan þessarar sýndarmiðstöðvar. Sýndar-NAT-hliðin svarar framsendingarspurningu: þegar biðlari sendir pakka á vistfang utan miðstöðvarinnar, þýðir og sendir þjónninn hann þá. Hið fyrra er staðbundið fyrir miðstöðina og þarf ekkert net fyrir ofan. Hið síðara fer algjörlega eftir hýslinum.

Sýndarhýsilviðmótið tilheyrir fyrri ákvörðuninni, ekki þeirri seinni. Vistfang þess, oft eitthvað eins og 192.168.30.1 að sjálfgefnu, er hliðið sem DHCP-þjónustan býður. Það er ekki opinbert hlustunarvistfang þjónsins, og að rugla þeim tveimur skapar eldveggjarreglur og biðlarastillingar sem beinast að vél sem er ekki til á því neti.

Ákvörðun 1: hver gefur vistfangið

Ef sýndar-DHCP er virkt eiga biðlarar að fá leigu í lauginni sem þú stilltir, með sýndarhýsilviðmótið sem hlið og uppflettingarþjóninn sem þú gafst. Skoðaðu leiguna frekar en stöðutexta biðlarans, því «tengdur» lýsir göngunum en ekki úthlutun vistfangsins:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Tveir bilanatilhættir eru þess virði að þekkja áður en þú kembir eitthvað annað. Biðlari með afgangs kyrrstætt vistfang frá fyrri hönnun heldur því og hunsar leiguna, sem lítur út eins og DHCP neiti að svara. Og önnur DHCP-uppspretta á brúaðri sundurdeild mun keppa um sömu biðlara, sem gefur slitrótt vistföng og stuðningsröð sem getur ekki endurgert vandamálið.

Skörun lauga á einnig hér heima. Ef sýndar-DHCP-laugin skarast við LAN-undirnet hýsilsins eða laug annarrar miðstöðvar fær biðlarinn vistfang sem er leiðbeint á tvíræðan hátt, og hvert síðara próf er óákveðið.

Ákvörðun 2: hver sendir fram hjá sýndarhliðinu

Með sýndar-NAT virkt þýðir þjónninn útleiðandi umferð frá miðstöðinni og sendir hana um leiðarvísitöflu hýsilsins. Það þýðir að framsendingarkeðjan er: biðlari að sýndarhliði, sýndar-NAT að stöflum hýsilsins, staflar hýsilsins að sjálfgefinni leið sinni. Hver hlekkur getur bilað án þess að snerta hina, og bilanamerkin eru ólík.

Prófaðu seinni ákvörðunina með einhverju sem verður að yfirgefa miðstöðina, ekki með einhverju staðbundnu við hana. Að pinga sýndarhliðið sannar fyrsta hlekkinn og ekkert meira:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Ef nafnauppfletting virkar en tengingar við opinbert vistfang mistakast, ertu í framsendingarkeðjunni en ekki í DHCP. Ef bæði mistakast, athugaðu uppflettingarþjóninn fyrst, því uppflettingarþjónn sem er ýtt út sem óaðgengilegt innra vistfang lætur virka leið líta út fyrir að vera gjörsamlega brotin.

Framsendingu SecureNAT er hrint í framkvæmd af þjónferlinu, ekki af kjarnaframsendingarleiðinni sem þú myndir nota með brú. Það er þægilegt og hægara en brúun, og það þýðir líka að eigin eldveggjarreglur og leiðarákvarðanir hýsilsins gilda áfram um þýddu umferðina. Sýndar-NAT fer ekki fram hjá stefnu hýsilsins; það notar hana.

Eigin leið hýsilsins er þriðja málið

Allt hér að ofan gerir ráð fyrir að þjónshýsillinn nái áfangastaðnum. Hýsill án virkrar leiðar upp á við, með takmarkandi útstefnu eða með vistfangafjölskyldu sem hann hefur ekki mun mistakast seinni ákvörðunina, hversu rétt sem stilling miðstöðvarinnar er. Athugaðu hýsilinn sjálfan, utan ganganna, áður en þú kenndir bilun hans SoftEther.

SecureNAT er heldur ekki heimild til að ná á hvert það net sem er tengt þjóninum. Það þýðir og sendir umferð sem nær til þess; að ákveða hvað hýsillinn má ná á er enn verk eldveggjar og leiðar hýsilsins, og hönnun sem treystir á göngin til að veita aðgang er einni slæmri reglu frá að veita of mikið.

Vistfangafjölskyldur eiga skilið eigið eftirlit. Virkt IPv4 DHCP-dæmi sannar ekki að hver IPv6-geta sé til í byggingunni þinni, svo lestu handbókina fyrir þá útgáfu sem þú keyrir í raun áður en þú lofar tvískiptri hegðun. SecureNAT-kafli handbókarinnar nær yfir sýndar-NAT og DHCP-aðgerðir fyrir núverandi útgáfu.

Athugaðu hverja ákvörðun með eigin prófi

Samþykktu fyrri ákvörðunina með leiguskrá: vistfang í lauginni, hlið jafnt sýndarhýsilviðmótinu, uppflettingarþjónn sá sem þú stilltir. Samþykktu hina seinni með útleiðandi beiðni frá biðlaranum auk svips á NAT-töfluna á þjóninum, því vaxandi fjöldi lota er eina beina sönnunin fyrir því að þýðing á sér stað en ekki bara að hún sé virk.

Skráðu svo skiptinguna í hönnunarminnispunktinn: hvaða eining gefur vistfangið, hvaða eining sendir fram og um hvaða hýsilviðmót umferðin fer út. Þegar endurræsing breytir hegðun segir sá minnispunktur þér hvert þriggja þú átt að skoða í stað þess að endurræsa allt og vona að einkennin færist til.

Ein ákvörðun til viðbótar á heima í skránni, jafnvel þótt þú takir hana ekki í dag: SecureNAT og staðbundin brú eru ólíkar hönnur fyrir sömu miðstöð, og miðstöð sem þarf bæði er miðstöð sem þarf aðra áætlun. Veldu af ásetningi, skrifaðu hvers vegna, og næsti maður þarf ekki að bakverkfræða það út frá stillingu í gangi.