SoftEther の仮想ハブが実際に接続するもの

SoftEther の仮想ハブは単一のサーバー内のメンバーシップ境界であり、場所ではありません。ハブに参加したセッションは、ハブが接続されているものに届きますが、別のハブのセッションは、両方が同じサーバーで認証される場合でも届きません。そのため、ログインに成功してもクライアントが誤ったネットワークに置かれることがあります。ハブを仮想スイッチとして読むと、何を行うのか、何をブリッジ、ルーティング、カスケード設定に残すのかが明確になります。

ハブはメンバーシップ境界

単一のサーバーが複数のハブをホストでき、それぞれに独自のユーザー、セッション、ポリシーがあります。認証はセッションが誰かを確定し、ハブはそのセッションがどの仮想ネットワークに参加するかを決めます。したがって、同じホスト上の二つのハブは、たまたまハードウェアを共有する二つの別個のスイッチのように振る舞います。ログインの成功は、セッションが意図した場所に着地したことを何も意味しません。

スクリーンショットから覚えた名前ではなく、運用者が文書化したハブ名を使用してください。誤ったハブに参加したクライアントは、有効な資格情報のまま別のネットワークに到達し、これはセキュリティ侵害ではなく設定上の発見です。ハブ名とその目的を接続プロファイルのメモに残してください。

管理も同じように範囲が分かれます。ハブ管理者はそのハブを管理し、サーバー管理者はプロセス、リスナー、ホスト上のすべてのハブを管理します。

接続が向こう側を決める

ハブはそれ自体でセッション同士を接続します。それ以外に届くかどうかは、ハブがどう接続されているかによります：物理インターフェースへのローカルブリッジ、仮想ルーター、または別のサーバーへのカスケードです。各接続は独自の転送ルールと独自の障害の仕方を持ちます。ハブがインターネットアクセスを提供するという想定は、この製品について最も多い誤解です。

SecureNAT は組み込みの選択肢で、サーバー内部の仮想ルーターと仮想 DHCP サービスで実装されています。実験室には便利で、予測可能なアドレス指定やポリシーを必要とするものには扱いにくい方法です。ローカルブリッジはハブを実在のセグメントに置き、そのセグメントのスイッチング、DHCP、ブロードキャストの動作を引き継ぎます。

カスケードは二つのサーバーをリンクし、一方のハブのセッションがもう一方に現れるようにします。これはハブ同士の関係なので、両端に互換性のあるポリシーと、その間で機能する経路が必要です。

セッションとポリシーを分けて読む

セッション、MAC アドレス、IP アドレスの表示は、仮想ネットワークが現在どう見えるかを示します。それは観察であり、権限ではありません。一覧に見えるセッションが、それだけでハブが届くすべてのサービスを受ける権利を持つわけではなく、逆もまた同様です。

セッション一覧を、適用されるべきポリシーと比較してください。想定範囲外のアドレスを持つ機器は、通常、どこか別の場所からの DHCP か手動で設定されたクライアントを意味します。セッション間で移動する MAC アドレスは、移行した機器か、同一性を共有する二つの機器を意味します。どちらも確認する価値があり、どちらも表だけで証明されるものではありません。

サーバー上では、vpncmd がホストの視点から同じ像を報告します。両者が食い違うときは、その出力をクライアント自身の表示と比較してください。

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

ハブの管理はクライアントの許可ではなく、独自の役割として扱ってください。一つのハブを委任しても、リスナーや他のすべてのハブをホストするプロセスを渡すべきではありません。

参加後にクライアントを確認する

クライアント側では、確立したセッションは認証とハブ名が受け入れられたことだけを証明します。アドレス、経路、名前解決を、ハブがセッションを受け入れた後でもそれぞれが失敗し得るため、別々に確認してください。

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

アドレス一覧は、アダプターが想定された供給元からリースを受けたかを示します。経路の問い合わせは、どのインターフェースがプライベートな宛先を運ぶかを示し、リゾルバーの問い合わせは、DNS がセッションに追随したかを示します。DNS がまだローカルネットワークを指しているのにハブがパケットを転送すると、典型的な半分しか機能しない接続になります。

リンクではなくアプリケーションを試してください。読み込まれるイントラネットのページは、もっともらしいアドレスを持つアダプターより強い証拠です。