რას აკავშირებს სინამდვილეში SoftEther-ის ვირტუალური ჰაბი

SoftEther-ის ვირტუალური ჰაბი წევრობის საზღვარია ერთი სერვერის შიგნით და არა მდებარეობა. ჰაბზე შეერთებული სესიები მიაღწევენ იმას, რასაც ჰაბი მიმაგრებულია, ხოლო სხვა ჰაბის სესიები ვერ მიაღწევენ, მაშინაც კი, როცა ორივე ერთსა და იმავე სერვერზე ავთენტიფიცირდება. ამიტომ წარმატებულ შესვლას მაინც შეუძლია კლიენტი არასწორ ქსელში მოათავსოს. ჰაბის ვირტუალურ გადამრთველად წაკითხვა განმარტავს, რას აკეთებს ის და რას ტოვებს ხიდებას, მარშრუტიზაციას და კასკადის კონფიგურაციას.

ჰაბი წევრობის საზღვარია

ერთ სერვერს შეუძლია რამდენიმე ჰაბის ჰოსტინგი, თითოეული საკუთარი მომხმარებლებით, სესიებით და პოლიტიკით. ავთენტიფიკაცია ადგენს, ვინ არის სესია, ხოლო ჰაბი წყვეტს, რომელ ვირტუალურ ქსელს უერთდება ეს სესია. ამიტომ ერთ ჰოსტზე ორი ჰაბი იქცევა როგორც ორი ცალკე გადამრთველი, რომლებიც შემთხვევით იზიარებენ აპარატურას. წარმატებულ შესვლაში არაფერი ნიშნავს, რომ სესია იქ დაეშვა, სადაც გსურდათ.

გამოიყენეთ ოპერატორის მიერ დოკუმენტირებული ჰაბის სახელი და არა ეკრანის სურათიდან დამახსოვრებული სახელი. არასწორ ჰაბზე შეერთებული კლიენტი მოქმედი სერთიფიკატით სხვა ქსელს აღწევს, რაც კონფიგურაციის აღმოჩენაა და არა უსაფრთხოების დარღვევა. შეინახეთ ჰაბის სახელი და მისი დანიშნულება კავშირის პროფილის შენიშვნებში.

ადმინისტრირება იმავე გზით არის შემოსაზღვრული. ჰაბის ადმინისტრატორი მართავს ამ ჰაბს, ხოლო სერვერის ადმინისტრატორი მართავს პროცესს, მსმენელებს და ჰოსტზე ყველა ჰაბს.

მიმაგრებები განსაზღვრავს, რა არის იქით

ჰაბი თავისთავად აკავშირებს სესიებს ერთმანეთთან. სხვა რამეზე მიღწევა დამოკიდებულია იმაზე, როგორ არის ჰაბი მიმაგრებული: ლოკალური ხიდი ფიზიკურ ინტერფეისთან, ვირტუალური როუტერი ან კასკადი სხვა სერვერთან. თითოეული მიმაგრება თავის გადაცემის წესებს და თავის მარცხის რეჟიმებს ატარებს. ვივარაუდოთ, რომ ჰაბი ინტერნეტ წვდომას იძლევა, პროდუქტთან დაკავშირებით ყველაზე გავრცელებული შეცდომაა.

SecureNAT არის ჩაშენებული ვარიანტი, რეალიზებული ვირტუალური როუტერით და ვირტუალური DHCP სერვისით სერვერის შიგნით. ის მოსახერხებელია ლაბორატორიისთვის და მოუხერხებელი ყველაფრისთვის, რასაც პროგნოზირებადი მისამართები ან პოლიტიკა სჭირდება. ლოკალური ხიდი ჰაბს რეალურ სეგმენტზე აყენებს, რომელიც მემკვიდრეობით იღებს ამ სეგმენტის გადართვას, DHCP-ს და მაუწყებლობის ქცევას.

კასკადი აკავშირებს ორ სერვერს, რათა ერთი ჰაბის სესიები მეორეზე გამოჩნდეს. ეს ჰაბ-ჰაბ ურთიერთობაა, ამიტომ ორივე მხარეს თავსებადი პოლიტიკა და მათ შორის მომუშავე გზა სჭირდება.

წაიკითხეთ სესიები და პოლიტიკა ცალ-ცალკე

სესიების, MAC მისამართების და IP მისამართების ხედები აღწერს, როგორ გამოიყურება ვირტუალური ქსელი ახლა. ეს დაკვირვებებია და არა ნებართვები. სიაში ხილული სესია ამით არ ხდება უფლებამოსილი ყველა სერვისზე, რასაც ჰაბი აღწევს, და პირიქითაც მართალია.

შეადარეთ სესიების სია იმ პოლიტიკას, რომელიც უნდა გავრცელდეს მასზე. მოწყობილობა განზრახული დიაპაზონის გარეთ მისამართით ჩვეულებრივ ნიშნავს DHCP-ს სხვა ადგილიდან ან ხელით კონფიგურირებულ კლიენტს. სესიებს შორის გადაადგილებადი MAC მისამართი ნიშნავს გადატანილ მოწყობილობას ან ორ მოწყობილობას, რომლებიც იზიარებენ იდენტობას. ორივე ყურადღებას იმსახურებს და არც ერთი არ მტკიცდება მხოლოდ ცხრილით.

სერვერზე vpncmd იმავე სურათს აცნობებს ჰოსტის თვალსაზრისით. შეადარეთ ეს გამომავალი კლიენტის საკუთარ ხედს, როცა ორივე არ ემთხვევა.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

ჰაბის ადმინისტრირებას საკუთარ როლად მოეკიდეთ და არა კლიენტის ნებართვად. ერთი ჰაბის დელეგირებამ არ უნდა გადასცეს მსმენელები ან პროცესი, რომელიც ყველა სხვა ჰაბს ჰოსტავს.

შეამოწმეთ კლიენტი შეერთების შემდეგ

კლიენტის მხრიდან დამყარებული სესია მხოლოდ იმას ამტკიცებს, რომ ავთენტიფიკაცია და ჰაბის სახელი მიღებულია. ცალ-ცალკე დაადასტურეთ მისამართი, მარშრუტი და სახელების გადაწყვეტა, რადგან თითოეული მათგანი შეიძლება ჩავარდეს მას შემდეგ, რაც ჰაბმა სესია მიიღო.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

მისამართების სია აჩვენებს, მიიღო თუ არა ადაპტერმა იჯარა განზრახული წყაროდან. მარშრუტის მოთხოვნა აჩვენებს, რომელი ინტერფეისი გადაიტანს კერძო დანიშნულებას, ხოლო გადამწყვეტის მოთხოვნა აჩვენებს, გაჰყვა თუ არა DNS სესიას. ჰაბი, რომელიც პაკეტებს გადასცემს, სანამ DNS კვლავ ლოკალურ ქსელზე მიუთითებს, ქმნის კლასიკურ ნახევრად მომუშავე კავშირს.

გამოსცადეთ აპლიკაცია და არა ბმული. ჩატვირთული ინტრანეტის გვერდი უფრო ძლიერი მტკიცებულებაა, ვიდრე სარწმუნო მისამართის მქონე ადაპტერი.