SoftEther SecureNAT: DHCP пен NAT — екі бөлек шешім

SecureNAT — екі қызметті бір уақытта қосатын бір құсбелгі, және ол туралы шатасудың көбі осыдан туындайды. Виртуалды DHCP сервері клиентке мекенжай, маска, шлюз және жиі шешуші береді. Виртуалды NAT сервер хостінің өз желілік стекін пайдаланып, пакеттерді сол шлюзден әрі жібереді. Олар конфигурацияда қатар тұрады және тәуелсіз түрде істен шығады: клиенттің мінсіз жалдауы болып, жұмыс істейтін жолы болмауы мүмкін, немесе жұмыс істейтін жолы болып, параметрлері қате шешушіге нұсқауы мүмкін. Оларды екі шешім ретінде тексеріңіз, сонда диагностика қысқарады.

Бір құсбелгінің артындағы екі қызмет

Виртуалды DHCP жағы конфигурациялық сұраққа жауап береді: бұл клиент осы виртуалды хабтың ішінде қандай параметрлерді алады. Виртуалды NAT жағы жіберу сұрағына жауап береді: клиент хабтан тыс мекенжайға пакет жібергенде, сервер оны аударып, әрі жібере ме. Біріншісі хаб үшін жергілікті және жоғарғы желіні қажет етпейді. Екіншісі толығымен хостқа тәуелді.

Виртуалды хост интерфейсі бірінші шешімге жатады, екіншісіне емес. Оның мекенжайы, жиі әдепкіде 192.168.30.1 тәрізді нәрсе, DHCP қызметі ұсынатын шлюз болып табылады. Бұл сервердің жария тыңдау мекенжайы емес, және екеуін шатастыру сол желіде жоқ машинаға бағытталған фаервол ережелері мен клиент параметрлерін тудырады.

Шешім 1: мекенжайды кім береді

Егер виртуалды DHCP қосулы болса, клиенттер сіз конфигурациялаған пулдан жалдау алуы керек, шлюз ретінде виртуалды хост интерфейсі және шешуші ретінде сіз берген шешуші. Клиенттің күй мәтінін емес, жалдауды қараңыз, өйткені «қосылған» туннельді сипаттайды, мекенжайды бөлуді емес:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Басқа нәрсені жөндеуден бұрын білуге тұрарлық екі ақау режимі бар. Алдыңғы жобадан қалған статикалық мекенжайы бар клиент оны сақтап, жалдауды елемейді, бұл DHCP жауап беруден бас тартқандай көрінеді. Ал көпірленген сегменттегі екінші DHCP көзі сол клиенттер үшін бәсекелеседі, бұл үзілісті мекенжайлар мен мәселені қайта жаңғырта алмайтын қолдау кезегін тудырады.

Қабаттасатын пулдар да осында жатады. Егер виртуалды DHCP пулы хосттың LAN ішкі желісімен немесе басқа хабтың пулымен қабаттасса, клиент екіұшты маршрутталатын мекенжай алады, және кейінгі әрбір тест нәтижесіз болады.

Шешім 2: виртуалды шлюзден әрі кім жібереді

Виртуалды NAT қосулы болса, хабтан шығатын трафикті сервер аударып, хосттың маршруттау кестесі арқылы жібереді. Бұл жіберу тізбегі мынадай деген сөз: клиенттен виртуалды шлюзге, виртуалды NAT-тан хост стекіне, хост стекінен өзінің әдепкі маршрутына. Әр буын басқаларына тимей-ақ істен шығуы мүмкін, және ақау белгілері әртүрлі.

Екінші шешімді хабтан шығуға міндетті нәрсемен тексеріңіз, оған жергілікті нәрсемен емес. Виртуалды шлюзге ping жасау тек бірінші буынды дәлелдейді, одан артық емес:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Егер атауларды шешу жұмыс істеп, бірақ жария мекенжайға қосылыстар сәтсіз болса, сіз DHCP-де емес, жіберу тізбегіндесіз. Екеуі де сәтсіз болса, алдымен шешушіні тексеріңіз, өйткені қолжетімсіз ішкі мекенжай ретінде берілген шешуші жұмыс істеп тұрған жолды толығымен бұзылғандай көрсетеді.

SecureNAT жіберуін сервер процесі жүзеге асырады, көпірмен қолданатын ядроның жіберу жолы емес. Бұл қолайлы және көпірлеуден баяу, сонымен қатар хосттың өз фаервол ережелері мен маршруттау шешімдері аударылған трафикке әлі де қолданылатынын білдіреді. Виртуалды NAT хост саясатын айналып өтпейді; оны пайдаланады.

Хосттың өз жолы — үшінші нәрсе

Жоғарыдағының бәрі сервер хості межелі орынға жете алады деп болжайды. Жұмыс істейтін жоғарғы маршруты жоқ, шығу саясаты шектеулі немесе қолында жоқ мекенжайлар отбасы бар хост хаб конфигурациясы қаншалықты дұрыс болса да, екінші шешімде сәтсіздікке ұшырайды. Хостты бөлек, туннельден тыс тексеріңіз, оның сәтсіздігін SoftEther-ге телудің алдында.

SecureNAT серверге қосылған әрбір желіге жетуге рұқсат та емес. Ол өзіне жеткен трафикті аударып, әрі жібереді; хосттың неге жете алатынын шешу әлі де хосттың фаерволы мен маршруттауының жұмысы, ал қатынас беруді туннельге сеніп тапсырған жоба артық беруден бір ғана нашар ереже қашық.

Мекенжайлар отбасы өз тексеруіне лайық. Жұмыс істейтін IPv4 DHCP мысалы сіздің құрастырмаңызда IPv6-ның әрбір мүмкіндігі бар екенін дәлелдемейді, сондықтан қос стек мінез-құлқын уәде етудің алдында нақты іске қосатын нұсқаңыздың нұсқаулығын оқыңыз. Нұсқаулықтың SecureNAT бөлімі ағымдағы шығарылым үшін виртуалды NAT және DHCP функцияларын қамтиды.

Әр шешімді өз тестімен тексеріңіз

Бірінші шешімді жалдауды тексерумен қабылдаңыз: мекенжай пулда, шлюз виртуалды хост интерфейсіне тең, шешуші сіз конфигурациялаған. Екіншісін клиенттен шығатын сұраныспен және сервердегі NAT кестесіне бір көз жүгіртумен қабылдаңыз, өйткені сессиялар санының өсуі аударманың жай ғана қосулы емес, шынымен жүріп жатқанының жалғыз тікелей дәлелі.

Содан кейін бөліністі жобалау жазбасына тіркеңіз: қай компонент мекенжай береді, қай компонент әрі жібереді және трафик қай хост интерфейсінен шығады. Қайта іске қосу мінез-құлықты өзгертсе, сол жазба үшеуінің қайсысын тексеру керегін айтады, бәрін қайта іске қосып, симптомның жылжуын күтудің орнына.

Тағы бір шешім жазбаға тиесілі, бүгін қабылдамасаңыз да: SecureNAT пен жергілікті көпір — бір хаб үшін әртүрлі жобалар, ал екеуі де қажет хаб басқа жоспар қажет хаб. Саналы түрде таңдаңыз, себебін жазыңыз, сонда келесі адам оны жұмыс істеп тұрған конфигурациядан кері инженериялауға мәжбүр болмайды.