SoftEther 가상 허브가 실제로 연결하는 것

SoftEther의 가상 허브는 한 서버 안의 멤버십 경계이지 위치가 아닙니다. 허브에 가입한 세션은 허브가 연결된 대상에 닿을 수 있고, 다른 허브의 세션은 두 세션이 같은 서버에서 인증되더라도 닿을 수 없습니다. 그래서 로그인이 성공해도 클라이언트가 잘못된 네트워크에 놓일 수 있습니다. 허브를 가상 스위치로 읽으면 무엇을 하는지, 무엇을 브리징, 라우팅, 캐스케이드 구성에 남기는지가 분명해집니다.

허브는 멤버십 경계

한 서버가 여러 허브를 호스팅할 수 있으며, 각각 고유한 사용자, 세션, 정책을 가집니다. 인증은 세션이 누구인지 정하고, 허브는 그 세션이 어느 가상 네트워크에 가입하는지 결정합니다. 따라서 한 호스트의 두 허브는 우연히 하드웨어를 공유하는 두 개의 별도 스위치처럼 동작합니다. 성공한 로그인이 세션이 의도한 곳에 도착했다는 것을 의미하지는 않습니다.

스크린샷에서 기억한 이름이 아니라 운영자가 문서화한 허브 이름을 사용하세요. 잘못된 허브에 가입한 클라이언트는 유효한 자격 증명으로 다른 네트워크에 닿으며, 이는 보안 침해가 아니라 구성상의 발견입니다. 허브 이름과 그 목적을 연결 프로필 메모에 남기세요.

관리도 같은 방식으로 범위가 나뉩니다. 허브 관리자는 그 허브를 관리하고, 서버 관리자는 프로세스, 리스너, 호스트의 모든 허브를 관리합니다.

연결이 저편에 무엇이 있는지 결정한다

허브는 그 자체로 세션을 서로 연결합니다. 그 밖의 것에 닿는 것은 허브가 어떻게 연결되어 있는지에 달려 있습니다: 물리 인터페이스로의 로컬 브리지, 가상 라우터, 또는 다른 서버로의 캐스케이드입니다. 각 연결은 고유한 전달 규칙과 고유한 실패 방식을 지닙니다. 허브가 인터넷 접속을 제공한다고 가정하는 것이 이 제품에 대한 가장 흔한 오해입니다.

SecureNAT는 내장 옵션으로, 서버 내부의 가상 라우터와 가상 DHCP 서비스로 구현됩니다. 실험실에는 편리하고 예측 가능한 주소 지정이나 정책이 필요한 모든 것에는 불편합니다. 로컬 브리지는 허브를 실제 세그먼트에 놓고, 그 세그먼트의 스위칭, DHCP, 브로드캐스트 동작을 물려받습니다.

캐스케이드는 두 서버를 연결하여 한 허브의 세션이 다른 쪽에 나타날 수 있게 합니다. 허브 대 허브 관계이므로 양쪽 모두 호환되는 정책과 둘 사이의 동작하는 경로가 필요합니다.

세션과 정책을 따로 읽기

세션, MAC 주소, IP 주소 보기는 가상 네트워크가 지금 어떻게 보이는지 설명합니다. 그것은 관찰이지 권한이 아닙니다. 목록에 보이는 세션이 그 때문에 허브가 닿을 수 있는 모든 서비스에 대한 권리를 갖는 것은 아니며, 그 반대도 마찬가지입니다.

세션 목록을 적용되어야 할 정책과 비교하세요. 의도한 범위를 벗어난 주소를 가진 장치는 보통 다른 곳의 DHCP나 수동으로 구성된 클라이언트를 뜻합니다. 세션 사이를 옮겨 다니는 MAC 주소는 이전된 장치나 하나의 정체성을 공유하는 두 장치를 뜻합니다. 둘 다 살펴볼 가치가 있고, 어느 것도 표만으로 증명되지 않습니다.

서버에서는 vpncmd 호스트의 관점에서 같은 그림을 보고합니다. 둘이 어긋날 때마다 그 출력을 클라이언트 자신의 보기와 비교하세요.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

허브 관리를 클라이언트 권한이 아니라 자체 역할로 취급하세요. 허브 하나를 위임하는 것이 리스너나 다른 모든 허브를 호스팅하는 프로세스를 넘겨서는 안 됩니다.

가입 후 클라이언트 확인

클라이언트 쪽에서 확립된 세션은 인증과 허브 이름이 받아들여졌다는 것만 증명합니다. 주소, 경로, 이름 해석을 허브가 세션을 받아들인 뒤에도 각각 실패할 수 있으므로 따로 확인하세요.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

주소 목록은 어댑터가 의도한 원천에서 임대를 받았는지 보여 줍니다. 경로 질의는 어느 인터페이스가 사설 목적지를 실을지 보여 주고, 리졸버 질의는 DNS가 세션을 따랐는지 보여 줍니다. DNS가 아직 로컬 네트워크를 가리키는데 허브가 패킷을 전달하면 전형적인 절반만 작동하는 연결이 됩니다.

링크가 아니라 애플리케이션을 시험하세요. 로드되는 인트라넷 페이지는 그럴듯한 주소를 가진 어댑터보다 강한 증거입니다.