SoftEther жергиликтүү көпүрөсү же SecureNAT: кайсынысын күйгүзүү керек

SoftEther Manager ачыңыз, жана хаб жөнүндө биринчи чыныгы чечим белги кутучасы эмес, топология маселеси. Жергиликтүү көпүрө ошол хабды физикалык адаптерге туташтырат жана бар сегментке дарек берүүгө мүмкүндүк берет, ал эми SecureNAT хабга өзүнүн виртуалдык маршрутизаторун, NAT жана DHCP берет. Алардын ортосундагы тандоо даректердин кайдан келерин жана алар үчүн кайсы түзмөк жооп берерин өзгөртөт. Экөөнү тең күйгүзүп, бирөө жеңет деп үмүт кылуу — иштеп турган лабораторияны колдоо темасына айландырган жол.

Чындап оңдоп жаткан хабдан баштаңыз

Manager серверлердин жана хабдардын дарагын көрсөтөт, жана демейки хабды жөндөө оңой, ал эми кардарлар башка аттуу хабга туташат. Хабды басып, атын окуңуз жана астында тизилген сессиялар кызмат көрсөткүңүз келген кардарлар экенин ырастаңыз. Ушул бир текшерүү кийин протоколго жабылган түшүнбөстүктүн көп бөлүгүн алдын алат.

Андан кийин кардарга алыскы жактан эмне керек экенин чечиңиз. Таратуу жана LAN кызматтары бар жалпы Ethernet жүрүм-туруму көпүрөгө шилтейт, кичине дарек диапазонуна маршрутталган жеке кирүү SecureNAT-ка шилтейт, ал эми интернетке чыгуу — эки жайгашуу тең начар көтөрө турган маршруттоо чечими.

Бир нерсе басуудан мурун жоопту жазып коюңуз, анткени бул эки параметр бири-бирин алмаштырбайт жана кайтаруу чечим кабыл алуудан узакка созулат. Эки мүнөт жазуу бир саат кайра туташууну үнөмдөйт.

Жергиликтүү көпүрө даректерге эмне кылат

Жергиликтүү көпүрө хабды физикалык адаптерге туташтырат, ошондуктан хаб ошол Ethernet сегментинин бөлүгү болот. Кардарлар даректерди сегментке мурунтан кызмат кылып жаткан нерседен алышат, ал эми алардын шлюзу сегменттин маршрутизатору болот. Кардардын көз карашынан алганда ал кеңсе LAN-ына кошулду, аны менен келген бардык жеткиликтүүлүк жана бардык таасир менен.

Бул ошондой эле көпүрөгө туура драйвер колдоосу бар чыныгы адаптер керек экенин жана администратордун ошол сегментти кеңейтүүгө укугу болушу керектигин билдирет. VPN кирүү аутентификацияны далилдейт, өндүрүштүк VLAN-га хост коюу укугун эмес. Драйвердин аты ниет кылган адаптерге дал келерин текшериңиз, анткени туура эмес портту көпүрө кылуу сегментти тез иштен чыгарат. Эгер адаптерлердин тизмеси бош болсо же көпүрө ийгиликсиздик жөнүндө билдирсе, себеби адатта драйверге же укуктарга байланыштуу, криптографияга эмес.

Графикалык дарак так эмес болгондо көпүрө таблицасын командалык саптан окуңуз. Чыгуу адаптерди атайт, дарак муну ар дайым кылбайт.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Туташкан сессиялар менен бош көпүрө тизмеси пайдалуу сүрөт: кардарлар виртуалдык хабдын ичинде жана азырынча эч нерсе аны сегментке кеңейтип жаткан жок.

SecureNAT эмне кошот жана эмнени жашырат

SecureNAT хабга виртуалдык маршрутизатор, NAT функциясын жана DHCP кызматын берет, баары SoftEther процессинин ичинде. Кардарлар виртуалдык DHCP диапазонунан даректерди алышат, виртуалдык маршрутизатор демейки шлюз үчүн жооп берет, ал эми тышка чыгуучу трафик которулат. Физикалык адаптер катышпайт, ошондуктан бул бир NIC жана коммутатор конфигурациясыз хостто иштейт.

Баасы — виртуалдык даректер хабга таандык жана башка эч нерсеге эмес. Кеңсе LAN-ындагы машина жардамсыз кардардын SecureNAT дарегине маршруттай албайт, ал эми баштапкы даректерди журналга жазган нерселердин баары SoftEther хосттун которулган дарегин көрөт. Эгер сиздин кирүү эрежелериңиз же аудит изиңиз кардардын чыныгы дарегине көз каранды болсо, бул деталь эмес, дизайн өзгөрүүсү. Бул ошондой эле баштапкы дарек эрежеси кардарды такыр көрөбү — аны аныктайт.

Ал ошондой эле DHCP сервери. Мурунтан бири бар сегментте иштетүү же ошол сегментти ошол эле учурда көпүрө кылуу эки жооп берүүчүнү жана болжолдоого келбеген ижараларды жаратат. Нускама ушул себептен эки функцияны өзүнчө тандоо катары карайт.

Башка нерсени иштетүүдөн мурун хаб азыр эмнеге кызмат кылып жатканын текшериңиз. Ар бир буйрук ниет кылынганды эмес, учурдагы абалды басып чыгарат.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Бирөөнү экинчисин бузбай күйгүзүү

Жайгашууну тандаңыз, аны күйгүзүңүз, ал эми экинчисин өчүк калтырыңыз. Көпүрөсү да, SecureNAT-ы да бир убакта активдүү хаб — бир суроого эки мүмкүн болгон жообу бар хаб, жана кардар биринчи келгенине ишенет. Бирден экинчисине өткөндө эски функцияны өчүрүп, кардарды кайра туташтырыңыз, жаңы параметр бар сессияга таасир этет деп божомолдоонун ордуна.

Өзгөртүүнү кардар пулу LAN диапазону менен кабатташпайындай тартиптеңиз. Кабатташкан ички тармактар — туташып, анан эч жерге жетпеген туннелдин экинчи эң кеңири тараган себеби, жана алар эки дарек планын катар салыштырмайынча көрүнбөйт.

Андан кийин кардардан кайра туташып, ал эмне алганын окуңуз, анткени хабдын сессияга көз карашы кардардын өз тармагына көз карашы эмес. Жаңы ижараны мажбурлоонун ишенимдүү жалгыз жолу — кайра туташуу.

Кардарда шлюзду жана чечүүчүнү текшериңиз

Ийгиликтүү аутентификация каттоо маалыматтары иштеп жатканын жана хаб сессияны кабыл алганын айтат. Ал кардар бир жерге жете алабы — бул жөнүндө эч нерсе айтпайт, анткени бул ага берилген дарекке, маскага, шлюзга жана DNS серверине байланыштуу. Сервер параметрине кайра тийүүдөн мурун бул төрт маанини кардарда окуңуз.

Windows-то адаптердин деталдары ижараны жана чечүүчүнү көрсөтөт, ал эми маршрут таблицасы туннелдин чындап демейки жол экенин көрсөтөт.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Linux кардарында ошол эле маалымат дарек, маршрут жана чечүүчү файлдарынан келет. Демейки маршрут — трафиктин туннелден чыгабы-чыкпайбы аныктаган маани. Эгер шлюз кеңсе маршрутизаторун көрсөтсө, ал эми туннел трафикти ташууну күтсө, топология аты боюнча көпүрөлөнгөн жана иш жүзүндө бузулган. Адегенде дарек булагын оңдоңуз, анан колдонмону кайра сынаңыз, жана ошондон кийин гана экинчи режимди өзгөртүүнү караштырыңыз.