SoftEther SecureNAT: DHCP жана NAT — эки өзүнчө чечим

SecureNAT — эки кызматты бирдей күйгүзгөн бир белги кутучасы, жана ал жөнүндөгү башаламандыктын көбү ушундан келип чыгат. Виртуалдык DHCP сервери кардарга дарек, маска, дарбаза жана көбүнчө чечүүчү берет. Виртуалдык NAT сервер хосттун өзүнүн тармактык стегин колдонуп, пакеттерди ошол дарбазадан ары жиберет. Алар конфигурацияда катар турат жана көз карандысыз иштеп калышат: кардарда эң жакшы жалдоо болуп, иштеген жолу болбошу мүмкүн, же иштеген жолу болуп, жөндөөлөрү туура эмес чечүүчүнү көрсөтүшү мүмкүн. Аларды эки чечим катары текшериңиз, диагноз кыскарат.

Бир белги кутучасынын артындагы эки кызмат

Виртуалдык DHCP тарабы конфигурациялык суроого жооп берет: бул кардар ушул виртуалдык хабдын ичинде кандай жөндөөлөрдү алат. Виртуалдык NAT тарабы жиберүү суроосуна жооп берет: кардар хабдан тышкаркы дарекке пакет жибергенде, сервер аны которуп, ары жибереби. Биринчиси хаб үчүн жергиликтүү жана жогорку тармакты талап кылбайт. Экинчиси толугу менен хостко көз каранды.

Виртуалдык хост интерфейси биринчи чечимге таандык, экинчисине эмес. Анын дареги, көбүнчө демейки боюнча 192.168.30.1 сыяктуу нерсе, DHCP кызматы сунуш кылган дарбаза болуп саналат. Бул сервердин ачык угуучу дареги эмес, жана экөөнү аралаштыруу ошол тармакта жок машинага багытталган файрвол эрежелерин жана кардар жөндөөлөрүн жаратат.

Чечим 1: даректи ким берет

Эгер виртуалдык DHCP күйгүзүлгөн болсо, кардарлар сиз конфигурациялаган пулдан жалдоо алышы керек, дарбаза катары виртуалдык хост интерфейси жана чечүүчү катары сиз берген чечүүчү. Кардардын статус текстин эмес, жалдоону караңыз, анткени «туташкан» туннелди сүрөттөйт, даректи бөлүштүрүүнү эмес:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Башка нерсени оңдоодон мурун билүүгө татыктуу эки иштебей калуу режими бар. Мурунку долбоордон калган статикалык дареги бар кардар аны сактап, жалдоону этибарга албайт, бул DHCP жооп берүүдөн баш тарткандай көрүнөт. Ал эми көпүрөлөнгөн сегменттеги экинчи DHCP булагы ошол эле кардарлар үчүн атаандашат, бул үзгүлтүктүү даректерди жана маселени кайра жарата албаган колдоо кезегин пайда кылат.

Кайчылашкан пулдар да бул жерде. Эгер виртуалдык DHCP пулу хосттун LAN ички тармагы менен же башка хабдын пулу менен кайчылашса, кардар эки анжы маршрутталган дарек алат, жана кийинки ар бир сыноо жыйынтыксыз болот.

Чечим 2: виртуалдык дарбазадан ары ким жиберет

Виртуалдык NAT күйгүзүлгөндө, хабдан чыккан трафикти сервер которуп, хосттун маршруттоо таблицасы аркылуу жиберет. Бул жиберүү чынжыры мындай дегенди билдирет: кардардан виртуалдык дарбазага, виртуалдык NATтан хосттун стегине, хосттун стегинен өзүнүн демейки маршрутуна. Ар бир звеносу калгандарына тийбестен иштеп калышы мүмкүн, жана бузулуу белгилери ар башка.

Экинчи чечимди хабдан чыгышы керек нерсе менен сынаңыз, ага жергиликтүү нерсе менен эмес. Виртуалдык дарбазага ping жасоо биринчи звенону гана далилдейт, андан ашык эмес:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Эгер аттарды чечүү иштеп, бирок ачык дарекке туташуулар иштебей калса, сиз DHCPде эмес, жиберүү чынжырындасыз. Экөө тең иштебей калса, адегенде чечүүчүнү текшериңиз, анткени жетүүгө мүмкүн эмес ички дарек катары берилген чечүүчү иштеп турган жолду толугу менен бузук көрсөтөт.

SecureNATтын жиберүүсүн сервер процесси ишке ашырат, көпүрө менен колдонгон ядронун жиберүү жолу эмес. Бул ыңгайлуу жана көпүрөлөөдөн жай, ошондой эле хосттун өз файрвол эрежелери жана маршруттоо чечимдери которулган трафикке дагы эле колдонулаарын билдирет. Виртуалдык NAT хосттун саясатын айланып өтпөйт; аны колдонот.

Хосттун өз жолу — үчүнчү нерсе

Жогорудагылардын баары сервер хост бутага жете алат деп болжолдойт. Иштеген жогорку маршруту жок, чыгуу саясаты чектелген же колунда жок даректер үй-бүлөсү бар хост хаб конфигурациясы канчалык туура болсо да, экинчи чечимде иштебей калат. Хостту өзүнчө, туннелден тышкары текшериңиз, анын иштебей калышын SoftEtherге таштаардан мурун.

SecureNAT серверге туташкан ар бир тармакка жетүүгө укук да эмес. Ал өзүнө жеткен трафикти которуп, ары жиберет; хост эмнеге жете аларын чечүү дагы эле хосттун файрволу менен маршруттоосунун иши, ал эми кирүү укугун туннелге тапшырган долбоор ашыкча берүүдөн бир гана жаман эреже алыс.

Даректер үй-бүлөсү өзүнчө текшерүүгө татыктуу. Иштеген IPv4 DHCP мисалы сиздин курулушуңузда IPv6нын ар бир мүмкүнчүлүгү бар экенин далилдебейт, ошондуктан кош стек жүрүм-турумун убада кылардан мурун чындыгында иштеткен версияңыздын колдонмосун окуңуз. Колдонмонун SecureNAT бөлүмү учурдагы чыгарылыш үчүн виртуалдык NAT жана DHCP функцияларын камтыйт.

Ар бир чечимди өзүнүн сыноосу менен текшериңиз

Биринчи чечимди жалдоону текшерүү менен кабыл алыңыз: дарек пулда, дарбаза виртуалдык хост интерфейсине барабар, чечүүчү сиз конфигурациялаган. Экинчисин кардардан чыккан сурам жана сервердеги NAT таблицасына бир көз чаптыруу менен кабыл алыңыз, анткени сессиялардын санынын өсүшү которуунун жөн гана күйгүзүлгөн эмес, чындап жүрүп жатканынын жалгыз түз далили.

Анан бөлүнүштү долбоорлоо эскертмесине жазыңыз: кайсы компонент даректи берет, кайсы компонент ары жиберет жана трафик кайсы хост интерфейсинен чыгат. Калыбына келтирүү жүрүм-турумду өзгөртсө, ошол эскертме үчөөнүн кайсынысын текшерүү керектигин айтат, баарын кайра иштетип, симптомдун жылышын күтүүнүн ордуна.

Дагы бир чечим жазууга таандык, бүгүн кабыл албасаңыз да: SecureNAT жана жергиликтүү көпүрө — бир хаб үчүн ар башка долбоорлор, ал эми экөө тең керек хаб башка план керек хаб. Аң-сезимдүү тандаңыз, себебин жазыңыз, ошондо кийинки адам аны иштеп турган конфигурациядан тескери инженериялоого аргасыз болбойт.