SoftEther SecureNAT: DHCP an NAT sinn zwou Entscheedungen

SecureNAT ass eng eenzeg Këscht zum Ukräizen, déi zwou Servicer aschalt, an dat ass d’Quell vun der meeschter Verwirrung doriwwer. En virtuelle DHCP-Server gëtt dem Client eng Adress, eng Mask, eng Portal an dacks en Resolver. En virtuelle NAT schéckt Paketen iwwer déi Portal eraus a benotzt dobäi de Netzwierkstack vum Serverhost selwer. Si stinn niefteneen an der Konfiguratioun a schlägelen onofhängeg: e Client kann e perfekte Lease hunn an keen funktionéierende Wee, oder e funktionéierende Wee mat Astellungen, déi op de falschen Resolver weisen. Iwwerpréift si als zwou Entscheedungen, an d’Diagnos gëtt kuerz.

Zwee Servicer hannert enger Këscht zum Ukräizen

D’virtuell DHCP-Säit beäntwert eng Konfiguratiounsfro: wéi eng Astellungen dëse Client bannent dësem virtuelle Hub kritt. D’virtuell NAT-Säit beäntwert eng Weidergabfro: wann e Client e Paket un eng Adress baussent dem Hub schéckt, iwwersetzt an dréckt de Server et weider. Dat éischt ass lokal fir den Hub a brauch keen Netzwierk driwwer. Dat zweet hänkt komplett vum Host of.

Déi virtuell Host-Schnittstell gehéiert zu der éischter Entscheedung, net zu der zweeter. Hir Adress, dacks eppes wéi 192.168.30.1 als Standard, ass d’Portal, déi den DHCP-Service ubitt. Si ass net d’ëffentlech Lauschadress vum Server, an d’Verwiessele vun deenen zwou produzéiert Firewall-Reegelen a Client-Astellungen, déi op eng Maschinn zielen, déi et an deem Netzwierk net gëtt.

Entscheedung 1: wien d’Adress liwwert

Wann de virtuelle DHCP ageschalt ass, sollten d’Clienten e Lease am Pool kréien, deen Dir konfiguréiert hutt, mat der virtueller Host-Schnittstell als Portal an deem Resolver, deen Dir uginn hutt. Kuckt de Lease un an net den Statustext vum Client, well «verbonnen» beschreift den Tunnel an net d’Adressverdeelung:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Zwou Aarte vu Schlag verdéngen et, bekannt ze sinn, ier Dir eppes aneschtes debuggt. E Client mat enger Reschtadress aus engem fréieren Design behält se a ignoréiert de Lease, wat ausgesäit wéi wann DHCP refuséiert ze äntwerten. An eng zweet DHCP-Quell op engem iwwerbréckte Segment wäert ëm déiselwecht Clienten kämpfen, wat ënnerbrach Adressen an eng Support-Queu produzéiert, déi de Problem net kann reproduzéieren.

Iwwerlappend Pools gehéieren och heihinner. Wann de virtuelle DHCP-Pool mam LAN-Subnetz vum Host oder mam Pool vun engem aneren Hub iwwerlappt, kritt de Client eng Adress, déi däitschëlteg gerout gëtt, an all spéideren Test ass net conclusiv.

Entscheedung 2: wien iwwer déi virtuell Portal weider dréckt

Mat ageschaltem virtuellem NAT iwwersetzt de Server den erausgoende Verkéier aus dem Hub a schéckt en iwwer d’Routingtabell vum Host. Dat heescht, d’Weidergabkette ass: Client op déi virtuell Portal, virtuelle NAT op de Stack vum Host, Stack vum Host op seng Standardroute. All Glidd kann schlägelen ouni déi aner ze beréieren, an d’Schlagsignature sinn ënnerschiddlech.

Test d’zweet Entscheedung mat eppes, wat den Hub muss verloossen, net mat eppes lokalem dozou. D’virtuell Portal pingen beweist dat éischt Glidd an net méi:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Wann d’Nimmopléisung funktionéiert, awer Verbindungen op eng ëffentlech Adress schlägelen, sidd Dir an der Weidergabkette an net am DHCP. Wann allebéid schlägelen, préift fir d’éischt de Resolver, well en Resolver, deen als onerreechbar intern Adress ausgeliwwert gëtt, e funktionéierende Wee komplett futti erschéngen léisst.

D’Weidergab vum SecureNAT gëtt vum Serverprozess ëmgesat, net vum Kernel-Weidergabwee, deen Dir mat enger Bréck géift benotzen. Dat ass bequem a méi lues wéi Brécken, an et heescht och, datt dem Host seng eege Firewall-Reegelen an Routing-Entscheedungen nach ëmmer op de iwwersetzte Verkéier gëllen. Den virtuelle NAT emgeet d’Politik vum Host net; en benotzt se.

Dem Host säin eegene Wee ass eng drëtt Saach

All dat uewendriwwer setzt viraus, datt de Serverhost d’Zil erreecht. En Host ouni funktionéierend Route no uewen, mat enger restriktiver Ausgangspolitik oder mat enger Adressfamill, déi en net huet, wäert déi zweet Entscheedung verfeelen, sou korrekt wéi d’Hub-Konfiguratioun och ass. Préift den Host fir sech, baussent dem Tunnel, ier Dir säi Schlag dem SoftEther uschreift.

SecureNAT ass och keng Autorisatioun, all Netzwierk z’erreechen, dat mam Server verbonnen ass. En iwwersetzt an dréckt de Verkéier weider, deen en erreecht; ze entscheeden, wat den Host erreeche kann, bleift dem Host seng Firewall- an Routing-Aarbecht, an en Design, deen op den Tunnel setzt fir Zougang ze ginn, ass eng schlecht Reegel wäit dovun, ze vill ze ginn.

Adressfamille verdéngen eng eegen Iwwerpréiwung. En funktionéierend IPv4 DHCP-Beispill beweist net, datt all IPv6-Fähegkeet an Ärem Build ass, also liest d’Handbuch fir d’Versioun, déi Dir tatsächlech bedreift, ier Dir Duebelstack-Verhale versprécht. Den SecureNAT-Abschnitt vum Handbuch deckt déi virtuell NAT- an DHCP-Funktiounen fir déi aktuell Verëffentlechung.

Iwwerpréift all Entscheedung mat hirem eegenen Test

Akzeptéiert déi éischt Entscheedung mat enger Lease-Iwwerpréiwung: Adress am Pool, Portal gläich der virtueller Host-Schnittstell, Resolver dee vun Iech konfiguréierten. Akzeptéiert déi zweet mat enger erausgoender Ufro vum Client plus engem Bléck op d’NAT-Tabell um Server, well eng steigend Unzuel u Sessiounen dat eenzegt direkt Beweis ass, datt d’Iwwersetzung geschitt an net just ageschalt ass.

Schreift duerno d’Opdeelung an d’Designnotiz: wéi eng Komponent d’Adress liwwert, wéi eng Komponent weider dréckt, an iwwer wéi eng Host-Schnittstell de Verkéier erausgeet. Wann en Neistart d’Verhale ännert, seet Iech déi Notiz, wéi eng vun den dräi Dir sollt kucken, anstatt alles nei ze starten an ze hoffen, datt d’Symptom sech verréckelt.

Eng weider Entscheedung gehéiert an den Dossier, och wann Dir se haut net hëlt: SecureNAT an eng lokal Bréck sinn ënnerschiddlech Designe fir dee selwechten Hub, an en Hub, deen allebéid brauch, ass en Hub, deen en aneren Plang brauch. Wielt bewosst, schreift op firwat, an déi nächst Persoun wäert et net missten aus enger lafender Konfiguratioun zréck-ingenieurséieren.