Ką iš tikrųjų sujungia SoftEther virtualusis šakotuvas

SoftEther virtualusis šakotuvas yra narystės riba viename serveryje, o ne vieta. Sesijos, prisijungusios prie šakotuvo, gali pasiekti tai, prie ko prijungtas šakotuvas, o kitame šakotuve esančios sesijos negali, net kai abi autentifikuojasi tame pačiame serveryje. Todėl sėkmingas prisijungimas vis tiek gali įdėti klientą į netinkamą tinklą. Šakotuvo kaip virtualaus komutatoriaus skaitymas paaiškina, ką jis daro ir ką palieka tiltų jungimui, maršrutizavimui ir kaskados konfigūracijai.

Šakotuvas yra narystės riba

Vienas serveris gali talpinti kelis šakotuvus, kiekvienas su savo naudotojais, sesijomis ir politika. Autentifikavimas nustato, kas yra sesija, o šakotuvas nusprendžia, į kurį virtualų tinklą ta sesija prisijungia. Todėl du šakotuvai viename hoste elgiasi kaip du atskiri komutatoriai, kurie atsitiktinai dalijasi aparatūra. Nieko sėkmingame prisijungime nereiškia, kad sesija nusileido ten, kur norėjote.

Naudokite operatoriaus dokumentuotą šakotuvo pavadinimą, o ne pavadinimą, prisimintą iš ekrano kopijos. Klientas, prisijungęs prie netinkamo šakotuvo, su galiojančiu kredencialu pasiekia kitą tinklą, ir tai yra konfigūracijos radinys, o ne saugumo pažeidimas. Laikykite šakotuvo pavadinimą ir jo paskirtį ryšio profilio pastabose.

Administravimas apribotas taip pat. Šakotuvo administratorius valdo tą šakotuvą, o serverio administratorius valdo procesą, klausytojus ir kiekvieną hosto šakotuvą.

Prijungimai lemia, kas yra už jų

Šakotuvas pats savaime sujungia sesijas tarpusavyje. Pasiekti ką nors kita priklauso nuo to, kaip šakotuvas prijungtas: vietinis tiltas į fizinę sąsają, virtualusis maršrutizatorius arba kaskada į kitą serverį. Kiekvienas prijungimas turi savo persiuntimo taisykles ir savo gedimo būdus. Manyti, kad šakotuvas suteikia prieigą prie interneto, yra dažniausia klaida apie produktą.

SecureNAT yra integruota parinktis, įgyvendinta virtualiuoju maršrutizatoriumi ir virtualia DHCP paslauga serverio viduje. Ji patogi laboratorijai ir nepatogi viskam, kam reikia nuspėjamo adresavimo ar politikos. Vietinis tiltas įdeda šakotuvą į realų segmentą, kuris paveldi to segmento perjungimą, DHCP ir transliacijos elgseną.

Kaskada sujungia du serverius, kad vieno šakotuvo sesijos galėtų pasirodyti kitame. Tai šakotuvo ir šakotuvo santykis, todėl abiem galams reikia suderinamos politikos ir veikiančio kelio tarp jų.

Skaitykite sesijas ir politiką atskirai

Sesijų, MAC adresų ir IP adresų rodiniai aprašo, kaip virtualus tinklas atrodo dabar. Tai stebėjimai, o ne leidimai. Sąraše matoma sesija tuo dar neįgyja teisės į kiekvieną paslaugą, kurią gali pasiekti šakotuvas, ir atvirkščiai taip pat galioja.

Palyginkite sesijų sąrašą su politika, kuri jam turėtų būti taikoma. Įrenginys, kurio adresas už numatyto diapazono, paprastai reiškia DHCP iš kitur arba rankiniu būdu sukonfigūruotą klientą. MAC adresas, kuris juda tarp sesijų, reiškia perkeltą įrenginį arba du įrenginius, bendrinančius tapatybę. Abu verti žvilgsnio, ir nė vienas neįrodomas vien lentele.

Serveryje vpncmd pateikia tą patį vaizdą iš hosto požiūrio. Palyginkite šią išvestį su paties kliento vaizdu, kai du nesutampa.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Traktuokite šakotuvo administravimą kaip atskirą vaidmenį, o ne kaip kliento leidimą. Deleguojant vieną šakotuvą neturėtų būti perduodami klausytojai ar procesas, talpinantis kiekvieną kitą šakotuvą.

Patikrinkite klientą po prisijungimo

Iš kliento pusės užmegzta sesija įrodo tik tai, kad autentifikavimas ir šakotuvo pavadinimas buvo priimti. Patvirtinkite adresą, maršrutą ir vardų skiriamąją gebą atskirai, nes kiekvienas jų gali nepavykti po to, kai šakotuvas priėmė sesiją.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Adresų sąrašas rodo, ar adapteris gavo nuomą iš numatyto šaltinio. Maršruto užklausa rodo, kuri sąsaja perduotų privatų tikslą, o resolverio užklausa rodo, ar DNS sekė sesiją. Šakotuvas, kuris persiunčia paketus, kol DNS vis dar rodo į vietinį tinklą, sukuria klasikinį pusiau veikiantį ryšį.

Išbandykite programą, o ne ryšį. Įkeliamas intraneto puslapis yra stipresnis įrodymas nei adapteris su tikėtinu adresu.