SoftEther lokālais tilts vai SecureNAT: ko ieslēgt

Atveriet SoftEther Manager, un pirmais īstais lēmums par centrmezglu nav izvēles rūtiņa, bet topoloģijas jautājums. Lokālais tilts pievieno šo centrmezglu fiziskam adapterim un ļauj esošajam segmentam nodrošināt adresāciju, bet SecureNAT piešķir centrmezglam savu virtuālo maršrutētāju, NAT un DHCP. Izvēle starp tiem maina, no kurienes nāk adreses un kura ierīce par tām atbild. Ieslēgt abus un cerēt, ka viens uzvarēs, ir ceļš, kā strādājoša laboratorija kļūst par atbalsta pavedienu.

Sāciet ar to centrmezglu, kuru tiešām rediģējat

Manager rāda serveru un centrmezglu koku, un ir viegli konfigurēt noklusējuma centrmezglu, kamēr klienti pieslēdzas citam ar atšķirīgu nosaukumu. Noklikšķiniet uz centrmezgla, izlasiet tā nosaukumu un pārliecinieties, ka zem tā uzskaitītās sesijas ir tie klienti, kuriem vēlaties apkalpot. Šī vienīgā pārbaude novērš lielāko daļu apjukumu, kas vēlāk tiek attiecināts uz protokolu.

Pēc tam izlemiet, kas klientam nepieciešams no tālā gala. Kopīga Ethernet uzvedība ar apraidi un LAN pakalpojumiem norāda uz tiltu, maršrutēta privāta piekļuve mazam adrešu diapazonam norāda uz SecureNAT, un izeja internetā ir maršrutēšanas lēmums, ko abi izkārtojumi var slikti izturēt.

Pierakstiet atbildi pirms kaut kā noklikšķināšanas, jo šie divi iestatījumi nav savstarpēji aizvietojami un atcelšana prasa vairāk laika nekā lēmums. Divas minūtes rakstīšanas ietaupa stundu atkārtotas pieslēgšanās.

Ko lokālais tilts dara ar adresāciju

Lokālais tilts savieno centrmezglu ar fizisku adapteri, tāpēc centrmezgls kļūst par daļu no šī Ethernet segmenta. Klienti saņem adreses no tā, kas segmentu jau apkalpo, un viņu vārteja ir segmenta maršrutētājs. No klienta viedokļa tas ir pievienojies biroja LAN, ar visu ar to saistīto sasniedzamību un visu pakļautību.

Tas nozīmē arī to, ka tiltam vajag īstu adapteri ar atbilstošu draivera atbalstu, un administratoram jābūt pilnvarotam paplašināt šo segmentu. VPN pieteikšanās pierāda autentifikāciju, nevis tiesības ievietot resursdatoru ražošanas VLAN. Pārbaudiet, vai draivera nosaukums atbilst paredzētajam adapterim, jo nepareizas ostas savienošana ar tiltu ātri izslēdz segmentu. Ja adapteru saraksts ir tukšs vai tilts ziņo par atteici, iemesls parasti ir saistīts ar draiveri vai tiesībām, nevis ar kriptogrāfiju.

Lasiet tilta tabulu no komandrindas, kad grafiskais koks ir neviennozīmīgs. Izvade nosauc adapteri, ko koks ne vienmēr dara.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Tukšs tiltu saraksts ar pievienotām sesijām ir noderīgs attēls: klienti ir virtuālā centrmezgla iekšpusē un nekas to vēl nepaplašina uz segmentu.

Ko SecureNAT pievieno un ko tas slēpj

SecureNAT piešķir centrmezglam virtuālu maršrutētāju, NAT funkciju un DHCP pakalpojumu, viss SoftEther procesa iekšienē. Klienti saņem adreses no virtuālā DHCP diapazona, virtuālais maršrutētājs atbild par noklusējuma vārteju, un trafiks, kam jāiziet, tiek pārtulkots. Fizisks adapters netiek iesaistīts, tāpēc tas darbojas resursdatorā ar vienu tīkla karti un bez komutatora konfigurācijas.

Cena ir tā, ka virtuālās adreses pieder centrmezglam un nekam citam. Biroja LAN mašīna bez palīdzības nevar maršrutēt uz klienta SecureNAT adresi, un viss, kas reģistrē avota adreses, redz pārtulkoto SoftEther resursdatora adresi. Ja jūsu piekļuves noteikumi vai audita pēdas ir atkarīgas no klienta īstās adreses, tās ir dizaina izmaiņas, nevis detaļa. Tas arī izšķir, vai avota adreses noteikums kādreiz redzēs klientu.

Tas ir arī DHCP serveris. Tā darbināšana segmentā, kurā jau ir viens, vai šī segmenta savienošana ar tiltu tajā pašā laikā rada divus atbildētājus un neparedzamus nomas termiņus. Rokasgrāmata abas funkcijas aplūko kā atsevišķas izvēles tieši šī iemesla dēļ.

Pirms kaut ko citu iespējojat, pārbaudiet, ko centrmezgls pašlaik apkalpo. Katra komanda izdrukā pašreizējo stāvokli, nevis paredzēto.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Ieslēgt vienu, nesalaužot otru

Izvēlieties izkārtojumu, iespējojiet to un atstājiet otru izslēgtu. Centrmezgls, kurā aktīvi ir gan tilts, gan SecureNAT, ir centrmezgls ar divām iespējamām atbildēm uz vienu un to pašu jautājumu, un klients ticēs tai, kas atnāks pirmā. Pārejot no viena uz otru, atspējojiet veco funkciju un pievienojiet klientu no jauna, nevis pieņemiet, ka jaunais iestatījums iedarbosies uz esošo sesiju.

Sakārtojiet izmaiņas tā, lai klientu kopums nepārklātos ar LAN diapazonu. Pārklājošie apakštīkli ir otrs biežākais tuneļa iemesls, kas pieslēdzas un pēc tam neko nesasniedz, un tie nav redzami, kamēr nesalīdzina abus adrešu plānus blakus.

Pēc tam pievienojieties no klienta atkārtoti un izlasiet, ko tas saņēma, jo centrmezgla skatījums uz sesiju nav klienta skatījums uz savu tīklu. Atkārtota pievienošanās ir vienīgais uzticamais veids, kā piespiest jaunu nomu.

Pārbaudiet vārteju un atrisinātāju klientā

Veiksmīga autentifikācija pasaka, ka akreditācijas dati strādā un centrmezgls ir pieņēmis sesiju. Tā neko nepasaka par to, vai klients kaut ko sasniedz, jo tas ir atkarīgs no saņemtās adreses, maskas, vārtejas un DNS servera. Izlasiet šīs četras vērtības klientā, pirms vēlreiz aiztiecat servera iestatījumu.

Windows adaptera detaļas rāda nomu un atrisinātāju, un maršrutu tabula rāda, vai tunelis tiešām ir noklusējuma ceļš.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Linux klientā tā pati informācija nāk no adrešu, maršrutu un atrisinātāja failiem. Noklusējuma maršruts ir vērtība, kas izšķir, vai trafiks vispār iziet caur tuneli. Ja vārteja norāda uz biroja maršrutētāju, kamēr tunelis gaida pārvadāt trafiku, topoloģija nosaukumā ir savienota ar tiltu un praksē salauzta. Vispirms izlabojiet adrešu avotu, pēc tam vēlreiz pārbaudiet lietojumprogrammu un tikai pēc tam apsveriet otra režīma maiņu.