Локален мост на SoftEther или SecureNAT: што да вклучите

Отворете SoftEther Manager, и првата вистинска одлука за еден јазол не е поле за штиклирање, туку прашање за топологија. Локалниот мост го поврзува тој јазол со физички адаптер и му дозволува на постоечкиот сегмент да обезбеди адресирање, додека SecureNAT му дава на јазолот свој виртуелен рутер, NAT и DHCP. Изборот меѓу нив го менува тоа од каде доаѓаат адресите и кој уред одговара за нив. Вклучувањето на двете и надежта дека едното ќе победи е патот по кој работна лабораторија станува нишка за поддршка.

Започнете од јазолот што навистина го уредувате

Manager прикажува дрво од сервери и јазли, и лесно е да се конфигурира стандардниот јазол додека клиентите се поврзуваат со друг со различно име. Кликнете на јазолот, прочитајте го неговото име и потврдете дека сесиите наведени под него се клиентите што сакате да ги опслужите. Оваа една проверка го спречува поголемиот дел од конфузијата што подоцна му се припишува на протоколот.

Потоа одлучете што му треба на клиентот од далечниот крај. Споделеното Ethernet однесување со емитување и LAN услуги укажува на мост, рутираниот приватен пристап до мал опсег адреси укажува на SecureNAT, а излезот на интернет е одлука за рутирање што и двете поставки можат лошо да ја поднесат.

Запишете го одговорот пред да кликнете нешто, бидејќи двете поставки не се заменливи и враќањето трае подолго од одлуката. Две минути пишување заштедуваат еден час повторно поврзување.

Што прави локалниот мост со адресирањето

Локалниот мост го поврзува јазолот со физички адаптер, така што јазолот станува дел од тој Ethernet сегмент. Клиентите добиваат адреси од она што веќе го опслужува сегментот, а нивната порта е рутерот на сегментот. Од гледна точка на клиентот, тој се приклучил на канцелариската LAN, со сета достапност и сета изложеност што тоа го подразбира.

Тоа исто така значи дека мостот бара вистински адаптер со соодветна поддршка на драјверот и дека администраторот мора да биде овластен да го прошири тој сегмент. Најавувањето преку VPN докажува автентикација, не право да поставите домаќин на продукциски VLAN. Проверете дали името на драјверот одговара на предвидениот адаптер, бидејќи мостење на погрешниот порт брзо го исклучува сегментот. Ако списокот со адаптери е празен или мостот пријави грешка, причината обично е поврзана со драјверот или привилегиите, а не со криптографијата.

Читајте ја табелата со мостови од командната линија кога графичкото дрво е двосмислено. Излезот го именува адаптерот, што дрвото не го прави секогаш.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Празен список со мостови со поврзани сесии е корисна слика: клиентите се внатре во виртуелниот јазол и ништо досега не го проширува на сегмент.

Што додава SecureNAT и што сокрива

SecureNAT му дава на јазолот виртуелен рутер, NAT функција и DHCP услуга, сето во внатрешноста на процесот SoftEther. Клиентите добиваат адреси од виртуелниот DHCP опсег, виртуелниот рутер одговара за стандардната порта, а сообраќајот што треба да излезе се преведува. Не учествува физички адаптер, и затоа ова работи на домаќин со една мрежна карта и без конфигурација на преклопник.

Цената е што виртуелните адреси му припаѓаат на јазолот и на ништо друго. Машина на канцелариската LAN не може без помош да рутира до SecureNAT адресата на клиентот, и сето она што ги запишува изворните адреси ја гледа преведената адреса на домаќинот SoftEther. Ако вашите правила за пристап или вашата ревизорска трага зависат од вистинската адреса на клиентот, тоа е промена во дизајнот, а не детаљ. Тоа исто така одлучува дали правилото за изворна адреса некогаш ќе го види клиентот.

Тој е и DHCP сервер. Неговото извршување на сегмент што веќе има еден, или мостење на тој сегмент истовремено, создава два одговорни и непредвидливи закупи. Прирачникот ги третира двете функции како одделни избори токму поради оваа причина.

Проверете што јазолот моментално опслужува пред да вклучите нешто друго. Секоја команда ја печати тековната состојба, а не предвидената.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Вклучување на едното без кршење на другото

Изберете поставка, овозможете ја и оставете ја другата исклучена. Јазол на кој и мостот и SecureNAT се активни е јазол со два можни одговори на истото прашање, и клиентот ќе верува на оној што ќе пристигне прв. Кога преминувате од едното на другото, исклучете ја старата функција и поврзете го клиентот повторно, наместо да претпоставите дека новата поставка делува на постоечка сесија.

Подредете ја промената така што базенот на клиенти да не се преклопува со опсегот на LAN. Преклопувачките подмрежи се вториот најчест причинител на тунел што се поврзува и потоа не стигнува никаде, и тие се невидливи додека не ги споредите двата плана за адреси еден до друг.

Потоа поврзете се повторно од клиентот и прочитајте што добил, бидејќи погледот на јазолот на сесијата не е погледот на клиентот на сопствената мрежа. Повторното поврзување е единствениот сигурен начин да се изнуди нов закуп.

Проверете ја портата и резолверот на клиентот

Успешната автентикација ви кажува дека акредитивите работат и јазолот ја прифатил сесијата. Таа не кажува ништо за тоа дали клиентот стигнува некаде, бидејќи тоа зависи од адресата, маската, портата и DNS серверот што ги добил. Прочитајте ги тие четири вредности на клиентот пред повторно да допрете поставка на серверот.

Во Windows деталите за адаптерот го покажуваат закупот и резолверот, а табелата со рути покажува дали тунелот навистина е стандардната патека.

ipconfig /all
route print -4
nslookup intranet.corp.internal

На Linux клиент истите информации доаѓаат од датотеките за адреси, рути и резолвер. Стандардната рута е вредноста што одлучува дали сообраќајот воопшто излегува низ тунелот. Ако портата покажува кон канцеларискиот рутер, додека тунелот очекува да го носи сообраќајот, топологијата е мостена по име и скршена во практика. Прво поправете го изворот на адреси, потоа повторно тестирајте ја апликацијата и само потоа размислете за промена на другиот режим.