SoftEther SecureNAT: DHCP и NAT се две одделни одлуки

SecureNAT е едно поле за избор што вклучува две услуги, и оттука доаѓа најголемиот дел од забуната околу него. Виртуелен DHCP сервер му дава на клиентот адреса, маска, порта и често резолвер. Виртуелен NAT проследува пакети надвор од таа порта користејќи го сопствениот мрежен стек на хостот на серверот. Тие стојат едно до друго во конфигурацијата и откажуваат независно: клиентот може да има совршен закуп и никаков работен пат, или работен пат со поставки што покажуваат на погрешен резолвер. Проверете ги како две одлуки и дијагнозата станува кратка.

Две услуги зад едно поле за избор

Виртуелната DHCP страна одговара на конфигурациско прашање: какви поставки добива овој клиент внатре во овој виртуелен концентратор. Виртуелната NAT страна одговара на прашање за проследување: кога клиентот испраќа пакет до адреса надвор од концентраторот, дали серверот го преведува и проследува. Првото е локално за концентраторот и не бара мрежа погоре. Второто целосно зависи од хостот.

Виртуелниот интерфејс на хостот и припаѓа на првата одлука, не на втората. Неговата адреса, често нешто како 192.168.30.1 по стандард, е портата што ја нуди DHCP услугата. Тоа не е јавната адреса за слушање на серверот, и мешањето на двете создава правила за огнен ѕид и поставки за клиентот насочени кон машина што не постои на таа мрежа.

Одлука 1: кој ја дава адресата

Ако виртуелниот DHCP е вклучен, клиентите треба да добијат закуп во базенот што сте го поставиле, со виртуелниот интерфејс на хостот како порта и со резолверот што сте го дале. Гледајте го закупот, а не статусниот текст на клиентот, бидејќи «поврзано» опишува тунел, а не доделување адреса:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Два режима на откажување вреди да се знаат пред да отстранувате грешки во нешто друго. Клиент со преостаната статична адреса од претходен дизајн ќе ја задржи и ќе го игнорира закупот, што изгледа како DHCP да одбива да одговори. А втор извор на DHCP на премостен сегмент ќе се натпреварува за истите клиенти, што дава наизменични адреси и ред за поддршка што не може да го репродуцира проблемот.

Преклопувачките базени исто така припаѓаат овде. Ако базенот на виртуелниот DHCP се преклопува со LAN подмрежата на хостот или со базенот на друг концентратор, клиентот добива адреса што се насочува двосмислено, и секој подоцнежен тест е неодлучен.

Одлука 2: кој проследува надвор од виртуелната порта

Со вклучен виртуелен NAT, серверот го преведува излезниот сообраќај од концентраторот и го испраќа низ табелата за насочување на хостот. Тоа значи дека синџирот за проследување е: клиент кон виртуелната порта, виртуелен NAT кон стекот на хостот, стекот на хостот кон неговата стандардна рута. Секоја алка може да откаже без да ги допре другите, и потписите на откажување се разликуваат.

Тестирајте ја втората одлука со нешто што мора да го напушти концентраторот, не со нешто локално за него. Пингот до виртуелната порта ја докажува само првата алка и ништо повеќе:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Ако разрешувањето на имиња работи, но врските до јавна адреса откажуваат, вие сте во синџирот за проследување, а не во DHCP. Ако и двете откажуваат, прво проверете го резолверот, бидејќи резолвер испратен како недостапна внатрешна адреса ќе направи работниот пат да изгледа сосема расипан.

Проследувањето на SecureNAT го спроведува процесот на серверот, а не патот за проследување во јадрото што би го користеле со мост. Тоа е погодно и побавно од премостување, и исто така значи дека сопствените правила на огнениот ѕид и одлуките за насочување на хостот сѐ уште важат за преведениот сообраќај. Виртуелниот NAT не ја заобиколува политиката на хостот; ја користи.

Сопствениот пат на хостот е трето нешто

Сѐ погоре претпоставува дека хостот на серверот може да ја достигне целта. Хост без работна рута нагоре, со ограничувачка излезна политика или со фамилија на адреси што ја нема, ќе откаже во втората одлука, колку и да е точна конфигурацијата на концентраторот. Проверете го хостот одделно, надвор од тунелот, пред да го припишете неговото откажување на SoftEther.

SecureNAT исто така не е дозвола да се достигне секоја мрежа поврзана со серверот. Тој го преведува и проследува сообраќајот што доаѓа до него; одлучувањето што смее да достигне хостот останува работа на огнениот ѕид и насочувањето на хостот, а дизајнот што се потпира на тунелот за давање пристап е едно лошо правило далеку од давање премногу.

Фамилиите на адреси заслужуваат своја проверка. Работечки пример за IPv4 DHCP не докажува дека секоја можност на IPv6 е присутна во вашата градба, затоа прочитајте го прирачникот за верзијата што навистина ја извршувате пред да ветите однесување со двоен стек. Делот за SecureNAT во прирачникот ги покрива виртуелните NAT и DHCP функции за тековното издание.

Проверете ја секоја одлука со нејзиниот сопствен тест

Прифатете ја првата одлука со проверка на закупот: адреса во базенот, порта еднаква на виртуелниот интерфејс на хостот, резолвер оној што сте го поставиле. Прифатете ја втората со излезно барање од клиентот и поглед на NAT табелата на серверот, бидејќи растечкиот број сесии е единствениот директен доказ дека преведувањето се случува, а не само дека е вклучено.

Потоа запишете ја поделбата во белешката за дизајн: која компонента ја дава адресата, која компонента проследува и низ кој интерфејс на хостот излегува сообраќајот. Кога рестартирањето ќе го смени однесувањето, таа белешка ви кажува која од трите да ја проверите, наместо сѐ да рестартирате и да се надевате дека симптомот ќе се премести.

Уште една одлука припаѓа во записот, дури и ако не ја носите денес: SecureNAT и локалниот мост се различни дизајни за истиот концентратор, а концентратор на кој му требаат двете е концентратор на кој му треба друг план. Изберете свесно, запишете зошто, и следниот човек нема да мора тоа да го реконструира од конфигурација што работи.