SoftEther-ийн локал гүүр эсвэл SecureNAT: алийг нь асаах вэ

SoftEther Manager-ийг нээхэд зангилааны тухай эхний бодит шийдвэр нь чагтлах нүд биш, харин топологийн асуудал юм. Локал гүүр тэр зангилааг физик адаптертай холбож, одоо байгаа сегментэд хаяг өгөх боломж олгодог бол SecureNAT зангилаанд өөрийн виртуал чиглүүлэгч, NAT, DHCP-г өгдөг. Тэдний хоорондох сонголт нь хаягууд хаанаас ирэх, тэдгээрт аль төхөөрөмж хариулахыг өөрчилдөг. Хоёуланг асаагаад нэг нь ялна гэж найдах нь ажиллаж байсан лабораторийг дэмжлэгийн хэлэлцүүлэг болгох зам юм.

Өөрийн жинхэнэ засварлаж буй зангилаанаас эхэл

Manager сервер болон зангилаануудын модыг харуулдаг бөгөөд үндсэн зангилааг тохируулах нь амархан байдаг бол харин клиентүүд өөр нэртэй зангилаанд холбогддог. Зангилаа дээр товчлоод нэрийг нь уншаад, доор жагсаасан сессүүд нь таны үйлчлэхийг хүсч буй клиентүүд мөн эсэхийг баталгаажуул. Энэ нэг шалгалт нь дараа нь протоколд тохогддог төөрөгдлийн ихэнхийг сэргийлдэг.

Дараа нь клиентэд алслагдсан талаас юу хэрэгтэйг шийд. Нэвтрүүлэг болон LAN үйлчилгээ бүхий хуваалцсан Ethernet зан төлөв нь гүүр рүү заадаг, жижиг хаягийн хүрээ рүү чиглүүлсэн хувийн хандалт SecureNAT руу заадаг, харин интернэт рүү гарах нь хоёр зохион байгуулалт муу дааж болох чиглүүлэлтийн шийдвэр юм.

Ямар нэгэн зүйл дээр товчлохын өмнө хариултыг бичиж үлдээ, учир нь эдгээр хоёр тохиргоо хоорондоо солигддоггүй бөгөөд буцаах нь шийдэхээс илүү удаан үргэлжилдэг. Хоёр минутын бичиг нэг цагийн дахин холболтыг хэмнэдэг.

Локал гүүр хаягуудад юу хийдэг вэ

Локал гүүр зангилааг физик адаптертай холбодог тул зангилаа нь тухайн Ethernet сегментийн нэг хэсэг болдог. Клиентүүд сегментэд аль хэдийн үйлчилж буй зүйлээс хаяг авдаг бөгөөд тэдний гарц нь сегментийн чиглүүлэгч юм. Клиентийн үүднээс авч үзвэл энэ нь оффисын LAN-д нэгдсэн бөгөөд үүнтэй холбоотой бүх хүртээмж, бүх эрсдэлийг дагуулна.

Энэ нь мөн гүүрэнд зохих драйверын дэмжлэг бүхий бодит адаптер хэрэгтэй бөгөөд администратор тухайн сегментийг өргөтгөх эрхтэй байх ёстой гэсэн үг юм. VPN-д нэвтрэх нь баталгаажуулалтыг нотолдог, үйлдвэрлэлийн VLAN-д хост байрлуулах эрхийг биш. Драйверын нэр таны төлөвлөж буй адаптертай тохирч байгаа эсэхийг шалга, учир нь буруу портыг гүүрээр холбох нь сегментийг хурдан унагадаг. Хэрэв адаптеруудын жагсаалт хоосон эсвэл гүүр бүтэлгүйтэл мэдээлбэл, шалтгаан нь ихэвчлэн драйвер эсвэл эрхтэй холбоотой, криптографтой биш.

График мод хоёрдмол утгатай үед гүүрний хүснэгтийг командын мөрнөөс унш. Гаралт адаптерын нэрийг дурддаг бөгөөд мод үүнийг үргэлж хийдэггүй.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Холбогдсон сессүүдтэй хоосон гүүрний жагсаалт нь хэрэгтэй зураг: клиентүүд виртуал зангилааны дотор байгаа бөгөөд одоохондоо юу ч үүнийг сегмент рүү өргөтгөхгүй байна.

SecureNAT юу нэмж, юу нуудаг вэ

SecureNAT зангилаанд виртуал чиглүүлэгч, NAT функц, DHCP үйлчилгээг өгдөг бөгөөд бүгд SoftEther процессын дотор байдаг. Клиентүүд виртуал DHCP хүрээнээс хаяг авдаг, виртуал чиглүүлэгч нь үндсэн гарцын хариуг өгдөг, гадагш гарах шаардлагатай урсгал нь хөрвүүлэгддэг. Физик адаптер оролцохгүй тул нэг NIC болон солилцуурын тохиргоогүй хост дээр ажилладаг.

Үнэ нь виртуал хаягууд зангилаанд хамаарах бөгөөд өөр юунд ч хамаарахгүй. Оффисын LAN дээрх машин тусламжгүйгээр клиентийн SecureNAT хаяг руу чиглүүлж чадахгүй бөгөөд эх хаягийг бүртгэдэг бүхэн SoftEther хосттын хөрвүүлсэн хаягийг хардаг. Хэрэв таны хандалтын дүрэм эсвэл аудитын мөр клиентийн бодит хаягаас хамаардаг бол энэ нь нарийн ширийн биш, дизайны өөрчлөлт юм. Мөн эх хаягийн дүрэм клиентийг ердөө харах эсэхийг энэ нь шийддэг.

Энэ нь мөн DHCP сервер юм. Үүнийг аль хэдийн нэг байгаа сегмент дээр ажиллуулах, эсвэл тухайн сегментийг нэгэн зэрэг гүүрээр холбох нь хоёр хариулагч болон урьдчилан таамаглах боломжгүй түрээг үүсгэдэг. Гарын авлага хоёр функцийг тусдаа сонголт гэж үздэг яг энэ шалтгаанаар.

Өөр зүйлийг идэвхжүүлэхийн өмнө зангилаа одоо юунд үйлчилж байгааг шалга. Командал бүр зориудын бус одоогийн төлөвийг хэвлэдэг.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Нэгийг асааж, нөгөөг нь эвдэхгүй байх

Зохион байгуулалтыг сонгоод идэвхжүүл, нөгөөг нь унтраалттай орхи. Гүүр болон SecureNAT хоёулаа идэвхтэй зангилаа нь нэг асуултад хоёр боломжит хариулттай зангилаа бөгөөд клиент эхэнд ирсэнд нь итгэнэ. Нэгээс нөгөө рүү шилжихдээ хуучин функцийг идэвхгүй болгож, клиентийг дахин холбо, шинэ тохиргоо одоо байгаа сессэд үйлчилнэ гэж таамаглахын оронд.

Клиентийн сан LAN-ийн хүрээтэй давхцахгүй байхаар өөрчлөлтийг цэгцэл. Давхцсан дэд сүлжээ нь холбогдоод дараа нь хаана ч хүрдэггүй туннелийн хоёр дахь хамгийн түгээмэл шалтгаан бөгөөд хоёр хаягийн төлөвлөгөөг зэрэгцүүлэн харьцуулах хүртэл тэд харагдахгүй.

Дараа нь клиентээс дахин холбогдоод юу авсныг нь унш, учир нь зангилааны сессийн харц нь клиентийн өөрийн сүлжээний харц биш юм. Шинэ түрээг тулгах цорын ганц найдвартай арга бол дахин холбогдох юм.

Клиент дээр гарц болон шийдэгчийг шалга

Амжилттай баталгаажуулалт нь итгэмжлэлүүд ажиллаж байгаа, зангилаа сессийг хүлээн авсныг хэлнэ. Клиент хаа нэгтээ хүрч чадах эсэхийг энэ нь юу ч хэлэхгүй, учир нь энэ нь түүнд өгсөн хаяг, маск, гарц, DNS серверээс хамаарна. Серверийн тохиргоонд дахин хүрэхийн өмнө эдгээр дөрвөн утгыг клиент дээр унш.

Windows дээр адаптерын дэлгэрэнгүй мэдээлэл түрээ болон шийдэгчийг харуулдаг бөгөөд чиглүүлэлтийн хүснэгт туннель үнэхээр үндсэн зам мөн эсэхийг харуулдаг.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Linux клиент дээр ижил мэдээлэл хаяг, чиглүүлэлт, шийдэгчийн файлуудаас ирдэг. Үндсэн чиглүүлэлт нь урсгал туннелээр ердөө гарч байгаа эсэхийг шийддэг утга юм. Хэрэв гарц оффисын чиглүүлэгч рүү зааж байхад туннель урсгалыг даахаар хүлээж байвал топологи нь нэрээрээ гүүрлэгдсэн, практикт эвдэрсэн байна. Эхлээд хаягийн эх сурвалжийг зас, дараа нь програмыг дахин туршиж, зөвхөн дараа нь нөгөө горимыг өөрчлөх талаар бод.