SoftEther SecureNAT: DHCP ба NAT нь хоёр өөр шийдвэр

SecureNAT бол хоёр үйлчилгээг асаадаг нэг чагтлах хайрцаг бөгөөд түүний талаарх ихэнх будлиан үүнээс үүдэлтэй. Виртуал DHCP сервер клиентэд хаяг, маск, гарц болон ихэвчлэн шийдэгч өгдөг. Виртуал NAT нь серверийн хост өөрийнх нь сүлжээний стек ашиглан багцуудыг тэр гарцаас цааш дамжуулдаг. Тэд тохиргоонд зэрэгцэн байрлаж, бие даан бүтэлгүйтдэг: клиент төгс түрээстэй боловч ажиллах замгүй байж болно, эсвэл ажиллах замтай боловч тохиргоо нь буруу шийдэгч рүү зааж болно. Тэдгээрийг хоёр шийдвэр гэж шалгавал оношилгоо богино болно.

Нэг чагтлах хайрцгийн ард хоёр үйлчилгээ

Виртуал DHCP тал нь тохиргооны асуултад хариулна: энэ клиент энэ виртуал төв зангилааны дотор ямар тохиргоо авдаг. Виртуал NAT тал нь дамжуулалтын асуултад хариулна: клиент төв зангилаанаас гадна хаяг руу багц илгээхэд сервер түүнийг орчуулж дамжуулдаг уу. Эхнийх нь төв зангилаанд локал бөгөөд дээд сүлжээ шаарддаггүй. Хоёр дахь нь бүхэлдээ хостод хамаарна.

Виртуал хост интерфейс нь эхний шийдвэрт хамаарах бөгөөд хоёр дахьд биш. Түүний хаяг нь ихэвчлэн анхдагчаар 192.168.30.1 гэх мэт зүйл бөгөөд DHCP үйлчилгээний санал болгодог гарц юм. Энэ нь серверийн нийтийн сонсох хаяг биш бөгөөд хоёрыг хольж хутгах нь тэр сүлжээнд байхгүй машин руу чиглэсэн галт хананы дүрэм, клиентийн тохиргоог үүсгэдэг.

Шийдвэр 1: хаягийг хэн өгдөг

Хэрэв виртуал DHCP асаалттай бол клиентүүд таны тохируулсан сангаас түрээс авч, гарц нь виртуал хост интерфейс, шийдэгч нь таны өгсөн байх ёстой. Клиентийн төлөвийн текст биш, түрээсийг шалгана уу, учир нь «холбогдсон» нь туннелийг дүрсэлдэг, хаяг хуваарилалтыг биш:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Өөр зүйлийг засахаас өмнө мэдэх ёстой хоёр гэмтлийн горим бий. Өмнөх загвараас үлдсэн статик хаягтай клиент үүнийгээ хадгалж, түрээсийг үл тоомсорлох бөгөөд энэ нь DHCP хариу өгөхөөс татгалзаж байгаа мэт харагдана. Харин гүүрээр холбосон сегмент дэх хоёр дахь DHCP эх сурвалж ижил клиентүүдийн төлөө өрсөлдөж, хаяг тогтмол бус өөрчлөгдөж, асуудлыг дахин үүсгэж чадахгүй дэмжлэгийн дараалал үүсдэг.

Давхцсан сангууд ч энд хамаарна. Хэрэв виртуал DHCP сан нь хостын LAN дэд сүлжээ эсвэл өөр төв зангилааны сантай давхцвал клиент хоёрдмол утгаар маршрутлагдах хаяг авч, дараагийн бүх туршилт тодорхой бус болно.

Шийдвэр 2: виртуал гарцаас цааш хэн дамжуулдаг

Виртуал NAT асаалттай үед сервер төв зангилаанаас гарч буй урсгалыг орчуулж, хостын маршрутжуулалтын хүснэгтээр илгээдэг. Энэ нь дамжуулалтын хэлхээ нь: клиентээс виртуал гарц руу, виртуал NAT-аас хостын стек руу, хостын стекээс өөрийнх нь анхдагч маршрут руу гэсэн үг. Холбоос бүр бусдад хүрэлгүйгээр бүтэлгүйтэж болох бөгөөд гэмтлийн шинж тэмдэг өөр өөр байна.

Хоёр дахь шийдвэрийг төв зангилааг заавал орхих зүйлээр туршаад үзээрэй, түүнд локал зүйлээр биш. Виртуал гарц руу пинг хийх нь зөвхөн эхний холбоосыг баталж, үүнээс өөр юу ч биш:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Хэрэв нэрийн шийдэл ажиллаж байгаа боловч нийтийн хаяг руу холболт бүтэлгүйтвэл та DHCP-д биш, дамжуулалтын хэлхээнд байна. Хэрэв хоёулаа бүтэлгүйтвэл эхлээд шийдэгчийг шалгана уу, учир нь хүрэх боломжгүй дотоод хаяг хэлбэрээр илгээсэн шийдэгч ажиллаж буй замыг бүрэн эвдэрсэн мэт харагдуулна.

SecureNAT-ын дамжуулалтыг серверийн процесс хэрэгжүүлдэг бөгөөд гүүртэй хамт ашигладаг цөмийн дамжуулалтын зам биш. Энэ нь тохиромжтой бөгөөд гүүрнээс удаан бөгөөд хостын өөрийн галт хананы дүрэм, маршрутжуулалтын шийдвэрүүд орчуулсан урсгалд бүрэн үйлчилнэ гэсэн үг юм. Виртуал NAT нь хостын бодлогыг тойрдоггүй; түүнийг ашигладаг.

Хостын өөрийн зам бол гурав дахь зүйл

Дээрх бүхэн серверийн хост очих газарт хүрч чадна гэж үздэг. Ажиллах дээд маршрутгүй, гадагш гарах бодлого хязгаарлагдмал, эсвэл өөрт байхгүй хаягийн гэр бүлтэй хост нь төв зангилааны тохиргоо хичнээн зөв байсан ч хоёр дахь шийдвэрт бүтэлгүйтнэ. Хостыг тусдаа, туннелийн гадна шалгана уу, түүний бүтэлгүйтлийг SoftEther-т хамааруулахаас өмнө.

SecureNAT нь серверт холбогдсон бүх сүлжээнд хүрэх зөвшөөрөл ч биш. Энэ нь өөрт нь хүрсэн урсгалыг орчуулж дамжуулдаг; хост юунд хүрч болохыг шийдэх нь хостын галт хана, маршрутжуулалтын ажил хэвээр байх бөгөөд хандалт олгохыг туннельд даатгасан загвар нь хэт их өгөхөөс нэг муу дүрэм л хол байна.

Хаягийн гэр бүлүүд өөрийн гэсэн шалгалт хийх ёстой. Ажиллаж буй IPv4 DHCP жишээ нь таны бүтээцэд IPv6-ын бүх чадвар байгааг батлахгүй тул хос стект зан төлөвийг амлахаас өмнө таны бодитоор ажиллуулж буй хувилбарын гарын авлагыг уншаарай. Гарын авлагын SecureNAT хэсэг нь одоогийн хувилбарын виртуал NAT болон DHCP үйл ажиллагааг хамардаг.

Шийдвэр бүрийг өөрийнх нь туршилтаар шалгана уу

Эхний шийдвэрийг түрээсийн шалгалтаар хүлээн авна уу: санд байгаа хаяг, виртуал хост интерфейстэй тэнцүү гарц, таны тохируулсан шийдэгч. Хоёр дахьыг клиентээс гарч буй хүсэлт болон сервер дээрх NAT хүснэгт рүү нэг харцаар хүлээн авна уу, учир нь сессийн тоо нэмэгдэж байгаа нь орчуулга зөвхөн асаалттай байгаа биш, бодитоор явагдаж байгаагийн цорын ганц шууд нотолгоо юм.

Дараа нь хуваалтыг загварын тэмдэглэлд бичнэ үү: аль бүрэлдэхүүн хаяг өгдөг, аль бүрэлдэхүүн дамжуулдаг, урсгал аль хост интерфейсээр гардаг. Дахин эхлүүлэх нь зан төлөвийг өөрчлөхөд тэр тэмдэглэл гурвын алийг нь шалгахыг хэлнэ, бүгдийг дахин эхлүүлж шинж тэмдэг шилжинэ гэж найдахын оронд.

Бас нэг шийдвэр бүртгэлд хамаарна, өнөөдөр гаргахгүй байсан ч: SecureNAT болон локал гүүр нь нэг төв зангилааны хоёр өөр загвар бөгөөд хоёуланг нь шаарддаг төв зангилаа нь өөр төлөвлөгөө шаарддаг төв зангилаа юм. Ухамсартайгаар сонгож, шалтгааныг бичвэл дараагийн хүн ажиллаж буй тохиргооноос үүнийг урвуу инженерчлэл хийх шаардлагагүй.