Jambatan tempatan SoftEther atau SecureNAT: mana satu untuk dihidupkan

Buka SoftEther Manager, dan keputusan pertama yang sebenar tentang sesuatu hab bukan kotak semak, ia adalah persoalan topologi. Jambatan tempatan menyambungkan hab itu kepada penyesuai fizikal dan membiarkan segmen sedia ada membekalkan pengalamatan, manakala SecureNAT memberikan hab penghala maya, NAT dan DHCP sendiri. Memilih antara keduanya mengubah dari mana alamat datang dan peranti mana yang menjawabnya. Menghidupkan kedua-duanya dan berharap satu menang ialah cara makmal yang berfungsi menjadi urutan bantuan.

Mulakan dengan hab yang benar-benar anda sunting

Manager menunjukkan pokok pelayan dan hab, dan mudah untuk mengkonfigurasi hab lalai sedangkan klien bersambung ke hab lain yang berbeza nama. Klik hab itu, baca namanya, dan pastikan sesi yang tersenarai di bawahnya ialah klien yang anda cuba layan. Semakan tunggal itu menghalang sebahagian besar kekeliruan yang kemudiannya dituduh pada protokol.

Kemudian tentukan apa yang klien perlukan dari hujung jauh. Tingkah laku Ethernet dikongsi dengan siaran dan perkhidmatan LAN menunjuk ke jambatan, akses peribadi yang dihalakan ke julat alamat kecil menunjuk ke SecureNAT, dan jalan keluar internet ialah keputusan penghalaan yang kedua-dua susunan boleh membawanya dengan buruk.

Tulis jawapannya sebelum anda mengklik apa-apa, kerana kedua-dua tetapan tidak boleh ditukar ganti dan membatalkannya mengambil masa lebih lama daripada membuat keputusan. Dua minit menulis menjimatkan sejam menyambung semula.

Apa yang jambatan tempatan lakukan pada pengalamatan

Jambatan tempatan menyambungkan hab kepada penyesuai fizikal, jadi hab menjadi bahagian segmen Ethernet itu. Klien menerima alamat daripada apa sahaja yang sudah melayani segmen itu, dan get laluan mereka ialah penghala segmen. Dari sudut pandangan klien, ia telah menyertai LAN pejabat, dengan segala capaian dan segala pendedahan yang dibawanya.

Ini juga bermakna jambatan memerlukan penyesuai sebenar dengan sokongan pemacu yang betul, dan pentadbir mesti diberi kuasa untuk melanjutkan segmen itu. Log masuk VPN membuktikan pengesahan, bukan hak meletakkan hos pada VLAN pengeluaran. Periksa sama ada nama pemacu sepadan dengan penyesuai yang dimaksudkan, kerana menjambatankan port yang salah menurunkan segmen dengan cepat. Jika senarai penyesuai kosong atau jambatan melaporkan kegagalan, jawapannya biasanya berkaitan pemacu atau keistimewaan, bukan kriptografi.

Baca jadual jambatan dari baris arahan apabila pokok grafik tidak jelas. Outputnya menamakan penyesuai, yang tidak selalu dilakukan pokok itu.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Senarai jambatan kosong dengan sesi bersambung ialah gambaran berguna: klien berada di dalam hab maya dan belum ada apa-apa yang melanjutkannya ke segmen.

Apa yang ditambah SecureNAT dan apa yang disembunyikannya

SecureNAT memberi hab penghala maya, fungsi NAT dan perkhidmatan DHCP, semuanya di dalam proses SoftEther. Klien mendapat alamat daripada julat DHCP maya, penghala maya menjawab get laluan lalai, dan trafik yang perlu keluar diterjemahkan. Tiada penyesuai fizikal terlibat, itulah sebabnya ia berfungsi pada hos dengan satu NIC dan tanpa konfigurasi suis.

Kosnya ialah alamat maya itu milik hab dan bukan milik apa-apa lagi. Mesin di LAN pejabat tidak boleh menghalakan ke alamat SecureNAT klien tanpa bantuan, dan apa sahaja yang merekod alamat sumber melihat alamat terjemahan hos SoftEther. Jika peraturan akses atau jejak audit anda bergantung pada alamat sebenar klien, itu perubahan reka bentuk dan bukan butiran. Ia juga menentukan sama ada peraturan alamat sumber akan pernah melihat klien itu.

Ia juga pelayan DHCP. Menjalankannya pada segmen yang sudah mempunyainya, atau menjambatankan segmen itu pada masa yang sama, menghasilkan dua penjawab dan pajakan yang tidak dapat diramalkan. Manual menganggap kedua-dua fungsi sebagai pilihan berasingan tepat kerana sebab ini.

Periksa apa yang sedang dilayani hab sekarang sebelum anda mengaktifkan apa-apa lagi. Setiap arahan mencetak keadaan semasa, bukan yang dimaksudkan.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Menghidupkan satu tanpa merosakkan yang lain

Pilih susunannya, aktifkannya, dan biarkan yang lain dimatikan. Hab dengan jambatan dan dengan SecureNAT kedua-duanya aktif ialah hab dengan dua jawapan mungkin bagi soalan yang sama, dan klien akan percaya yang tiba dahulu. Apabila anda berpindah dari satu ke yang lain, nyahaktifkan fungsi lama dan sambung semula klien daripada menganggap tetapan baharu berkuat kuasa pada sesi sedia ada.

Susun perubahan supaya kumpulan klien tidak bertindih dengan julat LAN. Subnet yang bertindih ialah punca kedua paling biasa bagi terowong yang bersambung dan kemudian tidak mencapai apa-apa, dan ia tidak kelihatan sehingga anda membandingkan kedua-dua pelan alamat sebelah menyebelah.

Kemudian sambung semula dari klien dan baca apa yang diterimanya, kerana pandangan hab tentang sesi bukan pandangan klien tentang rangkaiannya sendiri. Sambung semula ialah satu-satunya cara yang boleh dipercayai untuk memaksa pajakan baharu.

Sahkan get laluan dan penyelesai pada klien

Pengesahan yang berjaya memberitahu anda bahawa kelayakan berfungsi dan hab menerima sesi itu. Ia tidak mengatakan apa-apa tentang sama ada klien boleh mencapai apa-apa, kerana itu bergantung pada alamat, topeng, get laluan dan pelayan DNS yang diterimanya. Baca keempat-empat nilai itu pada klien sebelum anda menyentuh tetapan pelayan lagi.

Pada Windows butiran penyesuai menunjukkan pajakan dan penyelesai, dan jadual laluan menunjukkan sama ada terowong itu benar-benar laluan lalai.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Pada klien Linux maklumat yang sama datang daripada fail alamat, laluan dan penyelesai. Laluan lalai ialah nilai yang menentukan sama ada trafik keluar melalui terowong. Jika get laluan menunjuk ke penghala pejabat sedangkan terowong menjangkakan membawa trafik itu, topologi dijambatankan pada nama dan rosak dalam praktik. Betulkan sumber alamat dahulu, kemudian uji semula aplikasi, dan hanya selepas itu pertimbangkan menukar mod yang lain.