SoftEther SecureNAT: DHCP dan NAT ialah dua keputusan

SecureNAT ialah satu kotak semak yang menghidupkan dua perkhidmatan, dan dari situlah datangnya sebahagian besar kekeliruan mengenainya. Pelayan DHCP maya memberikan klien alamat, topeng, gerbang dan selalunya penyelesai. NAT maya memajukan paket melepasi gerbang itu menggunakan tindanan rangkaian hos pelayan itu sendiri. Kedua-duanya berdiri bersebelahan dalam konfigurasi dan gagal secara berasingan: klien boleh mempunyai pajakan sempurna tetapi tiada laluan yang berfungsi, atau laluan yang berfungsi dengan tetapan yang menunjuk ke penyelesai yang salah. Periksa keduanya sebagai dua keputusan, dan diagnosis menjadi pendek.

Dua perkhidmatan di sebalik satu kotak semak

Bahagian DHCP maya menjawab soalan konfigurasi: tetapan apa yang diterima oleh klien ini di dalam hab maya ini. Bahagian NAT maya menjawab soalan pemajuan: apabila klien menghantar paket ke alamat di luar hab, adakah pelayan menterjemah dan memajukannya. Yang pertama adalah setempat kepada hab dan tidak memerlukan rangkaian di atasnya. Yang kedua bergantung sepenuhnya pada hos.

Antara muka hos maya tergolong dalam keputusan pertama, bukan yang kedua. Alamatnya, selalunya sesuatu seperti 192.168.30.1 secara lalai, ialah gerbang yang ditawarkan oleh perkhidmatan DHCP. Ia bukan alamat mendengar awam pelayan, dan mengelirukan kedua-duanya menghasilkan peraturan tembok api dan tetapan klien yang menuju ke mesin yang tidak wujud pada rangkaian itu.

Keputusan 1: siapa yang membekalkan alamat

Jika DHCP maya dihidupkan, klien sepatutnya menerima pajakan dalam kumpulan yang anda konfigurasikan, dengan antara muka hos maya sebagai gerbang dan penyelesai yang anda berikan. Periksa pajakan itu dan bukan teks status klien, kerana «bersambung» menerangkan terowong dan bukan penugasan alamat:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Terdapat dua mod kegagalan yang wajar diketahui sebelum anda menyahpepijat apa-apa yang lain. Klien dengan alamat statik sisa daripada reka bentuk terdahulu akan mengekalkannya dan mengabaikan pajakan, yang kelihatan seperti DHCP enggan menjawab. Dan sumber DHCP kedua pada segmen berjambatan akan bersaing untuk klien yang sama, yang menghasilkan alamat berselang-seli dan baris gilir sokongan yang tidak dapat menghasilkan semula masalah itu.

Kumpulan yang bertindih juga tergolong di sini. Jika kumpulan DHCP maya bertindih dengan subrangkaian LAN hos atau kumpulan hab lain, klien mendapat alamat yang dihalakan secara samar-samar, dan setiap ujian berikutnya tidak muktamad.

Keputusan 2: siapa yang memajukan melepasi gerbang maya

Dengan NAT maya dihidupkan, trafik keluar dari hab diterjemah oleh pelayan dan dihantar melalui jadual penghalakan hos. Ini bermakna rantai pemajuan ialah: klien ke gerbang maya, NAT maya ke tindanan hos, tindanan hos ke laluan lalainya. Setiap pautan boleh gagal tanpa menyentuh yang lain, dan tandatangan kegagalan berbeza.

Uji keputusan kedua dengan sesuatu yang mesti meninggalkan hab, bukan dengan sesuatu yang setempat kepadanya. Ping ke gerbang maya membuktikan pautan pertama dan tidak lebih:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Jika penyelesaian nama berfungsi tetapi sambungan ke alamat awam gagal, anda berada dalam rantai pemajuan dan bukan dalam DHCP. Jika kedua-duanya gagal, periksa penyelesai dahulu, kerana penyelesai yang ditolak sebagai alamat dalaman yang tidak boleh dicapai akan membuat laluan yang berfungsi kelihatan rosak sepenuhnya.

Pemajuan SecureNAT dilaksanakan oleh proses pelayan, bukan oleh laluan pemajuan kernel yang anda gunakan dengan jambatan. Itu mudah dan lebih perlahan daripada berjambatan, dan ia juga bermakna peraturan tembok api dan keputusan penghalakan hos sendiri masih terpakai pada trafik yang diterjemah. NAT maya tidak memintas dasar hos; ia menggunakannya.

Laluan hos sendiri ialah perkara ketiga

Semua di atas menganggap hos pelayan boleh mencapai destinasi. Hos tanpa laluan atas yang berfungsi, dengan dasar keluar yang ketat, atau dengan keluarga alamat yang tidak dimilikinya akan gagal pada keputusan kedua, betapa pun betulnya konfigurasi hab. Periksa hos itu secara berasingan, di luar terowong, sebelum mengaitkan kegagalannya dengan SoftEther.

SecureNAT juga bukan kebenaran untuk mencapai setiap rangkaian yang disambungkan kepada pelayan. Ia menterjemah dan memajukan trafik yang sampai kepadanya; memutuskan apa yang hos boleh capai masih kerja tembok api dan penghalakan hos, dan reka bentuk yang bergantung pada terowong untuk memberi akses hanya satu peraturan buruk daripada memberi terlalu banyak.

Keluarga alamat wajar mendapat pemeriksaan sendiri. Contoh DHCP IPv4 yang berfungsi tidak membuktikan bahawa setiap keupayaan IPv6 ada dalam binaan anda, jadi baca manual bagi versi yang benar-benar anda jalankan sebelum menjanjikan tingkah laku tindanan berganda. Bahagian SecureNAT dalam manual merangkumi fungsi NAT dan DHCP maya untuk keluaran semasa.

Periksa setiap keputusan dengan ujiannya sendiri

Terima keputusan pertama dengan pemeriksaan pajakan: alamat dalam kumpulan, gerbang sama dengan antara muka hos maya, penyelesai yang anda konfigurasikan. Terima yang kedua dengan permintaan keluar dari klien serta pandangan pada jadual NAT di pelayan, kerana bilangan sesi yang meningkat ialah satu-satunya bukti langsung bahawa penterjemahan berlaku, bukan sekadar dihidupkan.

Kemudian catat pemisahan itu dalam nota reka bentuk: komponen mana yang membekalkan alamat, komponen mana yang memajukan, dan antara muka hos mana yang dilalui trafik keluar. Apabila mula semula mengubah tingkah laku, nota itu memberitahu anda yang mana antara ketiga-tiganya perlu diperiksa daripada memulakan semula semuanya dan berharap gejalanya berpindah.

Satu lagi keputusan tergolong dalam rekod, walaupun anda tidak membuatnya hari ini: SecureNAT dan jambatan setempat ialah reka bentuk berbeza untuk hab yang sama, dan hab yang memerlukan kedua-duanya ialah hab yang memerlukan pelan lain. Pilih dengan sedar, tuliskan sebabnya, dan orang seterusnya tidak perlu merekayasa balik daripada konfigurasi yang sedang berjalan.