SoftEther SecureNAT: DHCP u NAT huma żewġ deċiżjonijiet

SecureNAT huwa kaxxa waħda tal-marka li tixgħel żewġ servizzi, u minn hemm ġej il-biċċa l-kbira tal-konfużjoni dwaru. Server DHCP virtwali jagħti lill-klijent indirizz, maskra, gateway u spiss resolver. NAT virtwali jgħaddi pakketti lil hinn minn dak il-gateway billi juża l-istek tan-netwerk tal-host tas-server stess. It-tnejn joqogħdu ħdejn xulxin fil-konfigurazzjoni u jfallu b'mod indipendenti: klijent jista' jkollu kirja perfetta u l-ebda triq li taħdem, jew triq li taħdem b'ambjenti li jindikaw ir-resolver ħażin. Iċċekkjahom bħala żewġ deċiżjonijiet, u d-dijanjosi ssir qasira.

Żewġ servizzi wara kaxxa waħda tal-marka

In-naħa DHCP virtwali twieġeb mistoqsija tal-konfigurazzjoni: liema ambjenti jirċievi dan il-klijent ġewwa dan il-hub virtwali. In-naħa NAT virtwali twieġeb mistoqsija tal-għaddiv: meta klijent jibgħat pakkett lil indirizz barra l-hub, is-server jittraduċih u jgħaddih. L-ewwel waħda hija lokali għall-hub u m'għandhiex bżonn netwerk 'il fuq. It-tieni waħda tiddependi għal kollox mill-host.

L-interface tal-host virtwali tappartjeni għall-ewwel deċiżjoni, mhux għat-tieni. L-indirizz tagħha, spiss xi ħaġa bħal 192.168.30.1 bħala default, huwa l-gateway li toffri s-servizz DHCP. Mhuwiex l-indirizz pubbliku tas-smigħ tas-server, u li tħallat it-tnejn jipproduċi regoli tal-firewall u ambjenti tal-klijent indirizzati lejn magna li ma teżistix f'dak in-netwerk.

Deċiżjoni 1: min iforni l-indirizz

Jekk id-DHCP virtwali huwa mixgħul, il-klijenti għandhom jirċievu kirja fil-pool li kkonfigurajt, bl-interface tal-host virtwali bħala gateway u r-resolver li tajt. Iċċekkja l-kirja u mhux it-test tal-istat tal-klijent, għax «konness» jiddeskrivi t-tunnel u mhux l-allokazzjoni tal-indirizz:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Hemm żewġ modi ta' falliment li jiswew li tkun tafhom qabel ma tibda tiddubugga xi ħaġa oħra. Klijent b'indirizz statiku li fadal minn disinn preċedenti se jżommu u jinjora l-kirja, li tidher bħallikieku d-DHCP qed jirrifjuta li jwieġeb. U tieni sors DHCP fuq segment bil-pont se jikkompeti għall-istess klijenti, li jipproduċi indirizzi intermittenti u ringiela ta' appoġġ li ma tistax terġa' tipproduċi l-problema.

Il-pools li jaqtgħu fuq xulxin jappartjenu hawn ukoll. Jekk il-pool DHCP virtwali jaqta' fuq is-subnet LAN tal-host jew il-pool ta' hub ieħor, il-klijent jieħu indirizz li jiġi rrutat b'mod ambigwu, u kull test sussegwenti ma jkunx konklużiv.

Deċiżjoni 2: min jgħaddi lil hinn mill-gateway virtwali

Bid-NAT virtwali mixgħul, it-traffiku li joħroġ mill-hub jiġi tradott mis-server u jintbagħat permezz tat-tabella tar-routing tal-host. Dan ifisser li l-katina tal-għaddiv hija: klijent lejn il-gateway virtwali, NAT virtwali lejn l-istek tal-host, l-istek tal-host lejn ir-rotta default tiegħu. Kull rabta tista' tfalli mingħajr ma tmiss lill-oħrajn, u s-sinjali tal-falliment ivarjaw.

Ittestja t-tieni deċiżjoni b'xi ħaġa li trid tħalli l-hub, mhux b'xi ħaġa lokali għalih. Ping lill-gateway virtwali jipprova biss l-ewwel rabta u xejn aktar:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Jekk ir-riżoluzzjoni tal-ismijiet taħdem iżda l-konnessjonijiet lejn indirizz pubbliku jfallu, inti fil-katina tal-għaddiv u mhux fid-DHCP. Jekk it-tnejn jfallu, iċċekkja l-ewwel ir-resolver, għax resolver imbuttat bħala indirizz intern li ma jintlaħaqx se jagħmel triq li taħdem tidher kompletament imkissra.

L-għaddiv ta' SecureNAT jiġi implimentat mill-proċess tas-server, mhux mit-triq tal-għaddiv tal-kernel li tuża b'pont. Dan huwa konvenjenti u aktar bil-mod mill-pont, u jfisser ukoll li r-regoli tal-firewall u d-deċiżjonijiet tar-routing tal-host xorta japplikaw għat-traffiku tradott. In-NAT virtwali ma jevitax il-politika tal-host; jużaha.

It-triq tal-host innifsu hija t-tielet ħaġa

Kollox hawn fuq jassumi li l-host tas-server jista' jasal fid-destinazzjoni. Host mingħajr rotta 'il fuq li taħdem, bi politika tal-ħruġ restrittiva, jew b'familja ta' indirizzi li m'għandux se jfalli fit-tieni deċiżjoni, kemm ikun korrett il-konfigurazzjoni tal-hub. Iċċekkja l-host waħdu, barra t-tunnel, qabel ma tattribwixxi l-falliment tiegħu lil SoftEther.

SecureNAT lanqas mhuwa awtorizzazzjoni biex tasal għal kull netwerk imqabbad mas-server. Jittraduċi u jgħaddi traffiku li jasal għalih; li tiddeċiedi x'jista' jasal għalih il-host għadha xogħol tal-firewall u r-routing tal-host, u disinn li jiddependi fuq it-tunnel biex jagħti aċċess huwa regola ħażina waħda 'l bogħod milli jagħti wisq.

Il-familji tal-indirizzi jixirqilhom verifika tagħhom. Eżempju DHCP IPv4 li jaħdem ma jistabbilixxix li kull kapaċità IPv6 hija preżenti fil-build tiegħek, għalhekk aqra l-manwal għall-verżjoni li tassew qed tħaddem qabel ma twiegħed imġieba ta' stek doppju. Is-sezzjoni SecureNAT tal-manwal tkopri l-funzjonijiet NAT u DHCP virtwali għar-rilaxx attwali.

Ivverifika kull deċiżjoni bit-test tagħha

Aċċetta l-ewwel deċiżjoni b'verifika tal-kirja: indirizz fil-pool, gateway ugwali għall-interface tal-host virtwali, resolver dak li kkonfigurajt. Aċċetta t-tieni b'talba tal-ħruġ mill-klijent flimkien ma' daqqa t'għajn lejn it-tabella NAT fuq is-server, għax għadd ta' sessjonijiet li qed jiżdied huwa l-unika prova diretta li t-traduzzjoni qed isseħħ u mhux biss li hija mixgħula.

Imbagħad innota l-qasma fin-nota tad-disinn: liema komponent jifforni l-indirizz, liema komponent jgħaddi, u liema interface tal-host minnu joħroġ it-traffiku. Meta restart ibiddel l-imġieba, dik in-nota tgħidlek liema mit-tlieta għandek teżamina minflok terġa' tibda kollox u tittama li s-sintomu jiċċaqlaq.

Deċiżjoni oħra tappartjeni għar-rekord, anki jekk illum ma tieħux: SecureNAT u pont lokali huma disinni differenti għall-istess hub, u hub li jeħtieġ it-tnejn huwa hub li jeħtieġ pjan ieħor. Agħżel b'mod deliberat, ikteb għaliex, u l-persuna li jmiss mhux se jkollha tagħmel inġinerija inversa minn konfigurazzjoni li taħdem.