Hva et virtuelt hub i SoftEther faktisk kobler til

SoftEthers virtuelle hub er en medlemskapsgrense inne i én server, ikke en plassering. Sesjoner som kobler seg til huben, kan nå det huben er koblet til, og sesjoner på en annen hub kan ikke, selv når begge autentiseres mot samme server. Derfor kan en vellykket innlogging likevel plassere en klient på feil nettverk. Å lese huben som en virtuell svitsj gjør det tydelig hva den gjør og hva den overlater til brokobling, ruting og kaskadekonfigurasjon.

En hub er en medlemskapsgrense

Én server kan være vert for flere huber, hver med egne brukere, sesjoner og policy. Autentiseringen fastslår hvem sesjonen er, mens huben avgjør hvilket virtuelt nettverk sesjonen kobler seg til. To huber på én vert oppfører seg derfor som to separate svitsjer som tilfeldigvis deler maskinvare. Ingenting ved en vellykket innlogging tilsier at sesjonen havnet der du hadde tenkt.

Bruk hubnavnet operatøren har dokumentert, ikke et navn du husker fra et skjermbilde. En klient som kobler seg til feil hub, når et annet nettverk med gyldig legitimasjon, noe som er et konfigurasjonsfunn og ikke et sikkerhetsbrudd. Ta vare på hubnavnet og formålet i notatene til tilkoblingsprofilen.

Administrasjonen er avgrenset på samme måte. En hubadministrator styrer den huben, mens serveradministratoren styrer prosessen, lytterne og hver hub på verten.

Tilkoblingene avgjør hva som ligger på den andre siden

En hub kobler i seg selv sesjoner til hverandre. Å nå noe annet avhenger av hvordan huben er koblet til: en lokal bro til et fysisk grensesnitt, en virtuell ruter eller en kaskade til en annen server. Hver tilkobling har sine egne videresendingsregler og sine egne feilmoduser. Å anta at en hub gir internettilgang er den vanligste misforståelsen om produktet.

SecureNAT er det innebygde alternativet, implementert med en virtuell ruter og en virtuell DHCP-tjeneste inne i serveren. Den er praktisk for et laboratorium og ubekvem for alt som trenger forutsigbar adressering eller policy. En lokal bro setter huben på et reelt segment, som arver svitsjing, DHCP og kringkastingsatferd fra segmentet.

En kaskade kobler to servere sammen slik at sesjoner på én hub kan vises på den andre. Det er et hub-til-hub-forhold, så begge ender trenger kompatibel policy og en fungerende vei mellom seg.

Les sesjoner og policy hver for seg

Visningene for sesjoner, MAC-adresser og IP-adresser beskriver hvordan det virtuelle nettverket ser ut akkurat nå. Det er observasjoner, ikke tillatelser. En sesjon som er synlig i listen, er ikke dermed berettiget til hver tjeneste huben kan nå, og det omvendte gjelder også.

Sammenlign sesjonslisten med policyen som skal gjelde for den. En enhet med adresse utenfor det tiltenkte området betyr vanligvis DHCP fra et annet sted eller en klient som er konfigurert manuelt. En MAC-adresse som flytter seg mellom sesjoner, betyr en flyttet enhet eller to enheter som deler en identitet. Begge er verdt en titt, og ingen av dem bevises av tabellen alene.

På serveren rapporterer vpncmd det samme bildet fra vertens synspunkt. Sammenlign den utskriften med klientens eget syn når de to er uenige.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Behandle hubadministrasjon som en egen rolle i stedet for en klienttillatelse. Delegering av én hub bør ikke overlevere lytterne eller prosessen som er vert for hver annen hub.

Kontroller klienten etter tilkobling

Fra klientsiden beviser en etablert sesjon bare at autentisering og hubnavn ble godtatt. Bekreft adressen, ruten og navneoppslaget hver for seg, fordi hver av dem kan feile etter at huben har godtatt sesjonen.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Adresselisten viser om adapteren fikk en leie fra den tiltenkte kilden. Rutespørringen viser hvilket grensesnitt som ville bære en privat destinasjon, og oppslaget mot resolveren viser om DNS fulgte sesjonen. En hub som videresender pakker mens DNS fortsatt peker på det lokale nettverket, gir den klassiske halvt fungerende forbindelsen.

Test applikasjonen i stedet for lenken. En intranettside som lastes, er sterkere bevis enn en adapter med en plausibel adresse.