SoftEther lokale bridge of SecureNAT: welke zet je aan

Open SoftEther Manager, en de eerste echte beslissing over een hub is geen selectievakje maar een topologievraag. Een lokale bridge koppelt die hub aan een fysieke adapter en laat het bestaande segment de adressering leveren, terwijl SecureNAT de hub zijn eigen virtuele router, NAT en DHCP geeft. De keuze daartussen verandert waar de adressen vandaan komen en welk apparaat er antwoord op geeft. Beide aanzetten en hopen dat één wint is hoe een werkend lab een supportthread wordt.

Begin bij de hub die je echt bewerkt

Manager toont een boom van servers en hubs, en het is makkelijk om de standaardhub te configureren terwijl clients verbinden met een andere, anders genoemde hub. Klik op de hub, lees de naam en bevestig dat de sessies eronder de clients zijn die je wilt bedienen. Die ene controle voorkomt het grootste deel van de verwarring die later op het protocol wordt afgeschoven.

Bepaal daarna wat de client van de verre kant nodig heeft. Gedeeld Ethernet-gedrag met broadcast en LAN-diensten wijst op een bridge, gerouteerde privétoegang tot een klein adresbereik wijst op SecureNAT, en een internetuitgang is een routeringsbeslissing die beide opstellingen slecht kunnen dragen.

Schrijf het antwoord op voordat je ergens op klikt, want de twee instellingen zijn niet uitwisselbaar en terugdraaien duurt langer dan beslissen. Twee minuten schrijven bespaart een uur opnieuw verbinden.

Wat een lokale bridge met de adressering doet

Een lokale bridge verbindt de hub met een fysieke adapter, zodat de hub deel wordt van dat Ethernet-segment. Clients krijgen adressen van wat het segment al bedient, en hun gateway is de router van het segment. Vanuit het oogpunt van de client is hij toegetreden tot het kantoor-LAN, met alle bereikbaarheid en alle blootstelling die dat met zich meebrengt.

Dat betekent ook dat de bridge een echte adapter met de juiste driverondersteuning nodig heeft en dat de beheerder gemachtigd moet zijn om dat segment uit te breiden. Een VPN-login bewijst authenticatie, niet het recht om een host in een productie-VLAN te plaatsen. Controleer of de drivernaam overeenkomt met de adapter die je bedoelt, want de verkeerde poort overbruggen haalt een segment snel neer. Als de adapterlijst leeg is of de bridge een fout meldt, zit de oorzaak meestal bij de driver of de rechten en niet bij de cryptografie.

Lees de bridgetabel vanaf de opdrachtregel wanneer de grafische boom dubbelzinnig is. De uitvoer noemt de adapter, wat de boom niet altijd doet.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Een lege bridgelijst met verbonden sessies is een nuttig beeld: de clients zitten in de virtuele hub en niets breidt die nog uit naar een segment.

Wat SecureNAT toevoegt en wat het verbergt

SecureNAT geeft de hub een virtuele router, een NAT-functie en een DHCP-dienst, allemaal binnen het SoftEther-proces. Clients krijgen adressen uit het virtuele DHCP-bereik, de virtuele router antwoordt voor de standaardgateway, en verkeer dat naar buiten moet wordt vertaald. Er is geen fysieke adapter bij betrokken, en daarom werkt het op een host met één netwerkkaart en zonder switchconfiguratie.

De prijs is dat de virtuele adressen bij de hub horen en bij niets anders. Een machine op het kantoor-LAN kan zonder hulp niet naar het SecureNAT-adres van een client routeren, en alles wat bronadressen logt ziet het vertaalde adres van de SoftEther-host. Als je toegangsregels of je audittrail afhangen van het echte adres van de client, is dat een ontwerpwijziging en geen detail. Het bepaalt ook of een bronadresregel de client ooit zal zien.

Het is ook een DHCP-server. Draaien op een segment dat er al een heeft, of dat segment tegelijk overbruggen, levert twee antwoorders en onvoorspelbare leases. De handleiding behandelt de twee functies daarom als afzonderlijke keuzes.

Onderzoek wat de hub nu bedient voordat je iets anders inschakelt. Elk commando drukt de huidige toestand af en niet de bedoelde.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

De ene aanzetten zonder de andere te breken

Kies de opstelling, schakel die in en laat de andere uit. Een hub met zowel een bridge als SecureNAT actief is een hub met twee mogelijke antwoorden op dezelfde vraag, en de client gelooft wat het eerst aankomt. Als je van de ene naar de andere migreert, schakel je de oude functie uit en verbind je de client opnieuw, in plaats van aan te nemen dat de nieuwe instelling op een bestaande sessie werkt.

Orden de wijziging zo dat de clientpool het LAN-bereik niet overlapt. Overlappende subnetten zijn de op een na meest voorkomende oorzaak van een tunnel die verbindt en daarna niets bereikt, en ze zijn onzichtbaar tot je beide adresplannen naast elkaar legt.

Verbind daarna opnieuw vanaf de client en lees wat hij heeft gekregen, want het beeld van de hub van de sessie is niet het beeld van de client van zijn eigen netwerk. Opnieuw verbinden is de enige betrouwbare manier om een nieuwe lease af te dwingen.

Controleer de gateway en de resolver op de client

Een geslaagde authenticatie zegt dat de inloggegevens werken en dat de hub de sessie heeft geaccepteerd. Het zegt niets over of de client iets bereikt, want dat hangt af van het adres, het masker, de gateway en de DNS-server die hij heeft gekregen. Lees die vier waarden op de client voordat je weer aan een serverinstelling komt.

Op Windows tonen de adaptergegevens de lease en de resolver, en de routetabel toont of de tunnel echt het standaardpad is.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Op een Linux-client komen dezelfde gegevens uit de bestanden voor adressen, routes en resolver. De standaardroute is de waarde die bepaalt of verkeer sowieso via de tunnel naar buiten gaat. Als de gateway naar de kantoorrouter wijst terwijl de tunnel verwacht het verkeer te dragen, is de topologie in naam overbrugd en in de praktijk gebroken. Repareer eerst de adresbron, test daarna de applicatie opnieuw, en overweeg pas daarna de andere modus te wijzigen.