SoftEther lokal bru eller SecureNAT: kva du skal slå på

Opne SoftEther Manager, og den fyrste verkelege avgjerda om ein hub er ikkje ein avkryssingsboks, det er eit topologispørsmål. Ei lokal bru knyter huben til ein fysisk adapter og lèt det eksisterande segmentet levere adresseringa, medan SecureNAT gir huben sin eigen virtuelle ruter, NAT og DHCP. Valet mellom dei endrar kvar adressene kjem frå og kva eining som svarar for dei. Å slå på begge og håpe at éin vinn er måten eit fungerande laboratorium blir ein støttetråd.

Byrj med huben du faktisk redigerer

Manager viser eit tre av tenarar og hubar, og det er lett å konfigurere standardhuben medan klientane koplar til ein annan med eit anna namn. Klikk på huben, les namnet og stadfest at sesjonane som er lista under han, er klientane du prøver å betene. Den eine kontrollen hindrar det meste av forvirringa som seinare får skulda for protokollen.

Avgjer deretter kva klienten treng frå den fjerne enden. Delt Ethernet-åtferd med kringkasting og LAN-tenester peikar på ei bru, ruta privat tilgang til eit lite adresseområde peikar på SecureNAT, og ein internettutgang er ei rutingsavgjerd som begge ordningane kan bere dårleg.

Skriv ned svaret før du klikkar på noko, fordi dei to innstillingane ikkje er utskiftbare, og angre tek lengre tid enn avgjerda. To minutt skriving sparer ein time med attilkopling.

Kva ei lokal bru gjer med adresseringa

Ei lokal bru koplar huben til ein fysisk adapter, slik at huben blir ein del av det Ethernet-segmentet. Klientane får adresser frå det som allereie betener segmentet, og gatewayen deira er rutaren til segmentet. Frå klienten sitt synspunkt har han blitt med i LANet på kontoret, med all tilgjenge og all eksponering det inneber.

Det tyder òg at brua treng ein ekte adapter med rett drivarstøtte, og at administratoren må vere autorisert til å utvide segmentet. Ei VPN-innlogging beviser autentisering, ikkje retten til å plassere ein vert på eit produksjons-VLAN. Kontroller at namnet på drivaren svarar til adapteren du har tenkt på, fordi å bru den gale porten tek eit segment ned raskt. Viss adapterlista er tom eller brua rapporterer feil, er svaret vanlegvis knytt til drivar eller rettar, ikkje kryptografi.

Les brutabellen frå kommandolinja når det grafiske treet er tvitydig. Utdataene namngir adapteren, noko treet ikkje alltid gjer.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Ei tom bruliste med tilkopla sesjonar er eit nyttig bilete: klientane er inne i den virtuelle huben, og ingenting utvidar han til eit segment enno.

Kva SecureNAT legg til, og kva det skjuler

SecureNAT gir huben ein virtuell ruter, ein NAT-funksjon og ein DHCP-teneste, alt inne i SoftEther-prosessen. Klientane får adresser frå det virtuelle DHCP-området, den virtuelle rutaren svarar for standardgatewayen, og trafikk som må ut blir omsett. Ingen fysisk adapter er involvert, og difor fungerer det på ein vert med eitt nettverkskort og utan svitsjkonfigurasjon.

Prisen er at dei virtuelle adressene høyrer til huben og ingenting anna. Ein maskin på LANet på kontoret kan ikkje rute til SecureNAT-adressa til ein klient utan hjelp, og alt som loggar kjeldeadresser ser den omsette adressa til SoftEther-verten. Viss tilgangsreglane eller revisjonssporet ditt er avhengig av den verkelege adressa til klienten, er det ei designendring og ikkje ein detalj. Det avgjer òg om ein kjeldeadresseregel nokon gong vil sjå klienten.

Det er òg ein DHCP-tenar. Å køyre han på eit segment som allereie har ein, eller å bru det segmentet samstundes, gir to svararar og uføreselege leiger. Handboka handsamar dei to funksjonane som separate val nettopp av denne grunnen.

Undersøk kva huben betener akkurat no, før du aktiverer noko anna. Kvar kommando skriv ut gjeldande tilstand, ikkje den tiltenkte.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Slå på éin utan å øydeleggje den andre

Vel ordninga, aktiver ho, og lat den andre vere av. Ein hub med både bru og SecureNAT aktiv er ein hub med to moglege svar på det same spørsmålet, og klienten vil tru på det som kjem fyrst. Når du migrerer frå den eine til den andre, deaktiver den gamle funksjonen og kople klienten til på nytt i staden for å anta at den nye innstillinga verkar på ein eksisterande sesjon.

Ordne endringa slik at klientpoolen ikkje overlappar LAN-området. Overlappande subnett er den nest vanlegaste årsaka til ein tunnel som koplar til og deretter ikkje når noko, og dei er usynlege til du samanliknar begge adresseplanane side om side.

Kople deretter til på nytt frå klienten og les kva han fekk, fordi synet huben har på sesjonen er ikkje synet klienten har på sitt eige nettverk. Ei attilkopling er den einaste pålitelege måten å tvinge fram ei ny leige.

Kontroller gatewayen og resolvaren på klienten

Vellykka autentisering fortel at innloggingsdetaljane verkar og at huben godtok sesjonen. Ho seier ingenting om klienten når noko, fordi det er avhengig av adressa, maska, gatewayen og DNS-tenaren han fekk. Les dei fire verdiane på klienten før du rører ei tenarinnstilling igjen.

På Windows viser adapterdetaljane leiga og resolvaren, og rutetabellen viser om tunnelen faktisk er standardvegen.

ipconfig /all
route print -4
nslookup intranet.corp.internal

På ein Linux-klient kjem dei same opplysningane frå filene for adresser, ruter og resolvar. Standardruta er verdien som avgjer om trafikken i det heile går ut gjennom tunnelen. Viss gatewayen peikar på rutaren på kontoret medan tunnelen ventar å bere trafikken, er topologien brua i namnet og broten i praksis. Ret kjelda til adressene fyrst, test applikasjonen på nytt, og vurder fyrst deretter å endre den andre modusen.