Kva ein virtuell hub i SoftEther faktisk knyter saman

Det virtuelle hubet til SoftEther er ei medlemskapsgrense inne i ein server, ikkje ein stad. Sesjonar som koplar seg til hubet, kan nå det hubet er kopla til, og sesjonar på eit anna hub kan ikkje, sjølv når begge autentiserer seg mot same server. Difor kan ei vellukka innlogging likevel plassere ein klient på feil nettverk. Å lese hubet som ein virtuell svitsj gjer det klart kva det gjer og kva det overlèt til brukopling, ruting og kaskadekonfigurasjon.

Eit hub er ei medlemskapsgrense

Ein server kan vere vert for fleire hub, kvart med eigne brukarar, sesjonar og policy. Autentiseringa fastslår kven sesjonen er, medan hubet avgjer kva virtuelt nettverk sesjonen koplar seg til. To hub på ein vert oppfører seg difor som to åtskilde svitsjar som tilfeldigvis deler maskinvare. Ingenting ved ei vellukka innlogging tilesier at sesjonen landa der du hadde tenkt.

Bruk hubnamnet operatøren har dokumentert, ikkje eit namn du hugsar frå eit skjermbilete. Ein klient som koplar seg til feil hub, når eit anna nettverk med gyldig legitimasjon, noko som er eit konfigurasjonsfunn og ikkje eit tryggleiksbrot. Ta vare på hubnamnet og føremålet i notata til tilkoplinga.

Administrasjonen er avgrensa på same måte. Ein hubadministrator styrer det hubet, medan serveradministratoren styrer prosessen, lyttarane og kvart hub på verten.

Tilkoplingane avgjer kva som ligg på hi sida

Eit hub koplar i seg sjølv sesjonar til kvarandre. Å nå noko anna avheng av korleis hubet er kopla til: ei lokal bru til eit fysisk grensesnitt, ein virtuell rutar eller ein kaskade til ein annan server. Kvar tilkopling har eigne vidaresendingsreglar og eigne feilmodus. Å tru at eit hub gjev internettilgang er den vanlegaste mistydinga om produktet.

SecureNAT er det innebygde alternativet, implementert med ein virtuell rutar og ein virtuell DHCP-teneste inne i serveren. Det er praktisk for eit laboratorium og ubekvemt for alt som treng føreseieleg adressering eller policy. Ei lokal bru set hubet på eit reelt segment, som arvar svitsjing, DHCP og kringkastingsåtferd frå segmentet.

Ein kaskade koplar to serverar saman slik at sesjonar på eitt hub kan visast på det andre. Det er eit hub-til-hub-tilhøve, så begge endar treng kompatibel policy og ein fungerande veg mellom seg.

Les sesjonar og policy kvar for seg

Visningane for sesjonar, MAC-adresser og IP-adresser skildrar korleis det virtuelle nettverket ser ut akkurat no. Det er observasjonar, ikkje løyve. Ein sesjon som er synleg i lista, er ikkje dermed berettiga til kvar teneste hubet kan nå, og det motsette gjeld òg.

Samanlikn sesjonslista med policyen som skal gjelde for henne. Eining med adresse utanfor det tiltenkte området tyder vanlegvis DHCP frå ein annan stad eller ein klient som er sett opp manuelt. Ei MAC-adresse som flyttar seg mellom sesjonar, tyder ei flytta eining eller to einingar som deler ein identitet. Begge er verd ein titt, og ingen av dei blir prova av tabellen åleine.

På serveren rapporterer vpncmd det same bilete frå synsvinkelen til verten. Samanlikn den utskrifta med klienten sitt eige syn når dei to er usamde.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Behandle hubadministrasjon som ei eiga rolle i staden for eit klientløyve. Delegere eitt hub bør ikkje overlevere lyttarane eller prosessen som er vert for kvart anna hub.

Kontroller klienten etter tilkopling

Frå klientsida beviser ein etablert sesjon berre at autentisering og hubnamn vart godtekne. Stadfest adressa, ruta og namneoppslaget kvar for seg, fordi kvar av dei kan feile etter at hubet har godteke sesjonen.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Adresselista viser om adapteren fekk ei leige frå den tiltenkte kjelda. Rutespurnaden viser kva grensesnitt som ville bera ein privatdestinasjon, og oppslaget mot resolvaren viser om DNS følgde sesjonen. Eit hub som vidaresender pakkar medan DNS framleis peikar på det lokale nettverket, gjev den klassiske halvt fungerande sambindinga.

Test applikasjonen i staden for lenka. Ei intranettside som lastar, er sterkare prov enn ein adapter med ei truverdig adresse.