Hva en virtuell hub i SoftEther egentlig knytter sammen

SoftEthers virtuelle hub er en medlemskapsgrense på innsiden av én server, ikke et sted. Økter som kobler til huben, når det huben er koblet til, mens økter på en annen hub ikke gjør det, selv når begge autentiseres mot samme server. Derfor kan en vellykket pålogging fortsatt ende med at klienten havner på feil nett. Å betrakte huben som en virtuell svitsj gjør det klart hva den gjør, og hva den lar brokobling, ruting og kaskadekonfigurasjon ta seg av.

En hub er en medlemskapsgrense

Én server kan være vert for flere huber, hver med sine egne brukere, økter og policy. Autentiseringen slår fast hvem økten er, mens huben bestemmer hvilket virtuelt nett økten kobler til. To huber på én vert opptrer derfor som to atskilte svitsjer som tilfeldigvis deler maskinvare. Ingenting ved en vellykket pålogging tilsier at økten endte der du hadde tenkt.

Bruk hubnavnet som operatøren har dokumentert, ikke et navn du husker fra et skjermbilde. En klient som kobler til feil hub, når et annet nett med gyldig legitimasjon, og det er et konfigurasjonsfunn, ikke et sikkerhetsbrudd. Oppbevar hubnavnet og formålet i notatene til tilkoblingsprofilen.

Administrasjonen er avgrenset på samme måte. En hubadministrator styrer den huben, mens serveradministratoren styrer prosessen, lytterne og hver hub på verten.

Tilkoblingene avgjør hva som ligger bortenfor

En hub kobler i seg selv økter til hverandre. Å nå noe annet avhenger av hvordan huben er koblet til: en lokal bro til et fysisk grensesnitt, en virtuell ruter eller en kaskade til en annen server. Hver tilkobling fører med seg egne videresendingsregler og egne feilmoduser. Å forutsette at en hub gir internettilgang er den vanligste feilen om produktet.

SecureNAT er det innebygde alternativet, implementert med en virtuell ruter og en virtuell DHCP-tjeneste inne i serveren. Den er praktisk for et laboratorium og ubekvem for alt som krever forutsigbar adressering eller policy. En lokal bro plasserer huben på et reelt segment, som arver svitsjing, DHCP og kringkastingsatferd fra segmentet.

En kaskade knytter to servere sammen slik at økter på én hub kan dukke opp på den andre. Det er et hub-til-hub-forhold, så begge ender trenger kompatibel policy og en fungerende vei mellom seg.

Les økter og policy hver for seg

Visningene for økter, MAC-adresser og IP-adresser beskriver hvordan det virtuelle nettet ser ut nå. Det er observasjoner, ikke tillatelser. En økt som er synlig i listen, er ikke dermed berettiget til hver tjeneste huben kan nå, og det motsatte gjelder også.

Sammenlign øktlisten med policyen som skal gjelde for den. En enhet med adresse utenfor det tiltenkte området betyr vanligvis DHCP fra et annet sted eller en klient som er satt opp manuelt. En MAC-adresse som flytter seg mellom økter, betyr en flyttet enhet eller to enheter som deler én identitet. Begge er verdt en titt, og ingen av dem bevises av tabellen alene.

På serveren rapporterer vpncmd det samme bildet fra vertens ståsted. Sammenlign den utskriften med klientens eget syn når de to er uenige.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Behandle hubadministrasjon som en egen rolle i stedet for en klienttillatelse. Å delegere én hub bør ikke overlevere lytterne eller prosessen som er vert for hver annen hub.

Kontroller klienten etter tilkobling

Fra klientsiden beviser en etablert økt bare at autentisering og hubnavn ble godtatt. Bekreft adressen, ruten og navneoppslaget hver for seg, fordi hvert av dem kan svikte etter at huben har godtatt økten.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Adresselisten viser om adapteren fikk en lease fra den tiltenkte kilden. Rutespørringen viser hvilket grensesnitt som ville bære en privat destinasjon, og oppslaget mot resolvieren viser om DNS fulgte økten. En hub som videresender pakker mens DNS fortsatt peker på det lokale nettet, gir den klassiske halvt fungerende forbindelsen.

Test applikasjonen i stedet for lenken. En intranettside som lastes, er sterkere bevis enn en adapter med en plausibel adresse.