Lokalny most SoftEther czy SecureNAT: co włączyć

Otwórz SoftEther Manager, a pierwsza prawdziwa decyzja dotycząca koncentratora nie jest polem wyboru, lecz kwestią topologii. Most lokalny podłącza ten koncentrator do fizycznej karty sieciowej i pozwala istniejącemu segmentowi dostarczać adresację, natomiast SecureNAT daje koncentratorowi własny router wirtualny, NAT i DHCP. Wybór między nimi zmienia, skąd pochodzą adresy i które urządzenie za nie odpowiada. Włączenie obu i nadzieja, że jeden wygra, to droga, którą działające laboratorium staje się wątkiem wsparcia.

Zacznij od koncentratora, który naprawdę edytujesz

Manager pokazuje drzewo serwerów i koncentratorów, i łatwo skonfigurować domyślny koncentrator, podczas gdy klienci łączą się z innym, o innej nazwie. Kliknij koncentrator, przeczytaj jego nazwę i potwierdź, że sesje wymienione poniżej to klienci, którym chcesz służyć. To jedno sprawdzenie zapobiega większości zamieszania, które później przypisuje się protokołowi.

Następnie zdecyduj, czego klient potrzebuje od drugiego końca. Wspólne zachowanie Ethernet z rozgłaszaniem i usługami LAN wskazuje na most, rutowany dostęp prywatny do niewielkiego zakresu adresów wskazuje na SecureNAT, a wyjście do internetu jest decyzją o routingu, którą oba układy mogą źle unieść.

Zapisz odpowiedź, zanim cokolwiek klikniesz, ponieważ oba ustawienia nie są wymienne, a cofnięcie trwa dłużej niż decyzja. Dwie minuty pisania oszczędzają godzinę ponownego łączenia.

Co most lokalny robi z adresacją

Most lokalny łączy koncentrator z fizyczną kartą sieciową, więc koncentrator staje się częścią tego segmentu Ethernet. Klienci otrzymują adresy od tego, co już obsługuje segment, a ich bramą jest router segmentu. Z punktu widzenia klienta dołączył do sieci LAN biura, z całą jej osiągalnością i całym wynikającym z tego narażeniem.

To oznacza również, że most potrzebuje prawdziwej karty z odpowiednim wsparciem sterownika i że administrator musi być upoważniony do rozszerzenia tego segmentu. Logowanie VPN dowodzi uwierzytelnienia, a nie prawa do umieszczenia hosta w produkcyjnym VLAN. Sprawdź, czy nazwa sterownika odpowiada zamierzonej karcie, ponieważ mostkowanie niewłaściwego portu szybko kładzie segment. Jeśli lista kart jest pusta lub most zgłasza błąd, przyczyna zwykle dotyczy sterownika lub uprawnień, a nie kryptografii.

Czytaj tabelę mostów z wiersza poleceń, gdy drzewo graficzne jest niejednoznaczne. Wyjście podaje nazwę karty, czego drzewo nie zawsze robi.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Pusta lista mostów z podłączonymi sesjami to przydatny obraz: klienci są wewnątrz koncentratora wirtualnego i nic jeszcze nie rozszerza go na segment.

Co dodaje SecureNAT i co ukrywa

SecureNAT daje koncentratorowi router wirtualny, funkcję NAT i usługę DHCP, wszystko wewnątrz procesu SoftEther. Klienci otrzymują adresy z wirtualnego zakresu DHCP, router wirtualny odpowiada za bramę domyślną, a ruch, który musi wyjść, jest tłumaczony. Żadna fizyczna karta nie jest zaangażowana, dlatego działa na hoście z jedną kartą sieciową i bez konfiguracji przełącznika.

Kosztem jest to, że adresy wirtualne należą do koncentratora i do niczego innego. Maszyna w sieci LAN biura nie może bez pomocy routować do adresu SecureNAT klienta, a wszystko, co rejestruje adresy źródłowe, widzi przetłumaczony adres hosta SoftEther. Jeśli reguły dostępu lub ścieżka audytu zależą od prawdziwego adresu klienta, to zmiana projektu, a nie szczegół. To decyduje również, czy reguła adresu źródłowego kiedykolwiek zobaczy klienta.

Jest to także serwer DHCP. Uruchamianie go w segmencie, który już go ma, albo mostkowanie tego segmentu jednocześnie daje dwóch odpowiadających i nieprzewidywalne dzierżawy. Podręcznik traktuje obie funkcje jako osobne wybory właśnie z tego powodu.

Sprawdź, czemu koncentrator teraz służy, zanim włączysz cokolwiek innego. Każde polecenie wypisuje stan bieżący, a nie zamierzony.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Włączanie jednego bez psucia drugiego

Wybierz układ, włącz go, a drugi pozostaw wyłączony. Koncentrator z mostem i z SecureNAT jednocześnie to koncentrator z dwiema możliwymi odpowiedziami na to samo pytanie, a klient uwierzy tej, która przyjdzie pierwsza. Przechodząc z jednego na drugi, wyłącz starą funkcję i połącz klienta ponownie, zamiast zakładać, że nowe ustawienie działa na istniejącą sesję.

Uporządkuj zmianę tak, aby pula klientów nie pokrywała się z zakresem LAN. Nakładające się podsieci to druga najczęstsza przyczyna tunelu, który się łączy, a potem do niczego nie dociera, i są niewidoczne, dopóki nie porównasz obu planów adresacji obok siebie.

Następnie połącz się ponownie z klienta i odczytaj, co otrzymał, ponieważ widok koncentratora na sesję nie jest widokiem klienta na jego własną sieć. Ponowne połączenie to jedyny pewny sposób wymuszenia nowej dzierżawy.

Sprawdź bramę i resolver na kliencie

Udane uwierzytelnienie mówi, że poświadczenia działają i że koncentrator zaakceptował sesję. Nie mówi nic o tym, czy klient do czegokolwiek dociera, bo to zależy od adresu, maski, bramy i serwera DNS, które otrzymał. Odczytaj te cztery wartości na kliencie, zanim ponownie dotkniesz ustawienia serwera.

W systemie Windows szczegóły karty pokazują dzierżawę i resolver, a tabela tras pokazuje, czy tunel jest rzeczywiście ścieżką domyślną.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Na kliencie Linux te same informacje pochodzą z plików adresów, tras i resolvera. Trasa domyślna to wartość, która decyduje, czy ruch w ogóle wychodzi przez tunel. Jeśli brama wskazuje router biura, a tunel ma nieść ruch, topologia jest zmostkowana z nazwy i zepsuta w praktyce. Najpierw napraw źródło adresów, potem przetestuj aplikację ponownie, a dopiero potem rozważ zmianę drugiego trybu.