Co tak naprawdę łączy wirtualny hub SoftEther

Wirtualny hub SoftEther to granica członkostwa wewnątrz jednego serwera, a nie lokalizacja. Sesje, które dołączają do huba, mogą osiągnąć to, do czego hub jest przyłączony, a sesje na innym hubie nie mogą, nawet gdy obie uwierzytelniają się na tym samym serwerze. Dlatego udane logowanie wciąż może umieścić klienta w niewłaściwej sieci. Czytanie huba jako wirtualnego przełącznika wyjaśnia, co robi i co zostawia mostkowaniu, routowaniu i konfiguracji kaskady.

Hub to granica członkostwa

Jeden serwer może hostować kilka hubów, każdy z własnymi użytkownikami, sesjami i polityką. Uwierzytelnianie ustala, kim jest sesja, a hub decyduje, do której sieci wirtualnej ta sesja dołącza. Dwa huby na jednym hoście zachowują się więc jak dwa osobne przełączniki, które przypadkiem dzielą sprzęt. Nic w udanym logowaniu nie sugeruje, że sesja wylądowała tam, gdzie chciano.

Używaj nazwy huba udokumentowanej przez operatora, a nie nazwy zapamiętanej ze zrzutu ekranu. Klient, który dołączy do niewłaściwego huba, trafia do innej sieci z ważnym poświadczeniem, co jest ustaleniem konfiguracji, a nie naruszeniem bezpieczeństwa. Zachowaj nazwę huba i jego cel w notatkach profilu połączenia.

Administracja jest ograniczona w ten sam sposób. Administrator huba zarządza tym hubem, a administrator serwera zarządza procesem, nasłuchiwaczami i każdym hubem na hoście.

Przyłączenia decydują, co jest po drugiej stronie

Hub sam w sobie łączy sesje ze sobą. Osiągnięcie czegokolwiek innego zależy od tego, jak hub jest przyłączony: most lokalny do interfejsu fizycznego, router wirtualny albo kaskada do innego serwera. Każde przyłączenie wnosi własne reguły przekazywania i własne tryby awarii. Założenie, że hub zapewnia dostęp do internetu, to najczęstszy błąd dotyczący produktu.

SecureNAT to opcja wbudowana, zrealizowana za pomocą wirtualnego routera i wirtualnej usługi DHCP wewnątrz serwera. Jest wygodna w laboratorium i niewygodna dla wszystkiego, co wymaga przewidywalnego adresowania lub polityki. Most lokalny umieszcza hub w rzeczywistym segmencie, który dziedziczy przełączanie, DHCP i zachowanie rozgłoszeniowe tego segmentu.

Kaskada łączy dwa serwery, aby sesje na jednym hubie mogły pojawić się na drugim. To relacja hub do huba, więc oba końce potrzebują zgodnej polityki i działającej ścieżki między nimi.

Czytaj sesje i politykę osobno

Widoki sesji, adresów MAC i adresów IP opisują, jak sieć wirtualna wygląda teraz. To obserwacje, nie uprawnienia. Sesja widoczna na liście nie jest przez to uprawniona do każdej usługi, do której może dotrzeć hub, i odwrotnie również.

Porównaj listę sesji z polityką, która powinna mieć do niej zastosowanie. Urządzenie z adresem poza zamierzonym zakresem zwykle oznacza DHCP z innego miejsca lub klienta skonfigurowanego ręcznie. Adres MAC przemieszczający się między sesjami oznacza przeniesione urządzenie lub dwa urządzenia dzielące tożsamość. Oba są warte spojrzenia i żadnego nie dowodzi sama tabela.

Na serwerze vpncmd raportuje ten sam obraz z punktu widzenia hosta. Porównaj to wyjście z widokiem samego klienta, gdy oba się różnią.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Traktuj administrację huba jako własną rolę, a nie uprawnienie klienta. Delegowanie jednego huba nie powinno przekazywać nasłuchiwaczy ani procesu hostującego każdy inny hub.

Sprawdź klienta po dołączeniu

Po stronie klienta ustanowiona sesja dowodzi tylko, że uwierzytelnianie i nazwa huba zostały przyjęte. Potwierdź adres, trasę i rozwiązywanie nazw osobno, ponieważ każde z nich może zawieść po tym, jak hub przyjął sesję.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Lista adresów pokazuje, czy adapter otrzymał dzierżawę z zamierzonego źródła. Zapytanie o trasę pokazuje, który interfejs przeniósłby cel prywatny, a zapytanie do resolvera pokazuje, czy DNS podążył za sesją. Hub, który przekazuje pakiety, podczas gdy DNS nadal wskazuje sieć lokalną, tworzy klasyczne półdziałające połączenie.

Testuj aplikację, a nie łącze. Ładująca się strona intranetu jest silniejszym dowodem niż adapter z wiarygodnym adresem.