Punte locală SoftEther sau SecureNAT: pe care o activați

Deschideți SoftEther Manager, iar prima decizie reală despre un hub nu este o casetă de bifare, ci o chestiune de topologie. O punte locală leagă acel hub de un adaptor fizic și lasă segmentul existent să furnizeze adresarea, în timp ce SecureNAT îi dă hubului propriul router virtual, NAT și DHCP. Alegerea între ele schimbă de unde vin adresele și ce dispozitiv răspunde pentru ele. Activarea ambelor și speranța că unul câștigă este felul în care un laborator funcțional devine un fir de suport.

Începeți cu hubul pe care chiar îl editați

Manager afișează un arbore de servere și huburi, și este ușor să configurați hubul implicit în timp ce clienții se conectează la altul, cu un nume diferit. Faceți clic pe hub, citiți-i numele și confirmați că sesiunile listate dedesubt sunt clienții pe care încercați să-i serviți. Acea singură verificare împiedică cea mai mare parte a confuziei care ulterior este pusă pe seama protocolului.

Apoi decideți de ce are nevoie clientul de la capătul îndepărtat. Comportamentul Ethernet partajat cu difuzare și servicii LAN indică o punte, accesul privat rutat către un interval mic de adrese indică SecureNAT, iar ieșirea în internet este o decizie de rutare pe care ambele aranjamente o pot duce prost.

Scrieți răspunsul înainte să faceți clic pe ceva, pentru că cele două setări nu sunt interschimbabile, iar revenirea durează mai mult decât decizia. Două minute de scris economisesc o oră de reconectare.

Ce face o punte locală cu adresarea

O punte locală conectează hubul la un adaptor fizic, așa că hubul devine parte din acel segment Ethernet. Clienții primesc adrese de la ceea ce servește deja segmentul, iar gateway-ul lor este routerul segmentului. Din punctul de vedere al clientului, a intrat în LAN-ul biroului, cu toată accesibilitatea și toată expunerea pe care le implică.

Asta înseamnă și că puntea are nevoie de un adaptor real cu suportul corect de driver și că administratorul trebuie să fie autorizat să extindă acel segment. O autentificare VPN dovedește autentificarea, nu dreptul de a plasa un gazdă într-un VLAN de producție. Verificați dacă numele driverului corespunde adaptorului intenționat, pentru că puntea pe portul greșit doboară rapid un segment. Dacă lista de adaptoare este goală sau puntea raportează o eroare, cauza este de obicei legată de driver sau de privilegii, nu de criptografie.

Citiți tabelul punților din linia de comandă când arborele grafic este ambiguu. Ieșirea numește adaptorul, ceea ce arborele nu face întotdeauna.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

O listă goală de punți cu sesiuni conectate este o imagine utilă: clienții sunt în interiorul hubului virtual și nimic nu îl extinde încă la un segment.

Ce adaugă SecureNAT și ce ascunde

SecureNAT îi dă hubului un router virtual, o funcție NAT și un serviciu DHCP, toate în interiorul procesului SoftEther. Clienții primesc adrese din intervalul DHCP virtual, routerul virtual răspunde pentru gateway-ul implicit, iar traficul care trebuie să iasă este tradus. Nu este implicat niciun adaptor fizic, motiv pentru care funcționează pe un gazdă cu o singură placă de rețea și fără configurarea comutatorului.

Costul este că adresele virtuale aparțin hubului și nimic altceva. O mașină din LAN-ul biroului nu poate ruta către adresa SecureNAT a unui client fără ajutor, iar tot ce înregistrează adresele sursă vede adresa tradusă a gazdei SoftEther. Dacă regulile de acces sau urma de audit depind de adresa reală a clientului, aceea este o schimbare de proiectare și nu un detaliu. De asemenea, decide dacă o regulă de adresă sursă va vedea vreodată clientul.

Este și un server DHCP. Rularea lui pe un segment care are deja unul, sau puntea pe acel segment în același timp, produce doi respondenți și închirieri imprevizibile. Manualul tratează cele două funcții ca opțiuni separate exact din acest motiv.

Inspectați ce servește hubul chiar acum înainte de a activa orice altceva. Fiecare comandă afișează starea curentă, nu pe cea intenționată.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Activarea uneia fără a strica cealaltă

Alegeți aranjamentul, activați-l și lăsați-l pe celălalt oprit. Un hub cu punte și cu SecureNAT ambele active este un hub cu două răspunsuri posibile la aceeași întrebare, iar clientul va crede pe cel care ajunge primul. Când migrați de la unul la altul, dezactivați funcția veche și reconectați clientul în loc să presupuneți că noua setare se aplică unei sesiuni existente.

Ordonați schimbarea astfel încât grupul de clienți să nu se suprapună cu intervalul LAN. Subrețelele suprapuse sunt a doua cauză ca frecvență a unui tunel care se conectează și apoi nu ajunge nicăieri, și sunt invizibile până când comparați ambele planuri de adresare unul lângă altul.

Apoi reconectați-vă din client și citiți ce a primit, pentru că viziunea hubului asupra sesiunii nu este viziunea clientului asupra propriei rețele. Reconectarea este singura modalitate fiabilă de a forța o închiriere nouă.

Verificați gateway-ul și resolverul pe client

O autentificare reușită vă spune că acreditările funcționează și că hubul a acceptat sesiunea. Nu spune nimic despre dacă clientul ajunge undeva, pentru că asta depinde de adresa, masca, gateway-ul și serverul DNS pe care le-a primit. Citiți aceste patru valori pe client înainte de a atinge din nou o setare de server.

În Windows detaliile adaptorului arată închirierea și resolverul, iar tabelul de rutare arată dacă tunelul este într-adevăr calea implicită.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Pe un client Linux aceleași informații vin din fișierele de adrese, rute și resolver. Ruta implicită este valoarea care decide dacă traficul iese sau nu prin tunel. Dacă gateway-ul indică routerul biroului în timp ce tunelul se așteaptă să transporte traficul, topologia este punte după nume și ruptă în practică. Remediați mai întâi sursa adreselor, retestați aplicația și abia apoi luați în considerare schimbarea celuilalt mod.