Локальный мост SoftEther или SecureNAT: что включить

Откройте SoftEther Manager, и первое настоящее решение о концентраторе — не флажок, а вопрос топологии. Локальный мост подключает этот концентратор к физическому адаптеру и позволяет существующему сегменту выдавать адреса, а SecureNAT даёт концентратору собственный виртуальный маршрутизатор, NAT и DHCP. Выбор между ними меняет, откуда берутся адреса и какое устройство отвечает за них. Включить оба и надеяться, что один победит, — это путь, которым работающая лаборатория превращается в тему поддержки.

Начните с того концентратора, который вы действительно редактируете

Manager показывает дерево серверов и концентраторов, и легко настроить концентратор по умолчанию, в то время как клиенты подключаются к другому, с другим именем. Щёлкните концентратор, прочитайте его имя и убедитесь, что перечисленные ниже сеансы — это клиенты, которым вы хотите служить. Эта одна проверка предотвращает большую часть путаницы, которую потом списывают на протокол.

Затем решите, что нужно клиенту с дальней стороны. Общее поведение Ethernet с широковещанием и службами LAN указывает на мост, маршрутизируемый частный доступ к небольшому диапазону адресов указывает на SecureNAT, а выход в интернет — это решение о маршрутизации, которое обе схемы могут понести плохо.

Запишите ответ, прежде чем что-то нажимать, потому что эти два параметра не взаимозаменяемы, а откат занимает больше времени, чем решение. Две минуты записи экономят час переподключений.

Что локальный мост делает с адресацией

Локальный мост подключает концентратор к физическому адаптеру, поэтому концентратор становится частью этого сегмента Ethernet. Клиенты получают адреса от того, что уже обслуживает сегмент, а их шлюзом становится маршрутизатор сегмента. С точки зрения клиента он вошёл в офисную LAN, со всей доступностью и всей подверженностью, которые это подразумевает.

Это также означает, что мосту нужен настоящий адаптер с правильной поддержкой драйвера, а администратор должен иметь право расширять этот сегмент. Вход в VPN доказывает аутентификацию, а не право разместить хост в производственном VLAN. Проверьте, что имя драйвера соответствует нужному адаптеру, потому что мост на неверном порту быстро выводит сегмент из строя. Если список адаптеров пуст или мост сообщает об ошибке, причина обычно связана с драйвером или правами, а не с криптографией.

Читайте таблицу мостов из командной строки, когда графическое дерево неоднозначно. Вывод называет адаптер, чего дерево не всегда делает.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Пустой список мостов при подключённых сеансах — полезная картина: клиенты находятся внутри виртуального концентратора, и ничто ещё не расширяет его в сегмент.

Что добавляет SecureNAT и что скрывает

SecureNAT даёт концентратору виртуальный маршрутизатор, функцию NAT и службу DHCP, всё внутри процесса SoftEther. Клиенты получают адреса из виртуального диапазона DHCP, виртуальный маршрутизатор отвечает за шлюз по умолчанию, а трафик, которому нужно выйти, транслируется. Физический адаптер не участвует, поэтому это работает на хосте с одной сетевой картой и без настройки коммутатора.

Цена в том, что виртуальные адреса принадлежат концентратору и больше ничему. Машина в офисной LAN не может без помощи маршрутизировать к адресу SecureNAT клиента, а всё, что регистрирует адреса источника, видит транслированный адрес хоста SoftEther. Если ваши правила доступа или журнал аудита зависят от реального адреса клиента, это изменение проекта, а не деталь. Это же решает, увидит ли правило адреса источника клиента вообще.

Это ещё и сервер DHCP. Запуск его в сегменте, где такой уже есть, или мост того же сегмента одновременно даёт двух отвечающих и непредсказуемые аренды. Руководство рассматривает эти две функции как отдельные решения именно по этой причине.

Проверьте, что концентратор обслуживает сейчас, прежде чем включать что-либо ещё. Каждая команда печатает текущее состояние, а не предполагаемое.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Включить одно, не сломав другое

Выберите схему, включите её, а другую оставьте выключенной. Концентратор с мостом и с SecureNAT одновременно — это концентратор с двумя возможными ответами на один и тот же вопрос, и клиент поверит тому, который придёт первым. Переходя с одной схемы на другую, отключите старую функцию и переподключите клиента, вместо того чтобы предполагать, что новая настройка действует на существующий сеанс.

Выстройте изменение так, чтобы пул клиентов не перекрывался с диапазоном LAN. Перекрывающиеся подсети — вторая по частоте причина туннеля, который подключается и затем ничего не достигает, и они невидимы, пока вы не сравните оба плана адресации рядом.

Затем переподключитесь с клиента и прочитайте, что он получил, потому что представление концентратора о сеансе — не представление клиента о его собственной сети. Переподключение — единственный надёжный способ заставить выдать новую аренду.

Проверьте шлюз и резолвер на клиенте

Успешная аутентификация говорит, что учётные данные работают и концентратор принял сеанс. Она ничего не говорит о том, достигает ли клиент чего-либо, потому что это зависит от адреса, маски, шлюза и DNS-сервера, которые он получил. Прочитайте эти четыре значения на клиенте, прежде чем снова трогать настройку сервера.

В Windows сведения об адаптере показывают аренду и резолвер, а таблица маршрутов показывает, действительно ли туннель является путём по умолчанию.

ipconfig /all
route print -4
nslookup intranet.corp.internal

На клиенте Linux те же сведения берутся из файлов адресов, маршрутов и резолвера. Маршрут по умолчанию — это значение, которое решает, выходит ли трафик через туннель вообще. Если шлюз указывает на офисный маршрутизатор, а туннель должен нести трафик, топология сведена мостом по названию и сломана на практике. Сначала исправьте источник адресов, затем снова проверьте приложение и только после этого рассматривайте смену другого режима.