Что на самом деле соединяет виртуальный концентратор SoftEther

Виртуальный концентратор SoftEther — это граница членства внутри одного сервера, а не местоположение. Сессии, присоединившиеся к концентратору, достигают того, к чему подключён концентратор, а сессии на другом концентраторе не достигают, даже когда обе аутентифицируются на одном сервере. Поэтому успешный вход всё равно может поместить клиента в неправильную сеть. Чтение концентратора как виртуального коммутатора проясняет, что он делает и что оставляет мостовому соединению, маршрутизации и конфигурации каскада.

Концентратор — это граница членства

Один сервер может размещать несколько концентраторов, каждый со своими пользователями, сессиями и политикой. Аутентификация устанавливает, кто такая сессия, а концентратор решает, к какой виртуальной сети эта сессия присоединяется. Поэтому два концентратора на одном хосте ведут себя как два отдельных коммутатора, которые случайно делят оборудование. Ничто в успешном входе не означает, что сессия оказалась там, куда вы хотели.

Используйте имя концентратора, задокументированное оператором, а не имя, запомненное со снимка экрана. Клиент, присоединившийся к неправильному концентратору, попадает в другую сеть с действительным удостоверением, и это находка конфигурации, а не нарушение безопасности. Храните имя концентратора и его назначение в заметках профиля подключения.

Администрирование ограничено так же. Администратор концентратора управляет этим концентратором, а администратор сервера управляет процессом, слушателями и каждым концентратором на хосте.

Подключения определяют, что находится за ними

Концентратор сам по себе соединяет сессии друг с другом. Достичь чего-то другого зависит от того, как подключён концентратор: локальный мост к физическому интерфейсу, виртуальный маршрутизатор или каскад к другому серверу. Каждое подключение несёт собственные правила пересылки и собственные режимы отказа. Предположение, что концентратор даёт доступ в интернет, — самая частая ошибка о продукте.

SecureNAT — это встроенный вариант, реализованный виртуальным маршрутизатором и виртуальной службой DHCP внутри сервера. Он удобен для лаборатории и неудобен для всего, что требует предсказуемой адресации или политики. Локальный мост помещает концентратор в реальный сегмент, который наследует коммутацию, DHCP и поведение широковещания этого сегмента.

Каскад соединяет два сервера, чтобы сессии на одном концентраторе могли появляться на другом. Это отношение концентратора к концентратору, поэтому обеим сторонам нужны совместимая политика и работающий путь между ними.

Читайте сессии и политику отдельно

Представления сессий, MAC-адресов и IP-адресов описывают, как виртуальная сеть выглядит сейчас. Это наблюдения, а не разрешения. Сессия, видимая в списке, не получает от этого права на каждую службу, до которой может дотянуться концентратор, и обратное тоже верно.

Сравните список сессий с политикой, которая должна к нему применяться. Устройство с адресом вне предполагаемого диапазона обычно означает DHCP откуда-то ещё или клиент, настроенный вручную. MAC-адрес, перемещающийся между сессиями, означает перенесённое устройство или два устройства с общей идентичностью. Оба стоят взгляда, и ни один не доказывается одной таблицей.

На сервере vpncmd сообщает ту же картину с точки зрения хоста. Сравните этот вывод с собственным представлением клиента, когда они расходятся.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Относитесь к администрированию концентратора как к отдельной роли, а не к разрешению клиента. Делегирование одного концентратора не должно передавать слушателей или процесс, размещающий каждый другой концентратор.

Проверьте клиента после присоединения

Со стороны клиента установленная сессия доказывает лишь то, что аутентификация и имя концентратора были приняты. Подтвердите адрес, маршрут и разрешение имён по отдельности, потому что каждое из них может отказать после того, как концентратор принял сессию.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Список адресов показывает, получил ли адаптер аренду от предполагаемого источника. Запрос маршрута показывает, какой интерфейс понёс бы частный адрес назначения, а запрос к резолверу показывает, последовал ли DNS за сессией. Концентратор, который пересылает пакеты, пока DNS всё ещё указывает на локальную сеть, создаёт классическое наполовину работающее соединение.

Проверяйте приложение, а не канал. Загружающаяся страница интранета — более сильное доказательство, чем адаптер с правдоподобным адресом.