SoftEther lokalni most naspram SecureNAT: šta uključiti

Otvorite SoftEther Manager i prva stvarna odluka o nekom hubu nije polje za potvrdu, nego pitanje topologije. Lokalni most povezuje taj hub sa fizičkim adapterom i pušta postojeći segment da daje adresiranje, dok SecureNAT daje hubu vlastiti virtualni ruter, NAT i DHCP. Izbor između njih mijenja odakle adrese dolaze i koji uređaj na njih odgovara. Uključiti oboje i nadati se da će jedno pobijediti jeste način na koji radna laboratorija postaje nit za podršku.

Počnite od huba koji zaista uređujete

Manager prikazuje stablo servera i hubova, i lako je podesiti zadani hub dok se klijenti povezuju na drugi s drugačijim imenom. Kliknite na hub, pročitajte njegovo ime i potvrdite da su sesije ispod njega klijenti kojima želite služiti. Ta jedna provjera sprječava većinu zabune koja se poslije pripisuje protokolu.

Zatim odlučite šta klijentu treba s udaljene strane. Dijeljeno Ethernet ponašanje s broadcastom i LAN uslugama upućuje na most, rutirani privatni pristup malom rasponu adresa upućuje na SecureNAT, a izlaz na internet je odluka o rutiranju koju oba rasporeda mogu loše nositi.

Zapišite odgovor prije nego što išta kliknete, jer te dvije postavke nisu zamjenjive i poništavanje traje duže od odluke. Dvije minute pisanja štede sat ponovnog povezivanja.

Šta lokalni most radi s adresiranjem

Lokalni most povezuje hub s fizičkim adapterom, pa hub postaje dio tog Ethernet segmenta. Klijenti dobijaju adrese od onoga što već služi segmentu, a njihov gateway je ruter segmenta. Iz perspektive klijenta on je ušao u uredski LAN, sa svom dostupnošću i svom izloženošću koju to podrazumijeva.

To također znači da mostu treba stvarni adapter s ispravnom podrškom drajvera i da administrator mora imati ovlaštenje da proširi taj segment. VPN prijava dokazuje autentifikaciju, ne pravo da host smjestite na produkcijski VLAN. Provjerite da ime drajvera odgovara adapteru koji namjeravate, jer premosnica pogrešnog porta brzo obara segment. Ako je lista adaptera prazna ili most prijavi grešku, odgovor je obično vezan za drajver ili privilegije, a ne za kriptografiju.

Čitajte tablicu mostova iz komandne linije kada je grafičko stablo dvosmisleno. Izlaz imenuje adapter, što stablo ne čini uvijek.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Prazna lista mostova sa povezanim sesijama je korisna slika: klijenti su unutar virtualnog huba i ništa ga još ne proširuje na segment.

Šta SecureNAT dodaje i šta skriva

SecureNAT daje hubu virtualni ruter, NAT funkciju i DHCP uslugu, sve unutar SoftEther procesa. Klijenti dobijaju adrese iz virtualnog DHCP raspona, virtualni ruter odgovara za zadani gateway, a promet koji treba izaći se prevodi. Fizički adapter nije uključen, zbog čega radi na hostu s jednom mrežnom karticom i bez konfiguracije preklopnika.

Cijena je da virtualne adrese pripadaju hubu i ničemu drugom. Mašina na uredskom LAN-u ne može rutirati do SecureNAT adrese klijenta bez pomoći, a sve što bilježi izvorne adrese vidi prevedenu adresu SoftEther hosta. Ako vaša pravila pristupa ili revizorski trag zavise od stvarne adrese klijenta, to je promjena dizajna, a ne detalj. To također odlučuje hoće li pravilo o izvornoj adresi ikada vidjeti klijenta.

On je i DHCP server. Pokretanje na segmentu koji ga već ima, ili istovremeno premošćivanje tog segmenta, stvara dva odgovarača i nepredvidive lease ugovore. Priručnik tretira te dvije funkcije kao odvojene izbore upravo zbog toga.

Pregledajte šta hub trenutno servira prije nego što uključite bilo šta drugo. Svaka komanda ispisuje trenutno stanje, a ne željeno.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Uključiti jedno bez kvarenja drugog

Odaberite raspored, uključite ga i ostavite drugi isključen. Hub s mostom i s SecureNAT-om istovremeno je hub s dva moguća odgovora na isto pitanje, a klijent će vjerovati onom koji stigne prvi. Kad prelazite s jednog na drugo, isključite staru funkciju i ponovo povežite klijent umjesto da pretpostavite da nova postavka djeluje na postojeću sesiju.

Poredajte promjenu tako da se klijentski pool ne preklapa s LAN rasponom. Preklapajuće podmreže su drugi najčešći uzrok tunela koji se poveže i zatim ne može doći ni do čega, i nevidljive su dok ne uporedite oba plana adresa jedan uz drugi.

Zatim se ponovo povežite s klijenta i pročitajte šta je dobio, jer hubov pogled na sesiju nije klijentov pogled na vlastitu mrežu. Ponovno povezivanje je jedini pouzdan način da iznudite svjež lease.

Provjerite gateway i resolver na klijentu

Uspješna autentifikacija vam kaže da akreditivi rade i da je hub prihvatio sesiju. Ne kaže ništa o tome može li klijent doći do bilo čega, jer to zavisi od adrese, maske, gatewaya i DNS servera koji je dobio. Pročitajte te četiri vrijednosti na klijentu prije nego što ponovo dotaknete postavku servera.

Na Windowsu detalji adaptera pokazuju lease i resolver, a tablica ruta pokazuje je li tunel zaista zadani put.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Na Linux klijentu iste informacije dolaze iz datoteka adrese, ruta i resolvera. Zadana ruta je vrijednost koja odlučuje izlazi li promet uopće kroz tunel. Ako gateway pokazuje na uredski ruter dok tunel očekuje da nosi promet, topologija je premošćena po imenu i slomljena u praksi. Prvo popravite izvor adrese, zatim ponovo testirajte aplikaciju i tek onda razmotrite promjenu drugog režima.