Šta virtualni hub SoftEther zapravo povezuje

SoftEther virtuelni hub je granica članstva unutar jednog servera, a ne lokacija. Sesije koje se priključe hubu mogu doći do onoga na šta je hub priključen, a sesije na drugom hubu ne mogu, čak i kada se obe autentifikuju na istom serveru. Zato uspešna prijava i dalje može dovesti klijenta na pogrešnu mrežu. Čitanje huba kao virtuelnog preklopnika pojašnjava šta on radi i šta prepušta premošćavanju, rutiranju i konfiguraciji kaskade.

Hub je granica članstva

Jedan server može ugostiti nekoliko hubova, svaki sa svojim korisnicima, sesijama i politikom. Autentifikacija utvrđuje ko je sesija, dok hub odlučuje kojoj virtuelnoj mreži se ta sesija priključuje. Dva huba na jednom hostu se stoga ponašaju kao dva odvojena preklopnika koja slučajno dele hardver. Ništa u uspešnoj prijavi ne znači da je sesija sletela tamo gde ste nameravali.

Koristite naziv huba koji je dokumentovao operater, a ne naziv zapamćen sa snimka ekrana. Klijent koji se priključi pogrešnom hubu dolazi na drugu mrežu sa važećim akreditivom, što je nalaz o konfiguraciji, a ne sigurnosni incident. Čuvajte naziv huba i njegovu svrhu u beleškama profila veze.

Administracija je ograničena na isti način. Administrator huba upravlja tim hubom, dok administrator servera upravlja procesom, osluškivačima i svakim hubom na hostu.

Priključci odlučuju šta je s druge strane

Hub sam po sebi povezuje sesije jednu s drugom. Dolazak do bilo čega drugog zavisi od toga kako je hub priključen: lokalni most prema fizičkom interfejsu, virtuelni ruter ili kaskada prema drugom serveru. Svaki priključak nosi sopstvena pravila prosleđivanja i sopstvene načine otkaza. Pretpostavka da hub pruža pristup internetu najčešća je greška u vezi s proizvodom.

SecureNAT je ugrađena opcija, implementirana virtuelnim ruterom i virtuelnom DHCP uslugom unutar servera. Zgodna je za laboratoriju, a nezgodna za sve što traži predvidivo adresiranje ili politiku. Lokalni most stavlja hub na stvarni segment, koji nasleđuje preklapanje, DHCP i ponašanje emitovanja tog segmenta.

Kaskada povezuje dva servera tako da sesije na jednom hubu mogu da se pojave na drugom. To je odnos hub-prema-hubu, pa oba kraja trebaju kompatibilnu politiku i radnu putanju između sebe.

Čitajte sesije i politiku odvojeno

Prikazi sesija, MAC adresa i IP adresa opisuju kako virtuelna mreža trenutno izgleda. To su opažanja, ne dozvole. Sesija vidljiva na listi time nije ovlašćena za svaku uslugu do koje hub može doći, a važi i obrnuto.

Uporedite listu sesija sa politikom koja na nju treba da se primeni. Uređaj sa adresom izvan predviđenog opsega obično znači DHCP odnekud drugde ili ručno konfigurisan klijent. MAC adresa koja se kreće između sesija znači preseljen uređaj ili dva uređaja koja dele identitet. Oboje vredi pogledati, a ni jedno se ne dokazuje samo tabelom.

Na serveru vpncmd prikazuje istu sliku iz ugla hosta. Uporedite taj izlaz sa sopstvenim prikazom klijenta kad se dva razilaze.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Tretirajte administraciju huba kao sopstvenu ulogu, a ne kao dozvolu klijenta. Delegiranje jednog huba ne treba da preda osluškivače ni proces koji ugošćuje svaki drugi hub.

Proverite klijenta nakon priključivanja

Sa strane klijenta, uspostavljena sesija dokazuje samo da su autentifikacija i naziv huba prihvaćeni. Potvrdite adresu, rutu i razrešavanje imena odvojeno, jer svako može pasti nakon što hub prihvati sesiju.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Lista adresa pokazuje da li je adapter dobio zakup iz predviđenog izvora. Upit rute pokazuje koji bi interfejs nosio privatno odredište, a upit razrešivača pokazuje da li je DNS sledio sesiju. Hub koji prosleđuje pakete dok DNS još pokazuje na lokalnu mrežu stvara klasičnu napola radnu vezu.

Testirajte aplikaciju, a ne vezu. Intranet stranica koja se učita jači je dokaz od adaptera sa uverljivom adresom.