Lokalni most SoftEther ali SecureNAT: katerega vklopiti

Odprite SoftEther Manager in prva resnična odločitev o vozlišču ni potrditveno polje, temveč vprašanje topologije. Lokalni most poveže to vozlišče s fizičnim adapterjem in pusti obstoječemu segmentu, da zagotavlja naslavljanje, medtem ko SecureNAT vozlišču da lasten navidezni usmerjevalnik, NAT in DHCP. Izbira med njima spremeni, od kod prihajajo naslovi in katera naprava odgovarja zanje. Vklopiti oba in upati, da bo eden zmagal, je pot, po kateri delujoč laboratorij postane nit za podporo.

Začnite pri vozlišču, ki ga res urejate

Manager prikazuje drevo strežnikov in vozlišč, in zlahka nastavite privzeto vozlišče, medtem ko se odjemalci povezujejo z drugim z drugačnim imenom. Kliknite vozlišče, preberite njegovo ime in potrdite, da so seje pod njim odjemalci, ki jim želite služiti. Ta ena preveritev prepreči večino zmede, ki se pozneje pripiše protokolu.

Nato odločite, kaj odjemalec potrebuje z oddaljenega konca. Skupno vedenje Ethernet z oddajanjem in storitvami LAN kaže na most, usmerjen zasebni dostop do majhnega obsega naslovov kaže na SecureNAT, izhod v internet pa je odločitev o usmerjanju, ki jo lahko oba aranžmaja slabo preneseta.

Zapišite odgovor, preden kar koli kliknete, ker obe nastavitvi nista zamenljivi in razveljavitev traja dlje kot odločitev. Dve minuti pisanja prihranita uro ponovnega povezovanja.

Kaj lokalni most naredi z naslavljanjem

Lokalni most poveže vozlišče s fizičnim adapterjem, zato vozlišče postane del tega segmenta Ethernet. Odjemalci prejmejo naslove od tega, kar segmentu že služi, njihov prehod pa je usmerjevalnik segmenta. Z vidika odjemalca se je pridružil pisarniškemu LAN, z vso dosegljivostjo in vso izpostavljenostjo, ki jo to prinaša.

To pomeni tudi, da most potrebuje pravi adapter z ustrezno podporo gonilnika in da mora biti skrbnik pooblaščen za razširitev tega segmenta. Prijava VPN dokazuje preverjanje pristnosti, ne pravice do postavitve gostitelja v produkcijski VLAN. Preverite, ali ime gonilnika ustreza predvidenemu adapterju, ker most na napačnih vratih hitro podre segment. Če je seznam adapterjev prazen ali most sporoči napako, je vzrok običajno povezan z gonilnikom ali pravicami, ne s kriptografijo.

Berite tabelo mostov iz ukazne vrstice, ko je grafično drevo dvoumno. Izhod poimenuje adapter, česar drevo ne naredi vedno.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Prazen seznam mostov s povezanimi sejami je koristna slika: odjemalci so znotraj navideznega vozlišča in nič ga še ne razširja na segment.

Kaj SecureNAT doda in kaj skrije

SecureNAT vozlišču da navidezni usmerjevalnik, funkcijo NAT in storitev DHCP, vse znotraj procesa SoftEther. Odjemalci prejmejo naslove iz navideznega obsega DHCP, navidezni usmerjevalnik odgovarja za privzeti prehod, promet, ki mora izstopiti, pa se prevede. Noben fizični adapter ni vključen, zato to deluje na gostitelju z eno omrežno kartico in brez konfiguracije stikala.

Cena je, da navidezni naslovi pripadajo vozlišču in ničemur drugemu. Stroj v pisarniškem LAN ne more brez pomoči usmerjati na naslov SecureNAT odjemalca in vse, kar beleži izvorne naslove, vidi prevedeni naslov gostitelja SoftEther. Če so vaša pravila dostopa ali revizijska sled odvisna od resničnega naslova odjemalca, je to sprememba zasnove in ne podrobnost. Odloča tudi, ali bo pravilo izvornega naslova odjemalca sploh kdaj videlo.

Je tudi strežnik DHCP. Izvajanje v segmentu, ki ga že ima, ali most na tem segmentu hkrati ustvari dva odgovarjajoča in nepredvidljive najeme. Priročnik obravnava obe funkciji kot ločeni izbiri prav zato.

Preverite, čemu vozlišče trenutno služi, preden omogočite karkoli drugega. Vsak ukaz izpiše trenutno stanje, ne predvidenega.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Vklopiti enega, ne da bi pokvarili drugega

Izberite aranžma, ga omogočite in pustite drugega izklopljenega. Vozlišče z mostom in s SecureNAT hkrati je vozlišče z dvema možnima odgovoroma na isto vprašanje in odjemalec bo verjel tistemu, ki prispe prvi. Ko prehajate z enega na drugega, onemogočite staro funkcijo in znova povežite odjemalca, namesto da bi predpostavili, da nova nastavitev deluje na obstoječo sejo.

Uredite spremembo tako, da se nabor odjemalcev ne prekriva z obsegom LAN. Prekrivajoča se podomrežja so drugi najpogostejši vzrok tunela, ki se poveže in nato ne doseže ničesar, in so nevidna, dokler ne primerjate obeh načrtov naslavljanja drug ob drugem.

Nato se znova povežite z odjemalca in preberite, kaj je prejel, ker pogled vozlišča na sejo ni pogled odjemalca na njegovo lastno omrežje. Ponovna povezava je edini zanesljiv način, da prisilite nov najem.

Preverite prehod in razreševalnik na odjemalcu

Uspešno preverjanje pristnosti pove, da poverilnice delujejo in da je vozlišče sejo sprejelo. Ne pove ničesar o tem, ali odjemalec kam doseže, ker je to odvisno od naslova, maske, prehoda in strežnika DNS, ki jih je prejel. Preberite te štiri vrednosti na odjemalcu, preden se znova dotaknete nastavitve strežnika.

V sistemu Windows podrobnosti adapterja prikazujejo najem in razreševalnik, usmerjevalna tabela pa prikazuje, ali je tunel res privzeta pot.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Na odjemalcu Linux iste informacije prihajajo iz datotek naslovov, poti in razreševalnika. Privzeta pot je vrednost, ki odloči, ali promet sploh odide skozi tunel. Če prehod kaže na pisarniški usmerjevalnik, medtem ko tunel pričakuje, da bo nosil promet, je topologija mostena po imenu in v praksi zlomljena. Najprej popravite vir naslovov, nato znova preizkusite aplikacijo in šele nato razmislite o spremembi drugega načina.