Локални мост SoftEther-а или SecureNAT: шта укључити

Отворите SoftEther Manager, и прва права одлука о неком чворишту није поље за штиклирање, већ питање топологије. Локални мост повезује то чвориште са физичким адаптером и пушта постојећи сегмент да обезбеди адресирање, док SecureNAT даје чворишту сопствени виртуелни рутер, NAT и DHCP. Избор између њих мења одакле долазе адресе и који уређај за њих одговара. Укључити оба и надати се да ће једно победити је пут којим радна лабораторија постаје нит за подршку.

Почните од чворишта које заиста уређујете

Manager приказује стабло сервера и чворишта, и лако је подесити подразумевано чвориште док се клијенти повезују са другим, другачијег имена. Кликните на чвориште, прочитајте његово име и потврдите да су сесије испод њега клијенти којима желите да служите. Та једна провера спречава већину забуне која се касније приписује протоколу.

Затим одлучите шта клијенту треба са даљег краја. Дељено Ethernet понашање са емитовањем и LAN услугама указује на мост, рутирани приватни приступ малом опсегу адреса указује на SecureNAT, а излаз на интернет је одлука о рутирању коју оба распореда могу лоше да поднесу.

Запишите одговор пре него што било шта кликнете, јер та два подешавања нису заменљива и опозив траје дуже од одлуке. Два минута писања штеде сат поновног повезивања.

Шта локални мост ради са адресирањем

Локални мост повезује чвориште са физичким адаптером, па чвориште постаје део тог Ethernet сегмента. Клијенти добијају адресе од онога што већ служи сегменту, а њихов гејтвеј је рутер сегмента. Из перспективе клијента он је ушао у канцеларијски LAN, са свом доступношћу и свом изложеношћу које то подразумева.

То такође значи да мосту треба стварни адаптер са исправном подршком драјвера и да администратор мора бити овлашћен да прошири тај сегмент. Пријава на VPN доказује аутентификацију, а не право да поставите хост на продукцијски VLAN. Проверите да ли име драјвера одговара предвиђеном адаптеру, јер мост на погрешном порту брзо обара сегмент. Ако је листа адаптера празна или мост пријави грешку, узрок је обично везан за драјвер или привилегије, а не за криптографију.

Читајте табелу мостова из командне линије када је графичко стабло двосмислено. Излаз именује адаптер, што стабло не чини увек.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Празна листа мостова са повезаним сесијама је корисна слика: клијенти су унутар виртуелног чворишта и ништа га још не проширује на сегмент.

Шта SecureNAT додаје и шта скрива

SecureNAT даје чворишту виртуелни рутер, NAT функцију и DHCP услугу, све унутар SoftEther процеса. Клијенти добијају адресе из виртуелног DHCP опсега, виртуелни рутер одговара за подразумевани гејтвеј, а саобраћај који треба да изађе се преводи. Ниједан физички адаптер није укључен, зато ово ради на хосту са једном мрежном картицом и без конфигурације свича.

Цена је да виртуелне адресе припадају чворишту и ничему другом. Машина на канцеларијском LAN-у не може без помоћи да рутира до SecureNAT адресе клијента, а све што бележи изворне адресе види преведену адресу SoftEther хоста. Ако ваша правила приступа или ревизорски траг зависе од стварне адресе клијента, то је промена дизајна, а не детаљ. То такође одлучује да ли ће правило изворне адресе икада видети клијента.

Он је и DHCP сервер. Покретање на сегменту који га већ има, или истовремено мостовање тог сегмента, ствара два одговарача и непредвидиве закупе. Приручник третира те две функције као одвојене изборе управо због тога.

Прегледајте шта чвориште тренутно сервира пре него што укључите било шта друго. Свака команда исписује тренутно стање, а не жељено.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Укључити једно без кварења другог

Изаберите распоред, укључите га и оставите други искључен. Чвориште са мостом и са SecureNAT-ом истовремено је чвориште са два могућа одговора на исто питање, а клијент ће веровати оном који стигне први. Када прелазите са једног на друго, искључите стару функцију и поново повежите клијента, уместо да претпоставите да ново подешавање делује на постојећу сесију.

Поређајте промену тако да се клијентски скуп не преклапа са опсегом LAN-а. Подмреже које се преклапају су други најчешћи узрок тунела који се повеже и затим нигде не стигне, и невидљиве су док не упоредите оба плана адреса један поред другог.

Затим се поново повежите са клијента и прочитајте шта је добио, јер поглед чворишта на сесију није поглед клијента на сопствену мрежу. Поновно повезивање је једини поуздан начин да се изнуди нови закуп.

Проверите гејтвеј и резолвер на клијенту

Успешна аутентификација вам каже да акредитиви раде и да је чвориште прихватило сесију. Она не каже ништа о томе да ли клијент негде стиже, јер то зависи од адресе, маске, гејтвеја и DNS сервера који је добио. Прочитајте те четири вредности на клијенту пре него што поново дотакнете подешавање сервера.

На Windows-у детаљи адаптера показују закуп и резолвер, а табела рута показује да ли је тунел заиста подразумевани пут.

ipconfig /all
route print -4
nslookup intranet.corp.internal

На Linux клијенту исти подаци долазе из датотека адреса, рута и резолвера. Подразумевана рута је вредност која одлучује да ли саобраћај уопште излази кроз тунел. Ако гејтвеј показује на канцеларијски рутер, док тунел очекује да носи саобраћај, топологија је мостована по имену и сломљена у пракси. Прво поправите извор адреса, затим поново тестирајте апликацију и тек онда размотрите промену другог режима.