SoftEther SecureNAT: DHCP и NAT су две одвојене одлуке

SecureNAT је једно поље за потврду које укључује две услуге, и одатле долази већина забуне око њега. Виртуелни DHCP сервер даје клијенту адресу, маску, мрежни пролаз и често резолвер. Виртуелни NAT прослеђује пакете даље од тог пролаза користећи сопствени мрежни стек хоста сервера. Они стоје један поред другог у конфигурацији и отказују независно: клијент може имати савршен закуп и ниједан радни пут, или радни пут са подешавањима која показују на погрешан резолвер. Проверите их као две одлуке и дијагноза постаје кратка.

Две услуге иза једног поља за потврду

Виртуелна DHCP страна одговара на конфигурационо питање: која подешавања добија овај клијент унутар овог виртуелног концентратора. Виртуелна NAT страна одговара на питање прослеђивања: када клијент пошаље пакет на адресу изван концентратора, да ли га сервер преводи и прослеђује. Прво је локално за концентратор и не захтева мрежу изнад. Друго потпуно зависи од хоста.

Виртуелни интерфејс хоста припада првој одлуци, не другој. Његова адреса, често нешто попут 192.168.30.1 по подразумеваном, јесте пролаз који нуди DHCP услуга. То није јавна адреса за слушање сервера, и мешање тих двеју ствара правила заштитног зида и подешавања клијента усмерена на машину која не постоји на тој мрежи.

Одлука 1: ко даје адресу

Ако је виртуелни DHCP укључен, клијенти би требало да добију закуп у скупу који сте подесили, са виртуелним интерфејсом хоста као пролазом и резолвером који сте дали. Прегледајте закуп, а не статусни текст клијента, јер «повезано» описује тунел, а не доделу адресе:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Два режима отказа вреди знати пре него што почнете да отклањате грешке у било чему другом. Клијент са преосталом статичком адресом из ранијег пројекта задржаће је и игнорисати закуп, што изгледа као да DHCP одбија да одговори. А други извор DHCP-а на премошћеном сегменту такмичиће се за исте клијенте, што даје наизменичне адресе и ред подршке који не може да репродукује проблем.

Скупови који се преклапају такође припадају овде. Ако се скуп виртуелног DHCP-а преклапа са LAN подмрежом хоста или скупом другог концентратора, клијент добија адресу која се двосмислено усмерава, и сваки каснији тест је неодлучан.

Одлука 2: ко прослеђује даље од виртуелног пролаза

Са укљученим виртуелним NAT-ом, сервер преводи одлазни саобраћај из концентратора и шаље га кроз табелу усмеравања хоста. То значи да је ланац прослеђивања: клијент ка виртуелном пролазу, виртуелни NAT ка стеку хоста, стек хоста ка својој подразумеваној рути. Свака карика може отказати не дотичући остале, а потписи отказа се разликују.

Тестирајте другу одлуку нечим што мора да напусти концентратор, не нечим локалним за њега. Пинг виртуелног пролаза доказује само прву карику и ништа више:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Ако разрешавање имена ради, али везе ка јавној адреси отказују, налазите се у ланцу прослеђивања, а не у DHCP-у. Ако оба откажу, прво проверите резолвер, јер резолвер послат као недоступна унутрашња адреса учиниће да радни пут изгледа потпуно покварено.

Прослеђивање SecureNAT-а спроводи процес сервера, а не пут прослеђивања у језгру који бисте користили са мостом. То је згодно и спорије од премошћавања, а значи и да се сопствена правила заштитног зида и одлуке о усмеравању хоста и даље примењују на преведени саобраћај. Виртуелни NAT не заобилази политику хоста; користи је.

Сопствени пут хоста је трећа ствар

Све горе претпоставља да хост сервера може да достигне одредиште. Хост без радне узводне руте, са рестриктивном излазном политиком или са фамилијом адреса коју нема отказаће у другој одлуци, колико год конфигурација концентратора била тачна. Проверите хост засебно, изван тунела, пре него што његов отказ припишете SoftEther-у.

SecureNAT такође није овлашћење да се достигне свака мрежа повезана са сервером. Он преводи и прослеђује саобраћај који до њега стигне; одлучивање о томе шта хост сме да достигне и даље је посао заштитног зида и усмеравања хоста, а пројекат који се ослања на тунел при давању приступа једно је лоше правило далеко од давања превише.

Фамилије адреса заслужују сопствену проверу. Радни пример DHCP-а за IPv4 не доказује да је свака могућност IPv6 присутна у вашој градњи, зато прочитајте приручник за верзију коју заиста покрећете пре него што обећате понашање двоструког стека. Одељак о SecureNAT-у у приручнику покрива виртуелне NAT и DHCP функције за текуће издање.

Проверите сваку одлуку њеним сопственим тестом

Прихватите прву одлуку провером закупа: адреса у скупу, пролаз једнак виртуелном интерфејсу хоста, резолвер онај који сте подесили. Прихватите другу одлазним захтевом са клијента и погледом на NAT табелу на серверу, јер растући број сесија једини је директан доказ да се превођење дешава, а не само да је укључено.

Затим запишите поделу у пројектну белешку: која компонента даје адресу, која компонента прослеђује и кроз који интерфејс хоста саобраћај излази. Када поновно покретање промени понашање, та белешка вам каже коју од три проверити уместо да све поново покренете и надате се да ће се симптом померити.

Још једна одлука припада запису, чак и ако је данас не доносите: SecureNAT и локални мост су различити пројекти за исти концентратор, а концентратор коме треба обоје је концентратор коме треба други план. Изаберите свесно, запишите зашто, и следећа особа неће морати то да реконструише уназад из конфигурације која ради.