Vad ett virtuellt hubb i SoftEther faktiskt ansluter

SoftEthers virtuella hubb är en medlemskapsgräns inne i en server, inte en plats. Sessioner som ansluter till hubben når det hubben är ansluten till, och sessioner på en annan hubb når det inte, även när båda autentiserar mot samma server. Därför kan en lyckad inloggning ändå placera en klient i fel nätverk. Att läsa hubben som en virtuell switch klargör vad den gör och vad den lämnar till bryggning, routing och kaskadkonfiguration.

En hubb är en medlemskapsgräns

En server kan vara värd för flera hubbar, var och en med egna användare, sessioner och policy. Autentiseringen fastställer vem sessionen är, medan hubben avgör vilket virtuellt nätverk sessionen ansluter till. Två hubbar på en värd beter sig därför som två separata switchar som råkar dela hårdvara. Inget i en lyckad inloggning innebär att sessionen landade där du hade tänkt.

Använd hubbnamnet som operatören dokumenterat, inte ett namn du minns från en skärmbild. En klient som ansluter till fel hubb når ett annat nätverk med giltiga uppgifter, vilket är ett konfigurationsfynd och inte ett säkerhetsintrång. Behåll hubbnamnet och dess syfte i anteckningarna för anslutningsprofilen.

Administrationen är avgränsad på samma sätt. En hubbadministratör hanterar den hubben, medan serveradministratören hanterar processen, lyssnarna och varje hubb på värden.

Anslutningarna avgör vad som ligger bortom

En hubb kopplar i sig själv samman sessioner med varandra. Att nå något annat beror på hur hubben är ansluten: en lokal brygga till ett fysiskt gränssnitt, en virtuell router eller en kaskad till en annan server. Varje anslutning bär sina egna vidarebefordringsregler och sina egna felmoder. Att anta att en hubb ger internetåtkomst är det vanligaste misstaget om produkten.

SecureNAT är det inbyggda alternativet, implementerat med en virtuell router och en virtuell DHCP-tjänst inuti servern. Det är praktiskt för ett laboratorium och obekvämt för allt som behöver förutsägbar adressering eller policy. En lokal brygga sätter hubben på ett verkligt segment, som ärver segmentets switchning, DHCP och broadcastbeteende.

En kaskad länkar två servrar så att sessioner på en hubb kan visas på den andra. Det är en hubb-till-hubb-relation, så båda ändar behöver kompatibel policy och en fungerande väg mellan sig.

Läs sessioner och policy separat

Vyerna för sessioner, MAC-adresser och IP-adresser beskriver hur det virtuella nätverket ser ut just nu. Det är observationer, inte behörigheter. En session som syns i listan är inte därmed berättigad till varje tjänst som hubben når, och det omvända gäller också.

Jämför sessionslistan med den policy som borde gälla för den. En enhet med en adress utanför det avsedda intervallet betyder vanligtvis DHCP från någon annanstans eller en klient som konfigurerats manuellt. En MAC-adress som flyttar mellan sessioner betyder en migrerad enhet eller två enheter som delar en identitet. Båda är värda en titt, och ingen av dem bevisas av tabellen ensam.

På servern rapporterar vpncmd samma bild ur värden synvinkel. Jämför den utskriften med klientens egen vy när de två inte stämmer.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Behandla hubbadministration som en egen roll i stället för en klientbehörighet. Att delegera en hubb bör inte överlämna lyssnarna eller processen som är värd för varje annan hubb.

Kontrollera klienten efter anslutning

Från klientsidan bevisar en etablerad session bara att autentiseringen och hubbnamnet accepterades. Bekräfta adressen, rutten och namnmatchningen separat, eftersom var och en av dem kan misslyckas efter att hubben accepterat sessionen.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Adresslistan visar om adaptern fick en lease från den avsedda källan. Ruttförfrågan visar vilket gränssnitt som skulle bära en privat destination, och resolverförfrågan visar om DNS följde sessionen. En hubb som vidarebefordrar paket medan DNS fortfarande pekar på det lokala nätverket ger den klassiska halvt fungerande anslutningen.

Testa applikationen i stället för länken. En intranetsida som laddas är starkare bevis än en adapter med en trovärdig adress.