SoftEther SecureNAT: DHCP na NAT ni maamuzi mawili

SecureNAT ni kisanduku kimoja cha kuteua kinachowasha huduma mbili, na hapo ndipo chanzo cha mkanganyiko mwingi kuhusu hilo. Seva ya DHCP pepe humpa mteja anwani, kifuniko, lango na mara nyingi kitatuzi. NAT pepe husukuma pakiti kupita lango hilo kwa kutumia mrundikano wa mtandao wa mwenyeji wa seva yenyewe. Vyote viwili vinasimama kando kando katika usanidi na hushindwa kwa kujitegemea: mteja anaweza kuwa na ukodishaji kamili na hakuna njia inayofanya kazi, au njia inayofanya kazi na mipangilio inayoelekeza kwenye kitatuzi kisicho sahihi. Vikague kama maamuzi mawili, na utambuzi unakuwa mfupi.

Huduma mbili nyuma ya kisanduku kimoja cha kuteua

Upande wa DHCP pepe hujibu swali la usanidi: ni mipangilio gani mteja huyu anapata ndani ya kitovu hiki pepe. Upande wa NAT pepe hujibu swali la usukuzaji: mteja anapotuma pakiti kwenda anwani nje ya kitovu, je, seva inaitafsiri na kuisukuma mbele. Ya kwanza ni ya ndani kwa kitovu na haihitaji mtandao wa juu. Ya pili inategemea mwenyeji kabisa.

Kiolesura pepe cha mwenyeji ni sehemu ya uamuzi wa kwanza, si wa pili. Anwani yake, mara nyingi kitu kama 192.168.30.1 kwa chaguo-msingi, ni lango ambalo huduma ya DHCP hutoa. Si anwani ya umma ya kusikiliza ya seva, na kuchanganya hizi mbili huzalisha kanuni za kinga ya moto na mipangilio ya mteja inayoelekea kwenye mashine ambayo haipo kwenye mtandao huo.

Uamuzi 1: nani hutoa anwani

Ikiwa DHCP pepe imewashwa, wateja wanapaswa kupata ukodishaji katika kundi uliloweka, lango likiwa kiolesura pepe cha mwenyeji na kitatuzi ulichotoa. Kagua ukodishaji na si maandishi ya hali ya mteja, kwa sababu «imeunganishwa» hufafanua handaki na si ugawaji wa anwani:

vpncmd localhost /SERVER /CMD SecureNatStatusGet
vpncmd localhost /SERVER /CMD DhcpGet
ip -4 addr show
ip route

Kuna mbinu mbili za kushindwa zinazofaa kujulikana kabla ya kutatua tatizo lingine lolote. Mteja aliye na anwani tuli iliyobaki kutoka usanidi wa awali ataibakiza na kupuuza ukodishaji, jambo linaloonekana kana kwamba DHCP inakataa kujibu. Na chanzo cha pili cha DHCP kwenye sehemu iliyofungwa daraja kitashindana kwa wateja hao hao, jambo linalozalisha anwani za vipindi na foleni ya usaidizi isiyoweza kuiga tatizo.

Makundi yanayopishana pia yanahusika hapa. Ikiwa kundi la DHCP pepe linapishana na subneti ya LAN ya mwenyeji au kundi la kitovu kingine, mteja hupata anwani inayoelekezwa kwa njia isiyoeleweka, na kila jaribio la baadaye halina uamuzi.

Uamuzi 2: nani husukuma kupita lango pepe

NAT pepe ikiwashwa, trafiki inayotoka kitovuni hutafsiriwa na seva na kutumwa kupitia jedwali la uelekezaji la mwenyeji. Hii inamaanisha kwamba mnyororo wa usukuzaji ni: mteja kwenda lango pepe, NAT pepe kwenda mrundikano wa mwenyeji, mrundikano wa mwenyeji kwenda njia yake ya chaguo-msingi. Kila kiungo kinaweza kushindwa bila kugusa vingine, na alama za kushindwa zinatofautiana.

Jaribu uamuzi wa pili kwa kitu kinachopaswa kuondoka kitovuni, si kwa kitu cha ndani kwake. Kupiga ping kwenye lango pepe kunathibitisha kiungo cha kwanza na hakuna zaidi:

vpncmd localhost /SERVER /CMD NatGet
vpncmd localhost /SERVER /CMD NatTable
dig +short example.com
ip route get 203.0.113.10

Ikiwa utatuzi wa majina unafanya kazi lakini miunganisho kwenda anwani ya umma inashindwa, uko kwenye mnyororo wa usukuzaji na si kwenye DHCP. Ikiwa vyote viwili vinashindwa, kagua kitatuzi kwanza, kwa sababu kitatuzi kinachosukumwa kama anwani ya ndani isiyofikika kitafanya njia inayofanya kazi ionekane imevunjika kabisa.

Usukuzaji wa SecureNAT unatekelezwa na mchakato wa seva, si kwa njia ya usukuzaji ya kerneli ambayo ungetumia na daraja. Hiyo ni rahisi na ni polepole kuliko kufunga daraja, na pia inamaanisha kwamba kanuni za kinga ya moto na maamuzi ya uelekezaji ya mwenyeji bado yanatumika kwa trafiki iliyotafsiriwa. NAT pepe haikwepi sera ya mwenyeji; inaitumia.

Njia ya mwenyeji yenyewe ni jambo la tatu

Yote yaliyo juu yanadhani kwamba mwenyeji wa seva anaweza kufikia lengwa. Mwenyeji asiye na njia ya juu inayofanya kazi, mwenye sera kali ya kutoka, au mwenye familia ya anwani ambayo hana atashindwa kwenye uamuzi wa pili, hata usanidi wa kitovu uwe sahihi kiasi gani. Kagua mwenyeji peke yake, nje ya handaki, kabla ya kuhusisha kushindwa kwake na SoftEther.

SecureNAT pia si idhini ya kufikia kila mtandao uliounganishwa na seva. Inatafsiri na kusukuma trafiki inayofikia kwake; kuamua mwenyeji anaweza kufikia nini bado ni kazi ya kinga ya moto na uelekezaji wa mwenyeji, na usanidi unaotegemea handaki kutoa ufikiaji uko kanuni moja mbaya kutoka kutoa kupita kiasi.

Familia za anwani zinastahili ukaguzi wao wenyewe. Mfano wa DHCP wa IPv4 unaofanya kazi hauthibitishi kwamba kila uwezo wa IPv6 upo kwenye build yako, kwa hivyo soma mwongozo wa toleo unalotumia kwa kweli kabla ya kuahidi tabia ya mrundikano maradufu. Sehemu ya SecureNAT ya mwongozo inashughulikia kazi za NAT na DHCP pepe kwa toleo la sasa.

Thibitisha kila uamuzi kwa jaribio lake mwenyewe

Kubali uamuzi wa kwanza kwa ukaguzi wa ukodishaji: anwani ndani ya kundi, lango sawa na kiolesura pepe cha mwenyeji, kitatuzi kile ulichokiweka. Kubali wa pili kwa ombi la kutoka kwa mteja pamoja na mtazamo wa jedwali la NAT kwenye seva, kwa sababu idadi inayoongezeka ya vikao ndiyo ushahidi pekee wa moja kwa moja kwamba utafsiri unafanyika na si kwamba umewashwa tu.

Kisha andika mgawanyiko kwenye noti ya usanidi: ni kipengele gani hutoa anwani, ni kipengele gani husukuma, na trafiki inatoka kupitia kiolesura gani cha mwenyeji. Uanzishaji upya unapobadilisha tabia, noti hiyo itakuambia ni kipi kati ya vitatu cha kukagua badala ya kuanzisha kila kitu upya na kutumaini dalili itahama.

Uamuzi mmoja zaidi unahusika kwenye kumbukumbu, hata usiuchukue leo: SecureNAT na daraja la ndani ni miundo tofauti kwa kitovu kimoja, na kitovu kinachohitaji vyote viwili ni kitovu kinachohitaji mpango mwingine. Chagua kwa ufahamu, andika kwa nini, na mtu anayefuata hatalazimika kuubuni kinyume kutoka kwenye usanidi unaoendesha.