ฮับเสมือนของ SoftEther เชื่อมต่ออะไรจริง ๆ

ฮับเสมือนของ SoftEther คือขอบเขตการเป็นสมาชิกภายในเซิร์ฟเวอร์เดียว ไม่ใช่ตำแหน่งที่ตั้ง เซสชันที่เข้าร่วมฮับเข้าถึงสิ่งที่ฮับเชื่อมต่ออยู่ได้ และเซสชันบนฮับอื่นทำไม่ได้ แม้ทั้งสองจะพิสูจน์ตัวตนกับเซิร์ฟเวอร์เดียวกัน ด้วยเหตุนี้การเข้าสู่ระบบที่สำเร็จจึงยังอาจวางไคลเอนต์ไว้บนเครือข่ายผิดได้ การอ่านฮับเป็นสวิตช์เสมือนทำให้ชัดเจนว่ามันทำอะไรและปล่อยอะไรให้การบริดจ์ การเลือกเส้นทาง และการกำหนดค่าแคสเคด

ฮับคือขอบเขตการเป็นสมาชิก

เซิร์ฟเวอร์เดียวสามารถโฮสต์ฮับหลายตัว แต่ละตัวมีผู้ใช้ เซสชัน และนโยบายของตัวเอง การพิสูจน์ตัวตนระบุว่าเซสชันคือใคร ขณะที่ฮับตัดสินว่าเซสชันนั้นเข้าร่วมเครือข่ายเสมือนใด ดังนั้นสองฮับบนโฮสต์เดียวจึงทำงานเหมือนสวิตช์สองตัวแยกกันที่บังเอิญใช้ฮาร์ดแวร์ร่วมกัน ไม่มีอะไรในการเข้าสู่ระบบที่สำเร็จบ่งบอกว่าเซสชันไปลงเอยที่ที่คุณตั้งใจ

ใช้ชื่อฮับที่ผู้ให้บริการบันทึกไว้ ไม่ใช่ชื่อที่จำได้จากภาพหน้าจอ ไคลเอนต์ที่เข้าร่วมฮับผิดจะเข้าถึงเครือข่ายอื่นด้วยข้อมูลรับรองที่ถูกต้อง ซึ่งเป็นการค้นพบด้านการกำหนดค่า ไม่ใช่การละเมิดความปลอดภัย เก็บชื่อฮับและวัตถุประสงค์ไว้ในบันทึกของโปรไฟล์การเชื่อมต่อ

การบริหารจัดการก็ถูกจำกัดขอบเขตในลักษณะเดียวกัน ผู้ดูแลฮับจัดการฮับนั้น ขณะที่ผู้ดูแลเซิร์ฟเวอร์จัดการกระบวนการ ผู้ฟัง และทุกฮับบนโฮสต์

การเชื่อมต่อกำหนดว่าอีกฝั่งมีอะไร

ฮับเชื่อมเซสชันเข้าด้วยกันเอง การเข้าถึงสิ่งอื่นขึ้นอยู่กับว่าฮับถูกเชื่อมต่ออย่างไร บริดจ์ภายในไปยังอินเทอร์เฟซจริง เราเตอร์เสมือน หรือแคสเคดไปยังเซิร์ฟเวอร์อื่น การเชื่อมต่อแต่ละแบบมีกฎการส่งต่อและรูปแบบความล้มเหลวของตัวเอง การสันนิษฐานว่าฮับให้การเข้าถึงอินเทอร์เน็ตเป็นความเข้าใจผิดที่พบบ่อยที่สุดเกี่ยวกับผลิตภัณฑ์

SecureNAT เป็นตัวเลือกที่มีมาให้ ใช้งานด้วยเราเตอร์เสมือนและบริการ DHCP เสมือนภายในเซิร์ฟเวอร์ สะดวกสำหรับห้องปฏิบัติการและไม่สะดวกสำหรับทุกสิ่งที่ต้องการการกำหนดที่อยู่หรือนโยบายที่คาดเดาได้ บริดจ์ภายในวางฮับบนเซกเมนต์จริง ซึ่งสืบทอดการสวิตช์ DHCP และพฤติกรรมการแพร่กระจายของเซกเมนต์นั้น

แคสเคดเชื่อมสองเซิร์ฟเวอร์เพื่อให้เซสชันบนฮับหนึ่งปรากฏบนอีกฮับ นี่คือความสัมพันธ์แบบฮับต่อฮับ ทั้งสองฝั่งจึงต้องมีนโยบายที่เข้ากันและเส้นทางที่ใช้งานได้ระหว่างกัน

อ่านเซสชันและนโยบายแยกกัน

มุมมองเซสชัน ที่อยู่ MAC และที่อยู่ IP อธิบายว่าเครือข่ายเสมือนเป็นอย่างไรในตอนนี้ สิ่งเหล่านี้คือการสังเกต ไม่ใช่สิทธิ์ เซสชันที่มองเห็นในรายการไม่ได้แปลว่ามีสิทธิ์ในทุกบริการที่ฮับเข้าถึงได้ และในทางกลับกันก็เช่นกัน

เปรียบเทียบรายการเซสชันกับนโยบายที่ควรใช้กับมัน อุปกรณ์ที่มีที่อยู่นอกช่วงที่ตั้งใจมักหมายถึง DHCP จากที่อื่นหรือไคลเอนต์ที่กำหนดค่าด้วยมือ ที่อยู่ MAC ที่ย้ายระหว่างเซสชันหมายถึงอุปกรณ์ที่ย้ายเครื่องหรืออุปกรณ์สองเครื่องที่ใช้ตัวตนร่วมกัน ทั้งสองควรค่าแก่การดู และไม่มีสิ่งใดพิสูจน์ได้ด้วยตารางเพียงอย่างเดียว

บนเซิร์ฟเวอร์ vpncmd รายงานภาพเดียวกันจากมุมมองของโฮสต์ เปรียบเทียบผลลัพธ์นั้นกับมุมมองของไคลเอนต์เองทุกครั้งที่ทั้งสองไม่ตรงกัน

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

มองการบริหารฮับเป็นบทบาทของตัวเอง ไม่ใช่สิทธิ์ของไคลเอนต์ การมอบหมายฮับหนึ่งไม่ควรส่งมอบผู้ฟังหรือกระบวนการที่โฮสต์ฮับอื่นทั้งหมด

ตรวจสอบไคลเอนต์หลังจากเข้าร่วม

จากฝั่งไคลเอนต์ เซสชันที่สร้างขึ้นพิสูจน์เพียงว่าการพิสูจน์ตัวตนและชื่อฮับได้รับการยอมรับ ยืนยันที่อยู่ เส้นทาง และการแปลงชื่อแยกกัน เพราะแต่ละอย่างอาจล้มเหลวหลังจากฮับยอมรับเซสชันแล้ว

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

รายการที่อยู่แสดงว่าอะแดปเตอร์ได้รับการเช่าจากแหล่งที่ตั้งใจหรือไม่ การสอบถามเส้นทางแสดงว่าอินเทอร์เฟซใดจะพาปลายทางส่วนตัวไป และการสอบถามตัวแปลงแสดงว่า DNS ติดตามเซสชันหรือไม่ ฮับที่ส่งต่อแพ็กเก็ตในขณะที่ DNS ยังชี้ไปที่เครือข่ายภายในทำให้เกิดการเชื่อมต่อที่ทำงานได้ครึ่งเดียวแบบคลาสสิก

ทดสอบแอปพลิเคชันไม่ใช่ลิงก์ หน้าเว็บอินทราเน็ตที่โหลดได้เป็นหลักฐานที่แข็งกว่าอะแดปเตอร์ที่มีที่อยู่สมเหตุสมผล