Локальний міст SoftEther чи SecureNAT: що ввімкнути

Відкрийте SoftEther Manager, і перше справжнє рішення про концентратор — не прапорець, а питання топології. Локальний міст підключає цей концентратор до фізичного адаптера і дозволяє наявному сегменту видавати адреси, а SecureNAT дає концентратору власний віртуальний маршрутизатор, NAT і DHCP. Вибір між ними змінює, звідки надходять адреси і який пристрій відповідає за них. Увімкнути обидва й сподіватися, що один переможе, — це шлях, яким робоча лабораторія перетворюється на тему підтримки.

Почніть із концентратора, який ви справді редагуєте

Manager показує дерево серверів і концентраторів, і легко налаштувати типовий концентратор, доки клієнти підключаються до іншого, з іншим ім'ям. Клацніть концентратор, прочитайте його ім'я і переконайтеся, що перелічені нижче сеанси — це клієнти, яким ви хочете служити. Ця одна перевірка запобігає більшій частині плутанини, яку потім списують на протокол.

Далі вирішіть, що потрібно клієнтові з далекого боку. Спільна поведінка Ethernet із широкомовленням і службами LAN вказує на міст, маршрутизований приватний доступ до невеликого діапазону адрес вказує на SecureNAT, а вихід в інтернет — це рішення про маршрутизацію, яке обидві схеми можуть погано витримати.

Запишіть відповідь, перш ніж щось натискати, бо ці два налаштування не взаємозамінні, а скасування триває довше за рішення. Дві хвилини запису економлять годину перепідключень.

Що локальний міст робить з адресацією

Локальний міст підключає концентратор до фізичного адаптера, тому концентратор стає частиною цього сегмента Ethernet. Клієнти отримують адреси від того, що вже обслуговує сегмент, а їхнім шлюзом стає маршрутизатор сегмента. З погляду клієнта він увійшов до офісної LAN, з усією доступністю і всією вразливістю, які це передбачає.

Це також означає, що мосту потрібен справжній адаптер із належною підтримкою драйвера, а адміністратор має бути уповноважений розширювати цей сегмент. Вхід у VPN доводить автентифікацію, а не право розмістити хост у виробничому VLAN. Перевірте, що ім'я драйвера відповідає потрібному адаптеру, бо міст на неправильному порту швидко виводить сегмент з ладу. Якщо список адаптерів порожній або міст повідомляє про помилку, причина зазвичай пов'язана з драйвером чи правами, а не з криптографією.

Читайте таблицю мостів із командного рядка, коли графічне дерево неоднозначне. Вивід називає адаптер, чого дерево не завжди робить.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Порожній список мостів із підключеними сеансами — корисна картина: клієнти всередині віртуального концентратора, і ніщо ще не розширює його на сегмент.

Що додає SecureNAT і що приховує

SecureNAT дає концентратору віртуальний маршрутизатор, функцію NAT і службу DHCP, усе всередині процесу SoftEther. Клієнти отримують адреси з віртуального діапазону DHCP, віртуальний маршрутизатор відповідає за шлюз за замовчуванням, а трафік, якому потрібно вийти, транслюється. Фізичний адаптер не задіяний, тому це працює на хості з однією мережевою картою і без налаштування комутатора.

Ціна в тому, що віртуальні адреси належать концентратору і більше нічому. Машина в офісній LAN не може без допомоги маршрутизувати до адреси SecureNAT клієнта, а все, що реєструє адреси джерела, бачить трансльовану адресу хоста SoftEther. Якщо ваші правила доступу або журнал аудиту залежать від реальної адреси клієнта, це зміна проєкту, а не деталь. Це також вирішує, чи побачить правило адреси джерела клієнта взагалі.

Це ще й сервер DHCP. Запуск у сегменті, де такий уже є, або міст того самого сегмента одночасно дає двох відповідачів і непередбачувані оренди. Посібник розглядає ці дві функції як окремі рішення саме з цієї причини.

Перевірте, що концентратор обслуговує зараз, перш ніж вмикати щось інше. Кожна команда друкує поточний стан, а не запланований.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Увімкнути одне, не зламавши інше

Виберіть схему, увімкніть її, а іншу залиште вимкненою. Концентратор із мостом і з SecureNAT одночасно — це концентратор із двома можливими відповідями на одне питання, і клієнт повірить тому, що прийде першим. Переходячи з однієї на іншу, вимкніть стару функцію і перепідключіть клієнта, замість того щоб припускати, що нове налаштування діє на наявний сеанс.

Упорядкуйте зміну так, щоб пул клієнтів не перекривався з діапазоном LAN. Перекривні підмережі — друга за частотою причина тунелю, який підключається, а потім нічого не досягає, і вони невидимі, доки ви не порівняєте обидва плани адресації поряд.

Потім перепідключіться з клієнта і прочитайте, що він отримав, бо бачення концентратора щодо сеансу — не бачення клієнта щодо власної мережі. Перепідключення — єдиний надійний спосіб змусити видати нову оренду.

Перевірте шлюз і резолвер на клієнті

Успішна автентифікація каже, що облікові дані працюють і концентратор прийняв сеанс. Вона нічого не каже про те, чи клієнт чогось досягає, бо це залежить від адреси, маски, шлюзу і DNS-сервера, які він отримав. Прочитайте ці чотири значення на клієнті, перш ніж знову торкатися налаштування сервера.

У Windows відомості про адаптер показують оренду і резолвер, а таблиця маршрутів показує, чи тунель справді є шляхом за замовчуванням.

ipconfig /all
route print -4
nslookup intranet.corp.internal

На клієнті Linux ті самі відомості надходять із файлів адрес, маршрутів і резолвера. Маршрут за замовчуванням — це значення, яке вирішує, чи трафік узагалі виходить через тунель. Якщо шлюз указує на офісний маршрутизатор, а тунель має нести трафік, топологія зведена мостом за назвою і зламана на практиці. Спершу виправте джерело адрес, потім перевірте застосунок знову і лише після цього думайте про зміну іншого режиму.