Що насправді з'єднує віртуальний концентратор SoftEther

Віртуальний концентратор SoftEther — це межа членства всередині одного сервера, а не місцезнаходження. Сесії, що приєдналися до концентратора, дістаються того, до чого підключений концентратор, а сесії на іншому концентраторі — ні, навіть коли обидві автентифікуються на одному сервері. Тому успішний вхід усе одно може помістити клієнт у неправильну мережу. Читання концентратора як віртуального комутатора прояснює, що він робить і що залишає мостовому з'єднанню, маршрутизації та конфігурації каскаду.

Концентратор — це межа членства

Один сервер може розміщувати кілька концентраторів, кожен зі своїми користувачами, сесіями та політикою. Автентифікація встановлює, хто така сесія, а концентратор вирішує, до якої віртуальної мережі ця сесія приєднується. Тому два концентратори на одному хості поводяться як два окремі комутатори, які випадково ділять обладнання. Ніщо в успішному вході не означає, що сесія опинилася там, куди ви хотіли.

Використовуйте ім'я концентратора, задокументоване оператором, а не ім'я, запам'ятоване зі знімка екрана. Клієнт, що приєднався до неправильного концентратора, потрапляє в іншу мережу з чинним посвідченням, і це знахідка конфігурації, а не порушення безпеки. Тримайте ім'я концентратора та його призначення в нотатках профілю підключення.

Адміністрування обмежене так само. Адміністратор концентратора керує цим концентратором, а адміністратор сервера керує процесом, слухачами та кожним концентратором на хості.

Підключення визначають, що є за ними

Концентратор сам по собі з'єднує сесії одна з одною. Дістатися чогось іншого залежить від того, як підключений концентратор: локальний міст до фізичного інтерфейсу, віртуальний маршрутизатор або каскад до іншого сервера. Кожне підключення несе власні правила пересилання та власні режими відмови. Припущення, що концентратор дає доступ до інтернету, — найпоширеніша помилка про продукт.

SecureNAT — це вбудований варіант, реалізований віртуальним маршрутизатором і віртуальною службою DHCP усередині сервера. Він зручний для лабораторії і незручний для всього, що потребує передбачуваної адресації або політики. Локальний міст ставить концентратор у реальний сегмент, який успадковує комутацію, DHCP і поведінку широкомовлення цього сегмента.

Каскад з'єднує два сервери, щоб сесії на одному концентраторі могли з'являтися на іншому. Це відношення концентратора до концентратора, тому обидві сторони потребують сумісної політики та робочого шляху між ними.

Читайте сесії та політику окремо

Подання сесій, MAC-адрес і IP-адрес описують, як віртуальна мережа виглядає зараз. Це спостереження, а не дозволи. Сесія, видима в списку, не отримує від цього права на кожну службу, до якої може дістатися концентратор, і навпаки теж слушно.

Порівняйте список сесій із політикою, яка має до нього застосовуватися. Пристрій з адресою поза передбачуваним діапазоном зазвичай означає DHCP з іншого місця або клієнт, налаштований вручну. MAC-адреса, що переміщується між сесіями, означає перенесений пристрій або два пристрої зі спільною ідентичністю. Обидва варті уваги, і жодне не доводиться самою таблицею.

На сервері vpncmd повідомляє ту саму картину з погляду хоста. Порівняйте цей вивід із власним поданням клієнта, коли вони розходяться.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Ставтеся до адміністрування концентратора як до окремої ролі, а не дозволу клієнта. Делегування одного концентратора не повинно передавати слухачів або процес, що розміщує кожен інший концентратор.

Перевірте клієнт після приєднання

З боку клієнта встановлена сесія доводить лише те, що автентифікація та ім'я концентратора були прийняті. Підтвердьте адресу, маршрут і розв'язання імен окремо, бо кожне з них може відмовити після того, як концентратор прийняв сесію.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Список адрес показує, чи отримав адаптер оренду з передбачуваного джерела. Запит маршруту показує, який інтерфейс понесе приватне призначення, а запит до розв'язувача показує, чи DNS пішов за сесією. Концентратор, що пересилає пакети, поки DNS усе ще вказує на локальну мережу, створює класичне напівпрацездатне з'єднання.

Перевіряйте застосунок, а не канал. Сторінка інтранету, що завантажується, — сильніший доказ, ніж адаптер із правдоподібною адресою.