SoftEther mahalliy ko'prigi yoki SecureNAT: qaysi birini yoqish

SoftEther Manager-ni oching, va hub haqidagi birinchi haqiqiy qaror katakcha emas, bu topologiya savoli. Mahalliy ko'prik o'sha hubni fizik adapterga ulaydi va mavjud segment manzillarni taqdim etishiga imkon beradi, SecureNAT esa hubga o'zining virtual routeri, NAT va DHCP-ni beradi. Ular orasidagi tanlov manzillar qayerdan kelishini va ular uchun qaysi qurilma javob berishini o'zgartiradi. Ikkalasini ham yoqib, biri yutadi deb umid qilish ishlayotgan laboratoriyani qo'llab-quvvatlash mavzusiga aylantiradigan yo'ldir.

Haqiqatan tahrirlayotgan hubdan boshlang

Manager serverlar va hublar daraxtini ko'rsatadi, va standart hubni sozlash oson, mijozlar esa boshqa nomli hubga ulanadi. Hubni bosing, nomini o'qing va ostida sanab o'tilgan sessiyalar siz xizmat ko'rsatmoqchi bo'lgan mijozlar ekanini tasdiqlang. Shu bitta tekshiruv keyinchalik protokolga to'nqaladigan chalkashlikning ko'p qismini oldini oladi.

Keyin mijoz uzoq tomondan nimaga muhtojligini hal qiling. Translyatsiya va LAN xizmatlari bilan birgalikdagi Ethernet xatti-harakati ko'prikka ishora qiladi, kichik manzil oralig'iga yo'naltirilgan xususiy kirish SecureNAT-ga, va internetga chiqish har ikkala tuzilma ham yomon ko'tarishi mumkin bo'lgan yo'naltirish qaroridir.

Nimadir bosishdan oldin javobni yozib qo'ying, chunki bu ikki sozlama bir-birini almashtirmaydi va qaytarish qaror qabul qilishdan uzoq davom etadi. Ikki daqiqalik yozuv bir soat qayta ulanishni tejaydi.

Mahalliy ko'prik manzillarga nima qiladi

Mahalliy ko'prik hubni fizik adapterga ulaydi, shuning uchun hub o'sha Ethernet segmentining qismiga aylanadi. Mijozlar manzillarni segmentga allaqachon xizmat qilayotgan narsadan oladi, ularning shlyuzi esa segment routeri bo'ladi. Mijoz nuqtai nazaridan u ofis LAN-iga qo'shildi, bu bilan keladigan barcha yetishuv va barcha ta'sir bilan.

Bu shuningdek ko'prikka to'g'ri drayver qo'llab-quvvatlashi bo'lgan haqiqiy adapter kerakligini va administrator o'sha segmentni kengaytirishga vakolatli bo'lishi kerakligini bildiradi. VPN-ga kirish autentifikatsiyani isbotlaydi, ishlab chiqarish VLAN-iga host qo'yish huquqini emas. Drayver nomi siz ko'zda tutgan adapterga mos kelishini tekshiring, chunki noto'g'ri portni ko'prik qilish segmentni tezda ishdan chiqaradi. Agar adapterlar ro'yxati bo'sh bo'lsa yoki ko'prik nosozlik haqida xabar bersa, sabab odatda drayver yoki huquqlarga bog'liq, kriptografiyaga emas.

Grafik daraxt noaniq bo'lganda ko'priklar jadvalini buyruq satridan o'qing. Chiqish adapterni nomlaydi, buni daraxt har doim ham qilmaydi.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Ulangan sessiyalar bilan bo'sh ko'priklar ro'yxati foydali tasvir: mijozlar virtual hub ichida va hali hech narsa uni segmentga kengaytirmayapti.

SecureNAT nima qo'shadi va nimani yashiradi

SecureNAT hubga virtual router, NAT funksiyasi va DHCP xizmatini beradi, barchasi SoftEther jarayoni ichida. Mijozlar virtual DHCP oralig'idan manzillar oladi, virtual router standart shlyuz uchun javob beradi, va chiqishi kerak bo'lgan trafik tarjima qilinadi. Hech qanday fizik adapter ishtirok etmaydi, shuning uchun bu bitta NIC va kommutator sozlamasisiz hostda ishlaydi.

Narx shundaki, virtual manzillar hubga tegishli va boshqa hech narsaga emas. Ofis LAN-idagi mashina yordamsiz mijozning SecureNAT manziliga yo'naltira olmaydi, va manba manzillarini qayd etuvchi har qanday narsa SoftEther hostining tarjima qilingan manzilini ko'radi. Agar kirish qoidalaringiz yoki audit izingiz mijozning haqiqiy manziliga bog'liq bo'lsa, bu tafsilot emas, dizayn o'zgarishidir. Manba manzil qoidasi mijozni umuman ko'radimi-yo'qmi, buni ham shu belgilaydi.

U DHCP server ham. Uni allaqachon bittasi bor segmentda ishga tushirish yoki o'sha segmentni bir vaqtda ko'prik qilish ikkita javob beruvchi va oldindan aytib bo'lmaydigan ijaralarni keltirib chiqaradi. Qo'llanma bu ikki vazifani alohida tanlov deb qaraydi aynan shu sababdan.

Boshqa narsani yoqishdan oldin hub hozir nimaga xizmat qilayotganini tekshiring. Har bir buyruq mo'ljallangan emas, joriy holatni chop etadi.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Bittasini yoqish, ikkinchisini buzmasdan

Tuzilmani tanlang, uni yoqing, ikkinchisini o'chirilgan holda qoldiring. Ko'prigi ham, SecureNAT-i ham faol hub bir savolga ikkita mumkin javobga ega hub bo'lib, mijoz birinchi kelganiga ishonadi. Biridan ikkinchisiga o'tayotganda eski funksiyani o'chirib, mijozni qayta ulang, yangi sozlama mavjud sessiyaga ta'sir qiladi deb taxmin qilish o'rniga.

O'zgarishni mijozlar to'plami LAN oralig'i bilan qoplashmaydigan qilib tartibga soling. Qoplashuvchi quyi tarmoqlar ulanib, keyin hech qayerga yetmaydigan tunnelning ikkinchi eng keng tarqalgan sababidir, va ikkala manzil rejasini yonma-yon solishtirmaguningizcha ular ko'rinmaydi.

Keyin mijozdan qayta ulanib, u nima olganini o'qing, chunki hubning sessiyaga qarashi mijozning o'z tarmog'iga qarashi emas. Qayta ulanish yangi ijara olishga majbur qilishning yagona ishonchli usulidir.

Mijozda shlyuz va hal qiluvchini tekshiring

Muvaffaqiyatli autentifikatsiya hisob ma'lumotlari ishlayotganini va hub sessiyani qabul qilganini aytadi. Mijoz biror joyga yeta oladimi-yo'qmi, bu haqda hech narsa demaydi, chunki bu unga berilgan manzil, niqob, shlyuz va DNS serveriga bog'liq. Server sozlamasiga yana tegishdan oldin shu to'rtta qiymatni mijozda o'qing.

Windows-da adapter tafsiloti ijarani va hal qiluvchini ko'rsatadi, marshrutlar jadvali esa tunnel haqiqatan standart yo'l ekanini ko'rsatadi.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Linux mijozida xuddi shu ma'lumot manzil, marshrut va hal qiluvchi fayllaridan keladi. Standart marshrut trafik tunneldan chiqadimi-yo'qmi shuni hal qiladigan qiymatdir. Agar shlyuz ofis routeriga ishora qilsa, tunnel esa trafikni ko'tarishni kutayotgan bo'lsa, topologiya nomida ko'priklangan va amalda buzilgan. Avval manba manzilini tuzating, keyin ilovani qayta sinab ko'ring, va shundan keyingina boshqa rejimni o'zgartirishni o'ylab ko'ring.