Hub ảo của SoftEther thực sự kết nối điều gì

Hub ảo của SoftEther là ranh giới thành viên bên trong một máy chủ, không phải một vị trí. Các phiên tham gia hub có thể chạm tới thứ mà hub được kết nối, còn các phiên trên hub khác thì không, ngay cả khi cả hai xác thực trên cùng một máy chủ. Vì thế một lần đăng nhập thành công vẫn có thể đặt máy khách vào sai mạng. Đọc hub như một bộ chuyển mạch ảo làm rõ nó làm gì và để lại gì cho bắc cầu, định tuyến và cấu hình thác nối.

Hub là ranh giới thành viên

Một máy chủ có thể lưu trữ nhiều hub, mỗi hub có người dùng, phiên và chính sách riêng. Xác thực xác lập phiên là ai, trong khi hub quyết định phiên đó tham gia mạng ảo nào. Do đó hai hub trên cùng một máy chủ hoạt động như hai bộ chuyển mạch riêng biệt tình cờ dùng chung phần cứng. Không điều gì trong một lần đăng nhập thành công cho thấy phiên đã hạ cánh đúng nơi bạn định.

Hãy dùng tên hub do nhà vận hành ghi lại, không phải tên nhớ từ ảnh chụp màn hình. Máy khách tham gia sai hub sẽ chạm tới mạng khác với thông tin đăng nhập hợp lệ, đó là một phát hiện về cấu hình chứ không phải vi phạm bảo mật. Giữ tên hub và mục đích của nó trong ghi chú hồ sơ kết nối.

Việc quản trị cũng được giới hạn theo cùng cách. Quản trị viên hub quản lý hub đó, trong khi quản trị viên máy chủ quản lý tiến trình, các bộ lắng nghe và mọi hub trên máy chủ.

Các kết nối quyết định điều gì ở phía bên kia

Bản thân hub kết nối các phiên với nhau. Chạm tới bất cứ thứ gì khác phụ thuộc vào cách hub được kết nối: cầu nối cục bộ tới giao diện vật lý, bộ định tuyến ảo hoặc thác nối tới máy chủ khác. Mỗi kết nối mang theo quy tắc chuyển tiếp và cách hỏng riêng của nó. Cho rằng hub cung cấp truy cập internet là hiểu lầm phổ biến nhất về sản phẩm.

SecureNAT là tùy chọn tích hợp, được triển khai bằng bộ định tuyến ảo và dịch vụ DHCP ảo bên trong máy chủ. Nó tiện cho phòng thí nghiệm và bất tiện cho mọi thứ cần địa chỉ hoặc chính sách dự đoán được. Cầu nối cục bộ đặt hub lên một phân đoạn thật, phân đoạn này thừa hưởng cách chuyển mạch, DHCP và hành vi quảng bá của nó.

Thác nối liên kết hai máy chủ để các phiên trên một hub có thể xuất hiện trên hub kia. Đây là quan hệ hub-với-hub, nên cả hai đầu cần chính sách tương thích và một đường đi hoạt động giữa chúng.

Đọc phiên và chính sách riêng rẽ

Các khung nhìn phiên, địa chỉ MAC và địa chỉ IP mô tả mạng ảo trông thế nào hiện tại. Đó là quan sát, không phải quyền. Một phiên hiện trong danh sách không vì thế mà có quyền với mọi dịch vụ hub chạm tới được, và điều ngược lại cũng đúng.

So sánh danh sách phiên với chính sách nên áp dụng cho nó. Thiết bị có địa chỉ ngoài dải dự định thường nghĩa là DHCP từ nơi khác hoặc máy khách được cấu hình thủ công. Địa chỉ MAC di chuyển giữa các phiên nghĩa là thiết bị đã di trú hoặc hai thiết bị dùng chung một danh tính. Cả hai đều đáng xem, và không cái nào được chứng minh chỉ bằng bảng.

Trên máy chủ, vpncmd báo cùng bức tranh từ góc nhìn của máy chủ. So sánh đầu ra đó với góc nhìn của chính máy khách mỗi khi hai bên không khớp.

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

Coi việc quản trị hub là vai trò riêng chứ không phải quyền của máy khách. Ủy quyền một hub không nên giao nộp các bộ lắng nghe hoặc tiến trình lưu trữ mọi hub khác.

Kiểm tra máy khách sau khi tham gia

Từ phía máy khách, một phiên đã thiết lập chỉ chứng minh rằng xác thực và tên hub đã được chấp nhận. Xác nhận địa chỉ, tuyến đường và phân giải tên riêng rẽ, vì mỗi thứ đều có thể hỏng sau khi hub chấp nhận phiên.

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

Danh sách địa chỉ cho thấy bộ điều hợp có nhận được thuê từ nguồn dự định hay không. Truy vấn tuyến đường cho thấy giao diện nào sẽ mang đích riêng tư, và truy vấn tới bộ phân giải cho thấy DNS có đi theo phiên hay không. Một hub chuyển tiếp gói tin trong khi DNS vẫn trỏ tới mạng cục bộ tạo ra kết nối nửa hoạt động kinh điển.

Hãy thử ứng dụng chứ không phải liên kết. Một trang intranet tải được là bằng chứng mạnh hơn một bộ điều hợp có địa chỉ trông hợp lý.