SoftEther 虚拟集线器实际连接的是什么

SoftEther 的虚拟集线器是单个服务器内部的成员边界，而不是一个位置。加入该集线器的会话可以到达集线器所连接的对象，而另一个集线器上的会话则不能，即使两者都在同一台服务器上通过认证。因此，一次成功的登录仍可能把客户端放到错误的网络上。把集线器看作虚拟交换机，就能看清它做了什么，以及把什么留给了桥接、路由和级联配置。

集线器是成员边界

一台服务器可以承载多个集线器，每个都有自己的用户、会话和策略。认证确定会话是谁，而集线器决定该会话加入哪个虚拟网络。因此同一台主机上的两个集线器，就像两台恰好共用硬件的独立交换机。成功的登录并不能说明会话落在你预期的位置。

请使用运营商在文档中写明的集线器名称，而不是从截图里记住的名称。加入错误集线器的客户端会拿着有效凭据到达另一个网络，这是配置层面的发现，而不是安全入侵。把集线器名称及其用途记在连接配置文件的备注里。

管理范围也是这样划分的。集线器管理员管理该集线器，而服务器管理员管理进程、监听器以及主机上的每个集线器。

连接决定边界之外有什么

集线器本身只把会话彼此连接起来。要到达其他东西，取决于集线器如何连接：到物理接口的本地网桥、虚拟路由器，或到另一台服务器的级联。每种连接都带有自己的转发规则和故障方式。以为集线器会提供互联网访问，是关于该产品最常见的误解。

SecureNAT 是内置选项，由服务器内部的虚拟路由器和虚拟 DHCP 服务实现。它对实验室很方便，对任何需要可预测寻址或策略的场景都很别扭。本地网桥把集线器放到真实网段上，从而继承该网段的交换、DHCP 和广播行为。

级联把两台服务器连接起来，使一个集线器上的会话可以出现在另一台上。这是集线器与集线器之间的关系，所以两端都需要兼容的策略以及彼此之间可用的路径。

把会话和策略分开看

会话、MAC 地址和 IP 地址视图描述虚拟网络当前的样子。这些是观察，不是权限。列表里可见的会话并不因此就有权使用集线器能到达的每项服务，反过来也一样。

把会话列表与应该适用于它的策略对照。地址超出预期范围的设备通常意味着来自别处的 DHCP 或手工配置的客户端。在会话之间移动的 MAC 地址意味着设备迁移，或两台设备共用同一身份。两者都值得一看，而任何一方都不能只靠表格证明。

在服务器上，vpncmd 从主机的角度报告同样的画面。两者不一致时，把该输出与客户端自己的视图对照。

vpncmd localhost /SERVER /CMD SessionList
vpncmd localhost /SERVER /CMD HubList

把集线器管理当作独立角色，而不是客户端权限。委派一个集线器不应交出监听器，也不应交出承载其他所有集线器的进程。

加入后检查客户端

从客户端看，建立的会话只证明认证和集线器名称被接受。请分别确认地址、路由和名称解析，因为集线器接受会话之后，每一项都可能失败。

ip -brief address show
ip route get 10.20.30.41
resolvectl query host.internal

地址列表显示适配器是否从预期来源获得了租约。路由查询显示哪个接口会承载私有目的地，解析器查询显示 DNS 是否跟随了会话。集线器在转发数据包而 DNS 仍指向本地网络时，就会产生典型的半通连接。

测试应用而不是链路。能加载的内网页面，比一个地址看似合理的适配器更有说服力。