RemoteEnable is nie ’n VPN-aanmelding nie: die omvang van SoftEther-bestuur

Die handleiding sê om RemoteEnable te hardloop en dan te koppel, en dit lees asof daardie twee stappe dieselfde soort ding is. Hulle is nie. RemoteEnable gee ’n ander masjien toestemming om die SoftEther VPN-kliëntdiens te administreer wat op hierdie rekenaar loop. Koppel is ’n VPN-rekening wat by ’n bediener authentiseer, en geen bestuurstoestemming is daarin betrokke nie.

Die mite: RemoteEnable skakel die VPN aan

Die verwarring kom van naburigheid. ’n Gids skakel afstandbestuur aan, herbegin die kliëntdiens, koppel dan, en die verbinding werk daarna, so die twee stappe lyk oorsaaklik gekoppel. Wat werklik verander het, is wie met die diens mag praat, nie of die diens ’n bediener kan bereik nie. Skakel afstandbestuur op ’n korrek gekonfigureerde kliënt af, en die VPN-verbinding kom steeds op.

Die opstroom-hulp vir die opdrag is duidelik oor die omvang: afstandbestuur deur VPN Client Manager of vpncmd van buite localhost. Niks in daardie beskrywing noem ’n tonnel, ’n rekening of ’n roete nie. Die toestemming wat verleen word, is administratiewe bereik, en die onderwerp daarvan is die kliëntdiens eerder as die verbinding.

Drie identiteite wat die woord wagwoord deel

Ou gidse gebruik een woord vir drie onverwante geloofsbriewe, en dis hoe ontplooiings ’n geheim in die verkeerde veld geplak kry.

Die kliëntdiens-bestuurwagwoord beskerm administrasie van die plaaslike SoftEther-kliënt. Die VPN-rekeningwagwoord authentiseer by ’n bediener onder daardie bediener se beleid. Die bediener-sertifikaat is glad nie ’n wagwoord nie, maar dit beantwoord watter eindpunt die kliënt moet aanvaar. Om een daarvan te verander verander nie die ander nie, en om ’n waarde tussen hulle te kopieer lewer ’n ander konfigurasie eerder as ’n eenvoudiger een.

Die slegs-afstand-opsie op die bestuurwagwoord verdien ’n tweede kyk, want dit bepaal of die wagwoordvereiste ook geld vir bestuur vanaf die plaaslike masjien. Om daardie omvang te vernou is ’n doelbewuste keuse vir ’n enkelgebruiker-skootrekenaar, nie ’n oplossing vir ’n wagwoord wat niemand opgeteken het nie.

Wat die aanskakel van afstandbestuur werklik verander

Twee operasionele gevolge volg, en albei is maklik om in ’n kopieer-en-plak-gids mis te kyk. ’n Bestuurwagwoord word verpligtend sodra afstandadministrasie aangeskakel word, en die nuwe beskikbaarheid tree eers in werking nadat die kliëntdiens herbegin het.

Daardie herbegin is ’n werklike onderbreking vir enigiets wat die kliënt gebruik, so beplan dit saam met wie ook al die masjien besit. Om die funksie aan te skakel maak ook nie vanself ’n firewall-pad oop nie: die diens moet steeds van die bestuurstaasie af bereikbaar wees, en ’n gasheer-firewall of ’n opstroom-ACL kan dit onbereikbaar hou. ’n Onbereikbare diens is nie bewys dat die toestemming korrek afgeperk is nie, net dat iets anders dit blokkeer.

Skryf die beoogde bestuurspad in die ontplooiingsnotas, insluitend die poort en die adresreeks wat dit mag gebruik. Daardie nota is ook die plek om op te teken wie die vermoë gevra het en wanneer dit onttrek moet word.

Besluit wie hierdie kliënt mag bestuur

Op ’n skootrekenaar wat jy besit, hou administrasie op die plaaslike konsole tensy jy die masjien kan noem wat afstandtoegang nodig het en kan sê waarom. Vir ’n toestel wat sentraal bestuur word, noem die administrateur, die bestuurspad en die herstel-eienaar voordat jy iets aanskakel. Die vraag is nie of die funksie gerieflik is nie, maar wie verantwoordelik is vir die konfigurasie wat dit blootstel.

Voer die opdragte teen die plaaslike diens uit sodat die verandering in jou eie dopgeskiedenis beland eerder as in ’n skermbeeld: vpncmd localhost /client /cmd RemoteDisable skakel die vermoë af, en dieselfde opdrag met RemoteEnable skakel dit aan. Herbegin die diens daarna, anders sal die instelling nie van krag wees nie.

As ’n handleiding dit as ’n voorbereidende stap aanskakel sonder verduideliking, hanteer dit as ’n onopgeloste vraag eerder as ’n opdrag om te volg. Vra watter bestuurstaasie dit moet gebruik, en as daar geen antwoord is nie, laat die vermoë afgeskakel.

Verifieer bestuurstoegang en konnektiwiteit afsonderlik

Twee toetse antwoord twee verskillende vrae, en om net een daarvan te hardloop is hoe ’n ontplooiing afstandadministrasie kry wat niemand bedoel het nie.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Die eerste twee reëls plaas die kliënt terug onder plaaslike administrasie en pas die verandering toe. Die laaste twee bevestig dat die VPN-rekeninge en virtuele adapters steeds gekonfigureer is, wat hulle behoort te wees, want bestuursomvang en verbindingstoestand is onafhanklike instellings. As die rekeninglys ná die herbegin leeg terugkom, het iets anders gebreek en is die afstandbestuur-instelling nie die verklaring nie.

Toets dan die verbinding self vanaf die kliënt en bevestig dat die adapter die verwagte adres en roetes hou. ’n Suksesvolle vpncmd-sessie bewys ’n beheerverhouding en sê niks oor of verkeer deur die tonnel verlaat nie.