RemoteEnable — не ўваход у VPN: межы кіравання SoftEther

Дапаможнік кажа запусціць RemoteEnable і потым падключыцца, і гэта чытаецца так, нібы гэтыя два крокі — рэчы аднаго роду. Яны не такія. RemoteEnable дае іншай машыне дазвол кіраваць службай кліента SoftEther VPN, якая працуе на гэтым камп’ютары. А падключэнне — гэта ўліковы запіс VPN, які праходзіць аўтэнтыфікацыю на серверы, і ніякі дазвол на кіраванне ў ім не задзейнічаны.

Міф: RemoteEnable уключае VPN

Блытаніна ідзе ад суседства. Кіраўніцтва ўключае аддаленае кіраванне, перазапускае службу кліента, потым падключаецца, і злучэнне пасля гэтага працуе, таму два крокі выглядаюць прычынна звязанымі. Насамрэч змянілася тое, хто можа звяртацца да службы, а не тое, ці можа служба дасягнуць сервера. Адключыце аддаленае кіраванне на правільна наладжаным кліенце — і злучэнне VPN усё роўна ўзнікне.

Даведка па камандзе ў першакрыніцы ясна кажа пра межы: аддаленае кіраванне праз VPN Client Manager або vpncmd з-за меж localhost. У гэтым апісанні не згадваецца ні тунель, ні ўліковы запіс, ні маршрут. Дазвол, які выдаецца, — гэта адміністрацыйны доступ, і яго прадмет — служба кліента, а не злучэнне.

Тры ідэнтычнасці, якія дзеляць слова «пароль»

Старыя дапаможнікі ўжываюць адно слова для трох незвязаных даных доступу, і менавіта так разгортванні атрымліваюць сакрэт, устаўлены не ў тое поле.

Пароль кіравання службай кліента абараняе адміністраванне лакальнага кліента SoftEther. Пароль уліковага запісу VPN аўтэнтыфікуецца на серверы паводле палітыкі гэтага сервера. Сертыфікат сервера зусім не пароль, але ён адказвае на пытанне, які пункт прызначэння кліент павінен прымаць. Змена аднаго з іх не змяняе астатнія, а капіраванне значэння паміж імі дае іншую канфігурацыю, а не прасцейшую.

Опцыя «толькі аддалена» ў паролі кіравання заслугоўвае другога позірку, бо яна вырашае, ці патрабаванне пароля распаўсюджваецца і на кіраванне з лакальнай машыны. Звужэнне гэтых межаў — свядомы выбар для ноўтбука аднаго карыстальніка, а не абыход шляху для пароля, які ніхто не запісаў.

Што насамрэч змяняе ўключэнне аддаленага кіравання

Вынікаюць дзве аперацыйныя наступствы, і абедзве лёгка прапусціць у дапаможніку з капіраваннем і ўстаўкай. Пароль кіравання становіцца абавязковым, як толькі ўключана аддаленае адміністраванне, а новая даступнасць пачынае дзейнічаць толькі пасля перазапуску службы кліента.

Гэты перазапуск — рэальны перапынак для ўсяго, што выкарыстоўвае кліента, таму плануйце яго разам з уладальнікам машыны. Уключэнне функцыі таксама само па сабе не адкрывае шлях праз міжсеткавы экран: служба ўсё яшчэ павінна быць дасягальнай з станцыі кіравання, а міжсеткавы экран на хаспе або ACL вышэй па плыні могуць пакінуць яе недасягальнай. Недасягальная служба — не доказ таго, што дазвол абмежаваны правільна, а толькі таго, што нешта іншае яго блакуе.

Запішыце меркаваны шлях кіравання ў нататкі аб разгортванні, уключна з портам і дыяпазонам адрасоў, які можа ім карыстацца. Гэтая нататка — таксама месца, дзе запісаць, хто папрасіў магчымасць і калі яе трэба адклікаць.

Вырашыце, хто можа кіраваць гэтым кліентам

На ноўтбуку, які вам належыць, пакідайце адміністраванне на лакальнай кансолі, пакуль не можаце назваць машыну, якой патрэбен аддалены доступ, і сказаць навошта. Для прылады, якая кіруецца цэнтральна, назавіце адміністратара, шлях кіравання і ўладальніка аднаўлення, перш чым нешта ўключаць. Пытанне не ў тым, ці зручная функцыя, а ў тым, хто адказвае за канфігурацыю, якую яна выстаўляе.

Выконвайце каманды на лакальнай службе, каб змена трапіла ў вашу ўласную гісторыю абалонкі, а не ў здымак экрана: vpncmd localhost /client /cmd RemoteDisable выключае магчымасць, а тая ж каманда з RemoteEnable уключае яе. Пасля гэтага перазапусціце службу, інакш налада не будзе дзейнічаць.

Калі дапаможнік уключае яе як папярэдні крок без тлумачэння, стаўцеся да гэтага як да нявырашанага пытання, а не як да інструкцыі, якой трэба следаваць. Спытайце, якая станцыя кіравання павінна яе выкарыстоўваць, і калі адказу няма, пакіньце магчымасць выключанай.

Правярайце доступ да кіравання і злучальнасць асобна

Два тэсты адказваюць на два розныя пытанні, і запуск толькі аднаго з іх — гэта шлях да таго, каб разгортванне атрымала аддаленае адміністраванне, якога ніхто не хацеў.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Першыя два радкі вяртаюць кліента пад лакальнае адміністраванне і ўжываюць змену. Апошнія два пацвярджаюць, што ўліковыя запісы VPN і віртуальныя адаптары ўсё яшчэ наладжаны, як і павінна быць, бо межы кіравання і стан злучэння — незалежныя налады. Калі пасля перазапуску спіс уліковых запісаў вяртаецца пустым, зламалася нешта іншае, і налада аддаленага кіравання тут не прычына.

Затым праверце само злучэнне з кліента і пераканайцеся, што адаптар трымае чаканы адрас і маршруты. Паспяховая сесія vpncmd даказвае наяўнасць кіраўніцкай сувязі і нічога не кажа пра тое, ці выходзіць трафік праз тунель.