Профіль падлучэння SoftEther: праверце шэсць палёў перад імпартам

Імпарт профілю ўдаецца, але аўтэнтыфікацыя не праходзіць, бо файл паказвае на Virtual Hub, да якога ўліковы запіс ніколі не далучаўся. У файле няма нічога пашкоджанага; ён апісвае канфігурацыю, для якой уліковыя даныя не выдаваліся. Шэсць палёў вырашаюць, ці можа імпарт працаваць: імя хоста, порт, пратакол, Virtual Hub, ідэнтычнасць карыстальніка і тое, ці не перадаў вам хтосьці памылкова ўліковыя даныя адміністратара. Праверкі з першай па трэцюю па чарзе ахопліваюць гэтыя палі, а апошнія дзве датычацца самога файла і таго, да чаго вы насамрэч далучыліся.

Праверка 1: імя хоста і порт

Прачытайце імя хоста, порт і заяўлены метад доступу, перш чым што-небудзь імпартаваць. Уласны слухач SoftEther звычайна адказвае на TCP 443, а 992 і 5555 — альтэрнатывы, якія аператары адкрываюць для кліентаў за абмежавальнымі сеткамі. Профіль, накіраваны на порт, які абслугоўвае вэб-сайт або іншую службу, церпіць няўдачу перад аўтэнтыфікацыяй і паведамляе пра памылку як пра праблему з уліковымі данымі. Параўнайце пару з тым, што аператар публікуе для гэтага канчатковага пункта, а не са спісам з каталога, які хтосьці сабраў летась. Калі імя хоста вырашаецца ў адрас, які аператар ніколі не згадвае, спыніцеся там, бо наступны крок адправіць уліковыя даныя на гэты адрас.

Порт 443 — агульная тэрыторыя, таму сам порт нічога не даказвае пра службу за ім. Кліент SoftEther раздзяляе іх паводле рукапаціску пратаколу, таму профіль можа паказваць на правільны порт і ўсё ж скончыцца на вэб-серверы. Гэтая памылка ў журнале кліента выглядае як няправільны пароль, хоць пароль ніколі не правяраўся.

Запішыце канчатковы пункт як імя хоста, порт і метад, у гэтым парадку. Гэтая тройка — тое, што можна праверыць без падлучэння, і тое, што варта цытаваць, калі вы пытаецеся ў аператара, ці працуе слухач. Усё, што вы не можаце дапоўніць з апублікаванай крыніцы, застаецца неправераным, а не выказаным як здагадка.

Праверка 2: пратакол вызначае кліент

Сервер, які прапануе некалькі метадаў доступу, не ператварае адзін экспартаваны файл у профіль, які можа адкрыць кожны кліент. Each method has its own format, its own client and its own failure mode, а іх змешванне спараджае памылкі, якія гучаць як праблемы з уліковымі данымі. Вызначце, які метад заяўлены ў файле, перш чым вырашаць, які кліент яго адкрые.

Табліца ніжэй пералічвае звычайныя парты і тое, што насамрэч патрабуе кожны метад. Парты — выбар аператара, таму ўспрымайце іх як тыповыя значэнні, а не як факты пра пэўны сервер. Уласны профіль SoftEther імпартуе кліент SoftEther, пакет ovpn належыць OpenVPN, а профілі SSTP ці L2TP апрацоўвае сама аперацыйная сістэма. Усталяванне другога кліента, каб адкрыць файл, які адкідвае першы, звычайна ператварае зразумелую памылку ў заблытаную.

Чытайце аб’яву ўнутры файла, а не пашырэнне. Файл, названы паводле OpenVPN, па вызначэнні з’яўляецца профілем OpenVPN, тады як профіль SoftEther — невялікая канфігурацыя, якую імпартуе кліент SoftEther, і гэтыя дзве не ўзаемазаменныя. Калі заяўлены метад — той, які вы не можаце абслугоўваць, гэта адказвае на пытанне пра імпарт.

Праверка 3: канцэнтратар, карыстальнік і роля адміністратара

Для ўласнага доступу профіль указвае Virtual Hub і карыстальніка ў ім. A hub is a logical VPN server instance with its own users and its own settings, а карыстальнік з’яўляецца членам гэтага канцэнтратара з уласнай аўтэнтыфікацыяй. Ні тое, ні іншае не ёсць адміністраваннем сервера, якое кіруе слухачамі, канцэнтратарамі і кожным карыстальнікам разгортвання. Кліенцкі профіль ніколі не павінен прыходзіць з гэтым кантролем у комплекце. Калі хтосьці дасылае вам уліковыя даныя адміністратара, каб кліент запрацаваў, канфігурацыя няправільная, незалежна ад таго, ці ён падключаецца.

Трымайце гэтыя тры рэчы асобна, дакументуючы падключэнне, бо адклікаюцца яны па-рознаму. Выдаленне карыстальніка канцэнтратара спыняе доступ аднаго чалавека і пакідае астатняе разгортванне некранутым, тады як ратацыя ўліковых даных адміністратара закранае ўсё. Гэтая розніца — таксама прычына пярэчыць супраць аднаго супольнага карыстальніка канцэнтратара для каманды, бо адны ўліковыя даныя азначаюць адну падзею адклікання для ўсіх.

Праверка 4: файл такі ж адчувальны, як і тое, што ён нясе

У залежнасці ад фармату профіль можа несці захаваны пароль, сертыфікат або загадзя размеркаваны ключ. Стаўцеся да экспарту як да сакрэту, пакуль ён існуе, бо копія, якую вы далучаеце да заяўкі, — гэта копія, якую можа імпартаваць хтосьці іншы. Выдаліце ўліковыя даныя перад распаўсюджваннем або падзяліцеся створаным нанова профілем з новым сакрэтам. Адчувальнасць файла паходзіць ад яго змесціва, а не ад пашырэння ці памеру.

Пацвярджайце канчатковы пункт каналам, які публікуе аператар, а пазнаку з каталога лічыце неправеранай. Сцяг краіны і імя хоста ў публічным спісе вузлоў выбірае той, хто даслаў запіс, таму ні тое, ні іншае не ўстанаўлівае, хто кіруе серверам. Калі профіль паходзіць з публічнага каталога, гэта прычына для большай колькасці праверак, а не меншай.

Запішыце, адкуль прыйшоў файл і калі вы яго атрымалі. Калі падключэнне потым паводзіць сябе інакш, паходжанне — першае, што вы параўноўваеце з правераным канчатковым пунктам. Профіль без паходжання — гэта профіль, які вы не можаце праверыць.

Архівуйце копію, якую вы праверылі, а не тую, якую знайшлі пазней. Два файлы з аднолькавым імем і рознымі канчатковымі пунктамі — так працоўны імпарт ператвараецца ў зварот у падтрымку. Трымайце правераную копію побач з нататкай пра яе паходжанне.

Праверка 5: правярайце праграму, а не індыкатар стану

Пасля імпарту праверце праграму, якая вам сапраўды патрэбна, а не індыкатар падключэння. Паспяховая аўтэнтыфікацыя даказвае, што ўліковыя даныя працуюць, а не што чаканыя маршруты ці DNS прыйшлі з сеансам. Падключыцеся, а потым скарыстайцеся службай, да якой профіль павінен быў дасягаць.

Агледзьце прызначаныя маршруты і DNS-серверы і занатуйце, якія прызначэнні абыходзяць тунель, калі ў задуме ёсць падзел. Потым паўтарыце з адным прызначэннем, якое павінна было б быць выключанае, бо падзелены тунель, які дасылае ўсё праз тунель, усё роўна праходзіць тэст з адным прызначэннем. Калі прыватны рэсурс не працуе, падазроны — маршрут, а не ўліковыя даныя. Запішыце чатыры вынікі: аўтэнтыфікацыю пройдзена, служба даступная, маршруты як чакалася, выключанае прызначэнне выключанае.

Параўнайце ўсе чатыры вынікі з тым, што аператар абяцаў для гэтага канцэнтратара. Сеанс, які праходзіць аўтэнтыфікацыю, калі выключанае прызначэнне таксама даступнае, азначае, што падзел не дзейнічае і профіль тут ні пры чым. Выпраўце чаканне або палітыку канцэнтратара, а потым паўтарыце чатыры праверкі ў тым жа парадку.