RemoteEnable не е вход в VPN: очертаване на управлението на SoftEther

Ръководството казва да стартирате RemoteEnable и после да се свържете, и това се чете така, сякаш двете стъпки са от един и същ вид. Не са. RemoteEnable дава на друга машина разрешение да администрира клиентската услуга на SoftEther VPN, работеща на този компютър. Свързването е VPN акаунт, който се удостоверява пред сървър, и в него изобщо не участва разрешение за управление.

Митът: RemoteEnable включва VPN

Объркването идва от съседството. Ръководство включва отдалечено управление, рестартира клиентската услуга, после се свързва и връзката работи след това, така че двете стъпки изглеждат причинно свързани. Всъщност се е променило кой може да говори с услугата, а не дали услугата може да достигне до сървър. Изключете отдалеченото управление на правилно конфигуриран клиент и VPN връзката пак се установява.

Помощта за командата в източника е категорична за обхвата: отдалечено управление през VPN Client Manager или vpncmd отвъд localhost. В това описание не се споменава нито тунел, нито акаунт, нито маршрут. Разрешението, което се дава, е административен достъп, а неговият предмет е клиентската услуга, не връзката.

Три самоличности, които делят думата парола

Старите ръководства използват една дума за три несвързани идентификационни данни и точно така внедряванията се сдобиват с тайна, поставена в грешното поле.

Паролата за управление на клиентската услуга защитава администрирането на локалния клиент на SoftEther. Паролата на VPN акаунта се удостоверява пред сървър съгласно политиката на този сървър. Сертификатът на сървъра изобщо не е парола, но той отговаря на въпроса кой краен възел трябва да приеме клиентът. Промяната на едно от тях не променя останалите, а копирането на стойност между тях дава друга конфигурация, а не по-проста.

Опцията само отдалечено в паролата за управление заслужава втори поглед, защото тя решава дали изискването за парола важи и за управление от локалната машина. Стесняването на този обхват е съзнателен избор за лаптоп на един потребител, а не заобиколен път за парола, която никой не е записал.

Какво всъщност променя включването на отдалеченото управление

Следват две оперативни последствия и двете лесно се пропускат в ръководство за копиране и поставяне. Паролата за управление става задължителна, щом отдалеченото администриране се включи, а новата достъпност влиза в сила само след рестартиране на клиентската услуга.

Този рестарт е истинско прекъсване за всичко, което използва клиента, затова го планирайте с този, който притежава машината. Включването на функцията също не отваря път през защитната стена само по себе си: услугата трябва да е достъпна от станцията за управление, а защитна стена на хоста или ACL по-нагоре могат да я оставят недостъпна. Недостъпната услуга не е доказателство, че разрешението е ограничено правилно, а само че нещо друго я блокира.

Запишете предвидения път за управление в бележките за внедряване, включително порта и диапазона от адреси, които могат да го използват. Тази бележка е и мястото, където да отбележите кой е поискал възможността и кога трябва да бъде оттеглена.

Решете кой може да управлява този клиент

На лаптоп, който притежавате, дръжте администрирането на локалната конзола, освен ако не можете да посочите машината, която се нуждае от отдалечен достъп, и да кажете защо. За устройство, управлявано централно, посочете администратора, пътя за управление и отговорника за възстановяване, преди да включите нещо. Въпросът не е дали функцията е удобна, а кой отговаря за конфигурацията, която тя излага.

Изпълнявайте командите срещу локалната услуга, за да попадне промяната в собствената ви история на обвивката, а не в екранна снимка: vpncmd localhost /client /cmd RemoteDisable изключва възможността, а същата команда с RemoteEnable я включва. След това рестартирайте услугата, иначе настройката няма да е в сила.

Ако ръководство я включва като предварителна стъпка без обяснение, третирайте това като нерешен въпрос, а не като инструкция за следване. Попитайте коя станция за управление трябва да я използва и ако няма отговор, оставете възможността изключена.

Проверявайте достъпа за управление и свързаността поотделно

Два теста отговарят на два различни въпроса и пускането само на един от тях е начинът едно внедряване да се сдобие с отдалечено администриране, което никой не е искал.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Първите два реда връщат клиента под локално администриране и прилагат промяната. Последните два потвърждават, че VPN акаунтите и виртуалните адаптери все още са конфигурирани, както трябва да бъдат, защото обхватът на управление и състоянието на връзката са независими настройки. Ако след рестарта списъкът с акаунти се върне празен, нещо друго се е счупило и настройката за отдалечено управление не е обяснението.

След това проверете самата връзка от клиента и потвърдете, че адаптерът държи очаквания адрес и маршрути. Успешна сесия на vpncmd доказва управленска връзка и не казва нищо за това дали трафикът излиза през тунела.