RemoteEnable není přihlášení k VPN: vymezení správy SoftEtheru

Návod říká spusťte RemoteEnable a pak se připojte, a čte se to, jako by ty dva kroky byly stejného druhu. Nejsou. RemoteEnable dává jinému počítači oprávnění spravovat klientskou službu SoftEther VPN běžící na tomto počítači. Připojení je účet VPN, který se ověřuje vůči serveru, a žádné oprávnění ke správě v něm nefiguruje.

Mýtus: RemoteEnable zapíná VPN

Zmatek pramení ze sousedství. Návod zapne vzdálenou správu, restartuje klientskou službu, pak se připojí, a připojení potom funguje, takže oba kroky vypadají příčinně spojené. Co se skutečně změnilo, je kdo smí mluvit se službou, ne zda se služba dostane na server. Vypněte vzdálenou správu na správně nastaveném klientovi a připojení VPN stále vznikne.

Nápověda k příkazu v původním zdroji je o rozsahu explicitní: vzdálená správa přes VPN Client Manager nebo vpncmd z jiného místa než localhost. V tom popisu není zmínka o tunelu, účtu ani trase. Udělované oprávnění je administrativní dosah a jeho předmětem je klientská služba, nikoli připojení.

Tři identity, které sdílejí slovo heslo

Staré návody používají jedno slovo pro tři nesouvisející údaje, a právě tak skončí nasazení s tajemstvím vloženým do špatného pole.

Heslo pro správu klientské služby chrání administraci místního klienta SoftEther. Heslo účtu VPN se ověřuje vůči serveru podle zásad toho serveru. Certifikát serveru není vůbec heslo, ale odpovídá na otázku který koncový bod má klient přijmout. Změna jednoho z nich nemění ostatní a kopírování hodnoty mezi nimi vytvoří jinou konfiguraci, ne jednodušší.

Volba pouze vzdáleně u hesla pro správu zaslouží druhý pohled, protože rozhoduje, zda se požadavek na heslo vztahuje i na správu z místního počítače. Zúžení tohoto rozsahu je záměrná volba pro notebook jednoho uživatele, ne obchvat pro heslo, které si nikdo nezapsal.

Co zapnutí vzdálené správy skutečně mění

Vyplývají dva provozní důsledky a oba lze v návodu na kopírování a vkládání snadno přehlédnout. Heslo pro správu se stane povinným, jakmile se zapne vzdálená administrace, a nová dostupnost vstoupí v platnost až po restartu klientské služby.

Tento restart je skutečné přerušení pro vše, co klienta používá, proto ho naplánujte s tím, komu počítač patří. Zapnutí funkce také samo o sobě neotevře cestu firewallem: služba stále musí být dostupná z řídicí stanice a firewall hostitele nebo ACL výše v síti ji mohou udržet nedostupnou. Nedostupná služba není důkaz, že oprávnění je správně vymezeno, jen že ji blokuje něco jiného.

Zapište zamýšlenou cestu správy do poznámek k nasazení, včetně portu a rozsahu adres, které ji smějí používat. Ta poznámka je i místem, kde zaznamenáte, kdo schopnost vyžádal a kdy má být odebrána.

Rozhodněte, kdo smí tohoto klienta spravovat

Na notebooku, který vlastníte, držte administraci na místní konzoli, pokud nedokážete pojmenovat počítač, který potřebuje vzdálený přístup, a říci proč. U zařízení spravovaného centrálně pojmenujte správce, cestu správy a vlastníka obnovy, než cokoli zapnete. Otázka není, zda je funkce pohodlná, ale kdo odpovídá za konfiguraci, kterou odhaluje.

Spouštějte příkazy proti místní službě, aby změna skončila ve vaší historii shellu, a ne na snímku obrazovky: vpncmd localhost /client /cmd RemoteDisable schopnost vypne a stejný příkaz s RemoteEnable ji zapne. Potom službu restartujte, jinak nastavení nebude platit.

Pokud ji návod zapíná jako přípravný krok bez vysvětlení, berte to jako nevyřešenou otázku, ne jako pokyn k následování. Zeptejte se, která řídicí stanice ji má používat, a pokud odpověď není, nechte schopnost vypnutou.

Ověřujte přístup ke správě a konektivitu odděleně

Dva testy odpovídají na dvě různé otázky a spuštění jen jednoho z nich je způsob, jak nasazení skončí se vzdálenou administrací, kterou nikdo nechtěl.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

První dva řádky vracejí klienta pod místní správu a uplatní změnu. Poslední dva potvrzují, že účty VPN a virtuální adaptéry jsou stále nakonfigurovány, jak by měly být, protože rozsah správy a stav připojení jsou nezávislá nastavení. Pokud se seznam účtů po restartu vrátí prázdný, rozbilo se něco jiného a nastavení vzdálené správy není vysvětlením.

Potom otestujte samotné připojení z klienta a potvrďte, že adaptér drží očekávanou adresu a trasy. Úspěšná relace vpncmd dokazuje řídicí vztah a nic neříká o tom, zda provoz vychází tunelem.