Το RemoteEnable δεν είναι σύνδεση VPN: οριοθέτηση της διαχείρισης του SoftEther

Ο οδηγός λέει να εκτελέσετε το RemoteEnable και μετά να συνδεθείτε, και αυτό διαβάζεται σαν να είναι τα δύο βήματα το ίδιο είδος πράγματος. Δεν είναι. Το RemoteEnable δίνει σε άλλο μηχάνημα την άδεια να διαχειρίζεται την υπηρεσία πελάτη SoftEther VPN που εκτελείται σε αυτόν τον υπολογιστή. Η σύνδεση είναι ένας λογαριασμός VPN που πιστοποιείται σε διακομιστή, και καμία άδεια διαχείρισης δεν εμπλέκεται σε αυτήν καθόλου.

Ο μύθος: το RemoteEnable ενεργοποιεί το VPN

Η σύγχυση προέρχεται από τη γειτνίαση. Ένας οδηγός ενεργοποιεί την απομακρυσμένη διαχείριση, επανεκκινεί την υπηρεσία πελάτη, μετά συνδέεται, και η σύνδεση λειτουργεί έπειτα, ώστε τα δύο βήματα να φαίνονται αιτιακά συνδεδεμένα. Αυτό που άλλαξε στην πραγματικότητα είναι ποιος επιτρέπεται να μιλήσει στην υπηρεσία, όχι αν η υπηρεσία μπορεί να φτάσει σε διακομιστή. Απενεργοποιήστε την απομακρυσμένη διαχείριση σε σωστά ρυθμισμένο πελάτη και η σύνδεση VPN εξακολουθεί να ανεβαίνει.

Η βοήθεια εντολών στο αρχικό έργο είναι σαφής για το εύρος: απομακρυσμένη διαχείριση μέσω VPN Client Manager ή vpncmd από έξω από το localhost. Τίποτα σε αυτή την περιγραφή δεν αναφέρει σήραγγα, λογαριασμό ή διαδρομή. Η άδεια που χορηγείται είναι διοικητική εμβέλεια, και υποκείμενό της είναι η υπηρεσία πελάτη και όχι η σύνδεση.

Τρεις ταυτότητες που μοιράζονται τη λέξη κωδικός

Οι παλιοί οδηγοί χρησιμοποιούν μία λέξη για τρία άσχετα διαπιστευτήρια, και έτσι οι αναπτύξεις καταλήγουν με ένα μυστικό κολλημένο στο λάθος πεδίο.

Ο κωδικός διαχείρισης της υπηρεσίας πελάτη προστατεύει τη διαχείριση του τοπικού πελάτη SoftEther. Ο κωδικός του λογαριασμού VPN πιστοποιείται σε διακομιστή σύμφωνα με την πολιτική εκείνου του διακομιστή. Το πιστοποιητικό διακομιστή δεν είναι καθόλου κωδικός, αλλά απαντά ποιο άκρο πρέπει να αποδεχθεί ο πελάτης. Η αλλαγή του ενός δεν αλλάζει τα άλλα, και η αντιγραφή μιας τιμής μεταξύ τους παράγει διαφορετική διαμόρφωση και όχι απλούστερη.

Η επιλογή μόνο-απομακρυσμένα στον κωδικό διαχείρισης αξίζει δεύτερη ματιά, γιατί αποφασίζει αν η απαίτηση κωδικού ισχύει και για διαχείριση από το τοπικό μηχάνημα. Η στένωση αυτού του εύρους είναι συνειδητή επιλογή για φορητό ενός χρήστη, όχι παράκαμψη για κωδικό που δεν κατέγραψε κανείς.

Τι αλλάζει στην πραγματικότητα η ενεργοποίηση της απομακρυσμένης διαχείρισης

Προκύπτουν δύο επιχειρησιακές συνέπειες, και οι δύο εύκολο να χαθούν σε έναν οδηγό αντιγραφής και επικόλλησης. Ο κωδικός διαχείρισης γίνεται υποχρεωτικός μόλις ενεργοποιηθεί η απομακρυσμένη διαχείριση, και η νέα διαθεσιμότητα τίθεται σε ισχύ μόνο αφού επανεκκινήσει η υπηρεσία πελάτη.

Αυτή η επανεκκίνηση είναι πραγματική διακοπή για οτιδήποτε χρησιμοποιεί τον πελάτη, οπότε σχεδιάστε την με όποιον κατέχει το μηχάνημα. Η ενεργοποίηση της λειτουργίας επίσης δεν ανοίγει από μόνη της δρόμο μέσα από το τείχος προστασίας: η υπηρεσία πρέπει ακόμη να είναι προσβάσιμη από τον σταθμό διαχείρισης, και ένα τείχος προστασίας υποδοχής ή μια λίστα ελέγχου ανάντη μπορούν να την κρατήσουν μη προσβάσιμη. Μια μη προσβάσιμη υπηρεσία δεν είναι απόδειξη ότι η άδεια οριοθετήθηκε σωστά, μόνο ότι κάτι άλλο την μπλοκάρει.

Γράψτε την προβλεπόμενη διαδρομή διαχείρισης στις σημειώσεις ανάπτυξης, μαζί με τη θύρα και το εύρος διευθύνσεων που επιτρέπεται να τη χρησιμοποιεί. Αυτή η σημείωση είναι και το μέρος για να καταγράψετε ποιος ζήτησε τη δυνατότητα και πότε πρέπει να ανακληθεί.

Αποφασίστε ποιος επιτρέπεται να διαχειρίζεται αυτόν τον πελάτη

Σε φορητό που σας ανήκει, κρατήστε τη διαχείριση στην τοπική κονσόλα εκτός αν μπορείτε να ονομάσετε το μηχάνημα που χρειάζεται απομακρυσμένη πρόσβαση και να πείτε γιατί. Για συσκευή που διαχειρίζεται κεντρικά, ονομάστε τον διαχειριστή, τη διαδρομή διαχείρισης και τον υπεύθυνο ανάκτησης πριν ενεργοποιήσετε οτιδήποτε. Το ερώτημα δεν είναι αν η λειτουργία είναι βολική, αλλά ποιος λογοδοτεί για τη διαμόρφωση που εκθέτει.

Εκτελέστε τις εντολές στην τοπική υπηρεσία ώστε η αλλαγή να καταλήξει στο δικό σας ιστορικό κελύφους και όχι σε στιγμιότυπο οθόνης: το vpncmd localhost /client /cmd RemoteDisable απενεργοποιεί τη δυνατότητα, και η ίδια εντολή με RemoteEnable την ενεργοποιεί. Επανεκκινήστε την υπηρεσία μετά, αλλιώς η ρύθμιση δεν θα ισχύει.

Αν ένας οδηγός την ενεργοποιεί ως προκαταρκτικό βήμα χωρίς εξήγηση, αντιμετωπίστε το ως άλυτο ερώτημα και όχι ως οδηγία προς εκτέλεση. Ρωτήστε ποιος σταθμός διαχείρισης πρόκειται να τη χρησιμοποιήσει, και αν δεν υπάρχει απάντηση, αφήστε τη δυνατότητα απενεργοποιημένη.

Επαληθεύστε την πρόσβαση διαχείρισης και τη συνδεσιμότητα χωριστά

Δύο δοκιμές απαντούν σε δύο διαφορετικά ερωτήματα, και το να εκτελέσετε μόνο μία από αυτές είναι ο τρόπος με τον οποίο μια ανάπτυξη καταλήγει με απομακρυσμένη διαχείριση που κανείς δεν επιδίωκε.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Οι δύο πρώτες γραμμές επαναφέρουν τον πελάτη υπό τοπική διαχείριση και εφαρμόζουν την αλλαγή. Οι δύο τελευταίες επιβεβαιώνουν ότι οι λογαριασμοί VPN και οι εικονικοί προσαρμογείς είναι ακόμη ρυθμισμένοι, όπως θα έπρεπε, γιατί το εύρος διαχείρισης και η κατάσταση σύνδεσης είναι ανεξάρτητες ρυθμίσεις. Αν η λίστα λογαριασμών επιστρέψει κενή μετά την επανεκκίνηση, κάτι άλλο έσπασε και η ρύθμιση απομακρυσμένης διαχείρισης δεν είναι η εξήγηση.

Έπειτα δοκιμάστε την ίδια τη σύνδεση από τον πελάτη και επιβεβαιώστε ότι ο προσαρμογέας κρατά τη διεύθυνση και τις διαδρομές που αναμένονται. Μια επιτυχημένη συνεδρία vpncmd αποδεικνύει σχέση ελέγχου και δεν λέει τίποτα για το αν η κίνηση εξέρχεται μέσα από τη σήραγγα.