RemoteEnable ne estas VPN-ensaluto: limigi la administradon de SoftEther

La lernilo diras ruli RemoteEnable kaj poste konektiĝi, kaj tio legeblas kvazaŭ la du paŝoj estas sama speco de afero. Ili ne estas. RemoteEnable donas al alia maŝino permeson administri la servon de la kliento SoftEther VPN, kiu ruliĝas sur ĉi tiu komputilo. Konektiĝo estas VPN-konto aŭtentikanta sin al servilo, kaj neniu administra permeso partoprenas en ĝi tute.

La mito: RemoteEnable ŝaltas la VPN-on

La konfuzo venas de apudeco. Gvidilo ebligas malproksiman administradon, restartigas la klientan servon, poste konektiĝas, kaj la konekto poste funkcias, do la du paŝoj aspektas kaŭze ligitaj. Kio fakte ŝanĝiĝis, estas kiu rajtas paroli al la servo, ne ĉu la servo povas atingi servilon. Malŝaltu malproksiman administradon ĉe ĝuste agordita kliento, kaj la VPN-konekto ankoraŭ ekestas.

La komanda helpo ĉe la fonta projekto estas klara pri la amplekso: malproksima administrado per VPN Client Manager aŭ vpncmd de ekster localhost. Nenio en tiu priskribo mencias tunelon, konton aŭ itineron. La donata permeso estas administra atingopovo, kaj ĝia temo estas la klienta servo, ne la konekto.

Tri identecoj, kiuj dividas la vorton pasvorto

Malnovaj gvidiloj uzas unu vorton por tri senrilataj legitimiloj, kaj tiel dislokoj finiĝas kun sekreto engluita en la malĝusta kampo.

La administra pasvorto de la klienta servo protektas la administradon de la loka kliento SoftEther. La pasvorto de la VPN-konto aŭtentikas al servilo laŭ la politiko de tiu servilo. La servila atestilo tute ne estas pasvorto, sed ĝi respondas, kiun finpunkton la kliento devas akcepti. Ŝanĝi unu el ili ne ŝanĝas la aliajn, kaj kopii valoron inter ili produktas alian agordon anstataŭ pli simplan.

La opcio nur-malproksime ĉe la administra pasvorto meritas duan rigardon, ĉar ĝi decidas, ĉu la pasvorta postulo validas ankaŭ por administrado de la loka maŝino. Mallarĝigi tiun amplekson estas konscia elekto por unuuzanta tekkomputilo, ne flankvojo por pasvorto, kiun neniu notis.

Kion la ebligo de malproksima administrado fakte ŝanĝas

Du operaciaj konsekvencoj sekvas, kaj ambaŭ facile maltrafeblas en gvidilo de kopio kaj algluo. Administra pasvorto fariĝas deviga, tuj kiam malproksima administrado estas ŝaltita, kaj la nova havebleco ekvalidas nur post kiam la klienta servo restartas.

Tiu restarto estas reala interrompo por ĉio, kio uzas la klienton, do planu ĝin kun tiu, kiu posedas la maŝinon. Ebligi la funkcion ankaŭ ne malfermas fajroŝirman vojon per si mem: la servo ankoraŭ devas esti atingebla de la administra stacio, kaj gastiga fajroŝirmilo aŭ ACL pli supre povas teni ĝin neatingebla. Neatingebla servo ne estas pruvo, ke la permeso estis ĝuste limigita, nur ke io alia blokas ĝin.

Skribu la celatan administran vojon en la dislokajn notojn, inkluzive la pordon kaj la adresaron, kiuj rajtas uzi ĝin. Tiu noto ankaŭ estas la loko por registri, kiu petis la kapablon kaj kiam ĝi estu retirita.

Decidu, kiu rajtas administri ĉi tiun klienton

Sur tekkomputilo, kiun vi posedas, tenu la administradon ĉe la loka konzolo, krom se vi povas nomi la maŝinon, kiu bezonas malproksiman aliron, kaj diri kial. Por aparato administrata centre, nomu la administranton, la administran vojon kaj la posedanton de restaŭrado antaŭ ol ebligi ion ajn. La demando ne estas, ĉu la funkcio estas oportuna, sed kiu respondecas pri la agordo, kiun ĝi elmontras.

Rulu la komandojn kontraŭ la loka servo, por ke la ŝanĝo eniru vian propran ŝelan historion anstataŭ ekrankopion: vpncmd localhost /client /cmd RemoteDisable malŝaltas la kapablon, kaj la sama komando kun RemoteEnable ŝaltas ĝin. Restartigu la servon poste, aŭ la agordo ne validos.

Se lernilo ebligas ĝin kiel preparan paŝon sen klarigo, traktu tion kiel nesolvitan demandon anstataŭ instrukcio sekvenda. Demandu, kiun administran stacion oni celas uzi ĝin, kaj se ne estas respondo, lasu la kapablon malŝaltita.

Kontrolu administran aliron kaj konekteblecon aparte

Du testoj respondas du malsamajn demandojn, kaj ruli nur unu el ili estas kiel disloko finiĝas kun malproksima administrado, kiun neniu intencis.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

La unuaj du linioj metas la klienton returne sub lokan administradon kaj aplikas la ŝanĝon. La lastaj du konfirmas, ke la VPN-kontoj kaj virtualaj adaptiloj ankoraŭ estas agorditaj, kiel ili devus esti, ĉar la administra amplekso kaj la konekta stato estas sendependaj agordoj. Se la kontolisto revenos malplena post la restarto, io alia rompiĝis kaj la agordo de malproksima administrado ne estas la klarigo.

Poste testu la konekton mem de la kliento kaj konfirmu, ke la adaptilo tenas la atendatan adreson kaj la atendatajn itinerojn. Sukcesa vpncmd seanco pruvas regan rilaton kaj diras nenion pri tio, ĉu trafiko eliras tra la tunelo.