RemoteEnable ei ole VPN-sisselogimine: SoftEtheri halduse piiritlemine

Õpetus ütleb käivitada RemoteEnable ja seejärel ühenduda, ning seda loetakse nii, nagu oleksid need kaks sammu sama liiki asi. Nad ei ole. RemoteEnable annab teisele masinale loa hallata SoftEther VPN klienditeenust, mis töötab selles arvutis. Ühendumine on VPN-konto, mis autendib end serveri vastu, ja mingit haldusluba selles üldse ei osale.

Müüt: RemoteEnable lülitab VPN-i sisse

Segadus tuleb naabrusest. Juhend lubab kaug haldust, taaskäivitab klienditeenuse, seejärel ühendub, ja ühendus töötab pärast seda, nii et kaks sammu näivad põhjuslikult seotud. Tegelikult muutus see, kes tohib teenusega rääkida, mitte see, kas teenus jõuab serverini. Lülitage õigesti seadistatud kliendil kaug haldus välja ja VPN-ühendus tekib ikkagi.

Käsuabi algallikas on ulatuse osas selgesõnaline: kaug haldus VPN Client Manageri või vpncmd kaudu väljastpoolt localhosti. Selles kirjelduses ei mainita tunnelit, kontot ega marsruuti. Antav luba on halduslik kättesaadavus ja selle objekt on klienditeenus, mitte ühendus.

Kolm identiteeti, mis jagavad sõna parool

Vanad juhendid kasutavad ühte sõna kolme omavahel seostamata mandaadi jaoks, ja nii jõuavad juurutused salasõnaga valesse välja kleebituna.

Klienditeenuse haldusparool kaitseb kohaliku SoftEtheri kliendi haldamist. VPN-konto parool autendib end serveri vastu selle serveri poliitika järgi. Serveri sertifikaat ei ole üldse parool, kuid see vastab, millist lõpp-punkti peaks klient aktsepteerima. Ühe muutmine ei muuda teisi, ja väärtuse kopeerimine nende vahel annab teistsuguse seadistuse, mitte lihtsama.

Haldusparooli valik ainult kaugühendus väärib teist pilku, sest see otsustab, kas paroolinõue kehtib ka kohalikult masinalt haldamisele. Selle ulatuse kitsendamine on ühe kasutaja sülearvuti jaoks teadlik valik, mitte möödasõit paroolist, mida keegi ei kirjutanud.

Mida kaug halduse lubamine tegelikult muudab

Sellest tuleneb kaks tööalast tagajärge ja mõlemat on kopeeri-kleebi juhendis lihtne märkamata jätta. Haldusparool muutub kohustuslikuks kohe, kui kaug haldus sisse lülitatakse, ja uus kättesaadavus jõustub alles pärast klienditeenuse taaskäivitamist.

See taaskäivitamine on tõeline katkestus kõigele, mis klienti kasutab, seega planeerige see koos masina omanikuga. Funktsiooni lubamine ei ava ka iseenesest tulemüüri teed: teenus peab ikkagi olema haldusjaamast kättesaadav, ning hosti tulemüür või ülesvoolu ACL võivad hoida selle kättesaamatuna. Kättesaamatu teenus ei ole tõestus, et luba on õigesti piiritletud, vaid ainult see, et miski muu blokeerib seda.

Kirjutage kavatsetud haldustee juurutamismärkmetesse, sealhulgas port ja aadressivahemik, mis tohib seda kasutada. See märge on ka koht, kuhu kirja panna, kes võimekust küsis ja millal see tuleks tagasi võtta.

Otsustage, kes tohib seda klienti hallata

Sinu omanduses sülearvutis jätke haldamine kohalikku konsooli, kui te ei suuda nimetada masinat, mis vajab kaugjuurdepääsu, ja öelda, miks. Keskhaldatava seadme puhul nimetage administraator, haldustee ja taastamise omanik enne, kui midagi lubate. Küsimus ei ole, kas funktsioon on mugav, vaid kes vastutab seadistuse eest, mille see paljastab.

Käivitage käsud kohaliku teenuse vastu, et muudatus jõuaks teie enda shelli ajalukku, mitte ekraanipildile: vpncmd localhost /client /cmd RemoteDisable lülitab võimekuse välja ja sama käsk koos RemoteEnable lülitab selle sisse. Taaskäivitage seejärel teenus, muidu ei ole säte jõus.

Kui juhend lubab seda esialgse sammuna ilma selgituseta, käsitlege seda lahendamata küsimusena, mitte järgitava juhisena. Küsige, milline haldusjaam peaks seda kasutama, ja kui vastust ei ole, jätke võimekus välja lülitatuks.

Kontrollige haldusjuurdepääsu ja ühenduvust eraldi

Kaks testi vastavad kahele erinevale küsimusele, ja ainult ühe neist käivitamine on viis, kuidas juurutus jõuab kaug halduseni, mida keegi ei kavatsenud.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Esimesed kaks rida viivad kliendi tagasi kohaliku halduse alla ja rakendavad muudatuse. Viimased kaks kinnitavad, et VPN-kontod ja virtuaalsed adapterid on endiselt seadistatud, nagu peakski olema, sest halduse ulatus ja ühenduse olek on sõltumatud sätted. Kui kontode loend tuleb pärast taaskäivitamist tühjalt tagasi, läks midagi muud katki ja kaug halduse säte ei ole selle seletus.

Seejärel testige ühendust ennast kliendist ja kinnitage, et adapter hoiab oodatud aadressi ja marsruute. Õnnestunud vpncmd seanss tõestab juhtimissuhet ega ütle midagi selle kohta, kas liiklus väljub tunnelist.