RemoteEnable ورود به VPN نیست: تعیین محدوده مدیریت SoftEther

آموزش می‌گوید RemoteEnable را اجرا کنید و سپس متصل شوید، و این‌طور خوانده می‌شود که گویی این دو مرحله از یک جنس‌اند. چنین نیست. RemoteEnable به ماشین دیگری اجازه می‌دهد سرویس کلاینت SoftEther VPN را که روی این رایانه اجرا می‌شود مدیریت کند. اما اتصال، حسابی VPN است که خود را به سرور احراز هویت می‌کند، و هیچ اجازه مدیریتی در آن دخیل نیست.

افسانه: RemoteEnable VPN را روشن می‌کند

سردرگمی از مجاورت می‌آید. یک راهنما مدیریت از راه دور را فعال می‌کند، سرویس کلاینت را دوباره راه‌اندازی می‌کند، سپس متصل می‌شود، و اتصال بعد از آن کار می‌کند، پس دو مرحله وابسته علّی به نظر می‌رسند. آنچه واقعاً تغییر کرده این است که چه کسی می‌تواند با سرویس سخن بگوید، نه اینکه آیا سرویس می‌تواند به سروری برسد. مدیریت از راه دور را روی کلاینتی که درست پیکربندی شده غیرفعال کنید و اتصال VPN باز هم برقرار می‌شود.

راهنمای فرمان در منبع بالادستی درباره دامنه صریح است: مدیریت از راه دور از طریق VPN Client Manager یا vpncmd از بیرون localhost. هیچ‌چیز در آن توضیح به تونل، حساب یا مسیر اشاره نمی‌کند. اجازه‌ای که داده می‌شود دسترسی مدیریتی است و موضوع آن سرویس کلاینت است، نه اتصال.

سه هویتی که واژه گذرواژه را شریک‌اند

راهنماهای قدیمی یک واژه را برای سه اعتبارنامه بی‌ربط به کار می‌برند، و این‌گونه است که استقرارها با رازی چسبانده‌شده در فیلد نادرست پایان می‌یابند.

گذرواژه مدیریت سرویس کلاینت از مدیریت کلاینت محلی SoftEther محافظت می‌کند. گذرواژه حساب VPN خود را طبق سیاست همان سرور به سرور احراز هویت می‌کند. گواهی سرور اصلاً گذرواژه نیست، اما پاسخ می‌دهد که کلاینت باید کدام نقطه پایانی را بپذیرد. تغییر یکی از آنها دیگری را تغییر نمی‌دهد، و کپی کردن یک مقدار میان آنها پیکربندی متفاوتی می‌سازد، نه ساده‌تر.

گزینه تنها از راه دور در گذرواژه مدیریت ارزش نگاه دومی دارد، زیرا تعیین می‌کند آیا الزام گذرواژه برای مدیریت از ماشین محلی هم اعمال می‌شود. باریک کردن این دامنه انتخابی آگاهانه برای لپ‌تاپ تک‌کاربره است، نه راهی برای دور زدن گذرواژه‌ای که هیچ‌کس ثبت نکرده.

فعال کردن مدیریت از راه دور واقعاً چه چیزی را تغییر می‌دهد

دو پیامد عملیاتی دارد، و هر دو در راهنمای کپی و چسباندن آسان از چشم می‌افتند. گذرواژه مدیریت به‌محض روشن شدن مدیریت از راه دور اجباری می‌شود، و دسترسی جدید تنها پس از راه‌اندازی دوباره سرویس کلاینت اعمال می‌شود.

این راه‌اندازی دوباره وقفه‌ای واقعی برای هر چیزی است که از کلاینت استفاده می‌کند، پس آن را با کسی که مالک ماشین است برنامه‌ریزی کنید. فعال کردن این ویژگی هم به‌خودی‌خود مسیری در دیوار آتش باز نمی‌کند: سرویس باید همچنان از ایستگاه مدیریت قابل دسترسی باشد، و یک دیوار آتش میزبان یا یک ACL فرادستی می‌تواند آن را غیرقابل دسترس نگه دارد. سرویس غیرقابل دسترس شاهدی بر درست محدود شدن اجازه نیست، تنها نشان می‌دهد چیز دیگری مانع آن است.

مسیر مدیریت موردنظر را در یادداشت‌های استقرار بنویسید، همراه با پورت و محدوده نشانی‌هایی که مجاز به استفاده از آن‌اند. همان یادداشت جایی است که ثبت می‌کنید چه کسی این قابلیت را خواسته و چه زمانی باید پس گرفته شود.

تصمیم بگیرید چه کسی مجاز به مدیریت این کلاینت است

روی لپ‌تاپی که مالک آن هستید، مدیریت را روی کنسول محلی نگه دارید مگر آنکه بتوانید ماشینی را که به دسترسی از راه دور نیاز دارد نام ببرید و دلیلش را بگویید. برای دستگاهی که به‌صورت مرکزی مدیریت می‌شود، پیش از فعال کردن هر چیز، مدیر، مسیر مدیریت و مالک بازیابی را نام ببرید. پرسش این نیست که آیا این ویژگی راحت است، بلکه این است که چه کسی در قبال پیکربندی‌ای که آشکار می‌کند پاسخ‌گوست.

فرمان‌ها را روی سرویس محلی اجرا کنید تا تغییر در تاریخچه شل خودتان ثبت شود نه در یک تصویر صفحه: vpncmd localhost /client /cmd RemoteDisable قابلیت را خاموش می‌کند و همان فرمان با RemoteEnable آن را روشن می‌کند. پس از آن سرویس را دوباره راه‌اندازی کنید، وگرنه تنظیم اعمال نمی‌شود.

اگر آموزشی آن را به‌عنوان گامی مقدماتی و بدون توضیح فعال می‌کند، با آن مانند پرسشی حل‌نشده رفتار کنید نه دستوری برای پیروی. بپرسید کدام ایستگاه مدیریت قرار است از آن استفاده کند، و اگر پاسخی نبود، قابلیت را غیرفعال بگذارید.

دسترسی مدیریت و اتصال‌پذیری را جداگانه بررسی کنید

دو آزمون به دو پرسش متفاوت پاسخ می‌دهند، و اجرای تنها یکی از آنها همان راهی است که یک استقرار با مدیریت از راه دوری که هیچ‌کس نمی‌خواست پایان می‌یابد.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

دو خط نخست کلاینت را به مدیریت محلی بازمی‌گردانند و تغییر را اعمال می‌کنند. دو خط آخر تأیید می‌کنند که حساب‌های VPN و آداپتورهای مجازی همچنان پیکربندی شده‌اند، که باید هم باشند، زیرا دامنه مدیریت و وضعیت اتصال تنظیمات مستقلی هستند. اگر فهرست حساب‌ها پس از راه‌اندازی دوباره خالی برگردد، چیز دیگری خراب شده و تنظیم مدیریت از راه دور توضیح آن نیست.

سپس خود اتصال را از کلاینت بیازمایید و تأیید کنید که آداپتور نشانی و مسیرهای موردانتظار را نگه می‌دارد. یک نشست موفق vpncmd رابطه کنترلی را ثابت می‌کند و هیچ نمی‌گوید درباره اینکه آیا ترافیک از تونل خارج می‌شود.