RemoteEnable ei ole VPN-kirjautuminen: SoftEtherin hallinnan rajaaminen

Ohje sanoo, että RemoteEnable suoritetaan ja sitten yhdistetään, ja se luetaan ikään kuin ne kaksi vaihetta olisivat samanlaisia asioita. Ne eivät ole. RemoteEnable antaa toiselle koneelle luvan hallita tällä tietokoneella käynnissä olevaa SoftEther VPN -asiakaspalvelua. Yhdistäminen on VPN-tili, joka todentaa itsensä palvelimelle, eikä siinä ole lainkaan mukana mitään hallintaoikeutta.

Myytti: RemoteEnable kytkee VPN:n päälle

Sekaannus syntyy vierekkäisyydestä. Opas ottaa etähallinnan käyttöön, käynnistää asiakaspalvelun uudelleen, yhdistää sitten, ja yhteys toimii sen jälkeen, joten kaksi vaihetta näyttävät syy-yhteydessä olevilta. Se, mikä tosiasiassa muuttui, on kuka saa puhua palvelulle, ei se, pääseekö palvelu palvelimelle. Poista etähallinta käytöstä oikein määritetystä asiakkaasta, ja VPN-yhteys syntyy silti.

Komennon ohje alkuperäisprojektissa on selvä laajuudesta: etähallinta VPN Client Managerin tai vpncmd:n kautta localhostin ulkopuolelta. Mikään siinä kuvauksessa ei mainitse tunnelia, tiliä tai reittiä. Myönnettävä oikeus on hallinnollinen ulottuvuus, ja sen kohteena on asiakaspalvelu eikä yhteys.

Kolme identiteettiä, jotka jakavat sanan salasana

Vanhat oppaat käyttävät yhtä sanaa kolmelle toisistaan riippumattomalle tunnukselle, ja niin käyttöönotot päätyvät salaisuuteen, joka on liitetty väärään kenttään.

Asiakaspalvelun hallintasalasana suojaa paikallisen SoftEther-asiakkaan hallintaa. VPN-tilin salasana todentaa itsensä palvelimelle kyseisen palvelimen käytännön mukaisesti. Palvelimen varmenne ei ole lainkaan salasana, mutta se vastaa siihen, minkä päätepisteen asiakkaan pitäisi hyväksyä. Yhden muuttaminen ei muuta muita, ja arvon kopioiminen niiden välillä tuottaa erilaisen kokoonpanon eikä yksinkertaisempaa.

Hallintasalasanan vain-etä-vaihtoehto ansaitsee toisen silmäyksen, koska se ratkaisee, koskeeko salasanavaatimus myös paikalliselta koneelta tapahtuvaa hallintaa. Tämän laajuuden kaventaminen on tietoinen valinta yhden käyttäjän kannettavalle, ei kiertotie salasanalle, jota kukaan ei kirjannut.

Mitä etähallinnan käyttöönotto oikeastaan muuttaa

Seuraa kaksi toiminnallista seurausta, ja molemmat on helppo jättää huomaamatta kopioi ja liitä -oppaassa. Hallintasalasanasta tulee pakollinen heti, kun etähallinta kytketään päälle, ja uusi käytettävyys tulee voimaan vasta, kun asiakaspalvelu on käynnistetty uudelleen.

Tuo uudelleenkäynnistys on todellinen keskeytys kaikelle, mikä käyttää asiakasta, joten suunnittele se koneen omistajan kanssa. Ominaisuuden käyttöönotto ei myöskään itsessään avaa palomuurireittiä: palvelun on edelleen oltava tavoitettavissa hallinta-asemalta, ja isäntäkoneen palomuuri tai ylävirran ACL voi pitää sen tavoittamattomana. Tavoittamaton palvelu ei ole todiste siitä, että oikeus on rajattu oikein, vain siitä, että jokin muu estää sen.

Kirjoita aiottu hallintareitti käyttöönoton muistiinpanoihin, mukaan lukien portti ja osoitealue, joka saa käyttää sitä. Sama muistiinpano on paikka kirjata, kuka ominaisuutta pyysi ja milloin se pitäisi peruuttaa.

Päätä, kuka saa hallita tätä asiakasta

Omistamallasi kannettavalla pidä hallinta paikallisessa konsolissa, ellet pysty nimeämään konetta, joka tarvitsee etäyhteyden, ja sanomaan miksi. Keskitetysti hallitulle laitteelle nimeä ylläpitäjä, hallintareitti ja palautuksen omistaja ennen kuin otat mitään käyttöön. Kysymys ei ole siitä, onko ominaisuus kätevä, vaan siitä, kuka vastaa kokoonpanosta, jonka se paljastaa.

Suorita komennot paikallista palvelua vasten, jotta muutos päätyy omaan komentohistoriaasi eikä kuvakaappaukseen: vpncmd localhost /client /cmd RemoteDisable kytkee ominaisuuden pois ja sama komento RemoteEnablen kanssa kytkee sen päälle. Käynnistä palvelu sen jälkeen uudelleen, tai asetus ei ole voimassa.

Jos opas ottaa sen käyttöön alustavana vaiheena ilman selitystä, kohtele sitä ratkaisemattomana kysymyksenä äläkä noudatettavana ohjeena. Kysy, minkä hallinta-aseman on tarkoitus käyttää sitä, ja jos vastausta ei ole, jätä ominaisuus pois käytöstä.

Tarkista hallintayhteys ja yhteydet erikseen

Kaksi testiä vastaa kahteen eri kysymykseen, ja vain toisen niistä suorittaminen on se tapa, jolla käyttöönottoon jää etähallinta, jota kukaan ei tarkoittanut.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Kaksi ensimmäistä riviä palauttavat asiakkaan paikallisen hallinnan alle ja soveltavat muutoksen. Kaksi viimeistä vahvistavat, että VPN-tilit ja virtuaalisovittimet ovat edelleen määritettyinä, kuten niiden pitäisi ollakin, koska hallinnan laajuus ja yhteyden tila ovat toisistaan riippumattomia asetuksia. Jos tililuettelo palaa tyhjänä uudelleenkäynnistyksen jälkeen, jotain muuta meni rikki eikä etähallinnan asetus ole selitys.

Testaa sitten itse yhteys asiakkaalta ja varmista, että sovitin pitää odotetun osoitteen ja reitit. Onnistunut vpncmd-istunto todistaa hallintasuhteen eikä kerro mitään siitä, kulkeeko liikenne tunnelin kautta.