Cosa offre davvero SoftEther VPN e come vi accedono i client

SoftEther non è un servizio a cui ci si iscrive; è software che qualcuno esegue, e una sola installazione può esporre più metodi di connessione contemporaneamente. Quale usare dipende da ciò che l’operatore ha attivato, da ciò che il dispositivo supporta e dalla necessità di un percorso di rete completo o di una sola applicazione. Leggere queste tre risposte prima di installare qualcosa.

Prima decisione: cosa ha attivato l’operatore?

SoftEther documenta una modalità SSL-VPN nativa, accesso compatibile con OpenVPN, L2TP/IPsec e MS-SSTP, e gli effettivi listener dipendono dal deployment e dalla versione del software. Un server che risponde su una porta potrebbe non rispondere su un’altra. Chiedete quale metodo fornisce l’operatore invece di presupporre che il nome più recente nel menu del client sia quello giusto.

Il metodo di connessione e il formato del profilo non sono intercambiabili.

Un client OpenVPN ha bisogno di un profilo compatibile, un client IPsec ha bisogno delle proprie credenziali e dei propri parametri, e il client nativo ha bisogno dell’indirizzo del server e di un nome di concentratore. Mescolarli produce un errore di autenticazione che sembra esattamente una password sbagliata.

Seconda decisione: cosa supporta il dispositivo?

Telefoni e tablet spesso non hanno il client nativo e possono offrire al suo posto L2TP/IPsec o un profilo compatibile. È una decisione di supporto, non una riduzione. Scegliete il metodo supportato dalla piattaforma e attivato dall’operatore, e aspettatevi che i campi differiscano. Un metodo che esiste solo su un desktop non è una soluzione per un dispositivo che non può installarlo.

Una password che funziona in un metodo non è automaticamente il valore corretto in un altro. Alcuni metodi portano un nome di concentratore o di tenant, altri vogliono una chiave precondivisa, altri usano certificati. Copiare un valore funzionante da un altro client è il modo più comune di produrre un errore di credenziali che nessuno sa spiegare.

Annotate quale metodo usa il profilo funzionante, perché conterà al prossimo cambio di dispositivo.

Terza decisione: rete intera o un solo servizio?

Un deployment può offrire tre forme: un’uscita internet generale, rotte verso sottoreti private selezionate, oppure un segmento Ethernet in bridge. Sono prodotti diversi dal punto di vista dell’utente, e la scelta si fa sul server invece di essere negoziata dal client. Il bridging estende il traffico broadcast e il confine di fiducia, quindi deve seguire un requisito reale e non la comodità.

Se serve un solo sito web privato, una rotta e una risposta DNS di solito bastano. Estendere un intero segmento Ethernet per raggiungere un solo servizio rende ogni broadcast e ogni protocollo di scoperta parte della rete remota. Chiedete il percorso più stretto che funziona e lasciate che l’operatore decida se il bridging è giustificato.

Un accesso riuscito al concentratore sbagliato resta una connessione sbagliata.

Cosa cambia un concentratore virtuale

I concentratori virtuali organizzano le reti logiche del server, e il concentratore assegnato a un account influenza le risorse che quell’account raggiunge. Il nome di un concentratore non è un’etichetta di paese di uscita e non è un livello di autorizzazione. È un contenitore di rete, e l’operatore vi associa gli account. Due account sullo stesso server possono quindi finire in reti che non condividono nulla.

Usate il nome di concentratore fornito dall’operatore invece di cercarne uno familiare.

Per un amministratore, l’appartenenza al concentratore e il collegamento ad altre reti richiedono regole di accesso proprie. Un utente che entra nel concentratore giusto può comunque essere bloccato dalla politica del concentratore, e a un utente nel concentratore sbagliato può essere permesso tutto ciò che quel concentratore offre.

Confermate prima di installare

Ponete tre domande: quale metodo è attivo, quale profilo o parametri richiede quel metodo e a cosa può accedere l’account. Poi installate solo il componente per il vostro ruolo, perché il pacchetto server non crea una connessione in uscita e il pacchetto client non amministra il gateway. Due risposte su tre non bastano per scegliere un componente, e indovinare costa più tempo che chiedere.

Annotate il nome dell’operatore accanto al profilo, perché un profilo senza proprietario è un profilo che nessuno può riparare.

Due server SoftEther possono comportarsi in modo molto diverso, quindi un profilo funzionante preso da un forum è una prova sul deployment di qualcun altro, non sul vostro.