„RemoteEnable“ nėra VPN prisijungimas: „SoftEther“ administravimo ribos

Pamoka sako paleisti RemoteEnable ir tada prisijungti, ir tai skaitoma taip, tarsi tie du žingsniai būtų to paties pobūdžio dalykas. Jie nėra. RemoteEnable suteikia kitai mašinai teisę administruoti šiame kompiuteryje veikiančią „SoftEther VPN“ kliento tarnybą. O prisijungimas yra VPN paskyra, kuri autentifikuojasi serveryje, ir jame visiškai nedalyvauja jokios administravimo teisės.

Mitas: „RemoteEnable“ įjungia VPN

Sumišimas kyla dėl gretimumo. Vadovas įjungia nuotolinį administravimą, paleidžia kliento tarnybą iš naujo, tada prisijungia, ir ryšys po to veikia, todėl du žingsniai atrodo priežastiniu ryšiu susieti. Iš tikrųjų pasikeitė tai, kas gali kalbėtis su tarnyba, o ne tai, ar tarnyba pasiekia serverį. Išjunkite nuotolinį administravimą tinkamai sukonfigūruotame kliente, ir VPN ryšys vis tiek užsimezga.

Komandos žinynas pradiniame šaltinyje aiškiai nusako apimtį: nuotolinis administravimas per „VPN Client Manager“ arba vpncmd iš už localhost ribų. Toje aprašyme nėra nei tunelio, nei paskyros, nei maršruto. Suteikiama teisė yra administracinė prieiga, o jos objektas yra kliento tarnyba, o ne ryšys.

Trys tapatybės, dalijančios žodį slaptažodis

Seni vadovai vartoja vieną žodį trims nesusijusiems prisijungimo duomenims, ir taip diegimai baigiasi paslaptimi, įklijuota į netinkamą lauką.

Kliento tarnybos administravimo slaptažodis saugo vietinio „SoftEther“ kliento administravimą. VPN paskyros slaptažodis autentifikuojasi serveryje pagal to serverio politiką. Serverio sertifikatas visiškai nėra slaptažodis, bet jis atsako, kurį galinį tašką klientas turėtų priimti. Pakeitus vieną jų, kiti nesikeičia, o reikšmės kopijavimas tarp jų sukuria kitokią konfigūraciją, o ne paprastesnę.

Tik nuotolinio administravimo parinktis administravimo slaptažodyje verta antro žvilgsnio, nes ji lemia, ar slaptažodžio reikalavimas taip pat taikomas administravimui iš vietinės mašinos. Šios apimties susiaurinimas yra sąmoningas vieno vartotojo nešiojamojo kompiuterio pasirinkimas, o ne apeities kelias slaptažodžiui, kurio niekas neužsirašė.

Ką iš tikrųjų keičia nuotolinio administravimo įjungimas

Išplaukia dvi operacinės pasekmės, ir abi lengva praleisti kopijavimo-įklijavimo vadove. Administravimo slaptažodis tampa privalomas vos įjungus nuotolinį administravimą, o naujas prieinamumas įsigalioja tik po to, kai kliento tarnyba paleidžiama iš naujo.

Tas paleidimas iš naujo yra tikras pertraukimas viskam, kas naudoja klientą, todėl planuokite jį su mašinos savininku. Funkcijos įjungimas taip pat pats savaime neatveria kelio per ugniagesį: tarnyba vis tiek turi būti pasiekiama iš administravimo stoties, o prieglobos ugniagesys ar aukštesnės grandies ACL gali palikti ją nepasiekiamą. Nepasiekiama tarnyba nėra įrodymas, kad teisė teisingai apibrėžta, o tik tai, kad kažkas kita ją blokuoja.

Užrašykite numatytą administravimo kelią diegimo pastabose, įskaitant prievadą ir adresų diapazoną, kuriam leidžiama jį naudoti. Toje pastaboje taip pat fiksuojama, kas paprašė šios galimybės ir kada ji turėtų būti atšaukta.

Nuspręskite, kas gali administruoti šį klientą

Savo paties nešiojamajame kompiuteryje administravimą palikite vietinėje konsolėje, jei negalite įvardyti mašinos, kuriai reikia nuotolinės prieigos, ir pasakyti kodėl. Centraliai administruojamam įrenginiui įvardykite administratorių, administravimo kelią ir atkūrimo savininką prieš ką nors įjungdami. Klausimas ne tai, ar funkcija patogi, o tai, kas atsakingas už konfigūraciją, kurią ji atskleidžia.

Vykdykite komandas vietinei tarnybai, kad pakeitimas atsidurtų jūsų pačių apvalkalo istorijoje, o ne ekrano nuotraukoje: vpncmd localhost /client /cmd RemoteDisable išjungia galimybę, o ta pati komanda su RemoteEnable ją įjungia. Po to paleiskite tarnybą iš naujo, kitaip nustatymas neveiks.

Jei vadovas įjungia ją kaip parengiamąjį žingsnį be paaiškinimo, traktuokite tai kaip neišspręstą klausimą, o ne kaip nurodymą, kurį reikia vykdyti. Paklauskite, kuri administravimo stotis turėtų ją naudoti, ir jei atsakymo nėra, palikite galimybę išjungtą.

Administravimo prieigą ir jungiamumą tikrinkite atskirai

Du testai atsako į du skirtingus klausimus, ir vykdyti tik vieną iš jų yra kelias, kuriuo diegimas baigiasi niekieno nenorėtu nuotoliniu administravimu.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Pirmosios dvi eilutės grąžina klientą į vietinį administravimą ir pritaiko pakeitimą. Paskutinės dvi patvirtina, kad VPN paskyros ir virtualūs adapteriai vis dar sukonfigūruoti, kaip ir turėtų būti, nes administravimo apimtis ir ryšio būsena yra nepriklausomi nustatymai. Jei po paleidimo iš naujo paskyrų sąrašas grįžta tuščias, sugedo kažkas kita, ir nuotolinio administravimo nustatymas nėra paaiškinimas.

Tada išbandykite patį ryšį iš kliento ir patvirtinkite, kad adapteris laiko laukiamą adresą ir maršrutus. Sėkminga vpncmd sesija įrodo valdymo ryšį ir nieko nesako apie tai, ar srautas išeina per tunelį.