RemoteEnable nav VPN pieteikšanās: SoftEther pārvaldības robežas

Pamācība saka palaist RemoteEnable un pēc tam savienoties, un tas tiek lasīts tā, it kā šie divi soļi būtu viena veida lieta. Tie nav. RemoteEnable piešķir citai mašīnai atļauju pārvaldīt SoftEther VPN klienta pakalpojumu, kas darbojas šajā datorā. Bet savienošanās ir VPN konta autentifikācija serverī, un tajā vispār nav iesaistīta nekāda pārvaldības atļauja.

Mīts: RemoteEnable ieslēdz VPN

Apjukums rodas no blakusesības. Ceļvedis ieslēdz attālinātu pārvaldību, restartē klienta pakalpojumu, pēc tam savienojas, un savienojums pēc tam darbojas, tāpēc divi soļi izskatās cēloņsakarīgi saistīti. Patiesībā mainījās tas, kas drīkst runāt ar pakalpojumu, nevis tas, vai pakalpojums spēj sasniegt serveri. Izslēdziet attālinātu pārvaldību pareizi konfigurētā klientā, un VPN savienojums tomēr izveidojas.

Komandas palīdzība sākotnējā avotā ir skaidra par tvērumu: attālināta pārvaldība, izmantojot VPN Client Manager vai vpncmd, ārpus localhost. Šajā aprakstā nav minēts ne tunelis, ne konts, ne maršruts. Piešķirtā atļauja ir administratīva piekļuve, un tās priekšmets ir klienta pakalpojums, nevis savienojums.

Trīs identitātes, kas dala vārdu parole

Vecie ceļveži lieto vienu vārdu trim nesaistītiem akreditācijas datiem, un tā izvietojumi beidzas ar noslēpumu, kas ielīmēts nepareizajā laukā.

Klienta pakalpojuma pārvaldības parole aizsargā vietējā SoftEther klienta administrēšanu. VPN konta parole autentificējas serverī saskaņā ar šī servera politiku. Servera sertifikāts nemaz nav parole, bet tas atbild, kuru galapunktu klientam vajadzētu pieņemt. Viena maiņa nemaina pārējos, un vērtības kopēšana starp tiem rada citu konfigurāciju, nevis vienkāršāku.

Administrēšanas paroles opcija tikai attālināti ir pelnījusi otru skatienu, jo tā nosaka, vai paroles prasība attiecas arī uz pārvaldību no vietējās mašīnas. Šī tvēruma sašaurināšana ir apzināta izvēle viena lietotāja klēpjdatoram, nevis apkārtceļš parolei, kuru neviens nav pierakstījis.

Ko patiesībā maina attālinātas pārvaldības ieslēgšana

Izriet divas operatīvas sekas, un abas ir viegli palaist garām kopēšanas-ielīmēšanas ceļvedī. Pārvaldības parole kļūst obligāta, tiklīdz attālinātā administrēšana ir ieslēgta, un jaunā pieejamība stājas spēkā tikai pēc tam, kad klienta pakalpojums ir restartēts.

Šis restarts ir reāls pārtraukums visam, kas izmanto klientu, tāpēc plānojiet to kopā ar mašīnas īpašnieku. Funkcijas ieslēgšana arī pati par sevi neatar ugunsmūra ceļu: pakalpojumam joprojām jābūt sasniedzamam no pārvaldības stacijas, un resursdatora ugunsmūris vai augstāk esošs ACL var turēt to nesasniedzamu. Nesasniedzams pakalpojums nav pierādījums, ka atļauja ir pareizi ierobežota, bet tikai tas, ka kaut kas cits to bloķē.

Ierakstiet paredzēto pārvaldības ceļu izvietošanas piezīmēs, iekļaujot portu un adrešu diapazonu, kam to drīkst izmantot. Šī piezīme ir arī vieta, kur fiksēt, kas lūdza šo iespēju un kad tā jāatsauc.

Izlemiet, kas drīkst pārvaldīt šo klientu

Savā klēpjdatorā turiet administrēšanu vietējā konsolē, ja vien nevarat nosaukt mašīnu, kurai nepieciešama attālināta piekļuve, un pateikt, kāpēc. Centrāli pārvaldītai ierīcei nosauciet administratoru, pārvaldības ceļu un atjaunošanas īpašnieku pirms kaut ko ieslēgt. Jautājums nav par to, vai funkcija ir ērta, bet par to, kas atbild par konfigurāciju, kuru tā atklāj.

Paladiet komandas pret vietējo pakalpojumu, lai izmaiņa nonāktu jūsu pašu apvalka vēsturē, nevis ekrānuzņēmumā: vpncmd localhost /client /cmd RemoteDisable izslēdz iespēju, un tā pati komanda ar RemoteEnable to ieslēdz. Pēc tam restartējiet pakalpojumu, citādi iestatījums nebūs spēkā.

Ja ceļvedis to ieslēdz kā sagatavošanas soli bez paskaidrojuma, uztveriet to kā neatrisinātu jautājumu, nevis kā izpildāmu norādījumu. Pajautājiet, kurai pārvaldības stacijai tā jāizmanto, un, ja atbildes nav, atstājiet iespēju izslēgtu.

Pārbaudiet pārvaldības piekļuvi un savienojamību atsevišķi

Divi testi atbild uz diviem dažādiem jautājumiem, un tikai viena izpildīšana ir ceļš, kā izvietojums beidzas ar attālinātu administrēšanu, ko neviens nav vēlējies.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Pirmās divas rindas atgriež klientu vietējā administrēšanā un piemēro izmaiņu. Pēdējās divas apstiprina, ka VPN konti un virtuālie adapteri joprojām ir konfigurēti, kā tam jābūt, jo pārvaldības tvērums un savienojuma stāvoklis ir neatkarīgi iestatījumi. Ja pēc restarta kontu saraksts atgriežas tukšs, ir salūzis kaut kas cits, un attālinātās pārvaldības iestatījums nav izskaidrojums.

Pēc tam pārbaudiet pašu savienojumu no klienta un apstipriniet, ka adapteris tur gaidīto adresi un maršrutus. Veiksmīga vpncmd sesija pierāda vadības attiecības un neko nepasaka par to, vai trafiks iziet caur tuneli.