RemoteEnable не е најава за VPN: одредување на опсегот на управување со SoftEther

Упатството вели да се изврши RemoteEnable и потоа да се поврзете, и тоа се чита како двата чекора да се ист вид работа. Не се. RemoteEnable ѝ дава на друга машина дозвола да ја администрира клиентската услуга SoftEther VPN што работи на овој компјутер. А поврзувањето е VPN сметка што се автентицира на сервер, и во него воопшто не учествува никаква дозвола за управување.

Мит: RemoteEnable го вклучува VPN-от

Збунетоста доаѓа од соседството. Упатство вклучува далечинско управување, ја рестартира клиентската услуга, потоа се поврзува, и врската работи потоа, па двата чекора изгледаат причинско-последично поврзани. Она што навистина се променило е кој смее да разговара со услугата, а не дали услугата може да стигне до сервер. Исклучете го далечинското управување на правилно конфигуриран клиент и VPN врската сепак се воспоставува.

Помошта за командата во изворот е јасна за опсегот: далечинско управување преку VPN Client Manager или vpncmd од надвор од localhost. Ништо во тој опис не споменува тунел, сметка или рута. Дозволата што се дава е административен дофат, а нејзин предмет е клиентската услуга, а не врската.

Три идентитети што го делат зборот лозинка

Старите упатства користат еден збор за три неповрзани акредитиви, и токму така распоредувањата завршуваат со тајна залепена во погрешното поле.

Лозинката за управување со клиентската услуга го штити администрарањето на локалниот клиент SoftEther. Лозинката на VPN сметката се автентицира на сервер според политиката на тој сервер. Сертификатот на серверот воопшто не е лозинка, но тој одговара кој крајен точка треба да ја прифати клиентот. Промената на едното не ги менува другите, а копирањето вредност меѓу нив создава друга конфигурација, а не поедноставна.

Опцијата само-оддалечено кај лозинката за управување заслужува втор поглед, бидејќи таа одлучува дали барањето за лозинка важи и за управување од локалната машина. Стеснувањето на тој опсег е свесен избор за преносен компјутер на еден корисник, а не заобиколен пат за лозинка што никој не ја запишал.

Што всушност менува вклучувањето на далечинското управување

Следуваат две оперативни последици, и двете лесно се пропуштаат во упатство за копирање и вметнување. Лозинката за управување станува задолжителна штом се вклучи далечинското администрарање, а новата достапност стапува во сила само откако клиентската услуга ќе се рестартира.

Тоа рестартирање е вистинско прекинување за сѐ што го користи клиентот, затоа планирајте го со тој што ја поседува машината. Вклучувањето на функцијата исто така само по себе не отвора пат низ огнениот ѕид: услугата сѐ уште мора да биде достапна од станицата за управување, а огнен ѕид на домаќинот или ACL повисоко може да ја задржат недостапна. Недостапната услуга не е доказ дека дозволата е правилно ограничена, туку само дека нешто друго ја блокира.

Запишете го предвидениот пат за управување во белешките за распоредување, вклучувајќи го портот и опсегот адреси што смеат да го користат. Таа белешка е и местото каде што се запишува кој ја побарал можноста и кога треба да се повлече.

Одлучете кој смее да управува со овој клиент

На преносен компјутер што е ваш, држете го администрарањето на локалната конзола, освен ако не можете да ја именувате машината што ѝ треба далечински пристап и да кажете зошто. За уред што се администрира централно, именувајте го администраторот, патот за управување и сопственикот на обновувањето пред да вклучите нешто. Прашањето не е дали функцијата е удобна, туку кој одговара за конфигурацијата што таа ја изложува.

Извршете ги командите врз локалната услуга за промената да заврши во вашата сопствена историја на школка, а не на слика од екранот: vpncmd localhost /client /cmd RemoteDisable ја исклучува можноста, а истата команда со RemoteEnable ја вклучува. Потоа рестартирајте ја услугата, инаку поставката нема да важи.

Ако упатство ја вклучува како подготвителен чекор без објаснување, третирајте го тоа како нерешено прашање, а не како инструкција за следење. Прашајте која станица за управување треба да ја користи, и ако нема одговор, оставете ја можноста исклучена.

Проверете го пристапот за управување и поврзливоста одделно

Два теста одговараат на две различни прашања, и извршувањето само на еден од нив е патот по кој распоредувањето завршува со далечинско администрарање што никој не го сакал.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Првите две линии го враќаат клиентот под локално администрарање и ја применуваат промената. Последните две потврдуваат дека VPN сметките и виртуелните адаптери сѐ уште се конфигурирани, како што и треба да бидат, бидејќи опсегот на управување и состојбата на врската се независни поставки. Ако по рестартирањето списокот со сметки се врати празен, нешто друго се расипало и поставката за далечинско управување не е објаснувањето.

Потоа тестирајте ја самата врска од клиентот и потврдете дека адаптерот ја држи очекуваната адреса и рутите. Успешна сесија на vpncmd докажува контролен однос и не кажува ништо за тоа дали сообраќајот излегува низ тунелот.