RemoteEnable bukan log masuk VPN: menetapkan skop pengurusan SoftEther

Tutorial menyuruh jalankan RemoteEnable dan kemudian sambung, dan ia dibaca seolah-olah kedua-dua langkah itu jenis benda yang sama. Bukan. RemoteEnable memberi mesin lain kebenaran untuk mentadbir perkhidmatan klien SoftEther VPN yang berjalan pada komputer ini. Manakala menyambung ialah akaun VPN yang mengesahkan diri kepada pelayan, dan tiada kebenaran pengurusan terlibat sama sekali.

Mitos: RemoteEnable menghidupkan VPN

Kekeliruan datang daripada kedekatan. Sesuatu panduan menghidupkan pentadbiran jauh, memulakan semula perkhidmatan klien, kemudian menyambung, dan sambungan berfungsi selepas itu, jadi kedua-dua langkah kelihatan berkait secara sebab-akibat. Apa yang sebenarnya berubah ialah siapa yang boleh bercakap dengan perkhidmatan itu, bukan sama ada perkhidmatan boleh mencapai pelayan. Lumpuhkan pentadbiran jauh pada klien yang dikonfigurasikan dengan betul dan sambungan VPN tetap muncul.

Bantuan arahan di sumber asal jelas tentang skop: pentadbiran jauh melalui VPN Client Manager atau vpncmd dari luar localhost. Tiada apa-apa dalam keterangan itu menyebut terowong, akaun atau laluan. Kebenaran yang diberikan ialah jangkauan pentadbiran, dan subjeknya ialah perkhidmatan klien, bukan sambungan.

Tiga identiti yang berkongsi perkataan kata laluan

Panduan lama menggunakan satu perkataan untuk tiga kelayakan yang tidak berkaitan, dan begitulah penggunaan berakhir dengan rahsia yang ditampal di medan yang salah.

Kata laluan pentadbiran perkhidmatan klien melindungi pentadbiran klien SoftEther setempat. Kata laluan akaun VPN mengesahkan diri kepada pelayan mengikut dasar pelayan itu. Sijil pelayan sama sekali bukan kata laluan, tetapi ia menjawab titik akhir mana yang patut diterima oleh klien. Menukar salah satunya tidak mengubah yang lain, dan menyalin nilai antara mereka menghasilkan konfigurasi yang berbeza, bukan yang lebih mudah.

Pilihan jauh-sahaja pada kata laluan pentadbiran wajar ditinjau semula, kerana ia menentukan sama ada keperluan kata laluan turut terpakai pada pentadbiran dari mesin setempat. Menyempitkan skop itu ialah pilihan yang disengajakan untuk komputer riba satu pengguna, bukan jalan pintas bagi kata laluan yang tiada siapa catat.

Apa yang sebenarnya berubah apabila pentadbiran jauh dihidupkan

Dua akibat operasi menyusul, dan kedua-duanya mudah terlepas pandang dalam panduan salin-tampal. Kata laluan pentadbiran menjadi wajib sebaik sahaja pentadbiran jauh dihidupkan, dan ketersediaan baharu hanya berkuat kuasa selepas perkhidmatan klien dimulakan semula.

Permulaan semula itu ialah gangguan sebenar kepada apa sahaja yang menggunakan klien, jadi rancangkannya dengan pemilik mesin. Menghidupkan ciri itu juga tidak membuka laluan firewall dengan sendirinya: perkhidmatan itu masih perlu boleh dicapai dari stesen pentadbiran, dan firewall hos atau ACL di hulu boleh mengekalkannya tidak tercapai. Perkhidmatan yang tidak tercapai bukan bukti bahawa kebenaran itu dibataskan dengan betul, hanya bukti bahawa ada perkara lain yang menghalangnya.

Tuliskan laluan pentadbiran yang dimaksudkan dalam nota penggunaan, termasuk port dan julat alamat yang boleh menggunakannya. Nota itu juga tempat untuk merekod siapa yang meminta keupayaan ini dan bila ia patut ditarik balik.

Tentukan siapa yang boleh mentadbir klien ini

Pada komputer riba milik anda, kekalkan pentadbiran pada konsol setempat melainkan anda boleh menamakan mesin yang memerlukan akses jauh dan menyatakan sebabnya. Bagi peranti yang ditadbir secara berpusat, namakan pentadbir, laluan pentadbiran dan pemilik pemulihan sebelum menghidupkan apa-apa. Persoalannya bukan sama ada ciri itu mudah, tetapi siapa yang bertanggungjawab atas konfigurasi yang didedahkannya.

Jalankan arahan terhadap perkhidmatan setempat supaya perubahan itu masuk ke dalam sejarah shell anda sendiri dan bukan ke dalam tangkapan skrin: vpncmd localhost /client /cmd RemoteDisable mematikan keupayaan itu, dan arahan yang sama dengan RemoteEnable menghidupkannya. Mulakan semula perkhidmatan selepas itu, jika tidak tetapan itu tidak berkuat kuasa.

Jika sesuatu tutorial menghidupkannya sebagai langkah awal tanpa penjelasan, anggap itu sebagai soalan yang belum selesai dan bukan arahan untuk diikuti. Tanyakan stesen pentadbiran mana yang sepatutnya menggunakannya, dan jika tiada jawapan, biarkan keupayaan itu dimatikan.

Sahkan akses pentadbiran dan kesambungan secara berasingan

Dua ujian menjawab dua soalan berbeza, dan menjalankan hanya satu daripadanya ialah cara penggunaan berakhir dengan pentadbiran jauh yang tiada siapa mahukan.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Dua baris pertama mengembalikan klien kepada pentadbiran setempat dan melaksanakan perubahan itu. Dua baris terakhir mengesahkan akaun VPN dan penyesuai maya masih dikonfigurasikan, sebagaimana sepatutnya, kerana skop pentadbiran dan keadaan sambungan ialah tetapan yang berasingan. Jika senarai akaun kembali kosong selepas permulaan semula, ada perkara lain yang rosak dan tetapan pentadbiran jauh bukan penjelasannya.

Kemudian uji sambungan itu sendiri dari klien dan sahkan penyesuai memegang alamat dan laluan yang dijangka. Sesi vpncmd yang berjaya membuktikan hubungan kawalan dan tidak mengatakan apa-apa tentang sama ada trafik keluar melalui terowong.