Профиль подключения SoftEther: проверьте шесть полей перед импортом

Импорт профиля проходит, но аутентификация не удается, потому что файл указывает на Virtual Hub, к которому учетная запись никогда не присоединялась. В файле нет ничего испорченного; он описывает конфигурацию, для которой учетные данные не выдавались. Шесть полей решают, может ли импорт работать: имя хоста, порт, протокол, Virtual Hub, идентичность пользователя и то, не выдали ли вам по ошибке учетные данные администратора. Проверки с первой по третью по порядку охватывают эти поля, а последние две касаются самого файла и того, к чему вы действительно присоединились.

Проверка 1: имя хоста и порт

Прочитайте имя хоста, порт и заявленный метод доступа, прежде чем что-либо импортировать. Собственный прослушиватель SoftEther обычно отвечает на TCP 443, а 992 и 5555 — альтернативы, которые операторы открывают для клиентов за ограничительными сетями. Профиль, нацеленный на порт, который обслуживает веб-сайт или другую службу, терпит неудачу до аутентификации и сообщает об ошибке как о проблеме с учетными данными. Сравните пару с тем, что оператор публикует для этой конечной точки, а не со списком из каталога, который кто-то собрал в прошлом году. Если имя хоста разрешается в адрес, который оператор никогда не упоминает, остановитесь на этом, потому что следующий шаг отправит учетные данные на этот адрес.

Порт 443 — общая территория, поэтому сам порт ничего не доказывает о службе за ним. Клиент SoftEther разделяет их по рукопожатию протокола, и поэтому профиль может указывать на правильный порт и все же завершиться на веб-сервере. Эта ошибка в журнале клиента выглядит как неверный пароль, хотя пароль никогда не проверялся.

Запишите конечную точку как имя хоста, порт и метод, в этом порядке. Эта тройка — то, что можно проверить без подключения, и то, что стоит цитировать, когда вы спрашиваете оператора, работает ли прослушиватель. Все, что вы не можете дополнить из опубликованного источника, остается непроверенным, а не предполагаемым.

Проверка 2: протокол определяет клиент

Сервер, предлагающий несколько методов доступа, не превращает один экспортированный файл в профиль, который может открыть каждый клиент. Each method has its own format, its own client and its own failure mode, а их смешивание порождает ошибки, которые звучат как проблемы с учетными данными. Определите, какой метод заявлен в файле, прежде чем решать, какой клиент его откроет.

Таблица ниже перечисляет обычные порты и то, что на самом деле требует каждый метод. Порты — выбор оператора, поэтому воспринимайте их как значения по умолчанию, а не как факты о конкретном сервере. Собственный профиль SoftEther импортирует клиент SoftEther, пакет ovpn принадлежит OpenVPN, а профили SSTP или L2TP обрабатывает сама операционная система. Установка второго клиента, чтобы открыть файл, который отвергает первый, обычно превращает понятную ошибку в запутанную.

Читайте объявление внутри файла, а не расширение. Файл, названный по OpenVPN, по определению является профилем OpenVPN, тогда как профиль SoftEther — небольшая конфигурация, которую импортирует клиент SoftEther, и эти два не взаимозаменяемы. Если заявленный метод — тот, который вы не можете обслужить, это отвечает на вопрос об импорте.

Проверка 3: концентратор, пользователь и роль администратора

Для собственного доступа профиль указывает Virtual Hub и пользователя в нем. A hub is a logical VPN server instance with its own users and its own settings, а пользователь является членом этого концентратора с собственной аутентификацией. Ни то, ни другое не является администрированием сервера, которое управляет прослушивателями, концентраторами и каждым пользователем развертывания. Клиентский профиль никогда не должен приходить с этим контролем в комплекте. Когда кто-то присылает вам учетные данные администратора, чтобы клиент заработал, конфигурация неверна, независимо от того, подключается он или нет.

Держите эти три вещи раздельно, документируя подключение, потому что отзываются они по-разному. Удаление пользователя концентратора прекращает доступ одного человека и оставляет остальную часть развертывания нетронутой, тогда как ротация учетных данных администратора затрагивает все. Эта разница — также причина возражать против одного общего пользователя концентратора для команды, поскольку одни учетные данные означают одно событие отзыва для всех.

Проверка 4: файл так же чувствителен, как и то, что он несет

В зависимости от формата профиль может нести сохраненный пароль, сертификат или предварительно разделенный ключ. Относитесь к экспорту как к секрету, пока он существует, потому что копия, которую вы прикрепляете к заявке, — это копия, которую может импортировать кто-то другой. Удалите учетные данные перед передачей или поделитесь заново созданным профилем с новым секретом. Чувствительность файла происходит из его содержимого, а не из расширения или размера.

Подтверждайте конечную точку через канал, который публикует оператор, а метку из каталога считайте непроверенной. Флаг страны и имя хоста в публичном списке узлов выбирает тот, кто отправил запись, поэтому ни то, ни другое не устанавливает, кто управляет сервером. Если профиль пришел из публичного каталога, это повод для большего числа проверок, а не меньшего.

Запишите, откуда пришел файл и когда вы его получили. Когда подключение позже ведет себя иначе, источник — первое, что вы сравниваете с проверенной конечной точкой. Профиль без происхождения — это профиль, который вы не можете проверить.

Архивируйте копию, которую вы проверили, а не ту, которую нашли позже. Два файла с одинаковым именем и разными конечными точками — так работающий импорт превращается в обращение в поддержку. Держите проверенную копию рядом с заметкой о ее происхождении.

Проверка 5: проверяйте приложение, а не индикатор состояния

После импорта проверьте приложение, которое вам действительно нужно, а не индикатор подключения. Успешная аутентификация доказывает, что учетные данные работают, а не что ожидаемые маршруты или DNS пришли с сеансом. Подключитесь, а затем воспользуйтесь службой, до которой профиль должен был доходить.

Изучите назначенные маршруты и DNS-серверы и отметьте, какие назначения обходят туннель, если в замысле есть разделение. Затем повторите с одним назначением, которое должно быть исключено, потому что раздельный туннель, отправляющий все через туннель, все равно проходит тест с одним назначением. Если частный ресурс не работает, подозреваемый — маршрут, а не учетные данные. Запишите четыре результата: аутентификация пройдена, служба доступна, маршруты как ожидалось, исключенное назначение исключено.

Сравните все четыре результата с тем, что оператор обещал для этого концентратора. Сеанс, который проходит аутентификацию, когда исключенное назначение тоже доступно, означает, что разделение не действует и профиль здесь ни при чем. Исправьте ожидание или политику концентратора, затем повторите четыре проверки в том же порядке.