RemoteEnable nie je prihlásenie do VPN: vymedzenie správy SoftEtheru

Návod hovorí spustiť RemoteEnable a potom sa pripojiť, a číta sa to tak, akoby tie dva kroky boli rovnaký druh veci. Nie sú. RemoteEnable dáva inému počítaču oprávnenie spravovať klientsku službu SoftEther VPN, ktorá beží na tomto počítači. A pripojenie je účet VPN, ktorý sa overuje voči serveru, a žiadne oprávnenie na správu v ňom nevystupuje.

Mýtus: RemoteEnable zapína VPN

Zmatek pramení zo susedstva. Návod zapne vzdialenú správu, reštartuje klientsku službu, potom sa pripojí, a pripojenie potom funguje, takže oba kroky vyzerajú príčinne spojené. Čo sa skutočne zmenilo, je kto smie hovoriť so službou, nie to, či sa služba dostane na server. Vypnite vzdialenú správu na správne nastavenom klientovi a pripojenie VPN stále vznikne.

Pomocník príkazu v pôvodnom zdroji je o rozsahu explicitný: vzdialená správa cez VPN Client Manager alebo vpncmd z iného miesta ako localhost. V tom popise nie je zmienka o tuneli, účte ani trase. Udeľované oprávnenie je administratívny dosah a jeho predmetom je klientska služba, nie pripojenie.

Tri identity, ktoré zdieľajú slovo heslo

Staré návody používajú jedno slovo pre tri nesúvisiace údaje, a práve tak skončia nasadenia s tajomstvom vloženým do nesprávneho poľa.

Heslo na správu klientskej služby chráni administráciu miestneho klienta SoftEther. Heslo účtu VPN sa overuje voči serveru podľa zásad toho servera. Certifikát servera nie je vôbec heslo, ale odpovedá na otázku, ktorý koncový bod má klient prijať. Zmena jedného z nich nemení ostatné a kopírovanie hodnoty medzi nimi vytvorí inú konfiguráciu, nie jednoduchšiu.

Možnosť iba vzdialene pri hesle na správu si zaslúži druhý pohľad, pretože rozhoduje, či sa požiadavka na heslo vzťahuje aj na správu z miestneho počítača. Zúženie tohto rozsahu je zámerná voľba pre notebook jedného používateľa, nie obchádzka pre heslo, ktoré si nikto nezapísal.

Čo zapnutie vzdialenej správy naozaj mení

Vyplývajú z toho dva prevádzkové dôsledky a oba sa v návode na kopírovanie a vkladanie ľahko prehliadnu. Heslo na správu sa stane povinným, hneď ako sa zapne vzdialená administrácia, a nová dostupnosť nadobudne účinnosť až po reštarte klientskej služby.

Tento reštart je skutočné prerušenie pre všetko, čo klienta používa, preto ho naplánujte s tým, komu počítač patrí. Zapnutie funkcie tiež samo o sebe neotvorí cestu cez bránu firewall: služba musí byť stále dostupná z riadiacej stanice a firewall hostiteľa alebo ACL vyššie v sieti ju môžu udržať nedostupnú. Nedostupná služba nie je dôkazom, že oprávnenie je správne vymedzené, len že ju blokuje niečo iné.

Zapíšte zamýšľanú cestu správy do poznámok k nasadeniu, vrátane portu a rozsahu adries, ktoré ju smú používať. Tá poznámka je aj miestom, kde zaznamenáte, kto schopnosť vyžiadal a kedy sa má odobrať.

Rozhodnite, kto smie spravovať tohto klienta

Na notebooku, ktorý vlastníte, držte administráciu na miestnej konzole, ak nedokážete pomenovať počítač, ktorý potrebuje vzdialený prístup, a povedať prečo. Pri zariadení spravovanom centrálne pomenujte správcu, cestu správy a vlastníka obnovy, než čokoľvek zapnete. Otázka nie je, či je funkcia pohodlná, ale kto zodpovedá za konfiguráciu, ktorú odhaľuje.

Spúšťajte príkazy proti miestnej službe, aby zmena skončila vo vašej vlastnej histórii shellu a nie na snímke obrazovky: vpncmd localhost /client /cmd RemoteDisable schopnosť vypne a rovnaký príkaz s RemoteEnable ju zapne. Potom službu reštartujte, inak nastavenie nebude platiť.

Ak ju návod zapína ako prípravný krok bez vysvetlenia, berte to ako nevyriešenú otázku, nie ako pokyn na vykonanie. Spýtajte sa, ktorá riadiaca stanica ju má používať, a ak odpoveď nie je, nechajte schopnosť vypnutú.

Overujte administratívny prístup a konektivitu oddelene

Dva testy odpovedajú na dve rôzne otázky a spustenie len jedného z nich je spôsob, akým nasadenie skončí so vzdialenou administráciou, ktorú nikto nechcel.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Prvé dva riadky vracajú klienta pod miestnu správu a uplatňujú zmenu. Posledné dva potvrdzujú, že účty VPN a virtuálne adaptéry sú stále nastavené, ako by mali byť, pretože rozsah správy a stav pripojenia sú nezávislé nastavenia. Ak sa zoznam účtov po reštarte vráti prázdny, rozbilo sa niečo iné a nastavenie vzdialenej správy nie je vysvetlením.

Potom otestujte samotné pripojenie z klienta a potvrďte, že adaptér drží očakávanú adresu a trasy. Úspešná relácia vpncmd dokazuje riadiaci vzťah a nič nehovorí o tom, či prevádzka vychádza tunelom.