RemoteEnable није пријава за VPN: одређивање обима управљања SoftEther-ом

Упутство каже да покренете RemoteEnable и затим се повежете, и то се чита као да су та два корака иста врста ствари. Нису. RemoteEnable даје другој машини дозволу да администрира клијентску услугу SoftEther VPN која ради на овом рачунару. А повезивање је VPN налог који се аутентификује на серверу, и у њему уопште не учествује никаква дозвола за управљање.

Мит: RemoteEnable укључује VPN

Забуна долази од суседства. Упутство укључује даљинско управљање, рестартује клијентску услугу, затим се повеже, и веза после тога ради, па два корака изгледају узрочно повезана. Оно што се стварно променило јесте ко сме да разговара са услугом, а не да ли услуга може да стигне до сервера. Искључите даљинско управљање на исправно конфигурисаном клијенту и VPN веза се ипак успоставља.

Помоћ за команду у изворном пројекту је јасна о обиму: даљинско управљање кроз VPN Client Manager или vpncmd изван localhost-а. Ништа у том опису не помиње тунел, налог или руту. Дозвола која се даје је административни домет, а њен предмет је клијентска услуга, а не веза.

Три идентитета која деле реч лозинка

Стара упутства користе једну реч за три неповезана акредитива, и тако распоређивања заврше са тајном залепљеном у погрешно поље.

Лозинка за управљање клијентском услугом штити администрацију локалног SoftEther клијента. Лозинка VPN налога аутентификује се на серверу према политици тог сервера. Сертификат сервера уопште није лозинка, али одговара на питање коју крајњу тачку клијент треба да прихвати. Промена једне не мења остале, а копирање вредности између њих ствара другачију конфигурацију, а не једноставнију.

Опција само-даљински код лозинке за управљање заслужује други поглед, јер одлучује да ли се захтев за лозинку односи и на управљање са локалне машине. Сужавање тог обима је свестан избор за преносни рачунар једног корисника, а не заобилазни пут за лозинку коју нико није записао.

Шта укључивање даљинског управљања заиста мења

Следе две оперативне последице, и обе је лако пропустити у упутству за копирање и лепљење. Лозинка за управљање постаје обавезна чим се укључи даљинска администрација, а нова доступност ступа на снагу тек након рестартовања клијентске услуге.

Тај рестарт је стварни прекид за све што користи клијента, зато га планирајте са оним ко поседује машину. Укључивање функције такође само по себи не отвара пут кроз заштитни зид: услуга и даље мора бити доступна са управљачке станице, а заштитни зид домаћина или ACL изнад могу је држати недоступном. Недоступна услуга није доказ да је дозвола исправно ограничена, само да је нешто друго блокира.

Запишите предвиђену путању управљања у напомене о распоређивању, укључујући порт и опсег адреса који је смеју користити. Та напомена је и место где се бележи ко је затражио могућност и када је треба повући.

Одлучите ко сме да управља овим клијентом

На преносном рачунару који поседујете, држите администрацију на локалној конзоли, осим ако не можете да именујете машину којој је потребан даљински приступ и кажете зашто. За уређај који се администрира централно, именујте администратора, путању управљања и власника опоравка пре него што било шта укључите. Питање није да ли је функција згодна, већ ко је одговоран за конфигурацију коју она излаже.

Извршавајте команде на локалној услузи да промена заврши у вашој сопственој историји шкољке, а не на снимку екрана: vpncmd localhost /client /cmd RemoteDisable искључује могућност, а иста команда са RemoteEnable је укључује. Затим рестартујте услугу, иначе поставка неће бити на снази.

Ако упутство то укључује као припремни корак без објашњења, третирајте то као нерешено питање, а не као инструкцију за праћење. Питајте која управљачка станица треба да га користи, и ако одговора нема, оставите могућност искључену.

Проверите управљачки приступ и повезивост одвојено

Два теста одговарају на два различита питања, а извршавање само једног од њих је пут којим распоређивање заврши са даљинском администрацијом коју нико није желео.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Прва два реда враћају клијента под локалну администрацију и примењују промену. Последња два потврђују да су VPN налози и виртуелни адаптери још конфигурисани, како и треба да буду, јер су обим управљања и стање везе независне поставке. Ако се листа налога после рестарта врати празна, нешто друго се покварило и поставка даљинског управљања није објашњење.

Затим тестирајте саму везу са клијента и потврдите да адаптер држи очекивану адресу и руте. Успешна vpncmd сесија доказује контролни однос и ништа не говори о томе да ли саобраћај излази кроз тунел.