RemoteEnable ไม่ใช่การเข้าสู่ระบบ VPN: การกำหนดขอบเขตการจัดการ SoftEther

บทแนะนำบอกให้รัน RemoteEnable แล้วจึงเชื่อมต่อ และอ่านแล้วเหมือนสองขั้นตอนนี้เป็นสิ่งประเภทเดียวกัน ไม่ใช่ RemoteEnable ให้สิทธิ์เครื่องอื่นจัดการบริการไคลเอนต์ SoftEther VPN ที่ทำงานบนคอมพิวเตอร์เครื่องนี้ ส่วนการเชื่อมต่อคือบัญชี VPN ที่พิสูจน์ตัวตนกับเซิร์ฟเวอร์ และไม่มีสิทธิ์การจัดการใด ๆ เกี่ยวข้องเลย

ความเชื่อผิด ๆ: RemoteEnable เปิด VPN

ความสับสนมาจากความใกล้ชิด คู่มือหนึ่งเปิดการจัดการระยะไกล รีสตาร์ตบริการไคลเอนต์ แล้วจึงเชื่อมต่อ และการเชื่อมต่อได้ผลหลังจากนั้น สองขั้นตอนจึงดูเหมือนเชื่อมโยงกันเชิงสาเหตุ สิ่งที่เปลี่ยนจริง ๆ คือใครพูดคุยกับบริการได้ ไม่ใช่ว่าบริการไปถึงเซิร์ฟเวอร์ได้หรือไม่ ปิดการจัดการระยะไกลบนไคลเอนต์ที่กำหนดค่าถูกต้อง การเชื่อมต่อ VPN ก็ยังเกิดขึ้น

ความช่วยเหลือของคำสั่งในต้นทาง ระบุขอบเขตชัดเจน คือการจัดการระยะไกลผ่าน VPN Client Manager หรือ vpncmd จากภายนอก localhost ไม่มีข้อความใดในคำอธิบายนั้นกล่าวถึงทันเนล บัญชี หรือเส้นทาง สิทธิ์ที่ให้คือการเข้าถึงเชิงบริหาร และวัตถุของมันคือบริการไคลเอนต์ ไม่ใช่การเชื่อมต่อ

สามตัวตนที่ใช้คำว่า รหัสผ่าน ร่วมกัน

คู่มือเก่าใช้คำเดียวกับข้อมูลรับรองสามอย่างที่ไม่เกี่ยวข้องกัน และนั่นคือวิธีที่การติดตั้งลงเอยด้วยความลับที่ถูกแปะไว้ในช่องผิด

รหัสผ่านการจัดการของบริการไคลเอนต์ปกป้องการดูแลไคลเอนต์ SoftEther ภายในเครื่อง รหัสผ่านของบัญชี VPN พิสูจน์ตัวตนกับเซิร์ฟเวอร์ตามนโยบายของเซิร์ฟเวอร์นั้น ใบรับรองของเซิร์ฟเวอร์ไม่ใช่รหัสผ่านเลย แต่ตอบคำถามว่า ไคลเอนต์ควรยอมรับปลายทางใด การเปลี่ยนสิ่งหนึ่งไม่เปลี่ยนอีกสองสิ่ง และการคัดลอกค่าระหว่างกันทำให้ได้การกำหนดค่าที่ต่างออกไป ไม่ใช่แบบที่ง่ายกว่า

ตัวเลือกเฉพาะระยะไกลบนรหัสผ่านการจัดการควรได้รับการพิจารณาอีกครั้ง เพราะมันกำหนดว่าข้อกำหนดรหัสผ่านใช้กับการจัดการจากเครื่องภายในด้วยหรือไม่ การจำกัดขอบเขตนั้นเป็นการเลือกโดยเจตนาสำหรับแล็ปท็อปผู้ใช้คนเดียว ไม่ใช่วิธีหลีกเลี่ยงสำหรับรหัสผ่านที่ไม่มีใครบันทึกไว้

การเปิดการจัดการระยะไกลเปลี่ยนอะไรจริง ๆ

มีผลสืบเนื่องในทางปฏิบัติสองข้อ และทั้งสองข้อมองข้ามได้ง่ายในคู่มือแบบคัดลอกวาง ข้อแรก รหัสผ่านการจัดการกลายเป็นข้อบังคับเมื่อเปิดการจัดการระยะไกล ข้อสอง ความพร้อมใช้งานใหม่จะมีผลก็ต่อเมื่อรีสตาร์ตบริการไคลเอนต์แล้ว

การรีสตาร์ตนั้นเป็นการหยุดชะงักจริงสำหรับทุกอย่างที่ใช้ไคลเอนต์ จึงควรวางแผนร่วมกับเจ้าของเครื่อง การเปิดคุณลักษณะนี้ก็ไม่ได้เปิดเส้นทางผ่านไฟร์วอลล์ด้วยตัวเอง บริการยังต้องเข้าถึงได้จากสถานีจัดการ และไฟร์วอลล์ของโฮสต์หรือ ACL ที่อยู่เหนือขึ้นไปอาจทำให้เข้าถึงไม่ได้ บริการที่เข้าถึงไม่ได้ไม่ใช่หลักฐานว่าสิทธิ์ถูกจำกัดอย่างถูกต้อง เป็นเพียงหลักฐานว่ามีอย่างอื่นกีดขวางอยู่

เขียนเส้นทางการจัดการที่ตั้งใจไว้ลงในบันทึกการติดตั้ง รวมทั้งพอร์ตและช่วงที่อยู่ที่อนุญาตให้ใช้ บันทึกนั้นยังเป็นที่สำหรับบันทึกว่าใครขอความสามารถนี้และควรถอนเมื่อใด

ตัดสินใจว่าใครจัดการไคลเอนต์นี้ได้

บนแล็ปท็อปที่คุณเป็นเจ้าของ ให้เก็บการดูแลไว้ที่คอนโซลภายในเครื่อง เว้นแต่คุณจะระบุเครื่องที่ต้องการการเข้าถึงระยะไกลได้และบอกเหตุผลได้ สำหรับอุปกรณ์ที่จัดการจากส่วนกลาง ให้ระบุผู้ดูแล เส้นทางการจัดการ และเจ้าของการกู้คืนก่อนเปิดสิ่งใด ๆ คำถามไม่ใช่ว่าคุณลักษณะนี้สะดวกหรือไม่ แต่คือใครรับผิดชอบต่อการกำหนดค่าที่มันเปิดเผย

รันคำสั่งกับบริการภายในเครื่องเพื่อให้การเปลี่ยนแปลงอยู่ในประวัติเชลล์ของคุณเอง ไม่ใช่ในภาพหน้าจอ: vpncmd localhost /client /cmd RemoteDisable ปิดความสามารถนี้ และคำสั่งเดียวกันที่มี RemoteEnable จะเปิดมัน รีสตาร์ตบริการหลังจากนั้น มิฉะนั้นการตั้งค่าจะไม่มีผล

ถ้าบทแนะนำเปิดมันเป็นขั้นเตรียมการโดยไม่อธิบาย ให้ถือเป็นคำถามที่ยังไม่ได้แก้ ไม่ใช่คำสั่งให้ทำตาม ถามว่าสถานีจัดการใดที่ตั้งใจจะใช้มัน และถ้าไม่มีคำตอบ ก็ปล่อยให้ความสามารถนี้ปิดอยู่

ตรวจสอบการเข้าถึงการจัดการและการเชื่อมต่อแยกจากกัน

การทดสอบสองอย่างตอบคำถามสองข้อที่ต่างกัน และการทำเพียงอย่างเดียวคือหนทางที่การติดตั้งจะลงเอยด้วยการจัดการระยะไกลที่ไม่มีใครตั้งใจ

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

สองบรรทัดแรกนำไคลเอนต์กลับมาอยู่ภายใต้การดูแลภายในเครื่องและใช้การเปลี่ยนแปลง สองบรรทัดหลังยืนยันว่าบัญชี VPN และอะแดปเตอร์เสมือนยังถูกกำหนดค่าอยู่ ซึ่งควรเป็นเช่นนั้น เพราะขอบเขตการจัดการและสถานะการเชื่อมต่อเป็นการตั้งค่าที่เป็นอิสระต่อกัน ถ้าหลังรีสตาร์ตแล้วรายการบัญชีกลับมาเป็นว่าง แสดงว่ามีอย่างอื่นเสีย และการตั้งค่าการจัดการระยะไกลไม่ใช่คำอธิบาย

จากนั้นทดสอบการเชื่อมต่อเองจากไคลเอนต์และยืนยันว่าอะแดปเตอร์ถือที่อยู่และเส้นทางที่คาดไว้ เซสชัน vpncmd ที่สำเร็จพิสูจน์ความสัมพันธ์เชิงควบคุม และไม่ได้บอกอะไรเลยว่าทราฟฟิกออกผ่านทันเนลหรือไม่