Ang RemoteEnable ay hindi isang pag-login sa VPN: paglilimita sa pamamahala ng SoftEther

Sinasabi ng tutorial na patakbuhin ang RemoteEnable at pagkatapos ay kumonekta, at ito ay binabasa na parang ang dalawang hakbang ay isang uri ng bagay. Hindi. Ang RemoteEnable ay nagbibigay sa ibang makina ng pahintulot na pamahalaan ang serbisyo ng kliyente ng SoftEther VPN na tumatakbo sa kompyuter na ito. Ang pagkonekta ay isang account ng VPN na nagpapatunay sa isang server, at walang pahintulot sa pamamahala na kasangkot dito.

Ang mito: binubuksan ng RemoteEnable ang VPN

Ang kalituhan ay nagmumula sa pagiging magkatabi. Ang isang gabay ay nagbubukas ng malayuang pamamahala, nag-restart ng serbisyo ng kliyente, pagkatapos ay kumokonekta, at gumagana ang koneksyon pagkatapos, kaya ang dalawang hakbang ay parang magkakaugnay sa sanhi. Ang tunay na nagbago ay kung sino ang maaaring makipag-usap sa serbisyo, hindi kung maaabot ng serbisyo ang isang server. I-disable ang malayuang pamamahala sa isang wastong naka-configure na kliyente at bubukas pa rin ang koneksyon ng VPN.

Ang tulong ng command sa pinagmulan ay malinaw tungkol sa saklaw: malayuang pamamahala sa pamamagitan ng VPN Client Manager o vpncmd mula sa labas ng localhost. Walang nabanggit na tunnel, account o ruta sa paglalarawang iyon. Ang pahintulot na ibinibigay ay administratibong abot, at ang paksa nito ay ang serbisyo ng kliyente, hindi ang koneksyon.

Tatlong pagkakakilanlan na nagbabahagi ng salitang password

Gumagamit ang mga lumang gabay ng isang salita para sa tatlong hindi magkakaugnay na kredensyal, at ganoon nagtatapos ang mga deployment na may lihim na naipit sa maling field.

Pinoprotektahan ng password sa pamamahala ng serbisyo ng kliyente ang administrasyon ng lokal na kliyente ng SoftEther. Ang password ng account ng VPN ay nagpapatunay sa isang server ayon sa patakaran ng server na iyon. Ang sertipiko ng server ay hindi password, ngunit sinasagot nito kung aling endpoint ang dapat tanggapin ng kliyente. Ang pagbabago ng isa ay hindi nagbabago sa iba, at ang pagkopya ng halaga sa pagitan nila ay gumagawa ng ibang configuration, hindi isang mas simple.

Ang opsyong malayo-lamang sa password sa pamamahala ay karapat-dapat sa ikalawang tingin, dahil ito ang nagpapasya kung ang pangangailangan ng password ay nalalapat din sa pamamahala mula sa lokal na makina. Ang pagpapaliit ng saklaw na iyon ay sadyang pagpili para sa single-user na laptop, hindi isang paraan ng pag-iwas para sa password na walang nakatala.

Ano ang tunay na binabago ng pagbubukas ng malayuang pamamahala

May dalawang operasyonal na kahihinatnan, at parehong madaling makaligtaan sa gabay na copy-paste. Ang password sa pamamahala ay nagiging mandatory kapag binukas ang malayuang administrasyon, at ang bagong availability ay magkakabisa lamang pagkatapos ma-restart ang serbisyo ng kliyente.

Ang restart na iyon ay tunay na pagkagambala sa lahat ng gumagamit ng kliyente, kaya planuhin ito kasama ang may-ari ng makina. Ang pagbubukas ng feature ay hindi rin nagbubukas ng daan sa firewall sa sarili nito: kailangan pa ring maabot ang serbisyo mula sa istasyon ng pamamahala, at ang firewall ng host o isang ACL sa itaas ay maaaring magpanatili nitong hindi maabot. Ang serbisyong hindi maabot ay hindi ebidensya na wastong na-limitahan ang pahintulot, kundi na may ibang humahadlang dito.

Isulat ang inilaan na daan ng pamamahala sa mga tala ng deployment, kasama ang port at ang hanay ng address na maaaring gumamit nito. Ang talang iyon din ang lugar upang itala kung sino ang humiling ng kakayahan at kailan ito dapat bawiin.

Magpasya kung sino ang maaaring mamahala ng kliyenteng ito

Sa isang laptop na pag-aari mo, panatilihin ang administrasyon sa lokal na console maliban kung maituro mo ang makinang nangangailangan ng malayuang access at masabi kung bakit. Para sa isang device na pinamamahalaang sentralisado, pangalanan ang administrador, ang daan ng pamamahala at ang may-ari ng pagbawi bago buksan ang anuman. Ang tanong ay hindi kung maginhawa ang feature, kundi kung sino ang mananagot sa configuration na inilalantad nito.

Patakbuhin ang mga command laban sa lokal na serbisyo upang mapunta ang pagbabago sa iyong sariling kasaysayan ng shell at hindi sa screenshot: papatayin ng vpncmd localhost /client /cmd RemoteDisable ang kakayahan, at ang parehong command na may RemoteEnable ay magbubukas nito. I-restart ang serbisyo pagkatapos, kung hindi ay hindi magkakabisa ang setting.

Kung binubuksan ito ng isang tutorial bilang paunang hakbang na walang paliwanag, ituring ito bilang hindi nalutas na tanong at hindi bilang tagubiling dapat sundan. Itanong kung aling istasyon ng pamamahala ang dapat gumamit nito, at kung walang sagot, iwanang naka-disable ang kakayahan.

I-verify nang hiwalay ang access sa pamamahala at ang konektibidad

Dalawang pagsubok ang sumasagot sa dalawang magkaibang tanong, at ang pagpapatakbo ng isa lamang sa mga ito ay ang paraan upang matapos ang isang deployment na may malayuang administrasyong walang sinuman ang naglayon.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Ang unang dalawang linya ay nagbabalik ng kliyente sa lokal na administrasyon at inilalapat ang pagbabago. Ang huling dalawa ay nagpapatunay na ang mga account ng VPN at virtual adapter ay naka-configure pa rin, gaya ng nararapat, dahil ang saklaw ng pamamahala at estado ng koneksyon ay magkahiwalay na setting. Kung babalik na walang laman ang listahan ng account pagkatapos ng restart, may ibang nasira at ang setting ng malayuang pamamahala ay hindi ang paliwanag.

Pagkatapos ay subukan ang mismong koneksyon mula sa kliyente at kumpirmahing hawak ng adapter ang inaasahang address at mga ruta. Ang matagumpay na sesyon ng vpncmd ay nagpapatunay ng relasyon ng kontrol at walang sinasabi tungkol sa kung lumalabas ang trapiko sa tunnel.