RemoteEnable không phải là đăng nhập VPN: giới hạn việc quản trị SoftEther

Hướng dẫn nói hãy chạy RemoteEnable rồi kết nối, và điều đó được đọc như thể hai bước ấy là cùng một loại việc. Không phải vậy. RemoteEnable cấp cho một máy khác quyền quản trị dịch vụ máy khách SoftEther VPN đang chạy trên máy tính này. Còn kết nối là một tài khoản VPN xác thực với máy chủ, và không có quyền quản trị nào tham gia vào đó cả.

Huyền thoại: RemoteEnable bật VPN

Sự nhầm lẫn đến từ sự liền kề. Một hướng dẫn bật quản trị từ xa, khởi động lại dịch vụ máy khách, rồi kết nối, và kết nối hoạt động sau đó, nên hai bước trông như có quan hệ nhân quả. Điều thực sự thay đổi là ai được nói chuyện với dịch vụ, chứ không phải dịch vụ có tới được máy chủ hay không. Tắt quản trị từ xa trên một máy khách được cấu hình đúng và kết nối VPN vẫn được thiết lập.

Trợ giúp lệnh trong nguồn gốc nói rõ về phạm vi: quản trị từ xa qua VPN Client Manager hoặc vpncmd từ bên ngoài localhost. Không có gì trong mô tả đó nhắc tới đường hầm, tài khoản hay tuyến đường. Quyền được cấp là phạm vi quản trị, và đối tượng của nó là dịch vụ máy khách chứ không phải kết nối.

Ba danh tính chia sẻ từ mật khẩu

Các hướng dẫn cũ dùng một từ cho ba thông tin xác thực không liên quan, và đó là cách các triển khai kết thúc với một bí mật bị dán vào ô sai.

Mật khẩu quản trị dịch vụ máy khách bảo vệ việc quản trị máy khách SoftEther cục bộ. Mật khẩu tài khoản VPN xác thực với máy chủ theo chính sách của máy chủ đó. Chứng chỉ máy chủ hoàn toàn không phải mật khẩu, nhưng nó trả lời máy khách nên chấp nhận điểm cuối nào. Thay đổi một thứ không làm thay đổi các thứ khác, và sao chép một giá trị giữa chúng tạo ra một cấu hình khác chứ không phải đơn giản hơn.

Tùy chọn chỉ-từ-xa trên mật khẩu quản trị đáng được xem lại, vì nó quyết định liệu yêu cầu mật khẩu có áp dụng cho cả việc quản trị từ máy cục bộ hay không. Thu hẹp phạm vi đó là lựa chọn có chủ đích cho máy tính xách tay một người dùng, không phải cách lách cho một mật khẩu mà không ai ghi lại.

Bật quản trị từ xa thực sự thay đổi điều gì

Có hai hệ quả vận hành, và cả hai đều dễ bị bỏ sót trong một hướng dẫn sao chép-dán. Mật khẩu quản trị trở thành bắt buộc ngay khi bật quản trị từ xa, và khả năng sẵn có mới chỉ có hiệu lực sau khi dịch vụ máy khách khởi động lại.

Việc khởi động lại đó là gián đoạn thực sự với mọi thứ dùng máy khách, nên hãy lên kế hoạch với người sở hữu máy. Bật tính năng này cũng không tự mở đường qua tường lửa: dịch vụ vẫn phải tiếp cận được từ trạm quản trị, và tường lửa của máy chủ hoặc một ACL phía trên có thể khiến nó không tiếp cận được. Một dịch vụ không tiếp cận được không phải bằng chứng rằng quyền đã được giới hạn đúng, mà chỉ là có thứ khác đang chặn nó.

Hãy ghi đường quản trị dự kiến vào ghi chú triển khai, gồm cổng và dải địa chỉ được phép dùng nó. Ghi chú đó cũng là nơi ghi lại ai đã yêu cầu khả năng này và khi nào nên thu hồi.

Quyết định ai được quản trị máy khách này

Trên máy tính xách tay của chính bạn, hãy giữ việc quản trị ở bảng điều khiển cục bộ trừ khi bạn có thể nêu tên máy cần truy cập từ xa và nói lý do. Với thiết bị được quản trị tập trung, hãy nêu tên quản trị viên, đường quản trị và người phụ trách khôi phục trước khi bật bất cứ thứ gì. Câu hỏi không phải là tính năng có tiện không, mà là ai chịu trách nhiệm về cấu hình mà nó phơi ra.

Chạy lệnh trên dịch vụ cục bộ để thay đổi nằm trong lịch sử shell của chính bạn chứ không phải trong ảnh chụp màn hình: vpncmd localhost /client /cmd RemoteDisable tắt khả năng, và cùng lệnh đó với RemoteEnable sẽ bật nó. Khởi động lại dịch vụ sau đó, nếu không cài đặt sẽ không có hiệu lực.

Nếu một hướng dẫn bật nó như bước sơ bộ mà không giải thích, hãy coi đó là câu hỏi chưa được giải đáp chứ không phải chỉ dẫn để làm theo. Hỏi trạm quản trị nào được dùng nó, và nếu không có câu trả lời thì để khả năng ở trạng thái tắt.

Kiểm tra riêng quyền truy cập quản trị và khả năng kết nối

Hai bài kiểm tra trả lời hai câu hỏi khác nhau, và chỉ chạy một trong hai là cách một triển khai kết thúc với quyền quản trị từ xa mà không ai định có.

vpncmd localhost /client /cmd RemoteDisable
systemctl restart vpnclient
vpncmd localhost /client /cmd AccountList
vpncmd localhost /client /cmd NicList

Hai dòng đầu đưa máy khách trở lại dưới quyền quản trị cục bộ và áp dụng thay đổi. Hai dòng cuối xác nhận các tài khoản VPN và bộ điều hợp ảo vẫn được cấu hình, đúng như phải vậy, vì phạm vi quản trị và trạng thái kết nối là những cài đặt độc lập. Nếu danh sách tài khoản trở về trống sau khi khởi động lại, thì có thứ khác đã hỏng và cài đặt quản trị từ xa không phải là lời giải thích.

Sau đó hãy thử chính kết nối từ máy khách và xác nhận bộ điều hợp giữ địa chỉ và các tuyến mong đợi. Một phiên vpncmd thành công chứng minh quan hệ điều khiển và không nói gì về việc lưu lượng có ra khỏi đường hầm hay không.