SoftEther VPN 究竟提供什么，客户端如何接入

SoftEther 不是你加入的服务，而是由他人运行的软件，一次安装就能同时暴露多种连接方式。该用哪一种，取决于运营者启用了什么、你的设备支持什么，以及你需要的是完整网络路径还是单个应用。安装任何东西之前，先读这三个答案。

第一个决定：运营者启用了什么？

SoftEther 的文档包含自有的 SSL-VPN 模式、兼容 OpenVPN 的接入、L2TP/IPsec 与 MS-SSTP，实际监听的端口取决于部署方式和软件版本。在一个端口上应答的服务器，未必会在另一个端口上应答。与其假定客户端菜单里最新的名字就是对的，不如先问运营者提供哪一种。

连接方式与配置文件格式不能互换。

OpenVPN 客户端需要兼容的配置文件，IPsec 客户端需要自己的凭据和参数，原生客户端需要服务器地址和集线器名称。把它们混用会产生一个看上去和密码错误完全一样的认证失败。

第二个决定：你的设备支持什么？

手机和平板往往没有原生客户端，只能提供L2TP/IPsec或兼容配置文件。这是支持能力的选择，不是降级。选平台支持、且运营者已启用的那一种，并且预期各方式的字段并不相同。只存在于桌面端的方式，解决不了装不了它的设备。

在一种方式里能用的密码，并不自动是另一种方式里的正确值。有些方式带集线器名或租户名，有些要求预共享密钥，还有些使用证书。从别的客户端抄一个能用的值，正是制造出谁也解释不清的凭据错误的最常见做法。

记下正在使用的那份配置文件用的是哪种方式，因为下一次换设备时它就会变得重要。

第三个决定：整个网络还是单个服务？

一次部署可以提供三种形态：通用互联网出口、进入选定私有子网的路由，或桥接的以太网段。从使用者角度看，这是三种不同的产品，而且选择在服务器端做，不由客户端协商。桥接会扩大广播流量和信任边界，因此应当服从真实需求，而不是图方便。

如果只需要一个私有网站，通常一条路由加一条 DNS 应答就够了。为访问单个服务而扩展整个以太网段，会让每一次广播和每一种发现协议都变成远程网络的一部分。请索要能用的最窄路径，桥接是否值得由运营者决定。

登录成功却进了错误的集线器，仍然是一次错误的连接。

虚拟集线器改变了什么

虚拟集线器组织服务器的逻辑网络，分配给某个账号的集线器会影响该账号能到达哪些资源。集线器名字不是出口国家标签，也不是权限等级。它是网络容器，由运营者把账号映射进去。因此同一台服务器上的两个账号，可能落在毫无交集的网络里。

请使用运营者给你的集线器名称，不要自己去翻一个眼熟的。

对管理员而言，集线器成员关系和与其他网络的连接需要各自的访问规则。进入正确集线器的用户仍可能被该集线器的策略挡住，而处在错误集线器的用户却可能被允许使用该集线器提供的一切。

安装之前先确认

问三个问题：启用了哪种方式、该方式需要哪份配置文件或哪些参数、账号被允许到达哪里。然后只安装自己角色所需的那部分组件，因为服务器包不会建立对外连接，客户端包也不管理网关。三个答案只拿到两个，不足以选组件；靠猜比直接问更费时间。

把运营者的名字写在配置文件旁边，因为没有归属的配置文件就是没人能修的配置文件。

两台 SoftEther 服务器的行为可能差别很大，所以论坛上拿到的可用配置文件说明的是别人的部署，不是你的。