SSTP يوثّق الخادم أولاً ثم المستخدم لاحقاً

يمكن لعميل SSTP أن يُكمل TLS ثم يرفض المستخدم بعد ثانية واحدة. هذا التسلسل ليس خطأً، بل هو مكدس البروتوكول: أمن النقل أولاً، ثم توثيق المستخدم. ولأن المرحلتين تفشلان برسائل مختلفة، فإنهما تحتاجان أيضاً إلى إصلاحات مختلفة. وقراءة المرحلة التي أنتجت الخطأ هي معظم التشخيص.

الشهادة الموثوقة تُثبت الطرف الآخر؛ لكنها لا تقول شيئاً عن الحساب.

ما الذي يثبته مصافحة TLS

يتحقق العميل من الشهادة التي يقدمها الخادم مقابل مخزن الثقة لديه، والاسم المضيف المطلوب، ونافذة الصلاحية، وأي سياسة إضافية تطبقها المنصة. وذلك يحمي الاتصال بالطرف المقصود. لكنه لا يُثبت أن حساباً بعينه مفعّل أو غير منتهٍ أو مسموح له باستخدام الوصول عن بُعد. تلك أسئلة منفصلة تُطرح لاحقاً من مكوّن مختلف.

ولهذا فإن إزالة فحوص الشهادة للوصول إلى مطالبة تسجيل الدخول هي الإصلاح الخاطئ. فأنت تحصل على مطالبة تسجيل دخول على اتصال لا يمكنك التحقق منه. خطأ الشهادة يعود إلى الاسم المضيف أو الساعة أو السلسلة أو إعدادات الثقة.

ما الذي يضيفه SSTP وPPP فوق ذلك

يعمل SSTP فوق HTTPS ويحمل PPP داخله، مع تبادل تحكم خاص به حول الاتصال. ثم يُشغّل PPP مرحلتي الوصلة والتوثيق، وتعتمد طريقة التوثيق على سياسة الخادم وقدرات العميل. إن PAP وCHAP وMS-CHAPv2 وEAP كلها خيارات توثيق في PPP بخصائص مختلفة جداً. وفحص المستخدم في VPN هو تلك المرحلة من PPP، لا طبقة TLS التي تحتها.

لذلك قد يعني رفض المستخدم بيانات اعتماد خاطئة أو قيداً على الحساب أو عدم توافق في الطريقة.

السبب من جهة الخادم أنفع بكثير من إعادة تعيين كل سر في الملف الشخصي. فحدث تعطيل الحساب وفشل تفاوض الطريقة يبدوان متشابهين لدى العميل وليس بينهما شيء مشترك لدى الخادم.

طابِق الخطأ مع المرحلة

تحقق مما إذا كان الاتصال يصل إلى TLS، ثم إلى تبادل SSTP عبر HTTP، ثم إلى مرحلة PPP. حافظ على محاذاة الطوابع الزمنية في السجلات عبر المحاولات حتى لا يُخلط بين فشل سابق ونجاح لاحق. فعميل يسجل محاولتين في نافذة واحدة سيبدو وكأنه فشل في المرحلة الأخيرة التي وصل إليها. اقرأ أول خطأ ذي صلة، لا آخر سطر.

وتنطبق المحاذاة نفسها على جهة الخادم، حيث يكون سجل التوثيق وسجل النقل غالباً ملفين منفصلين بساعتين منفصلتين. ودقيقتان من الانحراف تكفيان لجعل سبب واضح يبدو مستحيلاً.

بعد تسجيل الدخول، يبقى التفويض منفصلاً

تسجيل الدخول الناجح لا يمنح كل مورد خاص. فالطرق تحدد ما يمكن الوصول إليه، وDNS يحدد ما يُحل، وكل خدمة لا تزال تطبق أذوناتها الخاصة. وجلسة تظهر متصلة هي عبارة عن النفق، لا عن مشاركة الملفات. وعندما يستطيع المستخدم الاتصال ولا يستطيع الوصول إلى مضيف واحد، تكون مرحلة النفق قد انتهت بالفعل.

هذا هو نفس التطبيق الطبقي الذي أظهرته المصافحة، على مستوى أعلى بواحد.

أبقِ استعادة الحساب ضمن العملية المدعومة من المشغّل بدلاً من تغيير إعدادات النقل رداً على رفض صريح من المستخدم. فتغيير النقل لإصلاح حساب معطّل هو نوع من الإصلاح يبدو ناجحاً عندما يُعاد تفعيل الحساب لسبب غير متعلق.