SSTP على لينكس يفشل قبل تسجيل الدخول؟ افحص مكوّنات التشغيل

أنت تثبّت إضافة SSTP، فيظهر زر الاختيار في محرر الشبكة، وتملأ بوابة واسم مستخدم، ثم يفشل الملف الشخصي بخطأ عام قبل أن يطلب كلمة مرور أصلًا. لا شيء في هذا التسلسل غير معتاد، ولا شيء فيه يثبت أن برنامج النفق مثبّت. يتم تجميع اتصال SSTP من أجزاء تُشحن منفصلة: إضافة VPN يستطيع NetworkManager تشغيلها، وبرنامج عميل SSTP الذي يملك جلسة TLS وPPP، وخادم PPP تحته، ومخزن أسرار يُسمح للاتصال بقراءته.

ما الذي يضيفه إدخال القائمة، وما لا يضيفه

تسهم الإضافة بوصف خدمة يخبر NetworkManager كيف يشغّلها، وعلى معظم التوزيعات بمحرر صغير يرسم النموذج. هذا هو النطاق الكامل لإدخال القائمة. يأتي برنامج العميل من حزمة مصدر مختلفة، ويذكر ملف README الخاص بالإضافة هذا الانفصال صراحة: إنها إضافة، لا عميل.

يحتاج العميل بعد ذلك إلى PPP، لأن SSTP يحمل جلسة PPP داخل اتصال TLS. بدون pppd قد يكمل النفق مصافحة TLS ثم يموت عند أول إطار تحكم، وهو ما يبدو كمشكلة بيانات اعتماد وليس كذلك. على Debian وUbuntu تصل الأجزاء باسم network-manager-sstp و sstp-client و ppp، وتثبيت الأول وحده هو السبب الأكثر شيوعًا لقبول النموذج لكل حقل بينما لا يكتمل الاتصال أبدًا.

خيار سطح المكتب يضيف انفصالًا آخر. يحرر Plasma الملفات الشخصية عبر plasma-nm، الذي يحتاج مكوّن SSTP خاصًا به ويقرأ وصف الخدمة نفسه، لذا فمحرر بلا إدخال SSTP وأداة سطر أوامر تنشئ الملفات الشخصية جيدًا يعنيان نصف محرر ناقص لا وقت تشغيل معطلًا.

اقرأ أول مرحلة فاشلة قبل إعادة تثبيت أي شيء

تمر محاولة SSTP الفاشلة عبر مراحل بترتيب ثابت، والمرحلة التي فشلت تخبرك بأي مكوّن يجب أن تنظر إليه.

تشغيل الإضافة هو الأول، والفشل هناك ينتج رسالة عن خدمة VPN لا عن الخادم. يأتي بعد ذلك اتصال TCP بالمنفذ 443؛ والرفض أو انتهاء المهلة هنا مشكلة وصول لا مشكلة TLS. ثم مصافحة TLS والتحقق من هوية الخادم، ثم تفاوض PPP ومصادقة الحساب، وأخيرًا تعيين العنوان والمسارات. راقب journalctl -f -u NetworkManager أثناء تفعيل الملف الشخصي مرة واحدة، واقرأ أول سطر محدد بدلًا من آخر سطر عام.

يفسر هذا الترتيب قراءة خاطئة شائعة. تُبلَّغ شكوى الشهادة قبل إرسال أي بيانات اعتماد، لذا لا يمكن لتغيير كلمة المرور أن يساعد؛ ويصل رفض مصادقة PPP بعد مصافحة ناجحة، لذا لا يمكن لاستبدال الشهادة أن يساعد أيضًا. احتفظ بالخطأ الأول ومرحلته، فتحصل على تشخيص لا على عَرَض.

الثقة بالشهادة وتسجيل الدخول بوابتان منفصلتان

تتحقق المصافحة من أن الخادم هو الذي قصدت الوصول إليه، باستخدام الجهة المصدرة والاسم اللذين ضبطتهما. وبعد ذلك فقط تقدم طبقة PPP اسم المستخدم وكلمة المرور إلى طريقة مصادقة البوابة. فحصان مستقلان إذن، يُقيَّمان بترتيب ثابت، ولكل منهما إعدادات منفصلة. ولا شيء يُكتب في حقل كلمة المرور يمكنه التأثير في الأول.

الملف الشخصي الذي يثق بجهة مصدرة خاطئة يفشل عند البوابة الأولى بخطأ هوية. والملف الشخصي الذي يثق بها بشكل صحيح لكنه يخزن كلمة مرور قديمة يفشل عند الثانية برفض مصادقة. كلاهما يبدو كـVPN لا يتصل، ولا يُصلح أي منهما بعلاج الآخر.

احصل على الجهة المصدرة واسم الخادم المتوقعين من مسؤول البوابة بدلًا من تخمين إعدادات المحرر الافتراضية، وسجّل طريقة المصادقة التي يطلبونها. وإذا كانت المؤسسة تحتاج طريقة لا تستطيع الإضافة التعبير عنها، فالجواب الصادق عميل معتمد يستطيع ذلك، لا ملف شخصي أُوقف فيه التحقق لإخفاء الخطأ.

دع مالكًا واحدًا يحتفظ بالملف الشخصي والأسرار

بعد وجود الملف الشخصي، فعّله عبر NetworkManager ودع ذلك المدير يملك المسارات الناتجة وتغييرات المفسر. تشغيل عميل SSTP ثانٍ مستقل بينما NetworkManager يدير الاتصال يمنحك مجموعتين من المسارات وتكوينين لـDNS وجلسة تنقيح بلا مصدر حقيقة واحد.

للأسرار مالك أيضًا. الاتصال الموسوم للاستخدام على مستوى النظام يخزن بيانات الاعتماد بشكل مختلف عن اتصال مقصور على جلسة المستخدم، وقد لا يكون ملف شخصي أُنشئ يدويًا في ملف مفتاح قابلاً للقراءة بواسطة وكيل الأسرار الذي يتوقع تزويد كلمة المرور تفاعليًا. تحقق من السياق الذي يتوقعه الملف قبل إعادة كتابة كلمة مرور لم تكن المشكلة يومًا. تفعيل الملف نفسه من طرفية باستخدام nmcli هو أسرع اختبار، لأن موجهًا لا يظهر أبدًا يخبرك بأن الوكيل لم يكن لديه شيء يقدمه.

تحقق من النفق والمسارات والمفسر بشكل منفصل

مؤشر «متصل» لا يدّعي إلا أن الوصلة قامت. تحقق من الوجهة التي تحتاجها فعلاً، والمسار الذي يحملها، والمفسر المستخدم، واحدًا في كل مرة؛ يمكن أن يكون كل منها خاطئًا بينما الآخران سليمان.

في المحاولة الفاشلة، سجّل إصدار كل مكوّن ونص الخطأ المنقّح. شاركها، لا الملف الشخصي كاملًا، لأن الملف قد يحتوي على السر المشترك مسبقًا وبيانات اعتمادك المخزنة.

أخيرًا، افصل وأعد الاتصال، ثم أعد التشغيل مرة واحدة. إذا كان الملف الشخصي يعمل فقط في المحاولة الأولى، فالمشكلة في معالجة الأسرار أو في ملكية المسارات، وإصلاح كليهما الآن أرخص من إصلاحه في منتصف يوم عمل.