المنفذ 443 يستجيب وSSTP ما زال يفشل: أي مرحلة انكسرت؟

إكمال مصافحة TCP إلى المنفذ 443 بينما لا يُبنى النفق أبدًا يثبت شيئًا واحدًا، وهو شيء صغير. هناك شيء يستمع ومستعد لقبول اتصال على ذلك العنوان. وهو لا يحدد الخدمة ولا الشهادة التي سيقدمها ولا ما يحدث بعد البايتات الأولى.

أربع مراحل تقع بين تلك المصافحة ونفق عامل، وكل واحدة تنتج خطأً مختلفًا.

المنفذ المفتوح يصف طبقة واحدة فقط

قبول اتصال TCP يعني أن عملية تملك المقبس وأن المسار يسمح بالمصافحة. وهو لا يقول شيئًا عن كون تلك العملية خادم SSTP، ولا عن امتلاكها شهادة صالحة للاسم في ملفك الشخصي، ولا عن أنها ستصرح بحسابك. خادم ويب على العنوان نفسه يجيب المصافحة بإتقان ثم يرد على طلب SSTP بخطأ HTTP. كل ما فوق تلك المصافحة يبقى غير مختبَر.

تعامل مع اختبار المنفذ كأرخص مرشح ممكن لا كحكم نهائي. قيمته أنه يزيل فئة كاملة من الأعطال، لا أنه يؤكد كل ما فوقه.

الخلط بين الاثنين هو سبب إعادة الناس تثبيت العملاء بعد اختبار لم يفحص مشكلة العميل الفعلية قط.

افصل المراحل الأربع بالأدلة

المراحل هي إمكانية الوصول للنقل، والتحقق من TLS، ثم تبادل SSTP عبر HTTPS، ثم مصادقة PPP داخل النفق. المسار الذي ينجح في الأولى ويفشل في الرابعة يحتاج إصلاح بيانات الاعتماد؛ والذي يفشل في الثانية يحتاج إصلاح شهادة أو اسم. هذه الإصلاحات لا تشترك في شيء، واختيار الخاطئ منها يهدر الانقطاع.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

الأمر الثالث يستحق القراءة بعناية. استجابة 200 من صفحة ويب عادية تخبرك أن خدمة ويب موجودة؛ لكنها لا تخبرك أن طلب SSTP سيُفهم. واستجابة 404 من العنوان نفسه لا تفيد بشأن VPN بالقدر ذاته. سجل العميل وحده يخبرك أي المراحل الأربع وصل إليها.

لاحظ أي اسم استخدمه كل أمر. تُختار الشهادة بالاسم الذي ترسله، فالتناقض بين الملف الشخصي والاختبار تناقض أدخلته أنت. وكتابة ذلك الاسم بجانب النتيجة تمنع الالتباس لاحقًا.

اقرأ النجاح الجزئي في الاتجاه الصحيح

يمكن لوسيط أن يسمح بالتصفح العادي ويرفض التبادل اللاحق، ولهذا قد يفشل وكيل يعمل للمواقع في نفق. ويظهر النمط نفسه عندما تكون الشهادة صالحة لاسم متصفح لكن غير صالحة للاسم المضبوط في الملف الشخصي: المتصفح راضٍ والعميل غير راضٍ، وكلاهما محق فيما فحصه.

أبقِ التحقق من الخادم مفعّلًا أثناء تشخيص هذا. تعطيله يحول تناقض الشهادة إلى مصافحة ناجحة ويخفي الدليل الوحيد الذي كان سيفسر الفشل.

إذا كان الملف الشخصي نفسه يعمل من شبكة أخرى، فالفرق مرتبط بالمسار. هذا يضيق البحث إلى الوسطاء دون أن يقول أيهم، وهو خطوة مفيدة إلى الأمام. سجل الشبكة التي استخدمتها، لأن المقارنة بلا قيمة بدونها.

ثم اختبر التطبيق، لا الجلسة فقط

بعد وجود جلسة، تحقق من المسار المقصود وتحليل الأسماء وإذن الخدمة من العميل الذي يحتاجها. قد يظل النفق المتصل ناقص إعادة توجيه على الجانب البعيد أو مسار عودة لم يوجد قط، وتبدو تلك الأعطال تمامًا كمشكلة تطبيق لمن ينتظر.

أبقِ كل استنتاج مرتبطًا بالمرحلة التي أنتجته. ووصف منفذ مفتوح بأنه VPN عامل هو كيف يتحول فحص شهادة استغرق خمس دقائق إلى يوم من إعادة تثبيت البرامج.