443 portu cavab verir, SSTP hələ də uğursuz olur: hansı mərhələ sındı?

Tunel heç vaxt qurulmadığı halda 443 portuna TCP əl sıxışmasının tamamlanması bir şeyi sübut edir və bu kiçik bir şeydir. Həmin ünvanda nəsə dinləyir və bağlantı qəbul etməyə hazırdır. Bu, xidməti, təqdim ediləcək sertifikatı və ilk baytlardan sonra nə baş verdiyini göstərmir.

Həmin əl sıxışması ilə işləyən tunel arasında dörd mərhələ var və hər biri fərqli xəta verir.

Açıq port yalnız bir qatı təsvir edir

TCP bağlantısını qəbul etmək o deməkdir ki, bir proses soketi saxlayır və yol əl sıxışmasına icazə verir. Bu, həmin prosesin SSTP serveri olub-olmadığını, profilinizdəki ad üçün etibarlı sertifikata sahib olub-olmadığını və ya hesabınıza icazə verib-verməyəcəyini demir. Eyni ünvandakı veb server əl sıxışmasına mükəmməl cavab verir və sonra SSTP sorğunuza HTTP xətası ilə cavab verir. Həmin əl sıxışmasından yuxarı hər şey yoxlanılmamış qalır.

Port testinə hökm deyil, mümkün olan ən ucuz filtr kimi yanaşın. Onun dəyəri bütöv bir uğursuzluq kateqoriyasını aradan qaldırmasındadır, üstündəki hər şeyi təsdiqləməsində deyil.

İkisini qarışdırmaq insanların müştərinin əsl problemini heç vaxt araşdırmayan testdən sonra müştəriləri yenidən quraşdırmasının səbəbidir.

Dörd mərhələni sübutlarla ayırın

Mərhələlər nəqliyyat əlçatanlığı, TLS yoxlaması, HTTPS üzərindən SSTP mübadiləsi və tunelin içində PPP autentifikasiyasıdır. Birinci mərhələdən keçib dördüncüdə uğursuz olan yol etimad məlumatlarının düzəldilməsini tələb edir; ikincidə uğursuz olan isə sertifikat və ya ad düzəlişi tələb edir. Bu təmir işlərinin ortaq heç nəyi yoxdur və səhv olanı seçmək fasiləni boşa xərcləyir.

nc -vz vpn.example.net 443
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief
curl -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/

Üçüncü əmri diqqətlə oxumağa dəyər. Adi veb səhifədən gələn 200 sizə veb xidmətinin olduğunu deyir; SSTP sorğusunun başa düşüləcəyini demir. Eyni ünvandan gələn 404 isə VPN barədə eyni dərəcədə məlumatsızdır. Yalnız müştəri jurnalı dörd mərhələdən hansına çatdığını deyir.

Hər əmrin hansı addan istifadə etdiyinə diqqət yetirin. Sertifikat göndərdiyiniz adla seçilir, ona görə profil ilə test arasındakı uyğunsuzluq sizin yaratdığınız uyğunsuzluqdur. Həmin adı nəticənin yanına yazmaq sonrakı qarışıqlığın qarşısını alır.

Qismən uğuru düzgün istiqamətdə oxuyun

Bir vasitəçi adi gəzintiyə icazə verib sonrakı mübadiləni rədd edə bilər, buna görə veb saytlar üçün işləyən proksinin tunel üçün də işləməməsi mümkündür. Eyni nümunə sertifikatın brauzer adı üçün etibarlı, profildə qurulmuş ad üçün isə etibarsız olduğu halda görünür: brauzer razıdır, müştəri deyil və hər ikisi yoxladıqları şey barədə haqlıdır.

Bunu diaqnoz edərkən server yoxlamasını aktiv saxlayın. Onu söndürmək sertifikat uyğunsuzluğunu uğurlu əl sıxışmasına çevirir və uğursuzluğu izah edəcək yeganə sübutu gizlədir.

Eyni profil başqa şəbəkədən işləyirsə, fərq yoldan asılıdır. Bu, axtarışı hansı olduğunu demədən vasitəçilərə daraldır və yenə də faydalı bir addımdır. İstifadə etdiyiniz şəbəkəni qeyd edin, çünki müqayisə onsuz dəyərsizdir.

Sonra yalnız sessiyanı deyil, tətbiqi sınayın

Sessiya yarandıqdan sonra nəzərdə tutulan marşrutu, ad həllini və xidmət icazəsini ona ehtiyacı olan müştərirdən yoxlayın. Qoşulmuş tuneldə yenə də uzaq tərəfdə çatışmayan yönləndirmə və ya heç vaxt mövcud olmayan qayıdış marşrutu ola bilər və bu uğursuzluqlar gözləyən adam üçün tam tətbiq problemi kimi görünür.

Hər nəticəni onu doğuran mərhələyə bağlı saxlayın. Açıq portu işləyən VPN adlandırmaq beş dəqiqəlik sertifikat yoxlamasının bir günlük proqram yenidən quraşdırmasına çevrilməsinin yoludur.