Як праверыць, ці сапраўды кліент VPN падтрымлівае SSTP

Назваць прадукт кліентам VPN яшчэ не азначае, што ён размаўляе па SSTP, а порт 443 у адрасе не даказвае амаль нічога. SSTP працуе праз TLS паверх TCP 443, затым ідзе кіравальны абмен SSTP, затым PPP для самога злучэння, а зверху — праверка сертыфіката і метад аўтэнтыфікацыі PPP. Кліент падтрымлівае пратакол толькі тады, калі названая рэалізацыя ва ўсталяванай версіі праходзіць кожны з гэтых узроўняў у адпаведнасці з патрабаваннямі вашага сервера. Выконвайце праверанні ніжэй па парадку і спыніцеся на першай няўдалай, бо менавіта яе і варта вырашаць.

Звядзіце рэалізацыю, версію і платформу

Пачніце з платформы, праграмы і ўсталяванай зборкі, бо адно імя вытворцы можа азначаць дзве цалкам розныя рэалізацыі. Убудаваныя тыпы VPN і староннія кліенты — не адно і тое ж, а плагін можа паказваць назву адаптара, якая не апісвае пратакол пад ім. Дакументацыя бягучага выпуску не апісвае зборку, што працуе на машыне перад вамі. Прачытайце старонку для канкрэтнай версіі і параўнайце яе з тым, што кліент паведамляе пра сябе.

У Windows тып тунелю бярэцца з платформы, а не з графічнага інтэрфейсу, таму пытайце ў платформы. Get-VpnConnection -Name 'Work' | Select-Object TunnelType, ServerAddress паказвае Sstp, калі родны кліент паспрабуе гэты пратакол, а даведнік тыпаў злучэння згадвае яго сярод убудаваных тыпаў тунелю. У Linux роднага кліента SSTP няма зусім, таму пытанне зводзіцца да таго, ці ўсталяваная і актуальная асобная рэалізацыя, напрыклад sstpc з пакета sstp-client.

Спачатку фармат профілю, потым назва

Профілі не ўзаемазаменныя, і файл, які вам перадалі, звычайна вырашае пытанне хутчэй за любы спіс функцый. Дырэктывы OpenVPN, ключы партнёраў WireGuard і параметры злучэння SSTP апісваюць тры непавязаныя пратаколы, і ні адзін дыялог імпарту не ператварае адзін у другі. Агульны порт TCP 443 нічога не перакладае, бо SSTP, OpenVPN праз TLS і звычайная служба HTTPS могуць займаць той самы порт і не мець нічога агульнага вышэй за яго.

Калі файл — гэта .ovpn або канфігурацыя WireGuard, адказ ужо вядомы: гэты кліент не просяць размаўляць па SSTP. Імпарт у кліент, які падтрымлівае толькі SSTP, правальваецца на этапе профілю, задоўга да пачатку любых перамоваў аб пратаколе.

Што TLS не даказвае пра разгортванне

Завершанае рукапоцісціе TLS даказвае, што сервер мае сертыфікат, і нічога не даказвае пра тое, ці давярае ваш кліент ланцугу выпуску і ці супадае імя ўнутры яго. Праверка павінна паспяхова прайсці для патрэбнага сервера, уключаючы любую прыватную CA арганізацыі, а кліент, які прапануе прапускаць памылкі сертыфікатаў, не атрымаў падтрымку пратаколу, а проста выдаліў праверку. Праверка ланцуга і супадзенне імя — дзве асобныя праверкі, і стэк, які праходзіць адну, можа не прайсці другую. Абедзве належаць да крытэрыяў прыёмкі, а не да дадатка пра выпраўленне няспраўнасцяў.

Затым пацвердзіце метад аўтэнтыфікацыі PPP, бо разгортванне з EAP-TLS патрабуе кліента, які можа прад'явіць сертыфікат унутры PPP, а метад на аснове пароля — падтрымкі такога абмену. Адрас сервера і пароль не апісваюць рэальнага патрабавання арганізацыі, асабліва там, дзе перад імі стаіць другі фактар або праверка прылады. Спытайце, які метад абавязковы на серверы, перш чым меркаваць, што кліент яго задаволіць.

Прасачыце сеанс праз чатыры этапы

Назірайце, як злучэнне перасякае чатыры мяжы: TCP і TLS да сервера, кіравальны абмен SSTP, перамовы PPP, а потым рэсурс, які вам сапраўды патрэбны. Журнал, што спыняецца пасля TLS, апісвае іншую няспраўнасць, чым той, што спыняецца ўнутры PPP, і яны вядуць да розных адказных. Загрузка браўзерам вэб-старонкі хоста даказвае толькі тое, што нешта адказала на 443, а гэта найбольш частая ілжывая перамога ў гэтай сферы. Калі старонка грузіцца, а кліент усё яшчэ не працуе, праблема вышэй за TLS і вэб-сервер не падазроны.

Скончыце рэальным прыватным рэсурсам і запытам імя, бо сеанс, які ўстанавіўся і нічога не перадае, у большасці акон стану выглядае гэтак жа, як працоўны. Адзін удалы запыт да патрэбнага рэсурсу вырашае пытанне, якое значок вырашыць не можа.

Калі падтрымкі няма, змяніце план

Калі кліент не можа размаўляць па SSTP, атрымайце ўзгодненую альтэрнатыву або папрасіце ўладальніка сервера пратакол, які падтрымліваюць абодва бакі. Выдаленне невядомых параметраў да паспяховага імпарту дае профіль, які ні да чаго не падключаецца, — гэта больш доўгі шлях да таго ж тупіка. Інсталятар з невядомай крыніцы, які абяцае ўніверсальную сумяшчальнасць, дадае ў машыну неўзгоднены шлях даверу і часта замяняе кліент платформы тым, што арганізацыя не можа абнавіць. Ні адно з гэтага не выпраўленне, і абодва цяжэй адмяніць, чым першапачатковую праблему.

Разглядайце пытанне сумяшчальнасці асобна ад прадукцыйнасці і выбару канчатковай кропкі, бо блізкі сервер бескарысны, калі кліент не можа размаўляць па яго пратаколе. Налада затрымкі не аднаўляе этап, які ніколі не завяршаецца.