SSTP у Linux не ўдаецца да ўваходу? Праверце складнікі асяроддзя выканання

Вы ўсталёўваеце плагін SSTP, у рэдактары сеткі з'яўляецца пераключальнік, вы ўводзіце шлюз і імя карыстальніка, і профіль адмаўляе з агульнай памылкай яшчэ да таго, як спытае пароль. У гэтай паслядоўнасці няма нічога незвычайнага, і нішто ў ёй не даказвае, што праграма тунеля ўсталявана. Злучэнне SSTP збіраецца з частак, якія пастаўляюцца асобна: плагін VPN, які NetworkManager можа запусціць, праграма-кліент SSTP, якая валодае сеансам TLS і PPP, дэман PPP пад ёй і сховішча сакрэтаў, якое злучэнню дазволена чытаць.

Што дадае пункт меню, а што не

Плагін дадае апісанне службы, якое кажа NetworkManager, як яго запусціць, і ў большасці дыстрыбутываў невялікі рэдактар, што малюе форму. Гэта ўвесь аб'ём пункта меню. Праграма-кліент пастаўляецца з іншага зыходнага пакета, і ўласны README плагіна прама паведамляе пра гэтае раздзяленне: гэта плагін, а не кліент.

Затым кліенту патрэбны PPP, бо SSTP пераносіць сеанс PPP унутры злучэння TLS. Без pppd тунель можа завяршыць рукапацісканне TLS і ўсё роўна памерці на першым кадры кіравання, што выглядае як праблема ўліковых даных і ёй не з'яўляецца. У Debian і Ubuntu часткі пастаўляюцца як network-manager-sstp, sstp-client і ppp, і ўстаноўка толькі першай — найчасцейшая прычына таго, што форма прымае кожнае поле, а злучэнне ніколі не завяршаецца.

Выбар працоўнага стала дадае яшчэ адно раздзяленне. Plasma рэдагуе профілі праз plasma-nm, якому патрэбен уласны кампанент SSTP і які чытае тое ж апісанне службы, таму рэдактар без пункта SSTP і CLI, які добра стварае профілі, — гэта адсутная палова рэдактара, а не зламанае асяроддзе выканання.

Прачытайце першы няўдалы этап, перш чым нешта пераўсталёўваць

Няўдалая спроба SSTP праходзіць этапы ў фіксаваным парадку, і этап, што не ўдаўся, паказвае, на які кампанент глядзець.

Першы — запуск плагіна, і збой там дае паведамленне пра службу VPN, а не пра сервер. Далей ідзе TCP-злучэнне да порта 443; адмова або тайм-аўт тут — праблема дасяжнасці, а не TLS. Затым рукапацісканне TLS і праверка ідэнтычнасці сервера, потым перамовы PPP і аўтэнтыфікацыя ўліковага запісу, і нарэшце прызначэнне адрасоў і маршруты. Назірайце за journalctl -f -u NetworkManager, калі адзін раз актывуеце профіль, і чытайце першы канкрэтны радок, а не апошні агульны.

Гэты парадак тлумачыць частае памылковае чытанне. Скарга на сертыфікат паведамляецца да таго, як адпраўленыя ўліковыя даныя, таму змена пароля не можа дапамагчы; адмова аўтэнтыфікацыі PPP прыходзіць пасля паспяховага рукапаціскання, таму замена сертыфіката таксама не дапаможа. Захавайце першую памылку і яе этап — і ў вас дыягназ, а не сімптом.

Давер да сертыфіката і ўваход у запіс — асобныя брамы

Рукапацісканне правярае, што сервер — менавіта той, да якога вы хацелі дабрацца, з дапамогай наладжанага выдаўца і імя. Толькі пасля гэтага слой PPP прапануе ваша імя карыстальніка і пароль метаду аўтэнтыфікацыі шлюза. Дзве незалежныя праверкі, такім чынам, ацэньваюцца ў фіксаваным парадку, з асобнымі наладамі для кожнай. Нішто, уведзенае ў поле пароля, не можа паўплываць на першую.

Профіль, які давярае няправільнаму выдаўцу, адмаўляе на першай браме з памылкай ідэнтычнасці. Профіль, які давярае яму правільна, але захоўвае састарэлы пароль, адмаўляе на другой з адмовай аўтэнтыфікацыі. Абодва выглядаюць як VPN, які не падключаецца, і ні адзін не выпраўляецца сродкам іншага.

Атрымайце чаканага выдаўца і імя сервера ў таго, хто кіруе шлюзам, замест здагадак пра прадвызначэнні рэдактара, і запішыце патрабаваны метад аўтэнтыфікацыі. Калі арганізацыі патрэбны метад, які плагін не можа выказаць, сумленны адказ — зацверджаны кліент, які можа, а не профіль з выключанай праверкай, каб памылка знікла.

Няхай адзін уласнік трымае профіль і сакрэты

Калі профіль існуе, актывуйце яго праз NetworkManager і дазвольце гэтаму кіраўніку валодаць выніковымі маршрутамі і зменамі рэзалвера. Запуск другога асобнага кліента SSTP, калі NetworkManager ужо вядзе злучэнне, дае два наборы маршрутаў, дзве канфігурацыі DNS і сеанс адладкі без адзінай крыніцы праўды.

У сакрэтаў таксама ёсць уласнік. Злучэнне, пазначанае для сістэмнага выкарыстання, захоўвае ўліковыя даныя інакш, чым абмежаванае вашай сесіяй карыстальніка, і профіль, створаны ўручную ў файле ключа, можа быць нечытэльным для агента сакрэтаў, які чакае інтэрактыўна падаць пароль. Праверце, які кантэкст чакае профіль, перш чым перадрукоўваць пароль, які ніколі не быў праблемай. Актывацыя таго ж профілю з тэрмінала праз nmcli — найхутчэйшы тэст, бо запыт, які ніколі не з'яўляецца, кажа, што агенту не было чаго прапанаваць.

Правярайце тунель, маршруты і рэзалвер асобна

Індыкатар «падключана» сцвярджае толькі, што звяно ўзнялося. Праверце пункт прызначэння, які вам сапраўды патрэбны, маршрут, што яго нясе, і рэзалвер, які выкарыстоўваецца, па адным; кожны можа быць няправільным, пакуль два іншыя ў парадку.

Для няўдалай спробы зафіксуйце версію кожнага кампанента і ачышчаны тэкст памылкі. Дзяліцеся імі, а не поўным профілем, бо профіль можа змяшчаць папярэдне агучаны сакрэт і вашыя захаваныя ўліковыя даныя.

Нарэшце, адключыцеся і падключыцеся зноў, потым адзін раз перазагрузіцеся. Калі профіль працуе толькі з першай спробы, праблема ў апрацоўцы сакрэтаў або ва ўладанні маршрутамі, і абедзве цяпер танней выправіць, чым сярод працоўнага дня.