SSTP na Linuxu ne uspijeva prije prijave? Provjerite dijelove okruženja

Instalirate dodatak SSTP, radio dugme se pojavi u uređivaču mreže, unesete pristupnik i korisničko ime, a profil ne uspije s općom greškom prije nego što uopće zatraži lozinku. Ništa u tom slijedu nije neobično i ništa u njemu ne dokazuje da je softver tunela instaliran. SSTP veza se sastavlja od dijelova koji se isporučuju odvojeno: dodatak za VPN koji NetworkManager može pokrenuti, klijentski program SSTP koji posjeduje TLS i PPP sesiju, PPP demon ispod njega i spremište tajni koje veza smije čitati.

Šta stavka izbornika dodaje, a šta ne

Dodatak doprinosi opis usluge koji govori NetworkManageru kako da ga pokrene, a na većini distribucija i mali uređivač koji crta obrazac. To je cijeli obim stavke izbornika. Klijentski program dolazi iz drugog izvornog paketa, a vlastiti README dodatka tu podjelu kaže izravno: to je dodatak, ne klijent.

Klijentu zatim treba PPP, jer SSTP nosi PPP sesiju unutar TLS veze. Bez pppd tunel može dovršiti TLS rukovanje i ipak umrijeti na prvom kontrolnom okviru, što izgleda kao problem s vjerodajnicama, a nije. Na Debianu i Ubuntuu dijelovi dolaze kao network-manager-sstp, sstp-client i ppp, a instaliranje samo prvog najčešći je razlog zašto obrazac prihvata svako polje dok se veza nikad ne dovrši.

Izbor radne površine dodaje još jednu podjelu. Plasma uređuje profile kroz plasma-nm, kojem treba vlastita SSTP komponenta i koji čita isti opis usluge, pa je uređivač bez SSTP stavke i CLI koji dobro stvara profile nedostajuća polovina uređivača, a ne pokvareno okruženje.

Pročitajte prvu neuspjelu fazu prije nego što bilo šta reinstalirate

Neuspjeli SSTP pokušaj prolazi kroz faze u fiksnom redu, a faza koja nije uspjela kaže vam koji dio treba gledati.

Pokretanje dodatka je prvo, a neuspjeh tu daje poruku o VPN usluzi, ne o serveru. Zatim slijedi TCP veza na port 443; odbijanje ili istek ovdje je problem dostupnosti, ne TLS-a. Zatim TLS rukovanje i provjera identiteta servera, pa PPP pregovaranje i provjera računa, i na kraju dodjela adrese i rute. Promatrajte journalctl -f -u NetworkManager dok jednom aktivirate profil i čitajte prvi konkretni red, a ne posljednji opći.

Taj red objašnjava često pogrešno čitanje. Prigovor na certifikat prijavljuje se prije nego što se pošalju ikakve vjerodajnice, pa promjena lozinke ne može pomoći; odbijanje PPP provjere dolazi nakon uspješnog rukovanja, pa ni zamjena certifikata ne može pomoći. Zadržite prvu grešku i njenu fazu i imate dijagnozu, a ne simptom.

Povjerenje u certifikat i prijava na račun su odvojena vrata

Rukovanje provjerava da je server onaj koji ste namjeravali dosegnuti, koristeći izdavaoca i ime koje ste konfigurirali. Tek nakon toga PPP sloj nudi vaše korisničko ime i lozinku metodi provjere pristupnika. Dvije neovisne provjere, dakle, ocjenjuju se u fiksnom redu, s odvojenim postavkama za svaku. Ništa upisano u polje lozinke ne može utjecati na prvu.

Profil koji vjeruje pogrešnom izdavaocu ne uspijeva na prvim vratima s greškom identiteta. Profil koji mu ispravno vjeruje, ali čuva zastarjelu lozinku, ne uspijeva na drugima s odbijanjem provjere. Oba izgledaju kao VPN koji se neće povezati i nijedan se ne popravlja lijekom onog drugog.

Zatražite očekivanog izdavaoca i ime servera od onoga ko upravlja pristupnikom umjesto da nagađate zadane postavke uređivača, i zabilježite metodu provjere koju zahtijevaju. Ako organizaciji treba metoda koju dodatak ne može izraziti, iskren odgovor je odobreni klijent koji može, a ne profil s isključenom provjerom da greška nestane.

Neka jedan vlasnik drži profil i tajne

Kad profil postoji, aktivirajte ga kroz NetworkManager i pustite tom upravitelju da posjeduje dobivene rute i promjene razrješivača. Pokretanje drugog samostalnog SSTP klijenta dok NetworkManager već vodi vezu daje vam dva skupa ruta, dvije DNS konfiguracije i sesiju otklanjanja grešaka bez jednog izvora istine.

Tajne također imaju vlasnika. Veza označena za sistemsku upotrebu sprema vjerodajnice drukčije od one ograničene na vašu korisničku sesiju, a profil stvoren ručno u datoteci ključa možda neće biti čitljiv agentu tajni koji očekuje da lozinku dostavi interaktivno. Provjerite koji kontekst profil očekuje prije nego što ponovno upišete lozinku koja nikad nije bila problem. Aktiviranje istog profila iz terminala s nmcli najbrži je test, jer upit koji se nikad ne pojavi kaže da agent nije imao šta ponuditi.

Provjerite tunel, rute i razrješivač odvojeno

Pokazatelj „povezano“ tvrdi samo da se veza podigla. Provjerite odredište koje vam stvarno treba, rutu koja ga nosi i razrješivač koji se koristi, jedno po jedno; svako može biti pogrešno dok su druga dva ispravna.

Za neuspjeli pokušaj zabilježite verziju svakog dijela i očišćeni tekst greške. Podijelite to, ne cijeli profil, jer profil može sadržavati unaprijed dijeljenu tajnu i vaše spremljene vjerodajnice.

Na kraju, prekinite i ponovno se povežite, pa jednom ponovno podignite sistem. Ako profil radi samo iz prvog pokušaja, problem je u rukovanju tajnama ili u vlasništvu ruta, a oboje je sada jeftinije popraviti nego usred radnog dana.