Které protokoly tento veřejný uzel VPN skutečně nabízí?
To, že serverový software nějaký protokol podporuje, neznamená, že ho tento uzel zapnul. Zkontrolujte koncový bod, profil a fázi, která skutečně selhává.
Software to podporuje, tedy uzel to nabízí. Tento závěr je chybný dost často na to, aby se stal pravidlem: nasazení SoftEther může zapnout libovolnou podmnožinu svých kompatibilních způsobů připojení a veřejný uzel je nasazení s vlastníkem a konfigurací. S čím se můžete připojit, závisí na tomto uzlu, ne na seznamu funkcí projektu, který běží. Právě v mezeře mezi oběma žije většina tiketů „protokol je rozbitý“.
Co seznam projektu skutečně slibuje
Protokolové funkce projektu popisují, čeho je server schopen. Daný uzel zapíná některé z těchto posluchačů a jiné ne a operátor může tuto množinu změnit, aniž by se dotkl verze softwaru. Dva uzly na stejném sestavení se proto chovají odlišně a profil, který funguje proti jednomu, nic nedokazuje o dalším cíli. Vlastní seznam uzlu má při volbě, kam se připojit, větší váhu než stránka projektu.
Čtěte seznam jako pět polí, ne jako menu: koncový bod, port, transport, rodina protokolů a metoda ověřování. Veřejný uzel, který inzeruje SSTP vám řekl o posluchači na portu; neřekl vám, který certifikát předkládá ani zda tam váš účet funguje. Porovnání těchto pěti polí s vaším profilem je rychlejší než jakékoli přeinstalování klienta a dává písemné očekávání, které můžete později otestovat.
Slaďte profil s koncovým bodem, který uvádí
Nativní záznam SoftEther není automaticky konfigurace OpenVPN, i když se oba objeví na jedné stránce poskytovatele pod jedním nadpisem. Když uzel zveřejní pro OpenVPN posluchače TCP i UDP, berte je jako dva koncové body: profil upravený z jednoho na druhý míří na posluchače, který nikdo nezapnul. Štítek transportu v souboru je součástí adresy, ne kosmetické nastavení.
To, že klient přijme importovaný soubor, dokazuje, že se soubor parsuje. Nic to neříká o tom, zda na druhém konci čeká vzdálený posluchač, a proto je první pokus o připojení skutečným testem. Porovnejte vzdálený řádek profilu s inzerovaným hostitelem a portem uzlu, než obviníte protokol.
Otestujte fázi, která selhává
Hostitel, který odpovídá na webový provoz, může stále postrádat zamýšlenou službu VPN, a hostitel, který odmítá jeden protokol, nemusí být nutně mimo provoz pro všechny. Tyto dvě chyby posílají lidi opačnými směry totéž odpoledne. Jeden pronásleduje firewall, který je v pořádku; druhý přeinstalovává klienta, který nikdy nebyl problémem. Otestujte každou cestu zvlášť, aby odpověď popisovala jeden posluchač, a ne celého hostitele.
Těchto pět kontrol pokrývá běžné metody veřejných uzlů. Provádějte je ze stejné sítě, kterou používá klient, protože filtrovaný port vypadá z dálky stejně jako chybějící posluchač.
nc -vz node.example 1194
nc -vz node.example 443
openvpn --config client.ovpn --verb 4
nmap -sU -p 500,4500 node.example
openssl s_client -connect node.example:443 -servername node.example| Výsledek | Fáze | Co vylučuje |
|---|---|---|
| Připojení odmítnuto nebo vypršel čas | Transport | Posluchač chybí, je filtrován nebo je špatný port |
| Chyba TLS handshake nebo identity | Certifikát | Dostupnost protokolu; posluchač odpověděl |
| AUTH_FAILED nebo odmítnutí účtu | Ověřování | Koncový bod; problém je v přihlašovacích údajích |
| UDP 500 a 4500 mlčí | Vyjednávání IPsec | ESP a L2TP jsou zablokovány před ověřením |
Přiřaďte každou pozorovanou chybu k jejímu řádku, než cokoli změníte. Selhání identity TLS dokazuje, že posluchač existuje, takže přepsání profilu na jiný protokol by zahodilo funkční důkaz. Odmítnuté připojení dokazuje jen, že tento port neodpověděl, což je mnohem užší tvrzení než „uzel nepodporuje OpenVPN“.
Uchovejte chybu, než cokoli změníte
Zapište přesný výsledek: vypršení času, selhání identity certifikátu, odmítnutí účtu a odmítnutí na úrovni aplikace jsou čtyři různé výsledky. Jen první se týká nedostupnosti protokolu a jen poslední se týká oprávnění po úspěšném připojení. Reset klienta nebo výměna protokolů tuto rozlišnost ničí, protože další selhání přichází s jinou historií a bez výchozí linie pro srovnání.
Neslabujte ověřování, aby nekompatibilní profil vypadal, že funguje. Vypnutá kontrola certifikátu mění jasné selhání identity ve spojení s něčím, kam jste se dostat nechtěli, a výsledný úspěch je horší než původní chyba, protože skrývá, která fáze byla špatná.
Překontrolujte pro každý uzel, pokaždé
Nativní volby SSL, OpenVPN, L2TP/IPsec a SSTP v seznamu veřejného uzlu popisují konfiguraci tohoto uzlu v daném okamžiku. Stejný software jinde může nabídnout jinou sadu a poskytovatel může posluchače zrušit mezi vaší záložkou a dalším pokusem. Staré poznámky popisují stará nasazení.
Zaznamenejte ověřený profil s jeho koncovým bodem a metodou, pak test zopakujte, když se uzel změní nebo se připojení začne selhávat. Specifikace protokolu SoftEther je referencí pro to, co software umí; vlastní seznam uzlu je referencí pro to, co dělá. Držte oba dokumenty oddělené a diagnóza se zkrátí.