Mae cyflwyno post yn methu pan fydd y VPN yn cysylltu: dod o hyd i’r cam

Mae post a weithiodd drwy’r bore yn stopio’r funud y daw’r tiwnel i fyny, a’r redfa gyntaf yw ail-deipio’r cyfrinair. Mae’r redfa honno’n hepgor y cwestiwn mwy defnyddiol: a gyrhaeddodd y cleient y gweinydd o gwbl, ac a aeth yn ddigon pell i gynnig tystlythyrau? Mae terfyn amser, gwall tystysgrif ac ateb gwrthod yn dri methiant gwahanol, a dim ond y trydydd sy’n ymwneud â’r cyfrif. Ewch drwy’r camau yn eu tro a daw’r VPN yn newidyn y gallwch ei brofi yn lle’n amheuwr i’w feio.

Cam 1: dosbarthwch y methiant cyn cyffwrdd â thystlythyrau

Darllenwch y gwall a gynhyrchodd y rhaglen mewn gwirionedd, yna rhowch ef mewn un o dri basged. Mae terfyn amser neu ailosod y cysylltiad yn golygu bod y llwybr TCP wedi methu; mae gwall TLS neu dystysgrif yn golygu bod y llwybr wedi gweithio ac nad yw’r ysgwyd llaw wedi gwneud; mae ateb SMTP â chod yn golygu bod gweinydd post wedi ateb ac wedi gwneud penderfyniad. Mae pob basged yn pwyntio at wahanol berchennog.

Mae’n werth gwahanu’r basgedi oherwydd bod y cywiriadau’n gwrth-ddweud ei gilydd. Nid yw estyn terfyn amser yn helpu pan fo’r gweinydd yn gwrthod yr anfonwr, ac nid yw newid cyfrinair yn gwneud dim pan fo’r llwybr wedi’i flocio. Y cod ateb yw’r dystiolaeth werthfawrocaf ar y rhestr, oherwydd mae’n profi bod y gadwyn gludo gyfan wedi gweithio a bod y broblem yn bolisi neu’n hunaniaeth. Cadwch y testun union, gan gynnwys unrhyw god statws estynedig, cyn i chi roi cynnig arall.

Stopiwch yma os na allwch atgynhyrchu’r methiant y tu allan i’r VPN. Nid yw problem sy’n ymddangos mewn un rhaglen ar un peiriant yn broblem rhwydwaith eto.

Cam 2: cadarnhewch y pwynt terfyn a’r modd TLS

Mae cyflwyno negeseuon yn wasanaeth annibynnol, nid yr un peth â relay rhwng gweinyddwyr. Cadarnhewch enw’r gwesteiwr, y porth a’r modd TLS o ddogfennaeth y darparwr ar gyfer cyflwyno, oherwydd nid yw porth cyfarwydd wedi’i fenthyca o osodiad post arall yn dystiolaeth. Mae porth 587 yn disgwyl cyfarchiad testun plaen ac yna STARTTLS, tra mae porth 465 yn disgwyl TLS o’r beit cyntaf.

openssl s_client -connect smtp.example.com:465 -servername smtp.example.com -quiet
openssl s_client -starttls smtp -connect smtp.example.com:587 -servername smtp.example.com -quiet
nc -vz smtp.example.com 587

Rhedeg y prawf anghywir o’r ddau yw’r union gamgymeriad a wna’r cleient pan fydd wedi’i ffurfweddu ar gyfer y modd arall. Os yw’r prawf TLS ymhlyg yn hongian ar 587, neu’r prawf STARTTLS yn methu ar 465, nid yw’r porth a’r modd yn cytuno. Trwsiwch y modd yn y cleient yn lle analluogi gwirio tystysgrif, sy’n troi gwall ffurfweddu yn gysylltiad heb ei wirio. Mae’r rhaniad yn ddigon hen i fod wedi’i safoni: TLS ymhlyg ar borth 465 yw’r trefniant a ddisgrifir yn RFC 8314.

Mae gwall tystysgrif yma yn wybodaeth yn hytrach nag yn rhwystr. Mae’n enwi’r hunaniaeth a gyflwynodd y gweinydd a’r hunaniaeth a ddisgwyliai’r cleient, ac mae’r ddau yn gywiriadwy heb wanhau’r cysylltiad.

Cam 3: cymharwch lwybrau heb newid y cyfrif

Cadwch y pwynt terfyn, y cyfrif a gosodiadau’r cleient yn gyson a newidiwch y llwybr yn unig. Anfonwch unwaith gyda’r tiwnel i lawr ac unwaith gyda’r tiwnel i fyny, a chofnodwch y llwybr a’r cyfeiriad ffynhonnell y byddai’r gweinydd yn ei weld. Os yw’r methiant yn dilyn y llwybr, rydych wedi’i ynysu; os yw’n dilyn y peiriant, nid ydych.

ip route get smtp.example.com
curl -v --ssl-reqd --url smtp://smtp.example.com:587 --user "$SMTP_USER" \
  --mail-from [email protected] --mail-rcpt [email protected] --upload-file msg.txt

Mae tiwnel llawn yn newid y cyfeiriad ffynhonnell a wêl y darparwr, ac mae rhai darparwyr yn trin ffynhonnell anghyfarwydd yn llymach na chyfrinair anghyfarwydd. Penderfyniad polisi ar eu hochr nhw yw hynny, a gall fod yn rhestr lwyd, yn gyfyngiad cyflymder neu’n floc. Peidiwch â chyffredinoli o un darparwr i bob un, a pheidiwch â thybio bod rheol NAT ar goll yn esbonio pob methiant. Mae trawsgrifiad curl yn dangos pa gam a fethodd hyd yn oed pan nad yw log y rhaglen ei hun yn gwneud hynny.

Os yw’r tiwnel i gario traffig rhyngrwyd, rhaid i’w lwybreiddio a’i bolisi allan ganiatáu’r cyrchfan hwn. Mae tiwnel sy’n cario llwybrau preifat yn unig yn gadael y cysylltiad post ar y llwybr lleol, sy’n gymhariaeth wahanol.

Cam 4: anfonwch un neges ddiniwed a chofnodi’r ateb

Trwsiwch y cam a fethodd, yna cyflwynwch un neges ddiniwed drwy’r un rhaglen yn hytrach na thrwy dudalen post gwe. Y llwybr anfon y rhaglen ei hun sy’n cael ei brofi gennych, gan gynnwys ei gosodiadau sydd wedi’u storio a’i fodd TLS. Nid yw sesiwn post gwe yn profi dim am hynny.

Cofnodwch yr ateb, y porth, y modd TLS a’r llwybr a ddefnyddiwyd gennych, fel y gall y person nesaf atgynhyrchu’r canlyniad. Mae porwr sy’n gweithio ac eicon VPN gwyrdd yn arsylwadau am bethau eraill. Os yw’r neges yn cyrraedd, y gwaith sy’n weddill yw gwneud y ffurfweddiad hwnnw yn rhagosodedig ar gyfer pob peiriant sy’n anfon drwy’r cyfrif hwn.

Mae’r rhestr wirio yn gyflawn pan allwch enwi’r cam a fethodd, y porth a’r modd TLS a ddefnyddia’r cleient, y llwybr a gymerodd y neges, a’r ateb a ddychwelodd y gweinydd. Mae’r pedair ffaith hynny yn troi problem flwch allan annelwig yn newid y gall rhywun ei adolygu.