Anghysondeb tystysgrif SSTP: yr enw y mae'n rhaid i'ch gweinydd ei gyflwyno

SSTP nid yw cleient SSTP yn derbyn y gweinydd nes bod dilysu TLS yn llwyddo, ac mae'r gwiriad hwnnw'n cymharu enw, cadwyn a diben. Daw'r enw o'r proffil cysylltiad, nid o'r cyfeiriad y byddwch yn digwydd gallu ei bingio. Pan na fydd un o'r tri yn cyd-fynd, mae'r cleient yn adrodd problem dystysgrif ac yn byth yn cyrraedd yr anogwr mewngofnodi.

Enw'r proffil sy'n penderfynu beth a wirir

Mae SSTP yn rhedeg TLS dros TCP 443, felly mae'r cleient yn ymddwyn fel unrhyw gleient TLS arall: mae'n cymryd enw'r gwesteiwr o'r proffil, yn gofyn am yr enw hwnnw ac yn cymharu'r dystysgrif ag ef. Teipiwch gyfeiriad IP i'r proffil a daw'r gymhariaeth yn gymhariaeth cyfeiriad IP, nad yw'r rhan fwyaf o dystysgrifau gweinydd yn ei bodloni.

Felly gall prawf porwr lwyddo tra bod y VPN yn methu, oherwydd defnyddiodd y porwr enw gwahanol i'r proffil. Mae'r un hollt yn ymddangos pan fydd DNS split-horizon yn datrys enw gwesteiwr y VPN i gyfeiriad mewnol tra bod y porwr wedi cyrraedd un cyhoeddus. Aliniwch y proffil â'r enw gwesteiwr a ddogfennwyd yn gyntaf, yna cymharwch dystysgrifau. Mae unrhyw beth arall a newidiwch cyn hynny yn ddyfalu.

Beth sy'n rhaid i dystysgrif y gweinydd ei chario

Mae cleientiaid modern yn cymharu ag estyniad yr enw amgen pwnc, felly rhaid i enw'r gwesteiwr ymddangos yno fel cofnod DNS. Nid yw enw cyffredin yn unig yn ddigon ar gyfer y staciau dilysu presennol, ac mae cardyn gwyllt yn cwmpasu un label yn hytrach nag unrhyw isparth a ddyfeisiwch. Mae tair tystysgrif yn dangos y ffin: mae'r enw cywir gyda'r diben anghywir yn dilysu'r hunaniaeth ac yna'n methu'r gwiriad diben, mae'r enw a'r diben cywir gyda chyfryngwr coll yn methu'r gadwyn, ac mae enw sydd ond yn ymddangos yn yr enw cyffredin yn methu cyn i'r naill neu'r llall o'r rheini fod o bwys.

Mae ar y dystysgrif hefyd angen diben dilysu'r gweinydd, sef gwerth defnydd allwedd estynedig a enwir yn manyleb SSTP Microsoft, hynny yw serverAuth ag adnabyddwr gwrthrych 1.3.6.1.5.5.7.3.1. Mae defnydd allwedd a chadwyn ddilys yn cwblhau'r set. Mae tystysgrif sy'n bodoli ar y gweinydd, wedi'i chyhoeddi ar gyfer yr enw cywir ond ar gyfer dilysu cleient yn unig, yn dal i fethu.

Gwirio'r gadwyn a'r cloc cyn manylion mewngofnodi

Methiannau amser ac ymddiriedaeth yn cynhyrchu'r un canlyniad gweladwy â chamgymysgiad enw, ac mae'r ddau yn rhatach i'w hadnabod na phroblem cyfrinair. Gwirwch gloc y gweinydd a chloc y cleient, yna darllenwch y gadwyn fel y mae'r cleient yn ei gweld:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Mae'r gorchymyn cyntaf yn argraffu'r enw, y ffenestr ddilysrwydd a'r enwau amgen y bydd y cleient yn cymharu â nhw. Mae'r ail yn adrodd gwallau dilysu gyda'r gadwyn fel y'i cyflwynir, a dyna lle mae cyfryngwr coll yn ymddangos. Ar Windows mae ymholiad y gwasanaeth amser yn dweud wrthych a yw'r cloc yn cael ei gywiro neu wedi drifftio'n syml.

Mae CA mewnol yn ychwanegu un amod arall: rhaid i'r cleient ymddiried yn y CA hwnnw. Gosodwch y gwraidd sefydliadol drwy ei sianel ddosbarthu gymeradwy, nid o dudalen sy'n cynnig tystysgrif amnewid, oherwydd y penderfyniad hwnnw yw'r model ymddiriedaeth cyfan ar raddfa fach.

Mae dilysu gweinydd a dilysu defnyddiwr yn gamau dilyniannol â methiannau gwahanol. Mae gwall tystysgrif yn golygu na wnaeth y cleient ymddiried yn y gweinydd erioed, tra bo cyfrinair wedi'i wrthod yn golygu iddo ymddiried yn y gweinydd a bod y manylion yn anghywir. Mae diffodd dilysu tystysgrif i gyrraedd anogwr y cyfrinair yn dileu'r warant yn hytrach na'i thrwsio. I brofi bod gweddill y llwybr yn gweithio, profwch yr un enw gwesteiwr a phorth o gleient sydd eisoes yn ymddiried yn y gadwyn, a gadewch y proffil a osodwyd yn llonydd.

Trwsio'r enw neu'r dystysgrif, yna ailbrofi

Mae tair amod yn penderfynu'r trwsio. Os yw enw'r proffil yn anghywir, cywirwch y proffil neu ychwanegwch yr enw coll at y dystysgrif. Os yw'r gadwyn yn anghyflawn, gosodwch y cyfryngwr ar y gweinydd. Os yw'r diben yn anghywir, ailgyhoeddwch yn hytrach na chlytio o'i gwmpas.

Ar ôl y newid, ailgysylltwch â'r cleient a gefnogir a chadarnhewch fod yr anogwr mewngofnodi yn ymddangos, yna fod y tiwnel yn codi. Nodwch yr enw gwesteiwr a ddefnyddiwyd, y cyhoeddwr a'r dyddiad dod i ben yn y tocyn. Y cofnod hwnnw sy'n gwneud yr adnewyddiad nesaf yn dasg a drefnwyd yn hytrach nag yn doriad gwasanaeth arall, ac mae hefyd yn dangos i'r person nesaf pa un o'r tair amod oedd mewn gwirionedd wedi torri.