Terfyn amser SSTP neu wall tystysgrif: sut i’w gwahaniaethu

Mae cysylltiad SSTP yn methu mewn dwy ffordd sy’n edrych yr un fath o sedd y defnyddiwr, ac mae’r trwsiad ar gyfer pob un ar haen wahanol. Mae terfyn amser yn golygu na orffennodd cyfnewidiad gofynnol erioed; mae gwall tystysgrif yn golygu bod deunydd hunaniaeth wedi cyrraedd ac wedi’i wrthod. Mae trin yr ail fel y cyntaf yn eich anfon at waliau tân a chyfrineiriau nad oeddent erioed yn broblem. Mae’r dystiolaeth wahaniaethol yn nogfen y cleient ei hun, os ei darllenwch cyn newid unrhyw beth.

Dau fethiant, dau gyfnewidiad gwahanol

Mae SSTP yn cario twnnel y tu mewn i sesiwn ar siâp HTTPS, a dyna pam mae’n goroesi ar rwydweithiau nad ydynt yn caniatáu dim ond 443. Mae’r cleient yn cwblhau ysgydwad llaw TLS, yn anfon cais HTTP gyda dull sy’n benodol i’r protocol, ac yna mae’r twnnel yn rhedeg y tu mewn i’r ffrwd honno. Mae methiant ar unrhyw un o’r camau hynny yn atal y cysylltiad, a dim ond y rhai diweddaraf sy’n cynnwys manylion mewngofnodi.

Y drefn honno yw’r diagnosis. Os na fydd yr ysgydwad llaw TLS yn gorffen byth, ni anfonwyd unrhyw fanylyn mewngofnodi, felly ni all ailosod cyfrinair helpu. Os yw’r ysgydwad llaw yn gorffen ac yna’n stondio, cafodd hunaniaeth ei derbyn a gwrthododd rhywbeth yn llwybr y cais ef. Os yw’r ysgydwad llaw yn methu â neges dilysu, atebodd y gweinydd ac ni chymeradwyodd y cleient yr hyn a glywodd. Tri chanlyniad, tair haen.

Mae’r llinell yn y nodiadur fel arfer yn dweud pa un o’r tri rydych ynddo, a dyna pam mae’n werth ei chofnodi cyn y newid cyntaf.

Mae terfyn amser yn golygu na orffennodd cam erioed

Dechreuwch gyda chydraniad enwau a chyrhaeddiad TCP, oherwydd mae terfyn amser yno yn edrych yn union yr un fath â therfyn amser yn hwyrach. Mae gwiriwr porth sy’n dweud bod 443 ar agor ond yn profi bod gwrandawr wedi derbyn cysylltiad, a dim mwy na hynny.

Y nesaf dan amheuaeth yw’r llwybr yn hytrach na’r gwesteiwr. Mae procsis a waliau tân sy’n ymwybodol o gymwysiadau weithiau’n gwrthod dull y cais a ddefnyddia SSTP, neu’n gollwng ffrwd sy’n aros ar agor am oriau, ac mae’r ddau ymddygiad yn edrych fel terfyn amser o safbwynt y cleient. Mae tudalen HTTPS gyffredin a weinir gan yr un gwesteiwr yn llwytho’n berffaith tra bod dull y twnnel yn cael ei wrthod, a dyna pam mai ychydig iawn y mae pori i’r pen draw yn ei brofi. Profwch o rwydwaith heb y procsi i wahanu’r ddau achos hynny.

Test-NetConnection vpn.example.com -Port 443
netsh http show sslcert
Get-WinEvent -LogName 'Microsoft-Windows-RasSstp/Operational' -MaxEvents 20

Nid yw terfyn amser cyn unrhyw ymateb gan y pâr yn dweud dim am y cyfrif, ac mae newid y cyfrinair ar y pwynt hwnnw ond yn ychwanegu newidyn.

Mae gwall tystysgrif yn golygu bod hunaniaeth wedi’i gwrthod

Yma atebodd y gweinydd yn wir, felly mae’r rhwydwaith yn gweithio ac mae’r cwestiwn yn symud at hunaniaeth. Cymharwch yr enw y mae’r cleient yn ei ddeialu â’r enwau y mae’r dystysgrif yn eu honni mewn gwirionedd, ac yna gwiriwch y dyddiadau dilysrwydd a’r gadwyn gyhoeddi.

Mae CA preifat nad yw’r cleient yn ymddiried ynddo yn cynhyrchu’r un dosbarth o wall â thystysgrif wedi dod i ben, ac felly hefyd cloc sy’n awr neu ddwy allan. Mae deialu’r cyfeiriad crai yn creu anghyfatebiaeth newydd, oherwydd mae tystysgrif yn honni enwau yn hytrach na chyfeiriadau. Mewn defnydd dan reolaeth, cewch y ffurfweddiad ymddiriedaeth arfaethedig gan ei weinyddwr yn hytrach na derbyn gwreiddyn amnewid a gynigir gan dudalen gwall. Mae dilysu yn aros ymlaen tra byddwch yn trwsio’r achos.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
w32tm /query /status

Cadwch y cam TLS llwyddiannus yn gyfan ar ôl iddo lwyddo, oherwydd mae ei ddadwneud yn ddiweddarach yn cuddio pa newid a drwsiodd y twnnel mewn gwirionedd.

Lle mae’r ddau yn cael eu cymysgu

Mae’r ddau fethiant yn ymddangos fel cysylltiad na fydd yn codi, ac mae’r ddau yn cyrraedd ar ôl i’r defnyddiwr newid rhywbeth di-gysylltiad. Y cyd-ddigwyddiad hwnnw sy’n gwneud y trwsiad anghywir yn edrych yn gredadwy am sbel.

Mae dau arferiad yn eu cadw ar wahân. Cofnodwch nogfen y cleient cyn cyffwrdd â’r ffurfweddiad, fel bod y cyflwr cyntaf yn cael ei gadw. Newidiwch un haen y cynnig, fel bod y canlyniad nesaf yn perthyn i newidyn hysbys. Mae gwiriwr porth a phorwr yn arsylwadau rhannol yn hytrach na’r dilyniant llawn, ac nid yw’r naill na’r llall yn disodli adroddiad y cleient ei hun. Nid yw’r un arferiad yn costio dim, ac mae’r ddau yn byrhau’r ymchwiliad.

Mae’r cwestiwn tystysgrif a’r cwestiwn cyrhaeddiad wedi’u dogfennu ar wahân am reswm.

Ailbrofwch gyda’r cleient go iawn, yna symudwch i mewn

Unwaith y bydd y cywiriad penodol yn ei le, ceisiwch eto gyda’r cleient SSTP gwirioneddol a’r proffil go iawn, nid gyda thab porwr.

rasdial "Corp SSTP" /disconnect
rasdial "Corp SSTP" user '*'
Get-VpnConnection -Name "Corp SSTP" | Select-Object ServerAddress, TunnelType, AuthenticationMethod

Os yw’r sesiwn yn cysylltu ac mae adnoddau yn dal i fethu, nid y twnnel yw’r amheuwr bellach: symudwch at lwybrbont, DNS a mynediad i wasanaethau. Ymchwiliad gwahanol yw hwnnw gyda thystiolaeth wahanol. Mae cadw’r camau TLS a dilysu sy’n gweithio yn ei rwystro rhag dod yn ailadroddiad o’r cyntaf. Ysgrifennwch y cam a fethodd yn y tocyn, oherwydd fel arall bydd y person nesaf yn dechrau o’r top eto.